[发明专利]一种基于可信认证网关实现计算机终端安全准入的方法

说明书

技术领域

本发明涉及一种基于可信认证网关实现计算机终端安全准入的方法，属于计算机安全技术领域。

背景技术

计算机网络的发展，TCP/IP协议被Internet广泛使用，而使用TCP/IP协议的两通信平台之间采用MAC和IP标识终端不是可信的，因为MAC和IP是可以被随意更改的，即计算机终端在网络中身份可被伪造，因此，通信实体之间在通信时无法验证对方的真实身份，也就是不能验证对方是否可信。

发明内容

本发明的目的在于：克服现有技术的缺点，提供一种基于可信认证网关实现计算机终端安全准入的方法，实现计算机终端在网络上身份的唯一性、不可伪造性、可鉴别性。

本发明的技术方案是这样实现的：所述的一种基于可信认证网关实现计算机终端安全准入的方法，它包括以下程序：

1)、计算机终端向可信认证网关发出接入请求；

2)、计算机终端向可信认证网关注册计算机终端的基本身份信息：该基本身份信息由计算机终端的硬件特征信息和软件特征信息组成；

3)、可信认证网关形成该计算机终端的活性标签：是根据计算机终端提交的基本身份信息，利用可信认证网关的私钥对计算机终端的基本身份信息、网关时间戳信息和计算机终端的公钥信息进行签名处理，形成该计算机终端的活性标签；

4)、可信认证网关验证活性标签的身份和权限；

5)、可信认证网关判断是否合法：它是判断活性标签的身份和权限是否合法；

5.1)、当活性标签的身份和权限非法，则可信认证网关阻止计算机终端接入；

5.2)、当活性标签的身份和权限合法，则可信认证网关准许计算机终端接入。

在上述技术方案基础上具有附加技术特征的、更进一步技术方案有：

所述的计算机终端的硬件特征信息至少包括有下述两种：机器标识、网卡硬件编号、硬盘序列号及硬盘数据特征、光驱类型及序列号、USB信息、声卡信息、显卡信息；所述的计算机终端的软件特征信息包括计算机操作系统信息及所安装的软件信息。

所述的计算机终端的基本身份信息还包含由可信认证网关或第三方CA中心根据该计算机的硬件特征信息和软件特征信息颁发的一组非对称密钥信息和标准的X509数字证书。

所述的一组非对称密钥信息，包括计算机私钥信息和公钥信息，其中私钥信息作为数字签名使用，不对外公开；公钥信息作为验证身份信息使用，对外公开。

所述的标准的X509数字证书，包括计算机身份信息和计算机公钥信息，该标准的X509数字证书对外公开。

所述的对计算机终端的公钥信息进行签名处理是：该计算机终端与网络中的其他计算机或可信认证网关通信时，对本计算机终端发送出去的数据包用本机的私钥进行签名处理；所述的对网关时间戳信息进行签名处理是：可信认证网关将网关的时间信息、计算机终端身份信息进行签名处理，保证计算机终端在网络中身份的不可伪造性。

所述的计算机终端向可信认证网关发出接入请求，是计算机终端申请接入和访问网络同时向网络边界的可信认证网关提交标识自身身份的计算机终端活性标签。

本发明的效果在于：1、实现了计算机终端在网络上身份的唯一性、可鉴别性；2、利用安全协议的技术方案解决了通信双方身份认证的问题，改变了传统的基于IP与MAC标识一台终端的方法(IP与MAC可被随意更改)，从而避免了终端标识被非法篡改的可能，具有不可伪造性。

附图说明

图1为本发明方法的程序示意图。

具体实施方式

结合附图和实施例对本发明作进一步说明如下：