[發明專利]一種基于證書身份認證的擬態防御系統及證書簽發方法

有效

• 申請號: 202010155356.8
• 申請日: 2020-03-09
• 公開（公告）號: CN111010410B
• 公開（公告）日: 2020-06-16
• 發明（設計）人: 陳垚;王澤雨;趙海寧;羊子煜;郁晨;陳立全;馮海生
• 申請（專利權）人: 南京紅陣網絡安全技術研究院有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 南京睿之博知識產權代理有限公司 32296
• 代理人: 劉菊蘭

1.一種基于證書身份認證的擬態防御系統，其特征在于：所述擬態防御系統包括底層設備、中間控制器和證書簽發中心；所述中間控制器和證書簽發中心各設有唯一的證書，證書內存儲自身的公鑰，相應的私鑰由各設備私自保存，不對外公開；

所述設備為需要接入網絡的設備，包括證書請求模塊，所述證書請求模塊用于生成公私鑰密鑰對、加解密、生成證書請求文件和安裝證書；

所述中間控制器包括控制器處理模塊，控制器處理模塊包括擬態安全模塊和隨機數模塊，擬態安全模塊為擬態防御系統典型動態異構冗余架構，隨機數模塊用于為異構執行體提供相同時間戳；

所述中間控制器的擬態安全模塊包括裁決模塊、異構池和異構池中的至少兩個異構執行體；異構執行體用于驗證身份和記錄、分發證書，裁決模塊用于裁決異構執行體輸出；所述異構執行體保存有中間控制器證書、證書簽發中心證書以及所管轄的所有設備的證書，中間控制器證書內存儲自身公鑰，每個異構執行體存儲中間控制器私鑰；

所述證書簽發中心包括證書簽發模塊，證書簽發模塊用于管理所有設備和中間控制器的證書，以及接收到證書請求文件時生成并發送證書；所述所有設備和中間控制器的證書內存儲相應的公鑰。

2.根據權利要求1所述的一種基于證書身份認證的擬態防御系統，其特征在于：所述設備為需要接入網絡的路由器、PC端或手機。

3.根據權利要求1或2所述的一種基于證書身份認證的擬態防御系統的證書簽發方法，其特征在于，包括以下步驟：

S1、設備向中間控制器發送證書請求文件：需要證書的設備生成公私鑰密鑰對后生成證書請求文件，設備將證書請求文件發送給中間控制器；

S2、中間控制器接收證書請求文件并傳入異構池：中間控制器接收設備發送的證書請求文件，并驗證設備身份，身份驗證成功后將證書請求文件傳入異構池；

S3、異構池接收證書請求文件并由中間控制器向證書簽發中心發送第一裁決結果：異構池接收到證書請求文件，異構池中的所有異構執行體讀取證書簽發中心證書，獲取證書簽發中心公鑰，異構執行體對證書請求文件進行加密處理，并通過中間控制器將處理后的第一裁決結果發送至證書簽發中心；

S4、證書簽發中心接收、驗證第一裁決結果并向中間控制器發送加密證書：證書簽發中心接收第一裁決結果，先用自身私鑰解密，再用中間控制器的公鑰進行簽名驗證，解密和驗證成功后獲取證書請求文件，證書簽發中心根據證書請求文件生成相應證書，并將新生成證書更新錄入自身證書管理庫，證書簽發中心對新證書用中間控制器公鑰進行加密，并發送至中間控制器；

S5、中間控制器接收加密證書并向設備發送第二裁決結果：中間控制器接收加密證書并將加密證書發傳入異構池中的每個異構執行體，異構執行體對加密證書進行處理并通過裁決模塊得到第二裁決結果，中間控制器將所述第二裁決結果發送至設備；

S6、設備接收第二裁決結果并安裝證書：設備接收第二裁決結果，用自身私鑰解密獲取經中間控制器和證書簽發中心認證后的證書，設備獲取證書后安裝證書。

4.根據權利要求3所述的一種基于證書身份認證的擬態防御系統的證書簽發方法，其特征在于：所述S3中異構池中的所有異構執行體對證書請求文件進行加密處理具體包括：

異構池接收中間控制器發送的證書請求文件，異構池中每個異構執行體完成中間控制器與證書簽發中心雙向認證，認證成功后，異構執行體對證書請求文件進行中間控制器私鑰簽名和證書簽發中心公鑰加密，異構執行體的加密結果通過裁決模塊并輸出第一裁決結果。