[发明专利]网络接入证明双向度量的方法和系统

摘要

本发明提供一种网络接入证明双向度量的方法和系统，在访问终端对内部网络发起网络访问请求时，内部网络度量服务器不仅度量访问终端的可信平台可信属性，确定请求端的是否可信，而且度量内部网络各功能节点的可信状态。当访问终端通过了可信平台的可信度量，允许访问终端接入到内部网络时，发送内部网络各功能节点的可信状态给访问终端，实现了双向可信证明，避免了单独度量外部访问终端的可信状态而忽略了内部网络节点的度量，保证了内外部网络的双向可信。

主权项

一种网络接入证明双向度量的方法，其特征在于，包括如下步骤：根据访问终端的访问请求，发起身份认证请求，认证服务器接收身份认证信息，并对请求用户进行身份认证；若身份认证通过，认证服务器向访问终端和内部网络的资源服务器发出度量命令；访问终端接收到度量命令后，收集终端设备的可信度量信息，提交至认证服务器；资源服务器收到度量命令后，收集各内部节点的可信状态信息，提交至认证服务器；其中，所述可信度量信息包括：可信链的长度、BIOS自检摘要值、内核版本信息摘要值、系统版本摘要值、防火墙软件的签名信息、杀毒软件签名及杀毒软件兵符库信息、和客户端版本摘要值信息；所述可信状态信息包括：内部节点的硬件版本信息和内部节点迁移信息；认证服务器接收所述可信度量信息和可信状态信息，并存储所述可信状态信息；认证服务器中的完整性度量认证器验证所述可信度量信息和可信状态信息，判断访问终端是否符合可信策略要求；其中，验证所述可信度量信息和可信状态信息的方法包括：验证所述可信度量信息的各摘要值是否和正确的可信摘要值相一致；验证所述可信状态信息的配置和操作是否符合可信要求；根据判断的结果，若访问终端符合可信策略要求，则认证服务器发送接入命令到接入执行单元控制其接入访问终端，并将存储的可信状态信息转发至访问终端；若不符合可信策略要求，则认证服务器发送拒绝接入命令到接入执行单元控制其拒绝接入访问终端，并将存储的可信状态信息丢弃。