一種可信網(wǎng)絡(luò)接入與訪問控制系統(tǒng)及方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及通信控制領(lǐng)域，具體涉及一種可信網(wǎng)絡(luò)接入與訪問控制系統(tǒng)及方法。
【背景技術(shù)】
[0002]隨著信息技術(shù)的發(fā)展，越來越多的重要信息存儲于企業(yè)內(nèi)部服務(wù)器中，來自互聯(lián)網(wǎng)的常規(guī)攻擊可通過防火墻、UTM等產(chǎn)品進行保護，方案也比較成熟，而越來越多的信息泄密行為發(fā)生在網(wǎng)絡(luò)內(nèi)部，網(wǎng)絡(luò)管理混亂、隨意接入、終端主機感染病毒等都是影響網(wǎng)絡(luò)安全的重要因素，因此加強對網(wǎng)絡(luò)的管理、細化網(wǎng)絡(luò)訪問權(quán)限、控制網(wǎng)絡(luò)接入成為必不可少的網(wǎng)絡(luò)安全措施。
[0003]TNCiFHH是一個開源實現(xiàn)的可信網(wǎng)絡(luò)連接架構(gòu)，采用基于802.1x網(wǎng)絡(luò)接入控制技術(shù)，使用FreeRedius作為接入認證服務(wù)器。用戶通過交換機將網(wǎng)絡(luò)劃分不同的VLAN，不同VLAN之間無法相互訪問，從而實現(xiàn)網(wǎng)絡(luò)隔離；結(jié)合FreeRedius認證服務(wù)器實現(xiàn)網(wǎng)絡(luò)接入認證，只有通過FreeRedius服務(wù)器認證的終端才允許接入網(wǎng)絡(luò)，從而實現(xiàn)網(wǎng)絡(luò)接入控制。該方案從物理端口上劃分網(wǎng)絡(luò)區(qū)域，會占用大量的物理資源，對于多層網(wǎng)絡(luò)部署難度大、不靈活。
[0004]另外一種方案屬于傳統(tǒng)網(wǎng)絡(luò)準(zhǔn)入控制范疇，該方案集成多種身份認證方式(LDAP、AD等)，加強了網(wǎng)絡(luò)接入控制，除身份認證外，需要對終端安全狀態(tài)進行檢查，只有檢查合格才可接入網(wǎng)絡(luò)，但是該方案沒有對網(wǎng)絡(luò)細分，終端只要接入網(wǎng)絡(luò)便可隨意訪問網(wǎng)絡(luò)內(nèi)資源，一旦攻擊者獲取用戶身份便可獲取網(wǎng)絡(luò)內(nèi)數(shù)據(jù)。
[0005]以上方案雖然一定程度上解決了網(wǎng)絡(luò)接入控制、網(wǎng)絡(luò)訪問控制等問題，但是存在部署難度大、占用資源高、無法自適應(yīng)不同網(wǎng)絡(luò)環(huán)境等問題。

【發(fā)明內(nèi)容】

[0006]本發(fā)明要解決的技術(shù)問題是:本發(fā)明為克服上述方案存在的問題，提供一種可信網(wǎng)絡(luò)接入與訪問控制方法及系統(tǒng)。
[0007]本發(fā)明所采用的技術(shù)方案為:
一種可信網(wǎng)絡(luò)接入與訪問控制系統(tǒng)，所述控制系統(tǒng)包括網(wǎng)絡(luò)接入請求者、網(wǎng)絡(luò)接入決策者、網(wǎng)絡(luò)接入控制者，其中:
網(wǎng)絡(luò)接入請求者包含身份認證模塊、安全可信狀態(tài)檢測模塊、信息上報模塊、在線狀態(tài)維持模塊、數(shù)字標(biāo)簽標(biāo)記模塊；
網(wǎng)絡(luò)接入決策者包含身份驗證模塊、安全可信狀態(tài)驗證模塊、策略分發(fā)模塊、請求者在線狀態(tài)維持模塊、安全域管理模塊；
網(wǎng)絡(luò)接入控制者包含數(shù)字標(biāo)簽驗證t旲塊、網(wǎng)絡(luò)訪冋控制t旲塊；
網(wǎng)絡(luò)接入請求者在接入網(wǎng)絡(luò)時進行平臺身份認證，檢測請求者安全可信狀態(tài)，將安全可信狀態(tài)發(fā)送到網(wǎng)絡(luò)接入決策者，由決策者判斷請求者安全可信等級，并給出網(wǎng)絡(luò)訪問決策，將網(wǎng)絡(luò)訪問決策發(fā)送到網(wǎng)絡(luò)接入控制者，由控制者限制請求的網(wǎng)絡(luò)訪問。
[0008]所述控制系統(tǒng)的網(wǎng)絡(luò)接入請求者、網(wǎng)絡(luò)接入決策者、網(wǎng)絡(luò)接入控制者操作過程全部使用TCM密碼算法進行加解密與簽名，保證信息交互安全。
[0009]為了保證網(wǎng)絡(luò)接入終端安全可信，所述網(wǎng)絡(luò)接入決策者預(yù)制安全可信域與安全可信域?qū)傩裕踩尚庞驅(qū)傩园瑪?shù)字標(biāo)簽特征、安全等級。
[0010]所述網(wǎng)絡(luò)接入決策者設(shè)置安全可信策略，用于終端進行安全可信狀態(tài)檢查。
[0011]一種可信網(wǎng)絡(luò)接入與訪問控制方法，網(wǎng)絡(luò)接入決策者采用數(shù)字標(biāo)簽技術(shù)將整個網(wǎng)絡(luò)劃分為不同的安全域，網(wǎng)絡(luò)接入請求者通過身份認證發(fā)起網(wǎng)絡(luò)接入請求，然后從網(wǎng)絡(luò)接入決策者接收網(wǎng)絡(luò)接入控制策略，網(wǎng)絡(luò)接入請求者按照網(wǎng)絡(luò)接入控制策略執(zhí)行安全可信檢查，將檢查結(jié)果發(fā)送到網(wǎng)絡(luò)決策者，決策者根據(jù)檢查結(jié)果判斷請求者安全狀態(tài)，并將對應(yīng)的安全域數(shù)字標(biāo)簽特征發(fā)送到請求者，請求者在后續(xù)網(wǎng)絡(luò)訪問過程中對網(wǎng)絡(luò)數(shù)據(jù)包打數(shù)字標(biāo)簽，網(wǎng)絡(luò)接入控制者根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包中數(shù)字標(biāo)簽判斷請求者網(wǎng)絡(luò)訪問是否合法。
[0012]結(jié)合國產(chǎn)TCM芯片與數(shù)字標(biāo)簽技術(shù)，所述控制方法包含步驟如下:
步驟VlOl:網(wǎng)絡(luò)接入請求者首先將AIK證書(平臺身份證書)發(fā)送到網(wǎng)絡(luò)接入決策者，由網(wǎng)絡(luò)接入決策者驗證請求者的平臺身份；
步驟V102:網(wǎng)絡(luò)接入請求者AIK證書認證通過后，使用TCM對稱加密算法對用戶名、密碼加密，并使用AIK私鑰對加密信息簽名，將簽名后信息發(fā)送到網(wǎng)絡(luò)接入決策者；
步驟V103:網(wǎng)絡(luò)接入決策者首先使用AIK公鑰對加密數(shù)據(jù)驗簽，驗證通過后使用TCM對稱加密算法解密加密用戶名、密碼并對用戶名密碼認證，如果認證失敗拒絕接入網(wǎng)絡(luò)；步驟V104:身份認證通過后網(wǎng)絡(luò)接入請求者從網(wǎng)絡(luò)接入服務(wù)器請求安全可信策略；步驟V105:網(wǎng)絡(luò)請求者根據(jù)安全可信策略執(zhí)行本地安全可信狀態(tài)檢測，檢測結(jié)果包含平臺完整性PCR值、系統(tǒng)文件完整性、殺毒軟件版本及狀態(tài)等，使用AIK私鑰對檢測結(jié)果簽名，并將檢測結(jié)果發(fā)送到所述網(wǎng)絡(luò)接入決策者；
步驟V106:網(wǎng)絡(luò)接入決策者對網(wǎng)絡(luò)接入請求者安全可信檢測結(jié)果進行對比評分，根據(jù)評分將對應(yīng)的安全域數(shù)字標(biāo)簽特征發(fā)送到網(wǎng)絡(luò)接入請求者，同時更新安全域，并將最新安全域信息發(fā)送到網(wǎng)絡(luò)接入控制者；
步驟V107:網(wǎng)絡(luò)接入請求者接收到對應(yīng)安全域數(shù)字標(biāo)簽，對網(wǎng)絡(luò)出口數(shù)據(jù)包打數(shù)字標(biāo)簽；
步驟V108:網(wǎng)絡(luò)接入控制者對網(wǎng)絡(luò)接入請求者數(shù)據(jù)包進行過濾，判斷數(shù)字標(biāo)簽，當(dāng)數(shù)字標(biāo)簽與網(wǎng)絡(luò)數(shù)據(jù)包中目的地址所在安全域數(shù)字標(biāo)簽特征相同時則認為訪問合法，放行數(shù)據(jù)包，反之，禁止網(wǎng)絡(luò)訪問。
[0013]為了支持不同的終端采用不同的安全等級，所述安全可信策略以策略組形式存在，并能根據(jù)用戶名對不同用戶分配不同安全可信策略，安全可信策略包含平臺完整性、殺毒軟件、服務(wù)程序、文件完整性、網(wǎng)絡(luò)端口等。
[0014]所述網(wǎng)絡(luò)接入決策者對網(wǎng)絡(luò)接入請求者安全可信檢測的具體實施步驟如下:具體實施步驟如下:
步驟S201:網(wǎng)絡(luò)接入請求者身份認證通過后，接入決策者根據(jù)用戶名查詢對應(yīng)的安全可信策略，并將策略下發(fā)到網(wǎng)絡(luò)接入請求者；
步驟S202:網(wǎng)絡(luò)接入請求者接收到安全可信策略后對策略解析，并開始安全可信策略的執(zhí)行，收集網(wǎng)絡(luò)接入請求者完整性、網(wǎng)絡(luò)端口等狀態(tài)，收集完成后對檢測結(jié)果打包簽名，發(fā)送到網(wǎng)絡(luò)接入決策者；
步驟S203:網(wǎng)絡(luò)接入決策者接收到檢測結(jié)果后，對檢測結(jié)果解析，并與對應(yīng)的安全可信策略預(yù)期值對比，得出安全等級；
步驟S204:網(wǎng)絡(luò)接入決策者得出網(wǎng)絡(luò)接入請求者安全等級后，將對應(yīng)等級的安全可信域數(shù)字標(biāo)簽特征下發(fā)到網(wǎng)絡(luò)接入請求者，并更新安全可信域，并下發(fā)到網(wǎng)絡(luò)接入控制者；步驟S205:網(wǎng)絡(luò)接入控制者接收到更新的安全可信域后解析保存到本地內(nèi)存中。
[0015]對于不同等級的安全可信域，網(wǎng)絡(luò)跨域訪問控制操作步驟如下:
步驟S301:網(wǎng)絡(luò)接入請求者接收到數(shù)字標(biāo)簽后，將數(shù)字標(biāo)簽下發(fā)到內(nèi)核網(wǎng)絡(luò)過濾驅(qū)動；
步驟S302:網(wǎng)絡(luò)過濾驅(qū)動對流出的網(wǎng)絡(luò)數(shù)據(jù)包進行攔截，修改數(shù)據(jù)包中IP部分，對網(wǎng)絡(luò)數(shù)據(jù)包進行打標(biāo)簽，重新計算數(shù)據(jù)包校驗和，更新到數(shù)據(jù)包中，將數(shù)據(jù)包通過網(wǎng)絡(luò)設(shè)備發(fā)送出去；
步驟S303:網(wǎng)絡(luò)數(shù)據(jù)包在到達目的地前流經(jīng)網(wǎng)絡(luò)接入控制者，網(wǎng)絡(luò)接入控制者攔截網(wǎng)絡(luò)數(shù)據(jù)包，解析出IP地址、數(shù)字標(biāo)簽信息；
步驟S304:在S205步驟保存在內(nèi)存中的安全可信域查找對比IP地址與數(shù)字標(biāo)簽，根據(jù)IP地址與數(shù)字標(biāo)簽判斷網(wǎng)絡(luò)中目的地址是否處于同一安全可信域中，處于同一域放行，否則禁止網(wǎng)絡(luò)訪問。
[0016]本發(fā)明的有益效果為:本發(fā)明所述方法，通過平臺身份認證、數(shù)字標(biāo)簽技術(shù)，實現(xiàn)網(wǎng)絡(luò)接入控制與網(wǎng)絡(luò)訪問控制，具有以下有益效果:
1.基于TCM進行平臺身份認證，保證網(wǎng)絡(luò)接入控制同時，避免身份偽造；
2.基于數(shù)字標(biāo)簽技術(shù)劃分網(wǎng)絡(luò)區(qū)域，網(wǎng)絡(luò)區(qū)域動態(tài)動態(tài)更新，實現(xiàn)網(wǎng)絡(luò)自適應(yīng)，保證不同邏輯區(qū)域訪問安全；
3.配置安全可信策略，結(jié)合TCM密碼算法保證請求者平臺狀態(tài)安全可信。
【附圖說明】
[0017]圖1為可信網(wǎng)絡(luò)部署方式示意圖；
圖2為網(wǎng)絡(luò)接入請求者身份認證流程圖；
圖3為網(wǎng)絡(luò)接入請求者安全可信狀態(tài)檢測流程圖；
圖4為網(wǎng)絡(luò)跨域訪問控制流程示意圖。
【具體實施方式】
[0018]下面參照附圖所示，通過【具體實施方式】對本發(fā)明進一步說明:
實施例1:
一種可信網(wǎng)絡(luò)接入與訪問控制系統(tǒng)，如圖1所示，通常在原有網(wǎng)絡(luò)基礎(chǔ)上在增加網(wǎng)絡(luò)接入控制者設(shè)備與網(wǎng)絡(luò)接入決策設(shè)備，兩者可為同一臺設(shè)備，為了保證網(wǎng)絡(luò)接入終端安全可信，網(wǎng)絡(luò)接入決策服務(wù)器預(yù)制安全可信域與安全可信域?qū)傩?，安全可信域?qū)傩园瑪?shù)字標(biāo)簽特征、安全等級，另外網(wǎng)絡(luò)接入決策服務(wù)器設(shè)置安全可信策略，用于終端進行安全可信狀態(tài)檢查。
[0019]實施例2: 一種可信網(wǎng)絡(luò)接入與訪問控制方法，網(wǎng)絡(luò)接入決策者采用數(shù)字標(biāo)簽技術(shù)將整個網(wǎng)絡(luò)劃分為不同的安全域，網(wǎng)絡(luò)接入請求者通過身份認證發(fā)起網(wǎng)絡(luò)接入請求，然后從網(wǎng)絡(luò)接入決策者接收網(wǎng)絡(luò)接入控制策略，網(wǎng)絡(luò)接入請求者按照網(wǎng)絡(luò)接入控制策略執(zhí)行安全可信檢查，將檢查結(jié)果發(fā)送到網(wǎng)絡(luò)決策者，決策者根據(jù)檢查結(jié)果判斷請求者安全狀態(tài)，并將對應(yīng)的安全域數(shù)字標(biāo)簽特征發(fā)送到請求者，請求者在后續(xù)網(wǎng)絡(luò)訪問過程中對網(wǎng)絡(luò)數(shù)據(jù)包打數(shù)字標(biāo)簽，網(wǎng)絡(luò)接入控制者根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包中數(shù)字標(biāo)簽判斷請求者網(wǎng)絡(luò)訪問是否合法。
[0020]實施例3:
如圖2所示，網(wǎng)絡(luò)接入請求者身份認證具體實施步驟如下:
步驟SlOl:接入終端發(fā)起網(wǎng)絡(luò)接入請求，將平臺身份AIK證書發(fā)送到網(wǎng)絡(luò)接入決策服務(wù)器，網(wǎng)絡(luò)接入決策服務(wù)器對平臺身份進行認證，認證失敗禁止網(wǎng)絡(luò)接入；
步驟S102:認證成功，網(wǎng)絡(luò)接入決策服務(wù)器將平臺身份認證結(jié)果返回給終端，終端將用戶輸入的用戶名、密碼通過TCM對稱密碼算法加密后