[发明专利]一种基于三元对等鉴别的可信网络连接实现方法

权利要求书

1.一种基于三元对等鉴别的可信网络连接实现方法，其特征在于：该方法包括以下步骤：

1)配置与初始化；

1.1)网络用户为访问请求者配置对访问控制器的安全策略，包括访问请求者对访问控制器的平台评估策略，网络管理员为访问控制器配置对访问请求者的安全策略，包括访问控制器对访问请求者的平台评估策略；

1.2)访问请求者和访问控制器加载和初始化各自的完整性收集者，策略管理器加载和初始化完整性校验者；

2)请求网络连接：访问请求者向访问控制器发送网络连接请求，访问控制器接收该网络连接请求；

3)用户身份鉴别；

3.1)若访问请求者或访问控制器不要求进行用户身份鉴别过程，则跳至步骤3.3)；

3.2)若访问请求者或访问控制器要求进行用户身份鉴别过程，则：当访问请求者和访问控制器没有执行过用户身份鉴别过程时，访问请求者和访问控制器执行基于策略管理器为可信方的三元对等鉴别协议，实现访问请求者和访问控制器之间的用户身份鉴别及密钥协商；当访问请求者和访问控制器已执行过用户身份鉴别过程时，访问请求者和访问控制器可以基于已执行过的用户身份鉴别过程实现访问请求者和访问控制器之间的用户身份鉴别及密钥协商，或重新执行基于策略管理器为可信方的三元对等鉴别协议实现访问请求者和访问控制器之间的用户身份鉴别及密钥协商；

3.3)若访问请求者或访问控制器不要求立即做出访问决策，则执行平台鉴别；否则：当访问请求者或访问控制器不要求进行用户身份鉴别过程时，访问请求者和访问控制器依据本地安全策略做出访问决策，并执行访问控制；当访问请求者或访问控制器要求进行用户身份鉴别过程时，访问请求者和访问控制器依据对对方的用户身份鉴别结果和本地安全策略做出访问决策，并执行访问 控制。

2.根据权利要求1所述的基于三元对等鉴别的可信网络连接实现方法，其特征在于：所述步骤3.3)中的平台鉴别的具体步骤如下：

a.1)若访问请求者或访问控制器要求在线向策略管理器申请平台身份证书，则访问请求者或访问控制器在线向策略管理器申请平台身份证书；

a.2)若网络管理员还没有为访问控制器配置对访问请求者的平台评估策略，则访问控制器向策略管理器请求对访问请求者的平台评估策略，然后策略管理器发送访问控制器对访问请求者的平台评估策略给访问控制器，访问控制器收到访问控制器对访问请求者的平台评估策略后进行配置；

a.3)访问请求者和访问控制器执行基于策略管理器为可信方的三元对等鉴别协议，实现访问请求者和访问控制器之间的平台鉴别，包括平台身份验证和平台完整性评估，其中策略管理器负责访问请求者和访问控制器的平台身份证书验证、平台完整性的完整性校验者级评估；

a.4)步骤a.3)执行多轮，直至访问请求者和访问控制器都已按照配置的平台评估策略完成对对方的平台完整性评估，访问请求者依据对访问控制器的平台评估策略和对访问控制器的平台完整性的完整性校验者级评估结果生成对访问控制器的平台完整性的平台级评估结果，然后访问请求者依据对访问控制器的平台评估策略、访问控制器的平台身份证书验证结果和对访问控制器的平台完整性的平台级评估结果生成对访问控制器的平台鉴别结果；访问控制器依据对访问请求者的平台评估策略和对访问请求者的平台完整性的完整性校验者级评估结果生成对访问请求者的平台完整性的平台级评估结果，然后访问控制器依据对访问请求者的平台评估策略、访问请求者的平台身份证书验证结果和对访问请求者的平台完整性的平台级评估结果生成对访问请求者的平台鉴别结果；

a.5)当访问请求者或访问控制器不要求进行用户身份鉴别过程时，访问请求者和访问控制器依据本地安全策略和对对方的平台鉴别结果做出访问决策，并执行访问控制；当访问请求者或访问控制器要求进行用户身份鉴别过程时， 访问请求者和访问控制器依据对对方的用户身份鉴别结果、对对方的平台鉴别结果和本地安全策略做出访问决策，并执行访问控制。