专利名称：一种实现网络接入认证的方法
技术领域：
本发明涉及网络接入认证技术和可信计算技术领域，特别是指一种实现网络接入认证的方法。
背景技术：
目前，网络接入认证设备对待接入网络的设备进行的认证处理主要基于以下技术协议实现(1)口令字认证协议；(2)基于与共享密钥和挑战应答协议；(3)基于动态一次口令协议；(4)基于公钥体制的认证协议。
上述所有认证处理的思路都是网络接入认证设备通过判断待接入的设备是否拥有认证协议需要的口令和/或密钥来确认是否允许该待接入设备接入。上述认证处理的目的就是为了保证接入网络的是一个安全的设备，而不是一个攻击者。但是，如果待接入设备自身已受到了攻击，如已被植入木马病毒程序，那么，当该设备接入网络时，其内的木马病毒程序是可以监听认证过程的，并且，通过监听可以窃取该接入设备的关键信息，用其他设备假冒该待接入设备，或利用该待接入设备对网络发起攻击。
由此可以看出，仅验证待接入设备的口令和/或密钥是无法保证待接入设备是否真正是安全的，进而无法保证网络的安全。
发明内容
有鉴于此，本发明的主要目的在于提供一种实现网络接入认证的方法，使网络接入认证设备能够确认当前待接入设备的真正状态，以确保接入网络的设备是真正安全的。
为达到上述目的，本发明的技术方案是这样实现的一种实现网络接入认证的方法，网络接入认证设备预先保存待接入设备已计算出的其自身的系统完整性值，以及每个待接入设备与其自身的系统完整性值的对应关系，该方法包括以下步骤a、待接入设备获取自身当前的系统完整性值，向网络接入认证设备发送包含当前的系统完整性值信息的认证请求；b、网络接入认证设备根据接收到的认证请求以及所述对应关系，判断接收到的该待接入设备当前的系统完整性值与自身已保存的该待接入设备的系统完整性值是否一致，如果一致，则网络接入认证通过，否则网络接入认证失败。
较佳地，所述当前的系统完整性值为基本系统完整性值；步骤a所述待接入设备获取自身当前的系统完整性值的方法为所述待接入设备启动时，计算自身的当前的基本系统完整性值，保存该当前的基本系统完整性值于安全存储部件中；当需要接入网络时，待接入设备从安全存储部件中直接取出该基本系统完整性值作为当前的系统完整性值。
较佳地，所述当前的系统完整性值为基本系统完整性值和用于网络接入的模块一起计算出的完整性值；步骤a所述待接入设备获取自身当前的系统完整性值的方法为所述待接入设备启动时，计算自身的基本系统完整性值，保存该当前的基本系统完整性值于安全存储部件中；当需要接入网络时，待接入设备从安全存储部件中取出基本系统完整性值，与用于网络接入的模块一起进行完整性计算，获取该计算出的值为自身当前的系统完整性值。
较佳地，所述用于网络接入的模块包括链路层网络驱动模块、网络层和传输层协议软件模块和网络接入应用软件模块。
较佳地，所述待接入设备为计算机，所述计算自身的基本系统完整性值的过程包括以下步骤i、计算机电源开启后，CPU计算系统ROM，以及BIOS或EFI的固件代码以及硬件配置参数的完整性值，并将其存储在安全存储部件中；ii、在BIOS或EFI启动后，计算系统所有已经配置完成的参数信息、主引导扇区和系统引导分区的完整性值，并将其存储在安全存储部件中；iii、在BIOS或EFI装入引导操作系统之前，计算操作系统装入代码的完整性值，并将其存储在安全存储部件中；iv、在操作系统装入代码后，计算操作系统内核、系统启动文件、系统配置文件和驱动软件的完整性值，并将其存储在安全存储部件中；v、在操作系统启动后，计算应用软件的完整性值，并将其存储在安全存储部件中；vi、根据步骤i至步骤vi所述的所有完整性值，计算基本系统完整性值。
较佳地，所述已经配置完成的参数信息包括CPU微码软件，系统各类功能的使能(enable或disable)状态配置，各类认证口令，磁盘配置参数，外设配置参数，安全功能配置参数。
较佳地，安全存储部件为安全芯片TPM、或具有安全保护功能的硬盘、或USB-key，或smart-card。
较佳地，步骤a所述认证请求中的当前的系统完整性值信息为当前的系统完整性值的明文。
较佳地，步骤b所述网络接入认证设备接收到来自待接入设备的信息后，进一步包括对接收到的信息的可信性进行验证，验证通过后再继续执行后续步骤。
较佳地，待接入设备预先生成公私钥，且该公私钥经可信第三方签署；步骤a所述待接入设备发送认证请求之前，进一步包括应用所述私钥对当前的系统完整性值进行签名；所述认证请求中的当前的系统完整性值信息为当前的系统完整性值的明文，且该认证请求中进一步包括当前的系统完整性值的签名以及所述公钥；所述对接收到的信息的可信性进行验证的方法为网络接入认证设备应用接收到的公钥验证接收到的签名是否正确，如果签名正确，则接收到的信息可信，如果签名不正确则接收到的信息不可信。
较佳地，待接入设备预先生成公私钥，且该公私钥经可信第三方签署，网络接入认证设备中预先存储有所述公钥；步骤a所述待接入设备发送认证请求之前，进一步包括应用所述私钥对当前的系统完整性值进行签名；所述认证请求中的当前的系统完整性值信息为当前的系统完整性值的明文，且该认证请求中进一步包括当前的系统完整性值的签名；所述对接收到的信息的可信性进行验证的方法为网络接入认证设备应用预先存储的公钥验证接收到的签名是否正确，如果签名正确，则接收到的信息可信，如果签名不正确则接收到的信息不可信。
较佳地，待接入设备预先生成公私钥，该公私钥未经可信第三方签署；步骤a所述待接入设备发送认证请求之前，进一步包括应用所述私钥对当前的系统完整性值进行签名；所述认证请求中的当前的系统完整性值信息为当前的系统完整性值的明文，且该认证请求中进一步包括将当前的系统完整性值的签名、匿名身份证书以及所述公钥；所述对接收到的信息的可信性进行验证的方法为网络接入认证设备应用接收到的匿名身份证书验证发送方身份合法后，应用接收到的公钥验证签名是否正确，如果签名正确，则接收到的信息可信，如果签名不正确则接收到的信息不可信。
较佳地，待接入设备和网络接入认证设备中预先存储有对称密钥；步骤a所述待接入设备发送认证请求之前进一步包括应用所述对称密钥对当前的系统完整性值进行加密，所述认证请求中的当前的系统完整性值信息是经对称密钥加密后的当前系统完整性值；所述对接收到的信息的可信性进行验证的方法为网络接入认证设备应用自身已保存的对称密钥对接收到的信息进行解密，如果解密成功，则接收到的信息可信，如果解密未成功，则接收到的信息不可信。
较佳地，该方法进一步包括待接入设备中预先保存有网络接入认证设备的系统完整性值；待接入设备获取网络接入认证设备当前的系统完整性值，验证所获取网络接入认证设备的当前系统完整性值与自身已保存的该网络接入认证设备的系统完整性值一致后，再执行步骤a。
较佳地，所述网络接入认证设备由一个服务器构成，或者，由防火墙、交换机或路由器与认证服务器共同构成。
较佳地，认证失败后，该方法进一步包括网络接入认证设备向待接入设备发送指示该待接入设备当前不安全的告警提示。
较佳地，所述网络接入认证设备和待接入设备之间交互的信息由SSL协议、TLS协议、IPv6协议、或IPSec的IKE协议承载。
较佳地，所述网络接入认证设备和待接入设备之间交互的信息由SSL协议或TLS协议承载时，步骤a所述待接入设备在接收到来自server的ServerHello信息后，将完整性值信息随握手协议发送给网络接入认证设备，或者，步骤a所述待接入设备在发送的ClientHello中包含完整性值信息；所述网络接入认证设备和待接入设备之间交互的信息由IPv6协议或IPSec的IKE协议承载时，步骤a所述待接入设备发送HDR，SA时将完整性值信息随握手协议发送给网络接入认证设备。
应用本发明，其关键是网络接入认证设备内预先保存待接入设备的系统完整性值，以及该待接入设备与其系统完整性值的对应关系。当待接入设备需要接入网络时，其获取自身当前的系统完整性值，将当前的系统完整性值发送给网络接入认证设备；网络接入认证设备判断接收到的该待接入设备当前的系统完整性值与自身已保存的该待接入设备的完整性值是否一致，如果一致，则通过网络接入认证，否则网络接入认证失败。这样，使网络接入认证设备能够确认当前待接入设备的真正状态，确保了接入网络的设备是真正安全的，进而保证了网络的安全。
图1所示为应用本发明的一实施例的实现流程示意图；图2所示为应用本发明的待接入设备计算自身的基本系统完整性值的流程示意图。
具体实施例方式
下面结合附图及具体实施例对本发明再做进一步地详细说明。
本发明的思路是网络接入认证设备内预先保存待接入设备的系统完整性值，以及每个待接入设备与其系统完整性值的对应关系。当待接入设备需要接入网络时，其获取自身当前的系统完整性值，将当前的系统完整性值发送给网络接入认证设备；网络接入认证设备判断接收到的该待接入设备当前的系统完整性值与自身已保存的该待接入设备的完整性值是否一致，如果一致，则网络接入认证通过，否则网络接入认证失败。
图1所示为应用本发明的一实施例的实现流程示意图。网络接入认证设备预先保存待接入设备已计算出的其自身的系统完整性值，以及每个待接入设备与其自身的系统完整性值的对应关系，且待接入设备预先生成有公私钥，该公私钥已经可信第三方签署。
步骤101，待接入设备获取自身当前的系统完整性值，应用上述私钥对当前的系统完整性值进行签名；之后，向网络接入认证设备发送认证请求，该认证请求中包括当前的系统完整性值，当前的系统完整性值的签名以及所述公钥；
步骤102，网络接入认证设备接收到来自待接入设备的信息后，应用接收到的公钥验证接收到的签名是否正确，如果签名正确，则表示接收到的信息可信，执行步骤103；如果签名不正确则表示接收到的信息不可信，网络接入认证失败。
步骤103，网络接入认证设备根据接收到的认证请求以及所述对应关系，获取该待接入设备的系统完整性值，判断该接收到的待接入设备的当前系统完整性值与自身已保存的该待接入设备所对应的系统完整性值是否一致，如果一致，则网络接入认证通过，否则网络接入认证失败。
如果网络接入认证失败，网络接入认证设备可以进一步向待接入设备发送指示该待接入设备当前不安全的告警提示，如提示待接入设备存在安全漏洞，或提示待接入设备已受到攻击等。
至此，网络接入认证设备完成了对待接入设备的接入认证。
上述当前的系统完整性值可以为基本系统完整性值，也可以为基本系统完整性值和用于网络接入的模块一起计算出的完整性值。
如果当前的系统完整性值是基本系统完整性值，则步骤101所述待接入设备获取自身当前的系统完整性值的方法为待接入设备每次启动时，计算自身当前的基本系统完整性值，保存该当前的基本系统完整性值于安全存储部件中；当需要接入网络时，待接入设备从安全存储部件中直接取出该基本系统完整性值作为当前的系统完整性值。
如果当前的系统完整性值是基本系统完整性值和用于网络接入的模块一起计算出的完整性值，则步骤101所述待接入设备获取自身当前的系统完整性值的方法为待接入设备每次启动时，计算自身当前的基本系统完整性值，保存该当前的基本系统完整性值于安全存储部件中；当需要接入网络时，待接入设备从安全存储部件中取出基本系统完整性值，与用于网络接入的模块一起进行计算，将计算出的值作为自身当前的系统完整性值。所述用于网络接入的模块包括链路层网络驱动模块、网络层和传输层协议软件模块和网络接入应用软件模块。
参见图2，图2所示为应用本发明的待接入设备计算自身的基本系统完整性值的流程示意图。在本实施例中，待接入设备为计算机。
步骤201，计算机每次电源开启后，由CPU计算系统ROM，以及基本输入输出系统(BIOS)或可扩展固件界面(EFI)的固件代码以及硬件配置参数的完整性值，并将其存储在安全存储部件中。
步骤202，在BIOS或EFI启动后，计算系统所有已经配置完成的参数信息、主引导扇区和系统引导分区的完整性值，并将其存储在安全存储部件中；所述已经配置完成的参数信息包括CPU微码软件，系统各类功能的使能(enable或disable)状态配置，各类认证口令，磁盘配置参数，外设配置参数以及安全功能配置参数等。
步骤203，在BIOS或EFI装入引导操作系统之前，计算操作系统装入代码的完整性值，并将其存储在安全存储部件中。
步骤204，在操作系统装入代码后，计算操作系统内核、系统启动文件、系统配置文件和驱动软件的完整性值，并将其存储在安全存储部件中。
步骤205，在操作系统启动后，计算应用软件的完整性值，并将其存储在安全存储部件中。
步骤206，根据步骤201至步骤205所述的所有完整性值，计算基本系统完整性值。
上述安全存储部件为安全芯片(TPM，Trusted Platform Module)、或具有安全保护功能的硬盘、或USB-key，或smart-card。
图1所示流程仅为一实施例而已，当然还可以有多种实现方式，比如待接入设备预先生成公私钥，且该公私钥经可信第三方签署后，已将公钥预先存储在了网络接入认证设备中；此时，步骤101中所述向网络接入认证设备发送的认证请求中只需包含当前的系统完整性值，以及当前的系统完整性值的签名即可；其它实现步骤不变。
再比如待接入设备预先生成了公私钥，但该公私钥未经可信第三方签署；此时，步骤101中所述向网络接入认证设备发送的认证请求中需包含当前的系统完整性值，当前的系统完整性值的签名、匿名身份证书以及所述公钥；网络接入认证设备接收到来自待接入设备的信息后，首先应用接收到的匿名身份证书验证发送方身份是否合法，如合法，再应用接收到的公钥验证签名是否准确，并继续执行后续步骤，如果验证发送方的身份不合法，则网络接入认证失败，并结束。
再比如待接入设备和网络接入认证设备之间传送的信息不使用公私钥保护，而使用对称密钥的方式保护，即不需要待接入设备生成公私钥，而是待接入设备和网络接入认证设备中预先存储有对称密钥；此时，待接入设备应用对称密钥对当前的系统完整性值进行加密后，将加密后的当前系统完整性值包含在认证请求信息中发送给网络接入认证设备，网络接入认证设备则对接收到的信息进行解密，解密成功后，进行完整性判断操作。
上述待接入设备无论采用公私钥的方式还是对称密钥的方式保护当前的系统完整性值，都是为了保证网络接入认证设备所接收到的系统完整性值是可信的，是传输途中未被更改过的。
当然，待接入设备也可以直接将自身当前的系统完整性值以文明的方式传送给网络接入认证设备，而不对所传输出的系统完整性值进行保护，该传送方式不安全，在此并不推荐。
上述计算系统完整性值的操作是由待接入设备内的完整性信息采集模块执行的，上述签名或加密操作，是由待接入设备内的签名加密模块完成的。网络接入认证设备所执行的验证操作是由其内的认证模块完成的。
为了进一步保证网络接入认证的安全可信性，待接入设备也可以对网络接入认证设备进行完整性验证，以确认该网络接入认证设备是否为安全可信的。此时待接入设备内还具有用于执行的验证操作的验证模块，网络接入认证设备还具有用于计算系统完整性值的完整性信息采集模块以及执行签名或加密操作的签名加密模块。
具体实现过程与网络接入认证设备验证待接入设备的过程一致，即待接入设备中预先保存网络接入认证设备的系统完整性值；待接入设备接收来自网络接入认证设备的当前系统完整性值后，验证所接收的当前系统完整性值与自身已保存的该网络接入认证设备的系统完整性值是否一致，如果一致，再执行图1所述流程，如果不一致，则直接结束。
网络接入认证设备将自身的当前系统完整性值传送给待接入设备时，也可以采用上述公私钥或对称密钥的方式加以保护，以确保所传送的信息在传输途中的安全。具体应用公私钥或对称密钥的方式与上述方式相同，在此不再重复描述。
以上所述网络接入认证设备由一个服务器构成，或者，由防火墙、交换机或路由器与认证服务器共同构成。当网络接入认证设备由一个服务器构成时，该服务器完成接收信息、验证信息可信以及验证完整性的操作；当网络接入认证设备由防火墙、交换机或路由器与认证服务器共同构成时，由防火墙、交换机或路由器将接收到来自待接入设备的信息传送给服务器，由服务器执行验证信息可信以及验证完整性的操作，之后，服务器将验证结果返回给防火墙或路由器，由防火墙或路由器将验证结果信息返回给待接入设备。
上述网络接入认证设备和待接入设备之间交互的信息由安全套接字(SSL，Secure Socket Layer)协议、传输层安全(TLS，Transport LayerSecurity)协议、IPv6协议、或IP安全协议(IPSec，Internet protocol Security)中的密钥交换(IKE，Internet Key Exchange)协议承载。下面再进一步说明当网络接入认证设备和待接入设备之间由上述协议承载时，待接入设备发送完整性值的时机。对于待接入设备的具体发送方式，以及网络接入认证设备的认证方式，均与上述方式相同，下面不再详细说明。
当网络接入认证设备和待接入设备之间为SSL或TLS协议时，所述待接入设备为客户端(client)，所述网络接入认证设备为server。此时，当client接收到来自server的ServerHello后，将已计算出的完整性值随握手协议发送给server，由server验证接收到的完整性值与预先存储的是否一致，如果一致，则继续握手协议，否则停止握手协议。或者，client将已计算出的完整性值随ClientHello发送给server；在server接收到来自client的ClientHello后验证收到的完整性值与预先存储的是否一致，如果一致，则继续握手协议，否则停止握手协议。
当网络接入认证设备和待接入设备之间为IPv6或IPSec的IKE协议时，所述待接入设备作为发起方(Initiator)，所述网络接入认证设备作为响应方(Responder)。在Initiator发送HDR，SA时将完整性值随握手协议发送给网络接入认证设备，由网络接入认证设备则验证接收到的完整性值与预先存储的是否一致，如果一致，则表明认证成功，并继续后续操作，否则停止握手协议。
如果是单独发送包含完整性值的报文，则该报文中至少包含完整性值的标识信息、长度信息以及具体的完整性值信息。如果是随现有的报文一起发送完整性值，则在现有的报文中增加多个字段，以承载完整性值的标识信息、长度信息以及具体的完整性值信息，或应用现有报文中的保留字段承载完整性值的标识信息、长度信息以及具体的完整性值信息。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
权利要求
1.一种实现网络接入认证的方法，其特征在于，网络接入认证设备预先保存待接入设备已计算出的其自身的系统完整性值，以及每个待接入设备与其自身的系统完整性值的对应关系，该方法包括以下步骤a、待接入设备获取自身当前的系统完整性值，向网络接入认证设备发送包含当前的系统完整性值信息的认证请求；b、网络接入认证设备根据接收到的认证请求以及所述对应关系，判断接收到的该待接入设备当前的系统完整性值与自身已保存的该待接入设备的系统完整性值是否一致，如果一致，则网络接入认证通过，否则网络接入认证失败。
2.根据权利要求1所述的方法，其特征在于，所述当前的系统完整性值为基本系统完整性值；步骤a所述待接入设备获取自身当前的系统完整性值的方法为所述待接入设备启动时，计算自身的当前的基本系统完整性值，保存该当前的基本系统完整性值于安全存储部件中；当需要接入网络时，待接入设备从安全存储部件中直接取出该基本系统完整性值作为当前的系统完整性值。
3.根据权利要求1所述的方法，其特征在于，所述当前的系统完整性值为基本系统完整性值和用于网络接入的模块一起计算出的完整性值；步骤a所述待接入设备获取自身当前的系统完整性值的方法为所述待接入设备启动时，计算自身的基本系统完整性值，保存该当前的基本系统完整性值于安全存储部件中；当需要接入网络时，待接入设备从安全存储部件中取出基本系统完整性值，与用于网络接入的模块一起进行完整性计算，获取该计算出的值为自身当前的系统完整性值。
4.根据权利要求3所述的方法，其特征在于，所述用于网络接入的模块包括链路层网络驱动模块、网络层和传输层协议软件模块和网络接入应用软件模块。
5.根据权利要求2或3所述的方法，其特征在于，所述待接入设备为计算机，所述计算自身的基本系统完整性值的过程包括以下步骤i、计算机电源开启后，CPU计算系统ROM，以及BIOS或EFI固件代码以及硬件配置参数的完整性值，并将其存储在安全存储部件中；ii、在BIOS或EFI启动后，计算系统所有已经配置完成的参数信息、主引导扇区和系统引导分区的完整性值，并将其存储在安全存储部件中；iii、在BIOS或EFI装入引导操作系统之前，计算操作系统装入代码的完整性值，并将其存储在安全存储部件中；iv、在操作系统装入代码后，计算操作系统内核、系统启动文件、系统配置文件和驱动软件的完整性值，并将其存储在安全存储部件中；v、在操作系统启动后，计算应用软件的完整性值，并将其存储在安全存储部件中；vi、根据步骤i至步骤vi所述的所有完整性值，计算基本系统完整性值。
6.根据权利要求5所述的方法，其特征在于，所述已经配置完成的参数信息包括CPU微码软件，系统各类功能的使能(enable或disable)状态配置，各类认证口令，磁盘配置参数，外设配置参数，安全功能配置参数。
7.根据权利要求2或3所述的方法，其特征在于，安全存储部件为安全芯片TPM、或具有安全保护功能的硬盘、或USB-key，或smart-card。
8.根据权利要求1所述的方法，其特征在于，步骤a所述认证请求中的当前的系统完整性值信息为当前的系统完整性值的明文。
9.根据权利要求1所述的方法，其特征在于，步骤b所述网络接入认证设备接收到来自待接入设备的信息后，进一步包括对接收到的信息的可信性进行验证，验证通过后再继续执行后续步骤。
10.根据权利要求9所述的方法，其特征在于，待接入设备预先生成公私钥，且该公私钥经可信第三方签署；步骤a所述待接入设备发送认证请求之前，进一步包括应用所述私钥对当前的系统完整性值进行签名；所述认证请求中的当前的系统完整性值信息为当前的系统完整性值的明文，且该认证请求中进一步包括当前的系统完整性值的签名以及所述公钥；所述对接收到的信息的可信性进行验证的方法为网络接入认证设备应用接收到的公钥验证接收到的签名是否正确，如果签名正确，则接收到的信息可信，如果签名不正确则接收到的信息不可信。
11.根据权利要求9所述的方法，其特征在于，待接入设备预先生成公私钥，且该公私钥经可信第三方签署，网络接入认证设备中预先存储有所述公钥；步骤a所述待接入设备发送认证请求之前，进一步包括应用所述私钥对当前的系统完整性值进行签名；所述认证请求中的当前的系统完整性值信息为当前的系统完整性值的明文，且该认证请求中进一步包括当前的系统完整性值的签名；所述对接收到的信息的可信性进行验证的方法为网络接入认证设备应用预先存储的公钥验证接收到的签名是否正确，如果签名正确，则接收到的信息可信，如果签名不正确则接收到的信息不可信。
12.根据权利要求9所述的方法，其特征在于，待接入设备预先生成公私钥，该公私钥未经可信第三方签署；步骤a所述待接入设备发送认证请求之前，进一步包括应用所述私钥对当前的系统完整性值进行签名；所述认证请求中的当前的系统完整性值信息为当前的系统完整性值的明文，且该认证请求中进一步包括将当前的系统完整性值的签名、匿名身份证书以及所述公钥；所述对接收到的信息的可信性进行验证的方法为网络接入认证设备应用接收到的匿名身份证书验证发送方身份合法后，应用接收到的公钥验证签名是否正确，如果签名正确，则接收到的信息可信，如果签名不正确则接收到的信息不可信。
13.根据权利要求9所述的方法，其特征在于，待接入设备和网络接入认证设备中预先存储有对称密钥；步骤a所述待接入设备发送认证请求之前进一步包括应用所述对称密钥对当前的系统完整性值进行加密，所述认证请求中的当前的系统完整性值信息是经对称密钥加密后的当前系统完整性值；所述对接收到的信息的可信性进行验证的方法为网络接入认证设备应用自身已保存的对称密钥对接收到的信息进行解密，如果解密成功，则接收到的信息可信，如果解密未成功，则接收到的信息不可信。
14.根据权利要求1或9所述的方法，其特征在于，该方法进一步包括待接入设备中预先保存有网络接入认证设备的系统完整性值；待接入设备获取网络接入认证设备当前的系统完整性值，验证所获取网络接入认证设备的当前系统完整性值与自身已保存的该网络接入认证设备的系统完整性值一致后，再执行步骤a。
15.根据权利要求1所述的方法，其特征在于，所述网络接入认证设备由一个服务器构成，或者，由防火墙、交换机或路由器与认证服务器共同构成。
16.根据权利要求1所述的方法，其特征在于，认证失败后，该方法进一步包括网络接入认证设备向待接入设备发送指示该待接入设备当前不安全的告警提示。
17.根据权利要求1或9所述的方法，其特征在于，所述网络接入认证设备和待接入设备之间交互的信息由SSL协议或TLS协议承载时，步骤a所述待接入设备在接收到来自server的ServerHello信息后，将完整性值信息随握手协议发送给网络接入认证设备，或者，步骤a所述待接入设备在发送的ClientHello中包含完整性值信息；所述网络接入认证设备和待接入设备之间交互的信息由IPv6协议或IPSec的IKE协议承载时，步骤a所述待接入设备发送HDR，SA时将完整性值信息随握手协议发送给网络接入认证设备。
全文摘要
一种实现网络接入认证的方法，其关键是网络接入认证设备内预先保存待接入设备的系统完整性值，以及每个待接入设备与其系统完整性值的对应关系。当待接入设备需要接入网络时，其获取自身当前的系统完整性值，将当前的系统完整性值发送给网络接入认证设备；网络接入认证设备判断接收到的该待接入设备当前的系统完整性值与自身已保存的该待接入设备的完整性值是否一致，如果一致，则通过网络接入认证，否则网络接入认证失败。这样，使网络接入认证设备能够确认当前待接入设备的真正状态，确保了接入网络的设备是真正安全的，进而保证了网络的安全。
文档编号H04L9/32GK1703004SQ20051005111
公开日2005年11月30日 申请日期2005年2月28日 优先权日2005年2月28日
发明者韦卫, 曲亚东, 陈军 申请人:联想(北京)有限公司