专利名称：一种实现网络可信服务的方法
技术领域：
本发明属于信息安全技术领域，更为具体地讲，涉及一种实现网络可信服务的方 法。
背景技术：
随着计算机网络技术的快速发展，信息共享给人们的工作和生活带来了新的尝试 和便利，也带来了一些问题。如网络安全形势逐年加剧、网络病毒和木马日益猖獗、非法网 络信息提供者泛滥、网络安全满意度逐年下降。截止2010年3月发布的《2009年中国网民 网络信息安全状况调查报告》超过九成网民对网络安全服务不满意。恶意的网络信息提供 者、网络病毒不仅带来了额外的安全开销，而且对网络的和谐发展也带来了不良影响。因此，对网络信息内容的来源、完整性进行认证，提供一种实现网络可信服务的方 法，保证整个互联网网络的和谐发展，具有重要的实用价值。目前已有很多关于网络信息内容的来源认证、完整性认证的解决方案。1、对称加密技术，也称传统加密，是公钥密码产生前唯一的加密类型，迄今为止， 它仍是最广泛的加密类型。通过发送和接收方共享的密钥，发送方加密明文，生成密文，并 在网络中传输，接收方获取密文，并解密。通过加密传输网络信息内容的来源认证信息、完 整性认证信息、实现对网络信息内容的来源和完整性认证。当今最广泛的加密算法如DES。2、公钥密码技术，该技术依赖于一个加密密钥和一个与之不相关的不同的解密 密钥。两个密钥中的任何一个都可用来加密，另一个用来解密。具体应用如基于PKI/ CA (Public Key Infrastructure，公开密钥基础设施；Certif icateAuthority，认证中心) 的网络信息内容来源认证和完整性认证。PKI/CA是在公钥密码理论和技术基础上发展起来 的一种综合安全平台，能够为所有网络应用透明地提供采用加密和数字签名等密码服务所 必须的密钥和证书管理，从而达到保证网上传递网络信息内容的安全，从而使得人们在这 个无法直接面对的环境里，能够确认彼此的身份和所交换的信息，实现网络信息内容的来 源认证、完整性认证。3、单向散列(hash)函数，散列函数的输入为可变大小的消息M，输出是固定大小 的散列码H(M)。散列码也称为消息摘要，或散列值。散列码是所有消息位的函数，它具有保 证消息完整性的能力，即改变消息的任何一位或多位，都会导致散列码的改变。通过传输网 络信息内容的散列值、实现网络信息内容的完整性认证。目前的散列函数如MD5，SHA-1。通过对上面几种主流提供网络可信服务的方法分析发现目前国内的网络可信服 务技术都将重点放在了现有的Internet架构下，如对称加密中的共享密钥、公钥密码中的 公钥私钥、完整性认证的散列值等安全信息文档均由双向互动、开放的Internet传输。而 对这些提供网络可信服务的安全信息文档的可信传输，并没有很好的安全保证。这些共 享密钥、公钥私钥、散列值在没有被非法者拥有和篡改时，具有很好的认证效果。但是现有 Internet的开放性特点，任何人都可以自由连接，而且没有时间和空间的限制，没有地理上 的距离概念，任何人随时随地可加入Internet。一旦这些共享密钥、公钥私钥、散列值被非
3法者破译和篡改，对网络的可信服务将带来巨大的危害。如何提供一种实现网络可信服务的方法，对网络信息内容的来源和完整性认证、 并且认证的安全信息文档传输是绝对安全的，最终实现网络的可信服务。成为一个亟待解 决的问题。
发明内容
本发明的目的在于克服现有技术的不足，提出一种实现网络可信服务方法，能保 证认证的安全信息文档传输绝对安全。为实现上述发明目的，本发明实现网络可信服务方法，其特征在于，包括以下步 骤(1)、在现有双向互动的Internet网络基础上，增添一个新的数据广播信道；数据 广播信道可以是物理广播信道，如三网融合中的数字电视广播信道；也可以是逻辑数据 广播信道，如在Internet中利用特定技术虚拟实现的一个单向数据广播信道。(2)、网络中的网络信息提供者(Internet Information Provider,即IIP)产生网 络信息内容(Internet Information Content，即IIC)对应的安全信息文档。网络信息提供者例如搜狐、网易等类似向用户提供网络信息内容的门户网站。网络信息内容例如一篇新闻稿、一张图片、一段视频等具体的数据。安全信息文档能够对网络信息内容的安全性进行认证的数据文档，安全信息文 档包括网络信息内容的来源认证信息、完整性认证信息。(3)、网络信息提供者根据网络信息内容的安全信息文档向统一安全证书授权 中心(Uniform Security certificate Authority，即 USCA)申请唯一的统一安全证书 (Uniform Security certificate,艮口 USC)。统一安全证书授权中心是类似于现实生活中的公安局，公安局对每一个自然人 从出生之日起就有一份基本个人信息档案。统一安全证书授权中心依据安全信息文档，对 每一个进入网络的网络信息内容颁发一个统一安全证书。统一安全证书是统一安全证书授权中心颁发的数字证书，统一安全证书包含有 网络信息内容的来源认证信息、完整性认证信息。同一个网络信息内容有且只有一个统一 安全证书与之对应。网络信息内容和统一安全证书之间通过唯一的序列号(Identity，即 ID)相联系。每一个统一安全证书都有一个序列号，网络信息内容中也会嵌入对应的序列 号。通过提取统一安全证书和网络信息内容对应的序列号实现两者联系。(4)、统一安全证书授权中心通过专用信道将统一安全证书发送给数据广播中心 (Data Broadcasting Center，即DBC)。数据广播中心是数据广播信道的唯一数据接入点， 例如，有线数字电视广播信道中的高清数字电视信号的数据接入中心。(5)、在数据广播中心处，统一安全证书通过数据广播中心依次广播推送给用户 端，并按一定时序进行轮播(重复广播)。数据广播信道相对封闭，途中不能任意添加和篡 改统一安全证书，统一安全证书传输安全。(6)、用户端通过数据广播信道接收统一安全证书，实时的检查更新用户端的统一 安全证书数据库。通过提前存储统一安全证书，解决统一安全证书依次广播和用户对统一 安全证书需求突发、无序的矛盾。
(7)、用户从Internet上获取某一网络信息内容，通过提取该网络信息内容上面 的序列号ID，在本地的统一安全证书数据库中查找对应的统一安全证书，然后基于统一安 全证书对网络信息内容进行来源认证、完整性认证，提供可信的网络服务。本发明从结构上可分为三部分，服务提供部分、安全传输部分、用户部分。服务提供部分网络信息提供者产生网络信息内容对应的安全信息文档，并发送 给统一安全证书授权中心申请统一安全证书，然后统一安全证书授权中心把颁发的统一安 全证书通过专用信道传输给数据广播中心准备数据广播发送。传输部分数据广播中心通过数据广播信道把统一安全证书安全地广播给用户。 目前的数据广播信道有多个，例如有线数字电视广播信道，卫星数字广播信道。用户部分用户通过数据广播信道接收统一安全证书，实现对网络信息内容的来 源认证、完整性认证。数据广播信道的接收装置例如有线数字电视广播信道的数字机顶 盒、卫星数字广播信道的卫星接收器等。本发明中，统一安全证书并不通过现有Internet网络传输，避免了 Internet网络 上的一切不安全因素；其次，统一安全证书通过数据广播信道传输，由于数据广播信道只能 通过数据广播中心接入数据，其来源是可控的，途中不能插入和篡改数据，数据广播信道传 输的安全性保证了统一安全证书的绝对安全。由此也保证了网络的可信服务。
图1是本发明实现网络可信服务的方法一种具体实施方式
的整体流程图；图2是图1所示的网数据广播信道的Internet结构示意图；图3是图1所示的安全认证信息文档的生成流程图；图4为图1所示的基于USC的来源认证、完整性认证图。
具体实施例方式下面结合附图对本发明的具体实施方式
进行描述，以便本领域的技术人员更好地 理解本发明。需要特别提醒注意的是，在以下的描述中，当已知功能和设计的详细描述也许 会淡化本发明的主要内容时，这些描述在这里将被忽略。实施例图1是本发明实现网络可信服务的一种具体实施方式
的整体流程图。在本实施例中，如图1所示，本发明的实现网络可信服务的方法包括以下步骤(1)、在现有双向互动的Internet网络基础上，增添一个新的数据广播信道，形成 一个具有数据广播信道的Internet。该步骤为图1中的步骤ST1，目的是提供一个额外的 统一安全证书(USC)安全传输信道。(2)、网络中的网络信息提供者(IIP)产生网络信息内容(IIC)对应的安全信息文 档包括来源认证信息、完整性认证信息。该步骤为图1中的步骤ST2，目的是得到能够对 网络信息内容的安全性进行认证的安全信息文档。(3)、网络信息提供者根据网络信息内容的安全信息文档向统一安全证书授权中 心(USCA)申请唯一的统一安全证书。任何一个网络信息内容有且只有一个统一安全证书。 该步骤为图1中的步骤ST3，目的是在安全信息文档的基础上，为网络中的网络信息内容颁
5发一个第三方安全机构的安全证书，即统一安全证书授权中心授权的能认证其安全性的统
一安全证书。(4)、统一安全证书通过专用信道发送给数据广播中心(DBC)，数据广播中心只广 播经过统一安全证书授权中心授权的统一安全证书。该步骤为图1中的步骤ST4，目的是在 数据广播信道的源端进行有效的接入控制，保证进入广播信道的统一安全证书是经过统一 安全证书授权中心授权、安全有效的。(5)、统一安全证书通过数据广播中心依次广播推送给用户，并按一定时序进行轮 播(重复广播)。统一安全证书文件很小，在本实施例中，不足256Byte，以1Mbyte每秒广 播带宽计算，每小时就可以推送约4*1024*3600 = 14745600个，超过1400万个统一安全证 书。每12小时轮播一次，可以推送约超过1亿个USC，能够满足绝大多数用户的认证需求。 而且数据广播信道相对封闭，传输过程中不能添加和篡改数据，具有很高的安全性。该步骤 为图1中的ST5，目的是通过数据广播信道传输统一安全证书给用户，避免了统一安全证书 由Internet传输的一切不安全因素。(6)、用户端通过数据广播信道接收统一安全证书，实时的更新用户端的统一安全 证书数据库，解决统一安全证书依次广播和用户对use需求突发、无序的矛盾。统一安全证 书不足256Byte，目前320GB存储器(价格在300元左右)可以存储超过10亿个USC。该 步骤为图1中的ST6，目的是提前主动存储统一安全证书，建立用户端的统一安全证书数据库。(7)、基于统一安全证书对通过internet网获取的网络信息内容进行来源认证、 完整性认证，实现可信的网络服务。当用户获取Internet上的某一网络信息内容，通过提 取网络信息内容上面的序列号ID(Identity，即ID)，在本地统一安全证书数据库中查找对 应的统一安全证书。然后基于统一安全证书对网络信息内容进行来源认证、完整性认证提 供可信的网络服务。该步骤为图1中的ST7，经过该步骤后用户能够对络信息内容的来源进 行认证，完整性进行认证、实现可信的网络服务。图2是图1所示的数据广播信道的Internet结构示意图。在双向互动的互联网基础上，添加了一个数据广播信道。在本实施例中，可信服务 流程包括以下主要步骤步骤ST101 网络中有大量的网络信息提供者(IIP)，网络信息提供者通过双向互 联网信道为用户提供网络信息内容，同时网络信息提供者产生网络信息内容(IIC)的安全 信息文档，发送给统一安全证书授权中心(USCA)申请统一安全证书(USC)。该步骤为图2 中的ST101，目的是让网络信息提供者在给用户提供网络信息内容的同时，把网络信息内容 的安全信息文档发送给统一安全证书授权中心。步骤ST102 统一安全证书授权中心根据网络信息提供者发送的安全信息文档生 成统一安全证书，并通过专用信道发送给数据广播中心(DBC)。该步骤为图2中的ST102， 目的是由统一安全证书授权中心颁发网络信息内容对应的统一安全证书。步骤ST103 在数据广播中心处，统一安全证书通过数据广播中心依次广播推送 给用户，并按一定时序进行轮播(重复广播)。该步骤为图2中的ST103，目的是根据数据 广播信道只能由数据广播中心接入数据，能进行有效的接入控制，保证进入广播信道的统 一安全证书是经过统一安全证书授权中心授权、安全有效的。
步骤ST104 用户端通过数据广播信道接收统一安全证书，实时的检查更新用户 端的USC数据库。数据广播信道传输统一安全证书能够避免Internet传输统一安全证书 的一切不安全因素。该步骤为图2中的ST104，目的是，提前存储数据广播信道传输的统一 安全证书，建立本地统一安全证书数据库。步骤ST105 用户通过Internet获取网络信息内容，并通过序列号在本地统一安 全证书数据库中查找网络信息内容对应的统一安全证书。该步骤为图2中的ST105，目的 是，通过网络信息内容的序列号，在本地统一安全证书数据库中获取网络信息内容对应的 统一安全证书。步骤ST106 基于统一安全证书对通过internet获得的网络信息内容进行安全认 证，实现可信的网络服务。该步骤为图2中的ST106，经过该步骤后用户能够对网络信息内 容的来源进行认证，完整性进行认证、实现可信的网络服务。图3是图1所示的安全认证信息文档的生成流程图。在本实施例中，如图2所示，图1所示的安全认证信息文档包括以下步骤步骤ST201 生成网络信息内容(IIC)的来源信息。在本实施例中，来源信息包括 网络信息内容的作者、网络信息内容发布权的所有者。例如某网络信息提供者(IIP) “新 浪”拥有鲁迅小说《呐喊》的网络发布版权，那么针对《呐喊》这个具体的网络信息内容，其 作者为鲁迅；发布版权的所有者为“新浪”。本步骤为ST201，目的就是生成网络信息内容 的来源认证信息，包括网络信息内容的作者和发布版权所有者。步骤ST202 生成完整认证码。由Hash函数实现，目前国际上已提出了许多hash 函数的设计方案，这些hash函数的构造方法主要分为三类(1)基于整数分解和离散对数 问题的函数设计；(2)基于某些对称密钥体制如DES等的函数设计；(3)不基于任何假设和 密钥体系直接构造函数。在本实施例中，采用第三类目前流行的MD5进行完整认证码生成。 MD5以512位分组来处理输入的信息，且每一分组又被划分为32位子分组，经过一系列的处 理后，算法的输出由四个32位分组组成，将这四个32位分组级联后将生成一个128位的散 列值，即完整认证码。本步骤为ST202，目的就是生成网络信息内容完整性认证信息。步骤ST203 安全信息文档。是ST201、ST202产生文档的合集。包括网络信息内 容的来源认证信息，完整性认证信息。本步骤为ST203，目的是生成包含网络信息内容的来 源信息、完整性认证信息的安全信息文档，便于向统一安全证书授权中心(USCA)申请统一 安全证书。步骤ST3为网络信息提供者(IIP)根据网络信息内容的安全信息文档向统一安全 证书授权中心(USCA)申请的统一安全证书。统一安全证书由统一安全证书授权中心颁发、 是能够对IIC来源和完整性进行认证的统一安全证书。表1为统一安全证书(USC)结构和
编码的具体说明。
权利要求
一种实现网络可信服务方法，其特征在于，包括以下步骤(1)、在现有双向互动的Internet网络基础上，增添一个新的数据广播信道；(2)、网络中的网络信息提供者产生网络信息内容对应的安全信息文档；安全信息文档为能够对网络信息内容的安全性进行认证的数据文档，安全信息文档包括网络信息内容的来源认证信息、完整性认证信息；(3)、网络信息提供者根据网络信息内容的安全信息文档向统一安全证书授权中心申请唯一的统一安全证书；统一安全证书授权中心依据安全信息文档，对每一个进入网络的网络信息内容颁发一个统一安全证书。统一安全证书是统一安全证书授权中心颁发的数字证书，统一安全证书包含有网络信息内容的来源认证信息、完整性认证信息，同一个网络信息内容有且只有一个统一安全证书与之对应，网络信息内容和统一安全证书之间通过唯一的序列号相联系，每一个统一安全证书都有一个序列号，网络信息内容中也会嵌入对应的序列号，通过提取统一安全证书和网络信息内容对应的序列号实现两者联系；(4)、统一安全证书授权中心通过专用信道将统一安全证书发送给数据广播中心，数据广播中心是数据广播信道的唯一数据接入点；(5)、在数据广播中心处，统一安全证书通过数据广播中心依次广播推送给用户端，并按一定时序进行轮播；(6)、用户端通过数据广播信道接收统一安全证书，实时的检查更新用户端的统一安全证书数据库，通过提前存储统一安全证书，解决统一安全证书依次广播和用户对统一安全证书需求突发、无序的矛盾；(7)、用户从Internet上获取某一网络信息内容，通过提取该网络信息内容上面的序列号ID，在本地的统一安全证书数据库中查找对应的统一安全证书，然后基于统一安全证书对网络信息内容进行来源认证、完整性认证，提供可信的网络服务。
2.根据权利要求1所述的实现网络可信服务方法，其特征在于，所述的统一安全证书 按照U” U2,…队各分量进行证书结构组织，Us为统一安全证书的向量表示，Us = (U1, U2, Ui,…U9，9)，统一安全证书一共为160byte，各向量的具体编码设计如下U1为序列号序列号由24字节组成；U2为有效日期，通过统一安全证书有效期，用户端能及时删除过期统一安全证书；U3为网络信息内容的一级分类；U4为网络信息内容的一级分类下的二级分类；U5为网络信息内容的作者，用文本表示；U6为网络信息内容的发布版权所有者，用URL表示；U7为进行完整性认证的算法类型，采用MD5 ；U8密数值，一个随机的完整性修正值，目的是保证完整码的更加安全；U9完整认证码，采用MD5。
全文摘要
本发明公开了一种实现网络可信服务方法，包括三个部分服务提供部分、传输部分、用户部分。服务提供部分中，网络信息提供者产生网络信息内容对应的安全信息文档，并发送给统一安全证书授权中心申请统一安全证书，然后统一安全证书授权中心把颁发的统一安全证书通过专用信道传输给数据广播中心准备数据广播发送。传输部分中，数据广播中心通过数据广播信道把统一安全证书安全地广播给用户。用户部分中，用户通过数据广播信道接收统一安全证书，实现对网络信息内容的来源认证、完整性认证。本发明中，统一安全证书并不通过现有Internet网络传输，避免了Internet网络上的一切不安全因素，数据广播信道传输的安全性保证了统一安全证书的绝对安全。由此也保证了网络的可信服务。
文档编号H04L29/06GK101938487SQ20101028064
公开日2011年1月5日 申请日期2010年9月14日 优先权日2010年9月14日
发明者文斌, 邢玲, 马建国 申请人:西南科技大学