CN107493271A - 可信安全网络系统 - Google Patents

Abstract

本发明公开一种可信安全网络系统，基于客户端‑服务器架构实现，其中，各网络节点均为安装有可信芯片的可信主机，各网络节点基于可信芯片进行可信启动过程；各网络节点的可信芯片中保存白名单列表，该白名单列表包括允许执行的应用软件及其关键代码的度量值，运行应用软件时，通过该白名单列表验证该应用软件的完整性；配置远程认证服务器，其可信芯片中保存有用于对网络节点进行身份认证及完整性验证的基准认证信息；配置应用管理服务器，用于对各网络节点进行应用的部署与管理。本发明构建了一种基于可信芯片实现的可信安全网络系统，能够提高网络系统的安全可靠性。

Description

可信安全网络系统

技术领域

本发明提供一种可信安全网络系统，属于信息安全技术领域。

背景技术

随着计算机与网络技术的快速发展，基于计算机构建的云计算、物联网、大数据等多种网络系统，已经是较为成熟的技术。网络系统安全是网络系统的重要技术保障，其应从硬件、软件、数据等各方面保证系统的安全性。目前的网络系统，主要通过软件手段实现认证、密钥管理等安全管理，而软件代码本身具有漏洞，通过读取、分析即可获取关键的敏感数据，存在安全隐患。

发明内容

鉴于上述原因，本发明的目的在于提供一种可信安全网络系统，以安装可信芯片的可信主机作为网络节点构建可信安全网络系统，通过度量方式保证网络节点底层平台及上层应用的完整性，通过远程认证保证网络节点的可信性，通过网络节点间的保密通信保证数据安全性，构建一种基于可信芯片实现的可信安全网络系统，提高网络系统的安全可靠性。

为实现上述目的，本发明采用以下技术方案：

一种可信安全网络系统，基于客户端-服务器架构实现，各网络节点均为安装有可信芯片的可信主机，

各网络节点基于可信芯片进行可信启动过程；

各网络节点的可信芯片中保存白名单列表，该白名单列表包括允许执行的应用软件及其关键代码的度量值，运行应用软件时，通过该白名单列表验证该应用软件的完整性；

配置远程认证服务器，其可信芯片中保存有用于对网络节点进行身份认证及完整性验证的基准认证信息；

通过远程认证的网络节点之间进行保密通信；

配置应用管理服务器，用于对各网络节点进行应用的部署与管理。

各网络节点启动过程中，将生成的基准认证信息发送至所述远程认证服务器，网络节点之间建立通信前，先通过所述远程认证服务器以相应网络节点对应的基准认证信息为基准进行对比验证，验证通过可正常建立通信。

所述可信启动过程包括：网络节点在开机启动过程中，依次对CPU、存储模块、电源模块、磁盘，对BIOS、Bootloader、系统内核、用户定义的关键应用文件进行度量。

通过所述白名单列表验证应用软件的完整性的过程是：运行应用软件时，从可信芯片中读取所述白名单列表，判断该应用软件是否在所述白名单列表之列，若不在所述白名单列表之列，则该应用软件无法运行，若在白名单列表之列，则计算该应用软件的关键代码的度量值，并将计算结果与所述白名单列表中对应该应用软件的度量值进行比较，若一致，则该应用软件的完整性验证通过，若不一致则该应用软件的完整性被破坏，其无法运行。

所述网络节点之间进行保密通信的方法是：接收方基于可信芯片生成公、私钥对，其可信芯片保存私钥，将公钥发送至第三方认证机构；发送方从第三方认证机构获取公钥，并基于可信芯片生成会话密钥和随机数，利用公钥对会话密钥加密生成密文会话密钥，并对密文会话密钥和随机数进行摘要运算，生成摘要值；发送方利用公钥对该摘要值进行数字签名，生成签名结果，然后将密文会话密钥、签名结果、随机数以发送方密钥协商数据包发送至接收方；

接收方接收该发送方密钥协商数据包，对密文会话密钥、随机数进行摘要运算，生成第一摘要值；接收方利用私钥对签名结果进行解密，生成第二摘要值，通过对比第一摘要值与第二摘要值验证发送方的完整性；验证通过后，接收方利用私钥对密文会话密钥进行解密生成明文的会话密钥，利用该会话密钥对随机数进行加密生成密文随机数，利用私钥对密文随机数进行数字签名，生成签名结果；接收方将密文随机数、签名结果以接收方密钥协商数据包发送给发送方；

发送方接收该接收方密钥协商数据包，利用公钥对其中的签名结果进行解密，生成摘要值，通过对比该摘要值与密文随机数验证接收方的完整性；验证通过后，发送方利用会话密钥对密文随机数进行解密，生成明文的随机数，将生成的随机数与原始的随机数进行比较，若一致，则双方密钥协商完成，通信双方传输的数据均利用协商的会话秘钥进行加解密处理。

所述应用管理服务器以数字信封方式部署、更新网络节点的应用软件。

所述应用管理服务器基于可信芯片生成对称密钥、时间戳，利用对称密钥对应用软件数据进行加密生成密文应用软件数据；利用公钥对对称密钥进行加密生成密文对称密钥；对密文应用软件数据、密文对称密钥、时间戳进行摘要计算，生成摘要值；利用公钥对摘要值进行数字签名，得到签名结果；应用管理服务器将密文应用软件数据、密文对称密钥、时间戳、签名结果以发送方数字信封数据包发送至网络节点；

网络节点接收该发送方数字信封数据包，先检查时间戳的正确性，然后对密文应用软件数据、密文对称密钥、时间戳进行摘要计算，得到第三摘要值，利用私钥对签名结果进行解密，生成第四摘要值，将第三摘要值与第四摘要值进行比较，以验证应用管理服务器及应用软件数据的完整性；验证通过后，利用私钥对密文对称密钥进行解密，生成明文的对称密钥，利用该对称密钥对密文应用软件数据进行解密，得到明文的应用软件数据。

本发明的优点是：

1、本发明的可信安全网络系统，系统中的每个网络节点均为安装可信芯片的可信主机，通过可信芯片对关键数据(如密钥、度量值等)进行保护，提高系统的安全可靠性；

2、本发明的可信安全网络系统，对于每个网络节点，通过可信启动过程，验证底层平台的完整性，保证网络节点的底层结构的可信完整性；

3、本发明的可信安全网络系统，对于每个网络节点，通过存储于可信芯片中的白名单列表，验证应用软件的完整性，保证网络节点的上层应用的可信完整性；

4、本发明的可信安全网络系统，在网络节点之间建立通信之前，通过远程认证服务器(其可信芯片中保存有基准认证信息)，对各通信端节点进行身份认证与完整性验证，验证通过的节点列为可信的网络节点可正常建立通信，保证网络系统中各网络节点的可信完整性，避免非可信节点对其它网络节点造成安全威胁；

5、本发明的可信安全网络系统，可信的网络节点之间进行保密通信，并由可信芯片存储密钥，保证通信数据的安全性；

6、本发明的可信安全网络系统，通过应用管理服务器对各网络节点的应用软件进行部署、更新、管理，且应用软件数据以数字信封方式进行传输与完整性验证，由可信芯片存储密钥，可实现应用的规模化部署，并保证应用的安全性。

附图说明

图1是本发明的可信安全网络系统的组成框图。

具体实施方式

以下结合附图和实施例对本发明作进一步详细的描述。

如图1所示，本发明公开一种可信安全网络系统，基于客户端-服务器架构实现，各网络节点均为安装有可信芯片的可信主机，其中，配置至少一台服务器作为远程认证服务器，配置至少一台服务器作为应用管理服务器，远程认证服务器与应用管理服务器也可以是同一台服务器。

一、网络节点的完整性

通过可信启动验证网络节点的底层结构的完整性。网络节点在开机启动过程中，依次对CPU、存储模块、电源模块、磁盘等硬件结构，对BIOS(Basic Input Output System，基本输入输出系统)、Bootloader(引导加载程序)、系统内核、关键应用文件(可由用户定义)进行度量，实现启动过程对整个系统运行的底层平台的度量，通过可信链的传递，保证系统硬件、操作系统、应用启动过程的完整性、可靠性。度量过程是指，对要执行部分的代码或数据进行度量值计算，对计算得到的度量值进行哈希运算，将生成的哈希值保存于可信芯片的PCR(platform configuration register)寄存器中，系统启动完成，得到启动过程的多个度量值；之后，系统每次启动过程中，计算执行部分的代码或数据的度量值，并与可信芯片中保存的相应的度量值进行比较，若一致则该部分代码或数据完整性验证通过，若不一致则该部分代码或数据完整性被破坏，该网络节点不可信。

对于网络节点上运行的应用软件，建立应用软件的白名单列表，该白名单列表包括允许执行的应用软件及其关键代码的度量值，将白名单列表保存于可信芯片中。运行应用软件时，首先从可信芯片中读取白名单列表，判断运行的应用软件是否在白名单列表之列，若不在白名单列表之列，则该应用软件无法运行，若在白名单列表之列，则计算运行的应用软件的关键代码的度量值，并将计算结果与白名单列表中对应该应用软件的度量值进行比较，若一致，则该应用软件的完整性验证通过，若不一致则该应用软件的完整性被破坏，该应用软件不可信，其无法运行。

二、网络节点的远程认证

网络节点在启动过程中，将其基准认证信息发送至远程认证服务器，远程认证服务器将各网络节点的基准认证信息保存于其可信芯片中。该基准认证信息包括身份信息(如IP地址、网络名称等身份唯一标识)和可信启动过程中生成的多个度量值。当网络节点之间发起通信时，各通信端向远程认证服务器发送认证请求，请求对通信对端进行身份认证和完整性验证，远程认证服务器接收认证请求，将通信对端的认证信息与可信芯片中保存的该通信对端的认证信息进行比较，若身份信息与度量值均一致，则该通信对端的身份认证和完整性验证通过，该通信对端为可信的网络节点，可正常建立通信，若身份信息与度量值中任意值不一致，则该通信对端的身份认证和完整性验证未通过，该通信对端为不可信的网络节点，无法正常建立通信。

三、网络节点间的保密通信

可信安全网络系统中通过远程认证的可信网络节点之间建立通信链路后，网络节点之间的通信数据均为密文数据，保证网络节点之间通信数据的数据安全性。具体的说，通信双方的密钥协商过程为：

接收方基于可信芯片生成公、私钥对，其可信芯片保存私钥，将公钥发送至第三方认证机构(基于公钥基础设施PKI的组织机构)，由第三方认证机构注册该公钥，生成公钥证书。发送方从第三方认证机构获取公钥，并基于可信芯片生成会话密钥和随机数，利用该公钥对会话密钥加密生成密文会话密钥，并对密文会话密钥和随机数进行摘要运算，生成摘要值；发送方利用公钥对该摘要值进行数字签名，生成签名结果，然后将密文会话密钥、签名结果、随机数以发送方密钥协商数据包发送至接收方。

接收方接收该发送方密钥协商数据包，对密文会话密钥、随机数进行摘要运算，生成第一摘要值；接收方利用私钥对签名结果进行解密，生成第二摘要值，对比第一摘要值与第二摘要值，若一致，则发送方完整性验证通过，若不一致，则发送方验证失败，丢弃该数据包；验证通过后，接收方利用私钥对密文会话密钥进行解密生成明文的会话密钥，利用该会话密钥对随机数进行加密生成密文随机数，利用私钥对密文随机数进行数字签名，生成签名结果；接收方将密文随机数、签名结果以接收方密钥协商数据包发送给发送方。

发送方接收该接收方密钥协商数据包，利用公钥对签名结果进行解密，生成摘要值，将该摘要值与密文随机数进行比较，若一致，则接收方完整性验证通过，若不一致，则接收方验证失败，丢弃该数据包；验证通过后，发送方利用会话密钥对密文随机数进行解密，生成明文的随机数，将生成的随机数与原始的随机数进行比较，若一致，则双方密钥协商完成，否则重新进行密钥协商过程。

密钥协商成功完成后，通信双方传输的数据均利用协商的会话秘钥进行加解密处理。

四、应用软件的部署与管理

应用管理服务器用于部署、更新各网络节点的应用软件。具体的说，

应用管理服务器与网络节点之间进行密钥协商过程，密钥协商过程与前述第三点中通信双方的密钥协商过程相同。

密钥协商成功完成后，应用管理服务器以数字信封方式部署、更新网络节点的应用软件。应用管理服务器基于可信芯片生成对称密钥、时间戳，利用对称密钥对应用软件数据进行加密生成密文应用软件数据；利用公钥对对称密钥进行加密生成密文对称密钥；对密文应用软件数据、密文对称密钥、时间戳进行摘要计算，生成摘要值；利用公钥对摘要值进行数字签名，得到签名结果；应用管理服务器将密文应用软件数据、密文对称密钥、时间戳、签名结果以发送方数字信封数据包发送至网络节点。

网络节点接收该发送方数字信封数据包，先检查时间戳的正确性，然后对密文应用软件数据、密文对称密钥、时间戳进行摘要计算，得到第三摘要值，利用私钥对签名结果进行解密，生成第四摘要值，将第三摘要值与第四摘要值进行比较，以验证应用管理服务器及应用软件数据的完整性；验证通过后，利用私钥对密文对称密钥进行解密，生成明文的对称密钥，利用该对称密钥对密文应用软件数据进行解密，得到明文的应用软件数据。

以上所述是本发明的较佳实施例及其所运用的技术原理，对于本领域的技术人员来说，在不背离本发明的精神和范围的情况下，任何基于本发明技术方案基础上的等效变换、简单替换等显而易见的改变，均属于本发明保护范围之内。

Claims (7)

1.可信安全网络系统，基于客户端-服务器架构实现，其特征在于，各网络节点均为安装有可信芯片的可信主机，

各网络节点基于可信芯片进行可信启动过程；

各网络节点的可信芯片中保存白名单列表，该白名单列表包括允许执行的应用软件及其关键代码的度量值，运行应用软件时，通过该白名单列表验证该应用软件的完整性；

配置远程认证服务器，其可信芯片中保存有用于对网络节点进行身份认证及完整性验证的基准认证信息；

通过远程认证的网络节点之间进行保密通信；

配置应用管理服务器，用于对各网络节点进行应用的部署与管理。

2.根据权利要求1所述的可信安全网络系统，其特征在于，各网络节点启动过程中，将生成的基准认证信息发送至所述远程认证服务器，网络节点之间建立通信前，先通过所述远程认证服务器以相应网络节点对应的基准认证信息为基准进行对比验证，验证通过可正常建立通信。

3.根据权利要求1所述的可信安全网络系统，其特征在于，所述可信启动过程包括：网络节点在开机启动过程中，依次对CPU、存储模块、电源模块、磁盘，对BIOS、Bootloader、系统内核、用户定义的关键应用文件进行度量。

4.根据权利要求1所述的可信安全网络系统，其特征在于，通过所述白名单列表验证应用软件的完整性的过程是：运行应用软件时，从可信芯片中读取所述白名单列表，判断该应用软件是否在所述白名单列表之列，若不在所述白名单列表之列，则该应用软件无法运行，若在白名单列表之列，则计算该应用软件的关键代码的度量值，并将计算结果与所述白名单列表中对应该应用软件的度量值进行比较，若一致，则该应用软件的完整性验证通过，若不一致则该应用软件的完整性被破坏，其无法运行。

5.根据权利要求1所述的可信安全网络系统，其特征在于，所述网络节点之间进行保密通信的方法是：接收方基于可信芯片生成公、私钥对，其可信芯片保存私钥，将公钥发送至第三方认证机构；发送方从第三方认证机构获取公钥，并基于可信芯片生成会话密钥和随机数，利用公钥对会话密钥加密生成密文会话密钥，并对密文会话密钥和随机数进行摘要运算，生成摘要值；发送方利用公钥对该摘要值进行数字签名，生成签名结果，然后将密文会话密钥、签名结果、随机数以发送方密钥协商数据包发送至接收方；

接收方接收该发送方密钥协商数据包，对密文会话密钥、随机数进行摘要运算，生成第一摘要值；接收方利用私钥对签名结果进行解密，生成第二摘要值，通过对比第一摘要值与第二摘要值验证发送方的完整性；验证通过后，接收方利用私钥对密文会话密钥进行解密生成明文的会话密钥，利用该会话密钥对随机数进行加密生成密文随机数，利用私钥对密文随机数进行数字签名，生成签名结果；接收方将密文随机数、签名结果以接收方密钥协商数据包发送给发送方；

发送方接收该接收方密钥协商数据包，利用公钥对其中的签名结果进行解密，生成摘要值，通过对比该摘要值与密文随机数验证接收方的完整性；验证通过后，发送方利用会话密钥对密文随机数进行解密，生成明文的随机数，将生成的随机数与原始的随机数进行比较，若一致，则双方密钥协商完成，通信双方传输的数据均利用协商的会话秘钥进行加解密处理。

6.根据权利要求5所述的可信安全网络系统，其特征在于，所述应用管理服务器以数字信封方式部署、更新网络节点的应用软件。

7.根据权利要求6所述的可信安全网络系统，其特征在于，所述应用管理服务器基于可信芯片生成对称密钥、时间戳，利用对称密钥对应用软件数据进行加密生成密文应用软件数据；利用公钥对对称密钥进行加密生成密文对称密钥；对密文应用软件数据、密文对称密钥、时间戳进行摘要计算，生成摘要值；利用公钥对摘要值进行数字签名，得到签名结果；应用管理服务器将密文应用软件数据、密文对称密钥、时间戳、签名结果以发送方数字信封数据包发送至网络节点；

网络节点接收该发送方数字信封数据包，先检查时间戳的正确性，然后对密文应用软件数据、密文对称密钥、时间戳进行摘要计算，得到第三摘要值，利用私钥对签名结果进行解密，生成第四摘要值，将第三摘要值与第四摘要值进行比较，以验证应用管理服务器及应用软件数据的完整性；验证通过后，利用私钥对密文对称密钥进行解密，生成明文的对称密钥，利用该对称密钥对密文应用软件数据进行解密，得到明文的应用软件数据。