CN100534036C - 一种基于三元对等鉴别的可信网络连接方法 - Google Patents

一种基于三元对等鉴别的可信网络连接方法 Download PDF

Info

Publication number
CN100534036C
CN100534036C CN200710018395.8A CN200710018395A CN100534036C CN 100534036 C CN100534036 C CN 100534036C CN 200710018395 A CN200710018395 A CN 200710018395A CN 100534036 C CN100534036 C CN 100534036C
Authority
CN
China
Prior art keywords
access
access controller
platform
requestor
proof
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN200710018395.8A
Other languages
English (en)
Other versions
CN101242266A (zh
Inventor
肖跃雷
曹军
赖晓龙
黄振海
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Iwncomm Co Ltd
Original Assignee
China Iwncomm Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Iwncomm Co Ltd filed Critical China Iwncomm Co Ltd
Priority to CN200710018395.8A priority Critical patent/CN100534036C/zh
Priority to ES08773227.7T priority patent/ES2509040T3/es
Priority to EP08773227.7A priority patent/EP2180632B1/en
Priority to PCT/CN2008/071702 priority patent/WO2009015581A1/zh
Publication of CN101242266A publication Critical patent/CN101242266A/zh
Application granted granted Critical
Publication of CN100534036C publication Critical patent/CN100534036C/zh
Priority to US12/626,546 priority patent/US8255977B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Abstract

一种基于三元对等鉴别的可信网络连接方法，其预先准备平台完整性信息，制定完整性验证要求，网络访问请求者向网络访问控制者发起访问请求，网络访问控制者启动双向用户鉴别过程，与用户鉴别服务单元执行三元对等鉴别协议。双向用户鉴别成功后，TNC客户端、TNC服务端和平台评估服务单元利用三元对等鉴别方法执行平台完整性评估。网络访问请求者和网络访问控制者依据各自收到的推荐控制端口，实现访问请求者与访问控制器的相互访问控制。本发明解决了背景技术中可扩展性差、密钥协商过程复杂、安全性相对较低、平台完整性评估不对等的技术问题。本发明可简化可信网络连接的密钥管理及完整性校验机制，扩展可信网络连接的适用范围。

Description

一种基于三元对等鉴别的可信网络连接方法
技术领域
本发明属于网络安全技术领域，具体涉及一种基于三元对等鉴别的可信网络连接方法。
背景技术
随着信息化的发展，病毒、蠕虫等恶意软件的问题异常突出。目前已经出现了超过三万五千种的恶意软件，每年都有超过四千万的计算机被感染。要遏制住这类攻击，不仅需要解决安全的传输和数据输入时的检查，还要从源头即从每一台连接到网络的终端开始防御。而传统的安全防御技术已经无法防御种类繁多的恶意攻击。
国际可信计算组织TCG针对这个问题，专门制定了一个基于可信计算技术的网络连接规范——可信网络连接TNC，简记为TCG-TNC，其包括了开放的终端完整性架构和一套确保安全互操作的标准。这套标准可以在用户需要时保护一个网络，且由用户自定义保护到什么程度。TCG-TNC本质上就是要从终端的完整性开始建立连接。首先，要创建一套在可信网络内部系统运行状况的策略。只有遵守网络设定策略的终端才能访问网络，网络将隔离和定位那些不遵守策略的设备。由于使用了可信平台模块TPM，所以还可以阻挡root kits的攻击。root kits是一种攻击脚本、经修改的系统程序，或者成套攻击脚本和工具，用于在一个目标系统中非法获取系统的最高控制权限。
在TCG-TNC架构中，一次完整的可信网络连接的信息传输如图1所示。在建立网络连接之前。可信网络连接客户端需要准备好所需要的平台完整性信息，交给完整性收集者IMC。在一个拥有可信平台模块TPM的终端里面，这也就是将网络策略所需的平台信息经散列后存入各个平台配置寄存器多个平台配置寄存器，可信网络连接服务端需要预先制定平台完整性的验证要求，并交给完整性校验者IMV。具体过程如下：
(1)网络访问请求者向策略执行者发起访问请求。
(2)策略执行者将访问请求描述发送给网络访问授权者。
(3)网络访问授权者收到网络访问请求者的访问请求描述后，与网络访问请求者执行用户鉴别协议。当用户鉴别成功时，网络访问授权者将访问请求和用户鉴别成功的信息发往可信网络连接服务端。
(4)可信网络连接服务端收到网络访问授权者发送的访问请求和用户鉴别成功的信息后，与可信网络连接客户端开始执行双向平台凭证认证，比如验证平台的身份证明密钥AIK。
(5)当平台凭证认证成功时，可信网络连接客户端告诉完整性收集者IMC开始了一个新的网络连接且需要进行一个完整性握手协议。完整性收集者IMC通过完整性度量收集接口IF-IMC返回所需平台完整性信息。可信网络连接服务端将这些平台完整性信息通过完整性度量校验接口IF-IMV交给完整性校验者IMV。
(6)在完整性握手协议过程中，可信网络连接客户端与可信网络连接服务端要交换一次或多次数据，直到可信网络连接服务端满意为止。
(7)当可信网络连接服务端完成了对可信网络连接客户端的完整性握手协议，它将发送一个推荐信给网络访问授权者，要求允许访问。如果还有另外的安全考虑，此时策略决策点仍旧可以不允许访问请求者的访问。
(8)网络访问授权者将访问决定传递给策略执行行者，策略执行者最终执行这个决定，来控制访问请求者的访问。
目前，尚无成熟的TCG-TNC架构产品进入市场。TCG-TNC架构的一些重要技术还处于研究及规范阶段，其主要还存在如下缺陷：
1.可扩展性差。由于在策略执行点和策略决策点之间存在预定义的安全通道，而策略决策点可能管理着大量的策略执行点，这将迫使它配置大量的安全通道，造成管理的复杂性，因此，可扩展性差。
2.密钥协商过程复杂。因为要对网络访问层之上的数据进行安全保护，所以需要在访问请求者和策略决策点之间建立安全通道，即在它们之间进行会话密钥协商；但是，访问请求者和策略执行点之间也需要进行数据保护，从而需要在访问请求者和策略执行点之间再次进行会话密钥协商，使密钥协商过程复杂化。
3.安全性相对较低。访问请求者和策略决策点协商出来的主密钥由策略决策点传递给策略执行点。密钥在网络上传递，引入了新的安全攻击点，使安全性降低。此外，两次会话密钥协商使用了相同的主密钥，也使整个可信网络连接架构的安全性降低。
4.访问请求者可能无法验证策略决策点的身份证明密钥证书有效性。在平台凭证认证过程中，访问请求者和策略决策点使用身份证明密钥私钥及证书进行双向平台凭证认证，两端都需要对身份证明密钥证书进行有效性验证。若策略决策点是访问请求者的上网服务提供者，访问请求者在可信网络连接之前不能访问网络，也即无法验证策略决策点的身份证明密钥证书的有效性，所以是不安全的。
5.平台完整性评估是不对等的。在TCG-TNC架构中，策略决策点对访问请求者进行平台完整性评估，但访问请求者对策略决策点不进行平台完整性评估。如果策略决策点的平台不可信，那么访问请求者连接到不可信的设备上是不安全的。而对等可信在Adhoc网络中是必须的。
发明内容
本发明的目的在于提供一种基于三元对等鉴别的可信网络连接方法，其解决了背景技术中可扩展性差、密钥协商过程复杂、安全性相对较低、访问请求者可能无法验证身份证明密钥证书有效性和平台完整性评估不对等的技术问题。
本发明的技术实现方案如下：
一种基于三元对等鉴别的可信网络连接方法，该方法包括以下实现步骤：
(1.)进行初始化：
(1.1)访问请求者的可信网络连接客户端和访问控制器的可信网络连接服务端预先准备平台完整性信息，并交给各自的完整性度量层的完整性收集者IMC；
(1.2)可信网络连接客户端和可信网络连接服务端预先制定完整性验证要求，该完整性验证要求包括访问请求者与访问控制器相互请求对方验证的多个平台配置寄存器表；
(1.3)访问请求者和访问控制器的可信平台模块TPM将网络策略所需信息经散列后存入平台配置寄存器多个平台配置寄存器；
(2.)进行用户鉴别：
(2.1)网络访问请求者向网络访问控制者发起访问请求；
(2.2)网络访问控制者接收到访问请求后，启动双向用户鉴别过程，网络访问层的网络访问请求者、网络访问控制者和用户鉴别服务单元之间开始执行三元对等鉴别协议，实现访问请求者与访问控制器的双向用户鉴别及密钥协商；
(2.3)当双向用户鉴别成功时，网络访问请求者和网络访问控制者将用户鉴别成功的信息分别发往可信网络连接客户端和可信网络连接服务端，并根据用户鉴别结果对网络访问请求者和网络访问控制者的端口进行控制；
(3.)进行完整性评估：
当访问控制器的可信网络连接服务端收到网络访问控制者发送的用户鉴别成功的信息时，完整性评估层的可信网络连接客户端、可信网络连接服务端和平台评估服务单元利用三元对等鉴别方法来实现访问请求者和访问控制器的平台完整性评估；
(4.)进行访问控制：
可信网络连接服务端和可信网络连接客户端各自汇总访问控制器和访问请求者的平台完整性评估结果，然后，分别向网络访问请求者和网络访问控制者发送推荐；网络访问请求者和网络访问控制者分别依据各自收到的推荐对端口进行控制，从而实现访问请求者和访问控制器的相互访问控制。
上述平台完整性评估可采用下列实现方式：
①.进行平台凭证认证：由策略管理器验证访问请求者和访问控制器的身份证明密钥证书有效性；
②.进行平台完整性校验：策略管理器校验访问请求者和访问控制器的平台完整性。
上述平台完整性评估具体可采用下列实现方式：
(3.1)当访问控制器的可信网络连接服务端收到网络访问控制者发送的用户鉴别成功的信息或已证实用户鉴别成功时，向访问请求者发送访问控制器的可信平台模块TPM产生的随机数NS、访问控制器的身份证明密钥证书CertAC-AIK、访问控制器向访问请求者请求的多个平台配置寄存器表PCRsListAR；
(3.2)访问请求者收到步骤(3.1)中访问控制器发送的信息后，首先，根据访问控制器请求的多个平台配置寄存器表向可信平台模块TPM提取相应的多个平台配置寄存器值；然后，在可信平台模块TPM内用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问控制器的可信平台模块TPM产生的随机数NS进行签名；最后，访问请求者向访问控制器发送访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的可信平台模块TPM产生的随机数NAR、访问请求者的身份证明密钥证书CertAR-AIK、访问请求者向访问控制器请求的多个平台配置寄存器表PCRsListAC、访问控制器请求的多个平台配置寄存器值PCRsAR、对应于访问控制器请求的多个平台配置寄存器值的度量日志LogAR以及访问请求者在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问控制器的可信平台模块TPM产生的随机数NS进行的签名；
(3.3)访问控制器收到步骤(3.2)中访问请求者发送的信息后，首先，让可信平台模块TPM验证访问控制器的可信平台模块TPM产生的随机数NS的一致性，并使用访问请求者的身份证明密钥证书中的公钥验证访问请求者的身份证明密钥签名的有效性；接着，根据访问请求者请求的多个平台配置寄存器表向可信平台模块TPM提取相应的多个平台配置寄存器值；然后，访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问请求者的可信平台模块TPM产生的随机数NAR进行签名；最后，访问控制器向策略管理器发送访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的可信平台模块TPM产生的随机数NAR、访问请求者的身份证明密钥证书CertAR-AIK、访问控制器请求的多个平台配置寄存器值PCRsAR、对应于访问控制器请求的多个平台配置寄存器值的度量日志LogAR、访问请求者在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问控制器的可信平台模块TPM产生的随机数NS进行的签名、访问控制器用户产生的随机数NAC、访问控制器的身份证明密钥证书CertAC-AIK、访问请求者请求的多个平台配置寄存器值PCRsAC、对应于访问请求者请求的多个平台配置寄存器值的度量日志LogAC以及访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问请求者的可信平台模块TPM产生的随机数NAR进行的签名；
(3.4)策略管理器收到步骤(3.3)中访问控制器发送的信息后，首先，用访问请求者和访问控制器各自的身份证明密钥证书对应的公钥来验证访问请求者和访问控制器的身份证明密钥签名的有效性以及身份证明密钥证书的有效性；然后，根据访问请求者和访问控制器各自可信平台模块TPM提取相应的多个平台配置寄存器值的度量日志和数据库中的各个平台组件的标准完整性度量值重新计算相应的多个平台配置寄存器值，且与步骤(3.3)中访问控制器发送的消息中的对应多个平台配置寄存器值进行比较；接着，生成访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs，用策略管理器的身份证书对应的私钥对所生成的身份证明密钥证书鉴别和平台完整性校验结果进行签名[ResultAIK-PCRs]Sig；最后，向访问控制器发送访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs以及策略管理器对访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果的签名[ResultAIK-PCRs]Sig；步骤(3.4)所生成访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs包括访问控制器用户产生的随机数NAC、访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的身份证明密钥证书CertAR-AIK、访问控制器请求的多个平台配置寄存器值PCRsAR、对访问请求者的平台完整性校验结果ReAR、访问请求者的可信平台模块TPM产生的随机数NAR、访问控制器的身份证明密钥证书CertAC-AIK、访问请求者请求的多个平台配置寄存器值PCRsAC、对访问控制器的平台完整性校验结果ReAC、访问请求者的身份证明密钥证书验证结果ReAR-AIK以及访问控制器的身份证明密钥证书验证结果ReAC-AIK；
(3.5)访问控制器收到步骤(3.4)中策略管理器发送的信息后，首先，验证访问控制器用户产生的随机数NAC与步骤(3.4)中策略管理器发送的信息中访问控制器用户产生的随机数NAC是否一致，并验证策略管理器的用户签名的有效性；接着，让可信平台模块TPM验证访问控制器的可信平台模块TPM产生的随机数NS的一致性；并验证访问请求者的身份证明密钥证书CertAR-AIK与访问控制器请求的多个平台配置寄存器值PCRsAR的一致性；然后，验证访问请求者的身份证明密钥证书验证结果ReAR-AIK和对访问请求者的平台完整性校验结果ReAR，并生成访问请求者的平台完整性评估结果；最后，访问控制器向访问请求者发送的步骤(3.4)中的信息和访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问请求者的可信平台模块TPM产生的随机数NAR进行的签名；
(3.6)访问请求者收到步骤(3.5)中访问控制器发送的信息后，首先，验证访问控制器的身份证明密钥签名的有效性和策略管理器用户签名的有效性；然后，让可信平台模块TPM验证访问请求者的可信平台模块TPM产生的随机数NAR的一致性；接着，验证访问控制器的身份证明密钥证书和访问请求者请求的多个平台配置寄存器值的一致性；最后，验证访问控制器的身份证明密钥证书验证结果ReAC-AIK和对访问控制器的平台完整性校验结果ReAC，并生成访问请求者的平台完整性评估结果。
上述步骤(4.)中可信网络连接服务端和可信网络连接客户端向网络访问控制者和网络访问请求者发送的推荐，可以是允许访问信息、禁止访问信息或隔离修补信息等。
上述步骤(3.5)中的生成访问请求者的平台完整性评估结果的过程中，访问控制器要再次与访问请求者交换完整性信息并进行校验时，可重复进行步骤(3.1)至步骤(3.6)。
上述步骤(3.6)中的生成访问请求者的平台完整性评估结果的过程中，访问请求者要再次与访问控制器交换完整性信息并进行校验时，重复进行步骤(3.2)至步骤(3.6)。
本发明具有如下优点：
1.可简化密钥协商过程和提高可信网络连接的安全性。
密钥协商在访问请求者和访问控制器之间进行，直接对平台完整性评估过程的数据和可信网络连接之后的服务数据进行安全保护，无需进行二次会话密钥协商，因此，可简化密钥协商过程和提高可信网络连接的安全性。
2.可确保密钥的安全性。
鉴别过程产生的主密钥无需在网络中进行传输，从而可保证密钥的安全性。
3.可增强平台完整性评估过程的安全性，简化可信网络连接的密钥管理及完整性校验机制。
在完整性评估层采用了三元对等鉴别方法，也就是基于第三方的双向鉴别方法，分别对访问请求者和访问控制器的身份证明密钥证书和平台完整性实现集中鉴别和校验，不仅增强了平台完整性评估过程的安全性，而且简化了可信网络连接架构的密钥管理及完整性校验机制。
4.可提高整个可信网络连接的安全性。
不但在网络访问层采用了三元对等鉴别方法来实现双向用户鉴别，而且在完整性评估层也采用了三元对等鉴别方法来实现双向的平台完整性评估，因此，本发明提高了整个可信网络连接架构的安全性。
5.增强了可信网络连接的扩展性。
实际应用中，一个策略管理器要管理大量的访问控制器。本发明可以消除访问控制器和策略管理器之间的强安全关联的需求，因此，增强了可信网络连接的扩展性。
附图说明
图1为现有TCG-TNC架构的一次完整的可信网络连接的信息传输示意图。
图2为本发明可信网络连接架构的一次完整的可信网络连接的信息传输示意图。
图3为本发明可信网络连接架构的平台完整性评估过程示意图。
附图符号说明如下：
NS：访问控制器的可信平台模块TPM产生的随机数；CertAC-AIK：访问控制器的身份证明密钥证书；PCRsListAR：访问控制器向访问请求者请求的多个平台配置寄存器表；
NAR：访问请求者的可信平台模块TPM产生的随机数；CertAR-AIK：访问请求者的身份证明密钥证书；PCRsListAC：访问请求者向访问控制器请求的多个平台配置寄存器表；
LogAR：对应于访问控制器请求的多个平台配置寄存器值的度量日志；PCRsAR：访问控制器请求的多个平台配置寄存器值；[Ns，PCRsAR]Sig：访问请求者对访问控制器的可信平台模块TPM产生的随机数NS，和对应于访问控制器请求的多个平台配置寄存器值的签名；
NAC：访问控制器用户产生的随机数；LogAC：对应于访问请求者请求的多个平台配置寄存器值的度量日志；PCRsAC：访问请求者请求的多个平台配置寄存器值；[NAR，PCRsAC]Sig：访问控制器对访问请求者的可信平台模块TPM产生的随机数NAR和对应于访问请求者请求的多个平台配置寄存器值的签名；ResultAIK-PCRs：访问请求者和访问控制器的身份证明密钥证书鉴别和完整性校验的结果；[ResultAIK-PCRs]Sig：策略管理器对访问请求者和访问控制器的身份证明密钥证书鉴别和完整性校验结果的签名；ReAC：对访问控制器的平台完整性校验结果；ReAR：对访问请求者的平台完整性校验结果；ReAR-AIK：访问请求者的身份证明密钥证书验证结果；ReAC-AIK：访问控制器的身份证明密钥证书验证结果。
具体实施方式
本发明主要由网络访问层、完整性评估层和完整性度量层构成。访问请求者、访问控制器和策略管理器为本发明的三个逻辑实体，可以分布于网络的任意位置。访问请求者又称为请求者、用户站等；访问控制器又称为鉴别访问控制器、基站、接入服务单元等；策略管理器又称为鉴别服务器、可信服务器、后台服务器等。
网络访问层，负责实现访问请求者和访问控制器之间的双向用户鉴别及密钥协商，依据网络用户鉴别结果和平台完整性评估结果实现访问请求者和访问控制器的相互访问控制。网络访问层可采用基于三元对等鉴别的访问控制方法，也就是中国WLAN标准中已采用的网络访问控制技术。
完整性评估层，负责实现访问请求者与访问控制之间的平台完整性评估，包括平台凭证认证和平台完整性校验。在完整性评估层，访问请求者、访问控制器和策略管理器执行三元对等鉴别，即基于第三方的双向鉴别，由策略管理器来验证访问请求者和访问控制器的身份证明密钥证书有效性，并且负责校验访问请求者和访问控制器的平台完整性。
完整性度量层，负责收集和校验访问请求者和访问控制器的平台完整性相关信息。
图2所示是本发明可信网络连接的一次完整的信息传输过程。本发明的具体实现步骤如下：
(1.)进行初始化。在建立网络连接之前，进行下列步骤：
(1.1)访问请求者的可信网络连接客户端和访问控制器的可信网络连接服务端都要预先准备平台完整性信息，并交给各自的完整性度量层的完整性收集者IMC。
(1.2)可信网络连接客户端和可信网络连接服务端都要预先制定完整性验证要求，完整性验证要求包括访问请求者与访问控制器相互请求对方验证的多个平台配置寄存器表。
(1.3)访问请求者和访问控制器的可信平台模块TPM将网络策略所需信息经散列后存入多个平台配置寄存器；
(2.)进行用户鉴别。
(2.2)网络访问请求者向网络访问控制者发起访问请求。
(2.2)网络访问控制者接收到访问请求后，启动双向用户鉴别过程，网络访问层的网络访问请求者、网络访问控制者和用户鉴别服务单元之间开始执行三元对等鉴别协议，即基于第三方的双向鉴别协议，以实现访问请求者与访问控制器的双向用户鉴别及密钥协商。
(2.3)当双向用户鉴别成功时，网络访问请求者和网络访问控制者将用户鉴别成功的信息分别发往可信网络连接客户端和可信网络连接服务端，并根据用户鉴别结果对网络访问请求者和网络访问控制者的端口进行控制，使得完整性评估过程的数据能够通行。
(3.)进行完整性评估。
当访问控制器的可信网络连接服务端收到网络访问控制者发送的用户鉴别成功的信息时，完整性评估层的可信网络连接客户端、可信网络连接服务端和平台评估服务单元利用三元对等鉴别方法来实现访问请求者和访问控制器的平台完整性评估。在该平台完整性评估过程中，可信网络连接服务端、可信网络连接客户端和平台评估服务单元还需要与上层的完整性收集者与完整性校验者进行信息交互。平台完整性评估的实现方式如下：
①.进行平台凭证认证：由策略管理器验证访问请求者和访问控制器的身份证明密钥证书有效性；
②.进行平台完整性校验：策略管理器校验访问请求者和访问控制器的平台完整性。
参见图3，本发明平台完整性评估的具体实现如下：
(3.1)当访问控制器的可信网络连接服务端收到网络访问控制者发送的用户鉴别成功的信息或已证实用户鉴别成功时，向访问请求者发送访问控制器的可信平台模块TPM产生的随机数NS、访问控制器的身份证明密钥证书CertAC-AIK、访问控制器向访问请求者请求的多个平台配置寄存器表PCRsListAR。
(3.2)访问请求者收到步骤(3.1)中访问控制器发送的信息后，首先，根据访问控制器请求的多个平台配置寄存器表向可信平台模块TPM提取相应的多个平台配置寄存器值。然后，在可信平台模块TPM内用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值以及访问控制器的可信平台模块TPM产生的随机数NS进行签名。最后，访问请求者向访问控制器发送访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的可信平台模块TPM产生的随机数NAR、访问请求者的身份证明密钥证书CertAR-AIK、访问请求者向访问控制器请求的多个平台配置寄存器表PCRsListAC、访问控制器请求的多个平台配置寄存器值PCRsAR、对应于访问控制器请求的多个平台配置寄存器值的度量日志LogAR以及访问请求者在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取的相应的多个平台配置寄存器值和访问控制器的可信平台模块TPM产生的随机数NS进行的签名。
(3.3)访问控制器收到步骤(3.2)中访问请求者发送的信息后，首先，让可信平台模块TPM验证访问控制器的可信平台模块TPM产生的随机数NS的一致性，并使用访问请求者的身份证明密钥证书中的公钥验证访问请求者的身份证明密钥签名的有效性；接着，根据访问请求者请求的多个平台配置寄存器表向可信平台模块TPM提取相应的多个平台配置寄存器值。然后，访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问请求者的可信平台模块TPM产生的随机数NAR进行签名。最后，访问控制器向策略管理器发送访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的可信平台模块TPM产生的随机数NAR、访问请求者的身份证明密钥证书CertAR-AIK、访问控制器请求的多个平台配置寄存器值PCRsAR、对应于访问控制器请求的多个平台配置寄存器值的度量日志LogAR、访问请求者的可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问控制器的可信平台模块TPM产生的随机数NS进行的签名、访问控制器用户产生的随机数NAC、访问控制器的身份证明密钥证书CertAC-AIK、访问请求者请求的多个平台配置寄存器值PCRsAC、对应于访问请求者请求的多个平台配置寄存器值的度量日志LogAC以及访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问请求者的可信平台模块TPM产生的随机数NAR进行的签名。
(3.4)策略管理器收到步骤(3.3)中访问控制器发送的信息后，首先，用访问请求者和访问控制器各自的身份证明密钥证书对应的公钥来验证访问请求者和访问控制器的身份证明密钥签名的有效性以及身份证明密钥证书的有效性。然后，根据访问请求者和访问控制器各自可信平台模块TPM提取相应的多个平台配置寄存器值的度量日志和数据库中的各个平台组件的标准完整性度量值重新计算相应的多个平台配置寄存器值，且与步骤(3.3)中访问控制器发送的消息中的对应多个平台配置寄存器值进行比较。接着，生成访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs，用策略管理器的身份证书对应的私钥对所生成的身份证明密钥证书鉴别和平台完整性校验结果进行签名[ResultAIK-PCRs]Sig。最后，向访问控制器发送访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs以及策略管理器对访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果的签名[ResultAIK-PCRs]Sig。
步骤(3.4)所生成访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs包括：访问控制器用户产生的随机数NAC、访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的身份证明密钥证书CertAR-AIK、访问控制器请求的多个平台配置寄存器值PCRsAR、对访问请求者的平台完整性校验结果ReAR、访问请求者的可信平台模块TPM产生的随机数NAR、访问控制器的身份证明密钥证书CertAC-AIK、访问请求者请求的多个平台配置寄存器值PCRsAC、对访问控制器的平台完整性校验结果ReAC、访问请求者的身份证明密钥证书验证结果ReAR-AIK以及访问控制器的身份证明密钥证书验证结果ReAC-AIK。
(3.5)访问控制器收到步骤(3.4)中策略管理器发送的信息后，首先，验证访问控制器用户产生的随机数NAC与步骤(3.4)中策略管理器发送的信息中访问控制器用户产生的随机数NAC是否一致，并验证策略管理器的用户签名的有效性。接着，让可信平台模块TPM验证访问控制器的可信平台模块TPM产生的随机数NS的一致性；并验证访问请求者的身份证明密钥证书CertAR-AIK与访问控制器请求的多个平台配置寄存器值PCRsAR的一致性。然后，验证访问请求者的身份证明密钥证书验证结果ReAR-AIK和对访问请求者的平台完整性校验结果ReAR，并生成访问请求者的平台完整性评估结果。最后，访问控制器向访问请求者发送的步骤(3.4)中的信息和访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问请求者的可信平台模块TPM产生的随机数NAR进行的签名。
步骤(3.5)中的生成访问请求者的平台完整性评估结果的过程中，若访问控制器不满意该结果或应其他网络策略的需要，访问控制器要再次与访问请求者交换完整性信息并进行校验时，重复进行步骤(3.1)至步骤(3.6)。其中身份证明密钥证书的有效性验证过程和访问请求者对访问控制器进行额外的平台完整性校验过程可根据需要选用。
(3.6)访问请求者收到步骤(3.5)中访问控制器发送的信息后，首先，验证访问控制器的身份证明密钥签名的有效性和策略管理器用户签名的有效性。然后，让可信平台模块TPM验证访问请求者的可信平台模块TPM产生的随机数NAR的一致性。接着，验证访问控制器的身份证明密钥证书和访问请求者请求的多个平台配置寄存器值的一致性。最后，验证访问控制器的身份证明密钥证书验证结果ReAC-AIK和对访问控制器的平台完整性校验结果ReAC，并生成访问请求者的平台完整性评估结果。
步骤(3.6)中的生成访问请求者的平台完整性评估结果的过程中，若访问请求者不满意该结果或应其他网络策略的需要，访问请求者要再次与访问控制器交换完整性信息并进行校验时，重复进行步骤(3.2)至步骤(3.6)。其中身份证明密钥证书的有效性验证过程和访问控制器对访问请求者进行额外的平台完整性校验过程可根据需要选用。
(4.)进行访问控制。
可信网络连接服务端和可信网络连接客户端各自汇总访问控制器和访问请求者的平台完整性评估结果，然后，分别向网络访问请求者和网络访问控制者发送推荐。可信网络连接服务端和可信网络连接客户端向网络访问控制者和网络访问请求者发送的推荐可以是允许访问信息、禁止访问信息或隔离修补信息等。网络访问请求者和网络访问控制者分别依据各自收到的推荐对端口进行控制，从而实现访问请求者和访问控制器的相互访问控制。

Claims (6)

1.一种基于三元对等鉴别的可信网络连接方法，该方法包括以下实现步骤：
(1.)进行初始化：
(1.1)访问请求者的可信网络连接客户端和访问控制器的可信网络连接服务端预先准备平台完整性信息，并交给各自的完整性度量层的完整性收集者IMC；
(1.2)可信网络连接客户端和可信网络连接服务端预先制定完整性验证要求，该完整性验证要求包括访问请求者与访问控制器相互请求对方验证的多个平台配置寄存器表；
(1.3)访问请求者和访问控制器的可信平台模块TPM将网络策略所需信息经散列后存入平台配置寄存器多个平台配置寄存器表；
(2.)进行用户鉴别：
(2.1)网络访问请求者向网络访问控制者发起访问请求；
(2.2)网络访问控制者接收到访问请求后，启动双向用户鉴别过程，网络访问层的网络访问请求者、网络访问控制者和用户鉴别服务单元之间开始执行三元对等鉴别协议，实现访问请求者与访问控制器的双向用户鉴别及密钥协商；
(2.3)当双向用户鉴别成功时，网络访问请求者和网络访问控制者将用户鉴别成功的信息分别发往可信网络连接客户端和可信网络连接服务端，并根据用户鉴别结果对网络访问请求者和网络访问控制者的端口进行控制；
(3.)进行完整性评估：
当访问控制器的可信网络连接服务端收到网络访问控制者发送的用户鉴别成功的信息时，完整性评估层的可信网络连接客户端、可信网络连接服务端和平台评估服务单元利用三元对等鉴别方法来实现访问请求者和访问控制器的平台完整性评估；
(4.)进行访问控制：
可信网络连接服务端和可信网络连接客户端各自汇总访问控制器和访问请求者的平台完整性评估结果，然后，分别向网络访问请求者和网络访问控制者发送推荐；网络访问请求者和网络访问控制者分别依据各自收到的推荐对端口进行控制，从而实现访问请求者和访问控制器的相互访问控制。
2.根据权利要求1所述的基于三元对等鉴别的可信网络连接方法，其特征在于，所述的平台完整性评估的实现方式如下：
①.进行平台凭证认证：由策略管理器验证访问请求者和访问控制器的身份证明密钥证书有效性；
②.进行平台完整性校验：策略管理器校验访问请求者和访问控制器的平台完整性。
3.根据权利要求1所述的基于三元对等鉴别的可信网络连接方法，其特征在于，所述的平台完整性评估的实现方式如下：
(3.1)当访问控制器的可信网络连接服务端收到网络访问控制者发送的用户鉴别成功的信息或已证实用户鉴别成功时，向访问请求者发送访问控制器的可信平台模块TPM产生的随机数NS、访问控制器的身份证明密钥证书CertAC-AIK、访问控制器向访问请求者请求的多个平台配置寄存器表PCRsListAR；
(3.2)访问请求者收到步骤(3.1)中访问控制器发送的信息后，首先，根据访问控制器请求的多个平台配置寄存器表向可信平台模块TPM提取相应的多个平台配置寄存器值；然后，在可信平台模块TPM内用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问控制器的可信平台模块TPM产生的随机数NS进行签名；最后，访问请求者向访问控制器发送访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的可信平台模块TPM产生的随机数NAR、访问请求者的身份证明密钥证书CertAR-AIK、访问请求者向访问控制器请求的多个平台配置寄存器表PCRsListAC、访问控制器请求的多个平台配置寄存器值PCRsAR、对应于访问控制器请求的多个平台配置寄存器值的度量日志LogAR以及访问请求者在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取的相应的多个平台配置寄存器值和访问控制器的可信平台模块TPM产生的随机数NS进行的签名；
(3.3)访问控制器收到步骤(3.2)中访问请求者发送的信息后，首先，让可信平台模块TPM验证访问控制器的可信平台模块TPM产生的随机数NS的一致性，并使用访问请求者的身份证明密钥证书中的公钥验证访问请求者的身份证明密钥签名的有效性；接着，根据访问请求者请求的多个平台配置寄存器表向可信平台模块TPM提取相应的多个平台配置寄存器值；然后，访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问请求者的可信平台模块TPM产生的随机数NAR进行签名；最后，访问控制器向策略管理器发送访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的可信平台模块TPM产生的随机数NAR、访问请求者的身份证明密钥证书CertAR-AIK、访问控制器请求的多个平台配置寄存器值PCRsAR、对应于访问控制器请求的多个平台配置寄存器值的度量日志LogAR、访问请求者在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问控制器的可信平台模块TPM产生的随机数NS进行的签名、访问控制器用户产生的随机数NAC、访问控制器的身份证明密钥证书CertAC-AIK、访问请求者请求的多个平台配置寄存器值PCRsAC、对应于访问请求者请求的多个平台配置寄存器值的度量日志LogAC以及访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和访问请求者的可信平台模块TPM产生的随机数NAR进行的签名；
(3.4)策略管理器收到步骤(3.3)中访问控制器发送的信息后，首先，用访问请求者和访问控制器各自的身份证明密钥证书对应的公钥来验证访问请求者和访问控制器的身份证明密钥签名的有效性以及身份证明密钥证书的有效性；然后，根据访问请求者和访问控制器各自可信平台模块TPM提取相应的多个平台配置寄存器值的度量日志和数据库中的各个平台组件的标准完整性度量值重新计算相应的多个平台配置寄存器值，且与步骤(3.3)中访问控制器发送的消息中的对应多个平台配置寄存器值进行比较；接着，生成访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs，用策略管理器的身份证书对应的私钥对所生成的身份证明密钥证书鉴别和平台完整性校验结果进行签名[ResultAIK-PCRs]Sig；最后，向访问控制器发送访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs以及策略管理器对访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果的签名[ResultAIK-PCRs]Sig；步骤(3.4)所生成访问请求者和访问控制器的身份证明密钥证书鉴别和平台完整性校验结果ResultAIK-PCRs包括访问控制器用户产生的随机数NAC、访问控制器的可信平台模块TPM产生的随机数NS、访问请求者的身份证明密钥证书CertAR-AIK、访问控制器请求的多个平台配置寄存器值PCRsAR、对访问请求者的平台完整性校验结果ReAR、访问请求者的可信平台模块TPM产生的随机数NAR、访问控制器的身份证明密钥证书CertAC-AIK、访问请求者请求的多个平台配置寄存器值PCsAC、对访问控制器的平台完整性校验结果ReAC、访问请求者的身份证明密钥证书验证结果ReAR-AIK以及访问控制器的身份证明密钥证书验证结果ReAC-AIK；
(3.5)访问控制器收到步骤(3.4)中策略管理器发送的信息后，首先，验证访问控制器用户产生的随机数NAC与步骤(3.4)中策略管理器发送的信息中访问控制器用户产生的随机数NAC是否一致，并验证策略管理器的用户签名的有效性；接着，让可信平台模块TPM验证访问控制器的可信平台模块TPM产生的随机数NS的一致性；并验证访问请求者的身份证明密钥证书CertAR-AIK与访问控制器请求的多个平台配置寄存器值PCRsAR的一致性；然后，验证访问请求者的身份证明密钥证书验证结果ReAR-AIK和对访问请求者的平台完整性校验结果ReAR，并生成访问请求者的平台完整性评估结果；最后，访问控制器向访问请求者发送的步骤(3.4)中的信息和访问控制器在可信平台模块TPM内使用身份证明密钥私钥对可信平台模块TPM提取相应的多个平台配置寄存器值和方问请求者的可信平台模块TPM产生的随机数NAR进行的签名；
(3.6)访问请求者收到步骤(3.5)中访问控制器发送的信息后，首先，验证访问控制器的身份证明密钥签名的有效性和策略管理器用户签名的有效性；然后，让可信平台模块IPM验证访问请求者的可信平台模块TPM产生的随机数NAR的一致性；接着，验证访问控制器的身份证明密钥证书和访问请求者请求的多个平台配置寄存器值的一致性；最后，验证访问控制器的身份证明密钥证书验证结果ReAC-AIK和对访问控制器的平台完整性校验结果ReAC，并生成访问请求者的平台完整性评估结果。
4.根据权利要求1或2或3所述的基于三元对等鉴别的可信网络连接方法，其特征在于，所述的步骤(4.)中可信网络连接服务端和可信网络连接客户端向网络访问控制者和网络访问请求者发送的推荐是允许访问信息、禁止访问信息或隔离修补信息。
5.根据权利要求4所述的基于三元对等鉴别的可信网络连接方法，其特征在于，所述步骤(3.5)中的生成访问请求者的平台完整性评估结果的过程中，访问控制器要再次与访问请求者交换完整性信息并进行校验时，重复进行步骤(3.1)至步骤(3.6)。
6.根据权利要求5所述的基于三元对等鉴别的可信网络连接方法，其特征在于，所述步骤(3.6)中的生成访问请求者的平台完整性评估结果的过程中，访问请求者要再次与访问控制器交换完整性信息并进行校验时，重复进行步骤(3.2)至步骤(3.6)。
CN200710018395.8A 2007-08-01 2007-08-01 一种基于三元对等鉴别的可信网络连接方法 Active CN100534036C (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN200710018395.8A CN100534036C (zh) 2007-08-01 2007-08-01 一种基于三元对等鉴别的可信网络连接方法
ES08773227.7T ES2509040T3 (es) 2007-08-01 2008-07-21 Método para una conexión de red fiable basada en autenticación entre tres elementos del mismo nivel
EP08773227.7A EP2180632B1 (en) 2007-08-01 2008-07-21 A method for trusted network connect based on tri-element peer authentication
PCT/CN2008/071702 WO2009015581A1 (fr) 2007-08-01 2008-07-21 Procédé visant à obtenir une connexion de réseau fiable, reposant sur une authentification d'homologues impliquant trois éléments
US12/626,546 US8255977B2 (en) 2007-08-01 2009-11-25 Trusted network connect method based on tri-element peer authentication

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN200710018395.8A CN100534036C (zh) 2007-08-01 2007-08-01 一种基于三元对等鉴别的可信网络连接方法

Publications (2)

Publication Number Publication Date
CN101242266A CN101242266A (zh) 2008-08-13
CN100534036C true CN100534036C (zh) 2009-08-26

Family

ID=39933496

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200710018395.8A Active CN100534036C (zh) 2007-08-01 2007-08-01 一种基于三元对等鉴别的可信网络连接方法

Country Status (5)

Country Link
US (1) US8255977B2 (zh)
EP (1) EP2180632B1 (zh)
CN (1) CN100534036C (zh)
ES (1) ES2509040T3 (zh)
WO (1) WO2009015581A1 (zh)

Families Citing this family (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100566251C (zh) * 2007-08-01 2009-12-02 西安西电捷通无线网络通信有限公司 一种增强安全性的可信网络连接方法
CN100512313C (zh) 2007-08-08 2009-07-08 西安西电捷通无线网络通信有限公司 一种增强安全性的可信网络连接系统
CN100553212C (zh) 2007-11-16 2009-10-21 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制系统
CN100496025C (zh) 2007-11-16 2009-06-03 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制方法
CN101232378B (zh) * 2007-12-29 2010-12-08 西安西电捷通无线网络通信股份有限公司 一种无线多跳网络的认证接入方法
CN101222772B (zh) * 2008-01-23 2010-06-09 西安西电捷通无线网络通信有限公司 一种基于id的无线多跳网络认证接入方法
CN100581170C (zh) 2008-08-21 2010-01-13 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别可信网络连接的可信网络管理方法
US8161285B2 (en) * 2008-09-26 2012-04-17 Microsoft Corporation Protocol-Independent remote attestation and sealing
CN100581107C (zh) * 2008-11-04 2010-01-13 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别(TePA)的可信平台验证方法
CN101447992B (zh) 2008-12-08 2011-04-06 西安西电捷通无线网络通信股份有限公司 一种基于三元对等鉴别的可信网络连接实现方法
CN101431517B (zh) * 2008-12-08 2011-04-27 西安西电捷通无线网络通信股份有限公司 一种基于三元对等鉴别的可信网络连接握手方法
EP2420079A1 (en) * 2009-04-15 2012-02-22 Interdigital Patent Holdings, Inc. Validation and/or authentication of a device for communication with a network
CN101527717B (zh) * 2009-04-16 2012-11-28 西安西电捷通无线网络通信股份有限公司 一种三元对等鉴别可信网络连接架构的实现方法
CN101527718B (zh) 2009-04-16 2011-02-16 西安西电捷通无线网络通信股份有限公司 一种建立三元对等鉴别可信网络连接架构的方法
CN101527636B (zh) * 2009-04-21 2011-02-16 西安西电捷通无线网络通信股份有限公司 一种适合三元对等鉴别可信网络连接架构的平台鉴别管理方法
CN101540676B (zh) * 2009-04-28 2012-05-23 西安西电捷通无线网络通信股份有限公司 一种适合三元对等鉴别可信网络连接架构的平台鉴别方法
WO2010124476A1 (zh) * 2009-04-30 2010-11-04 华为技术有限公司 请求切换网络运营商的处理方法、装置及系统
CN101572706B (zh) * 2009-06-08 2011-06-01 西安西电捷通无线网络通信股份有限公司 一种适合三元对等鉴别可信网络连接架构的平台鉴别消息管理方法
CN101572704B (zh) 2009-06-08 2012-05-23 西安西电捷通无线网络通信股份有限公司 一种适合三元对等鉴别可信网络连接架构的访问控制方法
US9490984B2 (en) * 2009-09-14 2016-11-08 Interdigital Patent Holdings, Inc. Method and apparatus for trusted authentication and logon
CN101909058B (zh) * 2010-07-30 2013-01-16 天维讯达无线电设备检测（北京）有限责任公司 一种适合可信连接架构的平台鉴别策略管理方法及系统
US9208318B2 (en) 2010-08-20 2015-12-08 Fujitsu Limited Method and system for device integrity authentication
GB2487049A (en) * 2011-01-04 2012-07-11 Vestas Wind Sys As Remote and local authentication of user for local access to computer system
TWI479906B (zh) * 2011-05-20 2015-04-01 Wistron Corp 網路連線之認證方法以及使用該方法的網路裝置與網路認證系統
WO2013036179A1 (en) * 2011-09-08 2013-03-14 Dts Steering Group Ab Secure digital communications
EP2764654A4 (en) * 2011-09-08 2015-09-23 Dts Steering Group Ab METHOD FOR REALIZING A SECURE TRANSACTION BETWEEN A FIRST DEVICE AND A SECOND DEVICE
US10270748B2 (en) 2013-03-22 2019-04-23 Nok Nok Labs, Inc. Advanced authentication techniques and applications
US9456302B2 (en) 2013-06-03 2016-09-27 Temeda Llc Geospatial asset tracking systems, methods and apparatus for acquiring, manipulating and presenting telematic metadata
CN103345602B (zh) 2013-06-14 2015-08-19 腾讯科技（深圳）有限公司 一种客户端代码完整性检测方法、装置和系统
CN103581203A (zh) * 2013-11-20 2014-02-12 北京可信华泰信息技术有限公司 基于可信计算的可信网络连接方法
CN104079570B (zh) * 2014-06-27 2017-09-22 东湖软件产业股份有限公司 一种基于IPsec的可信网络连接方法
CN104168267B (zh) * 2014-07-23 2018-02-02 中国科学院信息工程研究所 一种接入sip安防视频监控系统的身份认证方法
CN104468606B (zh) * 2014-12-24 2018-10-09 国家电网公司 一种基于电力生产控制类系统的可信连接系统和方法
KR102446384B1 (ko) * 2015-09-18 2022-09-22 삼성전자주식회사 사용자 단말 및 서버 장치
US11868995B2 (en) 2017-11-27 2024-01-09 Nok Nok Labs, Inc. Extending a secure key storage for transaction confirmation and cryptocurrency
US11831409B2 (en) 2018-01-12 2023-11-28 Nok Nok Labs, Inc. System and method for binding verifiable claims
US11004006B2 (en) * 2018-08-30 2021-05-11 Conduent Business Services, Llc Method and system for dynamic trust model for personalized recommendation system in shared and non-shared economy
US20200280550A1 (en) * 2019-02-28 2020-09-03 Nok Nok Labs, Inc. System and method for endorsing a new authenticator
US11792024B2 (en) 2019-03-29 2023-10-17 Nok Nok Labs, Inc. System and method for efficient challenge-response authentication
CN112511569B (zh) * 2021-02-07 2021-05-11 杭州筋斗腾云科技有限公司 网络资源访问请求的处理方法、系统及计算机设备
CN113449343B (zh) * 2021-05-31 2024-03-26 国科量子通信网络有限公司 基于量子技术的可信计算系统
CN113407947A (zh) * 2021-06-23 2021-09-17 航天科工智能运筹与信息安全研究院(武汉)有限公司 一种云环境下面向移动终端用户的可信连接验证方法

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6199113B1 (en) * 1998-04-15 2001-03-06 Sun Microsystems, Inc. Apparatus and method for providing trusted network security
GB0020441D0 (en) * 2000-08-18 2000-10-04 Hewlett Packard Co Performance of a service on a computing platform
US20020095586A1 (en) * 2001-01-17 2002-07-18 International Business Machines Corporation Technique for continuous user authentication
US7246236B2 (en) * 2002-04-18 2007-07-17 Nokia Corporation Method and apparatus for providing peer authentication for a transport layer session
US7574600B2 (en) * 2004-03-24 2009-08-11 Intel Corporation System and method for combining user and platform authentication in negotiated channel security protocols
US7350072B2 (en) * 2004-03-30 2008-03-25 Intel Corporation Remote management and provisioning of a system across a network based connection
US8108668B2 (en) * 2006-06-26 2012-01-31 Intel Corporation Associating a multi-context trusted platform module with distributed platforms
US7793103B2 (en) * 2006-08-15 2010-09-07 Motorola, Inc. Ad-hoc network key management
US8397299B2 (en) * 2006-09-14 2013-03-12 Interdigital Technology Corporation Method and system for enhancing flow of behavior metrics and evaluation of security of a node
CN100512312C (zh) * 2006-12-18 2009-07-08 西安西电捷通无线网络通信有限公司 一种三元结构的对等访问控制方法
CN100463462C (zh) 2006-12-18 2009-02-18 西安西电捷通无线网络通信有限公司 一种三元结构的对等访问控制系统
EP2127300B1 (en) * 2007-01-26 2018-04-18 InterDigital Technology Corporation Method and apparatus for securing location information and access control using the location information
US8612773B2 (en) * 2007-05-03 2013-12-17 International Business Machines Corporation Method and system for software installation
CN101136928B (zh) * 2007-10-19 2012-01-11 北京工业大学 一种可信网络接入控制系统
CN100553212C (zh) * 2007-11-16 2009-10-21 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制系统
CN100496025C (zh) * 2007-11-16 2009-06-03 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制方法

Also Published As

Publication number Publication date
CN101242266A (zh) 2008-08-13
US20100077454A1 (en) 2010-03-25
ES2509040T3 (es) 2014-10-16
WO2009015581A1 (fr) 2009-02-05
EP2180632A1 (en) 2010-04-28
US8255977B2 (en) 2012-08-28
EP2180632B1 (en) 2014-09-03
EP2180632A4 (en) 2011-12-07

Similar Documents

Publication Publication Date Title
CN100534036C (zh) 一种基于三元对等鉴别的可信网络连接方法
CN100566251C (zh) 一种增强安全性的可信网络连接方法
CN100496025C (zh) 一种基于三元对等鉴别的可信网络接入控制方法
CN100553212C (zh) 一种基于三元对等鉴别的可信网络接入控制系统
CN100566252C (zh) 一种基于三元对等鉴别的可信网络连接系统
CN100512313C (zh) 一种增强安全性的可信网络连接系统
CN101431517B (zh) 一种基于三元对等鉴别的可信网络连接握手方法
CN101741842B (zh) 一种基于可信计算实现可信ssh的方法
CN101447992B (zh) 一种基于三元对等鉴别的可信网络连接实现方法
CN104283886A (zh) 一种基于智能终端本地认证的web安全访问的实现方法
CN103023911A (zh) 可信网络设备接入可信网络认证方法
CN113515756B (zh) 基于区块链的高可信数字身份管理方法及系统
Li et al. The weakest link of certificate transparency: Exploring the TLS/HTTPS configurations of third-party monitors
Khattak et al. Analysis of open environment sign-in schemes-privacy enhanced & trustworthy approach
Sani et al. SPrivAD: A secure and privacy-preserving mutually dependent authentication and data access scheme for smart communities
Liu et al. A trusted access method in software-defined network
CN104767728A (zh) 一种基于居家养老的身份认证的方法及系统
CN102594841A (zh) 用于云计算环境下的分布式多租户节点数字认证体系
Spanos et al. EtherVote: A Secure Smart Contract-based e-Voting System
Xu et al. Blockchain-based Certificate Management with Multi-Party Authentication
CN117118626A (zh) 一种基于区块链的用户数据安全传输系统
Dong et al. The New Wildcats: High-Risk Banking From Worst-Case Certificate Practices Online
Wu et al. Access Mechanism of Interactive Terminals of Smart Grid
CN107920082A (zh) 网络终端安全接入系统和方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
C56 Change in the name or address of the patentee

Owner name: XI'AN IWNCOMM CO., LTD.

Free format text: FORMER NAME: XIDIAN JIETONG WIRELESS NETWORK COMMUNICATION CO LTD, XI'AN

CP01 Change in the name or title of a patent holder

Address after: High tech Zone technology two road 710075 Shaanxi city of Xi'an Province, No. 68 Xi'an Software Park A201

Patentee after: CHINA IWNCOMM Co.,Ltd.

Address before: High tech Zone technology two road 710075 Shaanxi city of Xi'an Province, No. 68 Xi'an Software Park A201

Patentee before: CHINA IWNCOMM Co.,Ltd.

EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: BEIJING ZHIXIANG TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2016610000049

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20161117

LICC Enforcement, change and cancellation of record of contracts on the licence for exploitation of a patent or utility model
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: BEIJING FENGHUO LIANTUO TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000001

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20170106

LICC Enforcement, change and cancellation of record of contracts on the licence for exploitation of a patent or utility model
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: SHANGHAI YU FLY MILKY WAY SCIENCE AND TECHNOLOGY CO.,LTD.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000005

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20170317

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: Beijing next Technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000014

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20170601

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: HYTERA COMMUNICATIONS Corp.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000015

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20170602

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: Beijing Hua Xinaotian network technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017610000028

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20171122

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: ALPINE ELECTRONICS, Inc.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2017990000497

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20171222

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: SHENZHEN RAKWIRELESS TECHNOLOGY CO.,LTD.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2018610000006

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20180226

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: BLACKSHARK TECHNOLOGIES (NANCHANG) Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2018610000012

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20180404

EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: Sony Mobile Communications AB

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: 2018990000306

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20181123

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: SHENZHEN UCLOUDLINK NEW TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2019610000002

Denomination of invention: A trusted network connection method based on three-element peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20191010

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: HANGZHOU STRONG EDUCATION TECHNOLOGY Co.,Ltd.

Assignor: China IWNCOMM Co.,Ltd.

Contract record no.: X2021610000001

Denomination of invention: A trusted network connection method based on ternary peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20210125

EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: EKC communication technology (Shenzhen) Co.,Ltd.

Assignor: China IWNCOMM Co.,Ltd.

Contract record no.: X2021610000008

Denomination of invention: A trusted network connection method based on ternary peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20210705

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: Guangzhou nengchuang Information Technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2021610000011

Denomination of invention: A trusted network connection method based on ternary peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20211104

Application publication date: 20080813

Assignee: Xinruiya Technology (Beijing) Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2021610000012

Denomination of invention: A trusted network connection method based on ternary peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20211104

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: SHENZHEN ZHIKAI TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2022610000005

Denomination of invention: A trusted network connection method based on ternary peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20220531

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: HISCENE INFORMATION TECHNOLOGY Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2023610000003

Denomination of invention: A trusted network connection method based on ternary peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20230207

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: Beijing baicaibang Technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2023610000005

Denomination of invention: A Trusted Network Connection Method Based on Triple Peer to Peer Authentication

Granted publication date: 20090826

License type: Common License

Record date: 20230329

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: Shenzhen wisky Technology Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2023610000008

Denomination of invention: A Trusted Network Connection Method Based on Triple Peer to Peer Authentication

Granted publication date: 20090826

License type: Common License

Record date: 20230522

EE01 Entry into force of recordation of patent licensing contract
EE01 Entry into force of recordation of patent licensing contract

Application publication date: 20080813

Assignee: Beijing Digital Technology (Shanghai) Co.,Ltd.

Assignor: CHINA IWNCOMM Co.,Ltd.

Contract record no.: X2023610000012

Denomination of invention: A trusted network connection method based on ternary peer-to-peer authentication

Granted publication date: 20090826

License type: Common License

Record date: 20231114

EE01 Entry into force of recordation of patent licensing contract