[发明专利]网络接入证明双向度量的方法和系统

权利要求书

1.一种网络接入证明双向度量的方法，其特征在于，包括如下步骤：

根据访问终端的访问请求，发起身份认证请求，认证服务器接收身份认证信息，并对请求用户进行身份认证；若身份认证通过，认证服务器向访问终端和内部网络的资源服务器发出度量命令；

访问终端接收到度量命令后，收集终端设备的可信度量信息，提交至认证服务器；资源服务器收到度量命令后，收集各内部节点的可信状态信息，提交至认证服务器；其中，所述可信度量信息包括：可信链的长度、BIOS自检摘要值、内核版本信息摘要值、系统版本摘要值、防火墙软件的签名信息、杀毒软件签名及杀毒软件兵符库信息、和客户端版本摘要值信息；所述可信状态信息包括：内部节点的硬件版本信息和内部节点迁移信息；

认证服务器接收所述可信度量信息和可信状态信息，并存储所述可信状态信息；

认证服务器中的完整性度量认证器验证所述可信度量信息和可信状态信息，判断访问终端是否符合可信策略要求；其中，验证所述可信度量信息和可信状态信息的方法包括：验证所述可信度量信息的各摘要值是否和正确的可信摘要值相一致；验证所述可信状态信息的配置和操作是否符合可信要求；

根据判断的结果，若访问终端符合可信策略要求，则认证服务器发送接入命令到接入执行单元控制其接入访问终端，并将存储的可信状态信息转发至访问终端；若不符合可信策略要求，则认证服务器发送拒绝接入命令到接入执行单元控制其拒绝接入访问终端，并将存储的可信状态信息丢弃。

2.根据权利要求1所述的网络接入证明双向度量的方法，其特征在于，访问终端收集终端设备的可信度量信息的方法包括：利用访问终端的完整性度量收集器收集终端设备的可信度量信息；

资源服务器收集各内部节点的可信状态信息的方法包括：利用内部网络的完整性度量收集器收集内部网络节点的可信状态信息。

3.根据权利要求1或2所述的网络接入证明双向度量的方法，其特征在于，还包括：

当拒绝接入访问终端的访问请求时，发送拒绝访问信息的提示信息到访问终端；

当身份认证不通过时，认证服务器发送提示信息到访问终端；

当访问终端不符合可信策略要求时，认证服务器发送提示信息到请求的访问终端。

4.一种网络接入证明双向度量的系统，其特征在于，包括：接入请求模块、接入执行模块、接入认证模块以及内部网络模块；

接入请求模块，用于发起网络访问请求，接收接入执行模块和接入认证模块的消息信息，收集可信属性度量信息，传输和接收身份认证信息和访问终端的度量信息；

接入执行模块，用于执行访问终端的请求接入和执行操作，并接收和转发接入请求模块和接入认证模块的消息；

接入认证模块，用于根据可信策略要求对访问终端的可信度量信息和内部网络节点的可信状态信息进行验证及产生策略决定，接入和发送与接入请求模块的信息；验证所述可信度量信息和可信状态信息的方法包括：验证所述可信度量信息的各摘要值是否和正确的可信摘要值相一致；验证所述可信状态信息的配置和操作是否符合可信要求；其中，所述可信度量信息包括：可信链的长度、BIOS自检摘要值、内核版本信息摘要值、系统版本摘要值、防火墙软件的签名信息、杀毒软件签名及杀毒软件兵符库信息、和客户端版本摘要值信息；所述可信状态信息包括：内部节点的硬件版本信息和内部节点迁移信息；

内部网络模块，用于执行对内部网络各个资源节点的管理，收集内部网络节点的可信状态信息。

5.根据权利要求4所述的网络接入证明双向度量的系统，其特征在于，接入请求模块包括：网络请求单元、客户端单元和IMC单元；

网络请求单元用于发起网络访问请求，并接收接入执行模块和接入认证模块的消息信息；

客户端单元用于传输和接收身份认证信息和访问终端的度量信息；

IMC单元用于收集可信度量信息，并转发给客户端单元进行传输。

6.根据权利要求4所述的网络接入证明双向度量的系统，其特征在于，接入认证模块包括：策略决定单元、服务器单元和IMV单元；

策略决定单元用于存储可信策略要求的信息，比较可信度量信息是否符合可信策略要求，存储内部网络节点的可信状态信息，并产生接入或拒绝的策略决定；

服务器单元用于接入和发送与接入请求模块的信息，并转发请求模块与接入认证模块之间的交互信息；

IMV单元用于认证访问终端的可信度量信息和内部网络节点的可信状态信息。