[发明专利]一种适合可信连接架构的平台鉴别策略管理方法及系统

说明书

技术领域

本发明属网络安全技术领域，尤其涉及一种适合可信连接架构的平台鉴别策略管理方法及系统。

背景技术

随着信息化的发展，病毒、蠕虫等恶意软件的问题异常突出。目前已经出现了超过三万五千种的恶意软件，每年都有超过四千万的计算机被感染。要遏制住这类攻击，不仅通过解决安全的传输和数据输入时的检查，还要从源头即从每一台连接到网络的终端开始防御。而传统的安全防御技术已经无法防御种类繁多的恶意攻击。

TCG(Trusted Computing Group，国际可信计算组织)针对上述问题，专门制定了一个基于可信计算技术的网络连接规范——可信网络连接(Trusted NetworkConnect，TNC)，简记为TCG-TNC，其包括了开放的终端完整性架构和—套确保安全互操作的标准。TCG-TNC架构参见图1。

由于TCG-TNC架构中的策略执行点处于网络边缘，且访问请求者不对策略执行点进行平台鉴别，所以该架构存在策略执行点不可信赖的问题。为了解决这一问题，提出了一种基于三元对等鉴别(Tri-element Peer Authentication，TePA)的TNC架构，简称为可信连接架构(Trusted Connect Architecture，TCA)。TCA参见图2。

在图2所述的TCA中，平台鉴别实现方法为：完整性收集者(IntegrityMeasurement Collector，IMC)、完整性校验者(Integrity Measurement Verifier，IMV)、TNC客户端、TNC接入点和评估策略服务者执行一次或多次平台鉴别过程，其中除首次平台鉴别过程外的平台鉴别过程为平台修补后执行的平台鉴别过程，每一次平台鉴别过程中包含一轮或多轮平台鉴别协议。平台鉴别策略管理贯穿于TCA的平台鉴别实现，且是TCA的平台鉴别实现的一个重要组件部分。但是，现有的TCA的平台鉴别实现方法中并没有给出相应的平台鉴别策略管理方法及系统。

发明内容

为了解决背景技术中存在的上述技术问题，本发明提供了一种适合可信连接架构的平台鉴别策略管理方法及系统。

一种适合可信连接架构的平台鉴别策略管理方法，包括以下步骤：

1)配置平台鉴别策略，其具体实现方式是：

1.1)在可信网络连接TNC客户端上配置访问请求者的平台鉴别策略，包含访问请求者的平台鉴别管理策略、访问请求者的平台配置保护策略、对访问控制器的平台评估策略和访问请求者的平台鉴别行为推荐生成策略；

1.2)在可信网络连接TNC接入点或者评估策略服务者上配置访问控制器的平台鉴别策略，包括访问控制器的平台鉴别管理策略、访问控制器的平台配置保护策略、对访问请求者的平台评估策略和访问控制器的平台鉴别行为推荐生成策略；

2)若步骤1.2)中的访问控制器的平台鉴别策略配置在可信网络连接TNC接入点上，则可信网络连接TNC接入点执行步骤3)；若步骤1.2)中的访问控制器的平台鉴别策略配置在评估策略服务者上，则可信网络连接TNC接入点向评估策略服务者请求访问控制器的平台鉴别策略，然后评估策略服务者将配置在评估策略服务者上的访问控制器的平台鉴别策略下发给可信网络连接TNC接入点；

3)可信网络连接TNC接入点依据步骤1)中TNC接入点配置的或步骤2)中评估策略服务者下发的访问控制器的平台鉴别管理策略和对访问请求者的平台评估策略发起一轮平台鉴别协议，并将可信网络连接TNC接入点所生成的信息发送给TNC客户端；

4)可信网络连接TNC客户端收到步骤3)中可信网络连接TNC接入点所发送的信息后向可信网络连接TNC接入点发送信息；

5)可信网络连接TNC接入点收到步骤4)可信网络连接TNC客户端所发送的信息后向评估策略服务者发送信息；

6)评估策略服务者收到步骤5)可信网络连接TNC接入点所发送的信息后，向可信网络连接TNC接入点发送评估策略服务者所生成的信息；

7)可信网络连接TNC接入点收到步骤6)中评估策略服务者所发送的信息后，向可信网络连接TNC客户端发送信息；

8)可信网络连接TNC客户端收到步骤7)中可信网络连接TNC接入点发送的信息后，向可信网络连接TNC接入点发送信息；

9)可信网络连接TNC接入点收到步骤8)中可信网络连接TNC客户端发送的信息后，将访问请求者的平台鉴别行为推荐发送可信网络连接TNC接入点上端相应的各个完整性收集者。

上述步骤3)的具体实现方式是：