基于真实IPv6地址环境下的安全DNS系统设计

网络的安全保证变得日趋重要,在下一代互联网上这种要求更为迫切.以真实IPv6地址接入技术为平台,结合PKI的证书分发机制对密钥的分发实现安全便捷的管理,利用密钥机制对DNS全程数据通信进行签名加密保护进而可以实现下一代互联网络体系结构中DNS系统的安全,包括安全的域名更新、安全的域名查询以及抵御常见的DNS攻击.     

基于真实IPv6地址环境下的安全DNS系统设计

网络的安全保证变得日趋重要,在下一代互联网上这种要求更为迫切.以真实IPv6地址接入技术为平台,结合PK I的证书分发机制对密钥的分发实现安全便捷的管理,利用密钥机制对DNS全程数据通信进行签名加密保护进而可以实现下一代互联网络体系结构中DNS系统的安全,包括安全的域名更新、安全的域名查询以及抵御常见的DNS攻击.     

基于安全多方求和与可验证私密分享的位置隐私保护协议

为解决现有的TTP-free协议不能高效抵抗多个不诚实用户与基于位置的服务(LBS)提供商合谋攻击的问题,该文提出一种基于安全多方求和(SMS)与可验证私密分享(VSS)的位置隐私保护协议。采用SMS计算位置匿名中心,采用VSS进行位置加密,实现位置隐私保护并验证合作用户数据正确性。实验分析显示该协议能有效应对外部攻击和内部攻击,并侦查不诚实的合作用户,为LBS提供高质量位置隐私保护。     

属性加密算法用于网络健康数据隐私保护

互联网的开放性和互通性使用户的个人资料和健康数据面临着被盗取、偷窥或滥用的风险,所以对于健康数据的隐私保护亟待加强。采用属性加密算法对用户存储上传的数据进行加密,用户可以方便地记录日常运动、健康和饮食数据。在实现互联网模式医疗健康服务的同时,有效保护了用户的隐私。     

属性加密算法用于网络健康数据隐私保护

互联网的开放性和互通性使用户的个人资料和健康数据面临着被盗取、偷窥或滥用的风险,所以对于健康数据的隐私保护亟待加强.采用属性加密算法对用户存储上传的数据进行加密,用户可以方便地记录日常运动、健康和饮食数据.在实现互联网模式医疗健康服务的同时,有效保护了用户的隐私.     

多密钥隐私保护决策树评估方案

为了保护机器学习中决策树数据和模型的隐私,并减少计算和通信开销,提出了一种多密钥隐私保护决策树评估(multi-key privacy-preserving decision tree evaluation,MPDE)方案。利用分布式双陷门公钥密码(distributed two-trapdoor public-key crypto,DT-PKC)系统对所有数据进行加密。基于跨域安全加法协议实现来自不同公钥加密的两个密文的加法,改进原有的安全比较协议以支持多用户多密钥,保护了请求信息、分类结果和决策树模型的隐私。引入可信第三方密钥生成中心,减少了实体之间的通信开销,且在密钥分发完后离线。采用服务代理商代替用户与云服务器交互,降低了用户与云服务器之间的通信开销和用户的计算开销。安全与性能分析表明该方案具有高隐私性和高效性。同时,仿真实验显示该方案具有更低的计算开销。     

信息论安全的3个基础外包计算协议及空间位置关系保密判定

现存的安全几何计算协议大多采用公钥加密方法保护数据隐私,计算成本较大。当计算能力不强的用户解决复杂问题时,效率往往较低。针对这些问题,避开公钥加密的方法,而是利用矩阵论中一些特殊函数的性质和随机数混淆的方法来保护数据隐私,并且为了进一步提高效率,将大量的用户计算外包出去。在此基础上,首先设计了常用的3个基础向量外包计算协议,分别是安全外包计算的向量模长计算协议,向量内积计算协议和向量夹角计算协议,并利用模拟范例证明了协议的安全性,然后利用这3个基础协议进一步解决了现实意义中如何保密判断空间面与面位置关系的问题,并给出了具体协议。最后,通过理论分析与实验仿真显示:由于协议没有使用公钥加密的方法,因此达到了信息论安全;并且由于外包计算的使用,为用户节省了更多的计算成本,取得了比较高的效率;此外,协议能够解决的问题也更加广泛,可作为新的云计算技术的基础协议应用到安全多方计算的其它分支中。     

面向共谋攻击的位置隐私保护方案

在位置隐私保护中,协作用户之间可能存在共谋是一个难以避免的问题,针对这一问题,从信息论的角度加以分析,并提出了基于网格划分和属性基加密处理的隐私保护方法。该方法通过信息流分析了潜在的共谋信息披露量,利用属性基加密防止协作用户共谋获取隐私信息,同时进一步使用网格划分有效的防止中心服务器和位置提供商对用户隐私信息的获取。     

云环境下用户隐私混合加密方案及其性能分析

针对云环境下用户隐私数据的安全性和数据应用操作效率要求相矛盾的问题,提出了一种基于同态加密和基于属于加密的混合方案,实现对云用户隐私信息进行分类加密保护.方案中将用户数据分为绝对保密的数据和可信用户合理访问的数据2类,其中对绝对保密的数据采用同态加密算法;对可被部分授权用户访问的数据制定相应的访问控制树,并采用基于属于的加密算法.设计了云环境下混合加密方案,分为客户端和服务端,并将混合加密方案与基于属性的加密方法从加解密时间和存储开销进行了比较,可以看出混合加密方案具有很好的应用前景.     

角逐网络空间“制空权”,中国焉能不争先简

2014年1月21日下午三时许,中国境内所有的顶级根域无法解析,全国约三分之二的DNS（域名系统）服务器也处于瘫痪状态,造成高达数千万互联网用户无法正常访问域名以“．com”、“．net”等结尾的网站,     

较小存储空间下物联网隐私保护加密算法研究

当前物联网隐私保护加密算法所需存储空间较大,且计算复杂度高,不适于物联网用户众多、计算量大且存储空间较小的情况。为此,提出一种新的较小存储空间下物联网隐私保护加密算法,在对物联网中数据库关系进行分解的过程中,选用动态加密技术动态地产生密钥,使其适于较小存储空间环境。依据多辅助随机服务器和单数据库的思想对较小存储空间下物联网进行隐私保护,通过动态变换加密技术对数据进行加密后,利用预处理与在线查询两个阶段实现物联网用户信息的隐私保护。实验结果表明,采用所提算法进行物联网隐私保护加密,功能性和安全性较强,所需时间短,且能够保证加密隐私信息的完整性。     

DTA-HOC:Online HTTPS Traffic Service Identification Using DNS in Large-Scale Networks

An increasing number of websites are making use of HTTPS encryption to enhance security and privacy for their users.However,HTTPS encryption makes it very difficult to identify the service over HTTPS flows,which poses challenges to network security management.In this paper we present DTA-HOC,a novel DNS-based two-level association HTTPS traffic online service identification method for large-scale networks,which correlates HTTPS flows with DNS flows using big data stream processing and association technologies to label the service in an HTTPS flow with a specific associated domain name.DTA-HOC has been specifically designed to address three practical challenges in the service identification process:domain name ambiguity,domain name query invisibility,and data association time window size contradictions.Several experiments on datasets collected from a 10-Gbps campus network are conducted alongside offline and online testing.Results show that DTA-HOC can achieve an average online association rate on HTTPS traffic of 83% and a generic accuracy of 86.16%.Its processing time for one minute of data is less than 20 seconds.These results indicate that DTA-HOC is an efficient method for online identification of services in HTTPS flows for large-scale networks.Moreover,our proposed method can contribute to the identification of other applications which make a Domain Name System(DNS) communication before establishing a connection.     

域名解析研究及服务器配置实践

DNS域名解析是因特网的一项核心服务,它作为可以将域名和IP地址相互映射的一个分布式数据库,能够使人更方便的访问互联网.DNS服务器是域名解析体系的重要组件,也是网络管理重要的维护对象.本文通过研究域名解析的技术和工作过程,为DNS服务器维护探索出配置的技术依据和方法.     

面向多用户的多层嵌套数据库加密方案

围绕外包数据的安全性问题与用户隐私性问题,展开对加密数据库方案的研究,提出了一个面向多用户的多层嵌套数据库加密方案.该方案根据洋葱模型多层理论,采用多种不同类型的加密算法对用户的外包数据进行多层嵌套加密,实现了既保证数据机密性又满足多种不同SQL查询类型的数据库加密方案.针对用户递交包含敏感信息的查询语句在一定程度上泄露用户自身的隐私这一问题,设计了基于单服务器私有信息检索(private information retrieval,PIR)技术的用户隐私保护机制,实现了用户匿名查询.安全性分析表明,该方案满足数据机密性与用户隐私性.Sysbench基准测试实验分析表明,该方案具有良好的查询处理效率、读写吞吐量以及健壮性.     

基于匿名广播加密的P2P社交网络隐私保护系统

针对已有的广播加密方案无法很好地对用户的隐私进行保护问题,提出了基于合数阶双线性群以及拉格朗日插值法的具有接收者匿名性的广播加密方案。并针对现有的P2P社交网络存在的隐私保护方面的不足,基于匿名广播加密方案构建了P2P社交网络隐私保护系统。在Android客户端设计与实现了关键算法及系统的功能模块,并对各模块进行了功能验证。验证结果表明该匿名广播加密算法在保证对用户数据进行分发同时,解决了已有P2P社交网络中依赖高代价匿名技术来对用户数据进行隐私保护或者用户权限的过度开放等问题,有效地保护了接收者的隐私性。     

基于域名共现行为的僵尸网络行为追踪

针对局部行为特征信息偏少而使得僵尸网络行为难以全面追踪的问题,提出了一种基于域名共现行为的僵尸网络行为追踪方法.该方法通过域名共现评分算法计算待测域名与已知僵尸域名的域名共现行为来追踪其他僵尸域名,进而发现更多的僵尸主机;为提高域名评分准确性,还提出了过滤基于网络地址转换的主机域名访问、空间区分单个僵尸网络,以及基于观测时长共现行为统计3项改进措施.采集西安交通大学网络域名服务器的域名查询流量作为数据源进行了实验和测试,结果表明:基于改进的域名评分措施不仅将待测域名数量降为原来的1/4,且计算出的前10名域名共现评分更加合理,提高了追踪僵尸主机的准确性.     

物联网密文数据访问中可撤销的混合加密控制算法设计

针对物联网密文数据访问中用户隐私数据的安全性与数据应用操作效率要求之间的矛盾问题,提出一种新的可撤销的混合加密控制算法。介绍了对称加密算法,根据物联网密文数据访问中用户录入的指纹,通过数据特征提取过程、模板生成过程以及密钥生成过程生成可撤销密匙。介绍了公钥加密算法,给出物联网密文数据访问中公钥加密算法加密过程。对对称加密算法和公钥加密算法的性能进行对比,将二者结合在一起形成可撤销的混合加密控制算法。将椭圆加密算法和AES加密算法作为对比进行测试,结果表明所提算法效率高,对明文和密钥有较高的敏感性。     

一种分配查询的k-匿名位置隐私保护方案

针对基于位置服务中移动终端用户位置隐私保护存在时空关联和背景知识攻击的问题,提出一种分配查询的k-匿名位置隐私保护方案。基于查询概率和欧氏距离,在相邻网格区域内筛选假位置,合并真实用户位置形成k-匿名;通过兴趣点语义四叉树为假位置分配合理的查询,从时间、位置及查询3个维度提升用户被识别的不确定性,从而增强用户隐私度。安全性分析表明,提出的方案满足匿名性、不可伪造性和抵抗查询服务跟踪等安全特性。仿真实验表明,提出的方案具有较高的隐私保护度和效率以及较低的通信开销。     

基于主动测量的CN权威镜像选址效果评估

 域名服务器(DNS)镜像技术是提升DNS 系统安全性、稳定性和解析性能的重要方法。以CN 镜像服务器的实测数据为例, 采用主动测量法, 主动向被探测的网络或者对象发送特定的数据包, 根据响应时间和应答数据包分析研究对象的网络特征, 以此评估CN 权威服务器的选址效果。结果显示, 镜像技术使全球各地都能提供较好的CN 解析服务, 虽然服务效果存在地理上的差异性, 但与CN 节点的部署实际情况相符。该效果评估方法能够为节点部署提供可靠的决策依据, 有助于DNS 节点高效有序的规划建设。     

DNS解析路由在多链路网络中的应用研究

探讨了在多链路网络结构中,由于多DNS服务器解析结果不一致所导致的传输路径与网络时延差异的问题。提出用一种基于域名判断的多链路多DNS解析路由方法来解决该问题,以便获取具有最优访问路径与最小延时的解析结果,进而提高和改善网络性能与服务质量。