CN109257375A - 一种基于信任锚系统的互联网接入认证系统及方法 - Google Patents

一种基于信任锚系统的互联网接入认证系统及方法 Download PDF

Info

Publication number
CN109257375A
CN109257375A CN201811292672.9A CN201811292672A CN109257375A CN 109257375 A CN109257375 A CN 109257375A CN 201811292672 A CN201811292672 A CN 201811292672A CN 109257375 A CN109257375 A CN 109257375A
Authority
CN
China
Prior art keywords
security gateway
server
trust
identity information
local
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201811292672.9A
Other languages
English (en)
Other versions
CN109257375B (zh
Inventor
蒋文保
史博轩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Information Science and Technology University
Original Assignee
Beijing Information Science and Technology University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Information Science and Technology University filed Critical Beijing Information Science and Technology University
Priority to CN201811292672.9A priority Critical patent/CN109257375B/zh
Publication of CN109257375A publication Critical patent/CN109257375A/zh
Application granted granted Critical
Publication of CN109257375B publication Critical patent/CN109257375B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种基于信任锚系统的互联网接入认证系统及方法，以解决现有互联网领域缺乏通用的可信接入认证体系的技术问题。系统包括安全网关，安全网关设置在独立网络环境中，安全网关用于在信任锚系统中获取独立网络环境间的连接请求的身份信息，根据连接请求的身份信息形成身份认证，根据身份认证建立连接请求的网络连接；其中信任锚系统中包括独立网络环境中网元设备的标识和/或公钥。利用信任锚系统实现通用的可信接入认证架构，提升互联网范围内整体的接入可靠性和稳定性。使得独立网络环境内的网元设备可以根据信任锚系统的覆盖规模和范围获得全网统一的分布式、多层次、电信级、跨网络域的互联网可信接入认证机制。

Description

一种基于信任锚系统的互联网接入认证系统及方法
技术领域
本发明涉及数据安全连接技术领域，具体涉及一种基于信任锚系统的互联网接入认证系统及方法。
背景技术
现有技术中的可信连接架构(TCA)规定了具有可信平台控制模块(TPCM) 的终端接入网络的可信网络连接，通过访问请求者(AR)、访问控制器(AC) 和策略管理器(PM)的三元对等实体鉴别实现双向用户身份鉴别和平台鉴别。 AR和AC都具有TPCM，AR请求访问受保护网络，AC控制AR对受保护网络的访问，PM对AR和AC进行集中管理。AR和AC基于PM来实现AR和 AC之间的双向用户身份鉴别和平台鉴别，其中平台鉴别包括平台身份鉴别和平台完整性鉴别，PM在用户身份鉴别和平台鉴别过程中充当可信第三方。
现有技术中可信连接架构依赖策略管理器，策略管理器往往由网络建立者设置和管理，使得可信连接架构应用具有局限性，仅能应用于企业内部网络或单一网络服务商(例如单一移动网络)，无法形成面向互联网的可信接入认证机制。
发明内容
鉴于上述问题，本发明实施例提供一种基于信任锚系统的互联网接入认证系统及方法，以解决现有互联网领域缺乏通用的可信接入认证体系的技术问题。
本发明实施例的基于信任锚系统的互联网接入认证系统，包括安全网关，所述安全网关设置在独立网络环境中，所述安全网关用于在信任锚系统中获取所述独立网络环境间的连接请求的身份信息，根据所述连接请求的身份信息形成身份认证，根据所述身份认证建立所述连接请求的网络连接；
其中所述信任锚系统中包括所述独立网络环境中网元设备的标识和/或公钥。
在本发明一实施例中，所述安全网关包括第一安全网关和第二安全网关，在第一个独立网络环境中包括所述第一安全网关、第一本地服务器和第一本地终端，还包括一个本地信任服务器，所述本地信任服务器、所述第一本地服务器和所述第一本地终端与所述第一安全网关建立数据连接，所述第一安全网关与其他网络按需建立数据连接；
在第二个独立网络环境中包括所述第二安全网关、第二本地服务器和第二本地终端，还包括一个本地信任服务器，所述本地信任服务器、所述第二本地服务器和所述第二本地终端与所述第二安全网关建立数据连接，所述第二安全网关与其他网络按需建立数据连接；
所述本地信任服务器用于接收对应安全网关的认证请求发起信任锚系统中的身份信息的查询过程。
在本发明一实施例中，所述安全网关还包括网际安全网关，在网际服务网络环境中包括所述网际安全网关和至少一个网际服务器，还包括一个本地信任服务器。所述网际服务器和所述本地信任服务器与所述网际安全网关建立数据连接，所述网际安全网关与其他网络建立按需数据连接。
在本发明一实施例中，所述安全网关与对应的所述本地信任服务器集成设置。
在本发明一实施例中，所述信任锚系统包括根信任服务器、顶级信任服务器、权限信任服务器和所述本地信任服务器，所述根信任服务器至少包括一个所述顶级信任服务器，所述顶级信任服务器包括至少一个所述权限信任服务器，所述权限信任服务器至少包括一个所述本地信任服务器140，其中：
所述根信任服务器，用于存储全部顶级信任服务器的标识、地址和公钥信息，以及用于签发证书；
所述顶级信任服务器，用于存储自身的公钥信息，并存储与其连接的权限信任服务器的标识、地址和公钥信息；
所述权限信任服务器，用于存储自身的公钥信息，并存储与对应安全网关连接的网元设备的标识、地址和公钥信息；
所述本地信任服务器，用于存储自身的公钥信息，并存储期限内查询或使用的网元设备的标识、地址和公钥信息。
本发明实施例的基于信任锚系统的互联网接入认证方法，包括：
在独立网络环境中设置安全网关；
所述安全网关完成以下验证过程：
在信任锚系统中获取所述独立网络环境间的连接请求的身份信息，根据所述连接请求的身份信息形成身份认证，根据所述身份认证建立所述连接请求的网络连接。
在本发明一实施例中，所述验证过程包括：
第一安全网关向第二安全网关发出包含自身身份信息的连接请求；
所述第二安全网关通过所述信任锚系统获取所述第一安全网关的真实身份信息；
所述第二安全网关对比所述第一安全网关的所述自身身份信息和所述真实身份信息，身份信息验证通过后接受来自所述第一安全网关的所述连接请求。
在本发明一实施例中，所述验证过程包括：
第一本地终端向网际服务器发出包含自身身份信息的连接请求；
网际安全网关通过所述信任锚系统获取所述第一本地终端的真实身份信息；
所述网际安全网关对比所述第一本地终端的所述自身身份信息和所述真实身份信息，身份信息验证通过后接受来自所述第一本地终端的所述连接请求，建立所述第一本地终端通过所述网际安全网关至所述网际服务器的所述网络连接。
在本发明一实施例中，所述验证过程包括：
第一本地终端向第一安全网关发出包含自身身份信息的连接第二本地终端的连接请求；
所述第一安全网关获取所述第一本地终端的所述连接请求并向第二安全网关发出附加自身身份信息的终端连接请求；
所述第二安全网关通过所述信任锚系统获取所述第一安全网关的真实身份信息；
所述第二安全网关对比所述第一安全网关的自身身份信息和真实身份信息，身份信息验证通过后接受来自所述第一安全网关的终端连接请求；
所述第二安全网关根据所述终端连接请求中的所述连接请求建立所述第二安全网关至所述第二本地终端的网络连接。
在本发明一实施例中，所述验证过程包括：
所述连接请求的发起端通过连接响应获取所述连接请求的对端的自身身份信息；
所述连接请求的发起端通过所述信任锚系统获取所述连接请求的对端的真实身份信息；
所述连接请求的发起端对比所述连接请求的对端的自身身份信息和真实身份信息，身份信息验证通过后接受来自所述连接请求的对端连接请求。本发明实施例的基于信任锚系统的互联网接入认证系统及方法将网络请求的认证过程保留在独立网络环境中，使得网络服务商具有认证过程的控制权限，实现独立网络环境的可靠自治。同时利用信任锚系统获得广泛网元设备的真实身份信息用于身份认证验证，网际网络间的可靠接入可以实现通用的可信接入认证架构，提升互联网范围内整体的接入可靠性和稳定性。使得独立网络环境内的网元设备可以根据信任锚系统的覆盖规模和范围获得全网统一的分布式、多层次、电信级、跨网络域的互联网可信接入认证机制。
附图说明
图1所示为本发明一实施例基于信任锚系统的互联网接入认证系统的架构示意图。
图2所示为本发明一实施例基于信任锚系统的互联网接入认证方法流程图一。
图3所示为本发明一实施例基于信任锚系统的互联网接入认证方法流程图二。
图4所示为本发明一实施例基于信任锚系统的互联网接入认证方法流程图三。
图5所示为本发明一实施例基于信任锚系统的互联网接入认证方法中利用信任锚系统查询获取连接请求对端安全网关的身份信息的流程图一。
图6所示为本发明一实施例基于信任锚系统的互联网接入认证方法中利用信任锚系统查询获取连接请求对端安全网关的身份信息的流程图二。
具体实施方式
为使本发明的目的、技术方案及优点更加清楚、明白，以下结合附图及具体实施方式对本发明作进一步说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明基于信任锚系统的互联网接入认证系统，在独立网络环境中设置安全网关，用于在信任锚系统中获取独立网络环境(即独立网络域)间的连接请求的身份信息，根据连接请求的身份信息形成身份认证，根据身份认证建立连接请求的网络连接。其中信任锚系统中包括独立网络环境中网元设备的标识和/或公钥。标识和/或公钥作为对应网元设备的真实身份信息。
连接请求的身份信息包括连接请求两端网元设备的身份信息或者连接请求主要路由节点上网元设备的身份信息。
本领域技术人员可以理解安全网关还具有通用网关设备具有的标准功能例如协议转换和数据接入和输出、建立可靠网络间的数据连接等。
本发明基于信任锚系统的互联网接入认证系统利用信任锚系统的分级公钥注册机制将独立网络环境中的用户、端口、终端、服务器等网元设备的标识与对应网元设备的公钥绑定，利用信任锚系统构建网元设备的分级认证信息，利用安全网关发起网元设备在信任锚系统的认证过程。利用信任锚系统对网元设备的认证信息进行有效存储和管理，提高了连接请求的认证效率和双向可靠性，基于信任锚在互联网领域的普遍适用性，本发明基于信任锚系统的互联网接入认证系统使得满足可信连接架构的网间接入得以实现。
本发明一实施例基于信任锚系统的互联网接入认证系统的架构如图1 所示。在图1中，包括处于独立网络环境的第一局域网200、第二局域网300、网际服务网络400，其中：
第一局域网200中包括第一安全网关210、第一本地服务器220和第一本地终端230，还包括一个本地信任服务器140。本地信任服务器140、第一本地服务器220和第一本地终端230与第一安全网关210建立数据连接，第一安全网关210与其他网络按需建立数据连接。
第二局域网300中包括第二安全网关310、第二本地服务器320和第二本地终端330，还包括一个本地信任服务器140。本地信任服务器140、第二本地服务器320和第二本地终端330与第二安全网关310建立数据连接，第二安全网关310与其他网络按需建立数据连接。
网际服务网络400中包括网际安全网关410和至少一个网际服务器420，还包括一个本地信任服务器140。网际服务器420和本地信任服务器140与网际安全网关410建立数据连接，网际安全网关410与其他网络建立按需数据连接。
本地信任服务器140用于接收对应安全网关的认证请求发起信任锚系统中的身份信息的查询过程。
在本发明一实施例中，上述各安全网关与所在网络包括的本地信任服务器140集成设置。集成设置包括在单一网元设备上集成网管数据处理协议和认证查询协议。
上述各本地服务器和网际服务器分别用于向信任的终端提供确定的服务，上述各本地终端向上述各本地服务器和网际服务器按需请求服务连接。
还包括信任锚系统100，信任锚系统100包括根信任服务器110、顶级信任服务器120、权限信任服务器130和本地信任服务器140，根信任服务器110至少包括一个顶级信任服务器120，顶级信任服务器120包括至少一个权限信任服务器130，权限信任服务器130至少包括一个本地信任服务器 140。其中：
根信任服务器110，用于存储全部顶级信任服务器的标识(名称)、地址和公钥信息，以及用于签发证书。
顶级信任服务器120，用于存储自身的公钥信息，并存储与其连接的权限信任服务器的标识(名称)、地址和公钥信息。
权限信任服务器130，用于存储自身的公钥信息，并存储与对应安全网关连接的网元设备的标识、地址和公钥信息。
本地信任服务器140，用于存储自身的公钥信息，并存储期限(即一个固定时段内或符合一个策略的时间周期)内查询或使用的网元设备的标识 (名称)、地址和公钥信息。
根信任服务器110、顶级信任服务器120、权限信任服务器130和本地信任服务器140顺序形成逐级向下的数据连接，本地信任服务器140、权限信任服务器130、顶级信任服务器120和根信任服务器110形成顺序的信任路径。
在本发明一实施例中，顶级信任服务器120、权限信任服务器130和本地信任服务器140的数量根据联网网络及网络规模变化。
本发明实施例的基于信任锚系统的互联网接入认证系统提供了信任锚系统与各独立网络环境相结合的基本结构，利用信任锚系统的完整信任路径结构分布式存储独立网络环境内各网元设备的认证身份信息，使得独立网络环境内的网元设备可以根据信任锚系统的覆盖规模和范围获得全网统一的分布式、多层次、电信级、跨网络域的互联网可信接入认证机制。
本发明一实施例的基于信任锚系统的互联网接入认证方法包括：
在独立网络环境中设置安全网关，通过安全网关在信任锚系统中获取独立网络环境间的连接请求的身份信息，根据连接请求的身份信息形成身份认证，根据身份认证建立连接请求的网络连接。
本发明实施例的基于信任锚系统的互联网接入认证方法将网络请求的认证过程保留在独立网络环境中，使得网络服务商具有认证过程的控制权限，实现独立网络环境的可靠自治。同时利用信任锚系统获得广泛网元设备的真实身份信息用于身份认证验证，网际网络间的可靠接入可以实现通用的可信接入认证架构，提升互联网范围内整体的接入可靠性和稳定性。
本发明一实施例的基于信任锚系统的互联网接入认证方法如图2所示。在图2中，利用本发明实施例的基于信任锚系统的互联网接入认证系统完成两个独立网络环境网关间的安全接入认证过程包括：
步骤510：第一安全网关210(发起端)向第二安全网关310(对端) 发出包含自身身份信息的连接请求。
步骤520：第二安全网关310通过信任锚系统获取第一安全网关210的真实身份信息。
步骤530：第二安全网关310对比第一安全网关210的自身身份信息和真实身份信息，身份信息验证通过后接受来自第一安全网关210的连接请求。
在本发明一实施例中，上述安全接入认证过程还包括：
步骤540：第一安全网关210获取第二安全网关310反馈的包含自身身份信息的连接响应。
步骤550：第一安全网关210通过信任锚系统获取第二安全网关310的真实身份信息。
步骤560：第一安全网关210对比第二安全网关310的自身身份信息和真实身份信息，身份信息验证通过后接受来自第二安全网关310的连接请求。
在本发明一实施例中，上述网关间的安全接入认证过程也适用于第一安全网关210与网际安全网关410的安全接入认证。
本发明实施例的基于信任锚系统的互联网接入认证方法利用信任锚系统获取连接请求两端的身份认证信息，利用不同的验证方向获得网关间数据连接的方向控制，进一步提升了统一可信接入的安全性和可控性。
本发明一实施例的基于信任锚系统的互联网接入认证方法如图3所示。在图3中，利用本发明实施例的基于信任锚系统的互联网接入认证系统完成两个独立网络环境中的终端与网关间的安全接入认证过程包括：
步骤610：第一本地终端230(发起端)向网际服务器420(对端)发出包含自身身份信息的连接请求。
步骤620：网际安全网关410通过信任锚系统获取第一本地终端230的真实身份信息。
步骤630：网际安全网关410对比第一本地终端230的自身身份信息和真实身份信息，身份信息验证通过后接受来自第一本地终端230的连接请求，建立第一本地终端230通过网际安全网关410至相应网际服务器420的网络连接。
在本发明一实施例中，上述安全接入认证过程还包括：
步骤640：第一本地终端230获取网际安全网关410反馈的包含自身身份信息的连接响应。
步骤650：第一本地终端230通过信任锚系统获取网际安全网关410的真实身份信息。
步骤660：第一本地终端230对比网际安全网关410的自身身份信息和真实身份信息，身份信息验证通过后接受来自网际安全网关410的连接请求。
在本发明一实施例中，上述终端与网关间的安全接入认证过程也适用于第一本地终端230与第二本地服务器320的安全接入认证。
本发明实施例的基于信任锚系统的互联网接入认证方法通过安全网关利用信任锚系统获取连接请求两端网络的身份认证信息，利用不同的验证方向获得网关间数据连接的方向控制，进一步提升了统一可信接入的安全性和可控性。
本发明一实施例的基于信任锚系统的互联网接入认证方法如图4所示。在图4中，利用本发明实施例的基于信任锚系统的互联网接入认证系统完成两个独立网络环境中的终端间的安全接入认证过程包括：
步骤710：第一本地终端230向第一安全网关210发出包含自身身份信息的连接第二本地终端330的连接请求。
步骤720：第一安全网关210(发起端)获取第一本地终端230的连接请求并向第二安全网关310(对端)发出附加自身身份信息的终端连接请求。
步骤730：第二安全网关310通过信任锚系统获取第一安全网关210的真实身份信息。
步骤740：第二安全网关310对比第一安全网关210的自身身份信息和真实身份信息，身份信息验证通过后接受来自第一安全网关210的终端连接请求。
步骤750：第二安全网关310根据终端连接请求中的连接请求建立第二安全网关310至第二本地终端330的网络连接。
在本发明一实施例中，上述安全接入认证过程还包括：
步骤760：第一安全网关210获取第二安全网关310反馈的包含自身身份信息的连接响应。
步骤770：第一安全网关210通过信任锚系统获取第二安全网关310的真实身份信息。
步骤780：第一安全网关210对比第二安全网关310的自身身份信息和真实身份信息，身份信息验证通过后接受来自第二安全网关310的连接请求。
本发明实施例的基于信任锚系统的互联网接入认证方法利用信任锚系统获取连接请求两端的身份认证信息，利用不同的验证方向获得两个独立网络环境中的终端间数据连接的方向控制，进一步提升了统一可信接入的安全性和可控性，在保证接入安全性的基础上克服独立网络环境中地址分配局限性，满足终端间交互的灵活性。
本发明一实施例的基于信任锚系统的互联网接入认证方法中通过信任锚系统进行连接请求的发起端安全网关的身份信息的一种查询获取方法如图5所示。在图5中，采用递归迭代的查询方式，查询过程包括：
步骤810：第二安全网关310在连接的本地信任服务器140上尝试查询获取第一安全网关210的身份信息。
对于在一定有效时限内访问过的其他网元设备，在本地信任服务器140 会缓存对应网元设备的身份信息。
步骤820：第二安全网关310通过连接的本地信任服务器140向根信任服务器110查询第一安全网关210的标识信息。
没有查询到第一安全网关210的身份信息时连接的本地信任服务器140 终止查询并返回未获得信息。
步骤830：当在根信任服务器110获取第一安全网关210的标识信息时，返回第一安全网关210标识信息所属顶级信任服务器120连接地址。
步骤840：连接的本地信任服务器140根据顶级信任服务器120连接地址访问顶级信任服务器120，查询第一安全网关210的标识信息。
没有查询到第一安全网关210的标识信息时连接的本地信任服务器140 终止查询并返回未获得信息。
步骤850：当在顶级信任服务器120获取第一安全网关210的标识信息时，返回第一安全网关210标识信息所属权限信任服务器130连接地址。
没有查询到第一安全网关210的标识信息时连接的本地信任服务器140 终止查询并返回未获得信息。
步骤860：连接的本地信任服务器140根据所属权限信任服务器130连接地址访问权限信任服务器130，查询第一安全网关210的标识信息。
没有查询到第一安全网关210的标识信息时连接的本地信任服务器140 终止查询并返回未获得信息。
步骤870：当在权限信任服务器130获取第一安全网关210的标识信息时，返回第一安全网关210身份信息。
步骤880：连接的本地信任服务器140向第二安全网关310反馈第一安全网关210的身份信息。
在本发明一实施例中，网元设备的(身份)标识(ID)的名字结构示例如下：
www.bistu.edu.cn
根信任服务器上存储的数据示例：
编号 名字 地址信息
1 cn addr1
2 org addr2
3 com add3
4 gov addr4
5 net addr5
…… …… ……
Cn下的顶级信任服务器上存储的数据示例：
编号 名字 地址信息
1 com.cn addr1
2 org.cn addr2
3 gov.cn addr3
4 net.cn addr4
5 edu.cn addr5
…… …… ……
Edu.cn下的权限信任服务器上存储的数据示例：
编号 名字 地址信息 公钥
1 bistu.edu.cn addr1 Public Key 1
2 bjut.edu.cn addr2 Public Key 2
3 njtu.edu.cn addr3 Public Key 3
4 pku.edu.cn addr4 Public Key 4
5 tsinghua.edu.cn addr5 Public Key 5
…… …… …… ……
本发明一实施例的基于信任锚系统的互联网接入认证方法中通过信任锚系统进行连接请求的对端安全网关的身份信息的另一种查询获取方法如图6所示。在图6中，采用树形检索的查询方式，查询过程包括：
步骤910：第二安全网关310在连接的本地信任服务器140上尝试查询获取第一安全网关210的身份信息。
对于在一定有效时限内访问过的其他网元设备，在本地信任服务器140 会缓存对应网元设备的身份信息。
步骤920：当在连接的本地信任服务器140没有查询到第一安全网关210 的身份信息时，第二安全网关310通过连接的本地信任服务器140向所属权限信任服务器130查询第一安全网关210的标识信息。
若在所属权限信任服务器130上查询到第一安全网关210的标识信息则向连接的本地信任服务器140返回查询获取的第一安全网关210的身份信息。
步骤930：当在所属权限信任服务器130未获取第一安全网关210的标识信息时，继续向所属顶级信任服务器120请求查询第一安全网关210的标识信息。
若在所属顶级信任服务器120上查询到第一安全网关210的标识信息则通过所属权限信任服务器130向连接的本地信任服务器140返回查询获取的第一安全网关210的身份信息。
步骤940：当在所属顶级信任服务器120未获取第一安全网关210的标识信息时，继续向根信任服务器110请求查询第一安全网关210的标识信息。
步骤950：当在根信任服务器110未获取第一安全网关210的标识信息时，通过根信任服务器110向第一安全网关210隶属顶级信任服务器120请求查询第一安全网关210的标识信息。
若在根信任服务器110上查询到第一安全网关210的标识信息则通过所属顶级信任服务器120-所属权限信任服务器130向连接的本地信任服务器 140返回查询获取的第一安全网关210的身份信息。
步骤960：当在第一安全网关210的隶属顶级信任服务器120上未获取第一安全网关210的标识信息时，通过隶属顶级信任服务器120向第一安全网关210的隶属权限信任服务器130请求查询第一安全网关210的标识信息。
若在隶属顶级信任服务器120上查询到第一安全网关210的标识信息则通过根信任服务器110-所属顶级信任服务器120-所属权限信任服务器130 向连接的本地信任服务器140返回查询获取的第一安全网关210的身份信息。
步骤970：当在隶属权限信任服务器130上未获取第一安全网关210的标识信息时，通过隶属权限信任服务器130向第一安全网关210的隶属本地信任服务器140请求查询第一安全网关210的标识信息。
步骤980：将查询获取第一安全网关210的身份信息经过信任路径反馈第二安全网关310连接的本地信任服务器140。
若在隶属本地信任服务器140未查询到第一安全网关210的标识信息则通过信任路径向第二安全网关310连接的本地信任服务器140返回第一安全网关210的身份信息未获得信息。
信任路径节点包括第一安全网关210的所属权限信任服务器130、所属顶级信任服务器120、根信任服务器110、第二安全网关310的隶属顶级信任服务器120、隶属权限信任服务器130和隶属本地信任服务器140。
步骤985：连接的本地信任服务器140将第一安全网关210的身份信息反馈第二安全网关310。
根信任服务器上存储的数据示例：
编号 顶级服务器名字 顶级服务器地址信息 顶级服务器公钥
1 B1 addr1 Public Key 1
2 B2 addr2 Public Key 2
3 E1 Addr3 Public Key 3
4 … … …
编号 根服务器名字 根服务器公钥
1 A Public Key 1
2 X Public Key 2
3 Y Public Key 3
4 Z Public Key4
5 … …
顶级信任服务器上存储的数据示例(顶级服务器上还存储自身公钥)：
编号 权限服务器名字 权限服务器地址信息 权限服务器公钥
1 C1 addr1 Public Key 1
2 C2 addr2 Public Key 2
3 … … …
权限信任服务器上存储的数据示例(权限服务器还存储自身公钥)：
编号 终端实体名字 终端实体地址信息 终端实体公钥
1 D1 addr1 Public Key 1
2 D2 addr2 Public Key 2
3 …… …… …
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (10)

1.一种基于信任锚系统的互联网接入认证系统，其特征在于，包括安全网关，所述安全网关设置在独立网络环境中，所述安全网关用于在信任锚系统中获取所述独立网络环境间的连接请求的身份信息，根据所述连接请求的身份信息形成身份认证，根据所述身份认证建立所述连接请求的网络连接；
其中所述信任锚系统中包括所述独立网络环境中网元设备的标识和/或公钥。
2.如权利要求1所述的基于信任锚系统的互联网接入认证系统，其特征在于，所述安全网关包括第一安全网关和第二安全网关，在第一个独立网络环境中包括所述第一安全网关、第一本地服务器和第一本地终端，还包括一个本地信任服务器，所述本地信任服务器、所述第一本地服务器和所述第一本地终端与所述第一安全网关建立数据连接，所述第一安全网关与其他网络按需建立数据连接；
在第二个独立网络环境中包括所述第二安全网关、第二本地服务器和第二本地终端，还包括一个本地信任服务器，所述本地信任服务器、所述第二本地服务器和所述第二本地终端与所述第二安全网关建立数据连接，所述第二安全网关与其他网络按需建立数据连接；
所述本地信任服务器用于接收对应安全网关的认证请求发起信任锚系统中的身份信息的查询过程。
3.如权利要求2所述的基于信任锚系统的互联网接入认证系统，其特征在于，所述安全网关还包括网际安全网关，在网际服务网络环境中包括所述网际安全网关和至少一个网际服务器，还包括一个本地信任服务器。所述网际服务器和所述本地信任服务器与所述网际安全网关建立数据连接，所述网际安全网关与其他网络建立按需数据连接。
4.如权利要求2或3所述的基于信任锚系统的互联网接入认证系统，其特征在于，所述安全网关与对应的所述本地信任服务器集成设置。
5.如权利要求2所述的基于信任锚系统的互联网接入认证系统，其特征在于，所述信任锚系统包括根信任服务器、顶级信任服务器、权限信任服务器和所述本地信任服务器，所述根信任服务器至少包括一个所述顶级信任服务器，所述顶级信任服务器包括至少一个所述权限信任服务器，所述权限信任服务器至少包括一个所述本地信任服务器140，其中：
所述根信任服务器，用于存储全部顶级信任服务器的标识、地址和公钥信息，以及用于签发证书；
所述顶级信任服务器，用于存储自身的公钥信息，并存储与其连接的权限信任服务器的标识、地址和公钥信息；
所述权限信任服务器，用于存储自身的公钥信息，并存储与对应安全网关连接的网元设备的标识、地址和公钥信息；
所述本地信任服务器，用于存储自身的公钥信息，并存储期限内查询或使用的网元设备的标识、地址和公钥信息。
6.一种基于信任锚系统的互联网接入认证方法，包括：
在独立网络环境中设置安全网关；
所述安全网关完成以下验证过程：
在信任锚系统中获取所述独立网络环境间的连接请求的身份信息，根据所述连接请求的身份信息形成身份认证，根据所述身份认证建立所述连接请求的网络连接。
7.如权利要求6所述的基于信任锚系统的互联网接入认证方法，其特征在于：所述验证过程包括：
第一安全网关向第二安全网关发出包含自身身份信息的连接请求；
所述第二安全网关通过所述信任锚系统获取所述第一安全网关的真实身份信息；
所述第二安全网关对比所述第一安全网关的所述自身身份信息和所述真实身份信息，身份信息验证通过后接受来自所述第一安全网关的所述连接请求。
8.如权利要求6所述的基于信任锚系统的互联网接入认证方法，其特征在于：所述验证过程包括：
第一本地终端向网际服务器发出包含自身身份信息的连接请求；
网际安全网关通过所述信任锚系统获取所述第一本地终端的真实身份信息；
所述网际安全网关对比所述第一本地终端的所述自身身份信息和所述真实身份信息，身份信息验证通过后接受来自所述第一本地终端的所述连接请求，建立所述第一本地终端通过所述网际安全网关至所述网际服务器的所述网络连接。
9.如权利要求6所述的基于信任锚系统的互联网接入认证方法，其特征在于：所述验证过程包括：
第一本地终端向第一安全网关发出包含自身身份信息的连接第二本地终端的连接请求；
所述第一安全网关获取所述第一本地终端的所述连接请求并向第二安全网关发出附加自身身份信息的终端连接请求；
所述第二安全网关通过所述信任锚系统获取所述第一安全网关的真实身份信息；
所述第二安全网关对比所述第一安全网关的自身身份信息和真实身份信息，身份信息验证通过后接受来自所述第一安全网关的终端连接请求；
所述第二安全网关根据所述终端连接请求中的所述连接请求建立所述第二安全网关至所述第二本地终端的网络连接。
10.如权利要求6所述的基于信任锚系统的互联网接入认证方法，其特征在于：所述验证过程包括：
所述连接请求的发起端通过连接响应获取所述连接请求的对端的自身身份信息；
所述连接请求的发起端通过所述信任锚系统获取所述连接请求的对端的真实身份信息；
所述连接请求的发起端对比所述连接请求的对端的自身身份信息和真实身份信息，身份信息验证通过后接受来自所述连接请求的对端连接请求。
CN201811292672.9A 2018-11-01 2018-11-01 一种基于信任锚系统的互联网接入认证系统及方法 Active CN109257375B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811292672.9A CN109257375B (zh) 2018-11-01 2018-11-01 一种基于信任锚系统的互联网接入认证系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811292672.9A CN109257375B (zh) 2018-11-01 2018-11-01 一种基于信任锚系统的互联网接入认证系统及方法

Publications (2)

Publication Number Publication Date
CN109257375A true CN109257375A (zh) 2019-01-22
CN109257375B CN109257375B (zh) 2021-12-28

Family

ID=65044559

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811292672.9A Active CN109257375B (zh) 2018-11-01 2018-11-01 一种基于信任锚系统的互联网接入认证系统及方法

Country Status (1)

Country Link
CN (1) CN109257375B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114172739A (zh) * 2021-12-14 2022-03-11 杭州数梦工场科技有限公司 网关通信方法、装置、电子设备及存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103188228A (zh) * 2011-12-29 2013-07-03 中兴通讯股份有限公司 一种实现端到端安全防护的方法、安全网关及系统
CN103281305A (zh) * 2013-05-02 2013-09-04 四川慧龙科技有限责任公司 基于安全网关的智慧城市系统的接入控制方法
CN103327020A (zh) * 2013-06-19 2013-09-25 国家电网公司 一种基于区域划分的安全接入方法和系统
CN104113415A (zh) * 2014-06-16 2014-10-22 国家电网公司 一种用于电力系统调试控制的远动无线通道系统
US20160301695A1 (en) * 2015-04-07 2016-10-13 Tyco Fire & Security Gmbh Machine-to-Machine and Machine to Cloud End-to-End Authentication and Security
CN106301792A (zh) * 2016-08-31 2017-01-04 江苏通付盾科技有限公司 基于区块链的ca认证管理方法、装置及系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103188228A (zh) * 2011-12-29 2013-07-03 中兴通讯股份有限公司 一种实现端到端安全防护的方法、安全网关及系统
CN103281305A (zh) * 2013-05-02 2013-09-04 四川慧龙科技有限责任公司 基于安全网关的智慧城市系统的接入控制方法
CN103327020A (zh) * 2013-06-19 2013-09-25 国家电网公司 一种基于区域划分的安全接入方法和系统
CN104113415A (zh) * 2014-06-16 2014-10-22 国家电网公司 一种用于电力系统调试控制的远动无线通道系统
US20160301695A1 (en) * 2015-04-07 2016-10-13 Tyco Fire & Security Gmbh Machine-to-Machine and Machine to Cloud End-to-End Authentication and Security
CN106301792A (zh) * 2016-08-31 2017-01-04 江苏通付盾科技有限公司 基于区块链的ca认证管理方法、装置及系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114172739A (zh) * 2021-12-14 2022-03-11 杭州数梦工场科技有限公司 网关通信方法、装置、电子设备及存储介质
CN114172739B (zh) * 2021-12-14 2024-01-26 杭州数梦工场科技有限公司 网关通信方法、装置、电子设备及存储介质

Also Published As

Publication number Publication date
CN109257375B (zh) 2021-12-28

Similar Documents

Publication Publication Date Title
US20240129290A1 (en) Authenticated name resolution
Liu et al. Capability-based IoT access control using blockchain
CN108306887B (zh) 基于区块链的物联网安全与数据隐私保护系统
US8719899B2 (en) Seamless cross-site user authentication status detection and automatic login
US9197639B2 (en) Method for sharing data of device in M2M communication and system therefor
US9667654B2 (en) Policy directed security-centric model driven architecture to secure client and cloud hosted web service enabled processes
CN103201999B (zh) 请求路由选择处理
US20100125894A1 (en) Systems, methods and computer program products that facilitate remote access of devices in a subscriber network
US6691232B1 (en) Security architecture with environment sensitive credential sufficiency evaluation
US6668322B1 (en) Access management system and method employing secure credentials
CN101626369B (zh) 一种单点登录方法、设备及系统
US20060070114A1 (en) Log-on service providing credential level change without loss of session continuity
CA2514004A1 (en) System and method for controlling network access
CN101404643B (zh) 基于ipsec技术实现无线单点登录系统及其运行方法
CN105117657A (zh) 一种基于智慧服务的开放式授权接入的设计方法和系统
CN101707594A (zh) 基于单点登录的网格认证信任模型
JP2002508121A (ja) 通信システムに関する方法および装置
CN106341428A (zh) 一种跨域访问控制方法和系统
BR112016000122B1 (pt) Método e sistema relacionados à autenticação de usuário para acessar redes de dados
WO2020034700A1 (zh) 云的开户、认证及访问方法和设备
CN109274579A (zh) 一种基于微信平台的多应用用户统一认证方法
CN109257375A (zh) 一种基于信任锚系统的互联网接入认证系统及方法
Fernandez et al. Remote authenticator/authorizer
CN112654987A (zh) 用于证明分布服务的方法和设备
Taylor et al. Implementing role based access control for federated information systems on the web

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant