[發明專利]一種基于IPsec的可信網絡連接方法

有效

• 申請號: 201410294716.7
• 申請日: 2014-06-27
• 公開（公告）號: CN104079570B
• 公開（公告）日: 2017-09-22
• 發明（設計）人: 劉毅;周艷鋼;余發江;肖霄;馮振新
• 申請（專利權）人: 東湖軟件產業股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 武漢凌達知識產權事務所(特殊普通合伙)42221
• 代理人: 宋國榮

技術領域

本發明屬于可信網絡連接(TNC)技術領域，具體而言，本發明涉及一種基于IPsec的可信網絡連接方法。

背景技術

在標準的可信網絡連接(TNC)架構中，只是在終端接入網絡的過程中對終端進行了平臺身份認證與完整性驗證，在終端接入網絡之后就沒有相應的措施對網絡和終端進行保護。終端平臺有可能在接入后發生可信狀態的改變，因此有必要增加整個接入過程的控制機制，保證終端平臺的動態可信。

同時，傳統可信網絡連接(TNC)的出發點是保證網絡的安全性，因此該架構沒有考慮如何保護終端的安全。終端在接入網絡之前，除了要提供自身的平臺可信性證據之外，還應該具有對接入網絡進行可信性評估，否則無法保證從網絡中獲取的服務可信。

發明內容

本發明主要是解決現有技術所存在的技術問題，提供一種能夠使終端和服務器之間通過IKE會話，周期性更新安全聯盟(SA)時，也周期性進行了雙向平臺身份認證、完整性驗證，從而既保證了終端平臺的動態可信、應用服務器的訪問安全，也保證了終端從網絡中獲取的服務可信的一種基于IPsec的可信網絡連接方法

本發明的上述技術問題主要是通過下述技術方案得以解決的：

一種基于IPsec的可信網絡連接方法，基于一個基本架構，即：可信終端在訪問可信服務器的過程中，底層通訊通路使用IPsec安全通道，IPsec安全通道所使用安全聯盟的生命周期結束前，需要雙方進行IKE會話，生成新的安全聯盟；其特征在于，包括以下步驟：

步驟1、IKE客戶端向IKE服務端發起密鑰協商；成功后IKE服務端通知TNC服務端有一個IKE協商請求到來，若不成功則整個步驟結束；

步驟2、TNC服務端和TNC客戶端進行雙向平臺驗證，并根據驗證結果進行如下操作：

選擇操作一： TNC客戶端和TNC服務端之間的平臺驗證成功完成，TNC服務端通知認證中心新的IKE協商請求已經發生，需要進行完整性驗證。同時TNC客戶端通知完整性收集器新的IKE協商請求已經發生，需要準備完整性相關信息。完整性收集器向TNC客戶端返回平臺完整性消息；并繼續進行下一步的操作；

選擇操作二：TNC客戶端和TNC服務端之間的平臺驗證失敗，則整個步驟結束；

步驟3、完整性收集器和認證中心之間進行完整性消息交換、驗證，該完整性消息交換、驗證通過TNC客戶端和TNC服務端進行；同時完整性消息將會被IPsec客戶端、IPsec服務端轉發，直到可信終端的完整性狀態滿足TNC服務端的要求；

步驟4、當TNC服務端完成和TNC客戶端的完整性驗證握手之后，它發送TNC服務端推薦操作給IKE服務端；

步驟5、IKE服務端將IKE協商的結果通知相關各方。

在上述的一種基于IPsec的可信網絡連接方法，所述步驟3中，完整性消息交換、驗證的具體方法是：

步驟3.1、TNC客戶端和TNC服務端交換完整性驗證相關的各種信息。這些信息將會被IPsec客戶端、IPsec服務端轉發，直到可信終端的完整性狀態滿足TNC服務端的要求。

步驟3.2、TNC服務端將每個完整性收集器收集的完整性信息發送給認證中心。認證中心對完整性收集器收集的完整性信息進行分析，如果認證中心需要更多的完整性信息，它將通過IF-IMV接口向TNC服務端發送信息。如果認證中心已經對完整性收集器收集的完整性信息做出判斷，它將結果通過IF-IMV接口發送給TNC服務端。

步驟3.3、TNC客戶端也要轉發來自TNC服務端的信息給相應的完整性收集器，并將來自完整性收集器的信息發給TNC服務端。

在上述的一種基于IPsec的可信網絡連接方法，所述步驟5中，具體需要通知的對象如下：

通知對象一：IKE服務端將IKE協商結果通知給IKE客戶端，IKE協商完成；

通知對象二：IKE服務端將IKE協商結果通知給網絡訪問授權模塊，并根據協商結果對該終端的訪問控制策略進行更新；具體是：若IKE協商結果為協商成功，則對網絡訪問授權模塊的訪問控制策略進行禁止訪問的更新；若IKE協商結果為協商失敗，則對網絡訪問授權模塊的訪問控制策略進行允許訪問的更新；

通知對象三：IKE服務端將協商成功的終端與服務器之間安全聯盟通告給IPsec服務端，IKE客戶端將協商成功的終端與服務器之間安全聯盟通告給IPsec客戶端。