[发明专利]网络接入证明双向度量的方法和系统

说明书

技术领域

本发明涉及系统软、硬件信息度量和认证协议领域，特别是涉及一种双向设备可信属性信息获取和认证的方法和系统。

背景技术

随着信息化和网络化的快速发展，人们对于网络资源的接入和访问越来越频繁，并因此产生了很多安全问题，如病毒和黑客入侵直接导致了信息泄露，造成了巨大的经济损失。可信计算组织(Trusted Computing Group，TCG)在网络接入控制方面提出了可信网络连接(Trusted Network Connection，TNC)，此外，微软和思科都提出了各自关于网络接入控制的系统架构。

现有的网络接入控制一般是基于身份认证的，系统通过终端设备的用户输入用户名、密码，认证用户身份的合法性，但是无法保证终端设备的安全性，如可能存在合法的用户利用被感染或者被入侵的终端进行网络接入行为，当用户接入到网络可能导致整个网络信息的不可信。

可信网络连接提供了终端设备度量的概念，在认证用户身份的前提下，也对终端设备的安全可信进行验证，但是，可信网络连接是默认内部网络可信的。传统的证书认证，也只能证明网络整体的可信，也无法证明网络各节点的可信；现实中，存在着未确定安全可信的网络，或者安全可信网络下的某一个节点已经被感染或者攻击，无法保证终端用户的可信

发明内容

基于此，有必要针对内部网络各节点可信状态无法确定的问题，提供一种网络接入证明双向度量的方法和系统。

一种网络接入证明双向度量的方法，包括如下步骤：

根据访问终端的访问请求，发起身份认证请求，认证服务器接收身份认证信息，并对请求用户进行身份认证；若身份认证通过，认证服务器向访问终端和内部网络的资源服务器发出度量命令；

访问终端接收到度量命令后，收集终端设备的可信度量信息，提交至认证服务器；资源服务器收到度量命令后，收集各内部节点的可信状态信息，提交至认证服务器；

认证服务器接收所述可信度量信息和可信状态信息，并存储所述可信状态信息；

认证服务器中的完整性度量认证器验证所述可信度量信息和可信状态信息，判断访问终端是否符合可信策略要求；

根据判断的结果，若访问终端符合可信策略要求，则认证服务器发送接入命令到接入执行单元控制其接入访问终端，并将存储的可信状态信息转发至访问终端；若不符合可信策略要求，则认证服务器发送拒绝接入命令到接入执行单元控制其拒绝接入访问终端，并将存储的可信状态信息丢弃。

一种网络接入证明的双向度量系统，包括：接入请求模块、接入执行模块、接入认证模块以及内部网络模块；

接入请求模块，用于发起网络访问请求，接收接入执行模块和接入认证模块的消息信息，收集可信属性度量信息，传输和接收身份认证信息和访问终端的度量信息；

接入执行模块，用于执行访问终端的请求接入和执行操作，并接收和转发接入请求模块和接入认证模块的消息；

接入认证模块，用于根据可信策略要求对访问终端的可信度量信息和内部网络节点的可信状态信息进行验证及产生策略决定，接入和发送与接入请求模块的信息；

内部网络模块，用于执行对内部网络各个资源节点的管理，收集内部网络节点的可信状态信息。

上述网络接入证明双向度量的方法和系统，通过对请求接入网络的终端进行身份认证和可信属性度量，对内部网络节点进行可信状态信息度量，使得内部网络确定终端用户和设备的安全可信，同时，终端在证明用户和设备可信的前提下，获取内部节点的可信状态信息，用户确定了网络的可信，达到双向信任。

附图说明

图1为一个实施例的网络接入证明双向度量的方法流程图；

图2为基于一种网络环境网络下的接入证明双向度量的方法的原理框图；

图3为一个实施例的网络接入证明双向度量的系统结构示意图；

图4为内部网络的资源服务器的结构示意图。

具体实施方式

以下参照图表对本发明的网络接入证明双向度量的方法和系统的具体实施方式进行详细阐述说明。

本发明的网络接入证明双向度量的方法包括以下步骤：

步骤(1)，根据访问终端的访问请求，发起身份认证请求，认证服务器接收身份认证信息，并对请求用户进行身份认证；若身份认证通过，认证服务器向访问终端和内部网络的资源服务器发出度量命令；