PathGuard：具有常数大小证明的动态路径验证

《Computer Networks》：PathGuard: Dynamic path validation with constant-size proofs

　　•动态路径验证：通过基于实时网络条件进行转发决策，消除对预定义路由的依赖。
•无PKI架构：利用基于身份的签名将路由器身份绑定到密钥，移除复杂的证书管理开销。
•常量大小证明：采用聚合签名，使核心路径证明无论跳数多少，仅需三个群元素。
•高效验证：通过批量验证和可选的延迟验证机制提升吞吐量。

引言

随着经济全球化和互联网技术的迅猛发展，政府与企业间的国际合作日益相互依存。数据传输的安全性和可靠性已成为支撑这些关系的关键支柱，其战略重要性空前凸显。海量敏感数据（如金融交易记录和跨境医疗信息）穿越全球网络时，传输路径的异常波动或恶意操纵可能引发连锁反应，从数据泄露、服务中断到系统性网络风险。这些影响现已超越个体用户，威胁到企业运营安全和国家级数字基础设施。

这一关键挑战已引起研究人员和国际组织的广泛关注。例如，互联网工程任务组（IETF）成立了路径感知网络研究组（PANRG），探索路径验证技术，并持续提出相关解决方案。在传统传输控制协议/网际协议（TCP/IP）网络中，源节点可以指定目标IP地址，但无法预定义或追踪实际转发路径。中间路由器仅根据标识下一跳地址的路由表转发数据包，完全不知道前一路由器的身份或数据包的潜在修改。终端节点可见性极低，仅能识别数据包来源，而不知晓中间跳数。这一设计实现了高效路由，但造成了路径可见性的透明性缺口，该缺口一直是互联网路由基础设施的固有局限。

边界网关协议（BGP）[1]正是这一局限的典型代表。作为域间路由的主要机制，BGP依赖自治系统（ASes）通过AS_PATH属性宣告和交换路由信息。然而，由于缺乏内在安全验证机制，攻击者可通过伪造、删除或插入操作篡改AS_PATH字段，将流量重定向至未经授权的链路或篡改路径记录。有据可查的攻击，如插入[2]、路径重路由[3]和BGP劫持[4]，已证明这一脆弱性。行业报告显示，平均每天发生四起BGP劫持事件[5]，对网络运营造成显著影响。这些脆弱性催生了对验证和校验路径信息机制的需求。

路径验证和源认证技术的出现提供了有前景的解决方案。这些技术将“路径凭证”嵌入数据包头部，使终端主机和中间路由器能够验证数据包的转发历史，包括经过的节点、时间戳和载荷完整性。除了检测或拒绝伪造和篡改的路径证据外，该能力还扩展到多种应用场景。客户端可验证服务提供商是否使用指定的高速通道以避免第三方引发的延迟。网络运营商可精确定位拥塞节点以快速优化路径。数据监管机构可审计流量，检测向不合规服务器的未授权传输。

实现这些功能需要构建一个“可证明、高效、可部署”的路径验证框架，其中密码技术是核心使能手段。虽然对称密码学计算效率高，但在密钥管理方面面临重大挑战。非对称密码学在“消除密钥共享”和“签名可追溯性”方面具有优势，已成为首选方案。当前进展包括基于非交换同态非对称加密的Atomos[6]定长路径证明，以及使用数字签名支持AS路径完整性证明验证的BGPsec [7], [8]。

本文提出PathGuard，一种克服现有方法局限的动态路径验证方案。PathGuard具有一个包含常量大小核心路径证明的数据包验证头部。该协议使路由器能够根据实时网络条件转发数据包，而无需事先路径协商，同时通过固定路径策略支持预定路径传输。通过基于身份的签名实现公开可验证性，将路由器身份直接映射到公钥，消除了数据包处理过程中传统公钥基础设施证书验证。

为增强可扩展性，PathGuard实现了批量证明验证，可在一个操作中检查多个完整路径证明，并在数据包间共享公共配对计算。该方案还提供延迟证明验证作为可选的运行策略。选定的路由器可推迟证明验证以减少关键路径计算，而证明生成和最终路径验证保持不变。随机预言模型下的安全性分析证实了该构造的不可伪造性，实验评估将其节点级成本、完整在线路径成本、证明大小和批量验证性能与现有方案进行了比较。

相关工作

ICING [9] 是一种基于对称密码学的早期源和路径验证方案。在ICING中，源节点首先确定传输路径，从路由器管理员处获取所有中间路由器的权限，并分发这些权限。同时，在所有参与节点之间预先建立对称密钥。源节点使用相应的对称密钥分别加密每个路由器的权限，并将加密后的权限附加到数据包上。中间路由器使用自己的密钥解密权限，验证前一路径段的合法性。获得自身权限后，路由器使用与所有下游路由器的共享对称密钥重新加密后续权限，然后转发数据包。

起源和路径追踪（OPT）协议 [10] 提供了一种更高效的方法，每个路由器只需维护与通信端点的对称密钥。源节点生成一个加密证据值，并为传输路径上的每个路由器计算消息认证码（MACs）。中间路由器依次重建并验证MACs。验证成功后，路由器加密由上游路由器先前加密的证据值。目的节点沿预期路径执行逆序解密。如果恢复出原始证据值，则确认路径有效性。

为增强传输灵活性和支持动态路径选择，提出了Atlas [11]。它采用分层验证和冗余路径的连续剪枝，显著减少带宽消耗。尽管随后出现了许多高效方案 [12], [13], [14], [15], [16]，但这些方法通常需要多次预传输通信来固定传输路径。这导致三个关键局限：路由器必须管理大量不可重用的对称密钥，验证仍限于通信端点之间，且不具备公开可验证性。任何通过密钥披露实现公开验证的尝试都会危及数据包安全，并需要完全更新路由密钥，造成重大安全风险。

为克服这些局限，研究人员开始探索基于签名的路径验证技术。Boldyreva等人 [17] 提出了一种专为路径验证场景设计的基于身份的序贯聚合签名方案。在此框架中，每个路由器生成一个专用签名以确认其合法参与，确保端到端路径有效性。“聚合属性”使所有路由器的单个签名合并为一个紧凑签名，防止存储和传输开销随路径长度增加。“序贯属性”严格强制执行有序签名生成和证明验证，从技术上防止未经授权的路径拓扑修改。

BGPsec将安全边界网关协议（S-BGP）[18] 的核心设计原则应用于BGP特定的路径验证。每个路由器对其处理的路径信息进行数字签名，签名内容包括当前节点的拓扑数据和前一节点的签名，形成“链式签名”。此设计确保任何路径修改都会使所有后续证明验证检查失效。此外，BGPsec引入BGPsec_PATH属性来系统记录所有路由器的签名信息，以简化管理和传输。

APVAS [19] 和APVAS+ [20] 方案通过乐观双模聚合签名进一步优化BGPsec，高效聚合路径签名并减少签名验证和存储开销。BGP协议安全扩展的持续进步 [21], [22] 推动了BGP路径安全的迭代改进。

Atomos [6] 引入了一种基于非交换同态非对称加密的路径验证方法。它利用非交换性强制路径排序，并使用同态压缩减少传输的证明数据。Wu等人 [23] 随后分析了Atomos，指出其路径验证构造中的安全弱点。SwiftParade [24] 后来声称修正了这些弱点，并扩展了设计，支持多路径的高效证明验证机制。

当前路径验证方案主要依赖静态路径配置，无法适应动态网络条件。此外，单独验证完整证明在高流量传输中可能成为性能瓶颈。PathGuard消除了预定义转发路径的需求，因为路由决策在数据包传输过程中做出，而传输后的路径验证认证实际路由。其批量验证机制可在一个操作中验证多个完整证明。此设计减少了预配置交互，提高了系统灵活性和适应性。

本文结构如下：第2节介绍预备知识，第3节详述系统和威胁模型，第4节介绍PathGuard，第5节分析安全性，第6节评估效率，第7节讨论部署与局限，第8节总结。

章节片段

双线性配对与困难性假设

设 e:G1×G2→GT 是三个不同素数阶q循环群上的非对称双线性配对 [25]。以下性质成立：
•双线性性：对所有 a,b∈Zq? 和 Q′∈G1,P′∈G2，有 e(aQ′,bP′)=e?(Q′,P′)ab。
•非退化性：若Q和P分别是G1和G2的生成元，则e(Q,P)生成GT。
•高效计算：值e(X,Y)可在多项式时间内计算。

配对定义在Type-3设置中，其中G1≠G2，且G1和G2之间不存在可有效计算的同构。

系统模型

所提出的系统模型包含四个核心实体：数据主体（DS）、数据主体管理器（DSM）、网络路由器（NR）和路由器管理员（RA）。如图1所示。以下详述其功能及实体间交互。
•数据主体（DS）：作为数据传输架构中的核心终端节点，DS承担双重角色，既是发起数据传输的“源节点”，也是接收传输数据的“目的节点”，代表

提出的PathGuard方案

本节首先描述嵌入数据包内以实现数据包源和转发路径可验证认证的数据包验证头部（PVH）结构。随后，解释PVH中包含的信息如何用于支持和实现我们的PathGuard方案。

证明验证的正确性

路径证明生成过程的正确性直观明显。下面，通过推导验证算法中的核心等式提供正式论证。设 SR=∑i=1δ(Rid?i+ciRid?i)∈G1，Y=Y0+∑i=1δ(riΠ+β(Rid?i+ciRid?i))，且 Z=(∑i=1δri)P∈G2。源节点初始化 Z0=OG2 和 Y0=(h0+r0)USKs，同时 X′=X+h0UIDs=(r0+h0)UIDs。双线性性给出

e(Y,P)e(?Π,Z)=e(Y0,P)e(SR,βP)eΠ,(∑iri)Pe?Π,(∑iri)P=e(X′,αP)e(SR,BPK)=e(X′,APK)e(SR,BPK)，

这正是验证算法检查的等式。

效率分析

本节从理论复杂度和实际性能两方面对所提议协议进行全面评估。首先分析理论计算和通信开销，与现有方案比较。随后，对关键组件进行实验测量，以验证方法的效率和实用性。

讨论

延迟验证为延迟敏感路径提供了额外的部署选择。通过将验证置于选定检查点，它减少了关键路径计算，同时保持相同的证明方程和最终完整性决策。检查点间隔可根据运营优先级进行调整：较宽间隔提供更大延迟节省，而较短间隔能更早识别无效流量并限制拒绝前使用的资源。

PathGuard补充了

结论

本文提出PathGuard，通过常量大小核心证明验证数据源和动态形成的转发路径。基于身份的聚合签名设计避免了数据包处理过程中的证书验证，路由器可根据实时网络条件选择下一跳，而无需事先路径协商。批量验证提高了验证多个完整证明的效率，可选的延迟验证则减少了关键路径工作。

CRediT作者贡献声明

Yang Zhou：写作 – 初稿，验证，项目管理，方法论，调查，形式分析，数据管理，概念化。Xiaowei Guo：验证，调查，形式分析，数据管理，概念化。Tingting Yang：写作 – 初稿，可视化，资源，调查，形式分析，数据管理。Weiqi Dai：写作 – 审阅与编辑，监督，资源，项目管理，资金获取。Deqing Zou：写作 – 审阅与

利益冲突声明

作者声明以下可能被视为潜在利益冲突的财务利益/个人关系：Weiqi Dai报告获得了国家自然科学基金的资金支持。Weiqi Dai报告获得了国家重点研发计划的资金支持。如有其他作者，他们声明没有已知的竞争财务利益或个人关系可能影响

Yang Zhou|Xiaowei Guo|Tingting Yang|Weiqi Dai|Deqing Zou