CN105103619A - 基于路由器物理位置的安全路由 - Google Patents

Abstract

本文中公开了一种用于基于路由器物理位置的安全路由的系统、方法和装置。一种用于通过多个网络节点安全数据传输至少一个数据包的所公开的方法包括定义源网络节点、目的地网络节点和基于至少一个网络节点的物理位置的至少一种安全性约束。该方法进一步包括将可用网络节点与安全性约束进行比较以确定哪些可用网络节点满足安全性约束并且因此是合格的网络节点。此外，该方法包括将包括至少一个合格的网络节点的路线确定为数据包从源网络节点至目的地网络节点通过的路线。进一步，该方法包括通过合格的网络节点的路线传输数据包。

Description

基于路由器物理位置的安全路由

相关申请的交叉引用

本申请是于2010年11月18日提交的题为“SpotBeamBasedAuthentication”的U.S.专利申请序列号12/949,404的部分继续申请并且要求其优先权和权益。本申请是于2011年10月27日提交的题为“GeothenticationBasedonNetworkRanging”的U.S.专利申请序列号13/283,491的部分继续申请并且要求其优先权和权益。这些申请两者的内容通过引用整体地结合于此。

技术领域

本公开涉及安全路由。具体地，本公开涉及基于路由器物理位置的安全路由。

背景技术

基于位置的路由是一种描述使用路由器(例如，网络节点)位置进行数据包路由和/或转发决定的方法的通用术语。基于位置的路由的先前实施方式旨在优化网络路由的效率而不是安全。网络攻击正变得越来越先进并且对所指的网络和它们相关联的用户具有更灾难性的影响。一种这类攻击(中间人攻击(MITM))已经用于重新路由居心不良目的数据。本公开提供了增强的数据路由安全性系统和相关方法以减轻数据被路由到所定义的限制之外。

发明内容

本公开涉及用于基于路由器(例如，网络节点)物理位置的安全路由的方法、系统和装置。具体地，本公开教导了使用基于位置的路由技术以确保信息从起源安全地传递至目的地。方法被定义为通过被要求满足安全性约束的网络路径发送数据包。安全性约束基于一个或多个网络路由器的物理位置。

在一个或多个实施方式中，公开了一种用于通过多个网络节点安全数据传输至少一个数据包的方法。所公开的方法包含由至少一个用户定义源网络节点和目的地网络节点。在至少一个实施方式中，源网络节点和目的地网络节点在多个网络节点中。该方法进一步包含由至少一个用户定义至少一种安全性约束，在此，安全性约束基于至少一个网络节点的物理位置。另外，该方法包含通过至少一个处理器将网络节点地图中可用的网络节点与至少一种安全性约束进行比较以确定哪些可用网络节点是合格的网络节点。合格的网络节点是满足安全性约束的可用网络节点。此外，该方法包括通过至少一个处理器确定包括至少一个合格的网络节点的路线以通过该路线将至少一个数据包从源网络节点路由至目的地网络节点。进一步，该方法包括通过包括至少一个合格的网络节点的路线将至少一个数据包从源网络节点传输至目的地网络节点。

在至少一个实施方式中，至少一个网络节点是路由器、服务器、个人计算设备、个人数字助理(PDA)、蜂窝电话、计算机节点、网络协议(IP)节点、网关、Wi-Fi节点、网络节点、个人区域网(PAN)节点、局域网(LAN)节点、广域网(WAN)节点、蓝牙节点、ZigBee节点、微波存取全球互通(WiMax)节点、第二代(2G)无线节点、第三代(3G)无线节点和/或第四代(4G)无线节点。在一个或多个实施方式中，至少一个网络节点是固定和/或移动的。在一些实施方式中，至少一个网络节点被容纳在运载工具中。

在至少一个实施方式中，至少一个用户是人、实体、应用程序、程序、节点、路由器、移动设备、处理器和/或计算机。在一些实施方式中，至少一种安全性约束是必须通过物理定位在至少一个指定地理区内的网络节点路由数据包。在至少一个实施方式中，至少一种安全性约束是必须通过物理不定位在至少一个指定地理区内的网络节点路由数据包。在一些实施方式中，至少一个地理区是国家、州、省、县、政府部门(例如，军事基地)和/或城市。在一个或多个实施方式中，由点限定的多边形限定至少一个地理区。在一些实施方式中，多边形是规则的形状或不规则的形状。在至少一个实施方式中，由至少一个用户指定每一个点的经度和纬度来定义点。

在一个或多个实施方式中，网络节点地图包括与至少一个网络节点的物理位置有关的信息、与任一网络节点的物理位置是否可通过使用卫星定位技术认证有关的信息、与任一网络节点的物理位置是否可通过使用网络ping(包检测器)测距测量认证有关的信息、与任一网络节点是否可加密数据包有关的信息和/或与任一网络节点是否可解密数据包有关的信息。在至少一个实施方式中，通过至少一个服务器保持网络节点地图。

在一个或多个实施方式中，至少一种安全性约束是必须通过它们的物理位置可通过使用卫星定位技术认证的网络节点路由数据包。在一些实施方式中，卫星定位技术使用至少一个认证信号从而获得网络节点的物理位置。在一个或多个实施方式中，至少一个认证信号通过至少一个传输源传输，并且通过与网络节点相关联的至少一个接收源接收。在一些实施方式中，在至少一个卫星和/或至少一个伪卫星中采用至少一个传输源。在至少一个实施方式中，至少一个卫星是近地球轨道(LEO)卫星、中地球轨道(MEO)卫星和/或同步地球轨道(GEO)卫星。在一些实施方式中，LEO卫星是铱LEO卫星。

在至少一个实施方式中，所公开的方法采用铱LEO卫星星座。在一个或多个实施方式中，星座中的铱LEO卫星的每一个具有以不同的点波束图案传输四十八(48)个点波束的天线几何结构。在至少一个实施方式中，可以从星座中的至少一个铱卫星传输至少一个认证信号。铱卫星的四十八(48)个点波束可以用于将定位的认证信号传输至定位在地球表面上或在地球表面附近的接收源。与这些信号相关联的广播消息突发脉冲内容包括伪随机噪声(PRN)数据。因为给定的消息突发脉冲可以在特定的时间发生在特定的卫星点波束内，所以包括PRN和唯一波束参数(例如，时间、卫星识别(ID)、波束识别(ID)、时间偏差、轨道数据等)的消息突发脉冲内容可以用于认证网络节点的物理位置。应注意，当采用上述铱LEO卫星之一时，传输信号功率足够强以允许认证信号可靠地穿入室内环境，并且为了这样做可以采用信号编码方法。这允许这些地理定位技术用于许多室内应用中。进一步应当注意，本系统可采用至少一个下一代铱卫星、或现有铱卫星与下一代铱卫星构造的组合。

在一个或多个实施方式中，至少一种安全性约束是必须通过可使它们的物理位置通过使用网络ping测距测量认证的网络节点路由数据包。在一些实施方式中，从一个网络节点至另一个网络节点来回发送ping(或类似ping的消息)期间所经过的时间量获得网络ping测距测量。

在至少一个实施方式中，至少一种安全性约束是如果网络节点不能使它们的物理位置被认证(例如，或通过卫星定位技术或通过网络ping测距技术)，仅在至少一个数据包被加密时才可通过网络节点路由数据包。对于这些实施方式，该方法进一步包括利用至少一个网络节点的至少一个处理器加密数据包中的数据。另外，该方法包括利用至少一个网络节点传输加密的数据包。此外，该方法包括利用至少一个网络节点接收加密的数据包。此外，该方法包括利用至少一个网络节点的至少一个处理器解密数据包中加密的数据。通过至少一个网络节点传输加密的数据包并且通过其他至少一个网络节点接收加密的数据包的这种技术被称为“加密隧道”。本技术允许网络节点经由网络节点的物理位置不能被验证的这样网络节点的路径安全地传输并且接收数据包。

在一个或多个实施方式中，至少一种安全性约束中的至少一种是至少一个数据包必须沿具有比阈值距离更小长度的路线从源网络节点传输至目的地网络节点。

在至少一个实施方式中，在路由器、服务器、个人计算设备、个人数字助理(PDA)、蜂窝电话、计算机节点、网络协议(IP)节点、网关、Wi-Fi节点、网络节点、个人区域网(PAN)节点、局域网(LAN)节点、广域网(WAN)节点、蓝牙节点、ZigBee节点、微波存取全球互通(WiMax)节点、第二代(2G)无线节点、第三代(3G)无线节点和/或第四代(4G)无线节点中采用至少一个处理器。

在一个或多个实施方式中，一种用于通过多个网络节点安全数据传输至少一个数据包的方法包括：由至少一个用户定义源网络节点和目的地网络节点，在此，源网络节点和目的地网络节点在多个网络节点中。该方法进一步包括由至少一个用户定义至少一种安全性约束，在此，至少一种安全性约束基于至少一个网络节点的物理位置。另外，该方法包括通过至少一个处理器将至少一种安全性约束编码到数据包中。此外，该方法包括通过源网络节点确定连接到源网络节点的可用网络节点中哪些是合格的网络节点。合格的网络节点是满足至少一种安全性约束的可用网络节点。此外，该方法包括通过源网络节点将数据包传输至合格的网络节点之一。另外，该方法包括通过接收数据包的任一个网络节点确定连接到接收数据包的网络节点的可用网络节点中哪些是合格的网络节点。进一步，该方法包括通过接收数据包的任一个网络节点将数据包传输至合格的网络节点之一，在此，通过合格的网络节点沿从源网络节点至目的地网络节点的路线传输数据包。

本发明的各种实施方式可独立实现或者可与其他实施方式结合实现特征、功能以及优点。

附图说明

参考下述说明、附加的权利要求和附图，将更好地理解本公开的这些和其它特征、方面和优点，其中：

图1示出根据本公开的至少一个实施方式的用于基于路由器物理位置的安全路由的所公开的方法的流程图，在此，该方法是静态路由方法。

图2示出根据本公开的至少一个实施方式的用于基于路由器物理位置的安全路由的所公开的方法的流程图，在此，该方法是自适应(或动态)路由方法。

图3是根据本公开的至少一个实施方式的地图上的五个节点的示例性网络的示意图以示出用于基于路由器物理位置的安全路由的所公开的系统和方法的操作。

图4是描述根据本公开的至少一个实施方式的使用标准的基于位置的路由技术数据包在图3的示例性网络中行进的路线的示意图。

图5是示出根据本公开的至少一个实施方式的使用用于基于具有地理约束的路由器物理位置的安全路由的所公开的方法，数据包在图3的示例性网络中行进的路线的示意图。

图6描述根据本公开的至少一个实施方式的地图上的六个节点的示例性网络的示意图，以示出用于基于具有地理约束和地理位置认证约束的路由器物理位置的安全路由的所公开的系统和方法的操作。

图7描述根据本公开的至少一个实施方式的七个节点的示例性网络的示意图，以示出用于基于路由器物理位置的安全路由的所公开的系统和方法的操作。

图8示出根据本公开的至少一个实施方式的在图7的示例性网络中的隧道特征的示意图。

图9至图13是旨在用于基于网络节点的网络测距的地理位置认证的所公开的系统和方法。

图9是根据本公开的至少一个实施方式的用于认证网络节点的物理位置的所公开的系统的示意图。

图10A是根据本公开的至少一个实施方式的用于认证网络节点的物理位置的所公开的方法的流程图，在此，网络节点发送地理位置认证请求。

图10B是根据本公开的至少一个实施方式的用于认证网络节点的物理位置的所公开的方法的流程图，在此，具有已知位置的至少一个网络节点发送询问消息。

图11是根据本公开的至少一个实施方式的各自采用用于发送消息的响应消息硬件设备的两个网络路由器的示意图。

图12是附接至路由器的响应消息硬件设备的示意图，其示出了根据本公开的至少一个实施方式的与输入数据线在一条线上的设备。

图13A、图13B和图13C是根据本公开的至少一个实施方式的当一起观察时描述进入网络且使其物理位置被所公开的系统认证的网络节点的示意图。

图14至图17旨在用于基于点波束的网络节点认证的所公开的系统和方法。

图14是根据本公开的至少一个实施方式的可以由所公开的基于点波束的认证系统采用的基于卫星的通信系统的示意图。

图15A、图15B和图15C是根据本公开的至少一个实施方式的基于卫星的认证系统的示意图。

图16A是根据本公开的至少一个实施方式的可以适用于实现所公开的基于卫星的认证系统的计算设备的示意图。

图16B是根据本公开的至少一个实施方式的可由所公开的基于点波束的认证系统采用的基于卫星的通信系统的示意图。

图17是示出根据本公开的至少一个实施方式的用以认证目标节点的所公开的基于点波束的认证方法的流程图。

具体实施方式

本文中公开的方法和装置提供了用于基于路由器物理位置的安全路由的可操作系统。具体地，该系统涉及使用基于位置的路由技术以确保信息从来源安全地传递至目的地。具体地，系统被用于通过满足所定义的安全性约束的网络路径发送数据包，在此，安全性约束基于一个或多个网络路由器的物理位置。

基于位置的路由是一种描述使用路由器(例如，网络节点)位置进行数据包路由和/或转发决定的方法的通用术语。先前的基于位置的路由的实施方式旨在优化网络路由的效率而不是安全性。

基于位置的路由的概念已经从理论角度进行研究，但是很少在实际上实现。相反，更标准的技术通常用于网络路由，诸如路由信息协议(RIP)和开放式最短路径优先协议(OSPF)。相比于网络安全的数据包路由，这些实践更注重高效的数据包路由。在此基于位置的路由已经被实现，其通常被用于改善运载工具或移动设备的自组织网络的效率。

本公开注重使用基于位置的路由技术以确保信息通过路由器(或节点)网络从来源安全地传递至目的地。

为了提供系统的更详尽的描述，在下列描述中阐述了许多具体细节。然而，对于本领域的技术人员来说将显而易见的是，在没有这些具体细节的情况下也可以实践公开的系统。在其他情况下，为了避免使该系统变得晦涩难懂，故没有详细描述众所周知的特征。

图1示出根据本公开的至少一个实施方式的用于基于路由器物理位置进行安全路由的所公开的方法1000的流程图，在此，该方法是静态路由法。具体地，此方法1000提供至少一个数据包通过多个网络节点的安全数据传输。在方法1000的开始1010，至少一个用户定义源网络节点和目的地网络节点1020，在此，源网络节点和目的地网络节点处于多个网络节点中。源网络节点是数据包起始的网络节点，并且目的地网络节点是数据包被传输到的网络节点。应注意，至少一个用户是人、实体、应用程序、程序、节点、路由器、移动设备、处理器和/或计算机。

然后，至少一个用户定义至少一种安全性约束1030，在此，安全性约束基于至少一个网络节点的物理位置。应注意，在一个或多个实施方式中，可以采用各种不同类型的安全性约束。可以采用的安全性约束的类型包括但不限于：(1)必须通过物理定位在至少一个指定地理区内的网络节点路由数据包，(2)必须通过物理未定位在至少一个指定地理区内的网络节点路由数据包，(3)必须通过可使它们的物理位置通过使用卫星定位技术(参考图14至图17对于示例性卫星定位技术的详述的描述)认证的网络节点路由数据包，(4)必须通过可使它们的物理位置通过使用网络ping测距测量(参考图9至图13对于示例性网络ping测距测量技术的详述的描述)认证的网络节点路由数据包，(5)仅在数据包穿过它们的物理位置不能以公认可接受的方法被认证的网络节点(例如，网络节点不能使用物理位置认证的可接受的方法，诸如通过使用卫星定位技术和/或通过使用网络ping测距测量)时数据包中的数据被加密，才能通过这些网络节点路由数据包，以及(6)数据包必须在具有比阈值距离(例如，100英里)更少的长度的路线上从源网络节点传输至目的地网络节点。

至少一个处理器然后将网络节点地图中可用网络节点与安全性约束进行比较，以确定哪些可用网络节点是合格的网络节点1040。合格的网络节点是满足安全性约束的可用网络节点。应当注意，在一个或多个实施方式中，网络节点地图可以包括但不限于：(1)与至少一个网络节点的物理位置有关的信息(例如，网络节点是否被定位在安全位置(诸如军事基地)中)；(2)与任一网络节点的物理位置是否可通过使用卫星定位技术认证有关的信息；(3)与任一网络节点的物理位置是否可通过使用网络ping测距测量认证有关的信息；(4)与任一网络节点的物理位置是否可通过使用三角测量法(例如，通过执行蜂窝塔(cellulartower)之间的三角测量，诸如在911紧急呼叫期间，公众业务应答点(PSAP)如何通常使用手机信号传输塔(cellphonetower)三角测量法以确定手机的大概物理位置)认证有关的信息，(5)与任一网络节点是否可加密数据包有关的信息，(6)与任一网络节点是否可解密数据包有关的信息，以及(7)与任一网络节点是否已经被确定为合格的网络节点有关的信息，其中合格的网络节点是满足安全性约束的网络节点。

然后，至少一个处理器确定包括至少一个合格的网络节点的路线以通过该路线将数据包从源网络节点路由至目的地网络节点1050。然后，通过合格的网络节点的路线将数据包从源网络节点传输至目的地网络节点1060。然后，方法1000结束1070。图2示出根据本公开的至少一个实施方式的用于基于路由器物理位置进行安全路由的所公开的方法2000的流程图，在此，该方法是自适应(或动态)路由方法。与图1的方法1000类似，此方法2000提供至少一个数据包通过多个网络节点的安全数据传输。在方法2000的开始2010，至少一个用户定义源网络节点和目的地网络节点2020。然后，至少一个用户定义至少一种安全性约束2030。然后，至少一个处理器将安全性约束编码到(或附加到)数据包2040。

然后，源网络节点中的至少一个处理器确定是否存在连接到源网络节点的可用网络节点为合格的网络节点2050，该合格的网络节点是满足安全性约束的可用网络节点。如果处理器确定不存在连接到源网络节点的可用网络节点为合格的网络节点，则然后否定确认消息(例如，NAK)被发送至用户2095，从而让用户了解到数据包将不能到达目的地网络节点。然后，方法2000结束2097。

然而，如果处理器确定存在连接到源网络节点的可用网络节点为合格的网络节点，则源网络节点然后将数据包传输至合格的网络节点之一2060。在源网络节点将数据包传输至合格的网络节点之一之后，接收数据包的网络节点中的至少一个处理器确定是否存在连接到接收数据包的网络节点的可用网络节点为合格的网络节点2070。如果处理器确定存在连接到接收数据包的网络节点的可用网络节点为合格的网络节点，则接收数据包的网络节点然后将数据包传输至合格的网络节点之一2080。然后，过程返回至步骤2070。

然而，如果处理器确定不存在连接到接收数据包的网络节点的任何可用网络节点为合格的网络节点，则至少一个处理器然后确定数据包是否到达目的地网络节点2090。如果处理器确定数据包未到达目的地网络节点，则否定确认消息(例如，NAK)被发送至用户2095，并且方法2000结束2097。如果处理器确定数据包确实到达目的地网络节点，则方法2000仅结束2097。应注意，在方法2000结束2097之后，用户可能试图重新发送数据包，并且可选地，还选择不同安全性约束以用于数据包重传。

图3是地图上的五个节点(例如，路由器)的示例性网络的示意图3000，以示出根据本公开的至少一个实施方式的用于基于路由器物理位置进行安全路由的所公开的系统和方法的操作。在本附图中，五个节点(或路由器)(路由器A、路由器B、路由器C、路由器D和路由器E)被示出在俄克拉荷马州的地图上。与路由器A(即源网络节点)相关联的用户期望向与路由器E(即目的地网络节点)相关联的用户发送信息(例如，数据包)。对于此实施例，信息具有信息(即数据包)必须留在俄克拉荷马州中的安全性约束。

应注意，替换地，在其他实施方式中，信息可具有安全性约束，使得该信息(例如，数据包)必须留在俄克拉荷马州外部，从而物理定位在这个特定地理区内的网络节点将不用于数据包的路由。

图4是描述了根据本公开的至少一个实施方式的使用标准的基于位置的路由技术(诸如路由信息协议(RIP)和开放式最短路径优先(OSPF)协议)，数据包将在图3的示例性网络中行进的路线的示意图4000。标准的基于位置的路由技术(例如，RIP协议或OSPF协议)不考虑基于路由器的物理位置的安全性约束。例如，路由技术RIP将跳数用作路由度量。因为路由器路径路由器A-路由器C-路由器E具有从路由器A至路由器E获得的最少跳，所以这通常将是RIP选择的路径。

应注意，现有的标准基于位置的路由技术被优化以最小化数据包行进的距离。因为路由器路径路由器A-路由器C-路由器E是路由器A和路由器E之间的最短路径距离，所以这条路径将是发送数据包所选择的路径。如在本附图中可以看出的，因为数据包通过路由器C路由，所以数据包在俄克拉荷马州的外部传输，并且因此，这些标准的基于位置的路由技术的使用将引起数据包必须留在俄克拉荷马州中的安全性约束的违背。

图5是示出根据本公开的至少一个实施方式的使用用于基于具有地理约束的路由器物理位置的安全路由的所公开的方法，数据包将在图3的示例性网络中行进的路线示意图5000。对于此实施例，地理约束是数据包必须留在俄克拉荷马州内。对于此图，找到了满足此特定地理约束的最佳路径(或路线)，并且所公开的源路由技术被用于确保数据包沿着这个最佳路径行进。在本附图中，最佳路径被示出为从路由器A-路由器B-路由器D-路由器E。

在这个实施方式中，用户、用户应用程序和/或处理器意识到地理约束并且获取了(例如，获悉)路由器的物理位置和互连。用户、用户应用程序和/或处理器使用此信息确定最佳路径以通过满足地理约束的网络路由数据包。源路由指令被加入(例如，编码到)描述最佳路径的数据包中，并且路由器沿着遵循这些路由指令的路径。在这个实施例中，最佳路径(路由器A-路由器B-路由器D-路由器E)确保数据包留在俄克拉荷马州内。

在类似的实施方式中，代替用户、用户应用程序或处理器，路由器A意识到地理约束(例如，因为地理约束被嵌入(或编码)在数据包内，或因为路由器A是已经被配置为了解哪个地理区对于要行进通过的数据包是可接受的和/或不可接受的公司路由器或政府机构路由器)。在这个实施方式中，路由器A也获取了路由器的物理位置和互连，并且使用此信息计算通过满足约束的网络的最佳路径。

在另一个实施方式中，用户、用户应用程序、处理器或路由器A为服务器提供源网络节点信息和目的地网络节点信息。服务器(例如，地理位置认证服务器(Geothenticationserver)，在至少一个实施方式中，该服务器为用于通过使用卫星定位技术认证节点物理位置的服务器)获取了网络节点(例如，路由器)地图，该地图包括与路由器的物理位置和路由器的互连有关的信息。服务器使用此信息以计算最佳路径以将数据包从源网络节点路由至目的地网络节点。服务器然后可将此最佳路径通知给用户、用户应用程序、处理器或路由器A。

应注意，在以上实施方式上，使用静态路由来在发送数据包之前确定网络路径。在另一个实施方式中，使用动态路由(或自适应路由)。对于此实施方式，地理约束信息嵌入(或编码)在来自源网络节点的数据包内。每个路由器基于其标准自适应技术(诸如RIP或OSPF)沿着该路径做出路由决定；然而，此外，不考虑不满足指定的地理约束的路由器。在这个实施例中，如果路由器A使用标准自适应技术，则路由器A通常将选择路由器C路由数据包。然而，因为路由器C不满足位于俄克拉荷马州内的地理约束，所以不考虑路由器B。因为路由器B表示仅直接连接至位于俄克拉荷马州内的路由器A，所以选择路由器B为下一个数据包跳。

图6描述地图上的六个节点的示例性网络的示意图6000，以示出根据本公开的至少一个实施方式的用于基于具有地理约束和地理位置认证约束的路由器物理位置进行安全路由的所公开的系统和方法的操作。在本附图中，六个节点(或路由器)(路由器A、路由器B、路由器C、路由器D、路由器E和路由器F)被示出在俄克拉荷马州的地图上。与路由器A相关联的用户期望向与路由器E相关联的用户发送信息(例如，数据包)。对于此实施例，信息具有信息(即数据包)必须留在俄克拉荷马州中和信息仅可以通过经地理位置认证的路由器路由的安全性约束。地理位置认证的路由器是具有通过使用卫星定位技术认证它们的物理位置的能力的路由器(参考图14至图17对于示例性卫星定位技术的详述的描述)。在这个实施例中，除了路由器D之外，所有的路由器是地理位置认证的路由器。使用所公开的安全路由方法，路由器路径(路由器A-路由器B-路由器F-路由器E)被确定为满足两个安全性约束。

图7描述七个节点的示例性网络的示意图7000以示出根据本公开的至少一个实施方式的用于基于路由器物理位置的安全路由的所公开的系统和方法的操作。在本附图中，描述了七个节点(或路由器)(路由器A、路由器B、路由器C、路由器D、路由器E、路由器F和路由器G)。与路由器A相关联的用户期望向与路由器G相关联的用户发送信息(例如，数据包)。该信息具有信息仅可以穿过地理位置认证的路由器或替换地穿过地理位置认证的路由器之间的安全隧道的安全性约束。在这个实施例中，路由器A、路由器D、路由器F和路由器G是地理位置认证的路由器，而路由器B、路由器C和路由器E不是。

使用所公开的安全路由方法，路径(路由器A-路由器D-路由器F-路由器G)可满足约束，但仅如果A和D能够在它们之间形成安全隧道，如在图8中所示的。

图8是示出根据本公开的至少一个实施方式的在图7的示例性网络中的隧道特征的示意图8000。如上之前所提及的，路径(路由器A-路由器D-路由器F-路由器G)可满足约束，但仅A和D能够在它们之间形成安全隧道。对于此实施例，路由器A将在传输数据包之前加密数据包中的数据。在这个实施例中，从路由器A传输至路由器D的加密的数据包实际上将物理地穿过路由器B或路由器C。因为数据包被加密(或以其他方式被保护)，所以在路由器B和/或路由器C处的恶意用户将不能观察数据。一旦加密的数据包到达路由器D，则路由器D可以解密所加密的数据包。

应注意，在一个或多个实施方式中，单个路由器(例如，路由器D)可以是网络中的唯一有能力解密所加密的数据包的路由器。

也应当注意，替换地，在其他实施方式中，路由器D可以继续将所加密的数据包传输至路由器F和路由器G，并且路由器F或路由器G可以解密所加密的数据包。

应注意，在一个实施方式中，从源网络节点行进至目的地网络节点的数据包具有可选的路径安全性约束字段。在一个实施方式中，路径安全性约束字段包含表示诸如国家、州、省、县、政府部门和/或城市的政治边界的名称字符串或数字代码。在另一个实施方式中，路径安全性约束字段包含定义用于限定可接受的地理区的一个或多个多边形的一组纬度和经度。在另一个实施方式中，路径安全性约束字段具有识别数据包是否仅可行进通过地理位置认证的路由器的位。在另一个实施方式中，路径安全性约束字段具有定义数据包在被丢弃之前允许行进的最大距离的数字。

基于网络测距的地理位置认证

用于基于网络测距的地理位置认证的系统和方法涉及通过使用从具有已知物理位置的至少一个节点所取的测距测量，来认证网络节点的物理位置。经由卫星定位技术获得至少一个节点的物理位置。所公开的系统可以采用各种类型的卫星定位技术。本公开中的图14至图17的描述论述了所公开的系统可以利用的一个示例性卫星定位技术(即基于点波束的认证)。

抵抗逐渐增加的网络攻击数量的当前的访问控制方法主要基于静态密码或基于密码和徽章凭证的认证。由于经常通过模仿终端用户进行攻击，所以组织已经倾向于将注意力放在用户认证方法上以减少网络漏洞。这些方法仍然易受复杂攻击的攻击，并且因此，需要开发一种平衡额外信息(诸如用户的物理位置)的访问控制的新范例。此信息提供额外和正交的保护层，其从完整的物理地理位置至逻辑网络和信息管理角度产生位置和上下文意识之间增强的相互关系。这意指对于特定网络节点的输入数据可以基于其物理位置审查，并且基于这类信息授予其各种访问权限。

网络节点的物理位置目前难以确定使用现有工具。其位置可以通过检查互联网协议(IP)地址和主机名推断，但是这些标识符可能是欺骗性或模糊的。替换地，且更安全地，网络节点的物理位置可以通过使用网络ping测距测量的估计实现。

在本公开中，ping是用于测试网络协议(IP)网络中节点的可到达性并且测量从起始节点(即，发送询问ping消息的节点)发送至目的地节点(即，接收询问ping消息并且发送响应ping消息的节点)消息的往返时间的计算机网络管理工具。ping通过起始节点将因特网控制消息协议(ICMP)回送请求数据包发送至目的地节点并且等待响应来操作。在此过程中，处理器被用于测量询问ping消息传输的往返时间，并且记录任何数据包丢失。

用于基于网络测距的地理位置认证的系统和方法具有四个主要特征。第一主要特征是使用网络ping测距测量估计网络节点的物理位置。通过将ping从具有已知位置的网络节点发送至所指的网络节点来实现这类确定。在一个或多个实施方式中，起始节点(即，发送询问ping消息的节点)然后将检查在发送时间和接收时间之间的差别，并且获得物理范围估计。超过一个起始节点执行ping测距可进行此过程从而改善最终结果的准确度和可靠性。

第二主要特征是使用ping预协调和/或优先顺序排列(prioritization)。此特征基于对来自目的地节点的ping的立即回答(即ping响应消息的立即发送)的需求，其对于第一主要特征的方法的准确度是至关重要的。通过响应方面的延迟引入的任何相关延迟将增加所测量的网络距离，并且因此增加所测量的最大物理距离。这增加网络节点的实际物理位置的不确定性。因此，此特征建议使用各种“快速轨道”方法，其中当通过使用询问ping和/或响应ping的预协调和/或优先顺序排列时可以改善结果，从而降低距离误差并且改善最终结果的准确度，预协调和/或优先顺序排列可允许目的地节点尽可能快地响应ping请求。

第三主要特征是利用专用ping响应“快速轨道”硬件。专用ping响应“快速轨道”硬件的使用更好地实现第二主要特征的“快速轨道”方法。这类硬件被附接至和/或连接到涉及网络测距的中所包括设备，并且也可以用于通过预协调和/或以优先顺序排列对ping询问的响应，来改善最终结果的准确度。

第四主要特征是使用询问ping消息内的唯一标识符(例如，由一些数量的随机位组成的伪随机代码(PRC))，使得唯一标识符不能被预测并且可以通过目的地节点复制到响应ping消息。这些唯一标识符用于确保通过起始节点接收的响应ping消息实际上是对由起始节点发送的询问ping消息的响应。

应注意，贯穿附图的描述，遵循用于网络节点的某些命名规矩。命名规矩如下。目标节点是所公开的系统和方法将试图通过验证其物理位置来认证的所指的网络节点。信任节点是具有已知物理位置的网络节点。在一个或多个实施方式中，从卫星定位技术获得信任节点的物理位置。然而，在一些实施方式中，通过包括但不限于地面映射数据的其他器件获得至少一个信任节点的物理位置。另外，起始节点是发送询问ping消息的网络节点，并且目的地节点是接收询问ping消息并且将响应ping消息发送回至起始节点的网络节点。

图9是根据本公开的至少一个实施方式的用于认证目标节点(路由器3)110的物理位置的所公开的系统100的示意图。在本附图中，示出了网络节点110、120、130(通过路由器实现)的网络，其中对于路由器3110的物理位置的认证是所期望的。路由器1120和路由器2130处于验证的物理位置(因此它们被称为信任节点)，但是路由器3110的物理位置是未知的或未验证的。

通过卫星定位技术获得路由器1120和路由器2130的物理位置(即信任节点)。如此图所示，卫星1140和卫星2150两者均在地球180上传输多个点波束160、170。路由器1120和路由器2130分别由从卫星1140和卫星2150传输的多个点波束160、170中的至少一个照射。从各种不同类型的地理位置认证系统和方法获得路由器1120和路由器2130的物理位置。

在一个或多个实施方式中，系统100使用基于点波束的认证系统和方法认证路由器1120和路由器2130的物理位置。对于这些实施方式，卫星140、150采用LEO铱卫星分别传输用于认证路由器1120和路由器2130的物理位置的至少一个认证信号。与路由器1120相关联的接收源(未示出)和与路由器2130相关联的接收源(未示出)被用于接收分别从卫星1140和卫星2150(即传输源)传输的认证信号。下文在本公开的基于点波束的认证章节中介绍与基于点波束的认证系统和方法有关的详细详述。此外，应注意，用于通过估计从卫星140、150的每一个传输的至少一个认证信号来认证路由器1120和路由器2130的物理位置的所公开的系统100可以采用认证器设备(未示出)。此外，应注意，在各种实施方式中，可以以相同的频率和/或以不同的频率从相同的传输源、从不同的传输源传输认证信号。

多个点波束160、170中的点波束可具有如此图所示的圆形覆盖区，或在其他实施方式中可以是具有不规则形状覆盖区的成形的点波束。所公开的系统100的卫星1140和/或卫星2150可以采用各种类型的卫星和/或伪卫星。卫星140、150可以采用的多类型的卫星，包括但不限于近地球轨道(LEO)卫星、中地球轨道(MEO)和同步地球轨道(GEO)卫星。在一个或多个实施方式中，用于卫星140、150的系统100采用LEO铱卫星。采用这类卫星是有利的，因为其传输信号足够强以传播通过衰减的环境(包括在室内传播)。

应注意，在一些实施方式中，除路由器之外的各种其他类型的设备可以用于所公开的系统100的网络节点110、120、130。网络节点110、120、130可以采用的多类型的设备，包括但不限于服务器、个人计算设备、个人数字助理、蜂窝电话、计算机节点、网络协议(IP)节点、网关、Wi-Fi节点、网络节点、个人区域网(PAN)节点、局域网(LAN)节点、广域网(WAN)节点、蓝牙节点、ZigBee节点、微波存取全球互通(WiMax)节点、第二代(2G)无线节点、第三代(3G)无线节点和第四代(4G)无线节点。

在所公开的系统100的操作期间，路由器1120(即起始节点)将询问ping消息发送至路由器3110(即目的地节点)(参见路线R₁₃)。响应于接收询问ping消息，路由器3110将响应ping消息发送至路由器1120(参见路线R₁₃)。与路由器1120相关联的处理器(未示出)通过使用从路由器1120发送询问ping消息至路由器1120接收响应ping消息逝去的时间量，来计算从路由器1120至路由器3110的测距测量。被称为网络ping测距的此测距测量产生两个网络节点(例如，路由器1120和路由器3110)之间的物理距离的近似值和最大边界，并且可使用以下等式计算：

(EQN1)R_OD＝c[(t_Da-t_Oa)+(t_Ob-t_Db)+d]/2,在此，t＝时间并且c＝信号速度

在此，“O”是指通过将询问ping消息发送至指代目的地节点(即路由器3110)的“D”而发起该方法的起始节点(即路由器1120)，目的地节点反过来将响应ping消息发送至起始节点；并且在此，“d”指代不涉及信号行进时间的时间延迟，诸如目的地节点在接收询问ping消息之后生成响应ping消息所需要的时间。在一些实施方式中，执行网络测距的超过一个的网络节点可进行此过程从而改善结果的准确度和可靠性。这可能涉及独立的节点(即，路由器；服务器；诸如便携式计算机、桌上型电脑、PDA、蜂窝电话的个人计算设备等)或更统称为所述网络节点的系统。

进一步，如果信号速度(c)可以被保证在最大速度(cMAX)以下，则该测量然后可通过以下等式不仅建立距离估计而且建立最大距离：

(EQN2)R_{OD_MAX}＝c_MAX[(t_Da-t_Oa)+(t_Ob-t_Db)+d_MIN]/2,在此，t＝时间并且c_MAX＝信号的最大速度

在此，“d_MIN”指代系统的最小可能延迟时间(最保守的假设为假设d_MIN＝0)。对于一对特定的网络节点，可进行多次测量、但不是计算平均值，报告最小R_MAX的测量可依赖于两个网络节点之间的最大距离。

应注意，在其他实施方式中，与路由器1120不相关的处理器可以执行测距测量计算。对于这些实施方式，路由器1120必须将从路由器1120发送询问ping消息至路由器1120接收响应ping消息过去的时间量传输至处理器。一旦处理器接收时间量，处理器将能够执行测距测量计算。

然后，处理器(例如，与路由器1120相关联的处理器、与路由器2130相关联的处理器或一些其他处理器)使用从路线R₁₃计算得出的测距测量获得和/或认证路由器3110的物理位置。

如此图所示，路由器2130也将询问ping消息发送至路由器3110(参见路线R₂₃)。响应于接收询问ping消息，路由器3110将响应ping消息发送至路由器2130(参见路线R₂₃，也称为网络反弹23)。与路由器2130相关联的处理器(未示出)通过使用从路由器2130发送询问ping消息至路由器2130接收响应ping消息过去的时间量来计算从路由器2130至路由器3110的测距测量。

在替换的实施方式中，与路由器2130不相关的处理器可以执行测距测量计算。对于这些实施方式，路由器2130必须将从路由器2130发送询问ping消息至路由器2130接收响应ping消息过去的时间量传输至处理器。一旦处理器接收此时间量，则处理器可以执行测距测量计算。

然后，处理器(例如，与路由器1120相关联的处理器、与路由器2130相关联的处理器或一些其他处理器)使用从路线R₂₃计算得出的测距测量和从路线R₁₃计算得出的测距测量，从而获得和/或认证路由器3110的物理位置。在其他实施方式中，处理器使用从路线R₂₃计算得出的测距测量从而改善通过仅使用从路线R₁₃计算得出的测距测量获得的路由器3110的物理位置的准确度。

在一个或多个实施方式中，处理器(例如，与路由器1120相关联的处理器、与路由器2130相关联的处理器或一些其他处理器)使用所获得的路由器3110的物理位置和路由器1120和路由器2130的已知物理位置，生成这些网络节点110、120、130的位置的物理地图。物理地图可额外地包含各种类型的地形数据，包括但不限于拓扑数据、街道名称数据和地标数据。而且，也可以实现与物理地图有关的网络协议(IP)信息的映射覆盖。

应注意，来自目的地节点的ping响应消息的立即回答对于此方法的准确度是至关重要的。由目的地节点引起的任何延迟将增加网络节点之间所测量的网络距离，并且因此增加它们之间的最大物理距离估计。因为存在其可以位于的更大的物理区域，所以这增加目标节点(即路由器3110)的实际物理位置的不确定性。

在本公开的一些实施方式中，目标节点的物理位置的估计当通过使用预协调和/或以优先顺序排列ping消息时被改善，并且可以包括专用ping响应消息硬件的使用。例如，所公开的系统100可以利用用于加速对从起始节点发送的ping询问消息响应的方法，该起始节点在发送ping询问消息之前通知给目的地节点ping询问消息在指定时间到达。目的地节点然后可在指定的时间之前立即准备将其最高优先权赋予进入的询问ping数据包消息，并且当询问ping消息到达时立即做出回复。在一些实施方式中，目的地节点被编程为在目的地节点已经接收询问ping消息之后过去的指定时间量之后发送响应ping消息。在至少一个实施方式中，目的地节点被编程为在具有指定时间间隔的特定时间发送响应ping消息，该时间间隔或被定义或是随机的。

在至少一个实施方式中，从起始节点发送至目的地节点的询问ping消息将包含不能被预测的唯一标识符(例如，数个随机位)，该询问ping消息的至少一部分被复制到从目的地节点发送至起始节点的响应ping消息。这确保由起始节点接收的响应ping消息实际上是对起始节点最初发送的询问ping消息的响应而不是来自欺骗者的响应。在至少一个实施方式中，随机种子可以用于引发随机数发生器(例如，伪随机数发生器)以提供唯一标识符。

在一些实施方式中，可设计ping消息的优先顺序排列而不使用预协调方法。例如，优先权的等级可被分配为具有不同优先级的数据包和/或用于如此处理数据包的其他排队逻辑。虽然与目标节点的物理位置认证相关联的数据包(即ping消息数据包)可具有高优先权(或甚至在执行其他动作以上的最高优先权)，但是可以额外地利用系统来发送可能总体上具有更大重要性的其他关键信息，并且因此一组优先权等级和/或排队逻辑可以用于不影响对于更高重要性数据路由的服务质量的同时最小化响应ping消息发送过程中的延迟。

图10A是根据本公开的至少一个实施方式的用于认证目标节点的物理位置的所公开的方法的流程图200，在此，目标节点发送地理位置认证请求。在本方法的开始205，目标节点将地理位置认证请求发送至具有已知物理位置的至少一个信任节点206。经由卫星定位技术获得信任节点的物理位置。然后，信任节点接收地理位置认证请求208。

信任节点(即起始节点)然后将询问ping消息发送至目标节点(即目的地节点)210。然后，目标节点接收询问ping消息215。在目标节点接收询问ping消息不久之后，目标节点将响应ping消息发送至信任节点220。信任节点然后接收响应ping消息225。在信任节点接收响应ping消息之后，至少一个处理器通过使用从发送询问ping消息至接收响应ping消息过去的时间量来计算从目标节点至信任节点的测距测量230。一旦处理器计算出测距测量，则至少一个处理器(其可以是与计算测距测量的处理器相同或不同的处理器)通过使用从目标节点至信任节点的测距测量来认证目标节点的物理位置235。在处理器认证目标节点的物理位置之后，该方法结束240。

图10B是根据本公开的至少一个实施方式的用于认证目标节点的物理位置的所公开的方法的流程图250，在此，具有已知位置的至少一个信任节点发送询问ping消息。在本方法的开始255，具有已知物理位置的至少一个信任节点(即起始节点)将询问ping消息发送至目标节点(即目的地节点)260。经由卫星定位技术获得信任节点的物理位置。

然后，目标节点接收询问ping消息265。在目标节点接收询问ping消息不久之后，目标节点将响应ping消息发送至信任节点270。然后，信任节点接收响应ping消息275。在信任节点接收响应ping消息之后，至少一个处理器通过使用从发送询问ping消息至接收响应ping消息过去的时间量来计算从网络节点至信任节点的测距测量280。一旦处理器计算出测距测量，则至少一个处理器(其可以是与计算测距测量的处理器相同或不同的处理器)通过使用从目标节点至信任节点的测距测量来认证目标节点的物理位置285。在处理器认证目标节点的物理位置之后，该方法结束290。

图11是根据本公开的至少一个实施方式的分别采用用于发送消息的响应消息硬件设备330、340的两个网络路由器310、320的示意图300。在本附图中，两个网络路由器310、320被示出为连接到(即通过有线或无线)专用响应消息硬件(即“快速轨道”设备)330、340。在一些实施方式中，专用响应硬件330、340被物理地附接至网络路由器310、320或容纳在网络路由器310、320内。

响应消息硬件330、340能够在接收询问ping消息之后以很少甚至没有的延迟发送响应ping消息。因为响应消息硬件330、340能够以很少甚至没有的延迟发送响应ping消息，所以响应消息硬件330、340允许通过使用网络ping测距测量更准确地确定目标节点的物理位置。响应消息硬件设备330、340存在于路由器之间的路径中，并且它们用于发送且接收ping询问消息和ping响应消息。对于这些实施方式，响应消息硬件设备330、340将它们最高的优先权给ping消息。

响应消息硬件设备330、340可具有发送且接收特别指定的ping消息的唯一目的。设备330、340被设计为存在于节点(例如，路由器310、320)之间的数据路径中，并且可以用作对于设备330、340立即回答的特别指定的ping消息之外的所有数据的通路(pass-through)。在一些实施方式中，设备330、340也可以将信号注入节点310、320之间的数据路径而不用妨碍标准通信。也可以通过设备330、340执行ping消息发送的预协调。

在至少一个实施方式中，网络节点的信任可以从具有验证的物理位置的节点(即信任节点)传递至不具有验证的物理位置的节点(即未验证的节点或目标节点)。例如，当一个专用响应消息硬件设备330(与具有验证的物理位置的节点310相邻，诸如如果专用响应消息硬件设备通过通用串行总线(USB)连接附接至计算设备)被命令为通过线路发送询问ping消息时，可发生此。在线路另一端上的对应响应消息硬件设备340(与不具有其验证的物理位置的节点320相邻)通过发送响应ping消息迅速地回复询问ping消息。第一设备330接收回答的响应ping消息、执行测距测量计算并且向未验证的节点320报告网络距离。如果专用响应消息硬件设备330、340处于两端，则信任的、物理验证的节点310可“传递”信任。如果所计算的距离与所测量和验证的物理位置一致，则得到信任。

图12是附接至路由器420的响应消息硬件设备410的示意图400，其示出了根据本公开的至少一个实施方式的放在与输入数据线(例如，光纤电缆)430在一条线路的设备410。响应消息硬件设备410利用数据分离器440(例如，双锥形耦合器)分离输入的数据。数据分离器440经由光学电缆460(或经由一些其他器件)将输入的数据传递至路由器420，并且也将输入的数据传递至计算电路450。计算电路450经由数据电缆470将数据传递至路由器420。通过控制所附接的路由器420的数据流，计算电路450因此可以优先顺序排列和/或预协调响应消息硬件设备410和其他专用响应消息硬件设备之间的ping消息，并且可以限制对吞吐量数据影响的方法这样做。例如，当各自具有专用响应消息硬件设备的两个路由器中断标准数据传输并且执行发送和接收ping消息(例如，在每十(10)秒的数据传输传递完之后的一毫秒时间期间执行发送和接收ping消息)时，均可以遵循一种时间安排。

在至少一个实施方式中，专用响应消息硬件设备410也可以包含卫星追踪硬件和固件以使用卫星测距技术执行410本身和/或路由器420的物理位置的验证。在一个或多个实施方式中，专用响应消息硬件设备410可有效地构建到网络路由器420本身中，因此不需要使用数据分离器440。

图13A、图13B和图13C是当一起观察时的示意图500、505、510，其描述根据本公开的至少一个实施方式的进入网络且使其物理位置通过所公开的系统认证的新节点520(即目标节点)。在至少一个实施方式中，新节点520可以“在线”并且发送询问ping消息以帮助将其确认为“信任”节点。这可能是新节点520包含信任硬件并且定位在信任位置中(例如，新节点520是安装在军事基地上的新路由器)的情况。然而，在至少一个实施方式中，新节点可能是不受控制的设备。在这些实施方式中，当其物理位置通过使用ping测距测量验证通过时，新节点可以转换为“信任”节点。

在图13A中，期望转换为“信任”节点的新未认证的节点520(即目标节点)将地理位置认证ping请求发送至路由器1530、路由器2540和路由器3550。通过使用利用从卫星560、570、580传输的信号的卫星定位技术，来验证三个路由器530、540、550的物理位置。作为响应，在图13B中，路由器530、540、550将询问ping消息发送至新节点520。在图13C中，一旦新节点520接收ping询问消息，则新节点520将响应ping消息发送至路由器530、540、550。与每一个路由器530、540、550相关联的处理器(未示出)通过使用从发送ping询问消息至接收响应ping消息过去的时间量计算从新节点520至其相关联的路由器530、540、550的测距测量。至少一个处理器使用这些所计算的测距测量认证新节点520的物理位置。在新节点的物理位置被认证之后，然后新节点520被视为“信任”节点。

所公开的方法允许网络节点基于节点的物理位置审查从给定节点输入的数据。在至少一个实施方式中，这可以用于改善网络节点的分配的可信任性。在一些实施方式中，可以基于节点的认证授予访问特权。在至少一个实施方式中，可基于用于验证节点的物理位置的认证方法的类型授予访问特权，使得以最高的准确度/可靠性使用的方法可以被分配有最高等级的访问特权，并且可替换地涉及最少可信任性的节点的以最低的准确度/可靠性使用的方法被分配最低程度的访问特权。

基于点波束的认证

实体或用户认证技术使第三方验证器能够通过单向认证方法证实远程资源的用户、资产或设备(例如，提出要求者或网络节点)的身份和/或物理位置。然而，应注意，此单向方法也可以由主机系统直接使用来证实提出要求者。实体可以是需要追踪的设备(例如，网络节点、移动式电话、计算机、服务器等)或资产，然而用户可以是人或其他有生命的/无生命的实体。实体和/或用户可以认证整个连接或会话的持续时间。实体和/或用户可能在最初认证之后需要重新认证。重新认证要求可以通过主机网络定义并且可以是特定上下文。替换地，此系统可以用于基于消息的认证系统，其需要对于每条消息进行分开的认证过程。本文中描述的技术可以用于或基于会话的认证、基于消息的认证或其组合。

此外，此方法可以应用于接收设备本身，使得单向认证不必通过远程第三方完成而是通过一个或多个接收设备完成。当此方法通过单个设备进行时，其依然被视为单向认证方法。然而，此方法也可以应用于多向认证技术以允许至少两个同级设备彼此认证。在此单向或多向设备-至-设备认证方法中，认证通常可能依赖于两个正规的接收设备的每一个了解并且任何未认证或不可靠的接收设备不了解的共享的秘密(对称和不对称的)。每个设备可具有唯一的认证凭证，诸如在其本身和同级设备之间共享的秘密密码或安全证书形式的公共/私有密钥对。当设备证明其了解共享的秘密并且因此是正规的时该设备将其本身认证为满足另一同级设备。一旦以此多向认证方法在至少两个设备之间完成认证，则设备相对彼此证明它们的身份。设备可以然后创建它们自己的认证网络，从而保护针对给定上下文的网络化的资源的通信和访问，设备可以选择它们自己的认证网以实现达成协议的网络安全政策。

可以使用或结合现有的认证方法生成初始安全密钥。例如，初始安全密钥可以使用迪菲-赫尔曼(Diffie-Hellman)技术合作生成或可以简单地通过一个同级设备生成并且经由可替换的安全信道/过程发送至另一设备。

在任何情况下，伴随初始安全密钥可以包括一些共享活跃度信息(如之前所定义的)。在本申请中，活跃度信息通过卫星点波束提供并且可以包括在认证中用作时间戳和伪随机数(PRN)的这类参数。

所使用的共享的活跃度信息可以用于推导(derivation)，其允许每当发起设备将其本身认证为同级设备时使用的不同安全密钥。这阻碍潜在不可靠的截收者每当认证发起设备时发起统计攻击、将最新截取消息加入在发起设备的之前会话期间截取的其消息分析。活跃度信息和初始安全密钥然后可以作为输入传递为决定性函数。如在本文中使用的，术语“决定性的”指代用于函数的输出完全由输入决定的函数。此决定性的函数可以在发起设备和同级设备上分开运行。如果当它们运行决定性函数时这两个设备产生不同的输出，则从该函数获得的安全密钥不匹配，设备不能被认证，并且因此不能用于互相通信。

除了决定性的之外，出于安全的缘故，该函数应当是内在不能取消的。应当非常困难或不可能了解函数的输出以确定其输入。杂乱信号形成作为决定性的和内在不能取消两者的一类函数，并且因此经常用于加密和认证计算。以众所周知的传输等级安全(TLS)协议使用的伪随机函数(PRF)是可以使用的决定性函数实施方式的实施例。

PRF结合两个众所周知的散列函数(消息摘要算法5(MD5)和安全散列算法1(SHA-1))的结果。PRF使用两个散列函数从而仅在某人确定怎样颠倒两个散列函数之一的情况下保持安全。这两个散列函数产生作为可能是太短而不是对于安全来说最佳的输出。SHA-1产生20字节的输出，并且MD5产生16字节的输出。因此，对于两个散列函数的每一个，可以定义使用散列函数产生任意长度输出的“数据扩展函数”。对于SHA-1，数据扩展函数可以被定义为P_SHA-1：

EQ1:P_SHA-1(初始安全密钥,活跃度)＝SHA-1(初始安全密钥,A(1)+活跃度)+SHA-1(初始安全密钥,A(2)+活跃度)+SHA-1(初始安全密钥,A(3)+活跃度)+…

在此，A(0)＝活跃度；

A(i)＝SHA-1(初始安全密钥，A(i-1))；

并且“+”符号表示字符串连接。

无论其出现在什么地方，数据扩展函数P_MD5的定义与以“MD5”替换“SHA-1”的以上定义类似。数据扩展函数可被重复迭代与产生希望长度的输出所需要的步骤一样多的步骤。所希望的输出长度可以被设置为实施选项。在至少一个实施方式中，对于每个散列函数所希望的输出长度是128字节。对于140字节总输出长度，P_SHA-1可以重复至A(7)(每次重复增加输出长度20字节)。输出可然后被截断为128字节。P_MD5的每次重复产生16字节，所以重复其至A(8)产生所希望的128字节而没有截断。

在用于基于点波束的认证的一个实施方式中，选择完散列函数并且重复迭代它们的数据扩展函数至希望的输出长度之后，PRF用作扩展的初始安全密钥的输入、标签(预先确定的ASCII字符串)和互换的活跃度信息。PRF被定义为两个散列数据扩展函数(P_MD5和P_SHA-1)的输出的异或(XOR)：

EQ:2PRF(扩展的初始安全密钥,标签,活跃度)＝P_MD5(S1,标签+活跃度)XORP_SHA-1(S2,标签+活跃度)

在此，S1是以字节测量的扩展的初始安全密钥的第一半，并且S2是扩展的初始安全密钥的第二半。(如果扩展的初始安全密钥的长度是奇数，则然后其中间字节是S1的最后字节和S2的第一字节两者)。因为P_MD5和P_SHA-1被重复产生128字节的输出，所以PRF的输出也是128字节。

PRF的128字节的输出被分为四个32字节的会话安全密钥。然后会话安全密钥的每一个被截断为由所使用的认证和加密协议需要的长度。截断的结果是一套新的瞬时会话安全密钥之一。瞬时会话安全密钥的推导允许发起设备和同级设备两者不直接使用初始的秘密密钥或扩展的初始安全密钥，从而最小化或至少降低安全密钥信息的泄漏。瞬时会话安全密钥的推导也允许发起设备和同级设备以有规律的间隔或当被命令为通过限制会话安全密钥的使用而防止统计分析时，刷新从扩展的初始安全密钥获得的会话安全密钥。

认证和加密瞬时会话安全密钥的每一个具有以下特定目的：i)为了机密性从发起设备至同级设备的数据交换的加密；ii)为了机密性从同级设备至发起设备的数据交换的加密；iii)为了完整性从发起设备至同级设备的数据交换的签名；以及iv)为了完整性从同级设备至发起设备的数据交换的签名。

用于基于点波束的认证的初始安全密钥的推导可以使用利用达成协议的和众所周知的公众原根生成“g”和质模数“p”的迪菲-赫尔曼技术。发起设备和同级设备每个均选择随机秘密整数并且交换它们相应的((g^(秘密整数)模数p)。这种交换允许发起设备和同级设备使用迪菲-赫尔曼获得共享的初始秘密密钥。

已获得在发起设备和同级设备两者之间共享的初始秘密密钥之后，它们可以使用数据扩展以获得使用例如P_SHA-1的扩展的初始秘密。用于数据扩展处理的活跃度信息可以是发起设备和同级设备达成协议的已知随机值或时间戳。在一些实施方式中，同级设备可以选择随机值并且经由卫星或地面网络将其传输至发起设备。替换地，发起设备和同级设备两者可以在时间戳方面达成协议，因为它们在时间上是紧密同步的，并且能够从分享/共同的时间戳值选择活跃度的同时避免数据交换。

之后，发起设备和同级设备具有共享的扩展的初始秘密密钥，其可以用于获得一组新的瞬时会话安全密钥。再次关于活跃度，发起设备和同级设备可以使用通过同级设备传输的共享的随机值或共享/共同的时间戳值。瞬时会话安全密钥可以由发起设备和同级设备用于地理位置的进一步加密和签名，并且其他上下文消息在发起设备和同级设备之间交换。地理位置和其他上下文消息被视为机密的，并且因此这类信息适于被加密以确保仅认证的发起设备和同级设备可提取交换的地理位置和上下文消息。应注意，通过在使用伪随机(PRN)代码段和不同的波束参数的本专利申请中描述的程序认证地理位置。共享的上下文消息可以包括用于对于针对性的网络防御应用实行或决策支持系统的其他状态或控制信息。除了加密之外，为了如之前所述的签名目的，通过使用瞬时会话安全密钥来确保交换的地理位置和上下文消息的完整性。

在简要概述中，在一些实施方式中，本文中描述的认证系统和方法可以将用于确定提出要求者位置的地理定位技术平衡为认证过程的一部分。一类地理定位技术被定义在题为GeolocationLeveragingSpotBeamOverlap的通常转让且未决的U.S.专利序列号12/756961中，通过引用将其全部内容结合于此。当需要认证时，提出要求的设备可以获取不同的信号参数并且将其传输至验证设备。此外，提出要求的设备可以传输其要求保护的行进路径(即，站点和在每处的时间)。无论设备是固定的或移动的，可以传输站点。验证设备可以使用提出要求者要求保护的波束信号参数、至少一个位置站点以及与获取的此站点和波束参数相关联的至少一个时间，从而认证提出要求者。例如，如果对于已知的有效数据组确认从至少一个点波束和至少一个要求保护的站点获取的波束参数，则可以视为通过验证器认证过提出要求者。以这种方式，提出要求者可在特定时间被认证为在一个区域内。基于这些参数的合成代码提供一种极其难以仿效、破坏或欺骗的信号。而且，信号结构和卫星接收的信号功率允许在室内或其他衰减的环境使用认证。这改善了此系统方法的总体用途。

主要在近地球轨道(LEO)卫星(诸如通过铱卫星实现的卫星)的上下文中描述本申请的主题。然而，本领域的技术人员应当认识到，本文中描述的技术可容易地可应用于其他卫星系统，例如，中地球轨道(MEO)卫星系统、和/或同步地球轨道(GEO)卫星系统。这类基于卫星的通信系统可以包括或利用其他移动通信系统(空中通信系统等)以及包括而不限于船或手机信号传输塔(cellphonetower)的固定的通信平台。

图14是根据实施方式的基于卫星的通信系统600的示意图。实际上，基于卫星的通信系统600可以包括在轨道上运转的至少一个卫星610。为了简洁，在图14中示出了单个卫星。参考图14，在一些实施方式中，系统600包括与一个或多个接收设备620通信的一个或多个卫星610。在一些实施方式中，卫星610可以实施为LEO卫星(诸如在铱卫星星座内的那些卫星)。卫星610在已知的轨道中绕地球运转并且可以已知的模式将一个或多个点波束630传输至地球表面。每个点波束630可以包括诸如伪随机(PRN)数据和一个或多个不同的波束参数(例如，时间、卫星ID、时间偏差、卫星轨道数据等)的信息。

接收设备620可以被实现为通信设备(诸如卫星或蜂窝电话)或实现为通信设备或计算设备的部件(例如，个人计算机、便携式计算机、个人数字助理等)。在一些实施方式中，接收设备(620)可以包括与用于与全球定位系统(GPS)连接的设备类似的一个或多个定位或导航设备或模块。

图15A、图15B和图15C是根据实施方式的基于卫星的认证系统700的示意图。首先参考图15A，在一些实施方式中，在轨道上运转的卫星610将一个或多个点波束630传输至地球表面。接收设备620可以被配置为从点波束接收信号。在图15A中描述的实施方式中，接收设备是基于接地的并且可以在衰减的环境中操作。通过举例的方式，诸如屋顶、建筑物等的物体710可能阻碍在卫星610和接收设备之间的通信路径的一部分。

传输器720将通过接收设备620接收的数据和/或通过接收设备620生成的数据传输至验证器730。在图15A中描述的传输器720是将数据从接收设备中继转发至验证器的无线传输器。然而，本领域的技术人员将识别，可以经由有线通信系统、无线通信系统、或有线系统和无线系统的组合传输来自接收设备620的数据。验证器730使用接收设备620经由点波束获取的数据，以经由也作为图15B中的情况的单向认证方法向验证器730证明其是认证的用户。

而且，图15B描述了接收设备620可以空降在飞机625中的一种布置。在图15B中描述的实施方式中，飞机625可以保持与卫星610的上行链路(例如，L频带上行链路)，并且通过飞机中的接收设备620获取的数据可以经由上行链路传输回至卫星610。卫星610可以将数据传输至第二交叉连接卫星610，第二交叉连接卫星610反过来可以将数据传输至验证器730。

在图15C中描述的系统示出了其中两个(或多个)同级设备620可以实现双向认证技术以彼此认证的实施方式。简要地参考如上所述的图15C，在轨道上运转的卫星610将一个或多个点波束630传输至地球表面。第一接收设备620A可以被配置为从点波束接收信号。第一接收设备620A可以被配置为使用结合有来自点波束的PRN数据的如上所述的迪菲-赫尔曼方法，来获得安全密钥。

PRN数据也被传输到第二设备620B。在一些实施方式中，第二设备620B可以在点波束630的外部，在此情况下，可以经由通信网络通过耦接至第二设备620B的计算设备740传输PRN数据。计算设备740可以通信地耦接至卫星610。通过举例的方式且不限制，计算设备740可以是经由通信链路单独地耦接至卫星610的服务器。计算机740可以与用于卫星610的控制网络相关联并且可以从而拥有与点波束630相关联的PRN数据。

在操作过程中，第一接收设备620A发起认证数据的请求，其被传输至第二接收设备620B。在第一接收设备620A与第二接收设备620B之间的通信线路可以是直接的或可以通过传输网络720实现。第二接收设备620B对该请求做出响应并且发出对来自第一接收设备620A的认证数据的接近同步的请求。第一接收设备620A认证第二接收设备620B并且将对认证数据的几乎同时的响应发至第二接收设备620B，第二接收设备620B然后可以认证第一接收设备620A。

如上所述，在第一接收设备620A和第二接收设备620B之间实现的认证过程可以是迪菲-赫尔曼交换，其中共享的秘密包括通过点波束630传输的PRN数据的至少一部分。因此，图15C中描述的系统使能够进行接收设备620A、620B的对等认证。本领域的技术人员将识别，此双向认证方法可延伸至接收设备和服务器以及其他硬件架构、或延伸至超过两个的设备。

图16A是根据实施方式的可以适用于实现基于卫星的认证系统的计算系统的示意图。例如，在图15A和图15B中描述的实施方式中，验证器730可以通过如图16A所述的计算系统实现。参考图16A，在一个实施方式中，系统800可以包括计算设备808和包括具有屏幕804的显示器802的一个或多个附属的输入/输出设备、一个或多个扬声器806、键盘810、一个或多个其他I/O设备812以及鼠标814。其他I/O设备812可以包括触摸屏、语音激活的输入设备、跟踪球和允许系统800接收来自用户的输入的任何其他设备。

计算设备808包括系统硬件820和可以实现为随机存取存储器和/或只读存储器的存储器830。文件存储器880可以通信地耦接至计算设备808。文件存储器880可以在计算设备808(诸如，一个或多个硬盘驱动器、光盘驱动器、DVD-ROM驱动器或其他类型的存储设备)内部。文件存储器880也可以在计算机808(诸如，一个或多个外部硬盘驱动器、网络附接的存储器或分开的存储器网络)外部。

系统硬件820可以包括一个或多个处理器822、至少两个图形处理器824、网络接口826以及总线结构828。在一个实施方式中，处理器822可以被体现为从Corporation、SantaClara、California、USA可获得的 Core2处理器。如本文中使用的，术语“处理器”指任何类型的计算元件，诸如但不限于微处理器、微控制器、复杂指令集计算(CISC)微处理器、精简指令集(RISC)微处理器、超长指令字(VLIW)微处理器或任何其他类型的处理器或处理电路。

图形处理器824可以用作管理图形和/或视频操作的附属处理器。图形处理器824可以集成到计算系统800的母板或可以经由母板上的扩展狭槽耦接。

在一个实施方式中，网络接口826可以是诸如以太网接口的有线接口(例如，参见InstituteofElectricalandElectronicsEngineers/IEEE802.3-2002)或诸如IEEE802.11a,b或g-兼容接口的无线接口(例如，参见IEEEStandardforIT-TelecommunicationsandinformationexchangebetweensystemsLAN/MAN--PartII:WirelessLANMediumAccessControl(MAC)andPhysicalLayer(PHY)specificationsAmendment4:FurtherHigherDataRateExtensioninthe2.4GHzBand,802.11G-2003)。无线接口的另一个实例是通用分组无线电业务(GPRS)接口(例如，参见GPRSHandsetRequirements,GlobalSystemforMobileCommunications/GSMAssociation，第3.0.1版，2002年12月)。

总线结构828连接系统硬件820的各种部件。在一个实施方式中，总线结构828可以是包括使用任何种类的可获得的总线架构的存储器总线、外围总线或外部总线、和/或局部总线的若干类型总线结构中的一种或多种，可获得的总线架构包括但不限于11位总线、工业标准架构(ISA)、微信道架构(MSA)、扩展ISA(EISA)、智能驱动电子设备(IDE)、VESA局部总线(VLB)、外围部件互连(PCI)、通用串行总线(USB)、高级图形端口(AGP)、个人计算机存储卡国际协会总线(PCMCIA)以及小型计算机系统接口(SCSI)。

存储器830可以包括用于管理计算设备808的操作的操作系统840。在一个实施方式中，操作系统840包括为系统硬件820提供接口的硬件接口模块854。此外，操作系统840可以包括管理在计算设备808的操作中使用的文件的文件系统850和管理在计算设备808上执行的处理的处理控制子系统852。

操作系统840可以包括(或管理)一个或多个通信接口，通信接口可以结合系统硬件820操作以从远程源收发数据包和/或数据流。操作系统840可以进一步包括系统调用接口模块842，提供存在于存储器830中的一个或多个应用模块和操作系统840的接口之间的接口。操作系统840可以体现为UNIX操作系统或任何其衍生物(例如，Linux、Solaris、BerkeleySoftwareDistribution(BSD)、安卓等)或体现为品牌操作系统或其他操作系统。

在各种实施方式中，计算设备808可以实施为个人计算机、便携式计算机、个人数字助理、移动电话、娱乐设备或另一个计算设备。

在一个实施方式中，存储器830包括基于从提出要求者接收的数据认证提出要求者的认证模块862。在一个实施方式中，认证模块862可以包括在非易失性计算机可读介质中编码的逻辑指令，当通过处理器822实行时，非易失性计算机可读介质使处理器822基于从提出要求者接收的数据认证提出要求者。此外，存储器830可以包括卫星轨道数据库864，包括在地球周围的预定轨道中对于卫星610的轨道信息。在下文描述与通过认证模块862实现的认证过程和操作有关的额外的细节。

在一些实施方式中，接收设备620可以实现为适用于与传统计算设备622(例如，便携式计算机、PDA或智能电话设备)耦接的卫星通信模块。接收设备620可以通过适宜的通信连接(例如，通过通用串行总线(USB)接口、RS-232接口、光学接口等)耦接至计算设备622。在图16B中描述的实施方式中，接收设备620就其可以包括接收器和有限的处理能力的意义而言可以是“薄”设备，例如，被配置为实现认证程序的专用集成电路(ASIC)或现场可编程门系列(FPGA)。

在操作过程中，计算设备622的用户可以利用接收设备620认证具有主机网络890的计算设备622。如上所述，在图16B中描述的接收设备620可以从卫星610接收点波束传输630，其包括与众不同的光束信号和伪随机数(PRN)。计算设备622可以发起至主机网络890的访问请求。访问请求可以包括例如用户ID、来自基于地球的坐标系的一个或多个坐标(例如，zip代码、区域代码、纬度/经度、通用横轴墨卡托(UTM)；地心固连(ECEF)、世界地理参考系统(GEOREF)或其他各种各样的系统，例如，zip代码)的用户特定信息和从卫星610接收的PRN数据的至少一部分。

主机网络890可以将用户访问请求传输至验证器730作为认证请求。在一些实施方式中，主机网络可以将额外的信息加入使验证器730能够认证计算机622的请求。通过举例的方式，主机网络630可以提供与提出要求者可以在什么地方(即，从什么地理位置)认证有关的限制。验证器730可以验证提出要求者并且为主机网络890提供认证响应。主机网络890反过来可以将访问响应转发至计算设备622。

图17是示出根据实施方式的认证提出要求者的方法中的操作的流程图。参考图17，在操作910，提出要求的设备确定提出要求的设备的物理位置。在一些实施方式中，提出要求的设备620可以包括一个或多个位置模块以确定提出要求的设备620的位置。作为示例并非限制方式，提出要求的设备620可以包括或通信地耦接至全球定位系统(GPS)模块，以基于来自全球定位系统的信号确定位置。替换地，或此外，提出要求的设备620可以包括基于来自如在一个或多个U.S.专利第7,489,926、7,372,400、7,579,987和7,468,696号中所述的一个或多个LEO或MEO卫星610的信号来确定位置的逻辑，通过引用将其公开内容以它们相应的整体结合于此。在一些实施方式中，可以在纬度/经度坐标或另一基于地球的坐标系中表示提出要求的设备620的位置。

在操作915，提出要求的设备620从卫星610接收点波束传输。在一些实施方式中，提出要求的设备620从卫星点波束提取包括伪随机代码段的一个或多个不同的波束参数(例如，时间、卫星ID、光束ID、时间偏差、卫星轨道数据等)。在一些实施方式中，提出要求的设备620可以在提出要求的设备620中的或通信地耦接至提出要求的设备620的存储模块中存储波束参数。在一个或多个实施方式中，操作915可以几乎与其上述操作910同时发生。

在操作920，提出要求的设备620可以继续生成一个或多个站点数据快照(waypointdatasnapshot)和经由如在操作920所述的卫星点波束传输的一个或多个不同的波束参数，一个或多个站点数据快照可以包括来自操作910的提出要求的设备620的位置信息。在一些实施方式中，站点数据快照可以存储在提出要求的设备620中的或通信地耦接至提出要求的设备620的存储模块中。

在一些实施方式中，提出要求的设备620可以随着时间收集一系列的站点数据快照。例如，可以通过随着时间从穿过提出要求的设备620的多个卫星610接收点波束来构造一系列的站点数据快照。替换地，或此外，可以通过相对于卫星610移动提出要求的设备620(例如，通过将提出要求的设备620放在如图15B所述的飞机625中)来构造一系列的站点数据快照。额外的实施例将包括用作追踪器的提出要求的设备，以验证其可以包括有害材料的实体或资产的行进路线。可以给提出要求的设备投票以提供站点数据，从而验证所期望的路径匹配真实的路径。可以给提出要求的设备随机地投票。

在操作920，将站点数据快照从提出要求的设备620传递至验证器设备730。通过举例的方式，在图15A中描述的实施方式中，可以经由传输器720或通过另一通信网络传输站点数据快照。在图15B中描述的实施方式中，站点数据快照可以从飞机625传输至卫星610，然后可以经由卫星网传输至验证器设备730。

在操作925，验证器设备730从提出要求的设备620接收位置数据和站点数据。在操作930，验证器设备730将位置信息和站点数据与已知有效数据组中对应的数据进行比较，从而认证提出要求者。通过举例的方式，诸如铱卫星星座的LEO卫星在已知的轨道中绕地球环航，适当提前地可获得其近似参数。验证器设备730可以包括卫星轨道数据库864、或相通地耦接至包括绕地球的已知轨道中与卫星610有关的轨道的卫星轨道数据库864。

在一些实施方式中，将从提出要求的设备接收的位置数据和站点数据与来自已知数据组的位置和站点数据进行比较，以确定提出要求的设备620在期望的时间实际上是否在期望地理位置的合理阈值距离内。作为示例并非限制方式，卫星轨道数据库864可以搜索与从提出要求的设备620传输的不同的波束参数对应的数据记录。当定位匹配记录时，可以将来自从轨道数据库864检索出的记录的轨道数据与从提出要求的设备620接收的数据进行比较。例如，已知的数据可以包括对于点波束630中心的坐标和在地球表面上的点波束630的半径的指示。可以将从提出要求的设备620接收的坐标与点波束位置进行比较，以确定在从提出要求的设备接收的数据中表示的时间处所接收的数据是否指明提出要求的设备620在通过点波束确定范围的区域内。在至少一个实施方式中，点波束可以成不规则的形状。在至少一个实施方式中，提出要求的设备可以处于在地球表面以上的海拔高度。

在操作935，如果在与来自提出要求的设备的数据相关联的时间处从提出要求的设备620接收的数据指明提出要求的设备620在由来自卫星610的点波束包围的地理区内，则提出要求的设备620可被视为认证过的。在认证系统中，控制然后转到操作940并且提出要求者被允许访问资源。作为示例并非限制方式，验证器设备730可以将令牌授予经认证的提出要求的设备620。可以由远程系统使用令牌以授予对资源的访问。

作为对比，如果在与来自提出要求的设备的数据相关联的时间处从提出要求的设备620接收的数据指明提出要求的设备620不在由来自卫星610的点波束包围的地理区内，则提出要求的设备620可被视为未通过认证的。在认证系统中，控制然后转到操作945并且提出要求者被拒绝访问资源。作为示例并非限制方式，验证器设备730可以将令牌拒绝给认证的提出要求的设备620。在没有令牌的情况下，提出要求的设备可被拒绝访问由远程系统管理的资源。

因此，在图14至图16中描述的系统架构和在图17中描述的方法使能够进行一个或多个提出要求的设备620的基于卫星的认证。认证系统可以用于允许或拒绝访问由远程计算系统管理的一种或多种资源。在一些实施方式中，提出要求的设备可以是固定的，然而在其他实施方式中，提出要求的设备可以是移动的，并且认证过程可以是或基于时间的、基于位置的或两者的组合。

在一些实施方式中，系统可以用于实现基于会话的认证，其中提出要求的设备620被认证为使用对于整个会话的资源。在其他实施方式中，系统可以实现基于消息的认证，其中提出要求的设备620必须分开认证从提出要求的设备620传输至远程资源的每条消息。

在一个示例性实施方式中，如本文所述的认证系统可以用于提供对安全计算资源(诸如公司电子邮件系统、公司网络、军用或民用基础设施网络或电子银行设施)的访问的认证。在其他示例性实施方式中，认证系统可以用于在物流系统中确认车辆的路线。通过举例的方式，诸如卡车、火车、船舶或飞机的移动实体可以包括一个或多个提出要求的设备620。在安排任务过程期间，物流系统可以给提出要求的设备620周期性地投票，提出要求的设备620可响应于从卫星610获得的认证数据。认证数据可以被收集在物流系统中并且用于确认提出要求的设备根据物流设计在预定时间处于具体位置。

仍旧在另一实施例中，如本文所述的认证系统的实现可以用于验证与监测系统(例如，居家监禁监视系统)相关联的提出要求的设备的位置。在这类实施方式中，提出要求的设备可以结合一个或多个生物计量传感器(诸如指纹生物计量传感器)来认证系统的用户，然而认证系统可以用于确认提出要求的设备在预定时间处于预定位置(即，提出要求者在正确的地方、在正确的时间并且是正确的人)。认证设备也可以靠着一列定义的被认可的位置检查提出要求的设备位置，其可以在被认可的时期靠着一组被认可的位置通过检查提出要求的设备的位置和时间来由认证系统进一步细化。而且，此系统可以用于追踪已登记的性犯罪者。

在一些实施方式中，卫星610可以是LEO卫星系统(诸如铱星座)的一部分，该LEO卫星系统在已知的轨道中绕地球运转并且传输具有已知几何构型的点波束，使得通过确认提出要求的设备在指定时间处于指定点波束内可以认证提出要求的设备。因此，可以使用单信号源(例如，单卫星610)认证提出要求者。同样因为诸如铱星座的LEO卫星和MEO卫星传输相对高等级的电源信号，所以系统可以用于认证被定位在阻隔的环境(例如，室内或市内位置)中的一个或多个提出要求的设备。另外，相对高信号强度的LEO卫星和MEO卫星使这些信号易受人为干扰力气(jammingeffort)的影响。

尽管本文中已公开某些说明性实施方式和方法，但从上述公开来看对本领域技术人员显而易见的是，在不背离公开的技术的真正精神和范围的情况下可以对这样的实施方式和方法进行变化和修改。存在所公开领域的许多其他的实例，这些实例均仅在细节上与其他不同。因此，意图是公开的领域应该仅限制在所附权利要求和适用的法律的规则和原理需要的程度。

Claims (19)

1.一种用于通过多个网络节点安全数据传输至少一个数据包的方法，所述方法包括：

由至少一个用户定义源网络节点和目的地网络节点，其中，所述源网络节点和所述目的地网络节点在所述多个网络节点中；

由所述至少一个用户定义至少一种安全性约束，其中，所述至少一种安全性约束基于所述多个网络节点中的至少一个网络节点的物理位置；

通过至少一个处理器将所述多个网络节点的地图中的可用网络节点与所述至少一种安全性约束进行比较，以确定哪些所述可用网络节点是合格的网络节点。

其中，所述合格的网络节点是满足所述至少一种安全性约束的所述可用网络节点；

通过所述至少一个处理器将包括至少一个所述合格的网络节点的路线确定为所述至少一个数据包从所述源网络节点至所述目的地网络节点通过的路线；以及

通过包括至少一个所述合格的网络节点的所述路线将所述至少一个数据包从所述源网络节点传输至所述目的地网络节点。

2.根据权利要求1所述的方法，其中，所述至少一种安全性约束是以下中的一个：必须经由物理定位在至少一个指定地理区域内的网络节点路由所述至少一个数据包；以及必须经由没有物理定位在所述至少一个指定地理区域内的网络节点路由所述至少一个数据包。

3.根据权利要求3所述的方法，其中，由点定义的多边形定义所述至少一个地理区域中的至少一个。

4.根据权利要求5的所述方法，其中，由所述至少一个用户指定每一个所述点的经度和纬度来定义所述点。

5.根据权利要求1所述的方法，其中，所述网络节点的所述地图包括以下中的至少一个：与至少一个所述网络节点的所述物理位置有关的信息；与任一所述网络节点的所述物理位置是否能通过使用卫星定位技术认证有关的信息；与任一所述网络节点的所述物理位置是否能通过使用网络ping测距测量认证有关的信息；与任一所述网络节点是否能加密数据包有关的信息以及与任一所述网络节点是否能解密数据包有关的信息。

6.根据权利要求1所述的方法，其中，所述至少一种安全性约束中的至少一种是必须经由网络节点的物理位置能通过使用卫星定位技术认证的这样网络节点路由所述至少一个数据包。

7.根据权利要求1所述的方法，其中，所述至少一种安全性约束中的至少一种是必须经由网络节点的物理位置能通过使用网络ping测距测量认证的这样网络节点路由所述至少一个数据包。

8.根据权利要求1所述的方法，其中，所述至少一种安全性约束中的至少一种是如果所述网络节点的物理位置不能被认证，仅在所述至少一个数据包被加密时才能通过所述网络节点路由所述至少一个数据包。

9.根据权利要求1所述的方法，其中，所述至少一种安全性约束中的至少一种是所述至少一个数据包必须沿具有比阈值距离更小长度的路线从所述源网络节点传送至所述目的地网络节点。

10.一种用于通过多个网络节点安全数据传输至少一个数据包的方法，所述方法包括：

由至少一个用户定义源网络节点和目的地网络节点，其中，所述源网络节点和所述目的地网络节点在所述多个网络节点中；

由所述至少一个用户定义至少一种安全性约束，其中，所述至少一种安全性约束基于至少一个网络节点的物理位置；

通过至少一个处理器将所述至少一种安全性约束编码到所述至少一个数据包中；

通过所述源网络节点确定连接到所述源网络节点的可用网络节点中哪些是合格的网络节点，

其中，所述合格的网络节点是满足所述至少一种安全性约束的所述可用网络节点；

通过所述源网络节点将所述至少一个数据包传输至所述合格的网络节点之一；

通过接收所述至少一个数据包的任一个网络节点确定连接到接收所述至少一个数据包的所述网络节点的可用网络节点中哪些是合格的网络节点；以及

通过接收所述至少一个数据包的任一个网络节点将所述至少一个数据包传输至所述合格的网络节点之一，其中，在穿过所述合格的网络节点从所述源网络节点至所述目的地网络节点的路线上传输所述至少一个数据包。

11.根据权利要求12所述的方法，其中，所述至少一个用户是人、实体、应用程序、程序、节点、路由器、移动设备、处理器和计算机中的至少一个。

12.根据权利要求12所述的方法，其中，所述至少一种安全性约束是以下中的一个：必须经由物理定位在至少一个指定地理区域内的所述网络节点路由所述至少一个数据包；和必须经由没有物理定位在所述至少一个指定地理区域内的所述网络节点路由所述至少一个数据包。

13.根据权利要求14所述的方法，其中，所述至少一个地理区域是国家、州、省、县、政府部门和城市中的至少一个。

14.根据权利要求14所述的方法，其中，由点定义的多边形定义所述至少一个地理区域中的至少一个。

15.根据权利要求16的所述方法，其中，由所述至少一个用户指定每一个所述点的经度和纬度来定义所述点。

16.根据权利要求12所述的方法，其中，所述至少一种安全性约束中的至少一种是必须经由网络节点的物理位置能通过使用卫星定位技术认证的这样网络节点路由所述至少一个数据包。

17.根据权利要求12所述的方法，其中，所述至少一种安全性约束中的至少一种是必须经由网络节点的物理位置能通过使用网络ping测距测量认证的这样网络节点路由所述至少一个数据包。

18.根据权利要求12所述的方法，其中，所述至少一种安全性约束中的至少一种是如果所述网络节点的物理位置不能被认证，仅在所述至少一个数据包被加密时，才能通过所述网络节点路由所述至少一个数据包。

19.根据权利要求12所述的方法，其中，所述至少一种安全性约束中的至少一种是所述至少一个数据包必须沿具有比阈值距离更小长度的路线从所述源网络节点传送至所述目的地网络节点。