CN108055263B - 一种卫星通信网中的实体认证权限管理系统及方法 - Google Patents

Abstract

本发明一种卫星通信网中实体认证权限管理系统及方法，属于卫星通信中的权限管理及实体认证技术领域。包括实体认证与权限管理系统和分级跨域的动态权限属性协同映射方法。实体认证与权限管理系统，包括网络节点身份认证模块、用户终端身份认证模块和权限管理模块；网络节点身份认证模块由主认证中心；用户终端身份认证模块由各个域认证中心完成；权限管理模块在主认证中心和域认证中心分别存储网络节点和用户终端的角色、权限映射表，通过多表联合查询的方式得到节点或用户的权限；本发明可实现大规模实体身份认证和权限管理；利用实体身份认证方案和分级跨域的动态权限属性协同映射方法，保障了卫星通信网中用户终端的跨域访问和安全漫游。

Description

一种卫星通信网中的实体认证权限管理系统及方法

技术领域

本发明涉及一种卫星通信网中的实体认证权限管理系统及方法，尤其涉及一种新的实体认证权限管理系统，采用两级管理的方式来实现接入访问实体的身份认证，采用分级跨域的属性协同映射的方式实现实体权限管理，属于卫星通信中的权限管理及实体认证技术领域。

背景技术

随着卫星技术和无线通信技术的不断进步和应用，以及国家安全、航空航天、灾害预警等需求的日益紧迫，卫星通信网络作为重要的对应技术之一迅速发展。卫星通信网络由多个骨干节点，如低轨卫星关口站、中轨卫星关口站、高轨卫星关口站、网络服务中心、低轨卫星、中轨卫星、高轨卫星、域认证中心及多种用户终端组成，重点实现按需服务能力。有别于传统网络，卫星通信网实现全球通信，通信信道具有开放性的特点，信号发送地附近的所有用户在拥有一定设备的情况下都可以接收到信息，这就使得接入实体更易遭受实体假冒、非授权访问、信息窃取、跨网攻击等。因此，卫星通信网络需要支持低轨卫星关口站、中轨卫星关口站、高轨卫星关口站、网络服务中心、高轨卫星、低轨卫星为主的骨干节点和多种用户终端的统一身份权限管理。

传统的权限管理模式主要有自主访问控制(DAC)、强制访问控制(MAC)和基于角色的访问控制(RBAC)。自主访问控制根据访问者的身份和授权来决定访问方式，访问主体对访问控制有决定权，这种权力在信息移动的过程中很容易产生安全漏洞。强制访问控制是系统将主体和客体分级，根据级别来决定访问模式，过于偏重机密性，不利于管理。基于角色的访问控制是对前二者的改进，基于用户在系统中的作用规定其访问权限，解决了管理难的问题，但是无法解决用户终端跨域访问的问题。

而且各骨干节点与用户终端所具有的功能与管理模式完全不同，进行统一管理的技术难度很大。且如采用传统的用户管理方式，动辄需要存储十亿甚至百亿的数据，对用户信息进行一次比对时间开销巨大，必然会对用户的认证带来长时间的延迟。

综上所述，现有的权限管理方案无法满足卫星通信网中的权限管理需求。

发明内容

本发明的目的在于针对亿级用户和多样化网络实体的身份标识管理的技术难题以及为了解决终端信息存储数据量大、查询时延长的技术缺陷，提出了一种卫星通信网中的实体认证权限管理系统及方法，对骨干节点和用户终端进行区分化管理，具体采用一个主认证中心负责各网络节点的管理，在各域分别建设域认证中心对所属用户终端进行管理的模式。

本发明一种卫星通信网中实体认证权限管理系统及方法，包括实体认证与权限管理系统和分级跨域的动态权限属性协同映射方法。

实体认证与权限管理系统主要包括网络节点密钥分发、主认证中心与网络节点互认证协议、网络节点失效协议、网络节点密钥更新协议、网络节点身份信息存储；用户终端密钥分配、域认证中心与用户终端互认证协议、用户终端密钥更新协议、用户终端身份信息存储和权限管理模块。

其中，网络节点密钥分发、主认证中心与网络节点互认证协议、网络节点失效协议、网络节点密钥更新协议、网络节点身份信息存储共同组成网络节点身份认证模块，完成卫星通信网中低轨卫星关口站、中轨卫星关口站、高轨卫星关口站、网络服务中心、高轨卫星、低轨卫星为主的骨干节点的身份认证。

其中，网络节点密钥分发完成网络节点的ID和密钥的产生，并在各个网络节点投入使用之前预置；主认证中心与网络节点互认证协议完成网络节点投入使用之后主认证中心与网络节点之间的认证，在完成过程中需检索主认证中心的网络节点身份信息表；网络节点失效协议完成网络节点(主要是卫星)在更新失效状态后向主认证中心返还状态信息；网络节点密钥更新协议首先完成主认证中心与网络节点互认证协议，然后再向网络节点分发新的密钥，从而完成定期、不定期对网络节点的密钥更新；各个网络节点的ID、密钥、MAC地址、节点状态、节点类型信息存储在主认证中心的网络节点身份信息表里。

用户终端密钥分发、域认证中心与用户终端互认证协议、用户终端密钥更新协议、用户终端身份信息存储共同组成用户终端身份认证模块，完成低轨星座手持、车载终端、高速航天器终端、高轨卫星军用手持终端、高轨卫星民用车载终端为主的用户终端的身份认证。

其中，用户终端密钥分发完成用户终端的ID和密钥的产生，普通用户终端通过网络完成注册，军用手持终端、飞行器等设备在投入使用之前预置密钥；域认证中心与用户终端互认证协议完成域认证中心与用户终端之间的相互认证，在完成过程中需要检索域认证中心的用户终端身份信息表；用户终端密钥更新协议首先使用域认证中心与用户终端互认证协议，然后再向用户终端分发新的密钥，完成定期、不定期对用户终端的密钥更新；各个用户终端的ID、密钥、所属域、终端类型、终端状态等信息存储在各自所属域的域认证中心的用户终端身份信息表里，每个域认证中心存储200万用户，分为100张表，每张表存储2万用户，并将用户ID与表名之间建立映射关系，方便查询，增大并发量；并借鉴了eID思想对用户进行管理，实现了信息隐藏。

其中，低轨卫星关口站、中轨卫星关口站、高轨卫星关口站、网络服务中心、低轨卫星、中轨卫星、高轨卫星、用户终端以及其他需要访问网络资源的实体，统一称为访问请求实体；

其中，各个域可分为注册域和访问域；其中，注册域为用户注册时所在的域；注册域认证中心是指用户注册时所在的域对应的域认证中心；访问域为用户想要访问的域；访问域认证中心是指用户想要访问的域对应的域认证中心；

权限管理模块在主认证中心和域认证中心分别存储网络节点和用户终端的角色、权限映射表，通过多表联合查询的方式得到节点或用户的权限；

实体认证与权限管理系统中各模块的功能如下：

网络节点身份认证模块负责网络节点的身份信息管理；用户终端身份认证模块负责用户终端的身份信息管理；权限管理模块负责网络节点、用户终端的角色-权限管理。

实体认证与权限管理系统中各模块之间的关系如下：

当网络节点或用户终端请求访问某网络资源时，首先通过网络节点身份认证模块或用户终端身份认证模块验证实体身份，再将其ID或角色传入权限管理模块得到实体的权限。根据实体的权限判断是否允许其对该网络资源的访问。

分级跨域的动态权限属性协同映射方法，通过以下步骤实现：

步骤1：当某个域LA的访问请求实体q通过网络向系统提出对另一个域LB的资源o的访问请求；

步骤2：注册域(LA)得到访问请求并对实体q进行认证，确定实体q的角色r；

步骤3：注册域(LA)根据角色r确定实体在注册域的权限LAP；

步骤4：注册域认证中心将RP发送到访问域认证中心；

步骤5：访问域认证中心根据权限映射表对权限进行动态映射，确定LA的实体在LB所具有的权限LBP，取两个权限的交集，即P＝LAP×LBP；

步骤6:访问域认证中心将P封装后返还注册域认证中心，完成动态权限属性协同映射；

至此，经过步骤1到步骤6，完成了分级跨域的动态权限属性协同映射方法。

有益效果

本发明一种卫星通信网中的实体认证权限管理系统及方法，与现有实体认证权限管理系统及方法相比，具有如下有益效果：

1.与传统的身份权限管理系统相比，本发明使用主认证中心和域认证中心存储和管理，适用于卫星通信网。实现了大规模实体身份认证和权限管理。

2.利用实体身份认证方案和分级跨域的动态权限属性协同映射方案，保障了卫星通信网中用户终端的跨域访问和安全漫游；

3.本发明支持各类卫星通讯网中网络节点和一亿用户终端的身份信息存储，并有很大的并发量。

附图说明

图1为本发明实体认证与权限管理系统中的网络节点和用户终端的身份信息管理和分级跨域的属性协同映射总体模型图；

图2为本发明实体认证与权限管理系统中的主认证中心为网络节点分发ID和密钥；

图3为本发明实体认证与权限管理系统中的网络节点与主认证中心的互认证协议；

图4为本发明实体认证与权限管理系统中的网络节点密钥更新协议；

图5为本发明实体认证与权限管理系统中的网络节点失效协议；

图6为本发明实体认证与权限管理系统中的网络节点身份信息表；

图7为本发明实体认证与权限管理系统中的域认证中心为用户终端分发ID和密钥；

图8为本发明实体认证与权限管理系统中的域认证中心对用户终端进行身份认证流程图；

图9为本发明实体认证与权限管理系统中的用户终端密钥更新协议；

图10为本发明实体认证与权限管理系统中的域认证中心存储用户终端身份信息；

图11为本发明分级跨域的动态权限属性协同映射方法的分级跨域属性协同映射模型图；

图12为本发明分级跨域的动态权限属性协同映射方法的分级跨域的属性协同映射方案图。

具体实施方式

下面结合附图，对本发明的具体实施方式做进一步详实说明。

实施例1

本实施例详细阐述了本发明一种卫星通信网中的实体认证权限管理系统及方法在各骨干接点进行身份认证情况下的具体实施场景，总体模型如图1所示。

当以卫星、关口站、网络服务中心为主的骨干节点需要访问网络资源时，主认证中心应先对其身份进行认证。如图2所示，主认证中心预先为各骨干节点分发ID与密钥，当骨干节点需要访问网络资源时，使用图3所示的网络节点与主认证中心互认证协议完成身份认证，主认证中心在收到卫星节点的ID后，需检索图6所示的网络节点身份信息表，再进行图3的协议流程完成网络节点与主认证中心之间的认证。当需要对网络节点进行密钥更新时，如图4所示，首先完成网络节点与主认证中心之间的互认证协议，获取加密密钥CK和完整性密钥IK，然后主认证中心产生新的密钥分别使用CK和IK对密钥进行加密，网络节点在收到后分别对完整性和保密性进行验证，验证成功，则完成密钥更新。当网络节点失效后，需要向主认证中心更新自己的状态信息，如图5所示，首先通过网络节点与主认证中心之间的互认证协议完成认证过程，然后使用网络节点与主认证中心共享的对称密钥加密状态信息并传输到主认证中心，主认证中心解密后更新数据库。

实施例2

本实施例详细阐述了本发明一种卫星通信网中的实体认证权限管理系统及方法在各用户终端进行身份认证情况下的具体实施场景。

当用户终端需要访问网络资源时，域认证中心应先对其身份进行认证。如图7所示，域认证中心通过网络或预置为用户终端分发ID与密钥，当用户终端需要访问网络资源时，域认证中心使用如图8所示的流程对用户终端进行认证，在用户终端发起认证请求之后，域认证中心响应用户终端的连接，并得到用户ID与密钥，然后将ID/20000得到数据库中的表名，并向图10所示的数据库发送SQL语句检索出该用户的身份信息，与用户终端发送的信息进行匹配，如匹配成功，则返回认证成功；如不成功，则返回认证失败。当用户终端需要进行会话密钥的密钥更新时，如图9所示，首先完成用户终端与域认证中心的认证，然后域认证中心服务器产生密钥key，使用用户终端的公钥进行加密然后通过网络传给用户终端，用户终端使用自己的私钥进行解密，得到自己新的会话密钥。

实施例3

本实施例详细阐述了本发明一种卫星通信网中的实体认证权限管理系统及方法在各实体进行分级跨域的动态权限属性协同映射情况下的具体实施场景。

如图3所示，一种实体可以请求接入到另一个域中并访问其网络资源，具体过程如图4所示。

①表示用户通过终端向注册域认证中心发送认证信息；②根据用户和终端信息获得用户权限和终端权限；③将注册域用户权限及终端权限附加时间戳t经公钥加密发送；④解密信息并根据注册域权限获取访问域权限；⑤将注册域时间戳t及访问域权限附加时间戳t1经公钥加密后发送；⑥将访问域授权信息发送至用户。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (2)

1.实体认证与权限管理系统，其特征在于：主要包括网络节点身份认证模块,用户终端身份认证模块和权限管理模块；

其中，网络节点密钥分发、主认证中心与网络节点互认证协议、网络节点失效协议、网络节点密钥更新协议、网络节点身份信息存储共同组成网络节点身份认证模块，完成卫星通信网中低轨卫星关口站、中轨卫星关口站、高轨卫星关口站、网络服务中心、高轨卫星、低轨卫星为主的网络节点的身份认证；

网络节点密钥分发完成网络节点的ID和密钥的产生，并在各个网络节点投入使用之前预置；主认证中心与网络节点互认证协议完成网络节点投入使用之后主认证中心与网络节点之间的认证，在完成过程中需检索主认证中心的网络节点身份信息表；网络节点失效协议完成网络节点在更新失效状态后向主认证中心返还状态信息；网络节点密钥更新协议首先完成主认证中心与网络节点互认证协议，然后再向网络节点分发新的密钥，从而完成定期、不定期对网络节点的密钥更新；各个网络节点的ID、密钥、MAC地址、节点状态、节点类型信息存储在主认证中心的网络节点身份信息表里；

用户终端密钥分发、域认证中心与用户终端互认证协议、用户终端密钥更新协议、用户终端身份信息存储共同组成用户终端身份认证模块，完成低轨星座手持、车载终端、高速航天器终端、高轨卫星军用手持终端、高轨卫星民用车载终端为主的用户终端的身份认证；

其中，用户终端密钥分发完成用户终端的ID和密钥的产生，普通用户终端通过网络完成注册，军用手持终端、飞行器在投入使用之前预置密钥；域认证中心与用户终端互认证协议完成域认证中心与用户终端之间的相互认证，在完成过程中需要检索域认证中心的用户终端身份信息表；用户终端密钥更新协议首先使用域认证中心与用户终端互认证协议，然后再向用户终端分发新的密钥，完成定期、不定期对用户终端的密钥更新；各个用户终端的ID、密钥、所属域、终端类型、终端状态信息存储在各自所属域的域认证中心的用户终端身份信息表里，每个域认证中心存储200万用户，分为100张表，每张表存储2万用户，并将用户ID与表名之间建立映射关系，方便查询，增大并发量；并借助公民网络电子身份标识对用户进行管理，实现了信息隐藏；

其中，低轨卫星关口站、中轨卫星关口站、高轨卫星关口站、网络服务中心、低轨卫星、中轨卫星、高轨卫星、用户终端以及其他需要访问网络资源的实体，统一称为访问请求实体；

其中，各个域可分为注册域和访问域；其中，注册域为用户注册时所在的域；注册域认证中心是指用户注册时所在的域对应的域认证中心；访问域为用户想要访问的域；访问域认证中心是指用户想要访问的域对应的域认证中心；

权限管理模块在主认证中心和域认证中心分别存储网络节点和用户终端的角色、权限映射表，通过多表联合查询的方式得到节点或用户的权限；

实体认证与权限管理系统中各模块的功能如下：

网络节点身份认证模块负责网络节点的身份信息管理；用户终端身份认证模块负责用户终端的身份信息管理；权限管理模块负责网络节点、用户终端的角色-权限管理；

实体认证与权限管理系统中各模块之间的关系如下：

当网络节点或用户终端请求访问某网络资源时，首先通过网络节点身份认证模块或用户终端身份认证模块验证实体身份，再将其ID或角色传入权限管理模块得到实体的权限；根据实体的权限判断是否允许其对该网络资源的访问。

2.分级跨域的动态权限属性协同映射方法，其特征在于：通过以下步骤实现：

步骤1：当注册域LA的访问请求实体 q 通过网络向系统提出对另一个域LB的资源o 的访问请求；

步骤2：注册域LA得到访问请求并对实体q进行认证，确定实体q的角色r；

步骤3：注册域LA根据角色r确定实体在注册域的权限LAP；

步骤4：注册域认证中心将LAP发送到访问域认证中心；

步骤5：访问域认证中心根据权限映射表对权限进行动态映射，确定LA的实体在LB所具有的权限LBP，取两个权限的交集，即P=LAP×LBP；

步骤6:访问域认证中心将P封装后返还注册域认证中心，完成动态权限属性协同映射；

至此，经过步骤1到步骤6，完成了分级跨域的动态权限属性协同映射方法。

Images