一种标识网络终端认证方法及相关设备与流程

1.本发明涉及互联网技术领域，特别涉及一种标识网络终端认证方法及相关设备。


背景技术：

2.传统网络中ip地址“二义性”（目的外网和内部ip重合）问题导致网络对移动能力、安全防范能力的支持较差，持续增量修补使得网络复杂度急剧增加，传统网络局限性逐渐显现。
3.利用数字证书实现对用户的身份认证是一种常见的解决方案，具体为：用户进入网络之前，先获得第三方ca（ca：certification authority，中文名为证书的签发机构，负责签发证书、认证证书、管理已颁发证书）颁发的数字证书，然后使用数字证书构建终端的接入地址。用户在进行网络认证时，向接入路由器发送加密的数字证书，接入路由器收到后，根据双方协商的密钥解密用户的数字证书，验证接入地址和签名以及数字证书的合法性，从而实现对用户的身份认证。
4.虽然基于数字证书的认证方案较为成熟且具有一定的安全性。但该方案还是存在以下问题：(1)、增加网络开销，认证效率低下：该方案中每个用户都需要从可信的ca获取数字证书并使用该证书证实自己的真实身份，这使得一次完整的认证需要经过诸多步骤，这样会大大增加网络的开销，影响认证效率。同时，在互联网用户爆炸性增长的今天，证书与用户一一对应的关系势必会产生大量的数字证书，对ca设备的证书存储能力和查询能力有较高的要求。
5.(2)、认证中心安全性保障问题：由于该方案的安全性过度依赖由数字证书，这使得在一些情况下该方案将变得不适用。当颁发证书的ca被入侵，那么攻击者可以利用被入侵的ca颁发伪造证书。在此情况下，用户的身份真实性将被破坏，该方案的安全性将不复存在。另外，在无基础设施环境中（如灾害救援等），网络中无可用的ca，此时该认证方案无法为网络提供实时的认证服务。
6.(3)、部署困难，不同ca之间需要协调：为了能让该方案运作，需要部署pki（public key infrastructure：公钥基础设施，基于公钥密码学，建立起一种普遍适用的基础设施，为各种网络应用提供全面的安全服务；一个包括硬件、软件、人员、策略和规程的集合，用来实现基于公钥密码体制的密钥和证书的产生、管理、存储、分发和撤销等功能）。但是这种方式开销较大，更重要的是网络中各网域独立运行其ca，不同域的ca相互合作比较困难，需要互相协调，这使得跨域身份认证变得困难。
7.因而现有技术还有待改进和提高。


技术实现要素：

8.本发明的主要目的在于提供一种标识网络终端认证方法及相关设备，旨在解决现
有技术中在进行数字证书的认证时，认证效率低下和安全性差的问题。
9.为了达到上述目的，本发明采取了以下技术方案：一种标识网络终端认证方法，所述标识网络终端认证方法包括：私钥生成器进行网络初始化后，将曲线参数组、公钥生成算法和各自的终端私钥分别写入到接收端和发送端中；所述发送端使用所述终端私钥对待发送信息进行签名后，根据第一接入标识和第二接入标识，将经过签名后的所述待发送信息构造成第一数据包，并发送给第一接入交换路由器；所述第一接入交换路由器根据所述第一数据包中的所述第一接入标识和所述第二接入标识，对应获得第一路由标识和第二路由标识后构造第二数据包，并发送至核心路由器；所述核心路由器根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包转发至第二接入交换路由器；所述第二接入交换路由器对所述第二数据包进行解封装，还原得到所述第一数据包，并将所述第一数据包发送至所述接收端；所述接收端接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥；所述接收端利用所述公钥验证所述第一数据包的可信性，若验证通过则接收所述第一数据包。
10.所述标识网络终端认证方法中，所述标识网络终端认证方法还包括：当所述接收端接收所述第一数据包后，预设一个阈值时间，在所述阈值时间内，所述接收端直接接收所述发送端发送的所述第一数据包，若超过所述阈值时间，则需要通过所述公钥验证所述第一数据包。
11.所述标识网络终端认证方法中，所述私钥生成器进行网络初始化后，将曲线参数组、公钥生成算法和各自的终端私钥分别写入到接收端和发送端中的步骤具体包括：所述私钥生成器根据椭圆曲线参数生成所述公钥生成算法，以及根据参数配置文件和随机数生成所述曲线参数组和主私钥，并进行存储所述主私钥；所述私钥生成器根据所述曲线参数组、所述主私钥和所述第一接入标识生成所述终端私钥，并将所述终端私钥、所述公钥生成算法和所述曲线参数组写入到所述发送端；所述私钥生成器根据所述曲线参数组、所述主私钥和所述第二接入标识生成所述终端私钥，并将所述终端私钥、所述公钥生成算法和所述曲线参数组写入到所述接收端。
12.所述标识网络终端认证方法中，所述发送端使用所述终端私钥对待发送信息进行签名后，根据第一接入标识和第二接入标识，将经过签名后的所述待发送信息构造成第一数据包，并发送给第一接入交换路由器的步骤具体包括：所述发送端使用所述终端私钥对待发送信息进行签名，得到签名信息；所述发送端将所述签名信息、所述第一接入标识和所述第二接入标识填入所述待发送信息中，得到所述第一数据包；所述发送端将所述第一数据包发送至所述第一接入交换路由器。
13.所述标识网络终端认证方法中，所述第一接入交换路由器根据所述第一数据包中
的所述第一接入标识和所述第二接入标识，对应获得第一路由标识和第二路由标识后构造第二数据包，并发送至核心路由器的步骤具体包括：所述第一接入交换路由器接收所述第一数据包后，通过查询映射关系表获得所述第一接入标识对应的所述第一路由标识，以及获得所述第二接入标识对应的所述第二路由标识；将所述第一路由标识和所述第二路由标识写入到所述第一数据包中，得到所述第二数据包，并将所述第二数据包发送至所述核心路由器。
14.所述标识网络终端认证方法中，所述核心路由器根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包转发至第二接入交换路由器的步骤具体包括：所述核心路由器接收所述第二数据包，并读取所述第二数据包中的所述第一路由标识和所述第二路由标识后选择相应的转发路径；所述核心路由器将所述第二数据包沿所述转发路径转发至第二接入交换路由器。
15.所述标识网络终端认证方法中，所述第二接入交换路由器对所述第二数据包进行解封装，还原得到所述第一数据包，并将所述第一数据包发送至所述接收端的步骤具体包括：所述第二接入交换路由器接收所述第二数据包，并删除所述第二数据包中的所述第一路由标识和所述第二路由标识，得到所述第一数据包；所述第二接入交换路由器将所述第一数据包发送至所述接收端。
16.所述标识网络终端认证方法中，所述接收端接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥的步骤具体包括：所述接收端接收所述第一数据包，并提取所述第一数据包中的所述第一接入标识；所述接收端根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥。
17.所述标识网络终端认证方法中，所述接收端利用所述公钥验证所述第一数据包的可信性，若验证通过则接收所述第一数据包的步骤还包括：所述接收端利用所述公钥验证所述第一数据包的可信性，若验证失败，则所述接收端丢弃所述第一数据包。
18.所述标识网络终端认证方法中，所述第一接入标识为所述发送端的接入标识，所述第二接入标识为所述接收端的接入标识。
19.所述标识网络终端认证方法中，所述发送端中存储有所述终端私钥，所述终端私钥由所述曲线参数组、所述主私钥和所述第一接入标识生成；所述接收端中存储有所述终端私钥，所述终端私钥由所述曲线参数组、所述主私钥和所述第二接入标识生成。
20.一种标识网络终端认证系统，所述标识网络终端认证系统包括：发送端、第一接入交换路由器、核心路由器、第二接入交换路由器和接收端；所述私钥生成器分别与所述发送端和所述接收端连接；所述发送端、所述第一接入交换路由器、所述核心路由器、所述第二接入交换路由器和所述接收端之间依次通信连接；
所述私钥生成器用于在进行网络初始化后，将曲线参数组、公钥生成算法和各自的终端私钥分别写入到所述接收端和所述发送端中；所述发送端用于使用所述终端私钥对待发送信息进行签名后，根据第一接入标识和第二接入标识，将经过签名后的所述待发送信息构造成第一数据包，并发送给第一接入交换路由器；所述第一接入交换路由器用于根据所述第一数据包中的所述第一接入标识和所述第二接入标识，对应获得第一路由标识和第二路由标识后构造第二数据包，并发送至核心路由器；所述核心路由器用于根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包转发至第二接入交换路由器；所述第二接入交换路由器用于对所述第二数据包进行解封装，还原得到所述第一数据包，并将所述第一数据包发送至所述接收端；所述接收端用于接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥；以及用于利用所述公钥验证所述第一数据包的可信性，若验证通过则接收所述第一数据包。
21.所述标识网络终端认证系统中，所述私钥生成器包括：初始化模块；所述发送端包括：数字签名模块；所述接收端包括：曲线参数组获取模块和身份验证模块；所述初始化模块包括：曲线参数组生成模块、主私钥参数生成模块、终端私钥生成模块和密钥参数管理模块；所述数字签名模块包括：私钥获取模块、消息摘要生成模块、签名生成模块和数据包发送模块；所述身份验证模块包括：数字签名读取模块、公钥获取模块和签名验证模块；所述密钥参数管理模块分别与所述曲线参数组生成模块、所述终端私钥生成模块、所述私钥获取模块和所述公钥获取模块连接，所述终端私钥生成模块还与所述主私钥参数生成模块连接，所述签名生成模块分别与所述私钥获取模块、所述消息摘要生成模块和所述数据包发送模块连接；所述签名验证模块分别与所述公钥获取模块和所述数字签名读取模块连接；所述公钥获取模块还与所述曲线参数组生成模块连接；所述初始化模块用于在初始化阶段时，生成所述曲线参数组、所述公钥生成算法、各个终端私钥和终端私钥生成算法；其中，所述曲线参数组生成模块用于生成所述曲线参数组和曲线参数组生成算法，并传输至所述密钥参数管理模块，以及用于利用所述公钥生成算法对所述曲线参数组和所述第一接入标识生成所述公钥；所述主私钥参数生成模块用于生成主私钥；所述终端私钥生成模块用于生成所述终端私钥，并传输至所述密钥参数管理模块；所述密钥参数管理模块用于将公钥生成算法和各自的终端私钥对应地写入所述数字签名模块和所述公钥获取模块；所述数字签名模块用于利用所述终端私钥对所述待发送信息进行签名，得到经过签名后的所述待发送信息；其中，所述私钥获取模块用于创建类并保存所述终端私钥；所述消息摘要生成模块用于将所述待发送信息中的待签名内容变为定长摘要值；所述签名生成模块用于使用所述终端私钥签名所述定长摘要值后，得到经过签名后的所述待发送信息，以作为最终发送的签名信息；所述数据包发送模块用于构造所述第一数据包，并向所述第一接入交换路由器传输；
所述曲线参数组获取模块用于获取初始化模块中的所述曲线参数组，并传输至所述身份验证模块；所述身份验证模块用于利用所述公钥验证经过签名后的所述待发送信息；其中，所述数字签名读取模块用于读取所述第一数据包中的数字签名，并传输至所述签名验证模块；所述公钥获取模块用于获取所述曲线参数组生成模块传递的公钥，并传输至所述签名验证模块；所述签名验证模块用于利用所述公钥认证所述数字签名。
22.一种计算机可读存储介质，所述计算机可读存储介质存储有标识网络终端认证方法，所述标识网络终端认证方法被处理器执行时实现如上所述的标识网络终端认证方法的步骤。
23.相较于现有技术，本发明提供的一种标识网络终端认证方法及相关设备，所述方法包括：私钥生成器进行网络初始化后，将曲线参数组、公钥生成算法和各自的终端私钥分别写入到接收端和发送端中；所述发送端使用所述终端私钥对待发送信息进行签名后，根据第一接入标识和第二接入标识，将经过签名后的所述待发送信息构造成第一数据包，并发送给第一接入交换路由器；所述第一接入交换路由器根据所述第一数据包中的所述第一接入标识和所述第二接入标识，对应获得第一路由标识和第二路由标识后构造第二数据包，并发送至核心路由器；所述核心路由器根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包转发至第二接入交换路由器；所述第二接入交换路由器对所述第二数据包进行解封装，还原得到所述第一数据包，并将所述第一数据包发送至所述接收端；所述接收端接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥；所述接收端利用所述公钥验证所述第一数据包的可信性，若验证通过则接收所述第一数据包。通过发送端根据第一接入标识构造第一数据包，而接收端根据第一接入标识进行验证，实现对待发送信息的一对一加解密，有效地提高了标识网络终端认证的安全性和效率。
附图说明
24.图1为本发明提供的标识网络终端认证方法的较佳实施例的流程图；图2为本发明提供的标识网络终端认证方法的较佳实施例中步骤s100的流程图；图3为本发明提供的标识网络终端认证方法的较佳实施例中步骤s200的流程图；图4为本发明提供的标识网络终端认证方法的较佳实施例中步骤s300的流程图；图5为本发明提供的标识网络终端认证方法的较佳实施例中步骤s400的流程图；图6为本发明提供的标识网络终端认证方法的较佳实施例中步骤s500的流程图；图7为本发明提供的标识网络终端认证方法的较佳实施例中步骤s600的流程图；图8为本发明提供的标识网络终端认证方法的较佳实施例中终端a与终端a1认证通信过程示意图；图9为本发明提供的标识网络终端认证方法的较佳实施例中终端1与终端2认证通信过程示意图；图10为本发明提供的标识网络终端认证系统的架构关系图；图11为本发明提供的标识网络终端认证系统的机理示意图；
图12为本发明提供的标识网络终端认证系统中初始化模块的机理示意图；图13为本发明提供的标识网络终端认证系统中数字签名模块的机理示意图；图14为本发明提供的公钥的组成部分示意图；图15为本发明提供的标识网络终端认证系统中身份验证模块的机理示意图。
具体实施方式
25.为使本发明的目的、技术方案及效果更加清楚、明确，以下参照附图并举实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。
26.本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。
27.本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。
28.为了方便理解本技术实施例，首先在此介绍本发明实施例涉及到的相关要素：aid：access identifier，中文名称为接入标识，是终端在接入网中转发使用的标识，表示用户身份；rid：routing identifier，中文名称为路由标识，是终端在核心网中转发使用的标识，表示用户位置；ca：certificate authority，中文名称为证书管理机构，是证书的签发机构，负责签发证书、认证证书、管理已颁发证书；asr：access switching router，中文名称为接入交换路由器，是一种标识网络接入网和核心网边缘的交换设备；cr：core router，中文名称为核心路由器，是一种标识网络核心网中的交换设备；pkg：public key generator，中文名称为私钥生成器，是在自认证技术中，初始化阶段生成私钥的设备，不参与认证过程。
29.本发明提供了一种标识网络终端认证方法及相关设备。本发明中通过所述发送端根据所述第一接入标识和所述第二接入标识，对经过签名后的所述待发送信息构造成第一数据包，并发送至所述接收端，而所述接收端则根据所述第一接入标识、所述曲线参数组和公钥生成算法生成公钥，并利用所述公钥验证所述第一数据包的可信性，以决定是否接收所述第一数据包，从而有效地实现了快捷地通过所述第一接入标识将所述待发送信息进行加密，并通过第一接入标识进行对应性地解密，有效地提升了标识网络终端之间认证的安
全性和效率。
30.下面通过具体示例性的实施例对标识网络终端认证方法设计方案进行描述，需要说明的是，下列实施例只用于对发明的技术方案进行解释说明，并不做具体限定：请参阅图1，本发明提供的一种标识网络终端认证方法，所述标识网络终端认证方法包括：s100、私钥生成器进行网络初始化后，将曲线参数组、公钥生成算法和各自的终端私钥分别写入到接收端和发送端中。
31.具体地，在任意一个所述发送端和任意一个所述接收端双方通信之前，首先，利用所述私钥生成器进行系统参数初始化，向所有终端（包括发送端和接收端）中写入各自的终端私钥、公钥生成算法和曲线参数组，一并写入的还有曲线参数组生成方法。
32.进一步地，请参阅图2，所述s100、私钥生成器进行网络初始化后，将曲线参数组、公钥生成算法和各自的终端私钥分别写入到接收端和发送端中的步骤具体包括：s110、所述私钥生成器根据椭圆曲线参数生成所述公钥生成算法，以及根据参数配置文件和随机数生成所述曲线参数组和主私钥，并进行存储所述主私钥；s120、所述私钥生成器根据所述曲线参数组、所述主私钥和所述第一接入标识生成所述终端私钥，并将所述终端私钥、所述公钥生成算法和所述曲线参数组写入到所述发送端；s130、所述私钥生成器根据所述曲线参数组、所述主私钥和所述第二接入标识生成所述终端私钥，并将所述终端私钥、所述公钥生成算法和所述曲线参数组写入到所述接收端；其中，所述发送端中存储有所述终端私钥，所述终端私钥由所述曲线参数组、所述主私钥和所述第一接入标识生成；所述接收端中存储有所述终端私钥，所述终端私钥由所述曲线参数组、所述主私钥和所述第二接入标识生成。
33.具体地，所述私钥生成器中，所述主私钥和所述曲线参数组由参数配置文件和随机数直接生成，因为参数配置文件a.propertites中包含生成一个椭圆曲线需要的参数，比如生成一条直线y=ax b，那么就需要的参数是a、b，各自的终端私钥则由所述终端提供各自的aid（接入标识）、主私钥、曲线参数组共同生成。
34.在所述私钥生成器的网络初始化阶段中，将产生所述终端私钥和所述曲线参数组，网络初始化阶段可以分为两部分，分别是设置（setup）阶段和提取（extract）阶段：在setup阶段，通过椭圆曲线参数文件a.properties读取曲线参数，并随机在曲线上选择点，与自定义输入参数nu、nm共同生成所述曲线参数组（全网公开）和所述主私钥；而在extract阶段，通过上一阶段生成的所述曲线参数组、所述主私钥，加上用户终端的身份信息（aid）生成各自的终端私钥，下发给各个终端；所以，对于所述发送端，通过所述曲线参数组、所述主私钥和所述第一接入标识生成所述发送端的终端私钥，并将所述终端私钥、所述公钥生成算法和所述曲线参数组写入到所述发送端；对于所述接收端，通过所述曲线参数组、所述主私钥和所述第二接入标识生成所述发送端的终端私钥，并将所述终端私钥、所述公钥生成算法和所述曲线参数组写入到所述接收端。
35.进一步地，请继续参阅图1，s200、所述发送端使用所述终端私钥对待发送信息进行签名后，根据第一接入标识和第二接入标识，将经过签名后的所述待发送信息构造成第
一数据包，并发送给第一接入交换路由器；其中，所述第一接入标识为所述发送端的接入标识，所述第二接入标识为所述接收端的接入标识。
36.具体地，首先，所述发送端使用所述终端私钥对所述待发送信息进行签名，然后，将所述发送端的接入标识（第一接入标识）、所述接收端的接入标识（第二接入标识）和经过签名后的所述待发送信息一起构造成所述第一数据包，并向第一接入交换路由器发送。
37.进一步地，请参阅图3，所述s200、所述发送端使用所述终端私钥对待发送信息进行签名后，根据第一接入标识和第二接入标识，对经过签名后的所述待发送信息按照标识网络通信协议构造成第一数据包，并向第一接入交换路由器发送的步骤具体包括：s210、所述发送端使用所述终端私钥对待发送信息进行签名，得到签名信息；s220、所述发送端将所述签名信息、所述第一接入标识和所述第二接入标识填入所述待发送信息中，得到所述第一数据包；s230、所述发送端将所述第一数据包发送至所述第一接入交换路由器。
38.具体地，首先，所述发送端对待发送信息进行哈希计算得到哈希值1，所述发送端再使用所述终端私钥对所述哈希值进行加密生成签名，得到所述签名信息，然后，所述发送端将所述发送端的接入标识（所述第一接入标识）、所述接收端的接入标识（所述第二接入标识）和所述签名信息依次填入所述待发送信息中，按照标识网络通信协议构造得到所述第一数据包；最后，所述发送端将所述第一数据包发送至所述第一接入交换路由器。
39.本发明中通过将每一个终端的全网唯一标识（所述第一接入标识和所述第二接入标识）写入到所述待发送信息中，以此构造所述第一数据包后发送，以便所述接收端能够使用所述第一接入标识生成的密钥进行对应性地解锁，有效地提升了所述待发送信息传输的安全性。
40.进一步地，请继续参阅图1，s300、所述第一接入交换路由器根据所述第一数据包中的所述第一接入标识和所述第二接入标识，对应获得第一路由标识和第二路由标识后构造第二数据包，并发送至核心路由器。
41.具体地，所述第一接入交换路由器接收所述第一数据包后，解析所述第一数据包，得到所述第一接入标识和所述第二接入标识，然后，所述第一接入交换路由器根据所述第一接入标识获得第一路由标识，以及根据所述第二接入标识获得第二路由标识，最后，根据所述第一路由标识、所述第二路由标识和所述第一数据包一起构造所述第二数据包，从而有效地将所述第一接入标识和所述第二接入标识对应的所述第一路由标识和所述第二路由标识写入到所述第一数据包中，为后面根据所述第一路由标识和所述第二路由标识决定转发路径做准备。
42.进一步地，请参阅图4，s300、所述第一接入交换路由器根据所述第一数据包中的所述第一接入标识和所述第二接入标识，对应获得第一路由标识和第二路由标识后构造第二数据包，并发送至核心路由器的步骤具体包括：s310、所述第一接入交换路由器接收所述第一数据包后，通过查询映射关系表获得所述第一接入标识对应的所述第一路由标识，以及获得所述第二接入标识对应的所述第二路由标识；s320、将所述第一路由标识和所述第二路由标识写入到所述第一数据包中，得到所述第二数据包，并将所述第二数据包发送至所述核心路由器。
43.具体地，所述第一接入交换路由器接收所述第一数据包后，所述第一接入交换路由器所述第一数据包进行解析，得到所述第一接入标识和所述第二接入标识，然后，通过查询映射关系表获得所述第一接入标识对应的所述第一路由标识，以及获得所述第二接入标识对应的所述第二路由标识；其次，所述第一接入交换路由器读取映射服务器中的映射关系表（接入标识（aid）和路由标识（rid）对应关系的表），获得所述第一接入标识对应的所述第一路由标识，以及获得所述第二接入标识对应的所述第二路由标识；再者，所述第一接入交换路由器将所述第一路由标识和所述第二路由标识写入到所述第一数据包的包头前面，按照标识网络通信协议构造得到所述第二数据包，即所述第二数据包中依次存在所述第一路由标识、所述第二路由标识、所述发送端的接入标识（所述第一接入标识）、所述接收端的接入标识（所述第二接入标识）和所述签名信息，最后，所述第一接入交换路由器将所述第二数据包发送至所述核心路由器。
44.本发明中通过将所述第一接入标识和所述第二接入标识分别对应的所述第一路由标识和所述第二路由标识同样写入到数据包中，从而为后面的所述核心路由器根据所述第一接入标识和所述第二接入标识选择相应的转发路径做准备。
45.进一步地，请继续参阅图1，s400、所述核心路由器根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包转发至第二接入交换路由器。
46.具体地，所述核心路由器接收所述第二数据包后，所述核心路由器会根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，然后，所述核心路由器将所述第二数据包沿着相应的转发路径转发至所述第二接入交换路由器。
47.进一步地，请参阅图5，s400、所述核心路由器根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包转发至第二接入交换路由器的步骤具体包括：s410、所述核心路由器接收所述第二数据包，并读取所述第二数据包中的所述第一路由标识和所述第二路由标识后选择相应的转发路径；s420、所述核心路由器将所述第二数据包沿所述转发路径转发至第二接入交换路由器。
48.具体地，所述核心路由器接收所述第二数据包后，所述核心路由器解析所述第二数据包，得到所述第一路由标识和所述第二路由标识，然后，由于需要根据不同的路由标识选择相应的转发路径，所以所述核心路由器会根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，最后，由所述核心路由器将所述第二数据包沿着相应的转发路径转发至所述第二接入交换路由器。本发明中通过所述核心路由器根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，从而减少传输路径占用和拥堵的问题，有效地提升了数据包在网络路径中的传输速率。
49.进一步地，请继续参阅图1，s500、所述第二接入交换路由器对所述第二数据包进行解封装，还原得到所述第一数据包，并将所述第一数据包发送至所述接收端。
50.具体地，所述第二接入交换路由器接收到所述第二数据包后，所述第二接入交换路由器对所述第二数据包进行解封装，还原得到所述第一数据包，即删除所述第二数据包中的所述第一路由标识和所述第二路由标识，然后，所述第二接入交换路由器将所述第一
数据包发送至接收端。
51.进一步地，请参阅图6，s500、所述第二接入交换路由器对所述第二数据包进行解封装，还原得到所述第一数据包，并将所述第一数据包发送至所述接收端的步骤具体包括：s510、所述第二接入交换路由器接收所述第二数据包，并删除所述第二数据包中的所述第一路由标识和所述第二路由标识，得到所述第一数据包；s520、所述第二接入交换路由器将所述第一数据包发送至所述接收端。
52.具体地，所述第二接入交换路由器接收到所述第二数据包后，所述第二接入交换路由器删除所述第二数据包中的所述第一路由标识和所述第二路由标识，还原得到所述第一数据包；然后，所述第二接入交换路由器再将所述第一数据包发送至所述接收端。本发明中通过所述第二接入交换路由器将所述第二数据包中的所述第一路由标识和所述第二路由标识删除，从而减少所述接收端对所述第二数据包中的多余数据进行解析，节省了所述接收端解析所述第二数据包的时间，减少了对所述接收端对所述数据包进行解析时的占用。
53.进一步地，请继续参阅图1，s600、所述接收端接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥。
54.具体地，所述接收端接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥，从而形成了与所述第一接入标识对应的唯一的公钥，由于公钥由用户本身信息（所述第一接入标识）产生，因此在认证过程中无需向ca（证书管理机构）请求证书，认证过程更加简洁高效；其中，所述公钥生成算法使用的是java jpbc库，它是一个是使用java语言对椭圆曲线双线性映射进行实现的一种方式。
55.进一步地，请参阅图7，s600、所述接收端接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥的步骤具体包括：s610、所述接收端接收所述第一数据包，并提取所述第一数据包中的所述第一接入标识；s620、所述接收端根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥。
56.具体地，所述接收端接收所述第二接入交换路由器传输的所述第一数据包，所述接收端对所述第一数据包进行解析，提取所述第一数据包中的所述第一接入标识，然后，所述接收端根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥，从而实现了生成全网唯一标识所对应的公钥，有效地提升了所述公钥的安全性和唯一性，由于用户接入标识与用户之间存在一一对应关系，因此使用用户aid作为用户公钥生成参数，无需建立ca来保存用户证书信息，无需ca参与认证流程，避免了传统公钥密码体系中存储空间不足、查询效率低下带来的种种弊端，能够高效且简洁地完成终端之间的可信性认证。
57.进一步地，请继续参阅图1，s700、所述接收端利用所述公钥验证所述第一数据包的可信性，若验证通过则接收所述第一数据包。
58.具体地，所述接收端在生成所述公钥后，利用所述公钥验证所述第一数据包的可
信性，若验证所述第一数据包具有可信性就接收所述第一数据包，否则，将所述第一数据包直接丢弃，从而高效地完成了对所述第一数据包的验证。
59.进一步地，s700、所述接收端利用所述公钥验证所述第一数据包的可信性，若验证通过则接收所述第一数据包的步骤还包括：s700、所述接收端利用所述公钥验证所述第一数据包的可信性，若验证失败，则所述接收端丢弃所述第一数据包。
60.具体地，所述接收端在生成所述公钥后，所述接收端利用所述公钥验证所述第一数据包的可信性，具体为：所述接收端对所述第一数据包进行解析，得到所述待发送信息，然后，所述接收端对所述第一数据包中的所述待发送信息进行哈希计算，得到哈希值2，并使用公开算法对所述哈希值2生成第二签名信息，将所述签名信息与所述第二签名信息进行比较，若相同则说明验证成功，所述接收端直接接收所述第一数据包；若不同则说明验证失败，所述接收端直接将所述第一数据包丢弃，从而实现利用所述第一接入标识生成的所述公钥，对所述签名信息进行验证，并根据不同的验证结果做出相应地操作，有效地提升了标识网络终端之间的认证效率和认证后的处理速度。
61.本发明中先是在所述发送端将所述第一接入标识作为用户源标识存在于数据包首部中，并在接收端使用所述第一接入标识作为公钥对用户数字签名（签名信息）进行验证，从而无需第三方基础设施实现证书的存储和查询功能，在大规模网络模型中，终端无需经过数字证书与可信第三方进行绑定以及无需频繁向第三方ca发起请求，避免了传统公钥密码体系中因办理很多用户证书，而带来占用资源较多和认证过程繁琐等弊端，使得认证过程更加简单高效。
62.进一步地，请继续参阅图1，所述标识网络终端认证方法还包括：s800、当所述接收端接收所述第一数据包后，预设一个阈值时间，在所述阈值时间内，所述接收端直接接收所述发送端发送的所述第一数据包，若超过所述阈值时间，则需要通过所述公钥验证所述第一数据包。
63.具体地，在所述接收端完成一次验证所述第一数据包为可信之后，即验证与所述接收端通信的所述发送端可信之后，保存所述第一接入标识，还可以设置一个阈值时间，在所述阈值时间内，若所述发送端继续向所述接收端发送数据包（可称为第一数据包）时，所述接收端直接接收所述发送端后期发送的第一数据包，即无需继续进行签名认证；若超过了所述阈值时间，则所述接收端需要继续通过所述公钥验证所述发送端后期发送的第一数据包，从而减少了标识网络终端之间的重复验证，进一步地提升所述标识网络终端的认证速率以及减少资源的占用，这里将所述发送端发送的数据包均称为所述第一数据包。
64.为了更好的理解本发明，以下结合图8，对本发明的标识网络终端认证方法的工作原理进行详细的说明：如图8所示，接入网1和接入网2中均存在多个终端，例如终端a、终端a1、终端b和终端b1等，每个终端都可以是发送方或接收方，这里以接入网1中的终端a作为所述发送端与接入网2中的终端a1作为所述接收端进行通信为例：首先，在双方进行通信之前，先进行系统参数初始化（对应图8中的步骤
①
），向各个终端中写入各自的所述终端私钥、公钥生成算法和所述曲线参数组，其中，终端a（所述发送端）的终端私钥为k
sa
，终端a1（所述接收端）的终端私钥为k
sa1
；然后，若终端a想要与终端
a1通信，则终端a使用自身的终端私钥k
sa
将所述待发送信息生成签名k
sa
(message)，并构造所述第一数据包发送给与所述终端a连接的asr（接入交换路由器，这里所述终端a连接的asr为所述第一接入交换路由器）（对应图8中的步骤
②
），所述第一数据包中源地址为终端a的接入标识aids（第一接入标识），目的地址为终端a1的接入标识aidd（第二接入标识）；所述终端a的接入标识aids、所述终端a1的接入标识aidd和所述签名k
sa
(message)（用户a私钥）依次排列存在于所述第一数据包中。
65.其次，所述第一数据包到达所述第一接入交换路由器后，所述第一接入交换路由器通过解析所述第一数据包后，提取得到所述第一数据包中的源接入标识（第一接入标识）和目的接入标识（第二接入标识），并查询映射服务器中的映射关系表中所述终端a的接入标识aids和所述终端a1的接入标识aidd分别对应的所述第一路由标识rids（源路由标识）和所述第二路由标识ridd（目的路由标识），再向所述第一接入交换路由器返回；而所述第一接入交换路由器在收到路由标识后，将其封装在所述第一数据包的首部前面，即将所述第一路由标识rids和所述第二路由标识ridd封装在所述终端a的接入标识aids的前面，得到所述第二数据包，再将所述第二数据包向核心网中转发（对应图8中的步骤
③
），此时，所述第一路由标识rids、所述第二路由标识ridd、所述终端a的接入标识aids、所述终端a1的接入标识aidd和所述签名k
sa
(message)依次排列存在于所述第一数据包中；其中，核心网由两个asr和两个cr（核心路由器）组成。
66.再者，所述核心网中的cr根据所述第二数据包中的所述第一路由标识rids和所述第二路由标识ridd选择相应的转发路径进行传输所述第二数据包至所述第二接入交换路由器（同样对应图8中的步骤
③
）；当所述第二数据包到达接入网2边缘时，所述第二接入交换路由器执行解封装操作，将核心网首部删除，仅保留接入网1的部分，即仅删除所述第二数据包中的所述第一路由标识和所述第二路由标识，还原得到所述第一数据包，并将所述第一数据包发送到终端a1（对应图8中的步骤
④
）；最后，终端a1在接收到终端a发送的所述第一数据包后，根据所述曲线参数组及终端a的身份aids使用所述公钥生成算法生成对应公钥k
pa
（用户a公钥），用以验证发送方是否可信：若验证成功，则接收来自终端a1的所述第一数据包；若验证失败，则丢弃来自终端a1的所述第一数据包（对应图8中的步骤
⑤
）。其中，aids为源接入标识；aidd为目的接入标识；rids为源路由标识；ridd为目的路由标识；k
sa
为用户a私钥；k
pa
为用户a公钥。
67.但是，图8中只是展示了任选的所述发送端：终端a与任选的所述接收端：终端a1之间的认证通信过程，一个完整的通信周期还请参阅图9，其中，图9中表示的是终端1与终端2的认证通信的全过程，在终端2完成了一次对所述签名信息的验证后，还对阈值时间进行检测，若在所述阈值时间之内，则所述接收端直接接收所述发送端后期发送的第一数据包，若超过了所述阈值时间，则需要所述公钥重新认证所述发送端后期发送的第一数据包。
68.进一步地，请参阅图10，本发明提供的一种标识网络终端认证系统，所述标识网络终端认证系统包括：私钥生成器10、发送端20、第一接入交换路由器30、核心路由器40、第二接入交换路由器50和接收端60；所述私钥生成器10分别与所述发送端20和所述接收端60连接；所述发送端20、所述第一接入交换路由器30、所述核心路由器40、所述第二接入交换路由器50和所述接收端60之间依次通信连接；
所述私钥生成器10用于在进行网络初始化后，将曲线参数组、公钥生成算法和各自的终端私钥分别写入到接收端和发送端中；所述发送端20用于使用所述终端私钥对待发送信息进行签名后，根据第一接入标识和第二接入标识，将经过签名后的所述待发送信息构造成第一数据包，并发送给第一接入交换路由器30；所述第一接入交换路由器30用于根据所述第一数据包中的所述第一接入标识和所述第二接入标识，对应获得第一路由标识和第二路由标识后构造第二数据包，并发送至核心路由器40；所述核心路由器40用于根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包转发至第二接入交换路由器50；所述第二接入交换路由器50用于对所述第二数据包进行解封装，还原得到所述第一数据包，并将所述第一数据包发送至所述接收端60；所述接收端60用于接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥；以及用于利用所述公钥验证所述第一数据包的可信性，若验证通过则接收所述第一数据包。
69.具体地，在任意一个所述发送端和任意一个所述接收端双方通信之前，首先进行系统参数初始化，所述私钥生成器10向各个所述终端（包括发送端和接收端）中写入各自的终端私钥、所述公钥生成算法、所述曲线参数组和所述曲线参数组生成方法；然后，所述发送端20使用所述终端私钥对所述待发送信息进行签名，将所述发送端20的接入标识（第一接入标识）、所述接收端60的接入标识（第二接入标识）和经过签名后的所述待发送信息一起构造成所述第一数据包，并向第一接入交换路由器30发送；其次，所述第一接入交换路由器30对接收到的所述第一数据包进行解析，得到所述第一接入标识和所述第二接入标识，所述第一接入交换路由器30并根据所述第一接入标识获得第一路由标识，以及根据所述第二接入标识获得第二路由标识，再根据所述第一路由标识、所述第二路由标识和所述第一数据包一起构造所述第二数据包后，发送至核心路由器40；所述核心路由器40则会根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包沿着相应的转发路径转发至所述第二接入交换路由器50；再者，所述第二接入交换路由器50对所述第二数据包进行解封装，还原得到所述第一数据包，所述第二接入交换路由器30再将所述第一数据包发送至所述接收端60；接下来，所述接收端60接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成所述公钥；最后，所述接收端60利用生成的所述公钥验证所述第一数据包的可信性，若验证所述第一数据包具有可信性就接收所述第一数据包，否则，将所述第一数据包直接丢弃。
70.本发明中利用标识网络中的aid唯一标识用户的特性，利用用户身份信息完成身份认证，支持用户对发送数据包来源的验证，无需可信第三方参与认证过程，具有认证效率高和资源消耗小的特点，同时，无需建立ca来保存用户证书信息，有效地避免了传统公钥密码体系中存储空间不足、查询效率低下带来的种种弊端；并且，在无基础设施环境中，终端认证功能不受影响；在多域协同环境中不需要为认证添加额外部署设备，可扩展性强。
71.更进一步地，所述私钥生成器包括：初始化模块；所述发送端包括：数字签名模块；所述接收端包括：曲线参数组获取模块和身份验证模块；所述初始化模块包括：曲线参数组生成模块、主私钥参数生成模块、终端私钥生成模块和密钥参数管理模块；所述数字签名模块包括：私钥获取模块、消息摘要生成模块、签名生成模块和数据包发送模块；所述身份验证模块包括：数字签名读取模块、公钥获取模块和签名验证模块；所述密钥参数管理模块分别与所述曲线参数组生成模块、所述终端私钥生成模块、所述私钥获取模块和所述公钥获取模块连接，所述终端私钥生成模块还与所述主私钥参数生成模块连接，所述签名生成模块分别与所述私钥获取模块、所述消息摘要生成模块和所述数据包发送模块连接；所述签名验证模块分别与所述公钥获取模块和所述数字签名读取模块连接；所述公钥获取模块还与所述曲线参数组生成模块连接；所述初始化模块用于在初始化阶段时，生成所述曲线参数组、所述公钥生成算法、各个终端私钥和终端私钥生成算法；其中，所述曲线参数组生成模块用于生成所述曲线参数组和曲线参数组生成算法，并传输至所述密钥参数管理模块，以及用于利用所述公钥生成算法对所述曲线参数组和所述第一接入标识生成所述公钥；所述主私钥参数生成模块用于生成主私钥；所述终端私钥生成模块用于生成所述终端私钥，并传输至所述密钥参数管理模块；所述密钥参数管理模块用于将公钥生成算法和各自的终端私钥对应地写入所述数字签名模块和所述公钥获取模块；所述数字签名模块用于利用所述终端私钥对所述待发送信息进行签名，得到经过签名后的所述待发送信息；其中，所述私钥获取模块用于创建类并保存所述终端私钥；所述消息摘要生成模块用于将所述待发送信息中的待签名内容变为定长摘要值；所述签名生成模块用于使用所述终端私钥签名所述定长摘要值后，得到经过签名后的所述待发送信息，以作为最终发送的签名信息；所述数据包发送模块用于构造所述第一数据包，并向所述第一接入交换路由器传输；所述曲线参数组获取模块用于获取初始化模块中的所述曲线参数组，并传输至所述身份验证模块；所述身份验证模块用于利用所述公钥验证经过签名后的所述待发送信息；其中，所述数字签名读取模块用于读取所述第一数据包中的数字签名，并传输至所述签名验证模块；所述公钥获取模块用于获取所述曲线参数组生成模块传递的公钥，并传输至所述签名验证模块；所述签名验证模块用于利用所述公钥认证所述数字签名。
72.具体地，由于本发明中的所述标识网络终端认证方法是基于椭圆曲线密码体制，且所述标识网络终端认证方法应用在所述标识网络终端认证系统上，所以，将所述标识网络终端认证系统按照工作实现机理进行模块化介绍，具体地所述标识网络终端认证系统的内部功能模块则如图11所示，一共可以分为初始化模块、数字签名模块、曲线参数组获取模块和身份验证模块四部分：所述初始化模块在网络初始化时运行，功能是生成认证所需的参数，包括所述公钥生成算法、公钥参数、各个终端私钥和终端私钥生成算法；所述初始化模块的工作原理又可以分为四个阶段：所述曲线参数组生成模块、所述主私钥参数生成模块、所述终端私钥生成模块和所述密钥参数管理模块，如图12所示。
73.其中，所述主私钥和所述曲线参数组由参数配置文件（a.propertities）和随机数直接生成，相应地在所述主私钥参数生成模块和所述曲线参数组生成模块中进行，所述终端私钥由终端提供的aid（终端各自的aid，包括所述第一接入标识和所述第二接入标识）、所述主私钥和所述曲线参数组共同生成，在所述终端私钥生成模块中进行，即所述发送端中的终端私钥生成模块根据所述第一接入标识、所述主私钥和所述曲线参数组生成所述发送端的终端私钥，所述接收端中的终端私钥生成模块根据所述第二接入标识、所述主私钥和所述曲线参数组生成所述接收端的终端私钥。所述主私钥则由pkg（私钥生成器）进行本地存储，不进行全网公开；所述曲线参数组、所述曲线参数组生成方法和终端私钥则通过所述密钥参数管理模块分别写入所述发送端中的所述数字签名模块和所述接收端中的所述公钥获取模块，写入过程均离线完成。在实际网络运行过程中，pkg不参与认证过程。
74.所述数字签名模块在发送端发送数据包前运行，存在于所有终端中，功能是使用离线写入的终端私钥对所述待发送信息进行签名，得到经过签名后的所述待发送信息；所述数字签名模块的内部工作机理又可以分为四个阶段：所述私钥获取模块、所述消息摘要生成模块、所述签名生成模块和所述数据包发送模块，如图13所示。
75.所述终端私钥由所述初始化模块离线写入终端，所述私钥获取模块创建类保存所述终端私钥，所述消息摘要生成模块使用sha256算法（sha256算法使用的哈希值长度是256位，属于一种哈希函数）将所述待发送信息中的待签名内容（待签名内容是即将变为消息摘要的用户身份aid和时间戳）变为所述定长摘要值；然后，所述签名生成模块则使用所述终端私钥签名所述定长摘要值后，得到经过签名后的所述待发送信息，以此作为最终发送的签名信息（k
sa
(message)）；最后，通过所述数据包发送模块构造所述第一数据包（标识网络通信数据包），向所述第一接入交换路由器传输。
76.所述曲线参数组生成模块在所述接收端接收到所述第二数据包时运行，功能是根据离线写入的所述曲线参数组及发送端aid（第一接入标识），使用公钥生成算法生成用于签名验证的所述公钥，发送端aid由所述第一数据包解析得到。
77.其中，所述公钥的组成部分包括：(parameters, g1, g2, uprime, mprime, us, ms)，具体参数组成如图14所示；其中，parameters包括（curveparams，g，nu和nm），cueveparams是椭圆曲线参数，g1, g2,uprime, mprime, us和ms均是g1群组中的元素，nu和nm是用户在初始化阶段自定义的参数；g1=g
alpha
，alpha是zr群组中的一个元素。
78.所述身份验证模块在接收端收到所述曲线参数组生成模块发送的所述曲线参数组后执行，所述身份验证模块的功能是使用所述公钥验证终端签名（签名信息）。所述身份验证模块的内部工作机理又可以分为三个阶段：所述数字签名读取模块、所述公钥获取模块和所述签名验证模块，如图15所示。
79.其中，所述数字签名读取模块读取所述第一数据包中的数字签名（签名信息），所述公钥获取模块则用于获取所述曲线参数组生成模块传递的公钥，而所述签名验证模块则用所述公钥对数字签名进行认证，即根据所述公钥对所述第一数据包中的所述待发送信息使用所述公开算法再次生成签名内容，与所述第一数据包中的签名内容对比，若一致则认为发送方（发送端）可信，接收所述第一数据包；若不一致就认为发送方不可信，将所述第一数据包直接丢弃。
80.进一步地，本发明还提供了一种计算机可读存储介质，所述计算机可读存储介质
存储有标识网络终端认证方法，所述标识网络终端认证方法被处理器执行时实现如上所述的标识网络终端认证方法的步骤；由于上述对所述标识网络终端认证方法的步骤进行了详细的描述，在此不再赘述。综上所述，本发明提供的一种标识网络终端认证方法及相关设备，所述方法包括：私钥生成器进行网络初始化后，将曲线参数组、公钥生成算法和各自的终端私钥分别写入到接收端和发送端中；所述发送端使用所述终端私钥对待发送信息进行签名后，根据第一接入标识和第二接入标识，将经过签名后的所述待发送信息构造成第一数据包，并发送给第一接入交换路由器；所述第一接入交换路由器根据所述第一数据包中的所述第一接入标识和所述第二接入标识，对应获得第一路由标识和第二路由标识后构造第二数据包，并发送至核心路由器；所述核心路由器根据所述第二数据包中的所述第一路由标识和所述第二路由标识选择相应的转发路径，并将所述第二数据包转发至第二接入交换路由器；所述第二接入交换路由器对所述第二数据包进行解封装，还原得到所述第一数据包，并将所述第一数据包发送至所述接收端；所述接收端接收所述第一数据包后，提取所述第一数据包中的所述第一接入标识，并根据所述第一接入标识、所述曲线参数组和所述公钥生成算法生成公钥；所述接收端利用所述公钥验证所述第一数据包的可信性，若验证通过则接收所述第一数据包。通过发送端根据第一接入标识构造第一数据包，而接收端根据第一接入标识进行验证，实现对待发送信息的一对一加解密，有效地提高了标识网络终端认证的安全性和效率。
81.可以理解的是，对本领域普通技术人员来说，可以根据本发明的技术方案及其发明构思加以等同替换或改变，而所有这些改变或替换都应属于本发明所附的权利要求的保护范围。