[發明專利]一種基于可信密碼模塊芯片的網絡接入認證方法

無效

• 申請號: 201210086225.4
• 申請日: 2012-03-29
• 公開（公告）號: CN103368905A
• 公開（公告）日: 2013-10-23
• 發明（設計）人: 李健航;賈士民
• 申請（專利權）人: 同方股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于可信密碼模塊芯片的網絡接入認證方法，其特征在于，所述的認證方法基于可信密碼模塊芯片,包括接入請求者、認證者和認證服務器，所述接入請求者與所述認證者之間采用局域網承載擴展認證協議進行通訊，所述認證者與所述認證服務器之間采用承載在認證用高層協議上的擴展認證協議進行通訊，所述認證方法包括以下步驟：

1），接入請求者發起認證開始報文，啟動認證；

2），認證者處理認證開始報文，從可信密碼模塊芯片獲得含有接入請求者身份認證信息，所述接入請求者身份認證信息包括所述請求者的用戶身份認證信息和/或設備認證信息，通過擴展認證協議響應報文；

3），認證者將所述擴展認證協議響應報文封裝到認證用高層協議訪問請求報文中，發送給認證服務器；

4），認證服務器產生含有擴展認證方式請求報文的認證用高層協議訪問請求報文，發送給認證者；

5），認證者取出擴展認證方式請求報文，發送給接入請求者；

6），接入請求者按照指定的擴展認證方式進行認證處理，向認證者發送請求應答報文；

7），認證者將請求應答報文封裝到認證用高層協議訪問請求報文中，發送給認證服務器；

8），認證服務器進行驗證，驗證含有經過可信密碼模塊芯片計算的系統度量值的用戶身份認證信息和/或設備認證信息；

9）若驗證失敗，則認證服務器向認證者返回認證失敗報文，認證者獲得認證失敗報文發送給接入請求者，拒絕接入請求者接入網絡；

10)，若驗證成功，則認證服務器向認證者返回認證成功報文，認證者根據認證成功報文中的認證策略將接入請求者接入到不同子網。

2.根據權利要求1所述的基于可信密碼模塊芯片的網絡接入認證方法，其特征在于，所述的接入請求者對應用戶終端，認證者對應無線接入點AP或以太網交換機，認證服務器對應RADIUS服務器。

3.根據權利要求1所述的基于可信密碼模塊芯片的網絡接入認證方法，其特征在于，所述的步驟2）進一步包括：認證者向接入請求者發送提交身份認證信息的擴展認證協議請求報文；接入請求者回應含有身份認證信息的擴展認證協議響應報文給認證者。

4.根據權利要求1所述的基于可信密碼模塊芯片的網絡接入認證方法，其特征在于，所述的步驟2）所述的設備認證信息由可信密碼模塊芯片生成并保存，其通過可信信任鏈標識設備的唯一性。

5.根據權利要求1所述的基于可信密碼模塊芯片的網絡接入認證方法，其特征在于，所述的認證者采用報文偵聽的方式獲取報文信息，再轉發報文；所述的認證者在轉發報文前，可以包括對報文重新組包的步驟。

6.根據權利要求1所述的基于可信密碼模塊芯片的網絡接入認證方法，其特征在于，所述的步驟6)進一步包括：接入認證者向認證者發送應答報文之前，生成用戶身份認證信息與設備認證信息。

7.根據權利要求1所述的基于可信密碼模塊芯片的網絡接入認證方法，其特征在于，?所述的步驟8）中所述的可信密碼模塊芯片計算的系統度量值，包括以下步驟：

8.1)計算機加電啟動后，BIOS首先完成可信密碼模塊芯片初始化，確定可信度量根為可信；

8.2)利用可信密碼模塊芯片內置算法完成對CPU微指令的度量，將結果保存到芯片特定寄存器零（PCR0）中；

8.3)利用可信密碼模塊芯片內置算法完成對內存、主板各控制器初始化ROM的度量，將結果保存到芯片特定寄存器一(PCR1)中;

8.4)利用可信密碼模塊芯片內置算法完成對硬盤、光驅、USB等外設ROM及設備號的度量，將結果保存到芯片特定寄存器二(PCR2)中;

8.5)利用可信密碼模塊芯片內置算法完成對操作系統各個進程模塊的度量，將結果保存到芯片特定寄存器三(PCR3)中;

8.6)利用可信密碼模塊芯片內置算法，完成對特定寄存器零(PCR0)至特定寄存器三（PCR3）各個寄存器摘要值的計算，從而得到完整性度量值。

8.根據權利要求1所述的基于可信密碼模塊芯片的網絡接入認證方法，其特征在于，所述的步驟1）之前還可以包括：配置認證者的端口控制功能是否啟用的步驟。