[發明專利]一種分層連接可信網絡的方法及系統

有效

• 申請號: 201010588246.7
• 申請日: 2010-12-07
• 公開（公告）號: CN102035837A
• 公開（公告）日: 2011-04-27
• 發明（設計）人: 于愛民;秦宇;趙世軍;汪丹;李昊;常德顯
• 申請（專利權）人: 中國科學院軟件研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 馮藝東

1.一種分層連接可信網絡的方法，包括如下步驟：

1)終端平臺接入可信網絡控制域，可信網絡管理域對終端平臺的連接請求進行驗證，并由可信網絡管理域發送長期平臺身份PIK或AIK證書給經驗證的終端平臺；

2)獲得證書的終端平臺中的任意終端接入網絡服務域，可信網絡管理域的網絡連接控制點根據終端平臺接入時提供的身份證明和終端平臺完整性屬性，通過調用可信網絡管理域中的平臺身份管理服務及平臺完整性管理服務，判定終端是否能接入網絡服務域；

3)接入網絡服務域的終端訪問網絡服務域中的任一網絡服務，該網絡服務利用平臺身份向可信網絡管理域查詢平臺完整性屬性，根據返回的完整性屬性確定終端是否可以訪問該網絡服務。

2.根據權利要求1所述的分層連接可信網絡的方法，其特征在于所述終端平臺連接入可信網絡控制域的方法為：

A、終端平臺向網絡連接控制點發送請求；

B、網絡連接控制點收到請求后，將請求發送給平臺身份管理服務進行驗證；

C、通過驗證后，平臺身份管理服務發送長期平臺身份PIK或AIK證書給網絡連接控制點；

D、網絡連接控制點將證書發送給終端平臺。

3.根據權利要求2所述的分層連接可信網絡的方法，其特征在于所述請求包括管理員用戶名及密碼、PIK或AIK請求包和終端平臺的自身描述。

4.根據權利要求3所述的分層連接可信網絡的方法，其特征在于所述驗證PIK或AIK請求的方法為：

a.平臺身份管理服務接收平臺發送的PIK或AIK請求包；

b.將隨機數通過網絡連接控制點發送給終端平臺；

c.終端平臺上的TPM/TC產生密鑰對，并向平臺身份管理服務證明該密鑰對是TPM/TC產生的不可遷移簽名密鑰；

d.驗證不可遷移簽名密鑰，若通過驗證，則為TPM/TCM產生的密鑰對的公鑰頒發長期平臺身份PIK或AIK證書。

5.根據權利要求1所述的分層連接可信網絡的方法，其特征在于所述終端連接入網絡服務域的方法為：

A、終端向網絡連接控制點發送網絡接入請求，接入請求中包括終端用戶名與密碼；

B、網絡連接控制點向可信網絡管理域的用戶身份管理服務查詢當前用戶名與密碼的正確性，查詢結果返回給網絡連接控制點；

C、網絡連接控制點發送完整性證明請求給終端；?

D、終端調用不同的完整性收集組件完成完整性收集，并將收集到的完整性數據用PIK或AIK簽名發送給網絡連接控制點；

E、網絡連接控制點根據長期平臺身份PIK或AIK證書對完整性數據簽名進行驗證；

F、網絡連接控制點將完整性數據發送給可信網絡管理域的平臺完整性管理服務，驗證終端是否滿足平臺完整性屬性關系，驗證結果發送網絡連接控制點；

G、網絡連接控制點根據驗證結果，確定接入策略。

6.根據權利要求5所述的分層連接可信網絡的方法，其特征在于所述完整性證明請求包含需要終端進行收集的完整性屬性列表。

7.根據權利要求6所述的分層連接可信網絡的方法，其特征在于所述完整性屬性列表獲得的方法為：

a、網絡連接控制點查詢用戶名表，獲得用戶名所屬的用戶組ID；

b、根據用戶組ID查詢所有的平臺完整性分組ID列表；

c、獲得列表中每個平臺完整性分組ID包含的屬性值；

d、根據屬性ID和屬性值生成完整性屬性列表。

8.根據權利要求5所述的分層連接可信網絡的方法，其特征在于所述完整性數據驗證結果為資源組成列表。