[发明专利]一种实现可信网络管理的方法

摘要

一种实现可信网络管理的方法，其可信管理代理驻留于被管理主机中，可信管理系统驻留于管理主机中。可信管理代理和可信管理系统都是基于可信计算平台、经过可信管理代理和可信管理系统的可信第三方鉴定后签名的软件模块。被管理主机和管理主机的可信平台模块可对可信管理代理和可信管理系统进行完整性度量、存储和报告，因此被管理主机和管理主机可确保可信管理代理和可信管理系统是可信的然后可信管理代理和可信管理系统执行网络管理职能，实现可信网络管理。本发明解决了背景技术中代理、代理驻留主机及管理者系统存在相互攻击而无法保证网络管理安全的技术问题，故可实现可信网络管理。

主权项

1.一种实现可信网络管理的方法，该方法包括以下实现步骤：(i)安装并配置可信管理代理和可信管理系统：安装并配置驻留于被管理主机中的可信管理代理，安装并配置驻留于管理主机中的可信管理系统；(ii)验证可信管理代理和可信管理系统在本地的可信性：被管理主机利用可信平台模块TPM对可信管理代理进行完整性度量、存储和报告，以验证可信管理代理在被管理主机上的可信性；管理主机的网络管理员利用可信平台模块TPM对可信管理系统进行完整性度量、存储和报告，以验证可信管理系统在管理主机上的可信性；(iii)被管理主机和管理主机分别采用可信网络连接方法连接至可信网络；(iv)可信管理代理与可信管理系统进行双向鉴别及密钥协商：被管理主机连接至可信网络时，被管理主机上的可信管理代理自动发出探询相应可信管理系统的信息；可信管理系统收到可信管理代理的探询信息后，启动与该可信管理代理之间的鉴别过程；可信管理系统与可信管理代理进行双向鉴别及密钥协商，得到可信管理代理与可信管理系统之间的会话密钥；(v)被管理主机与管理主机进行双向用户鉴别及密钥协商：可信管理系统收到可信管理代理的探询信息后，管理主机上的可信管理系统通知管理主机进行双向用户鉴别及密钥协商，管理主机与被管理主机进行双向用户鉴别及密钥协商后，得到被管理主机与管理主机之间的会话密钥；(vi)验证可信管理代理和可信管理系统的远程可信性：管理主机的网络管理员利用被管理主机上的可信平台模块TPM对可信管理代理进行完整性度量、存储和报告，以验证可信管理代理在被管理主机上的可信性；被管理主机利用管理主机上的可信平台模块TPM对可信管理系统进行完整性度量、存储和报告，以验证可信管理系统在管理主机上的可信性；(vii)执行可信网络管理：当被管理主机经验证确认运行在管理主机上的可信管理系统以及运行在被管理主机上的可信管理代理均是可信的，则被管理主机许可被管理主机与管理主机进行网络管理通信；当管理主机的网络管理员经验证确认运行在管理主机上的可信管理系统以及运行在被管理主机上的可信管理代理均是可信的，则管理主机的网络管理员开始执行网络管理。