[发明专利]基于零信任安全的访问控制方法、设备及存储介质

说明书

本发明公开了一种基于零信任安全的访问控制方法、设备及存储介质，该方法包括：终端设备拦截业务访问请求，获取业务访问请求中的待验证身份信息，向认证服务器发起身份认证请求，接收认证服务器在确定待验证身份信息为合法信息时发送的随机挑战信息；通过不可被导出终端设备的私钥对随机挑战信息进行签名，得到待验证签名信息；将待验证签名信息发送给认证服务器，以使认证服务器对待验证签名信息进行验签处理，得到验签结果；若验签结果为验签通过结果，则将业务访问请求发送至认证服务器，以使认证服务器将业务访问请求转发至业务服务器。采用该方法，可以提高零信任系统在身份信息方面的安全性。

技术领域

本申请涉及云技术领域，尤其涉及一种基于零信任安全的访问控制方法、设备及存储介质。

背景技术

近年来，随着云原生、物联网等技术的普及，企业内部的网络环境越来越复杂、网络边界越来越模糊，传统的安全产品遇到一些挑战，零信任这一概念逐渐火热起来。零信任安全的核心理念是“从不信任，持续校验”(Never Trust,Always Verify)，通过用户可信、设备可信、网络链路可信、资源权限可信这几个方面建立信任链条，并进行持续、动态的检验，以确保信任链的安全可信。

现有的零信任解决方案，通常是通过初始的身份认证(用户名密码、动态口令，多因子认证等)，换取用户身份标识符(通常表述为身份标识号、令牌、票据等名称)，并存储在终端设备中。当再次访问目标服务时，客户端在发送的访问请求中附带前面获得的用户身份标识符，服务端通过校验身份标识符来验证用户身份。但是，由于零信任在网络拓扑上消除了网络边界，原本需要在企业内网(物理网络边界)访问的资源，现在从任意位置都可以发起访问，在给合法用户提供便利的同时，也给攻击者提供了便利。一旦终端设备被攻破，用户身份标识符被泄露，攻击者就可以通过合法用户的用户身份标识符访问受零信任系统保护的资源，因此，零信任系统在身份信息方面的安全性仍需提高。

发明内容

本申请实施例提供一种基于零信任安全的访问控制方法、设备及存储介质，可以提高零信任系统在身份信息方面的安全性。

本申请实施例一方面提供了一种基于零信任安全的访问控制方法，包括：

终端设备拦截由应用所发起的业务访问请求，业务访问请求包含目标用户的待验证身份信息；

获取业务访问请求中的待验证身份信息，向认证服务器发起携带待验证身份信息的身份认证请求，以使认证服务器在确定待验证身份信息为合法信息时，向终端设备发送随机挑战信息；

通过私钥对随机挑战信息进行签名，得到待验证签名信息；私钥无法被导出终端设备；

将待验证签名信息发送给认证服务器，以使认证服务器基于随机挑战信息和与待验证身份信息绑定的公钥证书对待验证签名信息进行验签处理，得到验签结果；

若验签结果为验签通过结果，则接收认证服务器下发的验签通过消息，基于验签通过消息将业务访问请求发送至认证服务器，以使认证服务器将业务访问请求转发至应用所访问的业务服务器。

本申请实施例一方面提供了一种基于零信任安全的访问控制方法，包括：

认证服务器响应终端设备发起的携带目标用户的待验证身份信息的身份认证请求，对待验证身份信息进行合法性验证；

当确定待验证身份信息为合法信息时，向终端设备发送随机挑战信息，以使终端设备通过私钥对随机挑战信息进行签名，得到待验证签名信息；私钥无法被导出终端设备；

接收终端设备通过安全认证组件发送的待验证签名信息，基于随机挑战信息和与待验证身份信息绑定的公钥证书对待验证签名信息进行验签处理，得到验签结果；

若验签结果为验签通过结果，则向终端设备下发验签通过消息，以使终端设备基于验签通过消息发送业务访问请求至认证服务器；