[發明專利]一種衛星通信網中的實體認證權限管理系統及方法

有效

• 申請號: 201711310813.0
• 申請日: 2017-12-11
• 公開（公告）號: CN108055263B
• 公開（公告）日: 2020-07-24
• 發明（設計）人: 祝烈煌;李嘉盛;王龍;張子劍;徐暢
• 申請（專利權）人: 北京理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/08
• 代理公司: 北京正陽理工知識產權代理事務所(普通合伙) 11639
• 代理人: 唐華

1.實體認證與權限管理系統，其特征在于：主要包括網絡節點身份認證模塊,用戶終端身份認證模塊和權限管理模塊；

其中，網絡節點密鑰分發、主認證中心與網絡節點互認證協議、網絡節點失效協議、網絡節點密鑰更新協議、網絡節點身份信息存儲共同組成網絡節點身份認證模塊，完成衛星通信網中低軌衛星關口站、中軌衛星關口站、高軌衛星關口站、網絡服務中心、高軌衛星、低軌衛星為主的網絡節點的身份認證；

網絡節點密鑰分發完成網絡節點的ID和密鑰的產生，并在各個網絡節點投入使用之前預置；主認證中心與網絡節點互認證協議完成網絡節點投入使用之后主認證中心與網絡節點之間的認證，在完成過程中需檢索主認證中心的網絡節點身份信息表；網絡節點失效協議完成網絡節點在更新失效狀態后向主認證中心返還狀態信息；網絡節點密鑰更新協議首先完成主認證中心與網絡節點互認證協議，然后再向網絡節點分發新的密鑰，從而完成定期、不定期對網絡節點的密鑰更新；各個網絡節點的ID、密鑰、MAC地址、節點狀態、節點類型信息存儲在主認證中心的網絡節點身份信息表里；

用戶終端密鑰分發、域認證中心與用戶終端互認證協議、用戶終端密鑰更新協議、用戶終端身份信息存儲共同組成用戶終端身份認證模塊，完成低軌星座手持、車載終端、高速航天器終端、高軌衛星軍用手持終端、高軌衛星民用車載終端為主的用戶終端的身份認證；

其中，用戶終端密鑰分發完成用戶終端的ID和密鑰的產生，普通用戶終端通過網絡完成注冊，軍用手持終端、飛行器在投入使用之前預置密鑰；域認證中心與用戶終端互認證協議完成域認證中心與用戶終端之間的相互認證，在完成過程中需要檢索域認證中心的用戶終端身份信息表；用戶終端密鑰更新協議首先使用域認證中心與用戶終端互認證協議，然后再向用戶終端分發新的密鑰，完成定期、不定期對用戶終端的密鑰更新；各個用戶終端的ID、密鑰、所屬域、終端類型、終端狀態信息存儲在各自所屬域的域認證中心的用戶終端身份信息表里，每個域認證中心存儲200萬用戶，分為100張表，每張表存儲2萬用戶，并將用戶ID與表名之間建立映射關系，方便查詢，增大并發量；并借助公民網絡電子身份標識對用戶進行管理，實現了信息隱藏；

其中，低軌衛星關口站、中軌衛星關口站、高軌衛星關口站、網絡服務中心、低軌衛星、中軌衛星、高軌衛星、用戶終端以及其他需要訪問網絡資源的實體，統一稱為訪問請求實體；

其中，各個域可分為注冊域和訪問域；其中，注冊域為用戶注冊時所在的域；注冊域認證中心是指用戶注冊時所在的域對應的域認證中心；訪問域為用戶想要訪問的域；訪問域認證中心是指用戶想要訪問的域對應的域認證中心；

權限管理模塊在主認證中心和域認證中心分別存儲網絡節點和用戶終端的角色、權限映射表，通過多表聯合查詢的方式得到節點或用戶的權限；

實體認證與權限管理系統中各模塊的功能如下：

網絡節點身份認證模塊負責網絡節點的身份信息管理；用戶終端身份認證模塊負責用戶終端的身份信息管理；權限管理模塊負責網絡節點、用戶終端的角色-權限管理；

實體認證與權限管理系統中各模塊之間的關系如下：

當網絡節點或用戶終端請求訪問某網絡資源時，首先通過網絡節點身份認證模塊或用戶終端身份認證模塊驗證實體身份，再將其ID或角色傳入權限管理模塊得到實體的權限；根據實體的權限判斷是否允許其對該網絡資源的訪問。

2.分級跨域的動態權限屬性協同映射方法，其特征在于：通過以下步驟實現：

步驟1：當注冊域LA的訪問請求實體 q 通過網絡向系統提出對另一個域LB的資源o 的訪問請求；

步驟2：注冊域LA得到訪問請求并對實體q進行認證，確定實體q的角色r；

步驟3：注冊域LA根據角色r確定實體在注冊域的權限LAP；

步驟4：注冊域認證中心將LAP發送到訪問域認證中心；

步驟5：訪問域認證中心根據權限映射表對權限進行動態映射，確定LA的實體在LB所具有的權限LBP，取兩個權限的交集，即P=LAP×LBP；

步驟6:訪問域認證中心將P封裝后返還注冊域認證中心，完成動態權限屬性協同映射；

至此，經過步驟1到步驟6，完成了分級跨域的動態權限屬性協同映射方法。