CN100512312C

CN100512312C - 一种三元结构的对等访问控制方法

Info

Publication number: CN100512312C
Application number: CNB2006101052032A
Authority: CN
Inventors: 赖晓龙; 曹军; 铁满霞; 张变玲
Original assignee: China Iwncomm Co Ltd
Current assignee: China Iwncomm Co Ltd
Priority date: 2006-12-18
Filing date: 2006-12-18
Publication date: 2009-07-08
Anticipated expiration: 2026-12-18
Also published as: EP2124417A1; US8495712B2; WO2008074233A1; US20100037302A1; EP2124417A4; CN1976337A

Abstract

本发明涉及一种可安全实现终端与网络双向认证三元结构的对等访问控制方法，该方法在现有的二元三实体结构访问控制方法的基础上，在接入控制器中实现鉴权者功能，并在终端和接入控制器中实现认证协议功能，使得终端、接入控制器和服务器都参与认证，直接在终端和接入控制器之间一次性建立信任关系，本发明不但解决了现有的二元二实体结构访问控制方法的接入形式灵活性受到限制、接入控制器数量不宜扩展的技术问题，而且解决了现有的二元三实体结构访问控制方法的信任关系建立的过程复杂且影响网络安全的技术问题，具有安全性能高、无需改变现有网络结构、认证协议具有相对的独立性的优点。

Description

一种三元结构的对等访问控制方法

技术领域

本发明涉及一种网络访问控制方法，特别涉及一种三元结构的对等访问控制方法。

背景技术

网络的基本功能是给各种终端提供网络服务，虽然终端可以物理的连接到网络上，但是连接到网络上的不一定是经过授权的合法终端，终端连接的也并不一定是它所需要的网络。因此在终端和网络通信前需要鉴别和授权功能来互相鉴别对方的合法性，即需要进行终端和网络间的双向访问控制，以保证通信的安全。

图1是终端和网络间的双向访问控制示意图，终端1通过接入控制器3接入网络4，在终端1开始使用网络4的资源之前，终端1和接入控制器3之间要完成访问控制2，即：

1、接入控制器3检查终端1是否有访问网络4的权限，即对终端1进行认证；

2、终端1检查接入控制器3是否是合法的设备，防止数据被截取，即对网络4进行认证。

在认证中需要用到实体和元的概念，其中实体是指在网络结构中完成特定功能，能够独立存在的功能体，一般采用独立的设备实现；元是指在网络接入认证中具有认证功能的功能体。在网络中，实体如果具有认证功能，它就是一个元；如果实体没有认证功能，它就不是一个元。

根据参与认证的实体的数目不同，实现终端与网络的双向认证有两种网络结构形式，在可扩展的认证协议(RFC3748 Extensible Authentication Protocol，EAP)中有描述：

第一种网络结构参见图2所示的二元二实体结构，包括终端和接入控制器，终端对应实体一，接入控制器对应实体二。其中终端具有认证凭证、认证功能和控制是否接入网络的功能，对应元一；接入控制器具有认证凭证、认证功能和根据认证结果控制终端接入的功能，对应元二。在该网络结构中，终端和接入控制器都有认证功能，支持双向认证。

但是二元二实体结构不存在认证服务器，灵活性受到很大限制。而且终端的数量通常都比较多，如果接入控制器的数量也比较多，那么终端和接入控制器之间的关系就是多对多，非常难于管理。因此这种结构形式一般只用于接入控制器数量很少的情况下，其应用具有很大的局限性。

第二种网络结构参见图3所示的二元三实体结构，包括终端、接入控制器和服务器，分别对应实体一、实体二和实体三。其中终端具有认证凭证、认证功能和控制是否接入网络的功能，对应元一；接入控制器具有根据认证结果控制终端接入的功能，没有认证功能；服务器具有认证凭证和认证功能，对应元二。二元三实体网络结构也叫透传(Pass-through)模式，在该网络结构中，终端和服务器都有认证功能，而接入控制器没有认证功能，所以该结构形式是通过将实体二作为实体三的中继来支持双向认证。

二元三实体结构的接入控制器虚化，只在终端和服务器之间进行认证，将多个终端对应多个接入控制器的关系演变为多个终端对应一个服务器的关系，即在它们之间建立信任关系A。但是最终需要在终端和接入控制器之间建立信任关系B，因此信任关系必须进行安全的转移，即从信任关系A转移到信任关系B。信任关系的转移是通过从服务器发送一个密钥给接入控制器来完成的。但是该密钥如果泄漏将严重影响网络安全，因此为了避免这一问题，接入控制器和服务器之间必须建立信任关系C和安全通道。而接入控制器收到密钥后，终端和接入控制器还必须确认信任关系B。所以，终端和接入控制器之间信任关系的建立需要经过三次信任关系的传递才能完成。而多次的信任关系传递不但导致认证的复杂而且可能影响网络的安全，应该尽量避免。

发明内容

本发明目的是提供一种安全实现终端与网络双向认证的三元结构对等访问控制方法，不但解决了现有的二元二实体结构访问控制方法的接入形式灵活性受到限制、接入控制器数量不宜扩展的技术问题，而且解决了现有的二元三实体结构访问控制方法的信任关系建立的过程复杂且影响网络安全的技术问题。

本发明的第一种技术解决方案是：

一种三元结构的对等访问控制方法，包括以下步骤：

1]在主体中实现主体功能，在鉴权者中实现鉴权者功能，在认证服务器中实现认证服务器功能：

在主体中设置主体的认证方法层、主体的对等体层、主体的封装层和主体的底层；在鉴权者中设置鉴权者的认证方法层、鉴权者的鉴权者层、鉴权者的封装层、鉴权者的底层和鉴权者的传输层；在认证服务器中设置认证服务器的认证方法层、认证服务器的对等体层、认证服务器的封装层和认证服务器的传输层；

在主体的认证方法层实现根据认证凭证进行认证的功能，在主体的底层实现传送数据以及根据认证结果控制主体是否接入鉴权者的功能；在鉴权者的认证方法层中实现根据认证凭证进行认证的功能，在鉴权者的底层实现控制是否允许主体接入鉴权者的功能；在认证服务器的认证方法层中实现根据认证凭证进行认证的功能；

2]在主体和鉴权者中实现认证协议功能：

在主体的认证方法层和鉴权者的认证方法层中共同实现认证协议功能；

3]主体和鉴权者进行认证过程：

鉴权者的认证方法层发送请求消息给主体的认证方法层；主体的认证方法层发送响应消息给鉴权者的认证方法层来响应有效的请求消息；

4]认证结束，实现访问控制：

当鉴权者的认证方法层根据响应消息不能认证主体时，鉴权者的认证方法层或者停止发送请求消息并结束消息交互，鉴权者的认证方法层通知鉴权者的底层不允许主体接入鉴权者；鉴权者的认证方法层或者发送失败消息给主体的认证方法层，主体的认证方法层通知主体的底层不允许主体接入鉴权者；

当鉴权者的认证方法层根据响应消息判断认证已经成功完成，鉴权者的认证方法层或者停止发送请求消息并结束消息交互，鉴权者的认证方法层通知鉴权者的底层允许主体接入鉴权者；鉴权者的认证方法层或者发送成功消息给主体的认证方法层，主体的认证方法层通知主体的底层允许主体接入鉴权者。

上述鉴权者的认证方法层发送给主体的认证方法层的请求消息中包含一个类型字段，该类型字段是用来指示请求消息类型的字段，所述主体的认证方法层发送给鉴权者的认证方法层的响应消息中包含一个类型字段，对应于请求消息中的类型字段。

上述方法还可包括以下步骤：

鉴权者的认证方法层发送请求消息和主体的认证方法层响应请求消息根据需要持续交互。

上述主体的具体结构形式是终端；上述鉴权者的具体结构形式是接入控制器；上述认证服务器的具体结构形式是服务器。

本发明的第二种技术解决方案是：

一种三元结构的对等访问控制方法，包括以下步骤：

2]在主体、鉴权者和认证服务器中实现认证协议功能：

在主体的认证方法层、鉴权者的认证方法层和认证服务器的认证方法层中共同实现认证协议功能；

3]主体和鉴权者进行认证过程：

在主体的认证方法层和鉴权者的认证方法层交互消息的同时，鉴权者的认证方法层向认证服务器的认证方法层发送请求消息，认证服务器的认证方法层向鉴权者的认证方法层发送响应消息；

4]认证结束，实现访问控制：

当鉴权者的认证方法层根据主体的认证方法层的响应消息或者根据认证服务器的认证方法层的响应消息不能认证主体时，鉴权者的认证方法层或者停止发送请求消息并结束消息交互，鉴权者的认证方法层通知鉴权者的底层不允许主体接入鉴权者；鉴权者的认证方法层或者发送失败消息给主体的认证方法层，主体的认证方法层通知主体的底层不允许主体接入鉴权者；

当鉴权者的认证方法层根据主体的认证方法层的响应消息或者根据认证服务器的认证方法层的响应消息判断认证已经成功完成，鉴权者的认证方法层或者停止发送请求消息并结束消息交互，鉴权者的认证方法层通知鉴权者的底层允许主体接入鉴权者；鉴权者的认证方法层或者发送成功消息给主体的认证方法层，主体的认证方法层通知主体的底层允许主体接入鉴权者。

上述鉴权者的认证方法层发送给主体的认证方法层的请求消息中包含一类型字段，该类型字段是用来指示请求消息类型的字段，所述主体的认证方法层发送给鉴权者的认证方法层的响应消息中包含一个类型字段，对应于请求消息中的类型字段；所述鉴权者的认证方法层向认证服务器的认证方法层发送的请求消息中包含一类型字段，该类型字段是用来指示请求消息类型的字段，认证服务器的认证方法层向鉴权者的认证方法层发送的响应消息中包含一个类型字段，对应于请求消息中的类型字段。

上述方法还可包括以下步骤；

鉴权者的认证方法层发送请求消息和主体的认证方法层响应请求消息根据需要持续交互；

鉴权者的认证方法层发送请求消息和认证服务器的认证方法层响应请求消息根据需要持续交互。

本发明的优点是：

1、安全性能高。本发明方法应用于具体网络结构形式时，终端(主体)和接入控制器(鉴权者)进行认证，需要通过服务器的协助来完成。终端可以和接入控制器通信，不能和服务器通信，接入控制器可以和终端通信，也可以和服务器通信。终端、接入控制器和服务器都参与认证，直接在终端和接入控制器之间一次性建立信任关系，具有极好的安全性。

2、无需改变现有网络结构。本发明方法可应用于三元结构，但是兼容于二元二实体结构。对比图2和图5，就可知在认证服务器不存在的情况下，本发明方法的应用完全兼容于二元二实体的网络结构。因此不论对于二实体还是三实体结构，本发明方法都可以适用，充分符合现有的网络结构。

3、认证协议具有相对的独立性。在实现符合本发明的方法时，认证协议层可以使用已有的认证协议，也可设计新的认证协议。

附图说明

图1是现有的终端和网络间的双向访问控制示意图。

图2是现有技术二元二实体结构的网络访问控制系统的连接关系图。

图3是现有技术二元三实体结构的网络访问控制系统的连接关系图。

图4是本发明的网络对等访问控制方法的流程图。

图5是本发明的网络对等访问控制方法所应用的三元三实体结构的连接关系图。

图6是本发明方法应用于具体证书鉴别过程的流程图。

其中：1-终端，2-访问控制，3-接入控制器，4-网络。

具体实施方式

本发明方法的步骤见图4，具体如下：

1、在终端中实现主体功能，在接入控制器中实现鉴权者功能，在服务器中实现认证服务器功能；

2、在终端、接入控制器和服务器中实现认证方法的相应协议；

3、接入控制器发送请求消息给终端要求开始认证，请求消息有一个类型字段指示请求的种类，类型可以是Identity，MD5-Chanllenge等；

4、终端发送响应消息给接入控制器来响应有效的请求消息，响应消息中包含一个类型字段，对应于请求消息中的类型字段；

5、接入控制器发送请求消息给终端，终端发送响应消息给接入控制器，请求消息和响应消息的序列根据需要持续交互；根据认证方法的不同，接入控制器必要时向服务器发送请求消息，而服务器向接入控制器发送响应消息，此请求消息和响应消息的序列会持续需要的长度；根据认证方法的不同，终端可能不对接入控制器发送的请求消息进行响应；

6、对话一直持续到接入控制器不能认证终端，接入控制器或停止发送请求消息，结束消息交互，接入控制器将发送失败消息给终端，接入控制器不允许终端接入接入控制器；或者接入控制器判断成功的认证已经完成，接入控制器或停止发送请求消息，结束消息交互，或发送成功消息给终端，接入控制器允许终端接入接入控制器；此时完成终端和接入控制器之间的访问控制。

本发明的实施方式之一是在国标GB15629.11-2003/XG1-2006中定义的认证方法的模型下应用，该标准中描述的证书鉴别过程应用本方法步骤见图6，具体如下：

图6中的ASUE是鉴别请求者实体，也就是终端，实现主体功能；AE是鉴别器实体，也就是接入控制器，实现鉴权者功能；ASE是鉴别服务单元，也就是服务器，实现认证服务器功能。标准中描述的认证方法在ASUE、AE和ASE中都要实现，符合本发明方法的模型，可以应用在本发明方法的模型中：

1]AE向ASUE发送请求消息；

2]ASUE向AE发送响应消息；

3]AE向ASE发送请求消息；

4]ASE向AE发送响应消息；

5]AE向ASUE发送请求消息；

6]ASUE收到请求消息，不需发送响应消息；

7]AE停止发送消息。

消息中所包含的具体字段定义参见国标GB15629.11-2003/XG1-2006中的定义。

本发明的实施方式之二是在Otway-Rees协议下应用，参见Otway，D.andRess，0.，“Efficient and timely mutu alauthentication”ACE0SR，Vol.21，No.1，pp.8-10，Jan.1987。该协议是用于身份认证的，不能在以前的网络结构形式下应用。本发明的方法与该协议结合，其具体步骤如下：

参与者为Alice、Bob和Trent。

1]Bob发送请求消息要求开始认证；

2]Alice生成一条消息，其中包括一个索引号码、她的身份、Bob的身份和一个随机数，并将这条消息采用她和Trent的共享密钥加密。然后，将密文连同索引号、Alice和Bob的身份一起发送给Bob；

3]Bob生成一条消息，其中包括一个新的随机数、索引号、Alice和Bob的身份，并将这条消息采用他和Trent的共享密钥加密。然后，将密文连同Alice的密文、索引号、Alice和Bob的身份一起发送给Trent；

4]Trent生成一个随机的会话密钥。此后，生成两条消息。第一条消息是将Alice的随机数和会话密钥采用他和Alice的共享密钥加密。第二条消息是将Bob的随机数和会话密钥采用他和Bob的共享密钥加密。最后，Trent将这两条消息连同索引号一起发送给Bob。

5]Bob将属于Alice的那条消息连同索引号一起发送给Alice。

6]如果所有的随机数都匹配，而且通信过程中索引号没有被改动，那么认证成功。

可以看出，，Alice、Bob和Trent分别实现主体、鉴权者和认证服务器功能该认证协议可以在本发明的方法中应用。

本发明原理：

认证协议是两个或两个以上的参与者为完成认证而采取的一系列步骤。主体、鉴权者和认证服务器的认证方法层是认证协议在各个参与者中的实现，它们共同构成认证协议层，完成认证协议功能。

本发明对终端、接入控制器和服务器的功能进行了调整，使接入控制器具有认证凭证和认证功能，将网络结构形式变成三元三实体，见图5：

实体一/元一：终端，具有认证凭证、认证功能和控制是否接入网络的功能。

实体二/元二：接入控制器，具有认证凭证、认证功能和根据认证结果控制终端接入的功能。

实体三/元三：服务器，具有认证凭证和认证功能。

在这种结构形式下，终端(主体)和接入控制器(鉴权者)进行认证，需要通过服务器(认证服务器)的协助来完成。终端可以和接入控制器通信，不能和服务器通信，接入控制器可以和终端通信，也可以和服务器通信。终端、接入控制器和服务器都参与认证，直接在终端和接入控制器之间一次性建立信任关系，具有极好的安全性。

如果认证协议只需要主体和鉴权者参与，则主体的认证方法层和鉴权者的认证方法层共同构成认证协议层，共同完成认证协议功能。如果主体和鉴权者进行认证需要服务器的参与，则需要主体的认证方法层、鉴权者的认证方法层和认证服务器的认证方法层共同构成认证协议层，共同完成认证协议功能；三者之间可以运行同一个认证协议，也可以两两之间运行不同的认证协议，但本质上两两之间的消息是有关联的，共同完成一个目的，即完成主体和鉴权者之间的认证。

在本技术领域中，底层、传输层、封装层、对等体层、鉴权者层和认证方法层的概念如下：

底层：底层和传输层负责在对等体和鉴权者之间传送和接收TEAP帧，该传输层是逻辑概念，表示该层和相邻的底层可以不是同一种技术。

封装层：封装层通过底层传送和接收数据包，实现重复帧检测和重传、在对等体层和鉴权者层之间传送消息。

对等体层和鉴权者层：对等体层和鉴权者层解析收到的数据包，传送到对等体层或鉴权者层。

认证方法层：认证方法层实现了认证算法，通过对等体层和鉴权者层传送消息。

Claims

1、一种三元结构的对等访问控制方法，其特征在于：该方法包括以下步骤：

2]在主体和鉴权者中实现认证协议功能：

3]主体和鉴权者进行认证过程：

4]认证结束，实现访问控制：

2、根据权利要求1所述的三元结构的对等访问控制方法，其特征在于：所述鉴权者的认证方法层发送给主体的认证方法层的请求消息中包含一个类型字段，该类型字段是用来指示请求消息类型的字段，所述主体的认证方法层发送给鉴权者的认证方法层的响应消息中包含一个类型字段，对应于请求消息中的类型字段。

3、根据权利要求1或2所述的三元结构的对等访问控制方法，其特征在于：所述方法还包括以下步骤：

4、根据权利要求1所述的三元结构的对等访问控制方法，其特征在于：

所述方法包括以下步骤：

1]在主体中实现主体功能，在鉴权者中实现鉴权者功能，在认证服务器中实现认证服务器功能；

2]在主体和鉴权者实现认证协议功能的同时，在认证服务器中实现认证协议功能：

3]主体和鉴权者进行认证过程：

4]认证结束，实现访问控制：

5、根据权利要求4所述的三元结构的对等访问控制方法，其特征在于：所述鉴权者的认证方法层发送给主体的认证方法层的请求消息中包含一类型字段，该类型字段是用来指示请求消息类型的字段，所述主体的认证方法层发送给鉴权者的认证方法层的响应消息中包含一个类型字段，对应于请求消息中的类型字段；所述鉴权者的认证方法层向认证服务器的认证方法层发送的请求消息中包含一类型字段，该类型字段是用来指示请求消息类型的字段，认证服务器的认证方法层向鉴权者的认证方法层发送的响应消息中包含一个类型字段，对应于请求消息中的类型字段。

6、根据权利要求4或5所述的三元结构的对等访问控制方法，其特征在于：所述方法还包括以下步骤；

7、根据权利要求1或4所述的三元结构的对等访问控制方法，其特征在于：所述主体的具体结构形式是终端；所述鉴权者的具体结构形式是接入控制器；所述认证服务器的具体结构形式是服务器。