[發(fā)明專(zhuān)利]一種可信網(wǎng)絡(luò)接入與訪(fǎng)問(wèn)控制方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201510095892.2
• 申請(qǐng)日: 2015-03-04
• 公開(kāi)（公告）號(hào): CN104618396B
• 公開(kāi)（公告）日: 2018-01-02
• 發(fā)明（設(shè)計(jì)）人: 郭猛善;馮磊;趙斌
• 申請(qǐng)（專(zhuān)利權(quán)）人: 浪潮集團(tuán)有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L9/32
• 代理公司: 濟(jì)南信達(dá)專(zhuān)利事務(wù)所有限公司37100
• 代理人: 張靖

技術(shù)領(lǐng)域

本發(fā)明涉及通信控制領(lǐng)域，具體涉及一種可信網(wǎng)絡(luò)接入與訪(fǎng)問(wèn)控制系統(tǒng)及方法。

背景技術(shù)

隨著信息技術(shù)的發(fā)展，越來(lái)越多的重要信息存儲(chǔ)于企業(yè)內(nèi)部服務(wù)器中，來(lái)自互聯(lián)網(wǎng)的常規(guī)攻擊可通過(guò)防火墻、UTM等產(chǎn)品進(jìn)行保護(hù)，方案也比較成熟，而越來(lái)越多的信息泄密行為發(fā)生在網(wǎng)絡(luò)內(nèi)部，網(wǎng)絡(luò)管理混亂、隨意接入、終端主機(jī)感染病毒等都是影響網(wǎng)絡(luò)安全的重要因素，因此加強(qiáng)對(duì)網(wǎng)絡(luò)的管理、細(xì)化網(wǎng)絡(luò)訪(fǎng)問(wèn)權(quán)限、控制網(wǎng)絡(luò)接入成為必不可少的網(wǎng)絡(luò)安全措施。

TNC@FHH是一個(gè)開(kāi)源實(shí)現(xiàn)的可信網(wǎng)絡(luò)連接架構(gòu)，采用基于802.1x網(wǎng)絡(luò)接入控制技術(shù)，使用FreeRedius作為接入認(rèn)證服務(wù)器。用戶(hù)通過(guò)交換機(jī)將網(wǎng)絡(luò)劃分不同的VLAN，不同VLAN之間無(wú)法相互訪(fǎng)問(wèn)，從而實(shí)現(xiàn)網(wǎng)絡(luò)隔離；結(jié)合FreeRedius認(rèn)證服務(wù)器實(shí)現(xiàn)網(wǎng)絡(luò)接入認(rèn)證，只有通過(guò)FreeRedius服務(wù)器認(rèn)證的終端才允許接入網(wǎng)絡(luò)，從而實(shí)現(xiàn)網(wǎng)絡(luò)接入控制。該方案從物理端口上劃分網(wǎng)絡(luò)區(qū)域，會(huì)占用大量的物理資源，對(duì)于多層網(wǎng)絡(luò)部署難度大、不靈活。

另外一種方案屬于傳統(tǒng)網(wǎng)絡(luò)準(zhǔn)入控制范疇，該方案集成多種身份認(rèn)證方式（LDAP、AD等），加強(qiáng)了網(wǎng)絡(luò)接入控制，除身份認(rèn)證外，需要對(duì)終端安全狀態(tài)進(jìn)行檢查，只有檢查合格才可接入網(wǎng)絡(luò)，但是該方案沒(méi)有對(duì)網(wǎng)絡(luò)細(xì)分，終端只要接入網(wǎng)絡(luò)便可隨意訪(fǎng)問(wèn)網(wǎng)絡(luò)內(nèi)資源，一旦攻擊者獲取用戶(hù)身份便可獲取網(wǎng)絡(luò)內(nèi)數(shù)據(jù)。

以上方案雖然一定程度上解決了網(wǎng)絡(luò)接入控制、網(wǎng)絡(luò)訪(fǎng)問(wèn)控制等問(wèn)題，但是存在部署難度大、占用資源高、無(wú)法自適應(yīng)不同網(wǎng)絡(luò)環(huán)境等問(wèn)題。

發(fā)明內(nèi)容

本發(fā)明要解決的技術(shù)問(wèn)題是：本發(fā)明為克服上述方案存在的問(wèn)題，提供一種可信網(wǎng)絡(luò)接入與訪(fǎng)問(wèn)控制方法及系統(tǒng)。

本發(fā)明所采用的技術(shù)方案為：

一種可信網(wǎng)絡(luò)接入與訪(fǎng)問(wèn)控制系統(tǒng)，所述控制系統(tǒng)包括網(wǎng)絡(luò)接入請(qǐng)求者、網(wǎng)絡(luò)接入決策者、網(wǎng)絡(luò)接入控制者，其中：

網(wǎng)絡(luò)接入請(qǐng)求者包含身份認(rèn)證模塊、安全可信狀態(tài)檢測(cè)模塊、信息上報(bào)模塊、在線(xiàn)狀態(tài)維持模塊、數(shù)字標(biāo)簽標(biāo)記模塊；

網(wǎng)絡(luò)接入決策者包含身份驗(yàn)證模塊、安全可信狀態(tài)驗(yàn)證模塊、策略分發(fā)模塊、請(qǐng)求者在線(xiàn)狀態(tài)維持模塊、安全域管理模塊；

網(wǎng)絡(luò)接入控制者包含數(shù)字標(biāo)簽驗(yàn)證模塊、網(wǎng)絡(luò)訪(fǎng)問(wèn)控制模塊；

網(wǎng)絡(luò)接入請(qǐng)求者在接入網(wǎng)絡(luò)時(shí)進(jìn)行平臺(tái)身份認(rèn)證，檢測(cè)請(qǐng)求者安全可信狀態(tài)，將安全可信狀態(tài)發(fā)送到網(wǎng)絡(luò)接入決策者，由決策者判斷請(qǐng)求者安全可信等級(jí)，并給出網(wǎng)絡(luò)訪(fǎng)問(wèn)決策，將網(wǎng)絡(luò)訪(fǎng)問(wèn)決策發(fā)送到網(wǎng)絡(luò)接入控制者，由控制者限制請(qǐng)求的網(wǎng)絡(luò)訪(fǎng)問(wèn)。

所述控制系統(tǒng)的網(wǎng)絡(luò)接入請(qǐng)求者、網(wǎng)絡(luò)接入決策者、網(wǎng)絡(luò)接入控制者操作過(guò)程全部使用TCM密碼算法進(jìn)行加解密與簽名，保證信息交互安全。

為了保證網(wǎng)絡(luò)接入終端安全可信，所述網(wǎng)絡(luò)接入決策者預(yù)制安全可信域與安全可信域?qū)傩裕踩尚庞驅(qū)傩园瑪?shù)字標(biāo)簽特征、安全等級(jí)。

所述網(wǎng)絡(luò)接入決策者設(shè)置安全可信策略，用于終端進(jìn)行安全可信狀態(tài)檢查。

一種可信網(wǎng)絡(luò)接入與訪(fǎng)問(wèn)控制方法，網(wǎng)絡(luò)接入決策者采用數(shù)字標(biāo)簽技術(shù)將整個(gè)網(wǎng)絡(luò)劃分為不同的安全域，網(wǎng)絡(luò)接入請(qǐng)求者通過(guò)身份認(rèn)證發(fā)起網(wǎng)絡(luò)接入請(qǐng)求，然后從網(wǎng)絡(luò)接入決策者接收安全可信策略，網(wǎng)絡(luò)接入請(qǐng)求者按照安全可信策略執(zhí)行安全可信檢查，將檢查結(jié)果發(fā)送到網(wǎng)絡(luò)決策者，決策者根據(jù)檢查結(jié)果判斷請(qǐng)求者安全狀態(tài)，并將對(duì)應(yīng)的安全域數(shù)字標(biāo)簽特征發(fā)送到請(qǐng)求者，請(qǐng)求者在后續(xù)網(wǎng)絡(luò)訪(fǎng)問(wèn)過(guò)程中對(duì)網(wǎng)絡(luò)數(shù)據(jù)包打數(shù)字標(biāo)簽，網(wǎng)絡(luò)接入控制者根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包中數(shù)字標(biāo)簽判斷請(qǐng)求者網(wǎng)絡(luò)訪(fǎng)問(wèn)是否合法。

結(jié)合國(guó)產(chǎn)TCM芯片與數(shù)字標(biāo)簽技術(shù)，所述控制方法包含步驟如下：

步驟V101：網(wǎng)絡(luò)接入請(qǐng)求者首先將AIK證書(shū)（平臺(tái)身份證書(shū)）發(fā)送到網(wǎng)絡(luò)接入決策者，由網(wǎng)絡(luò)接入決策者驗(yàn)證請(qǐng)求者的平臺(tái)身份；

步驟V102：網(wǎng)絡(luò)接入請(qǐng)求者AIK證書(shū)認(rèn)證通過(guò)后，使用TCM對(duì)稱(chēng)加密算法對(duì)用戶(hù)名、密碼加密，并使用AIK私鑰對(duì)加密信息簽名，將簽名后信息發(fā)送到網(wǎng)絡(luò)接入決策者；

步驟V103：網(wǎng)絡(luò)接入決策者首先使用AIK公鑰對(duì)加密數(shù)據(jù)驗(yàn)簽，驗(yàn)證通過(guò)后使用TCM對(duì)稱(chēng)加密算法解密加密用戶(hù)名、密碼并對(duì)用戶(hù)名密碼認(rèn)證，如果認(rèn)證失敗拒絕接入網(wǎng)絡(luò)；

步驟V104：身份認(rèn)證通過(guò)后網(wǎng)絡(luò)接入請(qǐng)求者從網(wǎng)絡(luò)接入服務(wù)器請(qǐng)求安全可信策略；

步驟V105：網(wǎng)絡(luò)請(qǐng)求者根據(jù)安全可信策略執(zhí)行安全可信檢查，檢測(cè)結(jié)果包含平臺(tái)完整性PCR值、系統(tǒng)文件完整性、殺毒軟件版本及狀態(tài)等，使用AIK私鑰對(duì)檢測(cè)結(jié)果簽名，并將檢測(cè)結(jié)果發(fā)送到所述網(wǎng)絡(luò)接入決策者；