一种基于三元对等鉴别的可信网络连接系统

摘要

一种基于三元对等鉴别的可信网络连接系统，其访问请求者的网络访问请求者与TNC客户端以数据承载方式连通，TNC客户端与完整性收集者以完整性度量收集接口连通。访问控制器的网络访问控制者与TNC服务端以数据承载方式连通，TNC服务端与完整性收集者以完整性度量收集接口连通。策略管理器的用户鉴别服务单元与平台评估服务单元以数据承载方式连通，平台评估服务单元与完整性校验者以完整性度量校验接口连通。本发明解决了背景技术可扩展性差、密钥协商过程复杂、安全性相对较低等技术问题。本发明在网络访问层和完整性评估层都采用了三元对等鉴别来实现双向的用户鉴别和平台完整性评估，因此，可提高整个可信网络连接架构的安全性。

说明书

技术领域

本发明属于网络安全技术领域，具体涉及一种基于三元对等鉴别的可信网络连接系统。

背景技术

随着信息化的发展，病毒、蠕虫等恶意软件的问题异常突出。目前已经出现了超过三万五千种的恶意软件，每年都有超过四千万的计算机被感染。要遏制住这类攻击，不仅需要解决安全的传输和数据输入时的检查，还要从源头即从每一台连接到网络的终端开始防御。而传统的安全防御技术已经无法防御种类繁多的恶意攻击。

国际可信计算组织TCG针对这个问题，专门制定了一个基于可信计算技术的网络连接规范-可信网络连接TNC，简记为TCG-TNC，其包括了开放的终端完整性架构和一套确保安全互操作的标准。这套标准可以在用户需要时保护一个网络，且由用户自定义保护到什么程度。TCG-TNC本质上就是要从终端的完整性开始建立连接。首先，要创建一套在可信网络内部系统运行状况的策略。只有遵守网络设定策略的终端才能访问网络，网络将隔离和定位那些不遵守策略的设备。由于使用了可信平台模块，所以还可以阻挡root kits的攻击。root kits是一种攻击脚本、经修改的系统程序，或者成套攻击脚本和工具，用于在一个目标系统中非法获取系统的最高控制权限。

现有TCG-TNC架构如图1所示，具有访问请求者AR、策略执行点PEP、策略决策点PDP三类逻辑实体实体，可以分布在网络的任意位置。该TCG-TNC架构在纵向上可分为网络访问层、完整性评估层、完整性度量层三个层次。网络访问层具有网络访问请求者NAR、策略执行者PEP和网络访问授权者NAA三个组件，以及网络授权传输协议接口IF-T和策略实施接口IF-PEP。网络访问层用于支持传统的网络连接技术。完整性评估层负责评估所有请求访问网络的实体的完整性。该层有两个重要的接口：完整性度量收集接口IF-IMC和完整性度量校验接口IF-IMV。此外，在TNC客户端和TNC服务端之间还具有一个完整性评估接口IF-TNCCS。完整性度量层有完整性收集者IMC和完整性校验者IMV两个组件，负责收集和校验请求访问者的完整性相关信息。

现有TCG-TNC架构一次完整的可信网络连接的信息传输过程是：在建立网络连接之前，TNC客户端TNCC需要准备好所需要的平台完整性信息，交给完整性收集者IMC。在一个拥有可信平台模块的终端里面，这也就是将网络策略所需的平台信息经散列后存入各个平台配置寄存器，TNC服务端TNCS需要预先制定平台完整性的验证要求，并交给完整性校验者IMV。具体过程如下：

(1)网络访问请求者NAR向策略执行者发起访问请求。

(2)策略执行者将访问请求描述发送给网络访问授权者。

(3)网络访问授权者收到网络访问请求者NAR的访问请求描述后，与网络访问请求者NAR执行用户鉴别协议。当用户鉴别成功时，网络访问授权者将访问请求和用户鉴别成功的信息发往TNC服务端TNCS。

(4)TNC服务端TNCS收到网络访问授权者发送的访问请求和用户鉴别成功的信息后，与TNC客户端TNCC开始执行双向平台凭证认证，比如验证平台的身份证明密钥AIK。

(5)当平台凭证认证成功时，TNC客户端TNCC告诉完整性收集者IMC开始了一个新的网络连接且需要进行一个完整性握手协议。完整性收集者IMC通过完整性度量收集接口IF-IMC返回所需平台完整性信息。TNC服务端TNCS将这些平台完整性信息通过完整性度量校验接口IF-IMV交给完整性校验者IMV。

(6)在完整性握手协议过程中，TNC客户端TNCC与TNC服务端TNCS要交换一次或多次数据，直到TNC服务端TNCS满意为止。

(7)当TNC服务端TNCS完成了对TNC客户端TNCC的完整性握手协议，它将发送一个推荐信给网络访问授权者，要求允许访问。如果还有另外的安全考虑，此时策略决策点仍旧可以不允许访问请求者AR的访问。

(8)网络访问授权者将访问决定传递给策略执行者，策略执行者最终执行这个决定，来控制访问请求者AR的访问。

目前，尚无成熟的TCG-TNC架构产品进入市场。TCG-TNC架构的一些重要技术还处于研究及规范阶段，其主要还存在如下缺陷：

1.可扩展性差。由于在策略执行点和策略决策点之间存在预定义的安全通道，而策略决策点可能管理着大量的策略执行点，这将迫使它配置大量的安全通道，造成管理的复杂性，因此，可扩展性差。

2.密钥协商过程复杂。因为要对网络访问层之上的数据进行安全保护，所以需要在访问请求者AR和策略决策点之间建立安全通道，即在它们之间进行会话密钥协商；但是，访问请求者AR和策略执行点之间也需要进行数据保护，从而需要在访问请求者AR和策略执行点之间再次进行会话密钥协商，使密钥协商过程复杂化。

3.安全性相对较低。访问请求者AR和策略决策点协商出来的主密钥由策略决策点传递给策略执行点。密钥在网络上传递，引入了新的安全攻击点，使安全性降低。此外，两次会话密钥协商使用了相同的主密钥，也使整个可信网络连接架构的安全性降低。

4.访问请求者AR可能无法验证策略决策点的AIK证书有效性。在平台凭证认证过程中，访问请求者AR和策略决策点使用AIK私钥及证书进行双向平台凭证认证，两端都需要对AIK证书进行有效性验证。若策略决策点是访问请求者AR的上网服务提供者，访问请求者AR在可信网络连接之前不能访问网络，也即无法验证策略决策点的AIK证书的有效性，所以是不安全的。

5.平台完整性评估是不对等的。在TCG-TNC架构中，策略决策点对访问请求者AR进行平台完整性评估，但访问请求者AR策略决策点不进行平台完整性评估。如果策略决策点的平台不可信，那么访问请求者AR连接到不可信的设备上是不安全的。而对等可信在Ad hoc网络中是必须的。

发明内容

本发明的目的在于提供一种基于三元对等鉴别的可信网络连接系统，其解决了背景技术中可扩展性差、密钥协商过程复杂、安全性相对较低、访问请求者可能无法验证AIK证书有效性和平台完整性评估不对等的技术问题。

本发明的技术解决方案如下：

一种基于三元对等鉴别的可信网络连接系统，包括访问请求者AR，其特殊之处在于：它还包括访问控制器AC和策略管理器PM；所述的访问请求者AR与访问控制器AC通过协议接口网络连通，所述的访问控制器AC与策略管理器PM通过协议接口网络连通，所述的访问请求者AR通过访问控制器AC与策略管理器PM网络连通；所述连通访问请求者AR与访问控制器AC的协议接口包括二个：其一是实现访问请求者AR与访问控制器AC之间的双向用户鉴别和密钥协商、访问请求者AR与访问控制器AC相互访问控制的网络授权传输协议接口IF-T；其二是基于策略管理器PM验证访问请求者AR及访问控制器AC的AIK证书有效性和策略管理器PM校验访问请求者AR及访问控制器AC的平台完整性来实现访问请求者AR与访问控制器AC之间的平台完整性评估的完整性评估接口IF-TNCCS；

所述连通访问控制器AC与策略管理器PM的协议接口包括三个：其一是实现访问请求者AR与访问控制器AC之间的双向用户鉴别和密钥协商、访问请求者AR与访问控制器AC相互访问控制的用户鉴别授权接口IF-UAA；其二是实现访问请求者AR与访问控制器AC之间的平台完整性评估、策略管理器PM验证访问请求者AR及访问控制器AC的AIK证书有效性、策略管理器PM校验访问请求者AR及访问控制器AC的平台完整性的平台评估授权接口IF-PEA；其三是收集和校验访问控制器AC的平台完整性相关信息的完整性度量接口IF-M；所述的访问请求者AR与策略管理器PM之间具有收集和校验访问请求者AR的平台完整性相关信息的完整性度量接口IF-M。

上述访问请求者AR包括网络访问请求者NAR、TNC客户端TNCC和访问请求者的完整性收集者IMC₁；所述的网络访问请求者NAR与TNC客户端TNCC以数据承载方式连通，所述的TNC客户端TNCC与访问请求者的完整性收集者IMC₁通过完整性度量收集接口IF-IMC相连通；上述访问控制器AC包括网络访问控制者NAC、TNC服务端TNCS和访问控制器的完整性收集者IMC₂；所述的网络访问控制者NAC与TNC服务端TNCS以数据承载方式连通，所述的TNC服务端TNCS与访问控制器的完整性收集者IMC₂通过完整性度量收集接口IF-IMC相连通；上述策略管理器PM包括用户鉴别服务单元UASU、平台评估服务单元PESU和完整性校验者IMV；所述的用户鉴别服务单元UASU与平台评估服务单元PESU以数据承载方式连通，所述的平台评估服务单元PESU与完整性校验者IMV通过完整性度量校验接口IF-IMV相连通；上述网络访问请求者NAR与网络访问控制者NAC通过网络授权传输协议接口IF-T相连通，所述的网络访问控制者NAC与用户鉴别服务单元UASU通过用户鉴别授权接口IF-UAA相连通；上述TNC客户端TNCC与TNC服务端TNCS通过完整性评估接口IF-TNCCS相连通，所述的TNC服务端TNCS与平台评估服务单元PESU通过平台评估授权接口IF-PEA相连通；上述访问请求者的完整性收集者IMC₁与完整性校验者IMV通过完整性度量接口IF-M相连通，所述的访问控制器的完整性收集者IMC₂与完整性校验者IMV通过完整性度量接口IF-M相连通。

上述访问请求者AR和访问控制器AC是具有可信平台模块的逻辑实体。

上述访问请求者的完整性收集者IMC₁是收集TNC客户端TNCC预先准备的平台完整性信息的组件，所述的访问控制器的完整性收集者IMC₂是收集TNC服务端TNCS预先准备的平台完整性信息的组件，所述的完整性校验者IMV是接受TNC客户端TNCC与TNC服务端TNCS预先制定的平台完整性验证要求并对访问请求者AR和访问控制器AC进行平台完整性校验的组件。

本发明具有如下优点：

1.可简化密钥协商过程和提高可信网络连接的安全性。

密钥协商在访问请求者和访问控制器之间进行，直接对平台完整性评估过程的数据和可信网络连接之后的服务数据进行安全保护，无需进行二次会话密钥协商，因此，可简化密钥协商过程和提高可信网络连接的安全性。

2.可确保密钥的安全性。

鉴别过程产生的主密钥无需在网络中进行传输，从而可保证密钥的安全性。

3.可增强平台完整性评估过程的安全性，简化可信网络连接的密钥管理及完整性校验机制。

在完整性评估层采用了三元对等鉴别方法，也就是基于第三方的双向鉴别方法，分别对访问请求者和访问控制器的AIK证书和平台完整性实现集中鉴别和校验，不仅增强了平台完整性评估过程的安全性，而且简化了可信网络连接架构的密钥管理及完整性校验机制。

4.可提高整个可信网络连接的安全性。

不但在网络访问层采用了三元对等鉴别方法来实现双向用户鉴别，而且在完整性评估层也采用了三元对等鉴别方法来实现双向的平台完整性评估，因此，本发明提高了整个可信网络连接架构的安全性。

5.增强了可信网络连接的扩展性。

实际应用中，一个策略管理器要管理大量的访问控制器。本发明可以消除访问控制器和策略管理器之间的强安全关联的需求，因此，增强了可信网络连接的扩展性。

附图说明

图1为现有TCG-TNC基本架构的示意图。

图2为本发明TNC基本架构的示意图。

图3为本发明的一次完整的可信网络连接的信息传输示意图。

附图符号说明如下：

PEP：策略执行点；PE：策略执行者；PDP：策略决策点；NAA：网络访问授权者；AR：访问请求者；AC：访问控制器；PM：策略管理器；IMC₁：访问请求者的完整性收集者；IMC₂：访问控制器的完整性收集者；IMV：完整性校验者；TNCC：TNC客户端；TNCS：TNC服务端；PESU：平台评估服务单元；NAR：网络访问请求者；NAC：网络访问控制者；UASU：用户鉴别服务单元；IF-T：网络授权传输协议接口，是网络访问请求者NAR与网络访问控制者NAC之间的协议接口；IF-UAA：用户鉴别授权接口，是网络访问控制者NAC与用户鉴别服务单元UASU之间的协议接口；IF-TNCCS：完整性评估接口，是TNC客户端TNCC与TNC服务端TNCS之间的协议接口；IF-PEA：平台评估授权接口，是TNC服务端TNCS与平台评估服务单元PESU的协议接口；IF-IMC：完整性度量收集接口，是TNC客户端TNCC与访问请求者的完整性收集者IMC₁之间的协议接口，也是TNC服务端TNCS与访问控制器的完整性收集者IMC₂之间的协议接口；IF-IMV：完整性度量校验接口，是平台评估服务单元PESU与完整性校验者IMV之间的协议接口；IF-M：完整性度量接口，是访问请求者的完整性收集者IMC₁与完整性校验者IMV之间的协议接口，也是访问控制器的完整性收集者IMC₂与完整性校验者IMV之间的协议接口。

具体实施方式

参见图2，本发明主要由访问请求者AR、访问控制器AC和策略管理器PM三个逻辑实体构成，其可以分布于网络的的任意位置。访问请求者AR又称为请求者、用户站等；访问控制器AC又称为鉴别访问控制器、基站、接入服务单元等；策略管理器PM又称为鉴别服务器、可信服务器、后台服务器等。访问请求者AR与访问控制器AC通过协议接口网络连通，访问控制器AC与策略管理器PM通过协议接口网络连通，策略管理器PM通过访问控制器AC与访问请求者AR网络连通。

访问请求者AR主要由网络访问请求者NAR、TNC客户端TNCC和访问请求者的完整性收集者IMC₁构成。网络访问请求者NAR与TNC客户端TNCC以数据承载方式连通，用于TNC客户端TNCC转发消息。TNC客户端TNCC与访问请求者的完整性收集者IMC₁通过完整性度量收集接口IF-IMC相连通，以实现访问请求者的完整性收集者IMC₁与完整性校验者IMV的通信。

访问控制器AC主要由网络访问控制者NAC、TNC服务端TNCS、访问控制器的完整性收集者IMC₂构成。网络访问控制者NAC与TNC服务端TNCS以数据承载方式连通，用于TNC服务端TNCS转发消息。TNC服务端TNCS与访问控制器的完整性收集者IMC₂通过完整性度量收集接口IF-IMC相连通，以实现访问控制器的完整性收集者IMC₂与完整性校验者IMV的通信。

策略管理器PM主要由用户鉴别服务单元UASU、平台评估服务单元PESU、完整性校验者IMV构成。用户鉴别服务单元UASU与平台评估服务单元PESU以数据承载方式连通，用于平台评估服务单元PESU转发消息。平台评估服务单元PESU与完整性校验者IMV通过完整性度量校验接口IF-IMV相连通，以实现完整性校验者IMV与访问请求者的完整性收集者IMC₁和访问控制器的完整性收集者IMC₂的通信。

网络访问请求者NAR、网络访问控制者NAC和用户鉴别服务单元UASU三个组件构成网络访问层。网络访问请求者NAR与网络访问控制者NAC通过网络授权传输协议接口IF-T相连通，网络访问控制者NAC与用户鉴别服务单元UASU通过用户鉴别授权接口IF-UAA相连通。网络访问层负责实现：访问请求者AR与访问控制器AC之间的双向用户鉴别及密钥协商，依据网络用户鉴别结果和平台完整性评估结果实现访问请求者AR与访问控制器AC的相互访问控制。网络访问层采用基于三元对等鉴别的访问控制方法，该访问控制方法为中国WLAN标准中采用的网络访问控制技术。

TNC客户端TNCC、TNC服务端TNCS、平台评估服务单元PESU三个实体构成完整性评估层。TNC客户端TNCC与TNC服务端TNCS通过完整性评估接口IF-TNCCS相连通，TNC服务端TNCS与平台评估服务单元PESU通过平台评估授权接口IF-PEA相连通。完整性评估层负责实现访问请求者AR与策略管理器PM之间的平台完整性评估，包括平台凭证认证和平台完整性校验。由策略管理器PM来验证访问请求者AR和访问控制器AC的AIK证书有效性，并且负责校验访问请求者AR和访问控制器AC的平台完整性。在完整性评估层，TNC客户端TNCC、TNC服务端TNCS、平台评估服务单元PESU执行三元对等鉴别，即基于第三方的双向鉴别。

访问请求者的完整性收集者IMC₁、访问控制器的完整性收集者IMC₂、完整性校验者IMV三个组件构成完整性度量层。访问请求者的完整性收集者IMC₁与完整性校验者IMV通过完整性度量接口IF-M相连通，访问控制器的完整性收集者IMC₂与完整性校验者IMV通过完整性度量接口IF-M相连通。完整性度量层负责收集和校验访问请求者AR和访问控制器AC的平台完整性相关信息。

参见图3，采用本发明实现基于三元对等鉴别的可信网络连接的具体步骤如下：

(1.)在建立网络连接之前，首先进行初始化。

(1.1)访问请求者AR的TNC客户端TNCC预先准备平台完整性信息，交给自己的访问请求者的完整性收集者IMC₁。访问控制器AC的TNC服务端TNCS预先准备平台完整性信息，交给自己的访问控制器的完整性收集者IMC₂。

(1.2)TNC客户端TNCC和TNC服务端TNCS预先制定完整性验证要求，该完整性验证要求包括访问请求者AR与访问控制器AC相互请求对方验证的平台配置寄存器表。

(1.3)访问请求者AR和访问控制器AC的可信平台模块将网络策略所需信息经散列后存入平台配置寄存器。

(2.)进行用户鉴别。

(2.1)网络访问请求者NAR向网络访问控制者NAC发起访问请求。

(2.2)网络访问控制者NAC接收到网络访问请求者NAR的访问请求后，启动双向用户鉴别过程，网络访问层的网络访问请求者NAR、网络访问控制者NAC和用户鉴别服务单元UASU之间开始执行三元对等鉴别协议，实现访问请求者AR与访问控制器AC的双向用户鉴别及密钥协商。

(2.3)当双向用户鉴别成功时，网络访问请求者NAR和网络访问控制者NAC将用户鉴别成功的信息分别发往TNC客户端TNCC和TNC服务端TNCS，并根据用户鉴别结果对网络访问请求者NAR和网络访问控制者NAC的端口进行控制。

(3.)进行完整性评估。

当访问控制器AC的TNC服务端TNCS收到网络访问控制者NAC发送的用户鉴别成功的信息时，完整性评估层的TNC客户端TNCC、TNC服务端TNCS和平台评估服务单元PESU利用三元对等鉴别协议来实现访问请求者AR和访问控制器AC的平台完整性平估。平台完整性评估可采用下列实现方式：

①.进行平台凭证认证：由策略管理器PM验证访问请求者AR和访问控制器AC的AIK证书有效性。

②.进行平台完整性校验：策略管理器PM校验访问请求者AR和访问控制器AC的平台完整性。

(4.)进行访问控制。

TNC服务端TNCS和TNC客户端TNCC各自汇总访问控制器AC和访问请求者AR的平台完整性评估结果，然后，分别向网络访问请求者NAR和网络访问控制者NAC发送推荐。网络访问请求者NAR和网络访问控制者NAC分别依据各自收到的推荐对端口进行控制，从而实现访问请求者AR和访问控制器AC的相互访问控制。