[发明专利]一种基于IPsec的可信网络连接方法

摘要

本发明属于可信网络连接(TNC)技术领域，具体而言，本发明涉及一种基于IPsec的可信网络连接方法，使得终端和服务器之间通过IKE会话，周期性更新安全联盟(SA)时，也周期性进行了双向平台身份认证、完整性验证。从而既保证了终端平台的动态可信，保证了应用服务器的访问安全；也保证了终端从网络中获取的服务可信。

主权项

一种基于IPsec的可信网络连接方法，基于一个基本架构，即：可信终端在访问可信服务器的过程中，底层通讯通路使用IPsec安全通道，IPsec安全通道所使用安全联盟的生命周期结束前，需要双方进行IKE会话，生成新的安全联盟；其特征在于，包括以下步骤：步骤1、IKE客户端向IKE服务端发起密钥协商；成功后IKE服务端通知TNC服务端有一个IKE协商请求到来，若不成功则整个步骤结束；步骤2、TNC服务端和TNC客户端进行双向平台验证，并根据验证结果进行如下操作：选择操作一： TNC客户端和TNC服务端之间的平台验证成功完成，TNC服务端通知认证中心新的IKE协商请求已经发生，需要进行完整性验证；同时TNC客户端通知完整性收集器新的IKE协商请求已经发生，需要准备完整性相关信息；完整性收集器向TNC客户端返回平台完整性消息；并继续进行下一步的操作；选择操作二：TNC客户端和TNC服务端之间的平台验证失败，则整个步骤结束；步骤3、完整性收集器和认证中心之间进行完整性消息交换、验证，该完整性消息交换、验证通过TNC客户端和TNC服务端进行；同时完整性消息将会被IPsec客户端、IPsec服务端转发，直到可信终端的完整性状态满足TNC服务端的要求；所述的完整性消息交换、验证的具体方法是：步骤3.1、TNC客户端和TNC服务端交换完整性验证相关的各种信息；这些信息将会被IPsec客户端、IPsec服务端转发，直到可信终端的完整性状态满足TNC服务端的要求；步骤3.2、TNC服务端将每个完整性收集器收集的完整性信息发送给认证中心；认证中心对完整性收集器收集的完整性信息进行分析，如果认证中心需要更多的完整性信息，它将通过IF‑IMV接口向TNC服务端发送信息；如果认证中心已经对完整性收集器收集的完整性信息做出判断，它将结果通过IF‑IMV接口发送给TNC服务端；步骤3.3、TNC客户端也要转发来自TNC服务端的信息给相应的完整性收集器，并将来自完整性收集器的信息发给TNC服务端；步骤4、当TNC服务端完成和TNC客户端的完整性验证握手之后，它发送TNC服务端推荐操作给IKE服务端；步骤5、IKE服务端将IKE协商的结果通知相关各方；具体需要通知的对象如下：通知对象一：IKE服务端将IKE协商结果通知给IKE客户端，IKE协商完成；通知对象二：IKE服务端将IKE协商结果通知给网络访问授权模块，并根据协商结果对该终端的访问控制策略进行更新；具体是：若IKE协商结果为协商成功，则对网络访问授权模块的访问控制策略进行禁止访问的更新；若IKE协商结果为协商失败，则对网络访问授权模块的访问控制策略进行允许访问的更新；通知对象三：IKE服务端将协商成功的终端与服务器之间安全联盟通告给IPsec服务端，IKE客户端将协商成功的终端与服务器之间安全联盟通告给IPsec客户端。