[發明專利]一種可信云計算環境中無證書跨域認證方法

有效

• 申請號: 201310518309.5
• 申請日: 2013-10-28
• 公開（公告）號: CN103546567A
• 公開（公告）日: 2014-01-29
• 發明（設計）人: 趙朋川;曾穎明;陳志浩;李紅;王斌
• 申請（專利權）人: 中國航天科工集團第二研究院七〇六所;北京航天愛威電子技術有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06;H04L9/08
• 代理公司: 北京思海天達知識產權代理有限公司 11203
• 代理人: 劉萍

1.一種可信云計算環境中無證書跨域認證方法，其特征在于：

認證系統包括認證服務器A、認證服務器B、中心認證服務器S和用戶C，其中認證服務器A和用戶C屬于可信域DOM1，認證服務器B屬于可信域DOM2，中心認證服務器作為可信第三方獨立于DOM1和DOM2；

分為4個階段，分別為：跨域認證請求階段、請求轉發階段、用戶可信認證階段、跨域認證密鑰分發階段；

階段1：跨域認證請求階段：可信域DOM1中的用戶C向可信域DOM2中的認證服務器B發起跨域認證請求，包括用戶C的唯一身份ID_C、用戶C的隨機挑戰N_C、用戶C的公鑰用戶C選擇的臨時公鑰T_C進入階段2；

階段2：請求轉發階段：認證服務器B首先檢查用戶的ID，啟動跨域認證請求轉發過程；認證服務器B將用戶C的唯一身份ID_C、用戶C的隨機挑戰N_C、認證服務器B的挑戰N_B、認證服務器B選擇的臨時公鑰T_B、認證服務器B的公鑰構造跨域認證請求并對進行簽名，然后轉發至中心認證服務器S；中心認證服務器S收到認證請求包后，首先檢查B的簽名，檢查通過以后，中心認證服務器S將跨域認證請求轉發至認證服務器A，認證請求中包含中心認證服務器的挑戰，請求轉發階段結束，進入階段3；

階段3：用戶可信認證階段：認證服務器A收到中心認證服務器S發送的認證請求后，啟動對用戶C的可信認證，可信認證過程遵循可信網絡連接TNC協議，在可信網絡連接中認證服務器A完成對用戶C的身份認證、用戶認證和完整性認證；認證成功后，認證服務器A將認證結果resp、用戶C的隨機挑戰N_C和中心認證服務器S的N_S進行簽名發送給中心認證服務器S；

階段4：跨域認證密鑰分發階段：中心認證服務器S首先對比由認證服務器A轉發的用戶C進行跨域訪問的隨機挑戰和由認證服務器B轉發的用戶C進行跨域訪問的隨機挑戰是否一致，對比認證服務器A簽名的N_S和生成的N_S是否一致，然后根據可信認證結果resp，為用戶C生成部分私鑰D_C，連同認證服務器B的挑戰N_B、認證服務器B選擇的臨時公鑰T_B、認證服務器B的公鑰加密轉發給認證服務器A，認證服務器A收到后進行解密；

認證服務器A收到后進行解密然后將解密結果傳送給用戶C；最后，用戶C利用自己的私鑰D_C和認證服務器B的公鑰生成跨域資源訪問的會話密鑰，認證服務器B利用自己的私鑰和用戶C的公鑰生成與用戶C生成的會話密鑰一致的密鑰，至此用戶C完成了跨域的可信認證和跨域資源訪問會話密鑰的協商。