一种增强安全性的可信网络连接方法

专利名称：一种增强安全性的可信网络连接方法
一种增强安全性的可信网络连接方法駄领域本发明属于网络安全技术领域，具術步及一种增强安全性的可信网络连接方法。
技术背景随着信息化的发展，病毒、蠕虫等恶意软件的问题异常突出。目前已经出现了超过 三万五千种的恶意软件，每年都有^l四千万的计^n^^感染。要遏制住这类攻击，不仅需要解决安全的传输和i妇居输入时的检查，还要从源头即从每一台连接至啊络的终端 开始防御。而传统的安全防御技术已经无法防御种类繁多的恶意攻击。国际可信计算组织TCG针对这个问题，专门帝啶了一铺于可信计算技术的网络连 接规范^T信网络连接TNC，简记为TCG-TNC，其包括了开放的终端^M生架构和一套 确保安全互操作的标准。这辯示准可以在用户需要时保护一个网络，且由用户自定义保 护到什么程度。TCG-TNC本质上就是要从终端的完整性开始建-，接。首先，要创建一 套在可信网络内部系统运行状况的策略。只有遵守网络设定策略的终端才能访问网络， 网络将隔离和定位那些不遵守策略的设备。由于使用了可信平台模块TPM，所以还可以 阻挡root kits的攻击。root kits是一种攻击脚本、经修改的系统禾號，或者成 ^ 击脚本和工具，用于在一个目标系统中^1瞎棘系统的最高離败限。采用现有TCG-TNC架构， 一次完整的可信网络连接的信息传输如图1所7，。在粒 网络连接之前，'mc客户端需要准备好所需要的平台完整性信息，交给完整性收集者IMC。 在一个拥有可信平台模块TPM的终端里面，这也就是将网络策略所需的平台信窗、经散列 后存入M平台配置寄存器PCRs， TNC服务端需要预先制定平台完整性的斷正要求，并 交给完整性校验者:[匿。具体过程如下(1) 网络访问请求者向策ra射丸行者发起访问请求；(2) 策斷丸行者将访问请求描述发送给网络访问授权者；(3) 网络访问授权者收到网络访问请求者的访问请求描述后，与网络访问请求者执 行用户鉴别协议。当用户鉴别成功时，网络访问授权者将访问请求和用户鉴别成功的《言 息发往TNC服务端；(4) TNC服务端收到网络访问授权者发送的访问请求和用户鉴别成功的信息后，与 TNC客户端开始执行双向平台凭证认证，比如验证平台的身份证明密钥AIK;(5) 当平台凭证认证成功时，TNC客户端告诉完整性纟tt者IMC开始了一个新的网 络连接且需要进行一个完整性握手幼、议。完整性收集者IMC通过完整性度量收集接口IF-IMC返回所需平台完整性信息。TNC服务端将这些平台完整性信息ilii完整tt量校 验接口 IF-丽交给完整性校验者層；(6) 在完整性握手协议过程中，TNC客户端与TNC服务端要交换一次或多次繊， 直到TNC服务端满意为止；(7) 当TNC服务端完成了对TNC客户端的完整性握手助议，它将发送一个推荐信给 网络访问授权者，要求允许访问。如果还有另外的安全考虑，此时访问授权者仍旧可以 不允许访问请求者的访问；(8) 网络访问授权者将访问决定传递给策略执行者，策略#1行者最终执纟，个决定， 来控制访问请求者的访问。目前，尚无成熟的TCG-TNC架构产品迸入巿场。其一些重要的技术还处于研敬规 范阶段，主要还存在如下缺陷1. 可扩展性差。由于在策略执行点和策ffl各决策点之间存在预定义的安，道，而策 略决策点可能管理着大量的策略执行点，这将迫使它配置大量的安全M，造成管理的 复杂性，因此，可扩展性差。2. 密钥协商过程复杂。因为要对网络访问层之上的数据进行安全保护，所以需要在 访问请求者和策略决策点之间建立安全通道，即在它们之间进行会话密钥协商；但是， 访问请求者和策l粉丸行点之间也需要进行数据保护，从而需要在访问请求者和策ffl^l行 点之间再次进行会话密钥协商，使密钥协商过程錄化。3. 安全性相对较低。访问请求者和策略决策点协商出来的主密钥由策略决策点传递 给策B^l行点。密钥在网络上传递，弓l入了新的安全攻击点，使安全性降低。此外，两 次封舌密钥助滴使用了相同的主密钥，也使整个可信网络连接架构的安全性P射氐。4. 访问请求者可能无法验证策略决策点的A工K证书有效性。在平台凭证认证过程中， 访问请求者和策略决策点使用AIK私钥及证书謝亍双向平台凭证认证，两端都需要对AIK 证书进行有效性验证。若策略决策点是访问请求者的上网服务^f共者，访问请求者在可 信网络连接之前不能访问网络，也即无法衞正策略决策点的AIK证书的有效性，所以是不 安全的。5. 平台完整性评估是不对等的。在TCG-TNC架构中，策略决策点对访问请求^it行平 台完整性评估，但访问请求者对笼略决策点不进行平台完整性TO。如果策略决策点的 平台不可信，那么访问请求者谨接到不可信的设备上是不安全的。而體可《,d hoc 网络中是必须的。发明内容本发明的目的在于Mft—种增强安全性的可信网络连接方法，其解决了背景技术中安全性相対较低、访问请求者可能无法验证AIK证书有效性和平台完整性刑古不对等的 技术问题。本发明的技术实现方案如下一种增强安全性的可信网络连接方法，该方法包括以下实现步撒 (1.)进行初始化(1.1) 访问请求者的TNC客户端和访问授权者的TOC服务端预先准备平台完整性信息，并交给各自的完徵鬼tif酌完整性收集者IMC;(1.2) TNC客户端和TNC服务端预先制定完整性^i正要求，该完整性斷正要求包括 访问请求者与访问授权者相互请求对方验证的PCRs表；(1.3)访问请求者和访问授权者的可信平台模块TPM将网络策略所需平台信息经 散列后存入平台配置寄存器PCRs; (2.)进行用户鉴别(2.1) 在网络访问层，网络访问请求者向策田娥行者魏访问请求，策輸考猪将 该访问请求转发给网络访问授权者；(2.2) 网络访问授权者收到访问请求后，启动双向用户鉴别过程，网络访问层的网 络访问请求者、网络访问授权者和用户鉴别服务单;^间开始执行三顽等鉴别协议， 实现访问请求者与访问授权者的双向用户鉴别及密钥协商；之后，网络访问授权者将双 向用户鉴别过程生成的主密钥通过预建立的安全通道传送给策ffl各执行点；最后，策B^1 行点用主密钥与访问请求者进行密钥协商；(2.3) 当双向用户鉴别成功时，网络访问请求者和网络访问授权者将用户鉴别成功 的信息分别发往完整性评估层的TNC客户端和TNC服务端；(3.)进行完整性评估当访问授权者的TNC服务端收到网络访问授权者发逸的用户鉴别成功的信息时， 在完整性评估层和^^MtBl访问授权者的TNC服务端、访问请求者的TNC客户端 和策略管理器的平台评估服务单元禾拥三7t)(寸等鉴别幼、议来实现访问请求者和访问授权 者的双向平台完整性评估。在该平台完整性评估过程中，访问授权者的TNC服务端、 访问请求者的TNC客户端和策略管理器的平台评估服务单^需要与上层的完整性收 集者与完整性校验者进行信息交互。(4.)进4亍访问控制TNC服务端和TNC客户端各自汇总访问授权者和访问请求者的平台完整性评估结 果；然后，分别向网络访问授权者和网络访问请求者发送推荐；网络访问请求者和网络访问授权者分别依据各自收至啲推荐对端口逝亍控制，实TO问请求舒n访问M5^的相互访问控制。Jl^步骤(3.)中的访问授权者的TOC服务端、访问请求者的TNC客户端和策略管理 器的平台评估服务单元禾拥三7I^等鉴别协议来实现访问请求者和访问授权者的双向平 台完整性评估，该平台完整性靴司l用下列方式① .进行平台完整性校验访问请求者校验访问授权者的平台完整性，而访问授权 者校验访问请求者的完整性；② .进行平台凭证认证由策略管理器验证访问请求者和访问授权者的AIK证书有效性。上述步骤(3.)中的访问授权者的TNC服务端、访问请求者的TNC客户端和策略管理 器的平台评估服务单元禾明3三7^寸等鉴别幼议来实现访问请求者和访问授权者的双向平台完整性评估，该平台完整'性评估具体可采用下列方式(3丄1)当访问授权者的TNC服务端收到网络访问授权者发送的用户鉴另喊功的信息或己证实用户鉴别成功时，访问授权者向访问请求者发送下列信息(a).访问授权者的可信平台模i央TPM产生的随机数Ns; (b).访问授权者的AJK证书 CertAC.A1K; (c).访问授权者向访问请求者请求的PCRs表PCRsListAR;(3丄2)访问请求者收到步骤(3丄1)中访问授权者发送的信息后，首先，根据访问授 权新青求的PCRs表向可信平台模i央TPM提取的相应PCRs值；然后，在可信平台模块 TPM内使用AIK私钥对可信平台模块TPM提取相应的PCRs值和访问授权者的可信平 台模i央TPM产生的随机数Ns进行签名；最后，访问请求者向访问授权者皿下列信息(a).访问授权者的可信平台模i央TPM产生的随机数Ns; (b).访问请求者的可信平台 模土央TPM产生的随机数N肌；(c).访问请求者的AIK证书CertAR.AIK; (d).访问i青求者向 访问授权^i青求的PCRs表PCRsListAc; (e).访问授权者"i青求的PCRs值PCRsAR; (f).对应 于访问授权者请求的PCRs值的度量日志LogAR; (g).访问请求者在可信平台模块TPM内 {顿AIK私钥对可信平台模i央TPM提取的相应PCRs值和访问授权者的可信平台模块 TPM产生的随机数Ns进行的签名；(3丄3)访问授权者收到歩骤(3丄2)中访问请求者发送的信息后，首先，让可信平台 模块TPM验证访问授权者的可信平台模块TPM产生的随机数Ns的一致性；接着，使 用访问请求者的AK证书中的公钥验证访问请求者的AIK签名的有效性；然后，禾, 访问授权者向访问请求者请求的PCRs值、对应于访问授权#1#求的PCRs值的度量日志LogAR以及数据库中提供的标准完整ffit量lW访问请求者的平台完整性謝滩验， 并生成访问授权者対访问请求者的平台完整性校验结果；最后，访问授权者向策略管理 器发送下列信息(a).访问请求者的可信平台模块TPM产生的随机数NAR; (b).访问授权者的用户产生 的随机数Nac; (C).访问请求者的AIK证书；(d).访问授权者的AIK证书；(3丄4)策略管理器收到歩徵3丄3)中访问授权者发送的信息后，首先，对访问请求 者和访问授权者的AIK证书进行验证，并生成访问请求者和访问授权者的证书魁正结果 ResultAIK;该证书验证结果包括访问授权者用户产生的随机数NAC、访问请求者的AIK 证书CertAR-AIK、访问请求者的AIK证书验证结果ReAR—AIK、访问请求者的可信平台模土央 TPM产生的随机数N放、访问授权者的AIK证书CertAC.AIK、访问授权者的AIK证书验 证结果ReAc-服；然后，用策略管理器的身份证书对应的私钥对证书验证结果謝豫名； 最后，策略管理器向访问授权者发送所生成的证书验证结果Result皿M证书跑正结果 ResultAIK的签名|:ResultAIKJSig;(3丄5)访问授权者收到步骤(3丄4)中策略管理器发送的信息后，首先，舰访问授 权者用户产生的随机数KUc和访问请求者的可信平台模块TPM产生的随mmNAK的一 致性，并利用策略管理器的身份证书对应的公钥来验证策略管理器的签名有效性；歸， 根据证书验证结果验证访问请求者的AIK证书的有效性，并利用访问授权者对访问请求 者的平台完整鹏验结果，生成平台完整性评估结果;然后，根据访问请求賴求的PCRs 表向可信平台模i夹TPM提取相应的PCRs值，并在可信平台模±央TPM内用ADC私钥对 可信平台模i央TPM提取的相应PCRs值和访问请求者的可信平台模块TPM产生的随机 数N旭謝豫名；最后，访问授权者向访问请求者发送下列信息(4步骤(3丄4)中策略管理器发送的消息内容；(b).访问请求者的可信平台模l央TPM产生的随机数NAR; (C).访问授权者用户产生的随机数NAc; (d).访问请求^i青求的PCRs值PCRsAC; (e).対应于访问请求者请求的PCRs值的度量日志LogAC; (f).访问授权者对可 信平台模i央TPM提取的相应PCRs值和访问请求者的司信平台模块IPM产生的随机数NAR进行的签名；(3丄6)访问请求者收到歩骤(3.1.5)中访问授权者发送的信息后，首先，用策略管理 器的身份证书对应的公钥来验证策略管理器的签名有效性，接着，访问请求^i^E访问 请求者的司信平台模块TPM产生的随权傲NAR的--致性，用访问授权者的AIK证书中 的公钥来验证访问授权者的AIK签名有效性，再接着，根据证书验证结果衞正访问授权者的AK证书的有效性；然后，用访问请求者向访问授权^i青求的PCRs值、对应于访 问请求^"if求的PCRs值的度量日志LogAc和数据库中M^的标准完整腿M，对访 问授权者的平台完整性进行校验，并生成访问授权者的平台^1ffi验结果；最后，访 问请求者依据访问授权者的AIK证书有效性和对访问授权者的平台完整性校验结果，生 成平台完整性评估结果。上述步骤(3丄5)中的生成访问请求者的平台完整性评估结果的过程中，访问授权者 要再次与访问请求者交换完整性信息时，可重复謝亍步戰3丄1)至步戰3丄6)。上述步骤(3.1.6)中的生成访问授权者的平台完整性评估结果的过程中，访问请求者 要再次与访问授权者交换完整性信息时，可重复进行步戮3丄2库步骤(3.1.6)。上述步骤(3.)中的访问授权者的TNC服务端、访问请求者的TNC客户端和策略管理 器的平台评估服务单元禾,H7U^等鉴别协议来实现访问请求者和访问授权者的双向平 台完整性评估，该平台完整'性评估可采用下列方式(D进行平台完整性校验，由策略管理器校验访问请求者和访问授权者的平台完整性；②.进行平台凭证认证由策略管理器验证访问请求者和访问授权者的AIK证书有效性。上述步骤(3.)中的访问授权者的TNC服务端、访问请求者的TNC客户端和策略管理 器的平台评估服务单元利用三顽等鉴别助议来实现访问请求者和访问授权者的双向平 台完整性评估，该平台完整性评估具体可采用下歹仿式(3.2.1) 访问授权者收到网络访问授权者发送的用户鉴别成功的信息时，向访问请求者发送下列信息(a).访问授权者的可信平台模块TPM产生的随机数Ns; (b).访问授权者的AIK证书 CertAC.AIK; (4访问授权者向访问请求#1青求的PCRs表PCRsListAR;(3.2.2) 访问请求者收到步骤(3.2.1)中访问授权者发送的信息后，首先，根据访问授 权#1#求的PCRs表向可信平台模块TPM提取相应的PCRs值；然后，在可信平台模块 TPM内用AIK私钥对可信平台模块TPM提取的相应PCRs值和访问授权者的鹏平台 模i央TPM产生的随机数Ns进行签名；最后，访问请求者向访问授权者皿下列信息(a).访问授权者的可信平台模块TPM产生的随机数Ns; (b).访问请求者的可信平台 模±央TPM产生的随机数NAR; (c).访问请求者的ADC证书CertAR-A1K; (d).访问请求者向 访问授权者请求的PCRs表PCRsLisUc; (e).访问授权者请求的PCRs值PCRsAR; (f).舰于访问授权者请求的PCRs值的度量曰志LogAR; (g).访问请求者在可信平台模块TPM内 iOT AIK私钥对可信平台模块1PM提取的相应PCRs值和访问授权者的可信平台模块 TPM产生的随机数Ns进行的签名；(3.2.3) 访问授权者收到步骤(3.2.2)中访问请求者发送的信息后，首先，让可信平台 模±央TPM验证访问授权者的可信平台模块TPM产生的随机数Ns的一致性，并使用访 问请求者的AIK证书中的公钥验证访问请求者的AIK签名的有效性；接着，t離访问 请求者请求的PCRs表向可信平台模块TPM提取相应的PCRs值；然后，访问授M在 可信平台模块TPM内使用AIK私钥对可信平台模块TPM提取的相应PCRs值和访问请 求者的可信平台模块TPM产生的随机数NAR进行签名；最后，访问授权者向策略管理 器发送下列信息(a).访问授权者的可信平台模块TPM产生的随机数Ns; (b).访问请求者的鹏平台 模±央TPM产生的随机数NAR; (c).访问请求者的AIK证书Cert肌服；(d).访问授权:f"i青 求的PCRs值PCRs^; (e).对应于访问授权者请求的PCRs值的度量日志Log^; (f).访问 请求者在可信平台模块TPM内^H AIK私钥对可信平台模块TPM提取的相应PCRs 值和访问授权者的可信平台模块TPM产生的随机数Ns进行的签名;(g).访问微者用户 产生的随机数NAC; (h).访问授权者的AIK证书CertAC-AIK; (i).访问请求^i青求的PCRs僮PCRSac; (j)对应于访问请求者请求的PCRs值的度量曰志LogAc; (k).访问授权者在可信平台模块TPM内使用AIK私钥对可信平台模i央TPM提取的相应PCRs值和访问请求 者的可信平台模块'IPM产生的随机数NAR进行的签名；(3.2.4) 策略管理器收到歩骤(3.2.3)中访问授权者发送的信息后，首先，用访问请求 者和访问授权者各自的AIK证书对应的公钥来验证访问请求者和访问授权者的AIK签 名的有效性以及AIK证书的有效性；然后，根据访问请求者和访问授权者各自可信平台 模土央TPM提取的相应PCRs值的度量日志和数据库中的标准完整性度量fMffi十對目应 的PCRs值，且与步微3.2.3)中访问授权者发送的消息中的对应？018值进行比较;接着， 生成访问请求者和访问授权者的AIK证书鉴别和平台完整性校验结果Result皿.pcRs，用 策略管理器的身份证书对应的私钥対所生成的AIK证书鉴别和平台完整性校验结果进 行签名[Result服p(:"ig;最后，向访问授权者发送访问请求者和访问授权者的AIK证书 鉴别和平台完整性校验结果ReSUltA[K.rcRs及策略管理器对访问请求者和访问授权者的ADC证书鉴别和平台完整性校验结果的签名[Result縱.rcRs]sig;所述的访问请求者和访问 授权者的AIK证书鉴别和平台完整性校验结果Resnlt皿.pcfc包括(a).访问授权者用户产生的随机数NAC; (b).访问授权者的可信平台模i央TPM产生的 随机数Ns; (c).访问请求者的AIK证书CertAR.AIK; (d).访问授权者请求的PCRs值PCRs放; (e).对访问请求者的平台完整性校验结果ReAR; (f).访问请求者的可信平台模块TPM产 生的随机数NAR; (g).访问授权者的AIK证书CertAC-AIK; (h).访问请求^i青求的PCRs 值PCRsAC; (i).对访问授权者的平台完整性校验结果ReAC; (j).访问请求者的AK证书 验证结果ReAR.AIK; (:k).访问授权者的AIK证书验i正结果ReAC.AIK;(3.2.5) 访问授权者收到歩骤(3.2.4)中策略管理器发送的信息后，首先，验证访问授 权者用户产生的随机数NAt、与歩骤(3.2.4)中策略管理器发送的信息中访问授权者用户产 生的随机数Nac是否一致，并验证策略管理器的用户签名的有效性；M,让可信平台 模土央TPM验证访问授权者的司'信平台模i央TPM产生的随机数Ns的一致性，并衞正访 问请求者的A[K证书CertAR.AIK与访问授权^i青求的PCRs值PCRsAR的一致性；然后， 验证访问请求者的AK证书验证结果ReAR-AIK和对访问请求者的平台完整性校验结果 ReAR，并生成访问请求者的平台完整性评估结果；最后，访问授权者向访问请求者皿 的步歟3.2.4)中的信息和访问授权者在可信平台模块TPM内使用AIK私钥对可舒台模 块TPM提取的相应PCRs值和访问请求者的可信平台模块TPM产生的随机数NAR进行 的签名；(3.2.6) 访问请求者收到歩徵3.2.5)中访问授权者发送的信息后，首先，舰访问授 权者的AIK签名的有效性和策略管理器用户签名的有效性；然后，让可信平台模i央TPM 验证访问请求者的可信平台模块TPM产生的随机数NAR的一致性；接着，验证访问授 权者的AIK证书和访问请求者请求的PCRs值的一致性；最后，验证访问授权者的AIK 证书验证结果Re,d和对访问授权者的平台完整性校验结果ReAC，并生成访问请求者 的平台完整性评估结果。上述步骤(3.2.5)中的生成访问请求者的平台完整性评估结果的过程中，访问授权者 要再次与访问请求者交换完整性信息时，可重复进行步徵3.2.1)至步戮3.2.6)。上述步骤(3.2.6)中的生成访问授权者的平台完整性校验结果的过程中，访问请求者 要再次与访问授权者交换完整性信息时，可重复进行步歟3.2.2)至步骤(3.2.6)。上述步骤(4.)11' TNC服务端和TNC客户端向网络访问授权者和网络访问请求者縱 的推荐可以是允许访问信息、禁止访问信息或隔离修补信息等。本发明具有如下优点、1.增强了可信网络连接架构的安全性，简化了密钥管理。在网络咖犯汰用了基于三元对等鉴别的访问控制力法，增强了可信网络连接架构的安全性，简化了该架构的密钥管理。2. 可增强可信网络连接架构的安全性，简化密钥管理及完整性校验机制。 平台完整性评估可根据实际凊 用实现方式。第一种是由策略管，实现访问请求者和访问授权者的AIK证书的集中鉴别，而由访问请求者和访问授权者在本地实5JM方平台完整性的校验，该方式适用于访问请求者和访问授权者都可访问存储有各个平台 组件的标准完整性度量值的對居库，可增强可信网络连接架构的安全性，简化可信网络连接架构的密钥管理。第二种是访问请求者和访问授权者的AIK证书的鉴别和平台完整 性的校验都由策略管理器完成，其简化了可信网络连接架构的密钥管理和完整性 机 制，更进一歩地增强可信网络连接架构的安全性，且可扩展可信网络连接的适用范围。3. 可提高整个可信网络连接架构的安全性。不但在网络访问层采用三元对等鉴别协议，即基于第三方的双向鉴别协议来实现访 问请求者和访问授权者的双向用户鉴别，而且在完整性评估层也采用了三^X^鉴别协 议来实现访问请求者和访问授权者的双向平台完整性评估，因而可提高整个可信网络连 接架构的安全性。


图1为现有T〔:G-TNC架构的一次完整的可信网络连接的信I传输示意图。图2为本发明第一种平台完整性评估方式对应的一次完整的信,冒、传,程示意图。图3为本发明第二种平台完整性评估方式对应的---次完整的信息传输，示意图。图4为本发明第一种平台完整性评估的实现方式7J^意图。图5为本发明第二种平台完整性评估的实现方式示意图。 附图符号说明如下Ns:访问授权者的可信平台模i央TPM产生的随机数；CertAC.AIK:访问授权者的AIK 证书；PCRsUstAR:访问授权者向访问请求^i青求的PCRs表；NAR:访问请求者的可信 平台模块TPM产生的随机数；CertAR.A1K:访问请求者的AIK证书；PCRsListAC:访问请 求者向访问授权者请求的PCRs表；LogAR:对应于访问授权^i青求的PCRs值的度量日 志；PCRsAR:访问授权^i青求的PCRs值；[Ns, PCRsAR]Sig:访问请求者对访问授权者的 可信平台模块TPM产生的随机数和X寸应于访问授权新青求的PCRs值的签名；NAC:访 问授权者用户产生的随杉傲；LogAC:对应于访问请求者请求的PCRs值的度量日志； PCRsAC:访问请求-都青求的PCRs值；[NAR， PCRsAC]Slg:访问授权者X寸访问请求者的可 信平台模块TPM产生的随机数NAR和对应于访问请求者请求的PCRs值的签名； ReSUltA,K-PCRs:访问请求者和访问授权者的AIK证书鉴别和完整性校验的结果； [ResultAIK_PCRs]Slg:策略管理器对访问请求者和访问授权者的AIK证书鉴另诉口完整性校验结果的签名；ReAC:对访问授权者的平台完整性校验结果；ReAR:对访问请求者的平台 完整性校验结果；ResulUiK:访问请求者和访问授权者的AIK证书验证结果； [ResultAIK]Siy :策略管理器对访问请求者和访问授权者的AIK证书验证结果的签名； ReAR_AIK:访问请求者的AIK证书验证结果；ReAoA("访问授权者的AIK证书舰结果。 具体实败方式由于现有的各禾中网络大部分采用TCG-TNC的架构部署，尤其是有线网络，所以，本 发明是在TCG TNC架构上建立的一种增强安全性的可信网络连接架构。本发明主要由网络访问层、完整性评估层和完整性度量焉构成，访问请求者、策mm行点、访问授权者和策略管理器四个逻辑实体，可以分布在网络的任意位置。访问请求者又称为请求者、 用户站等，策略管理器又称为鉴别服务器、可信服务器、后台服务器等。网络访问层，负责实现访问请求者与访问，者的双向用户鉴别及密钥协商、访问 请求者与策略执行点之间的密钥协商、访问授权者与访问请求者之间的相互访问控制， 实现步骤是首先，假定策,于点与访问授权者之间预先建立了-一个安全通道。然后， 网络访问请求者、网络访问授权者与用户鉴别服务单元执行三7l^寸等鉴别协议以实现访 问请求者和访问授权者的双向用户鉴别及密钥协商，鉴别过程生成的主密钥由网络访问 授权者M安全通道传送给策略执行点。最后，策断丸行点禾,主密钥与访问请求, 行密钥协商，以保护策略执行点与访问请求者之间数据传输的安全。本发明网络访问层 可采用基于三湖等鉴别的访问控制方法，也就是中国WLAN标准中已采用的网络访问控 制技术。完整性评估层，负责实现访问请求者与访问授权者的平台完整ffif估，包括平台凭 证认证和平台完整性校验。平台完整性靴可采用以下两种方式实现第-一种平台完整性评估方式参见图2，是由策略管理器舰访问请求者和访问授权 者的AIK证书的有效性，而由访问请求者和访问授权者在本地校验对方平台的完整性， 该方式适用于访问请求者和访问授权者者阿访问存储有各个平台组件的标准完整'腿量 值的 库，可增强可信网络连接架构的安全性，简化可信网络连接架构的密钥管理。 平台完整性校验和平台凭证认证的实现方式为① .平台完整性校验访问授权者的平台完整性校验在TNC客户端进行，访问棘 者者的平台完整性校验在TNC服务 行。② .平台凭证认证访问请求者和访问授权者的平台凭证认Kffl三元对等鉴别协议来实现。访问请求者和访问控制者的AIK证书鉴别均由平台评估服务单元来完成。第二种平台完整性i科古方-式参见图3，是访问请求者和访问授权者的AIK证书有效 性验证禾呼台完整性的校验都由策略管理器完成，其简化了鹏网络连接架构的密钥管理和完整性校验机制，更进一步地增强可信网络连接架构的安全性，且可扩展可信网络 连接的适用范闱。平台完整性校验和平台凭证认证的实现方式为① .平台完整性校验访问请求者和访问授权者的平台完整性校验均由平台TO服 务单元来完成。② .平台凭证认证访问请求者和访问授权者的平台凭证认 用三^(^鉴别协 议来实现。访问请求者和访问授权者的AIK证书有效性验证均由平台，服务^*完 成。完整性度量层，负责收集和校验访问请求者和访问授权者的平台完整性信息。当采 用第一种平台完整性评估方式时，访问请求者和访问授权者二者都是既要M平台的 完整性信息，又要校验平台完整性信息。当采用第二种平台完整性评估方式时，访问请 求者和访问授权者都只需收集平台完整性信息即可，而平台完整性信息的校验由策略管 理器来实现。本发明的具体实现步骤如下(1.)进行初始化。在建立网络连接之前，进行下列步骤(1.1) 访问请求者的TOC客户端和访问授权者的TNC服务端预先准备平台完整性信息，并交给各自的^ffla完整性收集者IMC。(1.2) TNC客户端和TNC服务端预先制定完整性验证要求，该完整性魁正要求包括 访问请求者与访问授权者相互请求对方验证的PCRs表。对于第一种平台完整性靴方 式，TNC客户端和TNC服务端将预先制定的完整性Mi要求直接交飾问请求者和访问 授权者的完整性校验者工MV;对于第二种平台完整性评估方式，TNC客户端禾口TNC月艮务端 在平台完整性评估过程中才将预先制定的完整性验证要求交给策略管理器的完整性校验 者丽。(1.3)访问请求者和访问授权者的可信平台模块TPM将网络策略所需平台信息经 散列后存入平台配置寄存器PCRs。 (2.)进行用户鉴别。(2.1.)在网络访问层，网络访问请求者向策略执行者，访问请求，策略执行者将 该访问请求转发给网络访问授权者。(")网络访问授权者收到访问请求后，启动双向用户鉴别过程，网络访问层的网 络访问请求者、网络访问授权者和用户鉴别服务单元之间开始执行三元对等鉴别协议， 实现访问请求者与访问授权者的双向用户鉴别及密钥协商；之后，网络访问授权者将双 向用户鉴别过程生成的主密钥通过预建立的安全通道传g策,亍点；最后，策H^行点用主密钥与访问请求者进行密钥协商。(13)当双向用户鉴别成功时，网络访问请求者和网络访问授权者将用户鉴别成功的信息分另拨往完整性评估层的TNC客户端和TNC服务端。 (3.)进行完整性评估。当访问授权者的TOC服务端收到网络访问授权者发送的用户鉴另喊功的信息时， 在完整性评估层和^MB访问授权者的TNC服务端、访问请求者的TOC客户端 和策略管理器的平台iff古月艮务单元禾,三元对等鉴别幼议来实现访问请求者和访问授权 者的双向平台完整性评估。该平台完整性评估过程可能需要进疗-次或多次的 交换。参见图4，第一种平台完整性评估的具体实现方式如下(3丄1)当访问授权者的TNC服务端收到网络访问授权者发送的用户鉴别成功的信 息或已证实用户鉴另喊功时，访问授权者向访问请求者錢下列信息(a).访问授权者的可信平台模块TPM产生的随机数Ns; (b).访问授权者的AIK证书 CertAC.AIK; (c).访问授权者向访问请求者请求的PCRs表PCRsListAR。(3丄2)访问请求者收至陟骤(3丄1)中访问授权者发送的信息后，首先，根据访问授 权新青求的PCRs表向可信平台模块TPM提取相应的PCRs值；然后，在可信平台模土央 TPM内使塌AIK私钥对可信平台模块TPM提取的相应PCRs值和访问授权者的可信平 台模块TPM产生的随机数Ns进行签名；最后，访问请求者向访问授权者发送下列信息(a).访问授权者的可信平台模块TPM产生的随机数Ns; (b).访问请求者的可信平台 模块TPM产生的随机数NAR; (c).访问请求者的AIK证书CertAR-AK; (d).访问请求者向 访问授权者请求的PCRs表PCRsListAc; (e).访问授权^i青求的PCRs值PCRsAR; (f).对应 于访问授权者i青求的PCRs值的度量日志LogAR; (g).访问请求者在可信平台模i央TPM内 AIK私钥对可信平台模块TPM提取的相应PCRs值和访问授权者的可信平台模土央 TPM产生的随机数Ns进行的签名。(3丄3)访问授权者收到步骤(3丄2)中访问请求者发送的信息后，首先，让可信平台 模块TPM验证访问授权者的可信平台模块TPM产生的随机数Ns的一致性；接着，使 用访问请求者的AIK证书中的公钥验证访问请求者的AIK签名的有效性；然后，禾, 访问授权者向访问请求者请求的PCRs值、对应于访问授权者请求的—PCRs值的度量日 志LogAR以及 库中提供的标准完整性度量 访问请求者的平台完整性进行校验， 并生成访问授权者对访问请求者的平台完整性校验结果；最后，访问授权者向策略管理器发送下列信息(a).访问请求者的可信平台模块TPM产生的随机数NAR; (b).访问授权者的用户产生的随机数NAC; (C).访问请求者的AIK证书；(d).访问授权者的ADC证书。(3丄4)策略管理器收到步骤(3丄3)中访问授权者发送的信息后，首先，对访问请求 者和访问授权者的AIK证书进行验证，并生成访问请求者和访问授权者的证书验证结果 Result,;该证书验i正结果包括访问授权者用户产生的随机数NAC、访问请求者的AIK 证书CertAR—AIK、访问请求者的AIK证书验证结果ReAR.AIK、访问请求者的可信平台模土央 TPM产生的随机数H^、访问授权者的AK证书CertAC,A1K、访问授权者的AIK证书验 证结果ReAd;然后，用策略管理器的身份证书对应的私钥对证书验证结皿fi^名； 最后，策略管理器向访问授权者皿所生成的证书验证结果ResultAK^X寸证书验证结果 ResultAII〈的签名[Result服]sig。(3丄5)访问授权者收到步骤(3丄4)中策略管理器发送的信息后，首先，验证访问授 权者用户产生的随机数NAc和访问请求者断iJ信平台模i央TPM产生的随机数N^的一 致性，并利用策略管理器的身份证书对应的公钥来验证策略管理器的签名有效性；接着， 根据证书验证结果验i正访问请求者的AIK证书的有效性，并禾佣访问授权者对访问请求 者的平台完整性校验结果，生成平台完整性评估结果;然后，根据访问请求賴求的PCRs 表向可信平台模块TPM提取的相应PCRs值，并在可信平台模块TPM内用AIK私钥对 可信平台模块TPM提取的相应PCRs值禾晚问请求者的可信平台模±央TPM产生的随机 数N^进行签名；最后，访问授权者向访问请求者发送下列信息(a),歩骤(3丄4)中策略管理器发送的消息内容；(b).访问请求者的可信平台模块TPM 产生的随机数NAR; (c).访问授权者用户产生的随机数NAC; (d).访问请求新青求的PCRs 値PCRsac; (e).对应于访问请求者^i青求的PCRs值的度量曰志LogAc; (f).访问授权者对可 信平台模块TPM提取的相应PCRs值和访问请求者的可信平台模±央1PM产生的随机数Nar迸行的答名。步骤G丄5)中生鹏问请求者的平台完整性评估结果过程中，若访问授权者稻 意该结果莉立其他网络策略的需要，贝附问授权者可以再次与访问请求者交换完整性信 息并进行校验，即重复进行步骤(3丄1)至歩骤(3丄6)。其中MK证书的有效性lli正 过程和访问请求者对访问授权者进行额外的平台完整性校-^l程可根据需要选用。(3丄6)访问请求者收到步骤(3丄5)中访问授权者发送的信息后，首先，用策略管理 器的身份证书对应的公钥来验证策略管理器的签名有效性，接着，访问请求者iiiiE访问 请求者的可信平台模±央TPM产'-生的随机数NAR的一致性，用访问授权者的AK证书中 的公钥彩銜正访问授权者的AIK签名有效性，再接着，根据证书魁正结果斷正访问授权者的AIK证书的有效性；然后，用访问请求者向访问授权^i青求的PCRs值、对应于访 问请求賴求的PCRs值的度量日志LogAc和数据库中M^的标准完整腿M， XTO 问授权者的平台完整性进行校验，并生成访问授权者的平台完整性校验结果；最后，访 问请求者依据访问授权者的AIK证书有效性和对访问授权者的平台完整性校验结果，生 成平台完整性评估结果。歩骤(3丄6)中生成访问授权者的平台完整性评估结果过程中，若访问请求者不满 意该结果或应其他网络策略的需要，贝U访问请求者可以再次与访问授权者交换完整性信 息并进行校验，即重复进行步骤(3丄2)至歩骤(3丄6)。其中AIK证书的有效性^l正 过程和访问授权者对访问请求者进行额外的平台完整性校^1程可根据需要选用。参见图5，第二种平台完整性评估的具体实现方式如下(3.2.1) 访问授权者收到网络访问授权者发送的用户鉴别成功的信息时，向访问请求 者发送下列信息(a).访问授权者的可信平台模i央TPM产生的随机数Ns; (b).访问授权者的AIK证书 CertAC-AIK; (c).访问授权者向访问请求者请求的PCRs表PCRsListAR。(3.2.2) 访问请求者收到歩骤(3.2.1)中访问授权者发送的信息后，首先，根据访问授 权新青求的PCRs表向可信平台模块TPM提取相应的PCRs值；然后，在可信平台模块 TPM内用AIK私钥对可信平台模块TPM提取的相应PCRs值和访问授权者的可信平台 模块TPM产生的随机数Ns进行签名；最后，访问请求者向访问授权者錢下歹瞻息(a).访问授权者的可信平台模块TPM产生的随机数Ns; (b).访问请求者的可信平台 模块TPM产生的随机数NAR; (c).访问请求者的AIK证书Cert^Mc; (d).访问请求者向 访问授权者请求的PCRs表PCRsLisUc; (e).访问授权^i青求的PCRs值PCRsAR; (f).对应 于访问授权^i青求的PCRs值的度量日志LogAR; (g).访问请求者在可信平台模i央TPM内 AIK私钥对可信平台模块1TM提取的相应PCRs值和访问授权者的可信平台模土央tpm产生的随ia数Ns进行的签名。(3.2.3) 访问授权者收到歩骤(3.2.2)中访问请求者发送的信息后，首先，让可信平台 模±央TPM验证访问授权者的司-信平台模块TPM产生的随机数Ns的一致性，并使用访 问请求者的AIK证书中的公钥验证访问请求者的AIK签名的有效性；接着，根据访问 请求新青求的PCRs表向可信平台模i央TPM提取相应的PCRs值；然后，访问授权者在 可信平台模块TPM内使用AIK私钥对可信平台模±央TPM提取的相应PCRs值和访问请 求者的可信平台模块TPM产生的随机数N放进行签名；最后，访问授喊向策略管理 器发送下列信息(a).访问授权者的可信平台模块TPM产生的随机数Ns; (b).访问请求者的可信平台 模土央TPM产生的随机数NAR; (c).访问请求者的AIK证书CertAR_A|K; (d).访问授权^i青 求的PCRs值PCRsAR; (e).对应于访问授权者请求的PCRs值的度量日志Log^; (f).访问 请求者在i寸信平台模块TPM内^ffl AIK私钥对可信平台模块TPM提取的相应PCRs 值和访问授权者的可信平台模块TPM产生的随机数Ns謝亍的签名;(g).访问授权者用户 产生的随机数NAC; (h).访问授权者的AIK证书CertAC.AlK; (i).访问请求^i青求的PCRs僮PCRSac; (j).对应于访问请求都青求的PCRs值的度量日志LogAc; (k).访问授权者在可信平台模±央TPM内^ffi AIK私钥对可信平台模块TPM提取的相应PCRs值和访问请求 者的司信平台模块TPM产生的随机数NAR进行的签名。(3.2.4) 策略管理器收到步骤(3.2.3)中访问授权者发送的信息后，首先，用访问请求 者和访问授权者各自的AIK证书对应的公钥来-衞正访问请求者和访问授权者的AIK签 名的有效性以及AIK证书的有效性；然后，根据访问请求者和访问授权者各自可信平台 模块TPM提取的相应PCRs值的度量日志和数据库中的标准完整性度量MSffi十對目应 的PCRs值，且与歩徵3.2.3)中访问授权者发送的消息中的乂寸应PCRs值进行比较；接着， 生成访问请求者和访问授权者的AIK证书鉴别和平台完整性校验结果ResulW^pcRs，用 策略管理器的身份证书X寸应的私钥対所生成的AIK证书鉴别和平台完整性校验结果进 行签名[ResulU,k.radsig;最后，向访问授权者发送访问请求者和访问授权者的AIK证书 鉴别和平台完整性校验结果ResiiltM《pa&及策略管理器对访问请求者和访问授权者的 AIK证书鉴别和平台完整性校验结果的签名[ResultA,K.pd]sig;所述的访问请求者和访问 授权者的AIK证书鉴别和平台完整性校验结果Result皿.pcfc包括(a).访问授权者用户产生的随机数NAC; (b):访问授权者的可信平台模土央TPM产生的 随机数Ns; (c).访问i青求者的AIK证书CertAR.AIK; (d).访问授权^i青求的PCRs值PCRs旭； (e).对访问请求者的平台完整性校验结果ReAR; (f).访问请求者的可信平台模块TPM产 生的随机数NAR.; (g).访问授权者的AIK证书CertAC-AIK; (h).访问请求-^i青求的PCRs 值PCRsAC; (i).对访问授权者的平台完整性校验结果ReAC; (j).访问请求者的AIK证书 -^i正结果ReAR-AIK; (k).访问授权者的AIK证书3針正结果ReAC-AIK。(3.2.5) 访问授权者收至陟骤(3.2.4)中策略管理器総的信息后，首先，舰访问授 权者用户产生的随机数NAC与歩骤(3.2.4)中策略管理器皿的信息中访问授权者用户产 生的随机数Nac是否一致，并验证策略管理器的用户签名的有效性；接着，让可信平台 模±央TPM验证访问授权者的可信平台模i央TPM产生的随机数Ns的一致性，并斷正访问请求者的AIK证书CertAR-A|K与访问授 请求的PCRs值PCRs^的一致性；然后， -^i正访问请求者的AIK证书验证结果ReAR_A1K和对访问请求者的平台完整性校验结果 ReAR，并生成访问请求者的平台完整性评估结果；最后，访问授权者向访问请求者錢 的步徵3.2.4)中的信息和访问授权者在可信平台模块TPM内IOTAIK私钥对可信平台模 块TPM提取的相应PCRs值和访问请求者的可信平台模块TPM产生的随禾几数NARJt行 的签名。步骤(3.2.5)中生成访问请求者的平台完整性评估结果过程中，若访问授权者不满 意该结果或鬼其他网络策略的需要，贝狱问授权者可以再次与访问请求者交换完整性信 息并进行校验，即重复进行步骤(3.2.1)至歩骤(3.2.6)，其中AIK证书的有效性^l正 过程和访问请求者对访问授权者进行额外的平台完整性校^1程可根据需要选用。(3.2.6)访问请求者收到歩骤(3,2,5)中访问授权者发送的信窗、后，首先，魁正访问授 权者的AIK签名的有效性和策略管理器用户签名的有效性；然后，让可信平台模块TPM 船正访问请求者的可信平台模块TPM产生的随机数N肌的一致性；接着，验i正访问授 权者的AK证书和访问请求^it求的PCRs值的一致性；最后，验i正访问授权者的AIK 证书验证结果ReA^K和对访问授权者的平台完整性校验结果ReAC，并生皿问请求者 的平台完整性评估结果。歩骤(3.2.6)中生成访问授权者的平台完整性评估结果过程中，若访问请求者不满 意该结果莉宛其他网络策略的需要，贝(]访问请求者可以再次与访问授权者 完整性信 息并进行校验，即重复进行步骤(3.2.2)至步骤(3.2.6)，其中AIK证书的有效性飽正 过程和访问授权者对访问请求者謝亍额外的平台完整性校验过程可根据需要选用。(4.)进行访问控制TNC服务端和TNC客户端各自汇总访问授权者和访问请求者的平台完整性评估结 果；然后，分别向网络访问授权者和网络访问请求者发送推荐；网络访问请求者和网络 访问授权者分别依据各自收至啲推荐对端口謝亍控制，实现访问请求者和访问授权者的 相互访问控制。tnc服务端和'mc客户端向网络访问授权者和网络访问请求者发送的 推荐是允许访问信息、禁止访问信息或隔离修补信l、。
权利要求
1.一种增强安全性的可信网络连接方法，该方法包括以下实现步骤(1.)进行初始化(1.1)访问请求者的TNC客户端和访问授权者的TNC服务端预先准备平台完整性信息，并交给各自的完整性度量层的完整性收集者IMC；(1.2)TNC客户端和TNC服务端预先制定完整性验证要求，该完整性验证要求包括访问请求者与访问授权者相互请求对方验证的PCRs表；(1.3)访问请求者和访问授权者的可信平台模块TPM将网络策略所需平台信息经散列后存入平台配置寄存器PCRs；(2.)进行用户鉴别(2.1)在网络访问层，网络访问请求者向策略执行者发起访问请求，策略执行者将该访问请求转发给网络访问授权者；(2.2)网络访问授权者收到访问请求后，启动双向用户鉴别过程，网络访问层的网络访问请求者、网络访问授权者和用户鉴别服务单元之间开始执行三元对等鉴别协议，实现访问请求者与访问授权者的双向用户鉴别及密钥协商；之后，网络访问授权者将双向用户鉴别过程生成的主密钥通过预建立的安全通道传送给策略执行点；最后，策略执行点用主密钥与访问请求者进行密钥协商；(2.3)当双向用户鉴别成功时，网络访问请求者和网络访问授权者将用户鉴别成功的信息分别发往完整性评估层的TNC客户端和TNC服务端；(3.)进行完整性评估当访问授权者的TNC服务端收到网络访问授权者发送的用户鉴别成功的信息时，在完整性评估层和完整性度量层，访问授权者的TNC服务端、访问请求者的TNC客户端和策略管理器的平台评估服务单元利用三元对等鉴别协议来实现访问请求者和访问授权者的双向平台完整性评估；(4.)进行访问控制TNC服务端和TNC客户端各自汇总访问授权者和访问请求者的平台完整性评估结果；然后，分别向网络访问授权者和网络访问请求者发送推荐；网络访问请求者和网络访问授权者分别依据各自收到的推荐对端口进行控制，实现访问请求者和访问授权者的相互访问控制。
2.根据权利要求1戶舰的增强安全性的可信网络连接方法，^m正在于，戶腿步骤(3.)中的访问授权者的TNC月艮务端、访问请求者的TOC客户端和策略管理器的平台评估 服务单元禾佣三元对等鉴别协议来实现访问请求者和访问授权者的双向平台完整性评估，该平台完整性评估的实1L方式是① .进行平台完整性校验访问请求者校验访问授权者的平台完整性，而访问授权 者校^i方问请求者的完整性；② .进行平台凭证认证由策略管理器^i正访问请求者和访问授权者的AIK证书有效性。
3.根据权利要求1所述的增强安全性的可信网络连接方法，其特征在于，所述步骤 (3.)中的访问授权者的INC月艮务端、访问请求者的TNC客户端和策略管理器的平台iff古 服务单元禾拥三元对等鉴别协议来实现访问请求者和访问授权者的双向平台完整性评估，该平台完整性iff古的具体实现方式是(3.1.1)当访问授权者的TNC服务端收到网络访问授权者发送的用户鉴别成功的信息或已证实用户鉴别成功时，访问授权者向访问请求者鋭下列信息(a) .访问授权者的可信平台模i央TPM产生的随机数Ns;(b) .访问授权者的AIK证书CertAc-MK;(c) .访问授权者向访问i青求^i青求的PCRs表PCRsListAR;(3丄2)访问请求者收到步歟3丄1)中访问授权者发送的信息后，首先，根据访问授 权新青求的PCRs表向可信平台模i央TPM提取相应的PCRs值；然后，在可信平台模±央 TPM内使用AIK私钥对可信平台模i央TPM提取的相应PCRs值和访问授权者的可信平 台模i央TPM产生的随机数Ns进纟豫名；最后，访问请求者向访问授权者鋭下列信息:(a) .访问授权者的可信平台模块TPM产生的随机数Ns;(b) .访问请求者的可信平台模i央TPM产生的随机数N^;(c) .访问请求者的AIK证书CertAR-AIK;(d) .访问请求者向访问授权^i青求的PCRs表PCRsListAC;(e) .访问授权^i青求的PCRs值PCRsar;(f) .对应于访问授权^i青求的PCRs值的度量日志L0gAR;(g) .访问请求者在可信平台模块TPM内1顿AIK私钥对可信平台模±央TPM提取 的相应PCRs值和访问授权者的可信平台模i央TPM产生的随机数Ns进行的签名；(3丄3)访问授权者收至陟歟3丄2)中访问请求者发送的信息后，首先，让可信平台 模块TPM魁正访问授权者的可信平台模i央TPM产生的随机数Ns的一致性；接着，使用访问请求者的AIK证书中的公钥验证访问请求者的AIK签名的有效性；然后，禾鹏 访问授权者向访问请求^i青求的PCRs值、对应于访问授权^i青求的PCRs值的度量日 志LogAR以及對居库中掛共的标准完整,量{ 访问请求者的平台完整,行校验， 并生成访问授权者X寸访问请求者的平台完整性校验结果；最后，访问授权者向策略管理器发送下列信息(a) .访问请求者的可信平台模i央TPM产生的随机数NAR;(b) .访问授权者的用户产生的随机数NAc;(c) .访问请求者的AIK证书；(d) .访问授权者的AIK证书；(3丄4)策略管理器收到步骤(3丄3)中访问授权者发送的信息后，首先，对访问请求 者和访问授权者的AIK证书进行验i正，并生成访问请求者和访问授权者的证书^i正结果 ResultAIK;该证书验证结果包括访问授权者用户产生的随机数NAC、访问请求者的AIK 证书CerW-a,k、访问请求者的AIK证书验证结果ReAR-a!k、访问请求者的可信平台模土央 TPM产生的随机数NAR、访问授权者的AIK证书CertAC.AiK、访问授权者的AIK证书验 证结果ReAc.ak;然后，用策略管理器的身份i正书对应的私钥对证书斷正结果进行签名； 最后，策略管理器向访问授权者发送所生成的证书验i正结果ResultAK^t证书验i正结果 ResultAIK的签名[ResultAK]sig;(3丄5)访问授权者收到步骤(3丄4)中策略管理器发送的信息后，首先，斷正访问授 权者用户产生的随机数NAc和访问请求者的可信平台模i夫TPM产生的随机数N^的一 致性，并利用策略管理器的身份证书对应的公钥来衞正策略管理器的签名有效性；接着， 根据证书验证结果-衞正访问请求者的AIK证书的有效性，并利用访问授权者对访问请求 者的平台完整性校验结果，生成平台完整性评估结果;然后，根据访问请求新青求的PCRs 表向可信平台模块TPM提船目应的PCRs值，并在可信平台微TPM内用AIK私钥对 可信平台模i央IPM提取的相应PCRs值和访问请求者的可信平台模块TPM产生的随机 数N^进行签名；最后，访问授权者向访问请求者发送下列信息(a) .步戮3.1.4)中策略管理器総的消息内容；(b) .访问请求者的可信平台模i央TPM产生的随机数Nar;(c) .访问授权者用户产生的随机数NAC;(d) .访问请求^i青求的PCRs值PCRsac;(e) 对应于访问请求^i青求的PCRs值的度量日志LogAc;(f).访问授权者对可信平台模块TPM提取的相应PCRs值和访问请求者的可信平 台模±央TPM产生的随机数NAR进行的签名；(3丄6)访问请求者收到步骤(3丄5)中访问授权者发送的信息后，首先，用策略管理 器的身份证书对应的公钥来斷正策略管理器的签名有效性，接着，访问请求者iii正访问 请求者的可信平台模±央TPM产生的随机数NAR的一致性，用访问授权者的AIK证书中 的公钥来撒正访问授权者的AIK签名有效性，再接着，根据证书验证结果衞正访问授权 者的AIK证书的有效性；然后，用访问请求者向访问授权^i青求的PCRs值、对应于访 问请求#1青求的PCRs值的度量日志LogAc和i^库中提供的标准完整腿量值，X寸访 问授权者的平台完整性进行校验，并生成访问授权者的平台錢性校验结果；最后，访 问请求者依据访问授权者的AIK证书有效性和对访问授权者的平台完整性校验结果，生 成平台完整性评估结果。
4. 根据权利要求3所述的增强安全性的可信网络连接方法，其特征在于，所述步骤 (3丄5)中的生成访问请求者的平台完整性评估结果的过程中，访问授权者再次与访问请 求者交换完整性信息时，重魏行步囅3.1. l库步戰3.1.6)。
5. 根据权利要求3或4戶舰的增强安全性的可信网络连接方法，其特征在于，戶脱 步骤(3丄6)中的生成访问授权者的平台完整性评估结果的过程中，访问请求者再次与访 问授权者交换完整性信息时，重复进行步戰3丄2)至步戰3丄6)。
6. 根据权利要求1戶脱的增强安全性的可信网络连接方法，其特征在于，戶腿步骤 (3.)中的访问授权者的INC服务端、访问请求者的TNC客户端和策略管理器的平台刑古 服务单元禾拥三元对等鉴别协议来实现访问请求者和访问授权者的双向平台完整性评 估，该平台完整性刑古的实现方式是① .进行平台完整性校验由策略管理器校验访问请求者和访问授权者的平台完整性；② .进行平台凭证认证由策略管理器魁正访问请求者和访问授权者的AIK证书有效性。
7. 根据权利要求i戶腿的增强安全性的可信网络连接方法，^#征在于，戶;M步骤(3.)中的访问授权者的TNC月艮务端、访问请求者的INC客户端和策略管理器的平台评估 服务单元利用三元对等鉴别协议来实现访问请求者和访问授权者的双向平台完整性评 估，该平台完整性刑古的具体实现方式是(3.2.1)访问授权者收至,络访问授权者縱的用户鉴别成功的信息时，向访问请求者发送下列信息(4访问授权者的可信平台模i央TPM产生的随机数Ns;Cb).访问授权者的AIK证书CertAC.AK;(c).访问授权者向访问i青求^i青求的PCRs表PCRsListAR; (3.2.2)访问请求者收至陟歟3.2.1)中访问授权者发送的信息后，首先，根据访问授 权新青求的PCRs表向可信平台模i央TPM提取相应的PCRs值；然后，在可信平台模块 IPM内用AIK私钥对可信平台模±央TPM提取的相应PCRs值和访问授权者的可信平台 模i央TPM产生的随机数Ns进《豫名；最后，访问请求者向访问授权者総下歹腊息(a) .访问授权者的可信平台模i央TPM产生的随机数Ns;(b) .访问请求者的可信平台模i央TPM产生的随机数Hm;(c) .访问i青求者的AIK证书CertAR-AIK;(d) .访问i青求者向访问授权^i青求的PCRs表PCRsLisUc;(e) .访问授权^i青求的PCRs值PCRsAR; ①.对应于访问授权^i青求的PCRs值的度量日志LogAR;(g).访问请求者在可信平台模^^ TPM内JOT AIK私钥对可信平台模块TPM提取 的相应PCRs值和访问授权者的可信平台模±央TPM产生的随机数Ns进行的签名；(3.23)访问授权者收到步5敎3.2.2)中访问请求者发送的信息后，首先，让可信平台 模±央TPM斷正访问授权者的可信平台模i央TPM产生的随机数Ns的一致性，并使用访问请求者的AIK证书中的公钥魁正访问请求者的AIK签名的有效性；接着，根据访问 请求新青求的PCRs表向可信平台模i央TPM提取相应的PCRs值；然后，访问授权者在 可信平台模i央TPM内使用AIK私钥X寸可信平台模i央TPM提取的相应PCRs值和访问请 求者的可信平台模i央TPM产生的随机数N旭謝豫名；最后，访问授权者向策略管理器发送下列信息(a) .访问授权者的可信平台模i央TPM产生的随机数Ns;(b) .访问请求者的可信平台模t央TPM产生的随机数NAK; (c).访问请求者的ADC证书CertAR-ak;(d).访问授权^i青求的PCRs值PCRsar;(4对应于访问授权#1青求的PCRS值的度量日志L0gAR;(f) .访问请求者在可信平台模l央TPM内i顿AIK私钥对可信平台模±央TPM提取 的相应PCRs值和访问授权者的可信平台模±央TPM产生的随机数Ns进行的签名；fe》访问授权者用户产生的随机数NAc;(h) .访问授权者的AIK证书CertAC_A1K;(i) .访问请求者请求的PCRs僮PCRsac; (D对应于访问请求^i青求的PCRs值的度量曰志LogAC;(k).访问授权者在可信平台模i央TPM内j顿AIK私钥对可信平台模±央TPM提取 的相应PCRs值和访问请求者的可信平台模i央1PM产生的随机数NAR进行的签名；(3.2.4) 策略管理器收到步3戮3.2.3)中访问授权者发送的信息后，首先，用访问请求 者和访问授权者各自的AIK证书对应的公钥来^i正访问请求者和访问授权者的AIK签 名的有效性以及AIK证书的有效性；然后，根据访问请求者和访问授权者各自可信平台 模土央TPM提取的相应PCRs值的度量日志和i^库中的标准完整tffi劃ttfH十對目应 的PCRs值，且与步戮3.2,3)中访问授权者総的消息中的对应？0^值进行比较;接着， 生成访问请求者和访问授权者的AIK证书鉴别和平台完整性校验结果Result皿.自，用 策略管理器的身份证书对应的私钥对所生成的AIK证书鉴另诉Q平台完整性校验结果进 行签名tResult皿.podsig;最后，向访问授权者，访问请求者和访问授权者的AIK证书 鉴别和平台完整性校验结果ResultAK—rcRs及策略管理器对访问请求者和访问授权者的AIK证书鉴别和平台完整性校验结果的签名[ReSultA!K-PCR3]sig;所述的访问请求者和访问授权者的AIK证书鉴别和平台完整性校验结果ResultAKpcr3包括(a) .访问授权者用户产生的随机数NAc;(b) .访问授权者的可信平台模i央TPM产生的随机数Ns;(c) .访问请求者的AIK证书CertAR—AK;(d) .访问授权^i青求的PCRs值PCRsAR;(e) .对访问请求者的平台完整性校验结果ReAR;(f) .访问请求者的可信平台模土央TPM产生的随机数NAR;(g) .访问授权者的AIK证书CertAC-AIK;(h) .访问请求者请求的PCRs值PCRsAC;(i) .对访问授权者的平台完整性校验结果ReAC; (D.访问请求者的AIK证书验i正结果ReiA!K; G4访问授权者的AIK证书^i正结果ReAC>AIK;(3.2.5) 访问授权者收到步§戮3.2.4)中策略管理器发送的信息后，首先，衞正访问授 权者用户产生的随机数NAC与步戮3.2.4)中策略管理器，的信息中访问授权者用户产生的随机数Nac是否一致，并衞正策略管理器的用户签名的有效性；接着，让可信平台模±央TPM斷正访问授权者的可信平台模±央TPM产生的随机数Ns的一致性，并衞正访 问请求者的AIK证书CertAR.A1K与访问授权^i青求的PCRs值PCRsar的一致性；然后， -^i正访问请求者的AIK证书-验i正结果Re^mk和X寸访问请求者的平台完整性校验结果 ReAR，并生成访问请求者的平台完整性评估结果；最后，访问授权者向访问请求者发送 的步骤(3.2.4)中的信窗、和访问授权者在可信平台模l央TPM内^f顿AIK私钥对可信平台模 块TPM提取的相应PCRs值和访问请求者的可信平台模±央TPM产生的随机数N^进行 的签名；(3.2.6)访问请求者收妾陟骤(3.2.5)中访问授权者縱的信息后，首先，衞正访问授 权者的AIK签名的有效性和策略管理器用户签名的有效性;然后，让可信平台模块TPM 魁正访问请求者的可信平台模i央TPM产生的随机数NAR的一致性；接着，斷正访问授 权者的AIK证书和访问i青求^i青求的PCRs值的一致性；最后，验i正访问授权者的AIK 证书验证结果ReAc-皿和对访问授权者的平台完整性校验结果ReAC，并生成访问请求者 的平台完整性评估结果。
8.根据权利要求7戶腿的增强安全性的可信网络连接方法，欺寺征在于，戶腿步骤 (3.2.5)中的生成访问请求者的平台完整性评估结果的过程中，访问授权者再次与访问请 求者交换完整性信息时，重复进行步戮3.2.1)至步骤(3.2.6)。
9. 根据权利要求7或8戶脱的增强安全性的可信网络连接方法，其特征在于，戶诚 步骤(3.2.6)中的生成访问授权者的平台完整性校验结果的过程中，访问请求者再次与访 问授权者交换魏性信息时，重ga行步歟3.2.2)至步骤(3.2.6)。
10. 根据权利要求1至4之任一或6至8之任一戶，的增强安全性的可信网络连接方 法，其特征在于，戶腿的步马戮4.)中INC月艮务端禾口TNC客户端向网络访问授权者和网络 访问请求者发送的推荐是允许访问信息、禁止访问信息或隔离修补信息。
全文摘要
一种增强安全性的可信网络连接方法，其预先准备平台完整性信息，制定完整性验证要求。网络访问请求者发起访问请求，网络访问授权者启动双向用户鉴别过程，与用户鉴别服务单元之间开始执行三元对等鉴别协议。双向用户鉴别成功后，TNC服务端与TNC客户端执行双向的平台完整性评估。网络访问请求者和网络访问授权者依据各自的推荐控制端口，实现访问请求者和访问授权者的相互访问控制。本发明解决了背景技术中安全性相对较低、访问请求者可能无法验证AIK证书有效性以及平台完整性评估不对等的技术问题。本发明可简化密钥管理及完整性校验机制，扩展可信网络连接的适用范围。
文档编号H04L9/32GK101242267SQ20071001839
公开日2008年8月13日 申请日期2007年8月1日 优先权日2007年8月1日
发明者军 曹, 肖跃雷, 赖晓龙, 黄振海 申请人:西安西电捷通无线网络通信有限公司