[發明專利]一種終端信任狀態的采集系統、方法及計算機設備

在審

• 申請號: 202010898737.5
• 申請日: 2020-08-31
• 公開（公告）號: CN112035844A
• 公開（公告）日: 2020-12-04
• 發明（設計）人: 安寧鈺;趙保華;梁瀟;王志皓;任春卉;楊會峰;陳連棟;申培培;程凱
• 申請（專利權）人: 全球能源互聯網研究院有限公司;國網河北省電力有限公司信息通信分公司;國網河北省電力有限公司;國家電網有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/31;H04L29/06
• 代理公司: 北京三聚陽光知識產權代理有限公司 11250
• 代理人: 李博洋

1.一種終端信任狀態的采集系統，其特征在于，包括：

可信計算模塊，設置在終端的硬件層，用于對終端的硬件進行可信度量。

2.根據權利要求1所述的終端信任狀態的采集系統，所述可信計算模塊還用于為終端的軟件進行可信度量。

3.根據權利要求1所述的終端信任狀態的采集系統，其特征在于，還包括：可信軟件模塊和采集組件客戶端；

其中，所述可信軟件模塊，設置在終端的基礎軟件層，用于為所述采集組件客戶端提供可信功能的調用接口，并為所述可信計算模塊下發信任配置策略；

所述采集組件客戶端，設置在終端的應用軟件層，用于調用所述可信軟件模塊的所述調用接口對終端信任狀態進行管理與審計，對用戶身份進行管理，對終端與目標系統之間的通信通道進行管理。

4.根據權利要求1所述的終端信任狀態的采集系統，其特征在于，所述可信計算模塊包括：

信任狀態度量模塊，用于對所述可信軟件模塊的度量值進行存儲，計算和比對所述度量值，判斷所述度量值是否通過可信度量；若所述度量值未通過所述可信度量，則執行主動阻斷指令與恢復控制指令；

存儲模塊，用于為可信度量根、可信存儲根與可信報告根以及關鍵數據提供硬件級的安全存儲空間；

配置模塊，內置有安全協議和機制，用于采集硬件配置信息、硬件啟動信息、軟件配置信息和登錄信息，通過所述可信報告根對所述硬件配置信息、硬件啟動信息、軟件配置信息和登錄信息進行加密生成安全證明信息。

5.根據權利要求3所述的終端信任狀態的采集系統，其特征在于，所述可信軟件模塊包括：

信任策略配置服務模塊，用于為所述采集組件客戶端提供對應的信任策略配置調用接口，并將所述信任策略下發至所述可信計算模塊；

認證與密碼服務模塊，用于為所述采集組件客戶端提供對應的身份認證調用接口與密碼服務調用接口；

信任狀態服務模塊，用于為所述采集組件客戶端提供對應的終端信任狀態調用接口。

6.根據權利要求5所述的終端信任狀態的采集系統，其特征在于，所述采集組件客戶端包括：

信任狀態管理模塊，用于通過所述信任策略配置調用接口調用信任策略配置服務，顯示終端信任狀態管理以及終端信任狀態審計的交互界面；

身份管理模塊，用于通過身份認證調用接口與密碼服務調用接口調用身份認證服務和密碼服務，管理用戶身份，并托管用戶身份密鑰；

信道管理模塊，用于通過終端信任狀態調用接口調用遠程終端信任狀態服務和所述身份認證與密碼服務，與目標系統建立安全信道。

7.一種終端信任狀態的采集方法，其特征在于，包括：

基于可信計算模塊對終端進行可信度量；

若通過所述可信度量，將啟動狀態信息存儲至所述可信計算模塊；

當需要訪問目標系統時，利用所述可信計算模塊對所述目標系統對應的訪問控制引擎進行身份認證；

當通過所述身份認證時，建立所述終端與所述目標系統之間的通信通道，并將所述終端對應的信任狀態信息發送至所述訪問控制引擎，由所述訪問控制引擎確定是否允許所述終端訪問，其中，所述信任狀態信息包括終端啟動狀態信息、當前信任狀態信息和用戶身份信息。

8.根據權利要求7所述的方法，其特征在于，還包括：

當用戶登錄所述終端時，通過可信軟件模塊對用戶進行身份認證；

若通過所述身份認證，則通過采集組件客戶端托管所述用戶密鑰。

9.一種計算機設備，其特征在于，包括：存儲器和處理器，所述存儲器和所述處理器之間互相通信連接，所述存儲器中存儲有計算機指令，所述處理器通過執行所述計算機指令，從而執行權利要求7或8所述的終端信任狀態的采集方法。

10.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有計算機指令，所述計算機指令用于使所述計算機執行權利要求7或8所述的終端信任狀態的采集方法。