[發(fā)明專利]基于Kerberos系統(tǒng)的跨云際認證方法

有效

• 申請?zhí)枺?/td>: 201810385232.1
• 申請日: 2018-04-26
• 公開（公告）號: CN108574576B
• 公開（公告）日: 2021-05-28
• 發(fā)明（設(shè)計）人: 李新明;劉斌
• 申請（專利權(quán)）人: 中科邊緣智慧信息科技（蘇州）有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L29/06
• 代理公司: 蘇州謹和知識產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 32295
• 代理人: 葉棟

本發(fā)明公開了一種基于Kerberos系統(tǒng)的跨云際認證方法，應(yīng)用于客戶端對公有云的訪問：步驟一：客戶端以身份認證的方式直接和私有云進行認證，認證通過后進入步驟二，認證不通過，結(jié)束。步驟二：私有云對客戶端發(fā)放訪問公有云的票據(jù)以及與第二會話密鑰，所述票據(jù)由公有云和私有云的共享密鑰加密。步驟三：客戶端將票據(jù)發(fā)送給公有云。步驟四：公有云用所述共享密鑰解密票據(jù)得到第二會話密鑰，并用第二會話密鑰加密認證結(jié)束信息發(fā)送給客戶端。所述認證方法不僅減輕了客戶端直接和公有云進行認證帶來比較大的負擔，而且很大程度方便了企業(yè)對用戶訪問外部云中數(shù)據(jù)的集中控制和實時改變存取策略。

技術(shù)領(lǐng)域

本發(fā)明涉及通信技術(shù)領(lǐng)域，具體而言，涉及基于Kerberos系統(tǒng)的跨云際認證方法。

背景技術(shù)

云計算安全問題是一個多層次并涉及到多研究領(lǐng)域的復(fù)雜問題。混合云環(huán)境下權(quán)限安全管理、跨云的資源數(shù)據(jù)訪問等方面存在著嚴重的安全挑戰(zhàn)，由此帶來的身份認證、授權(quán)管理、傳輸控制等等問題更加嚴峻。

云安全環(huán)境下大致分為兩種認證，單向認證:包括密碼口令、PIN等。它是依靠用戶所知道的某些信息作為認證的一種方式，該方式簡單易用，但是容易遭受口令猜測攻擊和截獲攻擊；用戶所擁有的，包括識別令牌，ID卡等硬件設(shè)施，容易損壞、丟失和被盜、攜帶不便，且有硬件花費；用戶所特有的，包括用戶指紋、虹膜等生物識別方式；但是該方式中的唯一認證標識不能改變，限制了認證的靈活性。雙向認證:比較熟知的認證技術(shù)有PKI體系結(jié)構(gòu)，PKI的基本要素依賴于數(shù)字證書，如SAP；雖然PKI能夠使得依賴端方便地驗證其他人的證書，但是在混合云環(huán)境下，當面臨超大規(guī)模的證書持有者和證書依賴方時，建設(shè)滿足大量用戶訪問的資料庫系統(tǒng)，為巨大的用戶群提供證書撤銷服務(wù)，為所有的證書提供歸檔服務(wù)，系統(tǒng)過于龐大，將使得設(shè)計和實現(xiàn)的復(fù)雜程度迅速攀升，并且由于證書有固定的生命周期，當證書的生命周期比證書發(fā)布給資源的時間長時，如果證書不能及時被撤銷，很容易受到攻擊。因此企業(yè)對用戶訪問外云中的數(shù)據(jù)時，急需一種既方便又安全的認證方式。

發(fā)明內(nèi)容

本發(fā)明的目的在于為企業(yè)用戶提供一種既方便又安全的外部云認證訪問方法。

為達到上述目的，本發(fā)明提供如下技術(shù)方案：

提供一種基于Kerberos系統(tǒng)的跨云際認證方法，應(yīng)用于客戶端對公有云的訪問：步驟一：客戶端以身份認證的方式直接和私有云進行認證，認證通過后進入步驟二，認證不通過，結(jié)束；步驟二：私有云對客戶端發(fā)放訪問公有云的票據(jù)以及第二會話密鑰，票據(jù)由公有云和私有云的共享密鑰加密；步驟三：客戶端將票據(jù)發(fā)送給公有云；步驟四：公有云用共享密鑰解密票據(jù)得到第二會話密鑰，并用第二會話密鑰加密認證結(jié)束信息發(fā)送給客戶端。

其中，步驟一中所述的客戶端以身份認證的方式直接和私有云進行認證包括，客戶端向私有云發(fā)送要訪問的公有云ID以及自己的客戶端ID，私有云判斷公有云ID以及客戶端ID是否合法，認證通過，私有云和客戶端生成二者之間的第一會話密鑰，并進入下一步驟，認證不通過，結(jié)束。

其中，客戶端以身份認證的方式直接和私有云進行認證具有有效期，私有云未在有效期內(nèi)查看，直接結(jié)束。

其中，步驟二中私有云對客戶端發(fā)放訪問公有云的票據(jù)以及第二會話密鑰，其中私有云將用第一會話密鑰加密票據(jù)以及第二會話密鑰，并回復(fù)給客戶端。客戶端收到私有云發(fā)送的消息后，客戶端用第一會話密鑰解密消息，獲得票據(jù)和與第二會話密鑰。

其中，步驟三中客戶端將票據(jù)發(fā)送給公有云包括，客戶端生成第二信息，第二信息包括客戶端ID以及公有云ID，然后用第二會話密鑰加密第二信息，并將票據(jù)和加密后的客戶端第二信息的發(fā)送給公有云。