[發明專利]基于證書的訪問控制系統和方法

有效

• 申請號: 202010062979.0
• 申請日: 2020-01-19
• 公開（公告）號: CN111241519B
• 公開（公告）日: 2022-07-26
• 發明（設計）人: 何涇沙;李文欣;朱娜斐;蔡方博
• 申請（專利權）人: 北京工業大學
• 主分類號: G06F21/33
• 分類號: G06F21/33
• 代理公司: 北京匯信合知識產權代理有限公司 11335
• 代理人: 郭河志

1.一種基于證書的訪問控制系統，其特征在于，包括：資源擁有者、資源使用者和證書頒發機構以及制定訪問規則模塊、建立委托方案模塊、申請訪問資源模塊和申請證書授權模塊，

所述制定訪問規則模塊用于所述資源擁有者針對所擁有的資源的可開放程度對所述資源使用者進行訪問約束；

所述建立委托方案模塊用于所述資源擁有者與所述證書頒發機構針對證書的授權條件建立委托方案；

所述申請訪問資源模塊用于所述資源使用者向所述資源擁有者請求訪問資源，并向所述資源使用者返回訪問結果；

所述申請證書授權模塊用于所述資源使用者向所述證書頒發機構申請證書，并向所述資源使用者返回證書申請結果；

所述資源擁有者包括策略管理點、策略決策點和策略執行點，所述證書頒發機構包括委托方案生成點、證書驗證點、證書頒發點和證書日志點，

所述策略管理點用于創建并管理授權條件和策略規則，并將所述策略規則發送至策略決策點以對訪問請求進行決策，將授權條件發送至所述委托方案生成點以生成頒發證書方案；

所述策略決策點用于在所述資源使用者不攜帶證書或攜帶不合法來源證書時直接返回拒絕的訪問決策，在攜帶合法來源證書時根據所述策略規則進行訪問決策；

所述策略執行點用于根據所述資源使用者的訪問請求向所述策略決策點提交申請，并將所述策略決策點返回的訪問決策結果返回至所述資源使用者；

所述委托方案生成點用于根據所述授權條件生成對應的委托方案，提供給所述證書驗證點查詢使用；

所述證書驗證點用于根據所述委托方案對所述資源使用者提供的證書申請條件進行審核，并將審核結果發送給所述證書頒發點；

所述證書頒發點用于接收所述資源使用者的證書申請請求，并向所述證書驗證點提交該證書申請請求，并將所述證書驗證點的審核結果返回給所述資源使用者；

所述證書日志點用于記錄證書簽發操作。

2.根據權利要求1所述的基于證書的訪問控制系統，其特征在于，所述資源使用者向所述資源擁有者請求訪問資源時攜帶證書或不攜帶證書，

攜帶證書時所述資源擁有者審核所述證書是否符合該訪問資源請求對應的預設條件，并將訪問結果發送至所述資源使用者；

不攜帶證書時所述資源擁有者直接將訪問結果發送至所述資源使用者；

所述資源使用者接收到拒絕訪問結果時，所述申請訪問資源模塊用于詢問所述資源使用者是否繼續請求訪問，在選擇繼續請求訪問時搜索本地證書庫中是否存在對應證書，如果有則攜帶對應證書向所述資源擁有者請求訪問資源，如果沒有則詢問所述資源使用者是否通過所述申請證書授權模塊向所述證書頒發機構申請該證書。

3.根據權利要求1所述的基于證書的訪問控制系統，其特征在于，所述證書頒發機構用于根據委托方案中證書的授權條件判斷資源使用者的證書申請是否符合該授權條件，在符合授權條件時簽發證書并記錄日志，將申請結果發送至所述資源使用者，在不符合授權條件時直接將申請結果發送至所述資源使用者。

4.根據權利要求1所述的基于證書的訪問控制系統，其特征在于，所述資源使用者在訪問過程中存在就緒、等待、訪問、搜索、完成和終止狀態；

所述就緒狀態為所述資源使用者向所述資源擁有者提交訪問請求前的狀態；

所述等待狀態為所述資源使用者向所述資源擁有者提交訪問請求后等待所述資源擁有者返回決策的狀態，以及所述資源使用者向所述證書頒發機構提交證書申請請求后等待所述證書頒發機構返回證書授權決策的狀態；

所述訪問狀態為所述資源使用者在獲得所述資源擁有者的訪問許可后對資源執行訪問的狀態；

所述搜索狀態為所述資源使用者在被所述資源擁有者拒絕訪問并獲得訪問所述資源使用者所需權限證書條件后，搜索檢查本地是否擁有符合要求的證書時的狀態；

所述完成狀態為所述資源使用者在訪問資源完成的狀態；

所述終止狀態為所述資源使用者沒有訪問資源權限導致訪問結束的狀態。

5.根據權利要求1所述的基于證書的訪問控制系統，其特征在于，所述證書頒發機構包括多個，所述資源擁有者與所述證書頒發機構之間采用一對一、一對多或多對多的形式。