使用AIK私鑰簽名，簽名后發(fā)送到?jīng)Q策服務(wù)器；
步驟S103:決策服務(wù)器接收到終端認(rèn)證信息后，對(duì)認(rèn)證信息進(jìn)行驗(yàn)簽，并解密認(rèn)證信息，解密后進(jìn)行身份認(rèn)證，認(rèn)證通過(guò)則下發(fā)安全可信策略，否則禁止網(wǎng)絡(luò)接入；
終端認(rèn)證成功后與接入策略服務(wù)器維持心跳，每隔一段時(shí)間發(fā)送一次心跳并接受服務(wù)器返回，接入策略服務(wù)器根據(jù)心跳判斷終端用戶的在線狀態(tài)。
[0021]實(shí)施例4:
在實(shí)施例2或3的基礎(chǔ)上，本實(shí)施例為了支持不同的終端采用不同的安全等級(jí)，安全可信策略以策略組形式存在，并可根據(jù)用戶名對(duì)不同用戶分配不同安全可信策略，安全可信策略包含平臺(tái)完整性、殺毒軟件、服務(wù)程序、文件完整性、網(wǎng)絡(luò)端口等。
[0022]實(shí)施例5:
在實(shí)施例3的基礎(chǔ)上，如圖3所示，所述網(wǎng)絡(luò)接入決策者對(duì)網(wǎng)絡(luò)接入請(qǐng)求者安全可信檢測(cè)的具體實(shí)施步驟如下:
步驟S201:終端身份認(rèn)證通過(guò)后，接入決策服務(wù)器根據(jù)用戶名查詢對(duì)應(yīng)的安全可信策略，并將策略下發(fā)到終端；
步驟S202:終端接收到安全可信策略后對(duì)策略解析，并開(kāi)始安全可信策略的執(zhí)行，收集終端完整性、網(wǎng)絡(luò)端口等狀態(tài)，收集完成后對(duì)檢測(cè)結(jié)果打包簽名，發(fā)送到網(wǎng)絡(luò)接入決策服務(wù)器；
步驟S203:網(wǎng)絡(luò)接入決策服務(wù)器接收到檢測(cè)結(jié)果后，對(duì)檢測(cè)結(jié)果解析，并與對(duì)應(yīng)的安全可信策略預(yù)期值對(duì)比，得出安全等級(jí)；
步驟S204:網(wǎng)絡(luò)接入決策服務(wù)器得出終端安全等級(jí)后，將對(duì)應(yīng)等級(jí)的安全可信域數(shù)字標(biāo)簽特征下發(fā)到終端，并更新安全可信域，并下發(fā)到網(wǎng)絡(luò)接入控制設(shè)備；
步驟S205:網(wǎng)絡(luò)接入控制設(shè)備接收到更新的安全可信域后解析保存到本地內(nèi)存中。
[0023]實(shí)施例5:
在實(shí)施例3的基礎(chǔ)上，本實(shí)施例所述安全可信域根據(jù)終端安全等級(jí)自動(dòng)調(diào)整，保證網(wǎng)絡(luò)的安全實(shí)時(shí)性，另外，安全可信域還提供手動(dòng)添加終端功能，可將某終端直接添加到安全可信域中，此時(shí)終端所處的安全可信域不再隨終端安全可信狀態(tài)更新。另外一種更新安全可信域的情況是終端在線狀態(tài)改變，當(dāng)終端下線時(shí)會(huì)將終端本地?cái)?shù)字標(biāo)簽清空，同時(shí)服務(wù)器檢測(cè)到終端下線立即更新安全可信域。
[0024]實(shí)施例6:
如圖4所示，在實(shí)施例5的基礎(chǔ)上，本實(shí)施例對(duì)于不同等級(jí)的安全可信域，網(wǎng)絡(luò)跨域訪問(wèn)控制操作步驟如下:
步驟S301:終端接收到數(shù)字標(biāo)簽后，將數(shù)字標(biāo)簽下發(fā)到內(nèi)核網(wǎng)絡(luò)過(guò)濾驅(qū)動(dòng)；
步驟S302:網(wǎng)絡(luò)過(guò)濾驅(qū)動(dòng)對(duì)流出的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行攔截，修改數(shù)據(jù)包中IP部分，對(duì)網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行打標(biāo)簽，重新計(jì)算數(shù)據(jù)包校驗(yàn)和，更新到數(shù)據(jù)包中，將數(shù)據(jù)包通過(guò)網(wǎng)絡(luò)設(shè)備發(fā)送出去；
步驟S303:網(wǎng)絡(luò)數(shù)據(jù)包在到達(dá)目的地前流經(jīng)網(wǎng)絡(luò)接入控制設(shè)備，網(wǎng)絡(luò)接入控制設(shè)備攔截網(wǎng)絡(luò)數(shù)據(jù)包，解析出IP地址、數(shù)字標(biāo)簽信息；
步驟S304:在S205步驟保存在內(nèi)存中的安全可信域查找對(duì)比IP地址與數(shù)字標(biāo)簽，根據(jù)IP地址與數(shù)字標(biāo)簽判斷網(wǎng)絡(luò)中目的地址是否處于同一安全可信域中，處于同一域放行，否則禁止網(wǎng)絡(luò)訪問(wèn)。
[0025]以上實(shí)施方式僅用于說(shuō)明本發(fā)明，而并非對(duì)本發(fā)明的限制，有關(guān)技術(shù)領(lǐng)域的普通技術(shù)人員，在不脫離本發(fā)明的精神和范圍的情況下，還可以做出各種變化和變型，因此所有等同的技術(shù)方案也屬于本發(fā)明的范疇，本發(fā)明的專利保護(hù)范圍應(yīng)由權(quán)利要求限定。
【主權(quán)項(xiàng)】
1.一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制系統(tǒng)，其特征在于:所述控制系統(tǒng)包括網(wǎng)絡(luò)接入請(qǐng)求者、網(wǎng)絡(luò)接入決策者、網(wǎng)絡(luò)接入控制者，其中: 網(wǎng)絡(luò)接入請(qǐng)求者包含身份認(rèn)證模塊、安全可信狀態(tài)檢測(cè)模塊、信息上報(bào)模塊、在線狀態(tài)維持模塊、數(shù)字標(biāo)簽標(biāo)記模塊； 網(wǎng)絡(luò)接入決策者包含身份驗(yàn)證模塊、安全可信狀態(tài)驗(yàn)證模塊、策略分發(fā)模塊、請(qǐng)求者在線狀態(tài)維持模塊、安全域管理模塊； 網(wǎng)絡(luò)接入控制者包含數(shù)字標(biāo)簽驗(yàn)證t旲塊、網(wǎng)絡(luò)訪冋控制t旲塊； 網(wǎng)絡(luò)接入請(qǐng)求者在接入網(wǎng)絡(luò)時(shí)進(jìn)行平臺(tái)身份認(rèn)證，檢測(cè)請(qǐng)求者安全可信狀態(tài)，將安全可信狀態(tài)發(fā)送到網(wǎng)絡(luò)接入決策者，由決策者判斷請(qǐng)求者安全可信等級(jí)，并給出網(wǎng)絡(luò)訪問(wèn)決策，將網(wǎng)絡(luò)訪問(wèn)決策發(fā)送到網(wǎng)絡(luò)接入控制者，由控制者限制請(qǐng)求的網(wǎng)絡(luò)訪問(wèn)。
2.根據(jù)權(quán)利要求1所述的一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制系統(tǒng)，其特征在于:所述控制系統(tǒng)的網(wǎng)絡(luò)接入請(qǐng)求者、網(wǎng)絡(luò)接入決策者、網(wǎng)絡(luò)接入控制者操作過(guò)程全部使用TCM密碼算法進(jìn)行加解密與簽名，保證信息交互安全。
3.根據(jù)權(quán)利要求1或2所述的一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制系統(tǒng)，其特征在于:所述網(wǎng)絡(luò)接入決策者預(yù)制安全可信域與安全可信域?qū)傩?，安全可信域?qū)傩园瑪?shù)字標(biāo)簽特征、安全等級(jí)。
4.根據(jù)權(quán)利要求3所述的一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制系統(tǒng)，其特征在于:所述網(wǎng)絡(luò)接入決策者設(shè)置安全可信策略，用于終端進(jìn)行安全可信狀態(tài)檢查。
5.一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制方法，其特征在于:網(wǎng)絡(luò)接入決策者采用數(shù)字標(biāo)簽技術(shù)將整個(gè)網(wǎng)絡(luò)劃分為不同的安全域，網(wǎng)絡(luò)接入請(qǐng)求者通過(guò)身份認(rèn)證發(fā)起網(wǎng)絡(luò)接入請(qǐng)求，然后從網(wǎng)絡(luò)接入決策者接收網(wǎng)絡(luò)接入控制策略，網(wǎng)絡(luò)接入請(qǐng)求者按照網(wǎng)絡(luò)接入控制策略執(zhí)行安全可信檢查，將檢查結(jié)果發(fā)送到網(wǎng)絡(luò)決策者，決策者根據(jù)檢查結(jié)果判斷請(qǐng)求者安全狀態(tài)，并將對(duì)應(yīng)的安全域數(shù)字標(biāo)簽特征發(fā)送到請(qǐng)求者，請(qǐng)求者在后續(xù)網(wǎng)絡(luò)訪問(wèn)過(guò)程中對(duì)網(wǎng)絡(luò)數(shù)據(jù)包打數(shù)字標(biāo)簽，網(wǎng)絡(luò)接入控制者根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包中數(shù)字標(biāo)簽判斷請(qǐng)求者網(wǎng)絡(luò)訪問(wèn)是否合法。
6.根據(jù)權(quán)利要求5所述的一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制方法，其特征在于:結(jié)合國(guó)產(chǎn)TCM芯片與數(shù)字標(biāo)簽技術(shù)，所述控制方法包含步驟如下: 步驟VlOl:網(wǎng)絡(luò)接入請(qǐng)求者首先將AIK證書(shū)發(fā)送到網(wǎng)絡(luò)接入決策者，由網(wǎng)絡(luò)接入決策者驗(yàn)證請(qǐng)求者的平臺(tái)身份； 步驟V102:網(wǎng)絡(luò)接入請(qǐng)求者AIK證書(shū)認(rèn)證通過(guò)后，使用TCM對(duì)稱加密算法對(duì)用戶名、密碼加密，并使用AIK私鑰對(duì)加密信息簽名，將簽名后信息發(fā)送到網(wǎng)絡(luò)接入決策者；步驟V103:網(wǎng)絡(luò)接入決策者首先使用AIK公鑰對(duì)加密數(shù)據(jù)驗(yàn)簽，驗(yàn)證通過(guò)后使用TCM對(duì)稱加密算法解密加密用戶名、密碼并對(duì)用戶名密碼認(rèn)證，如果認(rèn)證失敗拒絕接入網(wǎng)絡(luò)；步驟V104:身份認(rèn)證通過(guò)后網(wǎng)絡(luò)接入請(qǐng)求者從網(wǎng)絡(luò)接入服務(wù)器請(qǐng)求安全可信策略；步驟V105:網(wǎng)絡(luò)請(qǐng)求者根據(jù)安全可信策略執(zhí)行本地安全可信狀態(tài)檢測(cè)，檢測(cè)結(jié)果包含平臺(tái)完整性PCR值、系統(tǒng)文件完整性、殺毒軟件版本及狀態(tài)，使用AIK私鑰對(duì)檢測(cè)結(jié)果簽名，并將檢測(cè)結(jié)果發(fā)送到所述網(wǎng)絡(luò)接入決策者； 步驟V106:網(wǎng)絡(luò)接入決策者對(duì)網(wǎng)絡(luò)接入請(qǐng)求者安全可信檢測(cè)結(jié)果進(jìn)行對(duì)比評(píng)分，根據(jù)評(píng)分將對(duì)應(yīng)的安全域數(shù)字標(biāo)簽特征發(fā)送到網(wǎng)絡(luò)接入請(qǐng)求者，同時(shí)更新安全域，并將最新安全域信息發(fā)送到網(wǎng)絡(luò)接入控制者； 步驟V107:網(wǎng)絡(luò)接入請(qǐng)求者接收到對(duì)應(yīng)安全域數(shù)字標(biāo)簽，對(duì)網(wǎng)絡(luò)出口數(shù)據(jù)包打數(shù)字標(biāo)簽； 步驟V108:網(wǎng)絡(luò)接入控制者對(duì)網(wǎng)絡(luò)接入請(qǐng)求者數(shù)據(jù)包進(jìn)行過(guò)濾，判斷數(shù)字標(biāo)簽，當(dāng)數(shù)字標(biāo)簽與網(wǎng)絡(luò)數(shù)據(jù)包中目的地址所在安全域數(shù)字標(biāo)簽特征相同時(shí)則認(rèn)為訪問(wèn)合法，放行數(shù)據(jù)包，反之，禁止網(wǎng)絡(luò)訪問(wèn)。
7.根據(jù)權(quán)利要求6所述的一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制方法，其特征在于:所述網(wǎng)絡(luò)接入決策者對(duì)網(wǎng)絡(luò)接入請(qǐng)求者安全可信檢測(cè)的具體實(shí)施步驟如下: 步驟S201:網(wǎng)絡(luò)接入請(qǐng)求者身份認(rèn)證通過(guò)后，接入決策者根據(jù)用戶名查詢對(duì)應(yīng)的安全可信策略，并將策略下發(fā)到網(wǎng)絡(luò)接入請(qǐng)求者； 步驟S202:網(wǎng)絡(luò)接入請(qǐng)求者接收到安全可信策略后對(duì)策略解析，并開(kāi)始安全可信策略的執(zhí)行，收集網(wǎng)絡(luò)接入請(qǐng)求者完整性、網(wǎng)絡(luò)端口狀態(tài)，收集完成后對(duì)檢測(cè)結(jié)果打包簽名，發(fā)送到網(wǎng)絡(luò)接入決策者； 步驟S203:網(wǎng)絡(luò)接入決策者接收到檢測(cè)結(jié)果后，對(duì)檢測(cè)結(jié)果解析，并與對(duì)應(yīng)的安全可信策略預(yù)期值對(duì)比，得出安全等級(jí)； 步驟S204:網(wǎng)絡(luò)接入決策者得出網(wǎng)絡(luò)接入請(qǐng)求者安全等級(jí)后，將對(duì)應(yīng)等級(jí)的安全可信域數(shù)字標(biāo)簽特征下發(fā)到網(wǎng)絡(luò)接入請(qǐng)求者，并更新安全可信域，并下發(fā)到網(wǎng)絡(luò)接入控制者；步驟S205:網(wǎng)絡(luò)接入控制者接收到更新的安全可信域后解析保存到本地內(nèi)存中。
8.根據(jù)權(quán)利要求7所述的一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制方法，其特征在于:對(duì)于不同等級(jí)的安全可信域，網(wǎng)絡(luò)跨域訪問(wèn)控制操作步驟如下: 步驟S301:網(wǎng)絡(luò)接入請(qǐng)求者接收到數(shù)字標(biāo)簽后，將數(shù)字標(biāo)簽下發(fā)到內(nèi)核網(wǎng)絡(luò)過(guò)濾驅(qū)動(dòng)； 步驟S302:網(wǎng)絡(luò)過(guò)濾驅(qū)動(dòng)對(duì)流出的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行攔截，修改數(shù)據(jù)包中IP部分，對(duì)網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行打標(biāo)簽，重新計(jì)算數(shù)據(jù)包校驗(yàn)和，更新到數(shù)據(jù)包中，將數(shù)據(jù)包通過(guò)網(wǎng)絡(luò)設(shè)備發(fā)送出去； 步驟S303:網(wǎng)絡(luò)數(shù)據(jù)包在到達(dá)目的地前流經(jīng)網(wǎng)絡(luò)接入控制者，網(wǎng)絡(luò)接入控制者攔截網(wǎng)絡(luò)數(shù)據(jù)包，解析出IP地址、數(shù)字標(biāo)簽信息； 步驟S304:在S205步驟保存在內(nèi)存中的安全可信域查找對(duì)比IP地址與數(shù)字標(biāo)簽，根據(jù)IP地址與數(shù)字標(biāo)簽判斷網(wǎng)絡(luò)中目的地址是否處于同一安全可信域中，處于同一域放行，否則禁止網(wǎng)絡(luò)訪問(wèn)。
【專利摘要】本發(fā)明公開(kāi)了一種可信網(wǎng)絡(luò)接入與訪問(wèn)控制系統(tǒng)，所述控制系統(tǒng)包括網(wǎng)絡(luò)接入請(qǐng)求者、網(wǎng)絡(luò)接入決策者、網(wǎng)絡(luò)接入控制者，網(wǎng)絡(luò)接入請(qǐng)求者在接入網(wǎng)絡(luò)時(shí)進(jìn)行平臺(tái)身份認(rèn)證，檢測(cè)請(qǐng)求者安全可信狀態(tài)，將安全可信狀態(tài)發(fā)送到網(wǎng)絡(luò)接入決策者，由決策者判斷請(qǐng)求者安全可信等級(jí)，并給出網(wǎng)絡(luò)訪問(wèn)決策，將網(wǎng)絡(luò)訪問(wèn)決策發(fā)送到網(wǎng)絡(luò)接入控制者，由控制者限制請(qǐng)求的網(wǎng)絡(luò)訪問(wèn)本發(fā)明還公開(kāi)了一種可信網(wǎng)絡(luò)接入與方法。本發(fā)明基于TCM進(jìn)行平臺(tái)身份認(rèn)證，保證網(wǎng)絡(luò)接入控制同時(shí)，避免身份偽造；基于數(shù)字標(biāo)簽技術(shù)劃分網(wǎng)絡(luò)區(qū)域，網(wǎng)絡(luò)區(qū)域動(dòng)態(tài)動(dòng)態(tài)更新，實(shí)現(xiàn)網(wǎng)絡(luò)自適應(yīng)，保證不同邏輯區(qū)域訪問(wèn)安全；配置安全可信策略，結(jié)合TCM密碼算法保證請(qǐng)求者平臺(tái)狀態(tài)安全可信。
【IPC分類】H04L29-06, H04L9-32
【公開(kāi)號(hào)】CN104618396
【申請(qǐng)?zhí)枴緾N201510095892
【發(fā)明人】郭猛善, 馮磊, 趙斌
【申請(qǐng)人】浪潮集團(tuán)有限公司
【公開(kāi)日】2015年5月13日
【申請(qǐng)日】2015年3月4日