Page 399 - 《软件学报》2026年第4期

1840 软件学报 2026 年第 37 卷第 4 期

(4) 设计并实现所提出框架的原型系统, 在仿真环境中测试了不同节点数量下的共识效率、吞吐量与信任联
盟动态更新效率. 实验结果表明, 与基于 ECDSA 身份验证的共识机制相比, 本文提出的框架在共识计算开销上降
低了 40%, 在共识吞吐率上提升了 70%, 显著降低了共识开销.
1 相关工作

1.1 利用共识机制的网络层安全增强
当前, 许多互联网基础设施 (如资源公钥基础设施) 采用中心化架构, 依赖于单一或少数可信节点提供网络层
的核心功能与服务. 然而, 这种架构导致攻击面高度集中, 不仅容易引发单点故障, 还存在功能实施不透明、审计
困难等问题. 相比之下, 共识机制避免了对单一可信方的依赖, 能够实现分布式信任, 使系统在无中心控制的情况
下协作运行, 从而提升系统的安全性、公平性与透明性.
因此, 近年来, 许多研究工作尝试利用共识机制解决网络层中的中心化问题, 以增强网络层安全性. de la Rocha
Gómez-Arevalillo 等人 [12] 提出了完全去中心化的信任管理系统 SBTM, 该系统基于工作量证明 (proof of work,
PoW) 共识算法, 并通过类似比特币钱包的 SBTMwallet 管理互联网自治系统. Xing 等人 [13] 提出了 BGPcoin, 这是
一种基于权益证明 (proof of stake, PoS) 共识算法的互联网号码资源授权和可信管理方案. BGPcoin 通过在以太坊
上运行智能合约来执行和审计资源分配, 为边界网关协议 (border gateway protocol, BGP) 提供可信的路由源验证
功能. Paillisse 等人 [1] 提出了 IPchain, 利用区块链技术和 PoS 共识算法构建分布式信任架构, 提供灵活的信任模型.
IPchain 将 IP 地址前缀和互联网自治系统号存储在区块链上, 模仿加密货币对 IP 地址前缀进行管理, 实现了 IP 地
址前缀转移、链上 BGP 消息来源验证等功能. 类似地, He 等人 [14] 提出了 ROAchain. 在 ROAchain 中, 每个互联网
自治系统维护了一个全球一致且防篡改的路由源授权 (route origin authorization, ROA) 仓库, 用于验证路由来源的
合法性, 从而防止 BGP 前缀劫持攻击. ROAchain 采用了一种新的共识算法, 引入可信值、分片等机制, 以提升共
识效率和吞吐. Li 等人 [15] 提出了 DeBGP, 将每个 BGP 更新消息转化为相应的共识内容, 实现查询验证. 此外,
DeBGP 将 AS 分为不同的联盟, 在联盟内执行本地验证, 在联盟间执行基于区块链的验证, 以提升验证效率. Saad
等人 [16] 提出了 RouteChain, 利用共识机制的源真实性和防篡改特性对抗 BGP 劫持, 并保持 Internet 路由路径的一
致视图. RouteChain 根据自治域的地理接近程度进行分组, 构建出双层区块链模型对前缀宣告进行检测.
尽管上述研究强调了共识机制在增强网络层安全性方面的应用潜力, 但当前主流共识机制普遍面临共识开销
过大的问题, 严重制约了其在实际网络场景中的应用. 例如, SBTM 采用 PoW 共识算法, 其共识吞吐量仅为每秒 7
条交易; BGPcoin 和 IPchain 采用 PoS 共识算法, 其共识吞吐量分别仅为每秒 15 条和每秒 10 条交易; ROAchain
虽引入了新型共识算法, 其吞吐量也仅为每秒 140 条交易, 远不足以满足网络层功能的性能需求. RouteChain 采用
了 PoS、Clique 和 PoET 这 3 种共识算法, 然而吞吐量均不超过每秒 200 条交易. 其他常见的共识算法, 如 Paxos [17–19] 、
Raft [20] 和 PBFT [21] 等, 同样面临着共识开销过大的问题.
1.2 真实源地址验证
除了针对网络层协议和基础设施进行安全增强外 [22,23] , 利用真实源地址验证技术验证 IP 地址也能提升网络
层安全性并提供信任基础. 真实源地址验证是一类针对网络层源地址进行真实性验证的技术, 其主要目的是通过
验证数据包的源 IP 地址的真实性, 防止伪造源地址的网络攻击. Cao 等人 [24] 提出了 pSAV, 在控制面利用区块链
作为信任基础, 提供服务订购、审核和激励, 在数据面利用 P4 可编程交换机实现灵活高效的源地址验证. Yang 等
人 [25] 提出了 SEC, 采用哈希和查表方法将源地址映射为伪随机标签, 利用标签进行源地址验证. Qin 等人 [26] 提出
了 UniSAV, 对现有源地址验证机制进行了统一抽象, 并为其实施和开发提供了一种简化的方法. 当前较为典型的
真实源地址验证技术是由 Wu 等人 [10] 提出的源地址验证体系结构 (SAVA), 自 2008 年通过 IETF 标准化以来, 已
在互联网上得到了规模部署. SAVA 的验证体系分为 3 个层次: 接入网源地址验证、地址域内源地址验证和地址
域间源地址验证.
首先, 在接入网层次, SAVA 提供主机粒度的源地址验证能力, 以保证该接入网内的主机之间无法相互伪造地