WO2011041967A1 - 匿名通信的方法、注册方法、信息收发方法及系统 - Google Patents

匿名通信的方法、注册方法、信息收发方法及系统 Download PDF

Info

Publication number
WO2011041967A1
WO2011041967A1 PCT/CN2010/076378 CN2010076378W WO2011041967A1 WO 2011041967 A1 WO2011041967 A1 WO 2011041967A1 CN 2010076378 W CN2010076378 W CN 2010076378W WO 2011041967 A1 WO2011041967 A1 WO 2011041967A1
Authority
WO
WIPO (PCT)
Prior art keywords
node
anonymous
identity
terminal
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2010/076378
Other languages
English (en)
French (fr)
Inventor
吴强
黄兵
姚春波
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to KR1020127011849A priority Critical patent/KR101515836B1/ko
Priority to EP10821576.5A priority patent/EP2477428B1/en
Priority to US13/501,135 priority patent/US9143483B2/en
Priority to JP2012532446A priority patent/JP5497901B2/ja
Publication of WO2011041967A1 publication Critical patent/WO2011041967A1/zh
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/06—Answer-back mechanisms or circuits
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/256—NAT traversal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2596—Translation of addresses of the same type other than IP, e.g. translation from MAC to MAC addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0421—Anonymous communication, i.e. the party's identifiers are hidden from the other party or parties, e.g. using an anonymizer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5084—Providing for device mobility
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/75—Temporary identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/76—Group identity

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a method, a registration method, a method for transmitting and receiving information, and a system for anonymous communication. Background technique
  • the IP address in the Transmission Control Protocol/Internet Protocol which is widely used in the Internet, has a dual function, and serves as the location identifier of the communication terminal host network interface of the network layer in the network topology. And as the identity of the transport layer host network interface.
  • the TCP/IP design did not consider the case of host mobility at the beginning. However, as host mobility becomes more prevalent, the semantic overload defects of such IP addresses are becoming increasingly apparent.
  • the IP address of the host changes, not only the route changes, but also the identity of the communication terminal host changes. This causes the routing load to become heavier and heavy, and the change of the host ID causes the application and connection to be interrupted.
  • the purpose of identification and location separation is to solve the problem of semantic overload and severe routing load of IP addresses, and to separate the dual functions of IP addresses to achieve dynamic redistribution of mobility, multiple townships, IP addresses, and mitigation of routes. Support for issues such as load and mutual visits between different network areas in the next generation Internet.
  • the main host-based protocol is the Host Identity Protocol (HIP).
  • the existing main protocol based on routing is the Locator/ID Separation Protocol (LISP).
  • HIP is a host mobility association protocol.
  • the HIP separates the IP address into an end identifier and a location identifier.
  • the basic idea of HIP is to introduce a 3.5-layer Host Identity Layer (HIL) between the Layer 3 network layer and the Layer 4 transport layer, that is, the host identifier is introduced between the domain name space and the IP address space. (Host Identity, HI for short) space.
  • HIL Host Identity Layer
  • the host identification layer separates the originally tightly coupled transport layer from the network layer.
  • the IP address no longer plays the role of the identity host. It is only responsible for the routing and forwarding of data packets, that is, it is only used as a locator, and the host name is represented by the host identifier.
  • HIL is in logic It is located between the network layer and the transport layer.
  • the transport layer uses the transport layer identifier, and the host identifier layer completes the host identifier and IP address translation in the data packet.
  • the network layer is shielded from the transport layer, and any changes in the network layer (for example, changes in the host IP address during communication) do not affect the transport layer link unless the quality of service changes.
  • the connection of the transport layer based on the HIP protocol is established on the host identity.
  • the IP address is only used for network layer routing and is no longer used to identify the host identity.
  • the key idea of HIP is to disconnect the tight coupling between the network layer and the transport layer, so that the connection between the application layer and the transport layer is not affected by the change of the IP address.
  • HI remains unchanged, thereby ensuring uninterrupted connectivity.
  • the IP address is only used for routing and addressing functions, and HI is used to identify the end host corresponding to a connection, instead of the IP address used in the connection socket.
  • LISP reuses routing technology and has made some changes to the existing routing topology. Combined with the existing transport network, it optimizes the existing routing technology with minimal transformation.
  • EIDs Endpoint Identifiers
  • Routers pass packets based on IP destination RLOCs (Routing Locators).
  • Tunnel routing is introduced in the LISP system, LISP is encapsulated when the host packet is initiated and the packet is decapsulated before it is finally delivered to the destination.
  • the IP address of the "outer header" in the LISP packet is RLOCs.
  • the ITR Ingress Tunnel Router
  • the ITR encapsulates a new LISP header for each packet and strips the new headers in the egress channel.
  • the ITR performs an EID-to-RLOC lookup to determine the routing path to the ETR (Egress Tunnel Router), which uses the RLOC as its address.
  • LISP is a network-based protocol that only affects the network part. More specifically, it only affects the existing Internet backbone (partial network), and does not affect the access layer and user host of the existing network. It is completely transparent to the host.
  • the identifier finds the corresponding location identifier.
  • the identity must be the real identity of the communication node, and the identity must be passed between the communication nodes. Otherwise, the location identifier of the communication node cannot be determined, and the connection between the communication nodes cannot be established.
  • the technical problem to be solved by the present invention is to provide a method for anonymous communication, a registration method, a method for transmitting and receiving information, and a system.
  • a real-name trust domain under the identity identification and location separation architecture an anonymous system space is provided to satisfy The need for business development in an anonymous manner.
  • the present invention provides a method for anonymous communication, which is applied to an identity identification and location separation architecture network, including:
  • the network After receiving the anonymous communication request initiated by the terminal, the network allocates an anonymous identity identifier to the terminal, and records the state of the terminal as an anonymous communication state;
  • the access gateway device When the terminal is in an anonymous communication state, the access gateway device where the terminal is located replaces the source access identifier in the data packet with the anonymous message when receiving the data packet sent by the terminal.
  • the identity identifier is used to replace the anonymous identity identifier in the data packet sent to the terminal with the access identifier of the terminal when receiving the data packet sent to the terminal.
  • the step of the access gateway device where the terminal is located to allocate the anonymous identity identifier to the terminal further includes: registering the allocated anonymous identity identifier to the mapping server.
  • the method further includes: when the access gateway device where the terminal is located receives the anonymous communication request, initiates an authentication process to the authentication center, and confirms After the terminal has the anonymous communication service authority, the terminal is recorded as an anonymous communication state.
  • the method further includes: After receiving the cancel anonymous communication request of the terminal, the access gateway device where the terminal is located changes the state of the terminal from an anonymous communication state to a normal communication state.
  • the method further includes:
  • the access gateway device where the terminal is located changes the state of the terminal from the anonymous communication state to the normal communication state, when the data packet of the terminal is sent and received, the replacement of the anonymous identity identifier is cancelled.
  • the anonymous communication request initiated by the terminal carries time period information
  • the step of recording the status of the terminal as an anonymous communication state further includes:
  • the present invention also provides a data packet forwarding method, including:
  • the source node sends a data packet to the destination node, where the data packet includes a destination address and a first source address.
  • the source access node When receiving the data packet, the source access node replaces the first source address included in the data packet with a second source address allocated by the terminal, and according to the destination address, Data packets are forwarded to the destination access node;
  • the destination access node After receiving the data packet, the destination access node forwards the data packet to the destination node.
  • the method further includes: after receiving the data file, the destination node responds to the source node with the second source address as a destination address;
  • the destination access node forwards the data packet to the source access node according to the second source address
  • the source end node After receiving the response data packet, the source end node replaces the second source address included in the response data packet with the corresponding first source address, and forwards the packet to the source node.
  • the method is applied to an identity identification and location separation architecture network, where the first source address is an access identifier of the terminal.
  • the invention also provides a method for registering an anonymous communication, which is applied to an architecture network in which identity identification and location identification are separated, and the architecture network includes at least a first node, an authentication center, a first access node, and a first distribution node.
  • the first node is assigned an actual identity identifier, including: the first node sending an anonymous communication request to the authentication center via the first access node;
  • the authentication center receives the anonymous communication request and determines whether the first node has an anonymous communication right;
  • the first access node sends an anonymous identity assignment request to the first distribution node, and the first distribution node allocates an anonymous identity to the first node, and saves the first Correspondence between the anonymous identity of the node and the actual identity of the first node, or the correspondence between the anonymous identity of the first node and the actual identity and location identifier of the first node.
  • the method also includes the first distribution node recording that the first node is in an anonymous communication state and transmitting the anonymous identity to the first access node.
  • the method further includes:
  • the anonymous request includes time period information
  • the first access node when the first access node receives the anonymous request, setting an anonymous communication timer according to the time period information; and changing the state of the terminal from an anonymous communication state to a normal state after the timer reaches a timing period Communication status.
  • the anonymous identity is selected from a group of identifiers intended for anonymous identity, or selected from a predetermined group.
  • the present invention also provides another method for registering an anonymous communication, which is applied to an architecture network in which identity identification and location identification are separated, and the architecture network includes at least a first node, a first access node, and a first storage node, where The first node is assigned an actual identity, including:
  • the first node sends an anonymous communication request to the authentication center via the first access node;
  • the authentication center receives the anonymous communication request and determines whether the first node has an anonymous communication right;
  • the first access node allocates an anonymous identity to the first node, and registers the first node anonymous identity with the first storage node.
  • the method also includes the first access node recording that the first node is in an anonymous communication state.
  • the method further includes:
  • the anonymous request includes time period information
  • the first access node when the first access node receives the anonymous request, setting an anonymous communication timer according to the time period information; and changing the state of the terminal from an anonymous communication state to a normal state after the timer reaches a timing period Communication status.
  • the invention also provides a method for transmitting information, including:
  • the first node sends a message to the second node via the first access node at the home of the first node, where the information includes at least a first identifier of the first node and a first identifier of the second node;
  • the first node and the second node are used to encapsulate the first node. Transmitting the first identifier and the first identifier of the second node, and sending the second identifier to the second access node of the second node, and decapsulating the second access node of the second node to send the information to the second access node The second node.
  • the first identifier is an identity identifier
  • the second identifier is a location identifier
  • the first identifier updated by the first node and/or the second identifier of the first node and the second identifier of the second node are locally acquired by the first access node. Or obtained from another node outside the first access node.
  • the method further includes, when the first access node receives the information, further comprising the step of determining whether the information transmission triggers a replacement procedure.
  • the present invention also provides a system for implementing information transmission and reception, which is applied to an architecture network in which identity and location are separated, and includes:
  • a receiving unit configured to: receive information sent by the first node to the second node, where the information includes at least an identity of the first node and the second node;
  • An update unit configured to: update the identity of the first node to an anonymous identity;
  • the encapsulating unit is configured to: encapsulate the location of the first node and the second node, and identify the identity of the anonymous identity and the second node, so that the identity and location separation architecture network implements route forwarding to send information to the second node;
  • the receiving unit is further configured to: when receiving the information sent by the second node to the first node, update the anonymous identity as the identity of the first node, and forward the information to the first node.
  • the present invention also provides another system for implementing information transceiving, which is applied to an architecture network for identity and location separation, the system including a first system and a second system, where
  • the first system includes:
  • a first transceiver unit configured to: receive first information sent by the first node to the second node, where the first information includes an identity of the first node and the second node; The second information sent by the unit, where the second information includes an anonymous identity of the first node and an identity of the second node;
  • a first replacement unit configured to: when the first node sends the first information to the second node, update the identity of the first node as an anonymous identity; and when the second node sends the second information to the first node, Updating the anonymous identity as the identity of the first node;
  • the second system includes:
  • a second transceiver unit configured to: receive the first information and forward to the first node; forward the second information from the second node to the first node, where the second information includes the anonymous identity of the first node and The identity of the two nodes.
  • the anonymous identity of the first node is used to identify the sender of the information
  • the identity of the second node is used to identify the receiver of the information
  • the second node sends the second
  • the anonymous identity of the first node is used to identify the recipient of the information
  • the identity of the second node is used to identify the sender of the information.
  • Proposed a solution for anonymous communication under the identity identification and location separation architecture which can provide an anonymous system based on constructing a real-name trust domain.
  • Space to meet the needs of anonymous business development, under the identity and location separation architecture, the real-name trust domain is guaranteed by network credit, and the anonymous space is The network conducts business based on business authorization.
  • Figure is a schematic diagram of the network topology of the identity location separation architecture
  • Figure 3 is an end user login access process
  • FIG. 5 is a flowchart of establishing an end-to-end anonymous communication process according to Embodiment 1 of the present invention.
  • FIG. 7 is a flow chart of an end user initiated anonymous communication signaling according to Embodiment 2 of the present invention. Preferred embodiment of the invention
  • the access gateway device and/or the mapping server allocates an anonymous AID for the user terminal that initiates the anonymous service, and uses the data packet when forwarding.
  • the AID replaces the user's real identity to enable anonymous communication with the correspondent peer.
  • FIG. 1 is a schematic diagram of a network topology of an identity identification and location separation architecture according to an embodiment of the present invention, showing key network elements/functions of a system architecture related to the present invention. entity.
  • the network is divided into an access network and a backbone network, and the access network is located at the edge of the backbone network, and is responsible for all terminals. Access.
  • the backbone network is responsible for the routing of different terminals that access through the access network.
  • An Access Service Node (ASN) is located at the demarcation point between the backbone network and the access network, and interfaces with the access network to interface with the backbone network.
  • the ASN is used to provide access services for terminals, maintain user connections, and forward user data. There is no overlap between the access network and the backbone network in the topology relationship.
  • the AID is a unique identity identifier assigned to each user terminal in the network, and is used at the access layer and remains unchanged during the movement of the user terminal.
  • the user terminal in the network of the architecture uses the AID to identify the peer end. The user terminal only needs to communicate with the AID of the opposite end.
  • the backbone network is divided into two planes during networking: a mapping forwarding plane, and a generalized forwarding plane.
  • the main function of the generalized forwarding plane is to select and forward data packets based on the route identifier RID in the data packet.
  • the data routing and forwarding behavior in the generalized forwarding plane is consistent with the traditional IP network.
  • mapping forwarding plane The main function of the mapping forwarding plane is to save mapping information of the mobile node identity location (ie, mapping information between RID-AIDs), process the registration process of the mobile node, process the location query process of the communication peer, and route and forward to access Identifies the data packet whose AID is the destination address.
  • the main network elements and functional entities involved are as follows:
  • the accessed user terminal may be one or more of a mobile node, a fixed node, and a nomadic node.
  • the access network may be a station system, such as a base station subsystem (BSS), a radio access network (RAN), an evolved Node B (eNodeB), etc., or may be a digital User Subscriber Line (XDSL), Wireless Access Point (AP), etc.
  • BSS base station subsystem
  • RAN radio access network
  • eNodeB evolved Node B
  • XDSL digital User Subscriber Line
  • AP Wireless Access Point
  • ASN Maintains the connection between the terminal and the backbone network, assigns the RID to the terminal, processes the handover process, processes the registration process, and performs accounting/authentication, maintenance/inquiry of the AID-RID mapping relationship of the communication peer, encapsulation, routing, and transmission.
  • the ASN When receiving the data packet sent by the terminal, the ASN searches for the corresponding RID locally according to the AID of the CN in the packet: If the corresponding AID-RID mapping entry is found, the AID is replaced by the RID in the data packet. Mode, or forwarding the data packet to the backbone network by encapsulating the RID; if the corresponding AID-RID mapping entry is not found, issuing a query flow to the ILR to obtain the AID-RID mapping table entry, and then in the related datagram The way to replace the AID with RID, or by encapsulation The RID method forwards the data packet; or forwards the data packet to the backbone network for routing and forwarding while sending the query to the ILR. After receiving the AID-RID mapping relationship of the CN returned by the ILR, the local cache is saved. CN's AID-RID mapping;
  • the ASN When receiving the data packet sent by the network to the terminal, the ASN strips the outer RID encapsulation and sends it to the terminal.
  • CR Common Router
  • Certification Center responsible for recording user attributes of the network, including user categories, authentication information, user service levels, etc., generating user security information for authentication, integrity protection, and encryption, and legitimizing when users access Certification and authorization.
  • the certificate authority supports two-way authentication between the network and users of the architecture.
  • ILR Identity Location Register
  • PTF Packet Transfer Function
  • the ILR is responsible for maintaining/storing the users of the network-based identity and location separation architecture.
  • the AID-RID mapping relationship implements the registration function and processes the location query process of the communication peer. Specifically, when the terminal (Mobile Node, MN for short) is powered on or the location changes, the registration process is initiated to the ILR through the ASN, so that the real-time AID-RID mapping relationship of the MN is saved in the ILR.
  • the PTF entity After receiving the data packet sent by the ASN, the PTF entity is routed and forwarded by the PTF entity according to the destination AID.
  • the mapping forwarding plane after the PTF entity node finds the mapping relationship of the destination AID-RID to the ILR, it encapsulates the RID information found in the data packet header and forwards it to the ASN in the general forwarding plane to the ASN where the communication peer is located.
  • the access identifier (AID) of the terminal during the valid legal lifetime remains unchanged.
  • the route identifier (RID) indicates the ASN location where the terminal is currently located.
  • the ASN may allocate one or more dedicated RIDs to one terminal and register to the ILR/PTF entity in the mapping forwarding plane; the ASN may also allocate the same RID to multiple terminals.
  • the ILR saves the AID-RID mapping information of each access terminal.
  • the access network part uses AID to distinguish different terminals, and the generalized switching plane uses RID to route data packets. Establishing an end-to-end communication process requires finding the corresponding RID through the AID. In the end-to-end communication process, the local AID needs to be carried as the source address in the data packet to the communication peer. The communication peer can obtain the source identity from the source address carried in the data packet.
  • the network of the architecture ensures the authenticity of the user identity by authenticating the user identity with the network credit, and constructs a trust domain in the network.
  • the method for authenticating the user identity of the network may use different methods according to different network systems, and may directly authenticate the user access identifier AID; or identify other types of users that identify the user in the network (for example, international mobile subscriber identification). (International Mobile Subscriber Identification Number, IMSI), Network Access Identifier (NAI), etc. are authenticated, and the network device stores the correspondence between the user identification and the AID.
  • the RAN part of the existing access network can ensure the security of the Layer 2 connection and ensure that the data packets are not tampered with when the terminal accesses the network.
  • Code Division Multiple Access CDMA
  • wireless access code division multiple access
  • Asymmetric Digital Subscriber Line (ADSL) Asymmetric Digital Subscriber Line
  • VLAN isolation GSM Frequency division multiple access.
  • All terminals are valid and valid users authenticated.
  • the terminal accesses the network it establishes a point-to-point connection between the terminal and the ASN of the network.
  • the ASN binds the AID of the terminal to the end-to-end user connection between the terminal and the ASN. If the source address of the packet sent from the user connection does not match the AID of the user, the ASN discards the data packet. It can guarantee that the AID of the terminal in this architecture is not spoofed and changed.
  • ASN and communication equipment from the source ASN to the destination ASN, such as ILR/PTF, CR, authentication center, etc., are provided by the network operation and management, and the security of the data transmission by the network credit guarantees the datagram.
  • the text is true and reliable.
  • the identity-based location separation architecture will be able to construct a trust domain with network credit in the network, ensuring the authenticity of the two ends of the data communication.
  • the network-based identity and location separation architecture is taken as an example.
  • the architecture network on which the technical solution is based may also be based on LISP and other multiple identity and location separation architectures.
  • Step 201 The MN initiates a login request, requests access to the network of the architecture, and the authentication center authenticates and authorizes the MN, and records the user attributes, if the MN is enabled in the network of the architecture.
  • the anonymous data service is stored in the user attribute of the MN;
  • the process of the MN accessing the network of the architecture is as shown in FIG. 3, wherein the MN's legality authentication and authentication can use existing processes, and the network in the architecture supports two-way authentication, that is, the MN can also legalize the network. Certify.
  • Step 202 The MN accesses the network of the architecture, the ASN where the MN is located allocates an RID, and the mapping relationship is registered with the home ILR, and the ILR stores the AID-RID mapping information of the MN.
  • Step 203 The MN applies for data communication in an anonymous manner
  • Figure 4 is a schematic diagram of a process for an end user to initiate anonymous communication, including:
  • the MN initiates an anonymous communication request through its ASN
  • the MN After confirming that the MN has the authority to communicate anonymously, the MN sends a confirmation to the ASN; (This step is an optional step based on operational needs.)
  • the ASN where the MN is located initiates an anonymous AID allocation request to the home ILR.
  • the home ILR After receiving the request message, the home ILR records the MN as an anonymous communication state, and assigns a new access identifier AID to the MN as an anonymous AID, and the home ILR can be dedicated to The number of the anonymous AID is selected, and an idle AID may also be selected from the number segment; and the anonymous AID is stored in the record of the MN stored in the home ILR, for example, the record correspondence: AID-anonymous AID-RID;
  • the home ILR sends an anonymous communication response message to the ASN, carrying the anonymous AID information, for example, the AID-anonymous AID correspondence.
  • the ASN After receiving the message, the ASN reads the anonymous AID information from the message and saves it in the data area corresponding to the MN. And record the MN as an anonymous communication state, during the anonymous communication state, the MN communicates with all its communication peers in an anonymous manner;
  • the ASN sends an anonymous communication confirmation message to the MN.
  • Step 204 The MN establishes end-to-end anonymous data communication with the CN;
  • the MN establishes end-to-end communication with the CN.
  • the data to be sent and received is: (source AID, destination AID), that is, the destination address of the source address is the identity of both users.
  • the ASN where the MN is located determines that the user's anonymous data service is valid, and replaces the source AID in the sent data packet with the anonymous AID, and searches for the corresponding source RID/destination RID and encapsulates the data in the data packet.
  • the format of the data packet transmitted on the interface between the source ASN and the destination ASN is: (source RID, anonymous AID, destination RID, destination AID).
  • the ASN strips the RID encapsulation and sends the data packet to the ASN.
  • the data message format is (anonymous AID, destination AID);
  • the ASN where the CN is located receives the data packet of the CN response.
  • the format of the data packet is: (source AID, anonymous AID), that is, the AID whose source address is CN, and the destination address is an anonymous AID;
  • the ASN where the CN is located adds the RID encapsulation of the data packet, and the format of the encapsulated data packet is: (source RID, source AID, destination RID, anonymous AID), and the data packet is sent to the ASN where the MN is located through the backbone network;
  • the ASN where the MN is located strips the RID encapsulation, and replaces the anonymous AID in the data packet with the AID of the MN and sends it to the MN.
  • the identity of the MN seen by the CN is an anonymous AID instead of the access AID.
  • Step 205 The MN cancels the anonymous communication mode.
  • FIG. 6 is a schematic diagram of a process for an end user to cancel anonymous communication, and the specific process is as follows: The MN initiates cancellation of the anonymous data communication request;
  • the MN After confirming that the MN has the authority to communicate anonymously, the MN sends a confirmation to the ASN; (This step is an optional step based on operational needs.)
  • the ASN deletes the AID-anonymous AID correspondence in the MN data area, and changes the anonymous communication state of the MN to the normal communication state;
  • the ASN initiates a process of canceling the anonymous AID correspondence relationship to the home ILR, and the ILR deletes the correspondence between the AID and the anonymous AID-RID of the MN, saves the AID-RID mapping relationship of the MN, and changes the anonymous communication state of the MN to the normal communication state.
  • the ASN sends a cancel anonymous communication response message;
  • the ASN sends a cancel anonymous communication response message to the MN.
  • This embodiment is basically the same as the process of the first embodiment.
  • the main difference between the two is that, in this embodiment, as an alternative step of the anonymous AID allocation process, as shown in FIG. 7, the ASN may also complete the anonymous process according to the following process.
  • AID distribution process :
  • the MN initiates an anonymous communication request through its ASN
  • the MN After confirming that the MN has the authority to communicate anonymously, the MN sends a confirmation to the ASN; (This step is an optional step based on operational needs.)
  • the ASN After the ASN where the MN is located receives the anonymous service authority confirmation of the authentication and authentication center, the ASN allocates the anonymous AID to the MN, stores it in the data area corresponding to the MN, and records the MN as the anonymous communication state;
  • the ASN initiates an anonymous AID registration procedure to the home ILR, and the home ILR maintains the correspondence between the MN's AID anonymous AID-RID and records the MN as an anonymous communication state;
  • the RID of the MN can be queried according to the anonymous AID of the MN.
  • the ASN sends an anonymous communication confirmation message to the MN.
  • the ASN determines that the MN is in an anonymous communication state. In the state, the AID and the anonymous AID are replaced when the data packet is sent and received.
  • the implementation case is basically the same as the process of the foregoing implementation case.
  • the main difference is: In the foregoing case, the MN requests an anonymous communication mode by initiating an anonymous communication request, and when the subsequent need to cancel the anonymous communication mode, the MN cancels the communication anonymously by initiating the cancellation of the anonymous communication request. the way.
  • the MN when the MN applies for the anonymous communication mode, the MN initiates the anonymous communication request, and carries the time period information, indicating that the MN is in the anonymous communication state during the time period; the ASN receives the anonymous communication
  • the anonymous communication timer is set, and before the anonymous communication timer expires, the ASN will enter the anonymous communication processing flow as described in the foregoing embodiment.
  • the MN will not need to initiate the process of canceling the anonymous communication, and the anonymous communication timer can cancel the anonymous mode communication when the time is up, and the MN changes from the anonymous communication state to the normal communication state.
  • the present invention provides a method for anonymous communication under the identity identification and location separation architecture.
  • the anonymous communication method under the identity identification and location separation architecture of the present invention can be implemented on the basis of constructing a real-name trust domain.
  • the real-name trust domain is guaranteed by network credit, and the anonymous space is operated by the network according to the business authorization.
  • the method for forwarding data packets is further provided in the embodiment of the present invention, including:
  • the source node sends a data packet to the destination node, where the data packet includes a destination address and a first source address.
  • the source access node When receiving the data packet, the source access node replaces the first source address included in the data source with the second source address allocated by the terminal, and forwards the data packet to the destination address according to the destination address.
  • Destination access node When receiving the data packet, the source access node replaces the first source address included in the data source with the second source address allocated by the terminal, and forwards the data packet to the destination address according to the destination address.
  • the destination access node After receiving the data packet, the destination access node forwards the data packet to the destination node.
  • the destination node uses the second source address as The destination address responds to the source node with a data packet
  • the destination access node forwards the data packet to the source access node according to the second source address
  • the source end node After receiving the data packet, the source end node replaces the second source address included in the data source with the corresponding first source address, and forwards the data to the source node.
  • the method is applied to an identity identification and location separation architecture network, where the first source address is an access identifier of the terminal.
  • the embodiment of the present invention further provides a method for registering an anonymous communication, which is applied to an architecture network in which an identity identifier and a location identifier are separated, where the architecture network includes at least a first node, an authentication center, and a first access node. And the first distribution node, where the first node is assigned an actual identity, including:
  • the first node sends an anonymous communication request to the authentication center via the first access node;
  • the authentication center receives the anonymous communication request and determines whether the first node has an anonymous communication right;
  • the first access node sends an anonymous identity assignment request to the first distribution node, and the first distribution node allocates an anonymous identity to the first node, and saves the first Correspondence between the anonymous identity of the node and the actual identity of the first node, or the correspondence between the anonymous identity of the first node and the actual identity and location identifier of the first node.
  • the method further includes the first distribution node recording that the first node is in an anonymous communication state, and transmitting the anonymous identity to the first access node.
  • the anonymous identity is selected from a group of identifiers intended for anonymous identity, or selected from a predetermined group.
  • the embodiment of the present invention further provides another method for registering an anonymous communication, which is applied to an architecture network in which an identity identifier and a location identifier are separated, where the architecture network includes at least a first node, a first access node, and a first storage.
  • a node, where the first node is assigned an actual identity including: The first node sends an anonymous communication request to the authentication center via the first access node; the authentication center receives the anonymous communication request and determines whether the first node has an anonymous communication right;
  • the first access node allocates an anonymous identity to the first node, and registers the first node anonymous identity with the first node's actual identity with the first storage node. Correspondence relationship, or the correspondence between the anonymous identity of the first node and the actual identity of the first node and the location identifier.
  • the method further includes the first access node recording that the first node is in an anonymous communication state.
  • an embodiment of the present invention further provides a method for sending information, including:
  • the first node sends a message to the second node by using the first access node of the first node to the second node, where the information includes at least a first identifier of the first node and a first identifier of the second node;
  • the first node and the second node are used to encapsulate the first node. Transmitting the first identifier and the first identifier of the second node, and sending the second identifier to the second access node of the second node, and decapsulating the second access node of the second node to send the information to the second access node The second node.
  • the first identifier is an identity identifier
  • the second identifier is a location identifier
  • the first identifier updated by the first node and/or the second identifier of the first node and the second identifier of the second node are the first access node. Obtained locally, or obtained from another node outside the first access node.
  • the method further includes, when the first access node receives the information, further comprising the step of determining whether the information transmission triggers a replacement procedure.
  • the embodiment of the present invention further provides a system for implementing information transmission and reception, which is applied to an architecture network in which identity and location are separated, and includes:
  • a receiving unit configured to receive information that is sent by the first node to the second node, where the information includes at least an identity identifier of the first node and the second node;
  • An update unit configured to update the identity of the first node as an anonymous identity;
  • an encapsulation unit where the location identifier used to encapsulate the first node and the second node is outside the identity of the anonymous identity and the second node, Routing and forwarding for the identity and location separation architecture network to send information to the second node;
  • the receiving unit is further configured to: when receiving the information sent by the second node to the first node, update the anonymous identity to the identity of the first node, and forward the information to the first node.
  • another system for implementing information transmission and reception is provided, which is applied to an architecture network in which identity and location are separated, and the system includes a first system and a second system, where
  • the first system includes:
  • a first transceiver unit configured to receive first information that is sent by the first node to the second node, where the first information includes an identity identifier of the first node and the second node; and, to receive the second system The second information sent by the second transceiver unit, where the second information includes an anonymous identity of the first node and an identity of the second node;
  • a first replacement unit configured to: when the first node sends the first information to the second node, update the identity of the first node as an anonymous identity, and update the anonymous when the second node sends the second information to the first node
  • the identity is the identity of the first node
  • the second system includes:
  • a second transceiver unit configured to receive the first information and forward the information to the first node, and to forward the second information from the second node to the first node, where the second information includes the anonymous identity of the first node and The identity of the second node.
  • the anonymous identity of the first node is used to identify the sender of the information
  • the identity of the second node is used to identify the receiver of the information, in the second node.
  • the anonymous identity of the first node is used to identify the recipient of the information
  • the identity of the second node is used to identify the sender of the information.
  • the present invention proposes a solution for anonymous communication under the identity identification and location separation architecture, which can provide an anonymous system space to meet the needs of anonymous business development on the basis of constructing a real-name trust domain.
  • the real-name trust domain is guaranteed by the network credit, and the anonymous system space is operated by the network according to the service authorization.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明公开了一种匿名通信的方法及系统，应用于身份标识和位置分离架构网络，该方法包括：所述网络接收到终端发起的匿名通信请求后，为所述终端分配匿名身份标识，并将所述终端的状态记录为匿名通信状态；当所述终端处于匿名通信状态下时，所述终端所在的接入网关设备在收到所述终端发出的数据报文时，将所述数据报文中的源接入标识替换为所述匿名身份标识；在收到发往所述终端的数据报文时，将所述发往所述终端的数据报文中的匿名身份标识替换为所述终端的接入标识。本发明在构建了一个实名制信任域的基础上，提供一个匿名制的空间，以满足匿名业务开展的需要。

Description

匿名通信的方法、 注册方法、 信息收发方法及系统
技术领域
本发明涉及通信技术领域， 尤其涉及一种匿名通信的方法、 注册方法、 信息收发方法及系统。 背景技术
现有因特网广泛使用的传输控制协议 /互联网络协议 （ Transmission Control Protocol/Internet Protocol, TCP/IP ) 中 IP地址具有双重功能， 既作为 网络层的通信终端主机网络接口在网络拓朴中的位置标识， 又作为传输层主 机网络接口的身份标识。 TCP/IP设计之初并未考虑主机移动的情况。 但是， 当主机移动越来越普遍时， 这种 IP地址的语义过载缺陷日益明显。 当主机的 IP地址发生变化时， 不仅路由要发生变化， 通信终端主机的身份标识也发生 变化， 这样会导致路由负载越来越重， 而且主机标识的变化会导致应用和连 接的中断。 身份标识和位置分离问题提出的目的是为了解决 IP地址的语义过 载和路由负载严重等问题， 将 IP地址的双重功能进行分离， 实现对移动性、 多家乡性、 IP地址动态重分配、 减轻路由负载及下一代互联网中不同网络区 域之间的互访等问题的支持。
现有技术中有关身份标识和位置分离的解决方案主要有两种， 一种^^ 于主机的实现， 另一种是基于路由器的实现， 每种实现中又有相关的多种技 术进行支持.基于主机的现有的主要协议是主机标识协议 （Host Identity Protocol , 简称 HIP ) , 基于路由的现有主要协议是地址身份分离协议 （ Locator/ID Separation Protocol, 简称 LISP )等。
HIP是一种主机移动性关联协议， HIP将 IP地址分离为端标识与位置标 识。 HIP的基本思想是在第三层网络层和第四层传输层之间引入了 3.5层的主 机标识层（ Host Identity Layer, 简称 HIL ) , 即在域名空间和 IP地址空间之 间引入了主机标识（Host Identity, 简称 HI )空间。 主机标识层将原来紧密耦 合的传输层和网络层分开， IP地址不再扮演标识主机的角色， 其只负责数据 包的路由转发， 即仅用作定位符， 主机名称由主机标识符来表示。 HIL在逻 辑上位于网络层与传输层之间， 传输层使用传输层标识符， 由主机标识符层 完成数据包中的主机标识符和 IP地址转换。 网络层对于传输层是屏蔽的， 网 络层的任何变化（例如， 在通信过程中主机 IP地址的变化）不会影响传输层 链路， 除非服务质量发生变化。
基于 HIP协议的传输层的连接建立在主机标识之上， IP地址只用于网络 层路由， 而不再用于标识主机身份。 HIP 的关键思想就是断开网络层和传输 层的紧密耦合， 使应用层和传输层的连接不受 IP地址变化的影响。 当 IP地 址在一个连接中变化时， HI保持不变， 由此保证了连接的不中断。 在支持 HIP的主机中， IP地址只是用于路由和寻址功能， 而 HI则用来标识一个连接 所对应的终端主机， 代替连接套接字中所使用的 IP地址。
LISP重用了路由技术， 对现有的路由拓朴结构有了一定的改变， 结合现 有的传送网， 利用最小的改造优化了现有的路由传送技术。
主机使用 IP地址，在 LISP系统中称为端标识（Endpoint Identifiers, EID ) 来跟踪 socket (套接字） 、 建立连接、 发送和接收数据包。
路由器基于 IP目的地址 RLOCs ( Routing Locators , 路由地址）传递数据 包。
在 LISP系统中引入了隧道路由， 在发起主机包时封装 LISP并且在最终 传递到目的地前对数据包进行解封装。 在 LISP数据包中 "外层报头" 的 IP 地址是 RLOCs。 在两个网络的主机之间进行端到端的包交换过程中， ITR ( Ingress Tunnel Router , 入口隧道路由器）为每个包封装一个新 LISP头， 在出 口通道路由剥去新头。 ITR执行 EID-to-RLOC 查找以确定到 ETR ( Egress Tunnel Router , 出口隧道路由器） 的路由路径， ETR以 RLOC作为它的一个 地址。
LISP 为基于网络的协议， 只影响网络部分， 更确切的是只影响现有 Internet backbone (骨干网络）部分， 不影响现有网络的接入层和用户主机， 对主机是完全透明的。
在上述现有的身份标识和位置分离的解决方案中， 都必须以用户的身份 标识查找对应的位置标识。 该身份标识必须是通信节点的真实身份， 身份标 识必须在通讯节点之间传递， 否则无法确定通讯节点的位置标识， 无法建立 通信节点间的联系。
出于安全性和业务特点的考虑，现有 Internet网大量的应用业务以匿名方 式开展， 而现有身份标识和位置分离的解决方案无法满足以匿名方式的业务 开展的需要。 发明内容
本发明要解决的技术问题是提供一种匿名通信的方法、 注册方法、 信息 收发方法及系统，在身份标识和位置分离架构下构建实名制信任域的基础上， 提供一个匿名制的空间， 以满足匿名方式业务开展的需要。
为了解决上述问题， 本发明提供了一种匿名通信的方法， 应用于身份标 识和位置分离架构网络， 包括：
所述网络接收到终端发起的匿名通信请求后， 为所述终端分配匿名身份 标识， 并将所述终端的状态记录为匿名通信状态；
当所述终端处于匿名通信状态下时， 所述终端所在的接入网关设备在收 到所述终端发出的数据报文时， 将所述数据报文中的源接入标识替换为所述 匿名身份标识； 在收到发往所述终端的数据报文时， 将所述发往所述终端的 数据报文中的匿名身份标识替换为所述终端的接入标识。
所述为所述终端分配匿名身份标识的步骤中， 由所述网络中的映射服务 器、 或所述终端所在的接入网关设备为所述终端分配所述匿名身份标识。
所述终端所在的接入网关设备为所述终端分配所述匿名身份标识的步骤 还包括： 将分配的所述匿名身份标识向所述映射服务器进行登记。
将所述终端的状态记录为匿名通信状态的步骤之前， 所述方法还包括： 所述终端所在的接入网关设备在接收到所述匿名通信请求时， 向认证中 心发起鉴权流程， 在确认所述终端具备匿名通信业务权限后， 将所述终端记 录为匿名通信状态。
所述方法还包括： 所述终端所在的接入网关设备在接收到所述终端的取消匿名通信请求 后， 将所述终端的状态由匿名通信状态改变为正常通信状态。
所述方法还包括：
所述终端所在的接入网关设备将所述终端的状态由匿名通信状态改变为 正常通信状态后， 在进行所述终端的数据报文的收发时， 取消所述匿名身份 标识的替换。
所述终端发起的所述匿名通信请求中携带时间段信息；
所述终端所在的接入网关设备在接收到所述匿名通信请求时， 将所述终 端的状态记录为匿名通信状态的步骤还包括：
根据所述匿名通信请求中的所述时间段信息设置匿名通信定时器； 并在 所述定时器到达定时周期后将所述终端的状态由匿名通信状态改变为正常通 信状态。
本发明还提供了一种数据报文的转发方法， 包括：
源端节点向目的节点发送数据报文， 所述数据报文中包含目的地址和第 一源地址；
源端接入节点接收到所述数据报文时， 将所述数据报文中包含的所述第 一源地址替换成为所述终端分配的第二源地址， 并根据所述目的地址将所述 数据报文转发至目的接入节点； 以及
所述目的接入节点收到所述数据报文中后转发给所述目的节点。
所述方法还包括： 所述目的节点收到所述数据 文后， 以所述第二源地 址作为目的地址向所述源端节点回应数据 文；
所述目的接入节点根据所述第二源地址将所述数据报文转发至所述源端 接入节点；
所述源端节点收到所述回应数据报文后， 将所述回应数据报文中包含的 所述第二源地址替换成对应的所述第一源地址， 转发给所述源端节点。
所述方法应用于身份标识与位置分离架构网络， 所述第一源地址为所述 终端的接入标识。 本发明还提供了一种匿名通信的注册方法， 应用于身份标识与位置标识 分离的架构网络中， 所述架构网络至少包括第一节点、 认证中心、 第一接入 节点及第一分配节点， 其中， 所述第一节点分配有一实际身份标识， 包括： 第一节点经由第一接入节点向认证中心发送匿名通信请求；
所述认证中心接收所述匿名通信请求并判断所述第一节点是否具备匿名 通信权限；
在第一节点具备匿名通信权限的情况下， 所述第一接入节点向第一分配 节点发送匿名身份标识分配请求， 第一分配节点为第一节点分配一匿名身份 标识，并保存该第一节点匿名身份标识与第一节点实际身份标识的对应关系， 或第一节点的匿名身份标识与第一节点实际身份标识以及位置标识的对应关 系。
所述方法还包括第一分配节点记录第一节点处于匿名通信状态， 并将所 述匿名身份标识发送至第一接入节点。
所述方法还包括：
所述匿名请求中包括时间段信息；
所述第一接入节点收到所述匿名请求时， 根据所述时间段信息设置匿名 通信定时器； 并在所述定时器到达定时周期后将所述终端的状态由匿名通信 状态改变为正常通信状态。
所述匿名身份标识自一预定用于匿名身份标识的标识群组中选择， 或自 一预定群组中选择。
本发明还提供了另一种匿名通信的注册方法， 应用于身份标识与位置标 识分离的架构网络中， 所述架构网络至少包括有第一节点、 第一接入节点及 第一存储节点， 其中， 所述第一节点分配有一实际身份标识， 包括：
第一节点经由第一接入节点向认证中心发送匿名通信请求；
所述认证中心接收所述匿名通信请求并判断所述第一节点是否具备匿名 通信权限；
在第一节点具备匿名通信权限的情况下， 所述第一接入节点为第一节点 分配一匿名身份标识， 同时向第一存储节点登记该第一节点匿名身份标识与 第一节点实际身份标识的对应关系， 或第一节点的匿名身份标识与第一节点 实际身份标识以及位置标识的对应关系。
所述方法还包括第一接入节点记录第一节点处于匿名通信状态。
所述方法还包括：
所述匿名请求中包括时间段信息；
所述第一接入节点收到所述匿名请求时， 根据所述时间段信息设置匿名 通信定时器； 并在所述定时器到达定时周期后将所述终端的状态由匿名通信 状态改变为正常通信状态。
本发明还提供了一种信息的发送方法， 包括：
第一节点经由第一节点归属地的第一接入节点发送一信息至第二节点， 所述信息至少包括有第一节点第一标识及第二节点第一标识； 以及
第一节点归属地的第一接入节点替换第一节点第一标识为第一节点更新 后第一标识后， 釆用第一节点第二标识及第二节点第二标识封装所述第一节 点更新后的第一标识及第二节点第一标识， 并发送至第二节点归属地的第二 接入节点， 并经由该第二节点归属地的第二接入节点解封后发送该信息至第 二节点。
第一标识为身份标识， 第二标识为位置标识， 所述第一节点更新后的第 一标识和 /或第一节点第二标识及第二节点第二标识为第一接入节点本地获 取， 或自第一接入节点外的另一节点获取。
所述方法还包括， 在第一接入节点接收所述信息时， 还包括一判断所述 信息发送是否触发替换程序的步骤。
本发明还提供了一种用以实现信息收发的系统， 应用于身份与位置分离 的架构网络中， 包括：
接收单元， 其设置为： 接收第一节点发送至第二节点的信息， 其中， 所 述信息至少包括有所述第一节点及第二节点的身份标识；
更新单元， 其设置为： 更新第一节点的身份标识为一匿名的身份标识； 以及 封装单元， 其设置为： 封装第一节点和第二节点的位置标识在所述匿名 身份标识及第二节点的身份标识外， 以供身份与位置分离架构网络实现路由 转发以发送信息至第二节点；
所述接收单元还设置为： 在接收第二节点发送至第一节点的信息时， 更 新匿名的身份标识为第一节点的身份标识， 并转发信息至第一节点。
本发明还提供了另一种用以实现信息收发的系统， 应用于身份与位置分 离的架构网络中， 所述系统包括有第一系统及第二系统， 其中，
第一系统包括：
第一收发单元，其设置为：接收第一节点发送至第二节点的第一信息， 其中， 所述第一信息包括有第一节点和第二节点的身份标识； 接收第二系统 第二收发单元发送的第二信息， 其中， 第二信息包括有第一节点的匿名身份 标识及第二节点的身份标识； 以及
第一替换单元， 其设置为： 在第一节点向第二节点发送第一信息时， 更新第一节点的身份标识为匿名身份标识； 以及在第二节点发送第二信息至 第一节点时， 更新匿名身份标识为第一节点的身份标识；
第二系统包括：
第二收发单元， 其设置为： 接收第一信息并转发至第一节点； 向第一 节点转发自第二节点的第二信息， 其中， 第二信息包括有第一节点的匿名身 份标识及第二节点的身份标识。
在第一节点发送第一信息至第二节点时， 第一节点的匿名身份标识用以 标识信息的发送方， 第二节点的身份标识用以标识信息的接收方， 在第二节 点发送第二信息至第一节点时， 第一节点的匿名身份标识用以标识信息的接 收方， 第二节点的身份标识用以标识信息的发送方。
与现有技术相比， 上述实施方案至少具有如下有益效果： 提出一种身份 标识和位置分离架构下匿名通信的解决方案， 可以实现在构建了一个实名制 信任域的基础上， 提供一个匿名制的空间， 以满足匿名业务开展的需要， 在 身份标识和位置分离架构下， 实名制信任域由网络信用保证， 匿名制空间由 网络根据业务授权开展业务。 附图概述
图 于身份位置分离架构的网络拓朴示意图；
图 2是本发明实施例的匿名通信流程；
图 3是终端用户登录接入流程；
图 4本发明实施案例一的终端用户发起匿名通信信令流程；
图 5是本发明实施案例一的建立端到端匿名通信流程；
图 6是本发明实施案例一的终端用户取消匿名通信信令流程；
图 7是本发明实施案例二的终端用户发起匿名通信信令流程。 本发明的较佳实施方式
本发明的核心思想是： 在身份标识和位置分离架构下， 由接入网关设备 和 /或映射服务器为启动匿名业务的用户终端分配一个用于匿名的身份识别 AID, 在数据报文转发时使用该 AID替换该用户的真实身份识别， 以实现与 通信对端的匿名通信。
下面结合附图及具体实施例对本发明作进一步详细描述。
基于网络的身份标识和位置分离架构有多种， 图 1为本发明实施例的身 份标识和位置分离架构的网络拓朴示意图， 其中示出了与本发明相关的系统 架构的关键网元 /功能实体。
如图 1中所示， 本实施例所述的基于身份位置分离架构（以下称本架构） 中， 将网络划分为接入网和骨干网， 接入网位于骨干网的边缘， 负责所有终 端的接入。 骨干网负责不同通过接入网接入的终端的路由。 接入服务节点 ( Access Service Node , 简称 ASN )位于骨干网和接入网的分界点， 与接入 网接口， 与骨干网接口。 ASN用于为终端提供接入服务、 维护用户连接以及 转发用户数据等。 接入网与骨干网在拓朴关系上没有重叠。
本架构网络中有两种标识类型， 接入标识（ Access Identifier, 简称 AID ) 和路由标识（ Routing-Location Identifier, 简称 RID ) 。 其中 AID是为网络中 每个用户终端分配的唯一的身份标识， 在接入层使用， 且在用户终端的移动 过程中始终保持不变； 本架构网络内部的用户终端间使用 AID标识对端， 用 户终端间只需使用对端的 AID进行通信。
参见图 1 , 在优选实施例中， 骨干网在组网时分为两个平面： 映射转发 平面， 广义转发平面。
广义转发平面的主要功能是根据数据报文中的路由标识 RID进行选路和 转发数据报文。 广义转发平面内的数据路由转发行为与传统 IP网络一致。
映射转发平面的主要功能是保存移动节点身份位置的映射信息 （即 RID-AID之间的映射信息） 、 处理移动节点的登记注册流程、 处理通信对端 的位置查询流程， 以及路由并转发以接入标识 AID为目的地址的数据报文。
参见图 1 , 本实施例的基于网络的身份标识和位置分离架构中， 涉及的 主要网元和功能实体如下：
用户终端： 本架构中， 接入的用户终端可以是移动节点、 固定节点及游 牧节点中的一种或多种。
接入网： 用于为用户终端提供二层（物理层和链路层）接入服务。 接入 网可以 ^^站系统， 如基站子系统（Base Station Subsystem, BSS ) , 无线接 入网（ Radio Access Network, RAN ) ,演进的节点 B( evolved Node B, eNodeB ) 等， 也可以是数字用户线（ Digital Subscriber Line , xDSL )、 无线访问接入点 ( Access Point, AP )等。
ASN: 维护终端与骨干网的连接关系， 为终端分配 RID, 处理切换流程， 处理登记注册流程， 计费 /鉴权， 维护 /查询通讯对端的 AID-RID映射关系， 封装、 路由并转发送达终端或终端发出的数据报文。
ASN收到终端发来的数据报文时，根据报文中的 CN的 AID在本地查找 其对应的 RID: 如果查到对应的 AID-RID映射条目， 则在数据报文中以 RID 替换 AID的方式、 或者以封装 RID的方式将数据报文转发到骨干网； 如果没 有查到对应的 AID-RID映射条目， 则向 ILR发出查询流程， 以获取 AID-RID 映射表条目， 然后在相关数据报文中以 RID替换 AID的方式、 或者以封装 RID的方式将数据报文转发出去； 或是在向 ILR发出查询的同时将数据报文 转发到骨干网进行路由转发，在收到 ILR返回的 CN的 AID-RID映射关系后， 在本地緩存保存 CN的 AID-RID映射；
ASN在收到网络发往终端的数据报文时， 剥离外层的 RID封装后， 发给 终端。
通用路由器（ Common Router, CR )： 路由并转发以 RID格式为源地址 / 目的地址的数据报文。
认证中心： 负责记录本架构网络的用户属性， 包括用户类别、 鉴权信息、 用户服务等级等信息， 产生用于鉴权、 完整性保护和加密的用户安全信息， 在用户接入时进行合法性认证和授权。 认证中心支持本架构网络与用户间的 双向鉴权。
身份位置寄存器（ Identity Location Register, ILR ) /分组转发功能（ Packet Transfer Function , PTF ) 实体： ILR和 PTF实体可以为同一实体上的两个功 能模块， 位于骨干网的映射转发平面中。
ILR 负责维护 /保存基于网络的身份标识和位置分离架构中用户的
AID-RID映射关系， 实现登记注册功能， 处理通信对端的位置查询流程。 具 体地， 当终端 （Mobile Node, 简称 MN )开机或者发生位置变化时， 将通过 所在的 ASN向 ILR发起注册过程 ,这样 ILR中就保存了 MN的实时 AID-RID 的映射关系。
PTF实体在收到 ASN送达的数据报文后， 由 PTF实体根据目的 AID路 由并转发。映射转发平面内 PTF实体节点向 ILR查到目的 AID-RID的映射关 系后， 在数据报文头部封装查到的 RID信息并转发到广义转发平面内路由到 通信对端所在的 ASN。
在上述架构中， 有效合法存续期间的终端的接入标识 （AID )始终保持 不变。路由标识（RID )标示终端当前所在的 ASN位置。根据业务需要， ASN 可以为一个终端分配专用的一个或多个 RID并注册登记到映射转发平面中的 ILR/PTF实体； ASN也可为多个终端分配相同的 RID。 终端接入网络时， 通 过认证中心鉴权保证用户身份的真实性， ILR保存了各接入终端的 AID-RID 映射信息。接入网部分釆用 AID区别不同终端， 广义交换平面釆用 RID路由 数据报文。 建立端到端的通信过程需要通过 AID查找对应的 RID。 端到端通 信过程中， 需要将本端的 AID作为源端地址在数据报文中携带到通信对端。 通信对端能够从数据报文携带的源端地址获得源端身份。
本架构网络通过对用户身份的鉴权， 以网络信用保证了用户身份的真实 可靠， 在网络中构建了一个信任域。 网络对用户身份的鉴权方法根据不同的 网络体制可釆用不同的方法， 可以对用户接入标识 AID直接鉴权； 也可以对 网络中标识用户的其他类型的用户识别（例如国际移动用户识别（ International Mobile Subscriber Identification Number , IMSI )、网络用户识别（ Network Access Identifier, NAI )等）进行鉴权， 网络设备将保存该用户识别与 AID之间的对 应关系。
现有接入网 RAN部分能够保证二层连接安全性，保证终端接入网络时数 据报文不被篡改。 例如： 码分多址（Code Division Multiple Access, CDMA ) 无线接入釆用码分多址方式， 非对称数字用户环路 ( Asymmetric Digital Subscriber Line , ADSL )釆用专线或 VLAN隔离方式， GSM釆用频分多址方 式。 所有的终端都是通过鉴权认证的有效合法用户。 终端在接入网络时， 将 建立终端与网络的 ASN间的点到点连接关系。 ASN将终端的 AID绑定在终 端与 ASN间的端到端用户连接上，如果从该用户连接上发出报文的源地址与 该用户的 AID不匹配， ASN将丟弃数据报文， 这样， 能够保证本架构中终端 的 AID不被仿冒和更改。
ASN, 以及从源端 ASN到目的端 ASN之间的通信设备如 ILR/PTF, CR, 认证中心等， 由网络运营和管理方提供， 由网络信用保证数据报文传输的安 全性， 保证数据报文真实可靠。
从而， 基于身份位置分离架构将能够在网络中以网络信用构建一个信任 域， 保证进行数据通信的两端身份的真实可靠。
出于安全性和业务特点的考虑，现有 Internet网大量的应用业务以匿名方 式开展， 这就需要在网络信用担保的信任域中， 提供一个匿名制的空间， 以 满足业务开展的需要。 以下将结合上述身份标识和位置分离架构下的若干实施案例对本发明如 何提供匿名制的空间的具体实施方案进行详细说明。 本实施例中， 是以基于 网络的身份标识和位置分离架构为例进行说明， 但本发明技术方案所基于的 架构网络还可以是基于 LISP及其他多种身份标识和位置分离架构。
实施案例一
在身份标识和位置分离架构下， 实名制信任域由网络信用保证， 匿名制 空间由网络根据设置的业务授权开展。 如图 2所示， 其具体实现流程如下： 步骤 201. MN发起登录请求， 请求接入本架构网络， 认证中心对 MN 进行合法性认证和授权， 记录的用户属性， 如果 MN在本架构网络开通了匿 名数据业务， 则存储在 MN的用户属性中；
MN接入本架构网络的流程如图 3所示， 其中 MN的合法性认证及鉴权 等可釆用现有流程， 并且， 本架构网络中支持双向认证， 即 MN还可以对网 络的合法性进行认证。
步骤 202. MN接入本架构网络， MN所在的 ASN为其分配 RID, 并向 归属 ILR注册映射关系 , ILR将保存 MN的 AID-RID映射信息；
步骤 203. MN申请数据通信釆用匿名方式；
图 4所示为终端用户发起匿名通信的流程示意图， 具体包括：
MN通过其所在的 ASN发起匿名通信请求；
认证中心确认 MN具备匿名通信业务权限后， 向 ASN发出确认； （该步 骤根据运营需要为可选步骤。 )
MN所在的 ASN向归属 ILR发起匿名 AID分配请求， 归属 ILR收到该 请求消息后，记录 MN为匿名通信状态，并为 MN分配一个新的接入标识 AID 作为匿名 AID, 归属 ILR可以从专用于匿名 AID的号段中选取， 也可以从号 段中选取一个空闲的 AID； 并将该匿名 AID保存在归属 ILR存储的 MN的记 录中， 例如记录对应关系： AID-匿名 AID-RID; 归属 ILR向 ASN发出匿名通信响应消息， 携带匿名 AID的信息， 例如 AID-匿名 AID的对应关系， ASN收到该消息后， 从消息中读取匿名 AID的 信息， 保存在 MN对应的数据区中， 并记录 MN为匿名通信状态， 在匿名通 信状态期间， MN与其所有通信对端的通信均釆用匿名方式；
ASN向 MN发出匿名通信确认消息。
步骤 204. MN与 CN建立端到端匿名数据通信；
如图 5所示， MN与 CN建立端到端匿名通信的流程如下：
MN与 CN建立端到端通信， 在 MN与源 ASN之间的接口上， 收发的数 据才艮文格式为： （源 AID, 目的 AID ) , 即源地址目的地址分别为双方用户 的身份识别。 MN所在的 ASN判断该用户匿名数据业务有效后， 将发出的数 据报文中的源 AID替换为匿名 AID,并查找对应的源 RID/目的 RID并封装在 数据报文中， 通过骨干网发往 CN所在的 ASN;
其中，在源 ASN与目的 ASN之间的接口上传送的数据报文格式为： （源 RID, 匿名 AID, 目的 RID, 目的 AID ) 。
CN所在的目的 ASN收到数据报文后， 剥离 RID封装， 将数据报文发往
CN, 数据报文格式为 （匿名 AID, 目的 AID ) ；
CN所在的 ASN收到 CN回应的数据报文， 数据报文格式为： （源 AID, 匿名 AID ) , 即源地址为 CN的 AID, 目的地址为匿名 AID;
CN所在的 ASN将数据报文增加 RID封装， 封装后的数据报文格式为： (源 RID, 源 AID, 目的 RID, 匿名 AID ) , 通过骨干网将数据报文发往 MN 所在的 ASN;
MN所在的 ASN收到 CN发出的数据报文后， 剥离 RID封装， 并将数据 报文中的匿名 AID替换为 MN的 AID, 发送给 MN。
由上述流程可见， 在 MN与 CN的通信期间， CN看到的 MN的身份识 别是匿名 AID, 而不是接入 AID。
步骤 205. MN取消匿名通信方式。
图 6为终端用户取消匿名通信的流程示意图， 具体流程如下： MN发起取消匿名数据通信请求；
认证中心确认 MN具备匿名通信业务权限后， 向 ASN发出确认； （该步 骤根据运营需要为可选步骤。 )
ASN删除 MN数据区中的 AID-匿名 AID对应关系， 将 MN的匿名通信 状态改为正常通信状态；
ASN向归属 ILR发起取消匿名 AID对应关系流程 , ILR将删除 MN的 AID-匿名 AID-RID的对应关系 , 保存 MN的 AID-RID映射关系 , 并将 MN 的匿名通信状态改为正常通信状态， 向 ASN发送取消匿名通信响应消息；
ASN向 MN发送取消匿名通信响应消息。
后续 ASN在进行 MN的数据报文收发时， 将不再进行 AID与匿名 AID 的替换。
实施案例二
本实施案例与实施案例一的流程基本相同， 二者的主要区别在于， 本实 施例中，作为上述匿名 AID分配流程的替代步骤，如图 7所示，也可以由 ASN 按以下流程自行完成匿名 AID的分配流程：
MN通过其所在的 ASN发起匿名通信请求；
认证中心确认 MN具备匿名通信业务权限后， 向 ASN发出确认； （该步 骤根据运营需要为可选步骤。 )
MN所在的 ASN收到鉴权认证中心匿名业务权限确认后， ASN为 MN分 配匿名 AID, 保存在 MN对应的数据区中， 并记录 MN为匿名通信状态；
ASN向归属 ILR发起匿名 AID登记流程， 归属 ILR将保存 MN的 AID 匿名 AID-RID的对应关系 , 并记录 MN为匿名通信状态；
此处， 归属 ILR保存匿名 AID的对应关系后， 后续 CN向 MN发送数据 报文时， 可以根据 MN的匿名 AID查询到 MN的 RID
ASN向 MN发送匿名通信确认消息。
后续 MN进行数据通信的过程中， ASN如果判断出 MN处于匿名通信状 态， 则在进行 ΜΝ的数据报文收发时， 将负责进行 AID与匿名 AID的替换。
实施案例三
本实施案例与前述实施案例的流程基本相同， 其主要区别在于： 前述案 例中， MN通过发起匿名通信请求申请匿名通信方式， 后续需要取消匿名通 信方式时， MN通过发起取消匿名通信请求取消通信匿名方式。
而在本实施案例中 （未图示） ， MN 申请匿名通信方式时， 在发起匿名 通信请求中， 携带时间段信息， 表示在该时间段内， MN处于匿名通信状态 中； ASN收到该匿名通信请求时， 设置匿名通信定时器， 在匿名通信定时器 到时前， ASN将进入如前述实施案例所述的匿名通信处理流程。
本实施案例中， MN将无需发起取消匿名通信的流程， 匿名通信定时器 到时即可取消本次匿名方式通信， MN由匿名通信状态改变为正常通信状态。
由上可知， 本发明提出了一种身份标识和位置分离架构下匿名通信的方 法， 基于本发明的身份标识和位置分离架构下的匿名通信方法， 可以实现在 构建实名制信任域的基础上， 提供一个匿名制的空间， 以满足业务开展的需 要。 在身份标识和位置分离框架下， 实名制信任域由网络信用保证， 匿名制 空间由网络根据业务授权开展业务。
本发明实施例中还提供了一种数据报文的转发方法， 包括：
源端节点向目的节点发送数据报文， 所述数据报文中包含目的地址和第 一源地址；
源端接入节点接收到所述数据报文时， 将其中包含的所述第一源地址替 换成为所述终端分配的第二源地址， 并根据所述目的地址将所述数据报文转 发至目的接入节点；
所述目的接入节点收到所述数据报文中后转发给所述目的节点。
进一步地， 所述目的节点收到所述数据 文后， 以所述第二源地址作为 目的地址向所述源端节点回应数据报文；
所述目的接入节点根据所述第二源地址将所述数据报文转发至所述源端 接入节点；
所述源端节点收到所述数据报文后， 将其中包含的所述第二源地址替换 成对应的所述第一源地址， 转发给所述源端节点。
进一步地， 所述方法应用于身份标识与位置分离架构网络， 所述第一源 地址为所述终端的接入标识。
此外， 本发明实施例中还提供了一种匿名通信的注册方法， 应用于身份 标识与位置标识分离的架构网络中， 所述架构网络至少包括有第一节点、 认 证中心、 第一接入节点及第一分配节点， 其中， 所述第一节点分配有一实际 身份标识， 包括：
第一节点经由第一接入节点向认证中心发送匿名通信请求；
所述认证中心接收所述匿名通信请求并判断所述第一节点是否具备匿名 通信权限；
在第一节点具备匿名通信权限的情况下， 所述第一接入节点向第一分配 节点发送匿名身份标识分配请求， 第一分配节点为第一节点分配一匿名身份 标识，并保存该第一节点匿名身份标识与第一节点实际身份标识的对应关系， 或第一节点的匿名身份标识与第一节点实际身份标识以及位置标识的对应关 系。
进一步地， 所述方法还包括第一分配节点记录第一节点处于匿名通信状 态， 并将所述匿名身份标识发送至第一接入节点。
进一步地， 所述匿名身份标识自一预定用于匿名身份标识的标识群组中 选择， 或自一预定群组中选择。
本发明实施例中还提供了另一种匿名通信的注册方法， 应用于身份标识 与位置标识分离的架构网络中， 所述架构网络至少包括有第一节点、 第一接 入节点及第一存储节点， 其中， 所述第一节点分配有一实际身份标识， 包括： 第一节点经由第一接入节点向认证中心发送匿名通信请求； 所述认证中心接收所述匿名通信请求并判断所述第一节点是否具备匿名 通信权限；
在第一节点具备匿名通信权限的情况下， 所述第一接入节点为第一节点 分配一匿名身份标识， 同时向第一存储节点登记该第一节点匿名身份标识与 第一节点实际身份标识的对应关系， 或第一节点的匿名身份标识与第一节点 实际身份标识以及位置标识的对应关系。
进一步地， 所述方法还包括第一接入节点记录第一节点处于匿名通信状 态。
此外， 本发明实施例还提供了一种信息的发送方法， 包括：
第一节点经由第一节点归属地的第一接入节点发送一信息至第二节点， 所述信息至少包括有第一节点第一标识及第二节点第一标识；
第一节点归属地的第一接入节点替换第一节点第一标识为第一节点更新 后第一标识后， 釆用第一节点第二标识及第二节点第二标识封装所述第一节 点更新后的第一标识及第二节点第一标识， 并发送至第二节点归属地的第二 接入节点， 并经由该第二节点归属地的第二接入节点解封后发送该信息至第 二节点。
进一步地， 第一标识为身份标识， 第二标识为位置标识， 所述第一节点 更新后的第一标识和 /或第一节点第二标识及第二节点第二标识为第一接入 节点本地获取， 或自第一接入节点外的另一节点获取。
进一步地， 所述方法还包括， 在第一接入节点接收所述信息时， 还包括 一判断所述信息发送是否触发替换程序的步骤。
本发明实施例中还提供了一种用以实现信息收发的系统， 应用于身份与 位置分离的架构网络中， 包括：
接收单元， 用以接收第一节点发送至第二节点的信息， 其中所述信息至 少包括有所述第一节点及第二节点的身份标识； 更新单元， 用以更新第一节点的身份标识为一匿名的身份标识； 封装单元， 用以封装第一节点和第二节点的位置标识在所述匿名身份标 识及第二节点的身份标识外， 以供身份与位置分离架构网络实现路由转发以 发送信息至第二节点； 其中，
所述接收单元还用以在接收第二节点发送至第一节点的信息时， 更新匿 名的身份标识为第一节点的身份标识， 并转发信息至第一节点。
本发明实施例中还提供了另一种用以实现信息收发的系统， 应用于身份 与位置分离的架构网络中， 其特征在于： 所述系统包括有第一系统及第二系 统， 其中，
第一系统包括：
第一收发单元， 用以接收第一节点发送至第二节点的第一信息， 其中， 所述第一信息包括有第一节点和第二节点的身份标识； 及， 用以接收第二系 统第二收发单元发送的第二信息， 其中， 第二信息包括有第一节点的匿名身 份标识及第二节点的身份标识；
第一替换单元， 用以在第一节点向第二节点发送第一信息时， 更新第一 节点的身份标识为匿名身份标识， 以及在第二节点发送第二信息至第一节点 时， 更新匿名身份标识为第一节点的身份标识；
第二系统包括：
第二收发单元， 用以接收第一信息并转发至第一节点； 及用以向第一节 点转发自第二节点的第二信息， 其中， 第二信息包括有第一节点的匿名身份 标识及第二节点的身份标识。
进一步地， 在第一节点发送第一信息至第二节点时， 第一节点的匿名身 份标识用以标识信息的发送方，第二节点的身份标识用以标识信息的接收方， 在第二节点发送第二信息至第一节点时， 第一节点的匿名身份标识用以标识 信息的接收方， 第二节点的身份标识用以标识信息的发送方。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以釆用 硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。
工业实用性 本发明提出一种身份标识和位置分离架构下匿名通信的解决方案， 可以 实现在构建了一个实名制信任域的基础上， 提供一个匿名制的空间， 以满足 匿名业务开展的需要， 在身份标识和位置分离架构下， 实名制信任域由网络 信用保证， 匿名制空间由网络根据业务授权开展业务。

Claims

权 利 要 求 书
1、 一种匿名通信的方法， 应用于身份标识和位置分离架构网络， 该方法 包括：
所述网络接收到终端发起的匿名通信请求后， 为所述终端分配匿名身份 标识， 并将所述终端的状态记录为匿名通信状态；
当所述终端处于匿名通信状态下时， 所述终端所在的接入网关设备在收 到所述终端发出的数据报文时， 将所述数据报文中的源接入标识替换为所述 匿名身份标识； 在收到发往所述终端的数据报文时， 将所述发往所述终端的 数据报文中的匿名身份标识替换为所述终端的接入标识。
2、 如权利要求 1所述的方法， 其中，
所述为所述终端分配匿名身份标识的步骤中， 由所述网络中的映射服务 器、 或所述终端所在的接入网关设备为所述终端分配所述匿名身份标识。
3、 如权利要求 2所述的方法， 其中，
所述终端所在的接入网关设备为所述终端分配所述匿名身份标识的步骤 还包括： 将分配的所述匿名身份标识向所述映射服务器进行登记。
4、 如权利要求 1、 2或 3所述的方法， 其中， 将所述终端的状态记录为 匿名通信状态的步骤之前， 所述方法还包括：
所述终端所在的接入网关设备在接收到所述匿名通信请求时， 向认证中 心发起鉴权流程， 在确认所述终端具备匿名通信业务权限后， 将所述终端记 录为匿名通信状态。
5、 如权利要求 4所述的方法， 所述方法还包括：
所述终端所在的接入网关设备在接收到所述终端的取消匿名通信请求 后， 将所述终端的状态由匿名通信状态改变为正常通信状态。
6、 如权利要求 5所述的方法， 所述方法还包括：
所述终端所在的接入网关设备将所述终端的状态由匿名通信状态改变为 正常通信状态后， 在进行所述终端的数据报文的收发时， 取消所述匿名身份 标识的替换。
7、 如权利要求 1所述的方法， 其中，
所述终端发起的所述匿名通信请求中携带时间段信息；
所述终端所在的接入网关设备在接收到所述匿名通信请求时， 将所述终 端的状态记录为匿名通信状态的步骤还包括：
根据所述匿名通信请求中的所述时间段信息设置匿名通信定时器； 并在 所述定时器到达定时周期后将所述终端的状态由匿名通信状态改变为正常通 信状态。
8、 一种数据报文的转发方法， 所述方法包括：
源端节点向目的节点发送数据报文， 所述数据报文中包含目的地址和第 一源地址；
源端接入节点接收到所述数据报文时， 将所述数据报文中包含的所述第 一源地址替换成为所述终端分配的第二源地址， 并根据所述目的地址将所述 数据报文转发至目的接入节点； 以及
所述目的接入节点收到所述数据报文中后转发给所述目的节点。
9、 如权利要求 8所述的方法， 所述方法还包括：
所述目的节点收到所述数据 文后， 以所述第二源地址作为目的地址向 所述源端节点回应数据报文；
所述目的接入节点根据所述第二源地址将所述回应数据报文转发至所述 源端接入节点； 以及
所述源端节点收到所述回应数据报文后， 将所述回应数据报文中包含的 所述第二源地址替换成对应的所述第一源地址 , 转发给所述源端节点。
10、 如权利要求 8或 9所述的方法， 其中，
所述方法应用于身份标识与位置分离架构网络， 所述第一源地址为所述 终端的接入标识。
11、 一种匿名通信的注册方法， 应用于身份标识与位置标识分离的架构 网络中， 所述架构网络至少包括第一节点、 认证中心、 第一接入节点及第一 分配节点， 其中， 所述第一节点分配有一实际身份标识， 其特征在于， 所述 方法包括:
第一节点经由第一接入节点向认证中心发送匿名通信请求；
所述认证中心接收所述匿名通信请求并判断所述第一节点是否具备匿名 通信权限； 以及
在第一节点具备匿名通信权限的情况下， 所述第一接入节点向第一分配 节点发送匿名身份标识分配请求， 第一分配节点为第一节点分配一匿名身份 标识，并保存该第一节点匿名身份标识与第一节点实际身份标识的对应关系， 或第一节点的匿名身份标识与第一节点实际身份标识以及位置标识的对应关 系。
12、 如权利要求 11所述的方法， 所述方法还包括： 第一分配节点记录第 一节点处于匿名通信状态， 并将所述匿名身份标识发送至第一接入节点。
13、 如权利要求 12所述的方法， 所述方法还包括：
所述匿名请求中包括时间段信息；
所述第一接入节点收到所述匿名请求时， 根据所述时间段信息设置匿名 通信定时器； 并在所述定时器到达定时周期后将所述终端的状态由匿名通信 状态改变为正常通信状态。
14、 如权利要求 11、 12或 13所述的方法， 其中， 所述匿名身份标识自 一预定用于匿名身份标识的标识群组中选择， 或自一预定群组中选择。
15、 一种匿名通信的注册方法， 应用于身份标识与位置标识分离的架构 网络中， 所述架构网络至少包括有第一节点、 第一接入节点及第一存储节点， 其中， 所述第一节点分配有一实际身份标识， 其特征在于， 该方法包括： 第一节点经由第一接入节点向认证中心发送匿名通信请求；
所述认证中心接收所述匿名通信请求并判断所述第一节点是否具备匿名 通信权限； 以及
在第一节点具备匿名通信权限的情况下， 所述第一接入节点为第一节点 分配一匿名身份标识， 同时向第一存储节点登记该第一节点匿名身份标识与 第一节点实际身份标识的对应关系， 或第一节点的匿名身份标识与第一节点 实际身份标识以及位置标识的对应关系。
16、 如权利要求 15所述的方法， 所述方法还包括： 第一接入节点记录第 一节点处于匿名通信状态。
17、 如权利要求 16所述的方法， 所述方法还包括：
所述匿名请求中包括时间段信息；
所述第一接入节点收到所述匿名请求时， 根据所述时间段信息设置匿名 通信定时器； 并在所述定时器到达定时周期后将所述终端的状态由匿名通信 状态改变为正常通信状态。
18、 一种信息的发送方法， 该方法包括：
第一节点经由第一节点归属地的第一接入节点发送一信息至第二节点， 所述信息至少包括有第一节点第一标识及第二节点第一标识； 以及
第一节点归属地的第一接入节点替换第一节点第一标识为第一节点更新 后第一标识后， 釆用第一节点第二标识及第二节点第二标识封装所述第一节 点更新后的第一标识及第二节点第一标识， 并发送至第二节点归属地的第二 接入节点， 并经由该第二节点归属地的第二接入节点解封后发送该信息至第 二节点。
19、 如权利要求 18所述的方法， 其中， 第一标识为身份标识， 第二标识 为位置标识， 所述第一节点更新后的第一标识和 /或第一节点第二标识及第二 节点第二标识为第一接入节点本地获取， 或自第一接入节点外的另一节点获 取。
20、 如权利要求 18或 19所述的方法， 所述方法还包括， 在第一接入节 点接收所述信息时， 判断所述信息发送是否触发替换程序的步骤。
21、 一种用以实现信息收发的系统， 应用于身份与位置分离的架构网络 中， 所述系统包括：
接收单元， 其设置为： 接收第一节点发送至第二节点的信息， 其中， 所 述信息至少包括有所述第一节点及第二节点的身份标识；
更新单元， 其设置为： 更新第一节点的身份标识为一匿名的身份标识； 以及
封装单元， 其设置为： 封装第一节点和第二节点的位置标识在所述匿名 身份标识及第二节点的身份标识外， 以供身份与位置分离架构网络实现路由 转发以发送信息至第二节点；
所述接收单元还设置为： 在接收第二节点发送至第一节点的信息时， 更 新匿名的身份标识为第一节点的身份标识， 并转发信息至第一节点。
22、 一种用以实现信息收发的系统， 应用于身份与位置分离的架构网络 中， 所述系统包括有第一系统及第二系统， 其中，
第一系统包括：
第一收发单元，其设置为：接收第一节点发送至第二节点的第一信息， 其中， 所述第一信息包括有第一节点和第二节点的身份标识； 接收第二系统 第二收发单元发送的第二信息， 其中， 第二信息包括有第一节点的匿名身份 标识及第二节点的身份标识； 以及
第一替换单元， 其设置为： 在第一节点向第二节点发送第一信息时， 更新第一节点的身份标识为匿名身份标识； 以及在第二节点发送第二信息至 第一节点时， 更新匿名身份标识为第一节点的身份标识；
第二系统包括：
第二收发单元， 其设置为： 接收第一信息并转发至第一节点； 向第一 节点转发自第二节点的第二信息， 其中， 第二信息包括有第一节点的匿名身 份标识及第二节点的身份标识。
23、 如权利要求 22所述的系统， 其中，
在第一节点发送第一信息至第二节点时， 第一节点的匿名身份标识用以 标识信息的发送方， 第二节点的身份标识用以标识信息的接收方， 在第二节 点发送第二信息至第一节点时， 第一节点的匿名身份标识用以标识信息的接 收方， 第二节点的身份标识用以标识信息的发送方。
PCT/CN2010/076378 2009-10-10 2010-08-26 匿名通信的方法、注册方法、信息收发方法及系统 Ceased WO2011041967A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
KR1020127011849A KR101515836B1 (ko) 2009-10-10 2010-08-26 익명 통신 방법, 등록 방법, 정보 송수신 방법 및 시스템
EP10821576.5A EP2477428B1 (en) 2009-10-10 2010-08-26 Method for anonymous communication, method for registration, method and system for transmitting and receiving information
US13/501,135 US9143483B2 (en) 2009-10-10 2010-08-26 Method for anonymous communication, method for registration, method and system for transmitting and receiving information
JP2012532446A JP5497901B2 (ja) 2009-10-10 2010-08-26 匿名通信の方法、登録方法、メッセージ受発信方法及びシステム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910205328.6A CN102045314B (zh) 2009-10-10 2009-10-10 匿名通信的方法、注册方法、信息收发方法及系统
CN200910205328.6 2009-10-10

Publications (1)

Publication Number Publication Date
WO2011041967A1 true WO2011041967A1 (zh) 2011-04-14

Family

ID=43856371

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/076378 Ceased WO2011041967A1 (zh) 2009-10-10 2010-08-26 匿名通信的方法、注册方法、信息收发方法及系统

Country Status (6)

Country Link
US (1) US9143483B2 (zh)
EP (1) EP2477428B1 (zh)
JP (1) JP5497901B2 (zh)
KR (1) KR101515836B1 (zh)
CN (1) CN102045314B (zh)
WO (1) WO2011041967A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012248966A (ja) * 2011-05-25 2012-12-13 National Institute Of Information & Communication Technology 移動端末間の無線通信方法
US20130070672A1 (en) * 2011-09-16 2013-03-21 Keith McFarland Anonymous Messaging Conversation
JP2013066104A (ja) * 2011-09-20 2013-04-11 National Institute Of Information & Communication Technology ホスト装置
KR101387228B1 (ko) 2012-05-31 2014-04-25 삼성에스디에스 주식회사 멀티 호밍 통신 방법 및 멀티 호밍 통신이 가능한 디바이스

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2472819B1 (en) * 2010-12-31 2016-03-23 Regify S.A. Systems and methods for providing and operating a secure communication network
CN102238090B (zh) * 2011-07-08 2014-02-19 清华大学 匿名通信系统的分组重路由方法
US9479344B2 (en) * 2011-09-16 2016-10-25 Telecommunication Systems, Inc. Anonymous voice conversation
US9077753B2 (en) * 2012-01-26 2015-07-07 National Institute Of Information And Communications Technology Method for securing name registries, network access and data communication in ID/locator split-base networks
EP2930961B1 (en) * 2012-12-31 2020-06-10 Huawei Technologies Co., Ltd. Communication system, capability opening gateway and method for opening capability of wireless pipe
WO2015164357A1 (en) * 2014-04-21 2015-10-29 Jose Joaquin Garcia-Luna-Aceves Hidden identifiers for demultiplexing and resolution architecture
CN104202235A (zh) * 2014-08-20 2014-12-10 上海梦荻网络科技有限公司 一种即时通信客户端和服务端
WO2016064079A1 (ko) * 2014-10-24 2016-04-28 허민 메시지 중개 방법 및 메시지 송수신 방법
CN104469693B (zh) * 2014-12-11 2018-04-27 北京奇虎科技有限公司 群组中的信息发布方法和装置
US9961030B2 (en) * 2015-06-24 2018-05-01 Private Giant Method and system for sender-controlled messaging and content sharing
CN107231702B (zh) * 2016-03-24 2021-09-10 中兴通讯股份有限公司 直连链路的建立方法及其实现数据传输的方法和节点
US10372775B2 (en) * 2016-04-29 2019-08-06 Futurewei Technologies, Inc. Anonymous identity in identity oriented networks and protocols
CN113723941A (zh) * 2016-05-27 2021-11-30 腾讯科技（深圳）有限公司 信息更新的方法、装置以及服务器
US10496847B2 (en) * 2017-02-16 2019-12-03 Visa International Service Association Systems and methods for anonymized behavior analysis
CN107147614A (zh) * 2017-03-14 2017-09-08 中国科学院信息工程研究所 一种通信安全处理的方法、信令处理器、用户设备及系统
CN109150793B (zh) * 2017-06-15 2021-06-01 华为技术有限公司 一种隐私保护方法及设备
US10735316B2 (en) 2017-06-29 2020-08-04 Futurewei Technologies, Inc. Receiver directed anonymization of identifier flows in identity enabled networks
US10530659B2 (en) 2017-06-30 2020-01-07 Futurewei Technologies, Inc. Identifier-based resolution of identities
US10841283B2 (en) 2017-07-17 2020-11-17 Futurewei Technologies, Inc. Smart sender anonymization in identity enabled networks
US11128563B2 (en) 2018-06-22 2021-09-21 Sorenson Ip Holdings, Llc Incoming communication routing
CN109688119B (zh) * 2018-12-14 2020-08-07 北京科技大学 一种云计算中的可匿名追踪性身份认证方法
EP3932036B1 (en) * 2019-02-28 2024-08-14 ARRIS Enterprises LLC Method to anonymize client mac addresses for cloud reporting
CN110519292B (zh) * 2019-09-06 2022-01-25 赛尔网络有限公司 用于社交网络的编码方法、社交方法、装置、设备及介质
CN111786943B (zh) * 2020-05-14 2022-09-16 北京信息科技大学 一种网络标识匿名传输方法和系统
CN114531418A (zh) * 2020-10-30 2022-05-24 北京三星通信技术研究有限公司 通信方法及装置
CN113660255A (zh) * 2021-08-13 2021-11-16 华世界数字科技(深圳)有限公司 一种匿名群聊方法、装置、及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7324517B1 (en) * 2003-04-16 2008-01-29 Cisco Technology, Inc. Converting data packets in a communication network
CN101262416A (zh) * 2007-03-06 2008-09-10 华为技术有限公司 通信系统中用户位置隐藏的方法、系统及装置
CN101400054A (zh) * 2007-09-28 2009-04-01 华为技术有限公司 保护用户终端的隐私的方法、系统和设备

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI107863B (fi) * 1999-10-11 2001-10-15 Sonera Oyj Menetelmä ja järjestelmä käyttäjätunnisteen suojaamiseksi
US7650424B2 (en) * 2000-04-04 2010-01-19 Alcatel-Lucent Usa Inc. Supporting mobile hosts on an internet protocol network
JP2001306455A (ja) 2000-04-20 2001-11-02 Cybird Co Ltd 電子メール仲介サーバー
US20020186698A1 (en) * 2001-06-12 2002-12-12 Glen Ceniza System to map remote lan hosts to local IP addresses
JP3935784B2 (ja) * 2002-06-19 2007-06-27 有限会社デンタルサプライ 電子メールサービス装置、電子メールサービスプログラムおよび記録媒体
JP2004056317A (ja) * 2002-07-17 2004-02-19 Bagujii Data:Kk メール転送システム
US9003295B2 (en) * 2003-03-17 2015-04-07 Leo Martin Baschy User interface driven access control system and method
JP2005010941A (ja) * 2003-06-17 2005-01-13 Ntt Docomo Inc メール転送システム
JP4074851B2 (ja) * 2003-12-25 2008-04-16 株式会社日立製作所 通信中継方法および中継装置
CN100337497C (zh) * 2004-09-16 2007-09-12 华为技术有限公司 一种发送匿名短消息的方法
WO2007069327A1 (ja) * 2005-12-15 2007-06-21 Fujitsu Limited 中継装置，中継方法，中継用プログラム，中継用プログラムを記録したコンピュータ読取可能な記録媒体および情報処理装置
CA2531533C (en) * 2005-12-28 2013-08-06 Bce Inc. Session-based public key infrastructure
JP2008199348A (ja) * 2007-02-14 2008-08-28 Fujitsu Ltd 中継装置、中継プログラム及び通信システム
US8464334B1 (en) * 2007-04-18 2013-06-11 Tara Chand Singhal Systems and methods for computer network defense II
JP5327832B2 (ja) * 2007-05-16 2013-10-30 独立行政法人情報通信研究機構 ノード識別子と位置指示子とを用いたパケットの通信方法
JP2009086916A (ja) * 2007-09-28 2009-04-23 Hitachi Ltd メール仲介システムおよびメールシステム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7324517B1 (en) * 2003-04-16 2008-01-29 Cisco Technology, Inc. Converting data packets in a communication network
CN101262416A (zh) * 2007-03-06 2008-09-10 华为技术有限公司 通信系统中用户位置隐藏的方法、系统及装置
CN101400054A (zh) * 2007-09-28 2009-04-01 华为技术有限公司 保护用户终端的隐私的方法、系统和设备

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012248966A (ja) * 2011-05-25 2012-12-13 National Institute Of Information & Communication Technology 移動端末間の無線通信方法
US20130070672A1 (en) * 2011-09-16 2013-03-21 Keith McFarland Anonymous Messaging Conversation
US9544271B2 (en) * 2011-09-16 2017-01-10 Telecommunication Systems, Inc. Anonymous messaging conversation
JP2013066104A (ja) * 2011-09-20 2013-04-11 National Institute Of Information & Communication Technology ホスト装置
KR101387228B1 (ko) 2012-05-31 2014-04-25 삼성에스디에스 주식회사 멀티 호밍 통신 방법 및 멀티 호밍 통신이 가능한 디바이스

Also Published As

Publication number Publication date
US20120203856A1 (en) 2012-08-09
JP5497901B2 (ja) 2014-05-21
KR101515836B1 (ko) 2015-05-04
JP2013507803A (ja) 2013-03-04
US9143483B2 (en) 2015-09-22
EP2477428A1 (en) 2012-07-18
CN102045314A (zh) 2011-05-04
EP2477428B1 (en) 2020-04-01
KR20120081189A (ko) 2012-07-18
CN102045314B (zh) 2016-08-03
EP2477428A4 (en) 2017-07-05

Similar Documents

Publication Publication Date Title
WO2011041967A1 (zh) 匿名通信的方法、注册方法、信息收发方法及系统
JP3778129B2 (ja) 無線ネットワークおよび無線ネットワークにおける認証方法
WO2011044808A1 (zh) 一种匿名通信的溯源方法及系统
US20120176932A1 (en) Communication method, method for forwarding data message during the communication process and communication node thereof
JP2011515945A (ja) ローカル・ネットワーク間でデータ・パケットを通信するための方法および装置
CN102036215B (zh) 实现网间漫游的方法、系统及查询和网络附着方法及系统
WO2011050676A1 (zh) 一种匿名通信的方法及注册、取消方法及接入节点
EP2560331A1 (en) Method, apparatus and system of radio access
WO2008151557A1 (fr) Procédé, équipement et système ip mobile de serveur mandataire pour déclencher une optimisation de route
WO2011035615A1 (zh) 一种数据传输方法、系统及装置
WO2011032447A1 (zh) 新网与互联网互通的实现方法、系统及通信端
WO2011044807A1 (zh) 一种匿名通信的注册、通信方法及数据报文的收发系统
CN101237394A (zh) 锚点设备、处理多接口移动台报文的方法及系统
CN101331716B (zh) 在至少一个移动通信单元和通信系统之间传输基于以太网传输协议的数据分组的方法
WO2011032417A1 (zh) 发起通信、信息/数据报文的转发及路由配置方法和系统
JP4291262B2 (ja) ハードウエア・ファイアウォールを利用してネットワーク・データをホストと安全に共有する経路設定装置のシステムおよび方法
WO2011032478A1 (zh) 一种获取终端身份标识的方法、装置及终端
WO2012075768A1 (zh) 身份位置分离网络的监听方法和系统
WO2011120276A1 (zh) 一种终端实现连接建立的方法及系统
WO2009155863A1 (zh) 下一代网络中支持移动性安全的方法与系统
CN102056287B (zh) 一种基于网络的身份标识与位置分离的实现方法及系统
CN100450276C (zh) 移动ip网络中外地代理向移动节点转发报文的方法
WO2012075779A1 (zh) 一种保证移动节点服务质量的方法及系统
JP5947763B2 (ja) 通信システム、通信方法、および、通信プログラム
WO2013178138A1 (zh) 一种获取终端的接入标识的方法及身份信息服务器

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10821576

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2010821576

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2012532446

Country of ref document: JP

Ref document number: 13501135

Country of ref document: US

ENP Entry into the national phase

Ref document number: 20127011849

Country of ref document: KR

Kind code of ref document: A