[发明专利]一种访问控制方法及系统

摘要

一种访问控制方法及系统，该方法包括：1)访问者REQ向访问控制器AC发送访问请求消息M1；2)访问控制器AC接入鉴别请求消息M2发送给访问者REQ；3)访问者REQ构造身份鉴别请求消息M3发送给鉴别服务器AS；4)鉴别服务器AS构造身份鉴别响应消息M4发送给访问者REQ；5)访问者REQ构造接入鉴别响应消息M5发送给目的网络的访问控制器AC；6)访问控制器AC构造一访问响应消息M6发送给访问者REQ。本发明提供了一种能够满足对访问者进行访问控制的应用需求的访问控制方法及系统。

主权项

一种访问控制方法，其特征在于：所述访问控制方法包括：步骤1)，一访问者(REQ)向一目的网络的一访问控制器(AC)发送一访问请求消息(M1)；所述访问请求消息(M1)包括QREQ和所述访问者(REQ)用来向所述目的网络的一鉴别服务器(AS)证明所述访问者(REQ)身份的合法性的一第二身份鉴别信息I2；其中，QREQ表示所述访问者(REQ)的访问请求；步骤2)，所述访问控制器(AC)收到所述访问请求消息(M1)后，构造一接入鉴别请求消息(M2)发送给所述访问者(REQ)；所述接入鉴别请求消息(M2)包括所述访问控制器(AC)的用以向所述访问者(REQ)证明所述访问控制器(AC)身份的合法性的一第一数字签名(SIG1)以及所述访问控制器(AC)的用来向所述鉴别服务器(AS)证明所述访问控制器(AC)身份的合法性的一第一身份鉴别信息(I1)；步骤3)，所述访问者(REQ)收到所述接入鉴别请求消息(M2)后，构造一身份鉴别请求消息(M3)发送给所述鉴别服务器(AS)；所述身份鉴别请求消息(M3)中包括所述第一身份鉴别信息(I1)以及所述第二身份鉴别信息(I2)；步骤4)，所述鉴别服务器(AS)收到所述身份鉴别请求消息(M3)后，对所述第一身份鉴别信息(I1)以及所述第二身份鉴别信息(I2)进行鉴别，并产生对所述访问控制器(AC)的一第一可公开的鉴别结果(C1)和对所述访问者(REQ)的一第二可公开的鉴别结果(C2)，所述鉴别服务器(AS)构造一身份鉴别响应消息(M4)发送给所述访问者(REQ)；所述身份鉴别响应消息(M4)包括所述第一可公开的鉴别结果(C1)和所述第二可公开的鉴别结果(C2)；步骤5)，所述访问者(REQ)收到所述身份鉴别响应消息(M4)后，根据所述第一可公开的鉴别结果(C1)对所述第一数字签名(SIG1)进行验证，并根据验证结果选择是否构造一接入鉴别响应消息(M5)发送给所述访问控制器(AC)；如果发送，则所述接入鉴别响应消息(M5)包括所述第二可公开的鉴别结果(C2)以及所述访问者(REQ)的用以向所述访问控制器(AC)证明所述访问者(REQ)身份的合法性一第二数字签名(SIG2)；步骤6)，所述访问控制器(AC)收到所述接入鉴别响应消息(M5)后，根据所述第二可公开的鉴别结果(C2)验证所述第二数字签名(SIG2)，并根据验证结果及一授权策略构造一访问响应消息(M6)发送给所述访问者(REQ)；所述授权策略是所述访问控制器(AC)对QREQ进行授权的策略。