[發(fā)明專(zhuān)利]一種分層連接可信網(wǎng)絡(luò)的方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201010588246.7
• 申請(qǐng)日: 2010-12-07
• 公開(kāi)（公告）號(hào): CN102035837A
• 公開(kāi)（公告）日: 2011-04-27
• 發(fā)明（設(shè)計(jì)）人: 于愛(ài)民;秦宇;趙世軍;汪丹;李昊;常德顯
• 申請(qǐng)（專(zhuān)利權(quán)）人: 中國(guó)科學(xué)院軟件研究所
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L12/24
• 代理公司: 北京君尚知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11200
• 代理人: 馮藝東

技術(shù)領(lǐng)域

本發(fā)明涉及可信網(wǎng)絡(luò)連接的方法及系統(tǒng)，尤其涉及分層連接可信網(wǎng)絡(luò)的方法及系統(tǒng)。屬于信息安全技術(shù)領(lǐng)域

背景技術(shù)

隨著互聯(lián)網(wǎng)規(guī)模的擴(kuò)張和應(yīng)用的深化，網(wǎng)絡(luò)安全與監(jiān)管面臨巨大挑戰(zhàn)，解決網(wǎng)絡(luò)安全問(wèn)題的關(guān)鍵方法之一就是建立網(wǎng)絡(luò)空間信任技術(shù)體系，實(shí)現(xiàn)跨異構(gòu)管理域網(wǎng)絡(luò)身份管理、認(rèn)證授權(quán)、責(zé)任認(rèn)定、平臺(tái)信任。網(wǎng)絡(luò)空間信任體系主要包括兩個(gè)方面，一是用戶身份信任體系，二是設(shè)備平臺(tái)信任體系。有了用戶身份信任體系，用戶在網(wǎng)絡(luò)上的行為活動(dòng)就變得可管可控，從用戶登錄網(wǎng)絡(luò)應(yīng)用系統(tǒng)開(kāi)始，到網(wǎng)上購(gòu)物、網(wǎng)上投票、網(wǎng)絡(luò)言論、網(wǎng)上辦公等，任何活動(dòng)都有據(jù)可查，同時(shí)保護(hù)用戶的個(gè)人和行為隱私不受侵犯，保證特殊用戶的匿名特性和通信機(jī)密性，因此，建設(shè)和諧的網(wǎng)絡(luò)環(huán)境迫切需要建立基于用戶身份的網(wǎng)絡(luò)空間信任體系。平臺(tái)信任體系保證網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)環(huán)境的可信，保證建設(shè)一個(gè)安全可靠的網(wǎng)絡(luò)環(huán)境，建立起設(shè)備平臺(tái)信任體系將使得非法設(shè)備或非法軟件在網(wǎng)絡(luò)上的接入有據(jù)可查，并且可管可控。可信計(jì)算平臺(tái)技術(shù)的發(fā)展，為網(wǎng)絡(luò)設(shè)備平臺(tái)空間信任體系的建立提供了良好的技術(shù)基礎(chǔ)。

終端信任鏈技術(shù)是建立網(wǎng)絡(luò)信任體系終端平臺(tái)信任的基礎(chǔ)，它從TPM/TCM信任根開(kāi)始到硬件平臺(tái)，到操作系統(tǒng)，再到應(yīng)用程序，一級(jí)認(rèn)證一級(jí)，一級(jí)信任一級(jí)，把這種信任擴(kuò)展到可信計(jì)算平臺(tái)，從而保證了網(wǎng)絡(luò)空間每一個(gè)節(jié)點(diǎn)的可信。信任鏈的構(gòu)建方法多種多樣，IBM研究中心提出了IMA(Integrity?Measure?Archecture)，研發(fā)了第一個(gè)基于TCG標(biāo)準(zhǔn)的信任鏈構(gòu)建系統(tǒng)。IMA通過(guò)對(duì)系統(tǒng)中的可執(zhí)行文件、動(dòng)態(tài)加載器、內(nèi)核模塊以及動(dòng)態(tài)庫(kù)進(jìn)行度量來(lái)保證系統(tǒng)的完整性。隨后IBM研究中心改進(jìn)IMA方案，提出了PRIMA(Policy-Reduced?Integrity?Measure?Architecture)信任鏈構(gòu)建方法，它通過(guò)強(qiáng)制訪問(wèn)控制策略減少了不可信信息流的度量，通過(guò)完整性度量建立起系統(tǒng)信息流圖，從而保證可信平臺(tái)運(yùn)行狀態(tài)可信。除此之外，還有LKIM信任鏈構(gòu)建方法，它主要針對(duì)操作系統(tǒng)內(nèi)核，在靜態(tài)的度量基礎(chǔ)上增加內(nèi)核狀態(tài)變量度量，即定義一系列變量(例如文件操作表和inode節(jié)點(diǎn)操作表等)表示系統(tǒng)的狀態(tài)，而當(dāng)這些變量值發(fā)生變化的時(shí)候，相應(yīng)的重新進(jìn)行度量，從而建立可信計(jì)算平臺(tái)動(dòng)態(tài)信任。

可信網(wǎng)絡(luò)連接是可信計(jì)算平臺(tái)在網(wǎng)絡(luò)應(yīng)用上的延伸和擴(kuò)展，其主要基于TPM/TCM提供的平臺(tái)完整性度量、身份證明、屬性證明，通過(guò)遠(yuǎn)程證明協(xié)議，驗(yàn)證平臺(tái)計(jì)算環(huán)境的安全屬性，以此作為接入網(wǎng)絡(luò)的重要依據(jù)。Juniper在其統(tǒng)一連接控制方案(UAC)中同時(shí)支持NAC和TNC兩大標(biāo)準(zhǔn)，并成功實(shí)現(xiàn)和其它廠商產(chǎn)品的互操作，達(dá)到與現(xiàn)有的安全基礎(chǔ)設(shè)施無(wú)縫集成。ConSentry則重點(diǎn)關(guān)注局域網(wǎng)底層結(jié)構(gòu)的直接安全嵌入，提供了一整套完整的權(quán)限管理用來(lái)保護(hù)企業(yè)的信息資源。該公司的LANShield系列路由器與控制器可直接替換傳統(tǒng)網(wǎng)絡(luò)中的路由器，實(shí)現(xiàn)了透明實(shí)用的、由企業(yè)主導(dǎo)的網(wǎng)絡(luò)部署。Wave公司也研制了TNC網(wǎng)絡(luò)完整性訪問(wèn)控制產(chǎn)品，它將EmbassyTrust?Suite軟件產(chǎn)品運(yùn)行于Juniper公司的網(wǎng)絡(luò)訪問(wèn)控制方案之上，完全實(shí)現(xiàn)了基于可信計(jì)算的平臺(tái)完整性服務(wù)。國(guó)際上可信網(wǎng)絡(luò)連接產(chǎn)品發(fā)展迅速，TCG的可信網(wǎng)絡(luò)連接(TNC)標(biāo)準(zhǔn)也不斷升級(jí)，TNC體系結(jié)構(gòu)標(biāo)準(zhǔn)從1.0升級(jí)到1.3，新增IF-MAP、IF-T等新的接口標(biāo)準(zhǔn)。我國(guó)基于TCM的可信網(wǎng)絡(luò)連接標(biāo)準(zhǔn)也正在制定中，國(guó)內(nèi)企業(yè)同方、清大安科等都擁有自己的支持TCM的可信網(wǎng)絡(luò)連接解決方案。

然而，在國(guó)際互聯(lián)網(wǎng)這樣的大規(guī)模網(wǎng)絡(luò)環(huán)境下構(gòu)建網(wǎng)絡(luò)實(shí)體間的信任，現(xiàn)有技術(shù)尚存在以下幾點(diǎn)問(wèn)題：

1、擴(kuò)展性不足。現(xiàn)有體系架構(gòu)主要著眼于局域網(wǎng)環(huán)境中的接入控制，然而，為了構(gòu)建可信網(wǎng)絡(luò)環(huán)境，需要實(shí)現(xiàn)互聯(lián)網(wǎng)環(huán)境中實(shí)體間的信任關(guān)系建立。

2、軟件的升級(jí)更新可能導(dǎo)致網(wǎng)絡(luò)安全隱患。在現(xiàn)有方案中，對(duì)于完整性的驗(yàn)證由處于服務(wù)器內(nèi)部的IMV組件進(jìn)行，然而，該組件通常實(shí)現(xiàn)為軟件廠商發(fā)布的共享庫(kù)文件，因此可能導(dǎo)致由于服務(wù)器未及時(shí)更新IMV組件從而使不安全終端接入網(wǎng)絡(luò)，帶來(lái)惡意代碼傳播、敏感信息泄露等問(wèn)題。

發(fā)明內(nèi)容