[發明專利]一種基于可信密碼模塊芯片的可信網絡接入認證系統

無效

• 申請號: 201210086241.3
• 申請日: 2012-03-29
• 公開（公告）號: CN103368906A
• 公開（公告）日: 2013-10-23
• 發明（設計）人: 李健航;賈士民
• 申請（專利權）人: 同方股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的認證系統基于可信密碼模塊芯片,?所述可信密碼模塊芯片包括可信密碼模塊和可信密碼服務模塊兩個基本模塊；所述認證系統包括接入請求者、認證者、接入認證服務器和策略管理器，所述接入請求者與所述認證者之間、所述認證者與所述認證服務器之間采用認證協議進行通訊。

2.?根據權利要求1所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的可信密碼模塊,是可信網絡計算機平臺的硬件模塊，為可信網絡計算平臺提供密碼運算，具有受保護的存儲空間，硬件和固件的集合。

3.?根據權利要求2所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的可信密碼模塊,可以采用獨立的封裝形式，或可以采用和其他類型芯片集成在一起。

4.?根據權利要求1所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述接入請求者包括網絡接入請求者、客戶端與簽名收集者，所述網絡接入請求者與所述客戶端、所述客戶端與所述簽名收集者以數據承載方式連通；所述接入認證服務器包括網絡接入認證服務器、服務端、簽名驗證者與策略管理器，所述網絡接入認證服務器與所述服務端、所述服務端與所述簽名驗證者、所述服務端與所述策略管理器以數據承載方式連通。

5.?根據權利要求1所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的接入請求者對應用戶終端，認證者對應無線接入點AP或以太網交換機，認證服務器對應RADIUS服務器。

6.?根據權利要求5所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的用戶終端首先調用可信密碼模塊芯片內存在的密碼算法對接入請求者進行完整性度量，若完整性被破壞，則用戶終端被拒絕接入網絡。

7.?根據權利要求6所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的完整性度量是針對接入請求計算機的軟硬件環境進行度量過程，以保證接入計算機的可信性。

8.?根據權利要求7所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的接入請求計算機的軟硬件環境包括CPU、內存、主板、顯卡、硬盤、光驅、插在主板上的PCI/PCI-E卡及USB設備。

9.?根據權利要求8所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的主板的度量包括主板上自帶的各種控制器，包括內存控制器、SATA控制器，eSATA控制器。

10.根據權利要求7所述的基于可信密碼模塊芯片的可信網絡接入認證系統，其特征在于，所述的度量過程包括以下步驟：

計算機加電啟動后，BIOS首先完成可信密碼模塊芯片初始化，確定可信度量根為可信；

利用可信密碼模塊芯片內置算法完成對CPU微指令的度量，將結果保存到芯片特定寄存器零（PCR0）中；

利用可信密碼模塊芯片內置算法完成對內存、主板各控制器初始化ROM的度量，將結果保存到芯片特定寄存器一(PCR1)中;

利用可信密碼模塊芯片內置算法完成對硬盤、光驅、USB等外設ROM及設備號的度量，將結果保存到芯片特定寄存器二(PCR2)中;

利用可信密碼模塊芯片內置算法完成對操作系統各個進程模塊的度量，將結果保存到芯片特定寄存器三(PCR3)中;

利用可信密碼模塊芯片內置算法，完成對特定寄存器零(PCR0)至特定寄存器三（PCR3）各個寄存器摘要值的計算，從而得到完整性度量值。