一种防网络追踪及实现匿名安全访问的方法及系统与流程

本发明涉及互联网数据安全技术领域，具体涉及一种防网络追踪及实现匿名安全访问的方法及系统。

背景技术：

近几年新型网络技术不断出现，窃听和追踪技术的发展，使得黑客对用户的追踪和信息获取的手段越来越多，因此，网络安全、隐私保护及反追踪便成为了研究热点，匿名理论是最有效的保护网络安全的理论之一，可以很好地保护用户的隐私和安全，它通过一定的方法将通信流中的通信关系加以隐藏，使攻击者无法获知通信双方的关系或通信一方的身份，防止窃听和流量分析。

现有的匿名技术主要用了公钥加密技术和重路由技术，mix网络接受一定数量的数据包后，对这些数据包进行编码转换并随机排序后，将报文成批输出，从而消除输入数据包与输出数据包之间的关联。在这套系统中，攻击者虽然知道发送者和接收者，但无法确定发送者发送的数据包和接收者接受的数据包之间的联系，也就无法推测发送者和接受者之间的通讯关系。

但是mix和基于代理的通信系统一样，具有中心性，mix系统是这种网络的中心，如果mix被攻击者控制，便无法实现匿名。针对这个问题，可以在其中设置不少于2个的mix节点，信息从发送者到接收者所经过的所有mix节点构成了发送者重路由，网络中第一个节点只知道发送者的信息，网络中的最后一个节点只知道最后接收者的信息，中间节点只知道相邻两个节点的信息，发送者和接收者无法被关联。

在多个mix节点实现匿名的网络中，根据节点之间合作方式的不同，又可以划分成：

1.mixnetwork：所有的mix都是互相独立，攻击者很难知道发送者的入口和传输路径，这种方式匿名性较好。

2.mixcascade：一串mix构成一条路径，路径固定不变，在这种情况下，攻击者知道路径的入口和出口以及路径上的节点。

洋葱路由是一种根据mix原理设计的基于传输层tcp的匿名通信系统，能够有效地保护网络用户的身份隐私，由洋葱路由客户端、目录服务器、洋葱路由器组成。洋葱路由客户端是运行在用户主机上的本地程序，称之为洋葱代理（onionproxy,op），负责为用户构建匿名路径并将数据封装成长度的数据单元（cell）进行传递；目录服务器主要存储洋葱路由的节点信息，包括节点描述符、公开密钥等；洋葱路由器（onionrouter，or）负责组成匿名电路对用户数据进行重路由，tor默认一条匿名路径由3个or组成，分别为入口节点（entrynode）、中间节点（middlenode）和出口节点（exitnode）。

为抵御流量分析攻击，tor将应用层数据封装成长度相等的数据单元（cell）进行传输，并且一些控制与管理命令也被填充成同样长度，以提高整个系统的安全性。tor的数据单元分控制单元（controlcell）和中继单元（relaycell）两种，长度均固定为512字节，分为头部与载荷两部分。其中，头部包含一个2字节的电路标识（circid）字段和一个1字节的命令（cmd）字段，头部在传输过程中不会被加密，因此中继的or节点都可以查看头部信息。由于不同通信双方的数据单元有可能在同一tls连接中进行传输，电路标识用于记录该数据单元所属的匿名电路（circuit），同一洋葱路由客户端与洋葱路由节点或洋葱路由节点与洋葱路由节点间的匿名电路标识各不相同，or节点利用电路标识建立路由表并据此对数据单元进行转发。根据命令字段可将数据单元分为控制单元和中继单元，其中控制单元负责传递管理信息，如匿名电路的创建与维护等，由接收到该数据单元的op或or节点进行处理；中继单元则负责传递端到端的通信数据，其载荷部分由建立匿名电路过程中协商的对称密钥层层加密，只有出口节点才能完全解密数据获得信息明文。对于中继单元，除标准的头部外，在载荷部分还有一个额外的头部，用于记录端到端数据的相关信息。整个载荷部分采用aes计数器模式（aesincountermode,aes-ctr）进行加解密，在出口节点处将明文数据传递给最终的接收者。

由于洋葱路由目录服务器的算法使得攻击者仍可以通过自身的庞大的网络资源在目录服务器中添加可控制嗅探的众多出口节点，窃取使用者隐私；攻击者亦可以通过对使用者所用系统和浏览器的漏洞进行攻击，直接获得使用者的身份信息。目录服务器暴露在公网环境下，当用户尝试获取路由节点列表的时候存在安全隐患。

因此，有必要提供一种新的防网络追踪及实现匿名安全访问的方法及系统。

技术实现要素：

为解决现有技术存在的不足，本发明提供了一种防网络追踪及实现匿名安全访问的方法，包括如下步骤：

步骤s1：创建自建路由目录服务器；

步骤s2：创建自建路由节点；

步骤s3：自建路由节点连接自建路由目录服务器并注册；

步骤s4：自建路由目录服务器连接互联网路由目录服务器，自建路由目录服务器与自建路由节点形成与互联网洋葱路由区域隔离的自建洋葱路由区域；

步骤s5：自建路由目录服务器为自建路由节点提供索引服务；

步骤s6：用户终端通过自建路由目录服务器获得自建路由节点以及互联网路由节点；

步骤s7：用户终端通过自建路由节点与互联网路由节点之间的通信匿名访问互联网资源。

其中，所述步骤s4中，自建洋葱路由区域与互联网洋葱路由区域的通信协议不同，所述的通信协议不同包括通信协议的封包不同以及加密方法不同。

其中，所述步骤s2中，所创建的自建路由节点与互联网路由节点的身份识别方法不同，所述的身份识别方法不同包括签名算法不同以及数据包结构不同。

其中，所述步骤s5中，所创建的自建路由目录服务器通过将自建路由节点及互联网路由节点分别索引并存储，为自建路由节点提供索引服务。

其中，所述步骤s5中，自建路由目录服务器索引互联网路由目录服务器时，通过如下步骤进行：

步骤s51：通过自建洋葱路由区域与互联网路由目录服务器所在网络进行网络通信；

步骤s52：镜像互联网路由目录服务器的内容。

其中，所述步骤s5中，自建路由目录服务器在对自建路由节点提供索引服务时，通过自建路由节点以及与自建路由目录服务器已经信任的互联网路由节点之间的通信，观察互联网路由节点，并对互联网路由节点进行筛选。

其中，所述步骤s5中，所观察的互联网路由节点信息包括其ip地址、稳定运行时间、签名、节点特性以及对通过目标转发的数据包是否进行修改。

其中，所述步骤s5中，自建路由目录服务器在对自建路由节点提供索引服务时，通过自建路由节点所在的国家和地区、稳定运行时间、节点特性以及出口节点所在国家和地区对自建路由节点进行筛选。

其中，所述步骤s1中，创建自建路由目录服务器的内容包括：

步骤s11：创建签名算法，以使自建路由目录服务器能够为自建路由节点提供索引服务；

步骤s12：修改目录投票算法，使得互联网路由目录服务器的客户端无法链接自建路由目录服务器，从而达到隔离私用的目的。

其中，所述步骤s2中，创建自建路由节点的内容包括：

步骤s21：修改自建路由节点内部服务器签名算法，使其与步骤s11中所创建的签名算法匹配；

步骤s22：修改自建路由节点跳转加密算法；

步骤s23：修改自建路由节点内部服务器的地址。

本发明另外提供了一种防网络追踪及实现匿名安全访问的系统，包括：

自建洋葱路由区域，与互联网洋葱路由区域均存在于公网环境下，但相互隔离；

其中，自建洋葱路由区域内包括自建路由目录服务器及多个自建路由节点；互联网洋葱路由区域内包括互联网洋葱路由目录服务器及多个互联网路由节点；

自建路由目录服务器能够通过自建洋葱路由区域与互联网洋葱路由区域之间的网络通信，镜像互联网洋葱路由区域的内容，从而为自建路由节点提供索引服务，使用户终端获取自建路由节点及互联网路由节点信息，并通过自建路由节点及互联网路由节点之间的通信，匿名访问网络资源。

其中，所述自建洋葱路由区域与互联网洋葱路由区域的通信协议不同，所述的通信协议不同包括通信协议的封包不同以及加密方法不同。

其中，所述自建路由节点与互联网路由节点的身份识别方法不同，所述的身份识别方法不同包括签名算法不同以及数据包结构不同。

其中，所述自建路由目录服务器在对自建路由节点提供索引服务时，对互联网路由节点进行筛选的方式为：通过自建路由节点和，与自建路由目录服务器已经信任的互联网路由节点之间的通信，观察互联网路由节点，从而实现互联网路由节点的筛选。

其中，所观察的互联网路由节点信息包括其ip地址、稳定运行时间、签名、节点特性以及对通过目标转发的数据包是否进行修改。

其中，所述自建路由目录服务器在对自建路由节点提供索引服务时，通过自建路由节点所在的国家和地区、稳定运行时间、节点特性以及出口节点所在国家和地区对自建路由节点进行筛选。

本发明提供的防网络追踪及实现匿名安全访问的方法及系统，通过创建与互联网洋葱路由区域隔离的自建洋葱路由区域，并通过实现自建路由目录服务器和自建路由节点的可控性，解决了洋葱路由网络出口节点蜜罐问题，可防止网络攻击者利用其已控的路由节点或目录服务器实施网络追踪，减少用户因终端操作系统与浏览器的安全而造成的隐私泄露问题，降低匿名访问的安全风险，提升用户反追踪能力。

附图说明

图1：本发明的防网络追踪及实现匿名安全访问的方法的实现流程图；

图2：基于本发明的方法所构建的防网络追踪及实现匿名安全访问的自建洋葱路由区域实现流程图；

图3：本发明的防网络追踪及实现匿名安全访问的方法一实施例的实现流程图。

附图标记说明

10自建洋葱路由区域

11自建路由目录服务器

12自建路由节点

20互联网洋葱路由区域

21互联网路由目录服务器

22互联网路由节点

30用户终端

40服务器。

具体实施方式

为了对本发明的技术方案及有益效果有更进一步的了解，下面结合附图详细说明本发明的技术方案及其产生的有益效果。

图1为基于本发明的防网络追踪及实现匿名安全访问的方法所构建的防网络追踪及实现匿名安全访问的系统的结构示意图，如图1所示，本发明所提供的防网络追踪及实现匿名安全访问的方法，实现方法如下。

步骤s1：创建自建路由目录服务器11，由于自建路由目录服务器11是为了为后述的自建路由节点提供索引服务，本发明在创建自建路由目录服务器11的过程中，通过创建签名算法实现此目的；同时，通过修改目录投票算法，使得互联网路由目录服务器21的客户端无法链接自建路由目录服务器11，从而达到隔离私用的目的。

步骤s2：创建自建路由节点12，同样的，为了实现自建路由目录服务器11的索引功能，本发明可通过修改自建路由节点12内部服务器签名算法，使其与自建路由目录服务器11的签名算法匹配，并且，在创建自建路由节点12的过程中，本发明同时修改其内部服务器的地址及节点跳转加密算法，以达到隔离私用的目的。

本发明中，所创建的自建路由节点12与互联网路由节点22的身份识别方法不同，所述的身份识别方法不同包括签名算法不同以及数据包结构不同。

步骤s3：自建路由节点12连接自建路由目录服务器11并注册。

步骤s4：自建路由目录服务器11连接互联网路由目录服务器21，至此，自建路由目录服务器11与自建路由节点12形成了与互联网洋葱路由区域20隔离的自建洋葱路由区域10；并且，自建洋葱路由区域10针对用户终端30，互联网洋葱路由区域20针对服务器40。自建洋葱路由区域10与互联网洋葱路由区域20的通信协议不同，所述的通信协议不同包括通信协议的封包不同以及加密方法不同。

步骤s5：自建路由目录服务器11为自建路由节点12提供索引服务，以使用户终端30后续可通过获取自建路由节点12实现匿名访问。

具体的，自建路由目录服务器11所提供的索引服务，通过将自建路由节点12及互联网路由节点12分别索引并存储实现，自建路由目录服务器11索引互联网路由目录服务器21时，通过如下步骤进行：

步骤s51：通过自建洋葱路由区域10与互联网路由目录服务器21所在网络进行网络通信；

步骤s52：镜像互联网路由目录服务器21的内容，从而完成索引。

步骤s6：用户终端通过自建路由目录服务器11获得自建路由节点12，进而获得互联网路由节点22。

步骤s7：用户终端通过自建路由节点12与互联网路由节点22之间的通信匿名访问互联网资源。

本发明中，自建路由目录服务器11在对自建路由节点12提供索引服务时，需要对自建路由节点12及互联网路由节点22进行筛选，对自建路由节点12进行筛选时，参考自建路由节点12所在的国家和地区、稳定运行时间、节点特性以及出口节点所在国家和地区等信息；对互联网路由节点22进行筛选时，通过自建路由节点12和，与自建路由目录服务器11已经信任的互联网路由节点22之间的通信，观察互联网路由节点22的节点信息以进行筛选，这些信息包括互联网路由节点22的ip地址、稳定运行时间、签名、节点特性以及对通过目标转发的数据包是否进行修改。

图2为基于本发明的方法所构建的防网络追踪及实现匿名安全访问的自建洋葱路由区域实现流程图，如图2所示，为了创建一个完整的能够实现隔离目的的自建洋葱路由区域，其实现过程包括如下步骤：

步骤100：通过自建路由目录服务器11，为客户端提供自建路由节点12以及互联网路由节点22索引服务，在创建自建目录服务器11时，内建目录服务器签名算法。

步骤101：修改目录投票算法，使得互联网洋葱路由区域20对应的客户端无法链接自建洋葱路由区域10内的服务器，达到隔离私用的目的。

步骤102：在自建路由节点12修改内部服务器签名算法，以匹配自建路由目录服务器11的签名算法。

步骤103：在自建路由节点12修改跳转加密算法。

步骤104：在自建路由节点12修改内部目录服务器地址。

步骤105：自建路由节点12连接自建路由目录服务器11进行注册，使自建路由目录服务器11与互联网路由目录服务器21隔离，互联网区域的洋葱路由用户无法使用自建路由目录服务器11。

步骤106：自建路由目录服务器11连接互联网路由目录服务器21。

步骤107：修改用户终端30，过滤js脚本执行等危险功能。

步骤108：在用户终端30中加入自建路由代理的内部socket通信，使得浏览器仅通过自建路由节点12访问互联网。

本发明中，所谓的用户终端可以为可信操作系统或安全浏览器。

图3为本发明的防网络追踪及实现匿名安全访问的方法一实施例的实现流程图，如图所示，利用本发明的防网络追踪及实现匿名安全访问的方法的一大致实现过程包括：

步骤200：在公网中部署自建路由目录服务器。

步骤201：在分散地点部署自建路由节点，每个自建路由节点使用不同的公网ip地址。

步骤202：用户终端通过自建路由目录服务器获得自建路由节点及互联网路由节点信息。

步骤203：用户终端通过自建路由节点与互联网路由节点进行通讯。

步骤204：用户终端通过自建路由节点匿名访问互联网资源。

本发明中，所谓的“洋葱代理（onionproxy,op）”，主要负责为用户构建匿名路径并将数据封装成长度的数据单元（cell）进行传递。

本发明中，所谓的“洋葱路由器（onionrouter，or）”，主要负责组成匿名电路对用户数据进行重路由。

本发明提供的防网络追踪及实现匿名安全访问的方法及系统，通过自建与互联网洋葱路由区域隔离的自建洋葱路由区域，并通过实现自建路由目录服务器和自建路由节点的可控性，解决了洋葱路由网络出口节点蜜罐问题，可防止网络攻击者利用其已控的路由节点或目录服务器实施网络追踪，减少用户因终端操作系统与浏览器的安全而造成的隐私泄露问题，降低匿名访问的安全风险，提升用户反追踪能力。

虽然本发明已利用上述较佳实施例进行说明，然其并非用以限定本发明的保护范围，任何本领域技术人员在不脱离本发明的精神和范围之内，相对上述实施例进行各种变动与修改仍属本发明所保护的范围，因此本发明的保护范围以权利要求书所界定的为准。