[發明專利]一種基于可信計算的遠程雙向訪問控制系統及方法

有效

• 申請號: 201610994261.9
• 申請日: 2016-11-10
• 公開（公告）號: CN106789059B
• 公開（公告）日: 2019-09-20
• 發明（設計）人: 郭曉鴻;劉皊皊;段然;趙凡宇;林丹;秦樹鑫;董文德
• 申請（專利權）人: 中國電子科技集團公司第二十八研究所
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06
• 代理公司: 江蘇圣典律師事務所 32237
• 代理人: 胡建華

本發明公開了一種基于可信計算的遠程雙向訪問控制系統及方法，系統包括客戶端、監控端和服務端，客戶端、監控端和服務端分別包括集成有可信密碼支撐模塊的計算機終端平臺；客戶端部署有服務訪問模塊，監控端部署有認證中心；服務端部署有服務管理模塊及遠程應用服務模塊。所述方法包括：對計算機終端平臺進行完整性認證，通過則啟動計算機；對本地用戶進行身份認證，通過則允許用戶登錄計算機用戶向認證中心提交遠端服務網絡訪問認證申請；認證中心對用戶及用戶的終端平臺進行認證；認證中心檢查遠端服務的有效性，并對被訪問的遠端服務進行完整性度量；當訪問用戶、用戶計算機終端平臺及遠端服務均可信時，認證中心授權用戶訪問遠端服務。

技術領域

本發明涉及訪問控制技術，特別涉及一種基于可信計算的遠程雙向訪問控制系統及方法。

背景技術

隨著計算機技術與互聯網的發展，對用戶共享系統資源的安全問題日益凸顯。一個安全的網絡的環境需要可靠的訪問控制服務進行保證。訪問控制指一種通過某種途徑，允許或者限制對資源的訪問能力以及范圍的方式。目前常見的訪問控制模型可分為強制訪問控制(Mandatory Access Control,MAC)、自主訪問控制(Discretionary AccessControl,DAC)以及基于角色的訪問控制(RBAC：Role-based Access Control)，其中隨著當前網絡化技術的深入，在大型的組織或企業中，隨著網絡資源多樣化，用戶數量的不斷增加，RBAC由于其特有的模型結構，對提高組織效率以及其信息系統安全性具有獨特的優勢。

但目前傳統的RBAC采取的認證手段較為單一，即僅通過用戶的身份進行認證，對用戶平臺的狀態并不進行判斷，此外在復雜環境下，訪問控制技術僅解決了信息的保密性，并沒有解決信息的完整性問題。同時對于認證對象的選擇，傳統的認證方法僅認證訪問者，并沒有對被訪問的服務進行認證，存在安全隱患。

近年來，可信計算技術正逐步成為信息安全的主要發展趨勢之一。可信計算技術通過在計算機硬件平臺引入安全芯片，通過其提供的安全特性以及密碼模塊，從終端解決系統安全性問題。

發明內容

針對現有技術的不足，本發明提供了一種基于可信計算的遠程雙向訪問控制系統及方法，所述系統包括客戶端、監控端和服務端，所述客戶端、監控端和服務端分別包括集成有可信密碼支撐模塊的計算機終端平臺；

所述可信密碼支撐模塊(TCM，Trusted Cryptography Module)主要通過其可信度量能力保護客戶端計算機平臺的可信，并用于存儲平臺身份的密鑰(該平臺身份的密鑰即身份標識是唯一存在的)、平臺管理用戶及注冊用戶信息、各類基準值信息(BIOS數據、硬盤、光驅、操作系統內核等)和密鑰算法引擎；

所述客戶端部署有服務訪問模塊，服務訪問模塊為用戶提供透明的安全可信服務訪問登錄入口；

所述監控端部署有認證中心，所述認證中心包括認證策略執行點、認證策略決策點和認證中心庫，策略執行點用于接收用戶請求并根據策略決策點的要求與認證對象進行會話質詢，策略決策點用于對用戶身份認證信息進行認證，認證中心庫存儲有各類認證基準信息，包括計算機終端平臺信息、用戶身份認證信息和服務標識信息；

所述服務端部署有服務管理模塊及遠程應用服務模塊。服務管理模塊用于完成對服務資源的管理、控制和監視等，遠程應用服務模塊為客戶端計算機終端提供所需算法及應用支撐服務。

所述系統執行如下步驟：

步驟1-1，用戶通過客戶端服務訪問模塊向監控端認證中心提交遠端服務網絡訪問認證申請，服務訪問模塊通過可信密碼支撐模塊調用接口提取本地用戶身份、計算機終端平臺身份、計算機終端平臺完整性的認證信息，并調用客戶端計算機終端平臺可信密碼支撐模塊中的AIK公鑰(AIK，Attestation Identity Key)對認證信息進行加密得到加密報文；