針對計算機和網絡安全應用在衰減環境中地理定位網絡節點的製作方法
2023-09-23 06:34:20 2
針對計算機和網絡安全應用在衰減環境中地理定位網絡節點的製作方法
【專利摘要】公開了針對計算機和網絡安全應用在衰減環境中驗證和/或地理定位網絡節點的系統和方法。該系統涉及起始網絡節點、目的地網絡節點和至少一個路由器網絡節點。起始網絡節點被配置為通過至少一個路由器網絡節點將數據包傳輸到目的地網絡節點。數據包包含安全籤名部分、路由數據部分和有效載荷數據部分。安全籤名部分包含至少一個網絡節點的列表，數據包從起始網絡節點通過該至少一個網絡節點傳送到目的地網絡節點。此外，安全籤名部分包含列表中的至少一個網絡節點的地理位置信息、標識符信息和計時信息。
【專利說明】針對計算機和網絡安全應用在衰減環境中地理定位網絡節點
【技術領域】
[0001]本發明涉及地理定位網絡節點。特別地，本發明涉及針對計算機和網絡安全應用在衰減環境中地理定位網絡節點。
【發明內容】
[0002]本發明涉及用於針對計算機和網絡安全應用在衰減環境中驗證及/或地理定位網絡節點的方法、系統和裝置。特別地，本發明教導涉及起始網絡節點和目的地網絡節點的系統。該系統進一步涉及至少一個路由器網絡節點。此外，該系統涉及通過至少一個路由器網絡節點彼此連接的起始網絡節點和目的地網絡節點。而且，該系統涉及被配置以通過至少一個路由器網絡節點將數據包傳輸到目的地網絡節點的起始網絡節點。另外，該系統涉及包含安全籤名部分、路由數據部分和有效載荷數據部分的數據包。
[0003]在一個實施例中，現有的基礎架構能夠採用所述方法，然而，考慮到網際網路工程任務組(IETF)網際網路協議(IP)網絡協議及其在路由器中的實現，該方法需要額外的工作。對現有的已部署的基礎架構來說，使用已啟用硬體的相互關聯的路由器網絡被用於管理控制平面，標誌該管理控制平面可以有效地允許對流量的具體級別將要執行的追蹤和跟蹤方法，同時允許正常的數據平面流量採用存在快速路徑轉發的標準。例如，可以將具有已知路由的具體控制平面網絡管理包作為相同的對等路由器(peer router)之間的數據平面IP網絡流量的特定級別而插入具有相同路由的控制平面網絡管理包中。這允許利用如合適的分析學的要素形成的方案，例如用於網絡屬性和決策支持引擎的事件關聯引擎，其可以被部署在控制平面上的現有和未來部署的基礎架構上，同時與IETF RFC完全兼容。包含數據包的所列要素現在將通過控制平面數據和數據平面流來表達，並且其可以被假定為遵循當前的處理和轉發機制。
[0004]在一個或更多實施例中，安全籤名部分包含數字籤名。在一些實施例中，安全籤名部分包含至少一個網絡節點的列表，通過該網絡節點，將數據包從起始網絡節點傳送到目的地網絡節點。在至少一個實施例中，安全籤名部分包含列表中的至少一個網絡節點的計時信息，其表明數據包何時被該(一個或多個)網絡節點接收和/或傳輸。在一些實施例中，安全籤名部分包含列表中的至少一個網絡節點的標識符信息。在一個或更多實施例中，標識符信息是生物計量信息和/或比特序列標識碼。
[0005]在至少一個實施例中，安全籤名部分包含列表中的至少一個網絡節點的地理定位信息。在一個或更多實施例中，通過網絡節點接收從至少一個發射源發射的合成信號來獲得地理定位信息。所述合成信號包含至少一個認證信號。通過比較網絡節點接收的合成信號的屬性和該網絡節點由於其位置而應當接收的合成信號的期望屬性，來驗證網絡節點位置。在一些實施例中，至少一個發射源是衛星、偽衛星和/或地面發射源。在至少一個實施例中，衛星是近地軌道(LEO)衛星、中地軌道(MEO)衛星或同步地球軌道(GEO)衛星。
[0006]在至少一個實施例中，可以使用安全網絡伺服器來周期性地驗證已啟用的參與路由器的位置，從而代替被附加到每個數據包的地理定位數據。具有已啟用設備的終端用戶可以通過周期性地與安全網絡伺服器進行校驗來驗證路由路徑，以確保路由器的位置在該路徑中。由於每個路由器可以具有其自己的密鑰，只要密鑰沒有受損，則該密鑰可以代替向每個數據包添加地理定位數據來使用或與其結合使用。
[0007]在一個或更多實施例中，所公開的系統採用銥LEO衛星星座，其中星座中的每個衛星都具有發射四十八(48)個點波束的天線陣型，該48個點波束具有不同的點波束圖案。在至少一個實施例中，至少一個認證信號可以從星座中的至少一個銥衛星發射。可以使用銥衛星的四十八(48)個點波束來將本地化的認證信號傳輸到位於或靠近地球表面的網絡節點。與這些認證信號相關聯的所廣播的消息脈衝串內容包含偽隨機噪聲(PRN)數據。由於給定的消息脈衝串可以在具體的時間出現在具體的衛星點波束內，因此可以使用包含PRN和獨特的波束參數(例如，時間、衛星標識符(ID)、時間偏置、軌道數據等)的消息脈衝串內容來認證網絡節點的位置。應當注意，當採用如上所描述的一個銥LEO衛星時，發射信號功率足夠強以允許該信號穿透到室內環境中。這允許對認證技術的許多室內應用使用所公開的系統。
[0008]在一個或更多實施例中，根據該測距信息確定地理位置信息，該測距信息由所述網絡節點傳輸到已驗證的位置處的另一網絡節點的信號和所述網絡節點從已驗證的位置處的所述網絡節點接收的信號獲得。在至少一個實施例中，所公開的系統利用網絡級的原理為每服務質量(QoS)流基礎上的網際網路IP流量測距。在至少一個實施例中，路由數據部分包含數據包的路由信息，其中路由信息包含關於數據包將被發送到的目的地網絡節點的信息。在一個或更多實施例中，有效載荷數據部分包括被從起始網絡節點傳輸到目的地網絡節點的數據。
[0009]在至少一個實施例中，用於針對計算機和網絡安全應用在衰減環境中驗證和/或地理定位網絡節點的方法涉及起始網絡節點通過至少一個路由器網絡節點將數據包傳輸到目的地網絡節點。起始網絡節點和目的地網絡節點通過至少一個路由器網絡節點彼此連接。數據包包括安全籤名部分、路由數據部分和有效載荷數據部分。
[0010]在一個或更多實施例中，用於計算機和網絡安全應用的網絡節點設備涉及接收器和處理器。接收器能夠從信號源接收信號。處理器能夠將關於所述信號的信息作為安全籤名附加到通過網絡節點設備被路由的數據包上。
[0011]在至少一個實施例中，用於計算機和網絡安全應用的認證系統涉及網絡節點設備和處理設備。網絡節點設備包含能夠從信號源接收信號的接收器和能夠將關於所述信號的信息作為安全籤名附加到通過網絡節點設備路由的數據包上的處理器。處理設備能夠比較通過網絡節點設備被路由的數據包的安全籤名和該網絡節點設備所接收的關於所述信號的已知信息，從而認證網絡節點設備。
[0012]在一個或更多實施例中，網絡節點設備的認證至少部分地包含確定該網絡節點設備是否物理地位於其預期的地理位置中。在至少一個實施例中，在數據被授權通過之前，認證網絡節點設備。在一些實施例中，處理設備是蜂窩電話、個人數字助理(PDA)、個人計算機、計算機節點、網際網路協議(IP)節點、伺服器、W1-Fi節點和/或繫繩/接觸式節點或自由/非接觸式節點。
[0013]此外，本發明涉及用於利用保護點波束來認證網絡節點的位置的方法、系統和裝置。特別地，本發明教導用於基於傳輸的認證系統的方法來驗證網絡節點的地理位置信息。在一個或更多實施例中，所公開的方法涉及從至少一個發射源發射認證信號和至少一個保護信號。該方法進一步涉及從至少一個接收源接收至少一個合成信號。至少一個合成信號包含認證信號和/或至少一個保護信號。另外，該方法進一步涉及通過評估至少一個網絡節點從至少一個接收源接收的至少一個合成信號，而通過至少一個認證器設備來認證該網絡節點。在至少一個實施例中，至少一個網絡節點被實體和/或用戶使用。
[0014]在一個或更多實施例中，從相同的發射源發射認證信號和至少一個保護信號。在至少一個實施例中，從不同的發射源發射認證信號和至少一個保護信號。在一些實施例中，在相同的頻率上發射認證信號和至少一個保護信號。在可替換的實施例中，在不同頻率上發射認證信號和至少一個保護信號。
[0015]在至少一個實施例中，通過至少一個保護信號傳輸的數據可以被用於合法的目的。在一個或更多實施例中，至少一個保護信號至少部分地包含認證信號。在各種實施例中，保護信號可以包含認證信號和/或數據，其可以是合法的或錯誤的。在一些實施例中，通過至少一個保護信號傳輸的數據包含本地化信息和/或區域性信息。
[0016]在一個或更多實施例中，通過保護信號傳輸的數據能夠被位於該信號的重疊區域內的網絡節點接收。在一些實施例中，數據通過至少兩個異相的二進位相移鍵控(BPSK)信號傳輸，其中異相的BPSK信號看起來是至少一個四進位相移鍵控(QPSK)信號。在至少一個實施例中，至少一個保護信號的比特流的調製的變化在逐比特基礎上修改比特流中比特的廣播功率。在一些實施例中，當發射至少兩個保護信號時，保護信號的相對功率是變化的，使得比起定位為更遠離認證信號的保護信號，定位為更接近認證信號的保護信號具有更高的功率。
[0017]此外，本發明教導了基於傳輸的認證系統，從而驗證網絡節點的地理位置信息。在一個或更多實施例中，所公開的系統包括至少一個發射器、至少一個接收器和至少一個認證器設備。在一個或更多實施例中，至少一個發射器發射認證信號和至少一個保護信號；並且至少一個接收器接收至少一個合成信號。至少一個合成信號包含認證信號和/或至少一個保護信號。在至少一個實施例中，至少一個認證器設備通過評估至少一個網絡節點從至少一個接收器接收的至少一個合成信號來認證該至少一個網絡節點。應當注意，在一個或更多實施例中，所述系統還包括計算機定位門戶(cyber locate portal)。該計算機定位門戶是網絡與將額外的安全等級添加到所述系統的認證器設備之間的安全接口。在這些實施例中，通過計算機定位門戶將合成信號發送到認證器設備以進行認證。
[0018]在一個或更多實施例中，認證數據被加密以避免被攔截和重複使用。此外，可以用籤名對數據進行標記，通過比較數據的籤名與具體的門戶設備的籤名，可以用該籤名來確認數據來源於所述具體的門戶設備。每個計算機定位門戶設備可以具有用於加密的獨特的密鑰，並且可以具有用於標記樣本數據的額外的密鑰。優選為只有認證伺服器和門戶設備知道這些密鑰。
[0019]在至少一個實施例中，至少一個接收器和至少一個發射器被合併在至少一個收發器中。在一些實施例中，從相同的發射器發射認證信號和至少一個保護信號。在至少一個實施例中，從不同的發射器發射認證信號和至少一個保護信號。在一個或更多實施例中，至少一個認證器設備包含伺服器和/或處理器。在一些實施例中，在相同的頻率上發射認證信號和至少一個保護信號。
[0020]在至少一個實施例中，至少一個認證器設備操作主機網絡的至少部分。在一個或更多實施例中，所公開的系統進一步包含作為至少一個網絡節點和至少一個認證器設備之間的中介操作的主機網絡。在一些實施例中，在蜂窩電話、個人數字助理(PDA)、個人計算機、計算機節點、網際網路協議(IP)節點、伺服器、W1-Fi節點和/或繫繩/接觸式節點或自由/非接觸式節點中採用至少一個接收器。
[0021]在一些實施例中，接收器也可以包含計算機定位門戶設備的功能。在一些實施例中，將接收器和計算機定位門戶設備結合在蜂窩電話或PDA中。注意，如果蜂窩電話或PDA包含計算機定位門戶設備，則理想地，可以由不是蜂窩電話或PDA的作業系統的一部分的硬體和/或固件執行信號處理、加密和籤名功能。例如，可選地，加密和籤名密鑰以及未加密的樣本數據不可被蜂窩電話或PDA作業系統訪問。
[0022]在一個或更多實施例中，在至少一個衛星和/或至少一個偽衛星中採用至少一個發射器。在一些實施例中，至少一個衛星是近地軌道(LEO)衛星、中地軌道(MEO)衛星和/或同步地球軌道(GEO)衛星。在一個或更多實施例中，至少一個網絡節點是固定的和/或移動的。在至少一個實施例中，至少一個認證器設備是對等設備。
[0023]在一個或更多實施例中，用於基於傳輸的認證系統的方法涉及從至少一個發射源發射多個認證信號。該方法進一步涉及從至少一個接收源接收包括至少兩個認證信號的合成信號。此外，該方法涉及通過比較(一個或多個)網絡節點從(一個或多個)接收源位置接收的合成信號的屬性與該(一個或多個)網絡節點應當從(一個或多個)接收源位置接收的合成信號的期望屬性，而通過至少一個認證器設備認證至少一個網絡節點。
[0024]在一個或更多實施例中，用於基於傳輸的認證系統的系統和方法包括從至少一個發射源發射點波束中的多個認證信號，其中每個點波束包含一個認證信號。在至少一個實施例中，在來自銥衛星星座的至少一個LEO衛星中採用(一個或多個)發射源。在一些實施例中，在相同頻率上發射認證信號。該方法進一步包括從至少一個接收源接收包括至少兩個認證信號的合成信號。此外，該方法包括通過比較(一個或多個)網絡節點從(一個或多個)接收源位置接收的合成信號的屬性與該(一個或多個)網絡節點應當從(一個或多個)接收源位置接收的合成信號的期望屬性，從而認證至少一個網絡節點。
[0025]在至少一個實施例中，從相同的發射源發射認證信號。在可替換的實施例中，從不同的發射源發射認證信號。在一些實施例中，至少一個衛星和/或至少一個偽衛星採用(一個或多個)發射源。在一個或更多實施例中，在相同的頻率上並且同時發射認證信號，並且每個認證信號具有不同於其它認證信號的調製。在至少一個實施例中，不同的調製是不同的偽隨機數字調製序列。在一些實施例中，不同的偽隨機數字調製序列是不同的BPSK碼序列。
[0026]在一個或更多實施例中，所比較的屬性是信號功率、都卜勒位移、到達時間和/或信號調製。特別地，所接收的信號調製是多個認證信號的組合，並且該合成的組合調製具有將隨接收源的位置而改變的特性。在一些實施例中，所公開的系統和方法涉及包括但不限於自組織網絡、對等(peer-to-peer)網絡和/或點對點(ad hoc)網絡等網絡的網絡安全。
[0027]特徵、功能和優勢能夠在本發明的各實施例中獨立地實現，或者可以在其它實施例中組合實現。【專利附圖】
【附圖說明】
[0028]考慮到下列說明、所附權利要求以及附圖將更好地理解本發明的這些和其它特徵、方面和優勢，其中:
[0029]圖1說明了用於針對計算機和網絡安全應用在衰減環境中地理定位網絡節點的公開的系統的實施例。
[0030]圖2說明了通過基於傳輸的認證系統以及通過使用測距信息而驗證的三個網絡節點的位置。
[0031]圖3說明了採用衛星來發射認證波束和多個保護波束的基於傳輸的認證系統的實施例。
[0032]圖4A說明了具有位於三個重疊的點波束之內和附近的不同位置處的四個網絡節點的基於傳輸的認證系統的實施例。
[0033]圖4B說明了通過圖4A的三個點波束傳輸的信號的圖形的實施例。
[0034]圖4C說明了圖4A的四個網絡節點的位置處的三個點波束的信號強度的陣列的實施例。
[0035]圖4D說明了圖4A的三個點波束的比特的陣列的實施例。
[0036]圖4E說明了由圖4A的四個網絡節點接收的合成信號序列的陣列的實施例。
[0037]圖4F說明了描述由圖4A的四個網絡節點接收的合成信號的圖形的實施例。
[0038]圖5說明了利用保護波束傳輸作為輔助任務的一部分的基於傳輸的認證系統的實施例。
[0039]圖6說明了採用異相的二進位相移鍵控(BPSK)保護波束傳輸的基於傳輸的認證系統的實施例。
[0040]圖7說明了具有能夠在閉塞或擁擠的環境中執行的網絡節點的所公開的系統的實施例。
【具體實施方式】
[0041]本文所公開的方法和裝置為地理定位網絡節點提供了作業系統。具體地，該系統涉及針對計算機和網絡安全應用在衰減的環境中地理定位網絡節點，例如用於網絡節點的認證和/或授權。特別地，本發明教導了用附加的認證數據標記傳輸的數據包的參與網絡節點或網絡鏈中的其它結點。該認證數據具有具體的數據包結構，該數據包結構包含獨特的數據，例如安全籤名數據、路由數據和/或有效載荷數據。安全籤名數據包含關於網絡鏈中的參與網絡節點的位置的信息，並且其也可以包含關於網絡鏈中的參與網絡節點的位置是否已經被驗證的信息。
[0042]目前，隨著電子系統在日常商業和社交任務中更加根深蒂固，計算機安全變得越來越重要。許多以前管理的商業處理已經被擴展到在線電子數據處理，這使不斷發展的信息和計算安全高級技術成為必須的要求，從而保護這些每天使用的系統。使用從社會安全號(social security number)到國家基礎設施相關信息的信息的重要文件和其它數據被存儲在網絡化的系統中，如果該系統被未授權方訪問，則該系統將具有從妨害行為到災難性的社會基礎設施損壞的不同程度的社會影響。在對電子系統的依賴增加的同時，國家也已經看到了恐怖行為和計算機黑客的顯著增加，因此要求社會致力於改進方法來保護我們網絡化的計算機系統。
[0043]計算機攻擊和網絡滲透都在變得非常普遍。這些頻繁發生的事件已經由商業和軍事環境中的外部威脅將網絡滲透的危害的討論帶至最前沿。目前的訪問控制方法主要是基於靜態密碼，或者是以使用基於公共密鑰基礎設施(PKI)的密碼和智能標誌證書為基礎的認證。由於系統攻擊通常通過冒充終端用戶進行，因此機構關注於用戶認證方法以減少網絡數據攔截的網絡漏洞已經成為一種趨勢。這些方法對複雜的攻擊仍然是脆弱的，因此形成了對訪問控制的新範式的需求，該新範式的優勢在於通過添加地理空間位置/環境(例如用戶位置)的認證的正常的三個維度(你知道什麼、你具備什麼、你是誰)之外的額外的維度/信息，從而提供額外和正交的保護層，其提供了來自映射到邏輯網絡和信息管理視圖的綜合物理地理位置的位置和環境感知之間的加強的相關性。
[0044]此外，現有的計算機攻擊經常被匿名所掩蓋的事實已經產生了另外令人擔憂的問題。發起者進行小的侵入/攻擊以更好地了解系統的漏洞，以便於日後的開發並為以後的更具破壞性的攻擊奠定基礎，更大的攻擊通常被發起者的這些嘗試所阻止。到目前為止，許多大規模的計算機攻擊不僅使攻擊的受害者仍在從遺留的損害中恢復，而且這些受害者也不能阻止通過報復的任何進一步的破壞，或否則，由於不具有對攻擊的發起者的清晰的追蹤性，並且因此這些受害者往往缺乏響應的權限。如果攻擊動機不清楚，則受害者更不可能辨別攻擊是單純的破壞行為、有目的的盜竊還是危害國家安全的更陰險的手段。這樣，幫助拒絕惡意用戶的網絡訪問和/或提供可追蹤的數據來幫助識別發起者的任何系統將具有極大的用途，以減少和減輕拒絕服務(DoS)和網絡數據攔截攻擊。
[0045]本發明總體涉及從計算機安全中受益的網絡化系統。更具體地，本發明的系統的優勢在於至少一個自地理定位的網絡節點，從而採用籤名包結構，該籤名包結構可允許數據包被及時追溯到定義的點處的具體的網絡節點。該籤名包結構能夠被用來提高參與網絡中的計算機安全。作為示例，籤名包結構可以包括要素，如有效載荷數據、路由數據和/或安全數據。安全數據可以被定義為地理定位數據、生物計量數據和/或計時數據。在至少一個實施例中，當籤名包結構被用於計算機安全應用時，其可以被統稱為計算機安全籤名。例如，通過連接可以將文件從一個用戶傳輸給另一用戶，所述文件例如通過網際網路傳輸的郵件。網絡鏈中的參與網絡節點或其它類型的結點可以用附加的認證數據標記數據，該認證數據可以包含籤名包結構的要素(例如，有效載荷數據、路由數據和/或安全數據)。當數據包移動到網絡鏈中的下一個結點時，該網絡結點可以對其進行認證。當用已知的網絡節點位置驗證了通過地理位置數據表示的物理位置時，可以發生認證。
[0046]本發明可以被用來提供到網絡化系統的訪問，也可以被用來限制到這個系統的訪問。在至少一個實施例中，可以設想，優勢在於這種形式的計算機安全的網絡會需要這樣的計算機安全籤名數據，從而接受數據包。通過這種方式，可以在惡意用戶進入系統前將其識別，因為籤名幾乎是無法假冒的，或者中間人或其它相似的攻擊被識別為與籤名數據不符。在至少一個實施例中，所述系統可以包含現有的追溯方法，例如限制節點跳轉的次數(即，數字計數器生存時間(TTL))。在計算機安全方面，本發明可以引入範式轉移(即網際網路
3.0)，這可以使得能夠支持籤名包數據結構的眾多硬體和/或軟體採用本發明。
[0047]本發明的系統可以適用於包含有線和/或無線網絡節點的網絡化系統。在至少一個實施例中，至少一個網絡節點使用至少一個衛星來地理定位。在一個示例中，自地理定位的網絡節點可以使用能夠提供在室內可被接收的信號的近地軌道(LEO)星座。該系統可以或不可以與全球定位系統(GPS)或用來定位、導航和/或計時的任何其它系統結合使用。此夕卜，本發明的系統可以採用生物測定學，以便通過用戶/節點固有的一些東西來驗證用戶/節點，所述系統也可以採用與所描述的方法結合使用時將提高系統的整體安全性的任何其它的驗證方法。
[0048]本發明的系統具有四個主要特徵。所述系統的第一個主要特徵是教導了具有很多應用的自地理定位網絡設備(例如，自地理定位伺服器、路由器、個人計算設備、蜂窩電話和/或電視)，包括一般的計算機安全和認證，但是其也可以被用在其它應用(例如遊戲)中。
[0049]所公開的系統的第二個主要特徵是其教導了實現認證和計算機安全的數據包結構。數據包結構使裝置能夠將該數據包追溯到作為被數據包用來到達其目的地位置的一系列結點的一部分的網絡節點。該籤名包結構能夠被用來提高參與網絡中的計算機安全。作為示例，籤名數據包結構可以包含要素，如有效載荷數據、路由數據和/或安全數據。安全數據可以被定義為地理位置數據、生物計量數據和/或計時數據。在至少一個實施例中，如果該籤名包結構被用於計算機安全應用，則其可以被統稱為計算機安全籤名。
[0050]所公開的系統的第三個主要特徵是其教導了獨特的籤名包結構的要素。網絡鏈中的參與網絡節點或其它類型的結點可以用附加的認證數據標記數據，該認證數據可以包含籤名包結構的要素(即，有效載荷數據、路由數據和/或安全數據)。在追蹤性方面，參與網絡節點類似於來自指紋的接觸DNA那樣產生作用，因為數據包所使用的每個路由器為籤名提供了一些可追蹤的數據。當數據包移動到網絡鏈中的下一個結點時，該結點將積累例如小比特序列，並且每個後續的結點可以對其進行認證。該小比特序列的積累能夠導致在統計上引人注目的網絡路徑的指紋。通過比較到籤名數據包的預期的網絡路徑(以及其相應的獨特的附加數據)的網絡延遲與預期的網絡延遲可接受範圍，可以進行認證。此外，可以對其它網絡參數進行監控，以驗證沒有進行中間人(MITM)攻擊。在一個實施例中，如果懷疑有MITM攻擊，則可以將網絡配置為基於網絡的策略進行響應。
[0051]所公開的系統的第四個主要特徵是所述系統採用至少一個LEO衛星的使用來傳輸信號到網絡節點。由於在接收器處LEO衛星信號的較高的接收功率，因此所述LEO衛星信號能夠穿透到室內環境中。正因為如此，該特徵允許將所公開的系統用於認證技術的許多室內應用。
[0052]此外，應當注意，所公開的系統能夠被用於期望確認、追蹤、監控和/或追蹤「節點」的位置的各種應用。另外，該系統可以為信用卡的現有跟蹤方法提供額外的用途，特別是因為支付選項目前正被更多地集成到個人便攜設備中，如蜂窩電話。不僅信用卡用戶的位置能夠被監控，而且對於試圖從用戶那裡取回被偷的信用卡的情況，還可以潛在地追蹤用戶以對其重定位。而且，應當注意，該特徵可以與用來玩遊戲(例如用於地理藏寶(geo-caching))的個人計算設備結合使用。
[0053]在下列描述中，對很多細節進行闡述以提供系統的更透徹的描述。然而，對本領域的一個技術人員來說顯而易見的是，所公開的系統可以脫離這些具體的細節而實現。在其它例子中，沒有對公知的特徵進行詳細的描述，以免不必要地模糊所述系統。
[0054]圖1說明了用於針對計算機和網絡安全應用在衰減環境中地理定位網絡節點的所公開的系統100的實施例。在該圖中，位於起始網絡節點(節點A)110處的用戶希望將數據包130傳輸給位於目的地網絡節點(節點D) 120處的用戶。起始網絡節點(節點A) 110和目的地網絡節點(節點D) 120通過多個路由器網絡節點140 (其包括節點B140和節點C140)彼此連接。起始網絡節點(節點A)110被示為經由路由器網絡節點即節點B140和節點C140將數據包130傳輸到目的地網絡節點(節點D) 120。
[0055]數據包130包含安全籤名部分170、路由數據部分150和有效載荷數據部分160。數據包130的路由數據部分150包含數據包130的路由信息。該路由信息包含關於數據包130被發送到的目的地網絡節點(例如，目的地網絡節點(節點D) 120的地址)的信息。數據包130的有效載荷數據部分160包含起始網絡節點(節點A) 110處的用戶想要發送給目的地網絡節點(節點D) 120處的用戶的數據和/或信息。安全籤名部分應當不能從一個包中複製並粘貼到另一包中，否則將危害發明的實質，因為產生似乎遵循與第一個數據包相同的路由的另一數據包將是可能的。在不同的實施例中，安全籤名部分可以有不同的應用。在一個實施例中，安全籤名可以是有效載荷數據的函數。例如，安全籤名能夠包含是數字籤名的組分，該數字籤名可以是有效載荷數據的函數。可以沿著所述路由積累這些數字籤名，或者可以將其驗證為是來自最後的參與路由器的數字籤名，並在每一跳中用新的數字籤名對其進行替換。
[0056]數據包130的安全籤名部分170包含數據包130從起始網絡節點(節點A) 110行進到目的地網絡節點(節點D)120所經過的所有網絡節點的列表。如該示例中所示，安全籤名部分170中的網絡節點的列表包含節點A110、節點B140、節點C140和節點D120。隨著數據包130行進經過節點的網絡，每次數據包130行進經過網絡節點，該特定的網絡節點就被添加到網絡節點的列表中。這樣，安全籤名170發展成數據包130的獨特的密鑰標識符，很像特定生物體的具體的DNA序列。
[0057]在一個或更多實施例中，安全籤名部分170也包含列表中至少一個網絡節點的計時信息。該計時信息表明數據包130何時被(一個或多個)網絡節點接收和/或傳輸。另夕卜，在至少一個實施例中，數據包130的安全籤名部分170包含列表中至少一個網絡節點的標識符信息。可以用於所公開的系統的標識符信息的類型包括但不限於各種類型的生物計量信息和/或每個網絡節點的獨特的比特序列標識碼。
[0058]此外，數據包130的安全籤名部分170包含列表中至少一個網絡節點的地理位置信息。該地理位置信息包括網絡節點的具體物理位置，並且其也可以包括關於網絡節點的位置是否被驗證的指示。在至少一個實施例中，通過網絡節點接收從至少一個發射源發射的至少一個認證信號來驗證該網絡節點的地理位置信息。在圖3、圖4、圖5和圖6的描述中論述了如何通過使用(一個或多個)認證信號來驗證網絡節點的位置的詳細描述。在一些實施例中，從傳輸到已驗證位置處的網絡節點的信號和從已驗證位置處的網絡節點發射的信號中獲得測距信息，通過利用該測距信息驗證網絡節點的地理位置信息。在圖2的描述中描述了如何獲得測距信息的詳細描述。
[0059]圖2說明了被基於傳輸的認證系統200和測距信息的使用所驗證的三個網絡節點210、220、230的位置。在該圖中，網絡節點210、220是位於已驗證的位置處的路由器網絡節點。通過使用採用衛星240來傳輸至少一個認證信號的基於傳輸的認證系統200來驗證這些網絡節點210、220的位置。參考圖3、圖4、圖5和圖6的論述，得到如何操作基於傳輸的認證系統200的詳細描述。在該圖中，網絡節點230的位置沒有被基於傳輸的認證系統200驗證，因為網絡節點230沒有衛星240接入。然而，能夠利用通過往返時間延遲(即，Ping延遲)的使用得到的測距信息來驗證網絡節點230的位置，往返時間延遲通過傳輸信號到已驗證位置處的網絡節點210、220和從該節點發射信號來獲得。
[0060]用於為該示例獲得測距信息的過程如下。首先，在tla時刻，網絡節點230傳輸信號(R31)到網絡節點210。在t3a時刻，網絡節點210接收信號(R31 )，並且在t3b時刻傳輸返回信號(R13)到網絡節點230。在tlb時刻，網絡節點230接收返回信號(R13)。網絡節點210接收信號(R31)和用信號(R13)進行回復之間的延遲(即t3b_t3a)是已知的。這樣，往返延遲(乘以光速並除以2)給出網絡節點210和網絡節點230之間的距離。然後，該距離信息能夠被用來驗證網絡節點230的位置。使用相似的計算方法來計算網絡節點230和網絡節點220之間的距離。相關的網絡距離公式為:
[0061]R13=c[(t3a_tla)+(tlb_t3b)]/2
[0062]R23=c[(t3a_t2a)+(t2b_t3b)]/2,
[0063]其中t等於時間，而c等於光速。
[0064]圖3說明了採用衛星310的基於傳輸的認證系統300的實施例，衛星310發射包含認證波束320 (其也可以被稱為「波束零」)和一個或更多保護波束330的重疊的點波束340。合法的網絡節點360被示為位於認證波束320之內。欺騙性網絡節點350試圖模擬合法的網絡節點360的位置。
[0065]隨著時間的推移，保護波束330和波束零320內的每個位置都接收到來自每個波束340的獨特的認證信號。波束340重疊的區域內的位置接收複合認證信號。欺騙性網絡節點350沒有位於合法的網絡節點360的位置，並且因此，欺騙性網絡節點350將不能接收合法的網絡節點360因其位置應當收到的特定的認證信號320。除非網絡節點位於其合法位置，否則該網絡節點將無法接收正確的認證信號，並且這樣，認證器設備不能驗證該網絡節點的位置。
[0066]在一個或更多實施例中，在點波束340中傳輸的數據可以包括可被用來區分一個波束中的數據與其它波束中的數據的認證密鑰和/或其他偽隨機代碼段。所公開的系統和方法可以使用其它相區別的波束特性和/或數據特性來區分波束340之間的數據。在至少一個實施例中，可以用比發射波束零320更高的功率來發射保護波束330。這將使來自保護波束330的信號屏蔽波束零320認證信號。
[0067]圖4A至圖4F描述了使用被一個或更多網絡節點從多個重疊的點波束中接收的信號來認證一個或更多網絡節點的位置和身份的實施例。基本概念是根據網絡節點在重疊的點波束圖案中所處的位置，每個網絡節點將從多個點波束傳輸的信號組合中接收不同的複合信號。特別地，圖4A示出了具有例如四個網絡節點(即A、B、C和D)的公開的基於傳輸的認證系統，該四個網絡節點被置於三個重疊的點波束(即波束1、波束2和波束3)內和附近的不同位置處。這樣，該圖說明了照明網絡節點A、B和C的位置的重疊的點波束。網絡節點D的位置被示為剛好在波束圖案外部。
[0068]圖4B說明了示出由圖4A的三個點波束傳輸的示例性信號(1、2和3)的圖形400。特別地，該圖示出了被每個點波束(波束1、波束2和波束3)傳輸並被用來驗證網絡節點的位置的信號的示例性集合。三條曲線(由圖形400上的1、2和3表示)示出了從每個點波束傳輸的信號隨時間的比特序列。這三個比特序列僅用來說明概念。因此，也可以採用許多其它類型的數據和調製形式。信號圖案也可以周期性地變化，以提供對避免欺騙性的網絡節點和/或用戶的額外的保護，並且提供移動的網絡節點何時處於特定位置的獨特的時間。此外，在正常的傳輸期間，可以將被用來認證網絡節點的這些信號與短期的正常信號分開發送，或可替換地，可以將這些信號嵌入到正常信號中。
[0069]圖4C示出了圖4A的四個網絡節點(A、B、C和D)的位置處的三個點波束(波束1、波束2和波束3)的信號強度的陣列410。特別地，接收的信號波束(sbr)陣列410示出了由陣列410的列中的每個網絡節點(A、B、C和D)從陣列410的行中的接收的信號波束(波束1、波束2和波束3)接收的信號強度。例如，B位置處的網絡節點從波束2接收大部分信號，與分別來自波束I和波束3的信號強度2和1.5相比，其具有信號強度11。網絡節點的接收的信號的特性和/或屬性可以是被用來驗證該網絡節點的位置的籤名。
[0070]圖4D描述了圖4A的三個點波束(波束1、波束2和波束3)的比特的陣列420。在該圖中，比特陣列420示出了由三個陣列行中的每個波束(波束1、波束2和波束3)傳輸的信號序列，作為時間的函數，其由陣列420的十六(16)列表示。這裡，為說明概念，所傳輸的信號是二進位的。然而，在可替換的實施例中，可以採用其它信號模式。
[0071]圖4E說明了被圖4A的四個網絡節點(A、B、C和D)接收的合成信號序列的陣列430。該圖示出了被位置A、B、C和D處的網絡節點從多個重疊的波束中接收的複合信號的合成序列。合成信號(rx)=gx(sbrT)x(bits),其中g等於每個網絡節點接收器的增益。在該示例中，選擇增益(g)等於0.7 (即g=0.7)。接收陣列(rxT)430的十六(16)行表示時間步長，而四(4)列對應於不同位置(A、B、C和D)的網絡節點。應當注意，在該示例中，位置D處的網絡節點不接收信號，因為該位置在波束圖案外部。
[0072]圖4F示出了描述被圖4A的四個網絡節點(A、B、C和D)接收的合成信號的圖形440。四條曲線(由A、B、C和D表示)示出被位置A、B、C和D處的網絡節點接收的合成信號的時間序列。四個合成複合信號分別為四個網絡節點(A、B、C和D)提供獨特的網絡節點位置識別。
[0073]圖5示出了利用保護波束傳輸作為輔助任務的一部分的基於傳輸的認證系統500的實施例。在該實施例中，使用至少一個保護波束作為衛星510的輔助任務的一部分來傳輸合法數據。例如，可以利用保護波束來廣播原始信息，例如在保護波束足跡中有效的不同的GPS網絡修正。然而，應當注意，對更高的安全性來說，這不是優選的實施例，因為比起更隨機的信號，該原始信息更可能被欺騙設備確定。作為另一示例，可以用保護波束來傳輸與主要任務(即認證信號)相關和/或與輔助任務相關的數據。
[0074]如圖5所示，可以在脈衝串中傳輸認證信號。可以在脈衝串、波束零或交替波束(包括波束零和保護波束)中隨機發送認證信號，以便認證信號的計時錶明網絡節點的位置。這樣，如果網絡節點接收多個脈衝串，則該網絡節點位于波束零之內或波束重疊的區域之內。
[0075]在可替代的實施例中，可以將認證信號嵌入到正常的數據傳輸中，從而最小化認證信號對衛星發射功率和/或帶寬的影響。可以採用不影響正常的接收但是可被具體處理檢測的各種方式(例如，時間、頻率、極化偏移等)將認證信號嵌入到數據傳輸中。
[0076]在一個或更多實施例中，可以通過在逐位基礎上改變廣播功率來將認證信號嵌入到正常的數據傳輸中。對這些實施例來說，保護波束比特調製在逐位基礎上改變傳輸的比特的廣播功率。這防止欺騙設備試圖觀察本地保護波束中的比特，並防止欺騙設備處理數據以移除這些比特。
[0077]例如，欺騙設備進行一系列測量(m):
[0078]95 105 105 -105 105 -105 95 -105 -95 -95
[0079]該欺騙設備可能推測保護信號(g)為sign(m):
[0080]111-11-11-1-1-1
[0081]並且,該欺騙設備嘗試訪問的信號為sign(m-sign(m)*100):
[0082]-111-11-1-1-111
[0083]如果不是固定的功率信號，則對保護波束廣播功率進行調製，使得其接收到的信號的組分為:
[0084]107 97 91 -93 99 -91 93 -107 -107 -101
[0085]然後，欺騙設備將接收到的信號為:
[0086]102 102 96 -98 104 -96 88 -112 -102 -96
[0087]對欺騙設備來說，嘗試從測量的集合中計算出認證信號將是非常困難的。
[0088]此外，應當注意，該相同的想法的延伸將是在保護帶信號上添加小的隨機四相相移鍵控(QPSK)信號。對於這種情況，仍然可以利用保護信號來傳輸有用的信息。
[0089]圖6示出了採用異相的二進位相移鍵控(BPSK)保護波束傳輸的基於傳輸的認證系統600。具體地，在該圖中，保護波束利用相鄰的重疊波束之間的異相BPSK信號來傳輸認證信號。於是，重疊區域中的信號將是QPSK信號。然後，通過分析網絡節點接收的信號相位和信號類型能夠確定波束內的網絡節點的獨特的位置。
[0090]在可替換的實施例中，可以使用輔助信號源來提供額外的屏蔽傳輸。例如，第二衛星可以為第一衛星的外部波束廣播保護波束。
[0091]圖7說明了具有能夠在閉塞或擁擠的環境中執行的網絡節點710的公開的系統700的實施例。特別地，圖7示出了從兩個衛星706、704和蜂窩信號塔708接收RF信號709、705、707的網絡節點710。在一個示例中，RF信號709、705、707被下變頻、取樣、有選擇地加密，並被附加到經過網絡節點710路由的安全增強數據包。在另一示例中，從RF信號709、705、707提取數據。對提取的數據進行任選的加密，並將其附加到通過網絡節點710路由的安全增強數據包。可以由公開的系統採用的各種類型的RF信號源的示例包括但不限於:LE0衛星(例如，銥衛星)、GPS衛星(例如，傳輸GNSS信號)以及蜂窩信號塔。
[0092]雖然本文公開了某些說明性實施例和方法，但是根據上述公開，對本領域技術人員來說顯而易見的是，能夠在不脫離本發明的實質精神和範圍的情況下對這些實施例和方法做出各種變化和修改。存在本領域公開的許多其它示例，每個示例僅在細節方面區別於其它示例。因此，所公開的領域旨在應當僅被由所附權利要求和適用的法律的規則和原理要求的範圍所限定。
【權利要求】
1.一種針對計算機和網絡安全應用在衰減環境中驗證網絡節點的系統，所述系統包含: 起始網絡節點； 目的地網絡節點；以及 至少一個路由器網絡節點； 其中所述起始網絡節點和所述目的地網絡節點通過所述至少一個路由器網絡節點彼此相連； 其中所述起始網絡節點被配置為通過所述至少一個路由器網絡節點將數據包傳輸到所述目的地網絡節點；以及 其中所述數據包包含安全籤名部分、路由數據部分和有效載荷數據部分。
2.根據權利要求1所述的系統，其中所述安全籤名部分包含數字籤名。
3.根據權利要求1所述的系統，其中所述安全籤名部分包含至少一個網絡節點的列表，數據包從所述起始網絡節點通過所述至少一個網絡節點行進到所述目的地網絡節點。
4.根據權利要求3所述的系統，其中所述安全籤名部分包含: 所述列表中的所述至少一個網絡節點的計時信息，該計時信息表明所述數據包何時被所述至少一個網絡節點接收。
5.根據權利要求3所述的系統，其中所述安全籤名部分包含所述列表中的所述至少一個網絡節點的標識符信息。
6.根據權利要求5所述的系統，其中所述標識符信息是生物計量信息和比特序列標識碼中的至少一個。
7.根據權利要求3所述的系統，其中所述安全籤名部分包含所述列表中的所述至少一個網絡節點的地理位置信息。
8.根據權利要求7所述的系統，其中通過所述網絡節點接收從至少一個發射源發射的合成信號來獲得地理位置信息， 其中所述合成信號包含至少一個認證信號，以及 其中通過比較所述網絡節點接收的所述合成信號的屬性與所述網絡節點因其位置而應當接收的所述合成信號的期望的屬性，從而驗證所述網絡節點位置。
9.根據權利要求8所述的系統，其中所述至少一個發射源是衛星、偽衛星和地面發射源中的至少一個。
10.根據權利要求7所述的系統，其中根據測距信息確定所述地理位置信息，所述測距信息通過由所述網絡節點傳輸到在已驗證的位置處的另一網絡節點的信號以及由所述網絡節點從在已驗證的位置處的所述網絡節點接收的信號獲得。
11.根據權利要求1所述的系統，其中所述路由數據部分包含所述數據包的路由信息， 其中所述路由信息包含關於所述數據包將被發送到的所述目的地網絡節點的信息。
12.根據權利要求1所述的系統，其中所述有效載荷數據部分包含被從所述起始網絡節點傳輸到所述目的地網絡節點的數據。
13.—種針對計算機和網絡安全應用在衰減環境中驗證網絡節點的方法，所述方法包括: 起始網絡節點通過至少一個路由器網絡節點將數據包傳輸到目的地網絡節點，其中所述起始網絡節點和所述目的地網絡節點通過所述至少一個路由器網絡節點彼此相連；以及 其中所述數據包包含安全籤名部分、路由數據部分和有效載荷數據部分。
14.根據權利要求13所述的方法，其中所述安全籤名部分包含至少一個網絡節點的列表，所述數據包從所述起始網絡節點通過所述至少一個網絡節點行進到所述目的地網絡節點。
15.根據權利要求14所述的方法，其中所述安全籤名部分包含所述列表中的所述至少一個網絡節點的計時信息，所述計時信息表明所述數據包何時被所述至少一個網絡節點接收。
16.根據權利要求14所述的方法，其中所述安全籤名部分包含所述列表中的所述至少一個網絡節點的標識符信息。
17.根據權利要求16所述的方法，其中所述標識符信息是生物計量信息和比特序列識別碼中的至少一個。
18.根據權利要求14所述的方法，其中所述安全籤名部分包含所述列表中的所述至少一個網絡節點的地理位置信息。
19.根據權利要求18所述的方法，其中通過所述網絡節點接收從至少一個發射源發射的合成信號來獲得地理位置信息， 其中所述合成信號包含至少一個認證信號，以及 其中通過比較所述網絡節點接收的所述合成信號的屬性與所述網絡節點因其位置而應當接收的所述合成信號的期望的屬性，從而驗證所述網絡節點位置。
20.根據權利要求19所述的方法，其中所述至少一個發射源是衛星、偽衛星和地面發射源中的至少一個。
21.根據權利要求18所述的方法，其中根據測距信息確定所述地理位置信息，所述測距信息通過由所述網絡節點傳輸到已驗證的位置處的另一網絡節點的信號和由所述網絡節點從已驗證的位置處的所述網絡節點接收的信號獲得。
22.根據權利要求13所述的方法，其中所述路由數據部分包含所述數據包的路由信息， 其中所述路由信息包含關於所述數據包將被發送到的所述目的地網絡節點的信息。
23.根據權利要求13所述的方法，其中所述有效載荷數據部分包含被從所述起始網絡節點傳輸到所述目的地網絡節點的數據。
24.一種用於計算機和網絡安全應用的網絡節點設備，所述設備包含: 接收器，其中所述接收器能夠從信號源接收信號；以及 處理器，其中所述處理器能夠將有關所述信號的信息作為安全籤名附加到通過所述網絡節點設備路由的數據包上。
25.一種用於計算機和網絡安全應用的認證系統，所述系統包含: 網絡節點設備，其中所述網絡節點設備包含能夠從信號源接收信號的接收器和能夠將有關所述信號的信息作為安全籤名附加到通過所述網絡節點設備路由的數據包上的處理器；以及 處理設備，其中所述處理設備能夠比較通過所述網絡節點設備路由的所述數據包的所述安全籤名與所述網絡節點設備接收的有關所述信號的已知信息，從而認證所述網絡節點設備。
26.根據權利要求25所述的系統，其中所述網絡節點設備的認證至少部分包含確定所述網絡節點設備是否物理地位於其預期的地理位置上。
27.根據權利要求25所述的系統，其中在數據被授權通過以前認證所述網絡節點設備。
28.根據權利要求25所述的系統，其中所述處理設備是蜂窩電話、個人數字助理即PDA、個人計算機、計算機節點、網際網路協議即IP節點、伺服器、W1-Fi節點、接觸式節點和非接觸式節點中的 一個。
【文檔編號】H04L29/08GK103548308SQ201280025187
【公開日】2014年1月29日 申請日期:2012年4月26日 優先權日:2011年5月23日
【發明者】G·M·格特, A·阿亞加裡, D·A·維蘭, D·G·勞倫斯 申請人:波音公司