通过内容中心网络进行密钥解析的系统和方法
【技术领域】
[0001 ] 本公开总体上涉及保证数字内容的安全。更具体而言，本公开涉及为内容对象解析密钥的密钥解析服务。
【背景技术】
[0002]计算和网络技术的进步已经使得人们能够向其日常生活中结合电子设备。人们通常使用计算机进行在线银行业务，与他人交互，以及搜索并消费由他人发布的信息。新近以来，机器与机器通信的进步已经使得人们的电器能够自动为其用户完成任务。例如，一些数字恒温箱能够与中央控制器交互，中央控制器能够为恒温箱产生优化的调度，配置恒温箱使用这一调度来控制加热、通风和空气调节(HVAC)单元。
[0003]这些进步提供的便利性构建于底层联网协议之上，底层联网协议用于在用户的装置之间以及与应用服务器交换通信分组。在很多情况下，这些通信分组可能包括关于用户及其日常习惯的敏感信息；用户可能不希望与公众共享的信息。因此，在当前的网络中，应用开发者通常使用超文本安全传输协议(HTTPS)作为基本协议以提供安全的内容输送。
[0004]不过，HTTPS需要内容服务器向客户端提供由受信任证书机构(CA)签署的证书。客户端通过公钥基础设施(PKI)验证证书，并使用证书产生对称密钥。客户端然后使用这个密钥在与内容服务器通信会话期间对所有信息进行加密和解密。令人遗憾的是，有很多能够签署数字证书的CA，需要由用户判断哪些CA是可信赖的。典型地，用户需要指定哪些CA是可信赖的，并使用这些CA作为根“CA”。其他CA在它们被根CA直接信任或经由信任链间接信任时充当中间CA。
[0005]计算机网络的近来发展包括内容中心网络(CCN)，内容中心网络允许客户端通过散布为数据指定唯一名称的“兴趣”而获得数据。存储这一数据的任何对等CCN装置都能够向客户端提供数据，不论这一对等CCN装置在哪里。不过，允许任何对等网络装置满足受信任发布方对一条数据的兴趣使得难以确保数据实际源自受信任发布方。例如，HTTPS使用数字证书将服务器映射到从这一服务器发布数据的人或组织。客户端装置使用HTTPS和CA验证它们是从它们预期的数据所来自的组织接收数据。令人遗憾的是，在客户端从不同来源，例如从过去已经获得并高速缓存相同数据的对等CCN装置，获得这一数据时，CCN客户端装置不能使用HTTPS验证一条数据是源自给定发布方的。
【发明内容】
[0006]—个实施例提供了一种密钥解析服务(KRS)，所述密钥解析服务便于客户端装置验证内容对象是由受信任实体签署的。KRS服务可以包括一组从客户端接收兴趣消息的本地KRS服务，一组均为一个或多个KRS区域维护安全信息(使用KRS记录)(例如，名称前缀)的官方KRS服务，以及为根名称前缀维护安全信息的根KRS服务。在工作期间，本地KRS服务能够通过内容中心网络(CCN)接收具有名称的兴趣消息，名称包括与本地KRS服务相关联的可路由前缀，并包括对要解析的内容名称的KRS查询。兴趣可以包括附属于兴趣名称中可路由前缀的KRS查询，或者可以包括有效载荷中的KRS查询。KRS服务处理兴趣消息以获得针对内容名称的KRS记录。KRS记录包括针对内容名称或内容名称的前缀的安全信息。KRS服务产生并返回其有效载荷包括KRS记录的内容对象以满足兴趣消息。
[0007]在一些实施例中，KRS记录包括:KRS记录为其解析安全信息的名称前缀、包括针对名称或名称前缀的安全信息的有效载荷和/或用于认证KRS记录的安全信息。
[0008]在一些实施例中，底层CCN节点向与兴趣消息的可路由前缀相关联的本地KRS服务转发客户端装置的兴趣消息。本地KRS服务能够通过在下一跳表格中利用内容名称作为输入进行最长前缀匹配查找来获得KRS记录，以获得针对与内容名称或内容名称前缀相关联的密钥解析区域的另一可路由前缀。本地KRS服务然后产生另一个兴趣消息，所述另一兴趣消息的名称包括通往KRS区域的可路由前缀并在第二兴趣的名称或有效载荷中包括针对内容名称的查询。本地KRS服务通过CCN网络散布这一兴趣消息以向官方KRS服务器查询KRS记录。
[0009]在一些实施例中，下一跳表格的相应条目包括名称或名称前缀、针对映射到名称或名称前缀的密钥解析区域的可路由前缀和/或针对与密钥解析区域相关联的密钥解析服务的公钥。
[0010]在一些实施例中，KRS服务(例如，本地KRS服务或官方KRS服务)能够散布兴趣以查询目标密钥解析区域。如果目标密钥解析区域的服务不包括针对查询的KRS记录，KRS服务能够接收包括针对另一密钥解析区域的可路由前缀的内容对象。KRS服务能够通过产生另一兴趣消息查询新的密钥解析区域，所述另一兴趣消息的名称包括针对新密钥解析区域的可路由前缀，并在兴趣的名称或有效载荷中包括针对内容名称的查询。KRS服务能够散布这一兴趣以接收包括KRS记录的内容对象。
[0011]在本实施例的一些变化中，KRS服务能够更新下一跳表格以包括将内容名称映射到针对第二密钥解析区域的可路由前缀的条目。
[0012]在本实施例的一些变化中，KRS服务能够接收包括KRS记录的内容对象并在KRS记录仓库中高速缓存KRS记录。
[0013]在一些实施例中，官方KRS服务能够通过利用内容名称作为输入在KRS记录仓库中执行最长前缀匹配查找获得KRS记录。这一 KRS记录包括与内容名称的至少前缀相关联的安全信息。
[0014]在一些实施例中，针对KRS记录中内容名称或内容名称前缀的安全信息可以包括公钥、公钥证书、证书链、内容对象的加密摘要和/或由内容对象制作者或受信任实体签署的内容对象的加密摘要。
[0015]—个实施例提供了一种客户端装置，所述客户端装置使用来自KRS服务的密钥验证内容对象是由受信任实体签署的。在工作期间，客户端装置能够查询KRS服务以获得针对内容对象的受信任密钥。客户端装置还可以通过CCN获得内容对象自身，并分析内容对象以获得针对用于认证内容对象的密钥的密钥定位符。客户端装置然后判断受信任密钥和与内容对象的密钥定位符相关联的密钥之间是否存在信任链。如果存在信任链，客户端装置判定内容对象是有效的。
[0016]在一些实施例中，在判定存在所述信任链时，客户端装置验证所述密钥定位符从所述密钥解析服务器引用所述受信任密钥。
[0017]在一些实施例中，在判定存在所述信任链时，客户端装置能够散布针对由受信任密钥签署且向内容对象的密钥链接受信任密钥的中间密钥的兴趣。
[0018]在这些实施例的一些变化中，在客户端装置判定所述密钥定位符未从所述受信任密钥引用当前信任链末端处的当前中间密钥时，客户端装置能够通过散布针对由所述当前中间密钥签署并向所述内容对象的密钥链接当前中间密钥的另一中间密钥的兴趣，向所述内容对象的密钥扩展所述信任链。
[0019]在一些实施例中，客户端装置能够通过CCN获得目标密钥，例如，通过散布名称包括密钥定位符的兴趣，从而判定存在信任链。
[0020]在这些实施例的一些变化中，在客户端装置判定所述受信任密钥未向内容对象的密钥签署当前信任链开始处的当前中间密钥时，客户端装置能够通过迭代地散布针对用于认证当前信任链开始处的当前中间密钥的另一中间密钥的兴趣，向所述受信任密钥扩展所述信任链。
【附图说明】
[0021]图1A示出了根据实施例便于为内容对象解析密钥的示范性计算环境。
[0022]图1B示出了根据实施例的示范性KRS记录。
[0023]图2示出了根据实施例查询密钥解析服务的示范性客户端装置。
[0024]图3给出了流程图，示出了根据实施例，由本地KRS服务处理密钥解析查询的方法。
[0025]图4给出了流程图，示出了根据实施例从官方KRS服务获得KRS记录的方法。
[0026]图5给出了流程图，示出了根据实施例由官方KRS服务迭代对兴趣做出响应的方法。
[0027]图6给出了流程图，示出了根据实施例由官方KRS服务递归对兴趣做出响应的方法。
[0028]图7给出了流程图，示出了根据实施例确认内容对象的方法。
[0029]图8A给出了流程图，示出了根据实施例，分析来自KRS系统的受信任密钥和内容对象的密钥之间信任链的方法。
[0030]图8B给出了流程图，示出了根据实施例，分析内容对象的密钥和来自KRS系统的受信任密钥之间信任链的方法。
[0031]图9示出了根据实施例便于为内容对象解析密钥的示范性设备。
[0032]图10示出了根据实施例便于为内容对象解析密钥的示范性计算机系统。
[0033]在附图中，相似的附图标记表示相同的附图要素。
【具体实施方式】
[0034]以下描述是为了使本领域的技术人员能够实现和使用所述实施例而给出的，并且在特定应用及其要求的上下文中提供。对所公开实施例的各种修改对于本领域的技术人员而言将容易显而易见，可以将本文中定义的一般原理应用于其他实施例和应用而不脱离本公开的精神和范围。因此，本发明并不限于所示出的实施例，而是要符合与本文所公开的原理和特征一致的最宽范围。
[0035]本发明的实施例提供了一种密钥解析服务(KRS)，解决了为客户端装置提供可用于验证给定数据对象的安全信息的问题。在组织成各种KRS “区域”的众多计算装置(例如服务器)间部署和执行这种KRS服务，使得KRS服务能够针对每个区域存在。每个KRS服务都能够存储针对许多CCN名称的安全信息，并能够使用下一跳表格将内容名称映射到另一个可以为内容名称存储安全信息的KRS服务。
[0036]例如，围绕用户对内容自身感兴趣而非对数据来自哪里感兴趣这一概念来设计内容中心网络(CCN)。这样允许客户端从任何来源获得内容，所述来源例如是发布方、附近的高速缓冲存储器或先前请求过特定内容对象的其他用户。因为这种架构特性，CCN中的安全性被设计成保证内容对象自身的安全，而不是保证传输内容对象的端到端通道的安全。
[0037]在一些实施例中，客户端能够散布兴趣，所述兴趣向KRS服务查询与内容对象名称或名称前缀相关联的安全信息，并能够使用这种安全信息验证内容对象。可以利用自证明名称保证内容对象的安全，其中内容对象的名称绑定到其安全信息。还可以通过在内容对象