[發明專利]使用嚴格約束網絡訪問控制協議的網絡訪問控制信息交換

有效

• 申請號: 200810089841.9
• 申請日: 2008-04-03
• 公開（公告）號: CN101394399A
• 公開（公告）日: 2009-03-25
• 發明（設計）人: 史蒂芬·R·漢納
• 申請（專利權）人: 叢林網絡公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京康信知識產權代理有限責任公司
• 代理人: 余 剛;尚志峰

1.一種訪問控制方法，包括：

通過網絡協議的嚴格約束握手序列利用訪問控制設備接 收數字簽名，其中，當端點設備請求訪問權以在第一網絡上通 信時，所述端點設備發起所述嚴格約束握手序列，其中，所述 數字簽名基于可信平臺模塊TPM值和隨機數值，其中，由于 所述嚴格約束握手序列的約束，所述訪問控制設備和所述端點 設備不能在所述嚴格約束握手序列期間協商隨機數信息集；

確定所述訪問控制設備之前是否已與所述端點設備協商 了所述隨機數信息集；

確定所述TPM值是否與可接受配置相關；

確定所述隨機數值是否是可接受的；

確定所述數字簽名是否是有效的；

當所述訪問控制設備之前已協商了所述隨機數信息集 時、當所述TPM值與所述可接受配置相關時、當所述隨機數 值是可接受的時、以及當所述數字簽名是有效的時，將所述訪 問權授予所述端點設備；

當所述訪問控制設備之前未協商所述隨機數信息集時、 當所述TPM值與所述可接受配置不相關時、當所述隨機數值 是不可接受的時、或者當所述數字簽名不是有效的時，允許所 述端點設備在第二網絡上進行通信；以及

使用所述第二網絡與所述端點設備協商所述隨機數信息 集。

2.根據權利要求1所述的方法，

其中，所述網絡協議是動態主機配置協議DHCP；以及

其中，將所述訪問權授予所述端點設備以在所述第一網 絡上進行通信包括將互聯網協議IP地址租給所述端點設備， 其中，訪問點將指定所述IP地址作為源地址的IP包轉發到所 述第一網絡。

3.根據權利要求1所述的方法，其中，確定所述TPM值是否與 所述可接受配置相關包括：當所述訪問控制設備之前已經接收 到所述TPM值時確定所述TPM值是否與所述可接受配置相 關；

其中，所述方法還包括：響應于接收所述數字簽名，計 算一個或多個候選隨機數值的集合；

其中，確定所述數字簽名是否是有效的包括：確定由所 述TPM值和所述候選隨機數值的集合中的一個候選隨機數值 給定的所述數字簽名是否是有效的；以及

其中，確定所述隨機數值是否是可接受的包括：確定所 述候選隨機數值是否是可接受的。

4.根據權利要求1所述的方法，

其中，使用所述端點設備中的TPM芯片的私有加密密鑰 來加密所述數字簽名；以及

其中，確定所述數字簽名是否是有效的包括：使用與所 述私有加密密鑰相關的公鑰證書來確定所述數字簽名是否是 有效的。

5.根據權利要求4所述的方法，進一步包括：

當所述公鑰證書未被存儲在存儲介質中時，拒絕訪問所 述第一網絡并允許所述端點設備在所述第二網絡上進行通信；

經由所述第二網絡接收所述公鑰證書；以及

在經由所述第二網絡接收所述公鑰證書之后，將所述公 鑰證書存儲在所述存儲介質中，供來自所述端點設備的后續訪 問請求使用。

6.根據權利要求1所述的方法，

其中，所述隨機數信息集包括一組值；以及

其中，確定隨機數值是否是可接受的包括：

當所述隨機數值在這組值中時，確定所述隨機數值 是可接受的；以及

當所述隨機數值在這組值中時，將所述隨機數值從 所述這組值中去除。

7.根據權利要求1所述的方法，

其中，所述隨機數信息集包括表示時間的時間指示符； 以及

其中，確定所述隨機數值是否是可接受的包括：基于由 所述時間指示符表示的時間來確定所述隨機數值是否是可接 受的。

8.根據權利要求1所述的方法，

其中，所述隨機數信息集包括序列號；以及

其中，確定所述隨機數信息集是否是可接受的包括：當 所述隨機數值與在所述序列號之后的數相等時，確定所述隨機 數值是可接受的。