專利名稱：使用ibe的高效nemo安全的制作方法
技術(shù)領(lǐng)域：
概括地說，本公開內(nèi)容涉及移動計算機(jī)網(wǎng)絡(luò)，具體地說，本公開內(nèi)容是關(guān)于向網(wǎng)絡(luò)移動性(NEMO)提供高效的安全方案。
背景技術(shù)：
移動IP可以允許對互聯(lián)網(wǎng)協(xié)議(IP)數(shù)據(jù)報(或分組)進(jìn)行獨立于位置的路由。在IPv4和IPv6網(wǎng)絡(luò)中均可以使用移動IP。在互聯(lián)網(wǎng)工程任務(wù)組(IETF)請求注解(RFC) 3344 中描述了 IPv4網(wǎng)絡(luò)的移動IP，并在IETFRFC 4721中添加了更新，在IETF RFC 3775中描述了 IPv6網(wǎng)絡(luò)的移動IP (簡稱為移動IPv6)。在移動IP中，當(dāng)移動節(jié)點位于其歸屬網(wǎng)絡(luò)時，其可以與歸屬代理(home agent,HA)相關(guān)聯(lián)，并可以被分配有歸屬地址。HA可以存儲與歸屬地址位于該HA的網(wǎng)絡(luò)中的移動節(jié)點有關(guān)的信息。當(dāng)移動節(jié)點漫游出其歸屬網(wǎng)絡(luò)時，其可以與外地代理(foreign agent,FA)相關(guān)聯(lián)，并被分配有標(biāo)識其在外地網(wǎng)絡(luò)中的當(dāng)前位置的轉(zhuǎn)交地址(CoA)。即使移動節(jié)點可以與歸屬地址和CoA均相關(guān)聯(lián)，但不管其在互聯(lián)網(wǎng)中的當(dāng)前位置怎樣，該移動節(jié)點都可以由其歸屬地址進(jìn)行標(biāo)識。網(wǎng)絡(luò)移動性(NEMO)是移動IP協(xié)議的擴(kuò)展。IETF網(wǎng)絡(luò)移動性工作組在RFC 3963中公布了網(wǎng)絡(luò)移動性基本支持協(xié)議。NEMO被設(shè)計為支持整個移動網(wǎng)絡(luò)(即，移動并連接到互聯(lián)網(wǎng)中的不同點的移動網(wǎng)絡(luò))的移動性。當(dāng)移動網(wǎng)絡(luò)移動時,NEMO可以允許該網(wǎng)絡(luò)中的每ー個節(jié)點的會話連續(xù)性。為了安全目的，NEMO建議使用互聯(lián)網(wǎng)協(xié)議安全(IPSec)和安全關(guān)聯(lián)(SA)。但是，對于基于NEMO的網(wǎng)絡(luò)來說，IPSec和SA可能引入處理開銷，包括與認(rèn)證、返回路由能力(RR)、協(xié)議封裝等等有關(guān)的開銷，這些對于NEMO安全結(jié)構(gòu)設(shè)計的效率可能具有負(fù)面影響。


通過附圖中所示的示例性說明(而不是限制)描述了本公開內(nèi)容的實施例，其中，相同的參考標(biāo)記表示相似的元件，其中圖I示出了根據(jù)本公開內(nèi)容的各個實施例適合于基于NEMO和IBE進(jìn)行通信的示例性設(shè)備；圖2示出了根據(jù)本公開內(nèi)容的各個實施例基于NEMO和IBE的示例性通信系統(tǒng)；圖3的流程圖示出了根據(jù)本公開內(nèi)容的各個實施例在NEMO中使用IBE的示例性操作的一部分；圖4示出了適合用于實現(xiàn)本公開內(nèi)容的各個實施例的示例性計算機(jī)系統(tǒng)。
具體實施例方式在下面的詳細(xì)描述中參照了附圖，所述附圖形成了詳細(xì)描述的一部分，并且其中，通過可以在其中實現(xiàn)本公開內(nèi)容的示例性實施例來進(jìn)行示出。應(yīng)當(dāng)理解的是，可以使用其它實施例，并且可以進(jìn)行結(jié)構(gòu)或者邏輯上的改變，而不脫離本公開內(nèi)容的范圍。因此，下面進(jìn)行的詳細(xì)描述并不是限制性的，并且根據(jù)本公開內(nèi)容的實施例的范圍是由所附權(quán)利要求及其等同形式來限定的。以有助于理解本公開內(nèi)容的實施例的方式，將各操作描述成依次的多個分立的操作；但是，不應(yīng)當(dāng)將描述順序解釋為意味著這些操作是依賴于順序的?？梢允褂眯g(shù)語“耦合的”和“連接的”以及它們的派生詞。應(yīng)當(dāng)理解的是，這些術(shù)語并不是要作為彼此的同義詞。相反，在特定的實施例中，“連接的”可以用于表示兩個或更多個元件彼此直接物理或電接觸。“耦合的”可以表示兩個或更多個元件直接物理或電接觸。 但是，“耦合的”也可以表示兩個或更多個元件并不是彼此直接接觸的，但是彼此之間仍進(jìn)行協(xié)作或交互。為了描述目的，“A/B”形式或者“A和/或B”形式的短語表示(A)、⑶或者(A和B)。為了描述目的，“ A、B和C中的至少ー個”形式的短語表示(A)、(B)、(C)、(A和B)、(A和C)、(B和C)或者(A、B和C)。為了描述目的，“ (A)B”形式的短語表示⑶或者(AB)，也就是說，A是可選兀件。本描述可以使用短語“在一個實施例中”或者“在實施例中”，其中每ー個可以指代一個或多個相同的或不同的實施例。此外，如關(guān)于本公開內(nèi)容的實施例所使用的，術(shù)語“包括”、“包含”、“具有”等等是同義的。為了安全目的，NEMO建議使用互聯(lián)網(wǎng)協(xié)議安全(IPSec)和安全關(guān)聯(lián)(SA)?；讦ウ?，整個子網(wǎng)絡(luò)(包括該子網(wǎng)絡(luò)的移動節(jié)點)可以從其歸屬網(wǎng)絡(luò)漫游到外地網(wǎng)絡(luò)，并連接到該外地網(wǎng)絡(luò)。根據(jù)NEMO/移動IP，可以向該移動節(jié)點提供CoA。移動節(jié)點可以通過ー個或多個綁定更新，向其在歸屬網(wǎng)絡(luò)中的HA發(fā)送該CoA，以向該HA通知該移動節(jié)點的當(dāng)前位置。之后，可以在歸屬網(wǎng)絡(luò)和外地網(wǎng)絡(luò)之間建立端到端的、IPSec封裝安全載荷(ESP)保護(hù)的雙向隧道。但是，由于該移動節(jié)點仍然與其歸屬網(wǎng)絡(luò)中的歸屬地址相關(guān)聯(lián)，因此對端節(jié)點(correspondent node)可以通過向該移動節(jié)點的歸屬地址發(fā)送分組來繼續(xù)與該移動節(jié)點進(jìn)行通信。這些分組可以由該移動節(jié)點的在其歸屬網(wǎng)絡(luò)中的HA接收，并經(jīng)由IPSec隧道被轉(zhuǎn)發(fā)到處于外地網(wǎng)絡(luò)中的該移動節(jié)點。具體而言，HA可以使用IPSec隧道的入口點和出口點作為源地址和目的地址，來構(gòu)造IP報頭的外層。但是，如果包括該移動節(jié)點的子網(wǎng)絡(luò)通過ー個或多個另外的跳(hop)漫游到另ー網(wǎng)絡(luò)，則可以沿著該路線在這些網(wǎng)絡(luò)中的每ー個之間建立単獨的IPSec隧道。之后，來自對端節(jié)點的分組在到達(dá)該移動節(jié)點之前，可能經(jīng)過許多IPSec隧道。如果可以將連接到接近于網(wǎng)絡(luò)邊緣的接入路由器(AR)的移動節(jié)點視為頂層的樹節(jié)點，則在漫游η次之后，到達(dá)該移動節(jié)點的路徑可能需要沿著該樹向下進(jìn)入更深的第η層。當(dāng)移動節(jié)點進(jìn)ー步遠(yuǎn)離吋，HA和/或網(wǎng)絡(luò)可能會負(fù)荷過重，并具有深度為η的路由分支，從而增加了路由成本，并降低了基于NEMO的網(wǎng)絡(luò)的可擴(kuò)展性。此外，當(dāng)連接到使用IPSec的不同隧道之間的不同安全關(guān)聯(lián)(SA)時，這些SA可能需要各自與彼此協(xié)商所支持的加密關(guān)聯(lián)。同樣，IPSec使用的SA機(jī)制可能對于遵循NEMO的網(wǎng)絡(luò)施加了另外的開銷。因此，使用IPSec和SA作為在NEMO中提供安全的方法所產(chǎn)生的開銷，對于NEMO網(wǎng)絡(luò)的移動性和可靠性來說可能是繁重的。在本公開內(nèi)容的各個實施例中，可以使用基于身份的加密(IBE)來潛在地減少由于過多的IPSec封裝所造成的開銷。在IETF所公布的RFC 5408中公開了 IBE的基本概念。圖I示出了根據(jù)本公開內(nèi)容的各個實施例適合于基于NEMO和IBE的通信網(wǎng)絡(luò)的示例性設(shè)備。設(shè)備100可以包括接收機(jī)110、發(fā)射機(jī)120、密鑰生成器130、加密引擎140和解密引擎150，這些部件通過所示的總線160與彼此耦合，并具有用于實現(xiàn)本公開內(nèi)容的方法的邏輯，這些方法將在下文中進(jìn)ー步描述。雖然圖I列出了不同的組件，但應(yīng)當(dāng)理解的是，這些組件中的一個或多個可以集成到單ー組件中，或者被進(jìn)ー步細(xì)分。例如，可以將加密引擎140和解密引擎150組合成単一的密碼引擎。設(shè)備100可以包括圖I中沒有示出的其它組件，例如電源、天線、存儲器等。在各個實施例中，可以用諸如專用集成電路(ASIC)、現(xiàn)場可編程門陣列(FPGA)之類的硬件、或者用在通用處理器(或處理器核)上運行的軟件 或者其組合，來實現(xiàn)組件110到150。此外，組件110到150可以通過其它類型的互連(例如，點到點連接等)來與彼此耦合。圖2示出了根據(jù)本公開內(nèi)容的各個實施例基于NEMO和IBE的示例性無線通信系統(tǒng)。如所示的，通信系統(tǒng)200可以包括多個遵循NEMO的通信網(wǎng)絡(luò)210、220和230等。遵循NEMO的通信網(wǎng)絡(luò)210到230可以通過ー個或多個其它網(wǎng)絡(luò)205與彼此耦合。所述ー個或多個網(wǎng)絡(luò)205可以包括任意大小和拓?fù)涞木W(wǎng)絡(luò)(其可以遵循NEMO或可以不遵循NEMO)，并且可以是ー個或多個專用網(wǎng)絡(luò)和/或公共網(wǎng)絡(luò)(包括通常稱為互聯(lián)網(wǎng)的網(wǎng)絡(luò)云)或者其混合。圖2中的遵循NEMO的通信網(wǎng)絡(luò)的數(shù)量只是用于說明目的。雖然圖2示出了 3個遵循NEMO的通信網(wǎng)絡(luò)，但是通信系統(tǒng)200可以包括更多或者更少的遵循NEMO的通信網(wǎng)絡(luò)。在各個實施例中，通信網(wǎng)絡(luò)210可以包括歸屬代理(HA)211和對端節(jié)點(CN)212。通信網(wǎng)絡(luò)220可以包括HA 221、移動路由器(MR) 222和移動網(wǎng)絡(luò)節(jié)點(MNN) 223。MR 222、MNN 223和CN 212可以是基于設(shè)備100的設(shè)備，合并有本公開內(nèi)容的教導(dǎo)，如圖I中所示。通信系統(tǒng)200還可以包括私鑰/公鑰生成器(PKG)服務(wù)器201。在各個實施例中，PKG服務(wù)器201可以持有主公鑰和相對應(yīng)的主私鑰。主公鑰/主私鑰可以靜態(tài)地創(chuàng)建或者動態(tài)地生成。在接收到對主公鑰的請求吋，PKG服務(wù)器201可以在必要的認(rèn)證和授權(quán)之后，向請求者公布主公鑰，而保留主私鑰。類似地，在接收到對主私鑰的請求吋，PKG服務(wù)器201可以在認(rèn)證和對授權(quán)的驗證之后，向請求者公布主私鑰，而保留主公鑰。PKG服務(wù)器201可以是專用的服務(wù)，或者可以集成為存在于通信系統(tǒng)200中的另一服務(wù)(包括web服務(wù))的一部分。PKG服務(wù)器201可以用軟件或者硬件來實現(xiàn)，并且可以是集中式的或分布式的。在各個實施例中，PKG服務(wù)器201進(jìn)行的認(rèn)證以及對授權(quán)的驗證是可選的。在各個實施例中，通信系統(tǒng)200的實體，包括CN 212,MR 222,MNN 223,HA 211和/或HA 221，可以與PKG服務(wù)器201進(jìn)行通信，以獲得主公鑰或者主私鑰，并且可以通過密鑰生成器130生成必要的加密/解密密鑰。在各個實施例中，MR 222可以充當(dāng)MNN 223的路由器，并向MNN 223提供網(wǎng)絡(luò)接入。如果MNN 223希望與CN 212通信，則MNN 223可以首先向MR 222發(fā)送指定給CN 212的分組。MR 222可以通過其接收機(jī)110從MNN 223接收分組，并通過其發(fā)射機(jī)120將這些分組轉(zhuǎn)發(fā)給CN 212。這些分組在到達(dá)CN 212之前可能經(jīng)過ー個或多個中間路由器和HA。在各個實施例中，MR 222和MNN 223可以從網(wǎng)絡(luò)220漫游到網(wǎng)絡(luò)230。MR 222可以連接到網(wǎng)絡(luò)230的MR 232。網(wǎng)絡(luò)230的FA (沒有示出)可以向MNN 223和MR 222中的每ー個都提供CoA。在各個實施例中，如果MR 222和/或MNN 223想要與CN 212進(jìn)行通信，則MR 222和/或MNN 223可以使用CN 212的歸屬地址作為CN 212的標(biāo)識。MR 222和/或MNN 223可以確定其是否具有CN 212的有效的遵循IBE的公鑰。如果MR 222和/或MNN 223尚不具有CN 212的遵循IBE的公鑰，或者如果現(xiàn)有的遵循IBE的公鑰是無效的(例如，到期的)，則MR 222和/或MNN 223可以聯(lián)系PKG服務(wù)器201，以請求主公鑰(MPubK)。MR 222和/或MNN 223可以通過密鑰生成器130生成CN 212的唯一的遵循IBE的公鑰?？梢酝ㄟ^各種方法來生成CN 212的遵循IBE的公鑰。在一個實施例中，MR 222和/或MNN 223的密鑰生成器130可以通過對所述MPubK與CN 212的標(biāo)識(即，其歸屬地址)執(zhí)行異或(XOR)運算，來生成CN 212的遵循IBE的公鑰。隨后，MR 222和/或MNN 223可以通過由加密引 擎140用CN 212的遵循IBE的公鑰對要向CN 212發(fā)送的明文消息進(jìn)行加密，來生成密文。隨后，MR 222和/或MNN 223可以根據(jù)NEMO和移動IP，通過發(fā)射機(jī)120向CN 212發(fā)送加密的消息。在各個實施例中，當(dāng)CN 212通過其接收機(jī)110接收到加密的消息吋，CN 212可以首先確定其是否具有有效的遵循IBE的私鑰。如果CN 212尚不具有遵循IBE的私鑰，或者如果現(xiàn)有的遵循IBE的私鑰是無效的(例如，到期的)，則CN 212可以聯(lián)系PKG服務(wù)器201，以獲得主私鑰(MPrvK)。隨后，CN 212可以通過密鑰生成器130來生成其遵循IBE的私鑰，例如，通過對所述MPrvK與CN 212的歸屬地址執(zhí)行異或運算。在獲得其遵循IBE的私鑰之后，CN 212可以使用該遵循IBE的私鑰，通過解密引擎150對來自MNN 223的消息進(jìn)行解密。由于這些消息是基于IBE進(jìn)行加密的，因此可以在無需在CN 212與MR 222和/或MNN223之間建立隧道和使用昂貴的封裝的情況下發(fā)送這些消息，從而提高了通信的效率。在各個實施例中，產(chǎn)生遵循IBE的私鑰的方法可以不與產(chǎn)生遵循IBE的公鑰的方法相同或者對稱，只要所產(chǎn)生的遵循IBE的私鑰可以成功地對遵循IBE的公鑰所編碼的消息進(jìn)行解密即可。在各個實施例中，如果CN 212想要與MR 222和/或MNN 223進(jìn)行通信，則CN 212可以同樣地執(zhí)行上面描述的類似的IBE加密方法。可以使用MNN 223和MR 222的CoA作為MNN 223和MR 222的標(biāo)識。例如，CN 212可以通過CN 212的密鑰生成器130對MPubK與MNN 223和/或MR 222的Cok執(zhí)行異或運算，來計算遵循IBE的公鑰。隨后，CN 212可以基于所生成的公鑰，通過其加密引擎140對消息進(jìn)行加密。CN 212可以通過發(fā)射機(jī)120來發(fā)送加密的消息。同樣，MR 222和/或MNN 223可以通過其接收機(jī)110來接收該消息；通過密鑰生成器130對MPrvK與MR 222和/或MNN 223的CoA執(zhí)行異或運算，來計算其遵循IBE的私鑰；并使用該私鑰通過解密引擎150對來自CN 212的消息進(jìn)行解密。在各個實施例中，可以只在需要的時候才進(jìn)行對遵循IBE的公鑰/私鑰的計算和/或聯(lián)系PKG服務(wù)器201。例如，可以僅當(dāng)CN 212或者M(jìn)R 222獲得新的CoA時，或者當(dāng)遵循IBE的公鑰/私鑰到期時，才執(zhí)行對遵循IBE的公鑰/私鑰的計算。此外，在NEMO中使用IBE，可以不必一次性地向通信網(wǎng)絡(luò)200的所有實體分發(fā)主公鑰/主密鑰，這是因為可以即時地提供這些密鑰。在各個其它實施例中，CN 212可以使用MR 222的歸屬地址或者M(jìn)NN 223的歸屬地址作為其標(biāo)識，而不管它們的位置。CN 212可以通過獲得MPubK并進(jìn)行與MR 222或MNN223的歸屬地址的異或，來計算MR 222或MNN 223的遵循IBE的公鑰。由于MR 222或MNN223的歸屬地址可以保持不變，而不管MR 222和/或MNN 223的實際位置，因此這消除了CN 212知曉MR 222或MNN 223的Cok的需要，提供了會話連續(xù)性，并進(jìn)ー步簡化了通信過程。圖3的流程圖示出了根據(jù)本公開內(nèi)容的各個實施例在NEMO中使用IBE的示例性操作的一部分。在向CN 212進(jìn)行發(fā)送之前，MR 222可以確定需要CN 212的遵循IBE的加密密鑰。在310，為了生成CN 212的遵循IBE的加密密鑰，MR 222可以聯(lián)系PKG服務(wù)器201以獲得主公鑰，并且PKG服務(wù)器201可以向MR 222授予主公鑰。在320，MR 222可以通過密鑰生成器130來計算CN 212的遵循IBE的加密密鑰，例如，通過獲得主公鑰并執(zhí)行與CN 212的歸屬地址的異或(XOR)運算。在330，MR 222可以通過發(fā)射機(jī)120向CN 212發(fā)送密文。CN 212可以確定需要CN 212的遵循IBE的解密密鑰。在340，在接收到該消息之后，CN 212可以聯(lián)系PKG服務(wù)器201以獲得主私鑰，并且PKG服務(wù)器201可以向CN 212授予主私鑰。隨后，在350，CN 212可以使用該主私鑰來通過其密鑰生成器130生成CN 212的遵循IBE的加密密鑰，并通過解密引擎150對加密的消息進(jìn)行解密。CN 212可以例如通過在主私鑰和CN 212的歸屬地址之間執(zhí)行異或運算，來生成遵循IBE的私鑰。圖4示出了適合用于實現(xiàn)本公開內(nèi)容的各個實施例的示例性計算機(jī)系統(tǒng)。如所示的，計算系統(tǒng)400可以包括多個處理器或者處理器核402、系統(tǒng)存儲器404和通信接ロ 410。對于本申請(包括權(quán)利要求書)，除非上下文以另外的方式明確地要求，否則可以將術(shù)語“處理器”和“處理器核”視作為同義的。另外，計算系統(tǒng)400可以包括有形的非臨時性的大容量存儲設(shè)備406 (例如包括磁盤、硬盤驅(qū)動器、光盤只讀存儲器(CDROM)等等的制品)、輸入/輸出設(shè)備408(例如鍵盤、光標(biāo)控制等等)。這些元件可以通過系統(tǒng)總線412彼此耦合，其中系統(tǒng)總線412表示一個或多個總線。在多個總線的情況下，通過ー個或多個總線橋(沒有示出)來橋接這些總線。這些元件中的每ー個可以執(zhí)行其在本領(lǐng)域中公知的常規(guī)功能。具體而言，系統(tǒng)存儲器404和有形的非臨時性的大容量存儲406可以用于存儲編程指令的工作拷貝和永久拷貝(本文將其統(tǒng)一表示為422)，其中所述編程指令實現(xiàn)ー個或多個操作系統(tǒng)、驅(qū)動程序、由遵循NEMO的通信網(wǎng)絡(luò)中的各種實體(其包括移動路由器、公鑰/私鑰生成器、歸屬代理、夕卜地代理等等中的ー個或多個)所實現(xiàn)的應(yīng)用。可以在エ廠或者在現(xiàn)場，通過例如諸如光盤(CD)之類的分發(fā)介質(zhì)(沒有示出)，或者通過(來自分發(fā)服務(wù)器(沒有示出)的)通信接ロ 410，將編程指令的永久拷貝放置在永久存儲406中。也就是說，可以使用具有代理程序的實現(xiàn)的ー個或多個分發(fā)介質(zhì)，來將該代理和程序分發(fā)到各個計算設(shè)備。這些元件402-412的其余結(jié)構(gòu)是公知的，故不再進(jìn)ー步描述。雖然本文已經(jīng)示出并描述了特定的實施例，但本領(lǐng)域普通技術(shù)人員應(yīng)當(dāng)理解的是，可以用多種多樣的替代和/或等同實現(xiàn)來替換所示出并描述的特定實施例，而不脫離本公開內(nèi)容的實施例的范圍。本申請g在涵蓋對本文討論的實施例的任何調(diào)整或變型。因此，本公開內(nèi)容的實施例顯然是要僅由權(quán)利要求及其等同形式來限 定。
權(quán)利要求
1.一種方法，包括 移動路由器從移動網(wǎng)絡(luò)節(jié)點接收要通過外地通信網(wǎng)絡(luò)向?qū)Χ斯?jié)點發(fā)送的消息，其中，所述移動路由器被配置為當(dāng)所述移動路由器和所述移動網(wǎng)絡(luò)節(jié)點處于歸屬通信網(wǎng)絡(luò)或者處于外地通信網(wǎng)絡(luò)時，向所述移動網(wǎng)絡(luò)節(jié)點提供網(wǎng)絡(luò)接入； 所述移動路由器基于所述對端節(jié)點的標(biāo)識來生成加密密鑰； 所述移動路由器基于所述加密密鑰對所述消息進(jìn)行加密；以及 所述移動路由器向所述對端節(jié)點發(fā)送加密的消息。
2.根據(jù)權(quán)利要求I所述的方法，還包括 所述移動路由器基于從所述移動網(wǎng)絡(luò)節(jié)點接收到所述消息，向密鑰服務(wù)器請求主公鑰；以及 所述移動路由器從所述密鑰服務(wù)器接收響應(yīng)于所述請求的主公鑰； 其中，生成所述加密密鑰包括進(jìn)一步基于所述主公鑰來生成所述加密密鑰。
3.根據(jù)權(quán)利要求2所述的方法，其中，生成所述加密密鑰包括對所述主公鑰和所述對端節(jié)點的標(biāo)識執(zhí)行異或運算。
4.根據(jù)權(quán)利要求1-3中的任何一個所述的方法，其中，所述對端節(jié)點的標(biāo)識包括與所述對端節(jié)點相關(guān)聯(lián)的歸屬網(wǎng)絡(luò)地址。
5.根據(jù)權(quán)利要求1-4中的任何一個所述的方法，還包括 所述移動路由器接收指示所述移動路由器和所述外地通信網(wǎng)絡(luò)之間的關(guān)聯(lián)的轉(zhuǎn)交地址(CoA)，以及 所述移動路由器向所述移動路由器的歸屬代理提供所述CoA。
6.根據(jù)權(quán)利要求1-5中的任何一個所述的方法,還包括 所述移動路由器從所述對端節(jié)點接收第二加密的消息； 所述移動路由器基于所述移動路由器的標(biāo)識和主私鑰來生成解密密鑰； 所述移動路由器對所述第二加密的消息進(jìn)行解密。
7.根據(jù)權(quán)利要求6所述的方法，其中，所述移動路由器的標(biāo)識包括所述移動路由器的在所述外地通信網(wǎng)絡(luò)中的轉(zhuǎn)交地址。
8.根據(jù)權(quán)利要求6所述的方法，其中，所述移動路由器的標(biāo)識包括所述移動路由器的在所述歸屬通信網(wǎng)絡(luò)中的歸屬地址。
9.一種制品，包括 用于使對端節(jié)點執(zhí)行包括以下的操作的模塊 從移動路由器接收加密的消息，其中，所述移動路由器通信地耦合到移動網(wǎng)絡(luò)節(jié)點，并且其中，所述移動路由器被配置為與所述移動網(wǎng)絡(luò)節(jié)點一起從歸屬通信網(wǎng)絡(luò)漫游到外地通信網(wǎng)絡(luò)，并被配置為在所述歸屬通信網(wǎng)絡(luò)和所述外地通信網(wǎng)絡(luò)中向所述移動網(wǎng)絡(luò)節(jié)點提供網(wǎng)絡(luò)接入； 基于所述對端節(jié)點的標(biāo)識和主私鑰來生成解密密鑰；以及 基于所述解密密鑰，對所述加密的消息進(jìn)行解密。
10.根據(jù)權(quán)利要求9所述的制品，其中，所述操作還包括 基于從所述移動路由器接收到所述消息，向密鑰服務(wù)器請求主私鑰；以及 從所述密鑰服務(wù)器接收基于所述請求的主私鑰；其中，生成所述解密密鑰包括進(jìn)一步基于所述主私鑰來生成所述解密密鑰。
11.根據(jù)權(quán)利要求10所述的制品，其中，生成所述加密密鑰包括對所述主公鑰和所述移動路由器的標(biāo)識執(zhí)行異或運算。
12.根據(jù)權(quán)利要求9-11中的任何一個所述的制品，其中，所述操作還包括 基于移動路由器的標(biāo)識來生成加密密鑰； 基于所述加密密鑰對消息進(jìn)行加密；以及 向所述移動路由器發(fā)送所述消息。
13.根據(jù)權(quán)利要求12所述的制品，其中，所述對端節(jié)點的標(biāo)識包括所述對端節(jié)點的在其歸屬網(wǎng)絡(luò)中的網(wǎng)絡(luò)地址。
14.根據(jù)權(quán)利要求13所述的制品，其中，所述對端節(jié)點的在其歸屬網(wǎng)絡(luò)中的網(wǎng)絡(luò)地址是IPv6地址。
15.一種裝置,包括 接收機(jī)，其被配置為從對端節(jié)點接收第一消息，其中所述裝置被配置為與移動節(jié)點一起從所述移動節(jié)點的歸屬網(wǎng)絡(luò)漫游到所述移動節(jié)點的外地網(wǎng)絡(luò)，并且其中，所述第一消息是使用基于所述移動節(jié)點的標(biāo)識的第一加密密鑰進(jìn)行加密的； 耦合到所述接收機(jī)的密鑰生成器，其被配置為基于所述移動節(jié)點的標(biāo)識來生成解密密鑰，并基于所述對端節(jié)點的標(biāo)識來生成第二加密密鑰； 耦合到所述密鑰生成器的解密引擎，其被配置為基于所述解密密鑰對所述第一消息進(jìn)行解密； 耦合到所述密鑰生成器的加密引擎，其被配置為基于所述第二加密密鑰對第二消息進(jìn)行加密；以及 發(fā)射機(jī)，其被配置為向所述對端節(jié)點發(fā)送所述第二消息。
16.根據(jù)權(quán)利要求15所述的裝置，其中，所述密鑰生成器還被配置為 基于所述第二消息，從密鑰服務(wù)器獲得主公鑰；以及 基于所述主公鑰和所述對端節(jié)點的標(biāo)識的異或運算，生成所述第二加密密鑰。
17.根據(jù)權(quán)利要求15-16中的任何一個所述的裝置，其中，所述對端節(jié)點的標(biāo)識是所述對端節(jié)點的在所述對端節(jié)點的歸屬網(wǎng)絡(luò)中的網(wǎng)絡(luò)地址。
18.根據(jù)權(quán)利要求15-17中的任何一個所述的裝置，其中，所述移動節(jié)點的歸屬網(wǎng)絡(luò)和外地網(wǎng)絡(luò)是遵循網(wǎng)絡(luò)移動性(NEMO)的通信網(wǎng)絡(luò)。
19.根據(jù)權(quán)利要求18所述的裝置，其中，所述接收機(jī)通信地耦合到移動路由器，并且所述移動路由器的標(biāo)識包括所述移動路由器的在所述移動節(jié)點的外地網(wǎng)絡(luò)中的轉(zhuǎn)交地址。
20.根據(jù)權(quán)利要求19所述的裝置，其中，所述移動路由器的標(biāo)識包括所述移動路由器的在所述移動節(jié)點的歸屬網(wǎng)絡(luò)中的歸屬地址。
全文摘要
提供了在遵循移動IP和/或網(wǎng)絡(luò)移動性(NEMO)的通信網(wǎng)絡(luò)中使用基于身份的加密(IBE)，以便當(dāng)選定的實體和其相關(guān)聯(lián)的裝置/系統(tǒng)在這些通信網(wǎng)絡(luò)之中漫游時，使這些通信網(wǎng)絡(luò)的各個實體之間的通信安全的裝置、方法和系統(tǒng)。還可以公開并要求保護(hù)其它實施例。
文檔編號H04W12/08GK102859928SQ201180002740
公開日2013年1月2日 申請日期2011年12月8日 優(yōu)先權(quán)日2010年12月22日
發(fā)明者T·K·譚 申請人:英特爾公司