[發(fā)明專利]一種基于身份的可信接入控制系統(tǒng)和方法

有效

• 申請?zhí)枺?/td>: 202111116736.1
• 申請日: 2021-09-23
• 公開（公告）號: CN113839945B
• 公開（公告）日: 2023-05-19
• 發(fā)明（設計）人: 周華春;涂哲;郭琪;宋昊翔;李曼;李坤
• 申請（專利權）人: 北京交通大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/32;H04L67/1097;H04W12/06;H04W12/08;H04W12/60
• 代理公司: 北京市商泰律師事務所 11255
• 代理人: 劉源

1.一種基于身份的可信接入控制系統(tǒng)，其特征在于，包括：

身份認證模塊，用于基于接收的用戶的身份注冊信息和身份認證信息，構建用戶屬性與身份標識的映射關系，通過分布式區(qū)塊鏈存儲用戶的身份注冊信息、身份認證信息和認證過程記錄信息；

訪問控制模塊，用于基于資源屬性、用戶屬性和設備屬性，對用戶的資源訪問請求進行控制；具體包括：

接收并映射用戶資源訪問請求；調用身份認證和訪問控制的智能合約，查詢儲存在區(qū)塊鏈中的身份標識和資源標識對應的身份屬性和資源屬性，并根據(jù)訪問動作和訪問控制策略生成訪問控制結果；向用戶返回訪問控制結果，并將訪問控制結果存儲在分布式區(qū)塊鏈中；

信譽評估模塊，用于基于存儲的用戶的身份認證信息和資源訪問記錄信息，計算獲得存儲的所有用戶的信譽值；具體包括：基于歷史身份認證記錄和歷史用戶訪問記錄獲得用戶歷史認證成功次數(shù)、用戶歷史認證總次數(shù)、用戶歷史訪問成功次數(shù)和用戶歷史訪問總次數(shù)，計算生成用戶信譽值；

所述信譽評估模塊還基于所有用戶的信譽值，對所有用戶進行排序和歸類，并基于歸類結果進行安全控制。

2.根據(jù)權利要求1所述的系統(tǒng)，其特征在于，

所述身份認證模塊具體用于：

接收并映射用戶的身份注冊信息和身份認證信息；

通過調用身份認證智能合約，將用戶的身份注冊信息和身份認證信息存儲在分布式區(qū)塊鏈中；

向用戶返回包含用戶的屬性信息的用戶的身份注冊信息和身份認證信息；

基于所述用戶的身份注冊信息和身份認證信息，通過身份認證智能合約，查詢用戶的密碼和當前最新區(qū)塊哈希值；

基于該當前最新區(qū)塊哈希值和該用戶的密碼，生成用戶認證挑戰(zhàn)信息，發(fā)送包含該用戶認證挑戰(zhàn)信息的認證挑戰(zhàn)信息的挑戰(zhàn)報文，使得用戶能夠基于用戶的密碼和該挑戰(zhàn)報文生成認證響應信息；

基于接收的該認證響應信息，與所述認證挑戰(zhàn)信息進行比對，完成用戶身份識別，并將識別結果存儲在區(qū)塊鏈中；

接收并映射資源訪問請求；

通過調用身份認證和訪問控制智能合約，對用戶屬性和資源屬性進行策略匹配，獲得訪問控制結果；

向用戶返回訪問控制結果，并將訪問控制結果存儲在分布式區(qū)塊鏈中；

所述信譽評估模塊具體用于：

實時獲得惡意用戶地址；

通過查詢用用戶身份信息表，獲得該惡意用戶地址映射的用戶標識列表；

通過調用行為管控智能合約，獲得用戶標識列表中對應用戶的歷史身份認證記錄和歷史用戶訪問記錄，并基于該歷史身份認證記錄和歷史用戶訪問記錄計算生成所有用戶的信譽值；

所述訪問控制模塊基于所有用戶的信譽值，對所有用戶進行排序和歸類，并基于歸類結果進行訪問控制的過程包括：

對所述所有用戶的信譽值進行排序；

基于該排序結果，對用戶的信譽值排序前40％的用戶不采取附加管控策略，對用戶的信譽值排序后60％的用戶進行流量實時阻斷，對用戶的信譽值排序前41％—70％的用戶進行風險用戶訪問行為重訪問控制，對用戶的信譽值排序后30％的用戶進行危險用戶訪問行為重訪問控制。

3.根據(jù)權利要求2所述的系統(tǒng)，其特征在于，所述用戶的身份注冊信息包括：用戶密鑰、注冊標識位、隨機數(shù)、用戶設備名、接入網(wǎng)關設備名、用戶屬性、用戶密碼和用戶注冊/認證標識；所述用戶的身份認證信息包括：用戶密鑰、認證標識位、隨機數(shù)、用戶設備名、接入網(wǎng)關設備名、用戶屬性和用戶注冊/認證標識。

4.根據(jù)權利要求2所述的系統(tǒng)，其特征在于，所述的基于該歷史身份認證記錄和歷史用戶訪問記錄計算生成用戶的信譽值具體包括：

基于歷史身份認證記錄和歷史用戶訪問記錄獲得用戶歷史認證成功次數(shù)、用戶歷史認證總次數(shù)、用戶歷史訪問成功次數(shù)和用戶歷史訪問總次數(shù)；

通過式

計算生成用戶的信譽值。