[發明專利]虛擬客戶端設備的完整性認證方法及裝置

在審

• 申請號: 202110031963.8
• 申請日: 2021-01-11
• 公開（公告）號: CN114764367A
• 公開（公告）日: 2022-07-19
• 發明（設計）人: 楊朋霖;黃靜
• 申請（專利權）人: 中國移動通信有限公司研究院;中國移動通信集團有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/64
• 代理公司: 北京銀龍知識產權代理有限公司 11243
• 代理人: 許靜;胡影

1.一種虛擬客戶端設備的完整性認證方法，其特征在于，由SD-WAN控制器執行，包括：

接收物理客戶端設備發送的其創建的虛擬客戶端設備的身份信息，所述身份信息由所述物理客戶端設備采用其創建的身份驗證密鑰進行簽名；

根據所述身份信息，向所述虛擬客戶端設備發送完整性挑戰信令；

接收所述虛擬客戶端設備發送的第一完整性度量列表，所述第一完整性度量列表由所述虛擬客戶端設備利用完整性度量體系結構生成并利用虛擬可信計算芯片簽名；

根據所述第一完整性度量列表對所述虛擬客戶端設備進行完整性認證；

若所述虛擬客戶端設備的完整性認證通過，向所述虛擬客戶端設備發送指示信息，所述指示信息用于指示所述虛擬客戶端設備所在的物理客戶端設備的可信性。

2.根據權利要求1所述的方法，其特征在于，接收物理客戶端設備發送的其創建的虛擬客戶端設備的身份信息之前還包括：

向所述物理客戶端設備發送完整性挑戰信令；

接收所述物理客戶端設備發送的第二完整性度量列表，所述第二完整性度量列表由所述物理客戶端設備利用完整性度量體系結構生成并利用可信計算芯片簽名；

根據所述第二完整性度量列表對所述物理客戶端設備進行完整性認證；

若所述物理客戶端設備的完整性認證通過，向所述物理客戶端設備發送完整性挑戰結果，所述完整性挑戰結果中攜帶允許所述物理客戶端設備創建虛擬客戶端設備的指示。

3.根據權利要求1所述的方法，其特征在于，向所述虛擬客戶端設備發送指示信息之后還包括：

接收所述虛擬客戶端設備發送的安全能力請求信息；

根據所述安全能力請求信息，向所述虛擬客戶端設備下發安全能力。

4.根據權利要求1所述的方法，其特征在于，向所述虛擬客戶端設備發送完整性挑戰信令之前還包括：

與所述虛擬客戶端設備通過VxLAN VPN建立連接。

5.一種虛擬客戶端設備的完整性認證方法，其特征在于，由客戶端設備執行，包括：

物理客戶端設備創建虛擬客戶端設備和所述虛擬客戶端設備的身份驗證密鑰對；

所述物理客戶端設備采用身份驗證密鑰對所述虛擬客戶端設備的身份信息進行簽名，并將簽名后的身份信息發送給SD-WAN控制器；

所述虛擬客戶端設備接收所述SD-WAN控制器發送的完整性挑戰信令；

所述虛擬客戶端設備根據接收到的完整性挑戰信令，利用完整性度量體系結構生成第一完整性度量列表，并利用虛擬可信計算芯片對所述第一完整性度量列表進行簽名；

所述虛擬客戶端設備向所述SD-WAN控制器發送所述第一完整性度量列表；

所述虛擬客戶端設備接收所述SD-WAN控制器發送的指示信息，所述指示信息用于指示所述虛擬客戶端設備所在的物理客戶端設備的可信性。

6.根據權利要求5所述的方法，其特征在于，物理客戶端設備創建虛擬客戶端設備和所述虛擬客戶端設備的身份驗證密鑰對之前還包括：

所述物理客戶端設備接收SD-WAN控制器發送的完整性挑戰信令；

所述物理客戶端設備根據接收到的完整性挑戰信令，利用完整性度量體系結構生成第二完整性度量列表，并利用可信計算芯片對所述第二完整性度量列表進行簽名；

所述物理客戶端設備向所述SD-WAN控制器發送所述第二完整性度量列表；

所述物理客戶端設備接收所述SD-WAN控制器發送的完整性挑戰結果，所述完整性挑戰結果中攜帶允許所述物理客戶端設備創建虛擬客戶端設備的指示。

7.根據權利要求5所述的方法，其特征在于，所述虛擬客戶端設備接收所述SD-WAN控制器發送的指示信息之后還包括：

向所述SD-WAN控制器發送安全能力請求信息；

接收所述SD-WAN控制器下發的安全能力。

8.根據權利要求5所述的方法，其特征在于，所述虛擬客戶端設備接收所述SD-WAN控制器發送的完整性挑戰信令之前還包括：

通過VxLAN VPN建立所述虛擬客戶端設備與所述SD-WAN控制器的連接。