[发明专利]一种基于三元对等鉴别的可信网络连接实现方法

说明书

技术领域

本发明涉及一种基于三元对等鉴别的可信网络连接实现方法。

背景技术

随着信息化的发展，病毒、蠕虫等恶意软件的问题异常突出。目前已经出现了超过三万五千种的恶意软件，每年都有超过四千万的计算机被感染。要遏制住这类攻击，不仅需要解决安全的传输和数据输入时的检查，还要从源头即从每一台连接到网络的终端开始防御。而传统的安全防御技术已经无法防御种类繁多的恶意攻击。

国际可信计算组织TCG针对这个问题，专门制定了一个基于可信计算技术的网络连接规范——可信网络连接(Trusted Network Connect，TNC)，简记为TCG-TNC，其包括了开放的终端完整性架构和一套确保安全互操作的标准。这套标准可以在用户需要时保护一个网络，且由用户自定义保护到什么程度。TCG-TNC本质上就是要从终端的完整性开始建立连接。首先，要创建一套在可信网络内部系统运行状况的策略。只有遵守网络设定策略的终端才能访问网络，网络将隔离和定位那些不遵守策略的设备。由于使用了可信平台模块，所以还可以阻挡root kits的攻击。root kits是一种攻击脚本、经修改的系统程序，或者成套攻击脚本和工具，用于在一个目标系统中非法获取系统的最高控制权限。

由于TCG-TNC架构中访问请求者不评估策略执行点的完整性，从而TCG-TNC架构存在策略执行点不可信的问题，所以研究者们提出了一种基于三元对等鉴别(Tri-element Peer Authentication，TePA)的可信网络连接架构来解决这一问题，如图1所示。

但是，由于基于三元对等鉴别的可信网络连接架构与TCG-TNC架构完全不一样，所以TCG-TNC架构的可信网络连接实现方法不能适用于基于三元对等鉴别的可信网络连接架构。因此，我们需要建立一种适合基于三元对等鉴别的可信网络连接架构的可信网络连接实现方法。

发明内容

本发明为解决背景技术中存在的上述技术问题，而提供一种基于三元对等鉴别的可信网络连接实现方法。

本发明的技术解决方案是：本发明为一种基于三元对等鉴别的可信网络连接实现方法，其特征在于：该方法包括以下步骤：

1)配置与初始化；

1.1)网络用户为访问请求者配置对访问控制器的安全策略，包括访问请求者对访问控制器的平台评估策略，网络管理员为访问控制器配置对访问请求者的安全策略，包括访问控制器对访问请求者的平台评估策略；

1.2)访问请求者和访问控制器加载和初始化各自的完整性收集者，策略管理器加载和初始化完整性校验者；

2)请求网络连接：访问请求者向访问控制器发送网络连接请求，访问控制器接收该网络连接请求；

3)用户身份鉴别；

3.1)若访问请求者或访问控制器不要求进行用户身份鉴别过程，则跳至步骤3.3)；

3.2)若访问请求者或访问控制器要求进行用户身份鉴别过程，则：当访问请求者和访问控制器没有执行过用户身份鉴别过程时，访问请求者和访问控制器执行基于策略管理器为可信方的三元对等鉴别协议，实现访问请求者和访问控制器之间的用户身份鉴别及密钥协商；当访问请求者和访问控制器已执行过用户身份鉴别过程时，访问请求者和访问控制器可以基于已执行过的用户身份鉴别过程实现访问请求者和访问控制器之间的用户身份鉴别及密钥协商，或重新执行基于策略管理器为可信方的三元对等鉴别协议实现访问请求者和访问控制器之间的用户身份鉴别及密钥协商；

3.3)若访问请求者或访问控制器要求立即做出访问决策，则：当访问请求者或访问控制器不要求进行用户身份鉴别过程时，访问请求者和访问控制器依据本地安全策略做出访问决策，并执行访问控制；当访问请求者或访问控制器要求进行用户身份鉴别过程时，访问请求者和访问控制器依据对对方的用户身份鉴别结果和本地安全策略做出访问决策，并执行访问控制；否则，访问请求者或访问控制器要求执行平台鉴别过程；

4)平台鉴别。

上述步骤4)的具体步骤如下：

4.1)若访问请求者或访问控制器要求在线向策略管理器申请平台身份证书，则访问请求者或访问控制器在线向策略管理器申请平台身份证书；

4.2)若网络管理员还没有为访问控制器配置对访问请求者的平台评估策略，则访问控制器向策略管理器请求对访问请求者的平台评估策略，然后策略管理器发送访问控制器对访问请求者的平台评估策略给访问控制器，访问控制器收到访问控制器对访问请求者的平台评估策略后进行配置；