[发明专利]一种基于三元对等鉴别的可信网络接入控制方法

摘要

一种基于三元对等鉴别(缩写TePA，Tri－element Peer Authentication)的可信网络接入控制方法，其先对可信性收集者进行初始化，然后网络访问控制层的网络访问请求者、网络访问控制者和鉴别策略服务者之间执行三元对等鉴别协议，实现访问请求者与访问控制器的双向用户鉴别。根据访问控制器和访问请求者的用户鉴别结果对网络访问请求者和网络访问控制者的进行端口控制。之后进行平台可信性评估的操作。最后访问请求者和访问控制器依据用户鉴别结果和平台可信性评估结果对端口进行控制。本发明解决了背景技术中可扩展性差、密钥协商过程复杂、安全性相对较低的技术问题。本发明对受控端口进行多级控制，可提高整个可信网络接入控制的安全性。

主权项

1.一种基于三元对等鉴别的可信网络接入控制方法，该方法包括以下实现步骤：(1.)进行初始化：(1.1)访问请求者的TNAC客户端和访问控制器的TNAC服务端对可信性度量层的可信性收集者TMC进行初始化；(1.2)访问请求者和访问控制器的可信平台模块TPM将网络策略所需的可信性信息存入平台配置寄存器PCRs；(1.3)访问请求者的TNAC客户端和访问控制器的TNAC服务端预先准备平台可信性信息，并交给各自的可信性度量层的可信性收集者TMC；(1.4)策略管理器制定和分发网络访问控制策略，该网络访问控制策略包括访问请求者加入所连接网络的策略以及访问控制器对访问请求者的网络访问控制策略；(1.5)TNAC客户端和TNAC服务端分别依据策略管理器分发的网络访问控制策略准备访问请求者与访问控制器相互请求对方验证的PCRs表；(2.)进行用户鉴别：(2.1)网络访问请求者向网络访问控制者发起访问请求；(2.2)网络访问控制者接收到访问请求后，启动用户鉴别过程，网络访问控制层的网络访问请求者、网络访问控制者和鉴别策略服务者之间开始执行三元对等鉴别协议，实现访问请求者与访问控制器的双向用户鉴别，并生成访问请求者和访问控制器的用户鉴别结果；若双向用户鉴别成功，则访问请求者和访问控制器在用户鉴别过程中生成该二者之间的主密钥；(2.3)访问请求者和访问控制器利用用户鉴别过程中所生成的主密钥进行会话密钥协商，网络访问请求者和网络访问控制者将用户鉴别成功的信息分别发往TNAC客户端和TNAC服务端，并分别根据访问控制器和访问请求者的用户鉴别结果对网络访问请求者和网络访问控制者的进行端口控制；(3.)进行可信性评估：当访问控制器的TNAC服务端收到网络访问控制者发送的用户鉴别成功的信息时，进行平台可信性评估的操作：(3.1)可信平台评估层的TNAC客户端、TNAC服务端和评估策略服务者利用三元对等鉴别协议实现访问请求者和访问控制器的双向平台可信性评估；(3.2)在平台可信性评估过程中，平台策略服务者生成访问请求者和访问控制器的平台可信性评估结果，并发送至TNAC客户端和TNAC服务端；(3.3)在平台可信性评估的过程中，TNAC客户端和TNAC服务端采用步骤(2.3)中的会话密钥传输交互的信息；(3.4)在平台可信性评估的过程中，访问请求者与策略管理器之间采用保密传输技术来传输可识别访问请求者平台配置的信息，访问控制器与策略管理器之间采用保密传输技术来传输可识别访问控制器平台配置的信息；(4.)进行访问控制：TNAC客户端和TNAC服务端依据访问请求者和访问控制器的平台可信性评估结果生成相应的推荐分别发送给网络访问请求者和网络访问控制者；网络访问请求者和网络访问控制者分别依据各自收到的推荐进行端口控制，实现访问请求者和访问控制器的相互访问控制；访问请求者和访问控制器的端口控制分别包括非受控端口和受控端口的控制；访问请求者和访问控制器依据用户鉴别结果和平台可信性评估结果对端口进行控制。