互联网码号资源公钥基础设施(RPKI)研究综述

由于缺乏内建安全认证机制,边界网关协议(Border Gateway Protocol,BGP)容易遭受前缀劫持、路径伪造和路由泄露等异常路由攻击.互联网码号资源公钥基础设施(Resource Public Key Infrastructure,RPKI)正是针对BGP协议这一缺陷而提出的安全解决方案,其技术框架的标准...     

一种改进的BGP路由源认证机制

资源公钥基础设施(Resource Public Key Infrastructure,RPKI)是当前用于保护互联网码号资源分配真实性的技术.作为一种支撑域间路由安全的体系,它解决了边界网关协议(Border Gateway Protocol,BGP)缺乏路由源认证的问题.然而当前RPKI体系中的依赖方(Relying Party,RP)与路由器数据同步机制可能会导致路由源授权(Route Originate Authorization,ROA)信息缺乏真实性和有效性,并且不断查询缓存列表会带给路由器很大的性能负载.据此,本文提出一种改进的BGP路由源认证方案,发送端路由器实时申请存储在RP中的ROA证书,将其附加到BGP update报文中进行传输,以待对等端路由器申请证书公钥对证书进行验证并完成路由源认证功能.该方案将原来周期性更新路由器缓存列表机制改为路由器实时申请认证机制,有效解决了RP与路由器数据同步可能导致的ROA存在错误的问题,降低路由器查询缓存列表造成的路由器运行负载.此外,本文通过Quagga仿真实验表明该方案具有可行性,并对该方案的适用情形进行了具体分析.     

互联网自治域商业关系推测算法

随着互联网进入商业化发展阶段,不同管理机构的自治域通过商业合作关系来共同路由互联网中的流量.从工程上来看,获取全面准确的自治域商业关系可以指导有效的流量工程管理和资源部署从而均衡网络负载,提高服务可靠性,减少网络运营成本;从理论上来看,获取全面准确的自治域关系可以分析互联网的演进模型,指导设计新的路由协议和互联网架构.虽然互联网路由注册中心会记录自治域之间的商业关系,但是由于商业敏感以及注册中心缺乏维护更新,公开的自治域商业关系并不全面准确,因而通过推测算法获得更加全面准确的自治域商业关系成为了学术界与产业界关注的热点.文中系统地综述了现有的互联网自治域商业关系推测算法及其存在的问题,并对该领域有待进一步研究的问题和可能的解决方案给出了一些建议.     

区块链技术在域间路由安全领域的应用研究

互联网域间路由系统的安全问题一直备受关注.实现全网范围的互联网资源管理认证和可信跨域协作至关重要.区块链技术以其去中心化、防篡改、可追溯等天然属性,可作为域间网络资源认证与信任建立的基础.首先分析域间路由系统安全脆弱性及其影响,以及传统域间路由安全机制面临的部署困难、管理复杂、信任中心化等困境;然后,在简要介绍区块链技术基本理论的基础上指出区块链技术运用于域间路由系统安全的技术思路,并详述区块链技术应用于域间路由认证、域间智能管理和域间DDoS防御等方面的最新进展;最后,分析区块链应用于域间路由安全领域的优势,从性能与规模、兼容性与增量部署以及区块链自身安全问题这3个方面分析其问题与挑战,并对下一步研究进行展望.     

域间路由策略的协同管理问题

互联网由多个自治域互联组成,自治域之间按照各自的域间路由策略交换路由信息和转发流量。由于管理自治域的ISP各自为政,独立配置和管理自己的路由策略,缺少协同机制,容易引起路由震荡、热土豆路由、异常路由等问题。本文提倡采用协同的方式管理域间路由策略,通过列举一些典型的域间路由策略问题,提出一套域间路由策略的多方协同控制与管理体系,并重点讨论了协同管理的基础性问题--安全比较协议。该协议可以被应用在互联网域间路由策略的管理中,对于分布式故障检测、分布式网络性能能测量等相关应用,也具有较好的参考价值。     

域间多路径路由协议

边界网关协议(border gateway protocol,简称BGP)是当前互联网的核心协议,但是由于BGP是一种单路径路由协议,所以仍存在可靠性差、无法有效使用次优路径以及负载均衡支持较弱等问题.域间多路径路由可以通过发挥底层网络的AS级路径多样性,提高域间路由的可靠性、报文分组转发的总体性能和整个网络资源的利用率.因此,域间多路径路由是解决上述BGP问题的一种有效手段,符合互联网应用不断深入、促进路由技术发展的需求.主要综述域间多路径协议,并将其分为3类:单径通告多路转发协议、多径通告多路转发协议和新型域间多路径路由体系结构提出路径多样性、控制平面和数据平面开销、无环路特性等8项主要路由系统性能指标,并比较、分析了域间多路径路由协议.最后,指出域间多路径路由协议面临的主要挑战和未来的研究方向.     

工信部规范电信网码号资源使用行为提出三方面8项要求

导读为规范码号使用行为,有效治理擅自启用开通码号、改变码号结构和位长、改变码号用途和范围、转让、出租码号资源等违规行为,工业和信息化部近曰印发《关于规范电信网码号资源使用行为的通知》,提出规范码号使用行为、规范码号接入行为、加强码号事中事后监管等三方面8项要求。     

基于有序哈希树的RPKI资料库数据同步方法

RPKI(Resource Public Key Infrastructure,互联网码号资源公钥证书体系)中的签名对象由RP(Relying Party,依赖方)端同步下载后处理成IP地址块与AS(Autonomous System,自治域)号的真实授权关系,用于指导BGP路由.当前的RP使用软件rsync(Remote Sync)来同步,而rsync的同步算法并未考虑RPKI中文件(目录)的特点,导致同步效率并不理想.通过分析并结合RPKI中文件(目录)的特点,设计并实现了一种基于有序哈希树的RPKI资料库同步工具htsync.实验结果表明,与rsync相比较,htsync在同步时的数据传输量较少,同步时间较短.在设计的3种实验场景下,同步时间平均加速比分别为38.70%、30.13%和3.63%,有效地减少了同步时的时间和资源的消耗.     

下一代互联网域间路由安全：威胁与对策

基于BGP的域间路由系统是下一代互联网的关键基础设施.本文系统地分析了下一代互联网域间路由系统的脆弱性,建立了下一代互联网域间路由的攻击模型对各种攻击目标和攻击方式进行描述,并从多个层次对BGP-4和BGP4＋的安全能力进行分析与比较.此外,我们给出了路由攻击检测系统方案,该方法可有效实现域间路由系统的安全控制     

互联网域间路由系统安全态势评估

基于边界网关协议BGP的互联网域间路由系统缺乏必要的安全机制,面临严重的安全威胁.尽管人们对BGP路由系统的安全问题进行了详尽研究,但是很少量化该系统的安全态势,并且网络管理员也确实需要有用的安全态势信息来感知自治系统(AS)的路由安全状况.为了解决这个问题,分析了互联网域间路由系统的层次特性,提出了一个基于BGP异常路由的安全评估模型.该方法的基本思想是基于BGP路由系统的层次特性构造路由状态树,准确地刻画BGP路由系统中各路由实体之间的层次关系、存储和表达每个实体的路由安全状态;并根据所检测的异常路由计算每个实体的路由安全状态.实验测试表明,该模型能同时评估BGP路由器、自治系统和互联网域间路由系统的安全威胁态势,可为网络管理员提供直观的安全态势曲线.     

RPKI中CA资源分配风险及防护技术

边界网关协议在安全方面存在严重的缺陷,容易导致路由劫持这一互联网安全威胁. 为此,国际互联网工程任务组提出了资源公钥基础设施（Resource Public Key Infrastructure,RPKI）以防止路由劫持的发生. 然而随着RPKI技术的发展及其在全球范围内的部署,与RPKI中认证权威相关的安全问题逐渐突显,并受到广泛关注. 对RPKI中认证权威的资源分配过程进行研究分析,通过实验测试,验证了认证权威在资源分配的过程中资源重复分配和未获授权资源分配两种潜在的安全风险,并分析了两种风险对资源持有者可能造成的不良影响. 此外,针对这两种安全风险,提出并实现了一种用于保证RPKI中认证权威资源分配安全性和准确性的“事前控制”机制,该机制可以有效地防止资源重复分配和未获授权资源分配两种操作风险的发生,减少了由于认证权威的错误操作所导致的故障恢复等待时间. 最后,通过进一步的实验测试,验证、分析了这种“事前控制”机制的有效性和可行性.     

Concepts for Resource Reservation in Advance

Resource management offers Quality-of-Service reliability for time-critical continuous-media applications. Currently, existing resource management systems in the Internet and ATM domain only provide means to reserve resources starting with the reservation attempt and lasting for an unspecified duration. However, for several applications such as video conferencing, the ability to reserve the required resources in advance is of great advantage. This paper outlines a new model for resource reservation in advance. We identify and discuss issues to be resolved for allowing resource reservation in advance. We show how the resource reservation in advance scheme can be embedded in a general architecture and describe the design and implementation of a resource management system providing reservation in advance functionality.     

资源公钥基础设施数据同步的改进方法研究

资源公钥基础设施(RPKI)依赖方需定期从资料库系统同步数据进行信息验证.为了完成数据同步,当前主流的方式是采用Rsync和RRDP两种技术,但各自存在着相关问题.针对上述问题,通过分析研究依赖方从资料库同步数据的方式,建立了数学模型,并根据两种技术各自面临的相关问题,提出了一种改进的RPKI数据同步方法,分析了传统数...     

基于LTE-V2X的车联网资源分配算法

在车联网中的LTE-V2X系统中,资源分配包括集中式和分布式2种方式,针对分布式方式下SPS资源分配算法存在的半双工错误、隐藏终端错误和资源块冲突等问题,提出一种高速公路场景中基于行车方向的改进SPS算法.根据高速公路行车方向的特点,将资源池划分为2个子资源池,以减少相反方向车辆用户之间的潜在干扰.使每个资源块携带位置...     

基于事实所有权的RPKI缓存更新冲突检测机制

随着RPKI覆盖的域间网络的范围不断扩大,RPKI在实际部署中的数据同步一致性的问题,运维失误和权威机构权力滥用的风险已成为影响RPKI全面部署的主要障碍.本文提出了一种基于事实所有权的RPKI缓存更新冲突检测机制.该机制利用反向RTR协议与RPKI数据层级分发架构进行事实路由起源信息的采集与同步,并通过比较事实路由起...     

基于资源状态和角色访问控制的网格授权方法

提出了一种基于资源状态和角色访问控制的授权方案,该方案利用授权服务器信息扩展网格信息服务,将资源站点本地角色作为访问目标资源,加入到授权服务器策略库中,支持对虚拟组织(VO)外用户的授权,并实现了基于资源当前负载状态的细粒度授权。实验表明,在大规模VO中,该方案能够优化授权速度,缓解授权服务器访问的瓶颈问题。     

LMOD：一种基于本体描述的电子学习资源库模型*

随着电子学习系统应用的深入,资源库已经成为影响电子学习系统可用性的一个重要因素。针对现有资源库在资源检索查全率、查准率上存在的不足,将语义特征引入到电子学习资源库模型的构建之中,提出了一种基于本体描述的电子学习资源库模型LMOD。LMOD通过构建电子学习资源库本体并生成相应的语义元数据规范地描述资源,将资源以机器可以理解的方式组织起来;并利用语义学视图规范用户查询语句。在此基础上实现基于语义的资源查询,以有效地解决搜索中含糊解释与同义识别的问题。该模型能够有效克服现有资源库建设方案的缺点,提升资源库的使用效率与可用性。     

面向信息资源聚合的物联网智能信息中心框架

物联网技术以主动感知、智能分析和反馈控制为基本要素,实现对"物体"的识别、监控和管理,在诸多领域取得显著的应用成效,同时也暴露出应用建设分散、缺乏体系、重复建设现象严重等问题。从回顾物联网的发展历史出发,对物联网技术架构和相关工作进行分析,提出面向信息资源聚合的物联网智能信息中心框架,通过对多源、分布、异构资源的汇聚、整合、分析与再加工,为实现资源共享、提高资源利用率、解决重复建设问题提供基础性支撑,并重点讨论了传感设备的标准化封装与接入、信息资源的一体化管理等关键技术。最后,通过在农业物联网中的应用示例分析了该框架的效果。     

虚拟计算环境中的覆盖网技术

互联网资源的成长、自治和多样等特性给资源的有效聚合带来了巨大挑战.通过覆盖网动态组织互联网资源并支持资源的高效搜索,是虚拟计算环境中资源按需聚合的重要途径之一.文中概述了虚拟计算环境中覆盖网技术的研究进展.针对互联网资源的成长性和自治性等特点,阐述了基于Kautz图的高效覆盖网拓扑构造方法,进而给出了适用于任意正则图的通用覆盖网拓扑构造方法;针对互联网资源的多样性等特点,提出了支持分组的覆盖网拓扑构造方法;在此基础上,阐述了基于覆盖网的高效区间搜索技术,并对覆盖网拓扑的优化方法及其它复杂搜索技术进行探讨.     

元数据标准化在教育资源库共享中的应用

目前我国各院校的教育资源库的建设缺乏统一规划,存在重复建设、数量庞杂、形式不规范等问题,使得网络远程教育系统中资源信息不能有效共享传播。为提高网络教育资源的利用率,共享不同结构的资源库的数据,设计一个教育资源元数据管理平台模型,并提出了基于XML的教育资源库元数据标准化的方案,研究了基于模板的XML数据转换方法,通过指令的执行,并应用教育资源元数据标准,将其他格式的数据通过模板转化成XML文档,从而实现不同教育资源库之间数据的互换和共享。