[發明專利]一種實現雙向平臺認證的系統及方法

有效

• 申請號: 200910022912.8
• 申請日: 2009-06-08
• 公開（公告）號: CN101572705A
• 公開（公告）日: 2009-11-04
• 發明（設計）人: 肖躍雷;曹軍;黃振海;葛莉
• 申請（專利權）人: 西安西電捷通無線網絡通信有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 西安智邦專利商標代理有限公司
• 代理人: 商宇科;李東京

技術領域

本發明屬于網絡安全技術，具體涉及一種實現雙向平臺認證的系統及方法。

背景技術

隨著信息化的不斷發展，病毒、蠕蟲等惡意軟件的問題異常突出。目前已 經出現了超過三萬五千種的惡意軟件，每年都有超過四千萬的計算機被感染。 為了遏制住這類攻擊，人們提出了對機器進行識別、認證和評估，包括識別機 器平臺中的各個平臺組件(包括硬件、軟件和固件)、認證機器平臺的確存在這 些平臺組件和評估機器平臺中的這些平臺組件(即：評估平臺組件的安全狀態， 包括平臺組件的完整性狀態、運行狀況和安全級別等，其中完整性狀態指示平 臺組件是否被破壞，運行狀況指示平臺組件的運行環境和行為，安全級別指示 平臺組件的安全性)。這種對機器的識別、認證和評估稱為機器級平臺認證，簡 稱為平臺認證。

平臺認證完全不同于用戶認證。用戶認證是發生在用戶之間，而平臺認證 是發生在用戶與平臺之間，即用戶對平臺的認證。用戶認證是基于對稱密鑰或 非對稱密鑰的密碼技術來實現用戶身份的識別和認證。平臺認證是基于平臺認 證可信根來實現對平臺中各個組件的識別和認證。近年來，業界提出了一種單 向平臺認證模型，如圖1所示，A為用戶，S為平臺認證者，C′為用戶A所使用 的平臺，S′為平臺C′中的平臺認證可信根，其中平臺C′中的平臺認證可信根S′ 可以是軟件的可信代理，也可以是硬件的可信根，例如：微軟的網絡訪問保護 (Network?Access?Protection，NAP)技術和思科的網絡接入控制(Network?Access Control，NAC)技術是基于軟件的可信代理實現平臺認證的，而國際可信計算 組織(Trusted?Computing?Group，TCG)的可信網絡連接(Trusted?Network Connection，TNC)技術是基于硬件的可信根——可信平臺模塊(Trusted?Platform Module，TPM)芯片來實現平臺認證的。利用硬件可信根可以保護對平臺組件 信息的度量和收集過程，度量和收集過程產生的這些值形成度量日志，而對度 量日志的保護值存儲于硬件可信根的平臺配置寄存器中，稱為平臺配置寄存器 (Platform?Configuration?Register，PCR)值。

圖1所示的單向平臺認證模型的平臺認證過程如下：

1)平臺認證者S通過平臺認證協議向用戶A請求用戶A所使用的平臺C′ 的平臺組件信息；

2)用戶A收到步驟1)中的信息后，首先基于平臺C′中的平臺認證可信根 S′來度量和收集用戶A所使用的平臺C′的平臺組件信息，然后通過平臺認證協 議發送給平臺認證者S；

3)平臺認證者S收到步驟2)中的信息后，首先確定這些用戶A所使用的 平臺C′的平臺組件信息是由用戶A發送的，然后確定這些用戶A所使用的平臺 C′的平臺組件信息是基于平臺C′中的平臺認證可信根S′來度量和收集的，最后 確定平臺C′中的平臺認證可信根S′是有效的、并識別、認證和評估這些用戶A 所使用的平臺C′的平臺組件信息，從而實現平臺認證者S對用戶A所使用的平 臺C′的平臺認證。

在當今的信息時代，平臺間的對等認證(兩個平臺的用戶互相認證對方的 平臺)是非常有必要的。若利用圖1所述的單向平臺認證模型來實現平臺間的 對等認證，則需要正反方向執行兩次平臺認證過程，其過程較為復雜。此外， 由于平臺以及平臺中的組件是各種各樣的，其識別、認證和評估過程是相當復 雜的，所以需要建立一個集中管理式的平臺認證者才能很好地實現平臺間的對 等認證。因此，我們需要設計一種基于集中管理式平臺認證者且過程較簡單的 雙向平臺認證模型。

發明內容

本發明的目的在于通過提供一種實現雙向平臺認證的系統及方法，解決背 景技術中所述的技術問題。

本發明的技術解決方案是：本發明是一種實現雙向平臺認證的系統，其特 殊之處在于，該系統包括第一用戶A所使用的第一平臺C′，第二用戶B所使用 的第二平臺C″和平臺認證者S；

所述第一用戶A與第二用戶B通過平臺認證協議網絡連通，所述第二用戶 B與平臺認證者S通過平臺認證協議網絡連通，所述第一用戶A通過第二用戶 B與平臺認證者S網絡連通；

所述第一平臺C′中包括第一平臺認證可信根S′，第二平臺C″中包括第二平 臺認證可信根S″。