CN110061987B - 一种基于角色和终端可信性的接入访问控制方法及装置 - Google Patents

一种基于角色和终端可信性的接入访问控制方法及装置 Download PDF

Info

Publication number
CN110061987B
CN110061987B CN201910318590.5A CN201910318590A CN110061987B CN 110061987 B CN110061987 B CN 110061987B CN 201910318590 A CN201910318590 A CN 201910318590A CN 110061987 B CN110061987 B CN 110061987B
Authority
CN
China
Prior art keywords
terminal
information
user
score
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910318590.5A
Other languages
English (en)
Other versions
CN110061987A (zh
Inventor
赵波
朱晓南
黎佳玥
李想
金泽浩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Wuhan University WHU
Original Assignee
Wuhan University WHU
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Wuhan University WHU filed Critical Wuhan University WHU
Priority to CN201910318590.5A priority Critical patent/CN110061987B/zh
Publication of CN110061987A publication Critical patent/CN110061987A/zh
Application granted granted Critical
Publication of CN110061987B publication Critical patent/CN110061987B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于角色和终端可信性的接入访问控制方法及装置，其中的接入访问控制方法包括：使用TPM构建终端可信执行环境，进而对终端接入时的环境安全状态进行计算，判断终端安全等级，同时将内部网络访问控制权限与用户角色和终端安全等级相关联，从而实现访问控制。本发明能有效保障内网接入终端自身的安全性和内网访问控制权限分配的安全性，能够根据用户角色和接入终端当前的安全等级调整用户权限，具有安全性高、授权管理便捷、可以根据工作需要灵活调整终端度量内容、容易实现的优点。

Description

一种基于角色和终端可信性的接入访问控制方法及装置
技术领域
本发明涉及信息安全技术领域，具体涉及一种基于角色和终端可信性的接入访问控制方法及装置。
背景技术
终端是用户访问内网资源载体，也是内网信息泄露的主要渠道。目前终端常用的操作系统变得越来越庞大，各种安全漏洞不可避免，所以建立在操作系统之上的各种安全防护技术(如病毒检测、木马查杀、网络防火墙和入侵监测等)不能从根本上解决问题。系统平台的可信(即平台的行为是按照预定的方式执行)，在很大程度上依赖于计算平台的完整性，因此，要从根本上保证终端自身执行环境的安全，首先要考虑的是终端系统的完整性不能遭到破坏。
现有技术中，终端接入内网时，对其缺乏特定的身份识别机制，只需一根网线或者在局域网AP信号覆盖的范围之内，即可连入内部网络获取文件资料。
本申请发明人在实施本发明的过程中，发现现有技术的方法，至少存在如下技术问题：
访问控制的目的是为了限制访问主体(用户、进程、服务等)对访问客体(文件、系统等)的访问权限，从而使得计算机应用系统能够在合法范围内使用，当前的访问控制策略无法解决合法用户终端存在安全漏洞或被入侵而产生的非法操作，对数据造成非授权访问等安全问题。
由此可知，现有技术中的方法存在安全性不高的技术问题。
发明内容
有鉴于此，本发明提供了一种基于角色和终端可信性的接入访问控制方法及装置，用以解决或者至少部分解决现有技术中的方法存在的安全性不高的技术问题。
本发明第一方面提供了一种基于角色和终端可信性的接入访问控制方法，包括：
步骤S1：接收用户通过终端发送的接入请求，其中，接入请求中包含用户的身份信息，终端通过TPM预先构建终端可信执行环境；
步骤S2：对用户的身份信息进行验证，验证通过后，通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，其中，安全信息包括系统危险性信息和软件更新时间信息；
步骤S3：根据终端采集的系统关键文件度量值信息与预先构建的可信执行环境进行匹配，若匹配通过，则执行环境可信；
步骤S4：根据身份信息、执行环境可信性情况、系统危险性信息以及软件更新时间信息，确定终端的安全等级，
步骤S5：根据终端的安全等级判断对应的终端是否准许接入，当终端的安全等级高于预设等级时，判定终端允许接入；
步骤S6：获取用户身份信息，并将获取的用户身份信息与预先构建的用户-角色数据库进行对比，获取用户角色信息；
步骤S7：根据用户角色信息和终端的安全等级，确定用户对资源对象的访问权限。
在一种实施方式中，步骤S1中终端通过TPM预先构建终端可信执行环境，包括：
通过TPM采集终端的系统关键文件度量值；
对比采集的系统关键文件度量值与TPM内部PCR值是否一致；
若一致，认为终端执行环境可信，保存第一对比结果；若不一致，认为终端执行环境不可信，保存第二对比结果。
在一种实施方式中，步骤S2中通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，具体包括：
通过TPM采集终端的CPU序列号、内存序列号、主板序列号和物理地址，将其作为终端的身份信息，并散列所采集的身份信息，获取终端唯一身份标识；
采集系统安全软件病毒扫描日志信息；
采集系统安全软件更新日志信息。
在一种实施方式中，步骤S4具体包括：
根据执行环境可信性情况确定终端安全的得分，根据系统危险性信息确定系统危险项的得分，根据软件更新时间信息确定软件更新项的得分；
根据预设满分、终端安全的得分、系统危险项的得分、软件更新项的得分以及对应的预设权重，获得安全性分数；
根据安全性分数和终端的身份信息，确定终端的安全等级。
在一种实施方式中，安全性分数的计算具体包括：
C＝100-w1×c1-w2×c2-…-wn×Cn
其中，终端安全积分C计算采用评分制，预设满分为100分，ci表示系统度量危险项分数，为影响系统安全性的因素，wi表示危险项分数所占权重。
在一种实施方式中，步骤S7具体包括：
获取用户角色与对应终端的安全等级；
对比预先构建的资源权限数据库，根据用户角色与终端安全等级获取对应访问权限信息。
在一种实施方式中，当终端的安全等级低于预设等级时，判定终端不允许接入。
基于同样的发明构思，本发明第二方面提供了一种基于角色和终端可信性的接入访问控制装置，包括：
接入请求接收模块，用于接收用户通过终端发送的接入请求，其中，接入请求中包含用户的身份信息，终端通过TPM预先构建终端可信执行环境；
身份验证模块，用于对用户的身份信息进行验证，验证通过后，通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，其中，安全信息包括系统危险性信息和软件更新时间信息；
执行环境可信性判定模块，用于根据终端采集的系统关键文件度量值信息与预先构建的可信执行环境进行匹配，若匹配通过，则执行环境可信；
安全等级确定模块，用于根据身份信息、执行环境可信性情况、系统危险性信息以及软件更新时间信息，确定终端的安全等级，
接入判定模块，用于根据终端的安全等级判断对应的终端是否准许接入，当终端的安全等级高于预设等级时，判定终端允许接入；
用户角色获取模块，用于获取用户身份信息，并将获取的用户身份信息与预先构建的用户-角色数据库进行对比，获取用户角色信息；
访问权限确定模块，用于根据用户角色信息和终端的安全等级，确定用户对资源对象的访问权限。
基于同样的发明构思，本发明第三方面提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被执行时实现第一方面所述的方法。
基于同样的发明构思，本发明第四方面提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第一方面所述的方法。
本申请实施例中的上述一个或多个技术方案，至少具有如下一种或多种技术效果：
本发明提供的一种基于角色和终端可信性的接入访问控制方法，服务器首先接收用户通过终端发送的接入请求，并对用户的身份信息进行验证，验证通过后，通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息；接着根据终端采集的系统关键文件度量值信息与预先构建的可信执行环境进行匹配，若匹配通过，则执行环境可信；然后根据身份信息、执行环境可信性情况、系统危险性信息以及软件更新时间信息，确定终端的安全等级，接下来，根据终端的安全等级判断对应的终端是否准许接入，当终端的安全等级高于预设等级时，判定终端允许接入；再获取用户身份信息，并将获取的用户身份信息与预先构建的用户-角色数据库进行对比，获取用户角色信息；最后根据用户角色信息和终端的安全等级，确定用户对资源对象的访问权限。
相对于现有的方法而言，本发明使用TPM构建终端可信执行环境，在用户请求访问时，进行终端安全等级计算，判断是否满足最低接入等级，保证了接入终端的安全性，根据用户角色和终端接入安全等级分配资源权限，自定义终端度量信息，具有高扩展性和适应性，可以适用于内部网络环境。解决了现有技术中的方法存在的安全性不高的技术问题。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明一种基于角色和终端可信性的接入访问控制方法的流程图；
图2本发明实施例的终端可信执行环境构建方法流程图；
图3为本发明实施例的终端身份及安全信息采集流程图；
图4为一种具体示例中终端接入安全等级计算流程图；
图5为一种具体示例中接入访问控制方法的交互示意图；
图6为本发明实施例的基于角色和终端可信性的接入访问控制方法模型图；
图7为本发明实施例中一种基于角色和终端可信性的接入访问控制装置的结构框图；
图8为本发明实施例中计算机可读存储介质的结构图；
图9为本发明实施例中计算机设备的结构图。
具体实施方式
本申请发明人通过大量的实践发现：
现有技术中，终端接入内网时，对其缺乏特定的身份识别机制，只需一根网线或者在局域网AP信号覆盖的范围之内，即可连入内部网络获取文件资料。当前的访问控制策略无法解决合法用户终端存在安全漏洞或被入侵而产生的非法操作，对数据造成非授权访问等安全问题，并没有全面的考虑到终端安全状态与资源权限所存在的关联，相同用户使用安全性不同的终端，其对资源的访问权限应当不同。
通过设计基于角色和终端可信性的接入访问控制方法，能有效保障内网接入终端自身的安全性和内网访问控制权限分配的安全性，能够根据用户角色和接入终端当前的安全等级调整用户权限，具有安全性高、授权管理便捷、可以根据工作需要灵活调整终端度量内容、容易实现的优点。
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
实施例一
本实施例提供了一种基于角色和终端可信性的接入访问控制方法，应用于服务器，请参见图1，该方法包括：
步骤S1：接收用户通过终端发送的接入请求，其中，接入请求中包含用户的身份信息，终端通过TPM预先构建终端可信执行环境。
具体来说，TPM(Trusted Platform Module)安全芯片是指符合TPM(可信赖平台模块)标准的安全芯片，它可以有效地保护PC，防止非法用户访问。
步骤S2：对用户的身份信息进行验证，验证通过后，通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，其中，安全信息包括系统危险性信息和软件更新时间信息。
具体来说，服务器在接收用户发送的接入请求后，会对用户的身份信息进行验证。还会通过TPM采集终端的相关信息。
步骤S3：根据终端采集的系统关键文件度量值信息与预先构建的可信执行环境进行匹配，若匹配通过，则执行环境可信。
具体来说，本步骤主要用于判定执行环境是否可信。
步骤S4：根据身份信息、执行环境可信性情况、系统危险性信息以及软件更新时间信息，确定终端的安全等级。
具体来说，执行环境可信性情况、系统危险性信息以及软件更新时间信息即为本发明定义的终端度量信息，在其他实施方式中，可以进行扩展，例如可以包含采集何种安全软件日志，加入对防火墙日志等信息进行度量。然后综合上述度量信息，确定终端的安全等级。
步骤S5：根据终端的安全等级判断对应的终端是否准许接入，当终端的安全等级高于预设等级时，判定终端允许接入。
具体来说，预设等级可以预先设置，根据计算出的终端安全等级与预设等级的比较，从而判定是否允许接入。
步骤S6：获取用户身份信息，并将获取的用户身份信息与预先构建的用户-角色数据库进行对比，获取用户角色信息。
具体来说，用户-角色数据库中按照具体的应用环境划分角色，记录有用户与角色的对应关系。
步骤S7：根据用户角色信息和终端的安全等级，确定用户对资源对象的访问权限。
具体可以通过下述方式来实现：
获取用户角色与对应终端的安全等级；
对比预先构建的资源权限数据库，根据用户角色与终端安全等级获取对应访问权限信息。
具体来说，资源权限数据库可以根据具体的系统资源和所允许的操作划分权限，将权限与用户角色和终端安全等级绑定。请见图6，描述了访问控制模型中各实体关联关系。
在一种实施方式中，步骤S1中终端通过TPM预先构建终端可信执行环境，包括：
通过TPM采集终端的系统关键文件度量值；
对比采集的系统关键文件度量值与TPM内部PCR值是否一致；
若一致，认为终端执行环境可信，保存第一对比结果；若不一致，认为终端执行环境不可信，保存第二对比结果。
具体来说，请参见图2，示出了可信执行环境具体的构建流程。PCR为平台配置寄存器，PCR值为平台配置寄存器记录的度量值，这一系列度量值组成的序列反应了系统状态的变迁。当这个扩展序列中的某一个度量值被改变，之后的度量序列都会受到影响。
在一种实施方式中，步骤S2中通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，具体包括：
通过TPM采集终端的CPU序列号、内存序列号、主板序列号和物理地址，将其作为终端的身份信息，并散列所采集的身份信息，获取终端唯一身份标识；
采集系统安全软件病毒扫描日志信息；
采集系统安全软件更新日志信息。
具体来说，请参见图3，示出了终端身份及安全信息采集流程，安全软件病毒扫描日志信息即为系统危险性信息，系统安全软件更新日志信息即为软件更新时间信息。
在一种实施方式中，步骤S4具体包括：
根据执行环境可信性情况确定终端安全的得分，根据系统危险性信息确定系统危险项的得分，根据软件更新时间信息确定软件更新项的得分；
根据预设满分、终端安全的得分、系统危险项的得分、软件更新项的得分以及对应的预设权重，获得安全性分数；
根据安全性分数和终端的身份信息，确定终端的安全等级。
在一种实施方式中，安全性分数的计算具体包括：
C＝100-w1×c1-w2×c2-…-wn×cn
其中，终端安全积分C计算采用评分制，预设满分为100分，ci表示系统度量危险项分数，为影响系统安全性的因素，wi表示危险项分数所占权重。
在具体的实施过程中，安全等级的计算如图4所示。
(1)设置终端安全分数总分c为100分；
(2)根据终端安全信息采集结果，判断终端执行环境是否可信，执行环境可信，设置c1＝0；
(3)根据终端安全信息采集结果，提取扫描日志危险项数，设置c2＝1；
(4)根据终端安全信息采集结果，提取安全软件更新时间，设置c3＝0；
(5)计算终端安全分数
按照公式C＝100-w1×c1-w2×c2-…-wn×Cn，例如，设定关键文件结果、扫描日志结果更新日志结果三项影响权重值分别为w1＝50，w2＝10，w3＝20，计算得出C＝100-50×0-10×1-20×0＝90，即终端安全分数为90分。
终端安全等级可以由表1确定，其中，安全等级分为1～5级。根据对应的终端安全分数，确定对应的安全等级。例如，预设安全等级为3级时，则大于3级的终端允许接入。也就是说，接入安全等级表示终端接入所需的最低安全等级，从而保证安全性。
表1
终端安全等级 终端安全分数 说明
5 ＞90 终端安全
4 71-90 终端比较安全
3 61-70 终端存在风险
2 51-60 终端风险较大
1 ＜50 终端危险
(6)依照安全等级划分表，确定该终端安全等级为4级；
(7)终端安全等级4级高于接入安全等级2级，允许接入。
在一种实施方式中，本实施例提供的方法还包括：当终端的安全等级低于预设等级时，判定终端不允许接入。
其中，本发明实施例一具体阐述了服务器端的实施流程，在具体的应用过程中，接入访问控制方法包括用户、终端和服务器三端的交互。具体参加图5，其中，用户通过终端提出接入请求，终端构建可信执行环境，并采集终端的信息，通过服务器进行身份验证，服务器的执行流程包括：计算终端安全等级、判断是否允许接入、查询用户角色、查询用户对资源对象的访问权限、并向用户反馈授权结果信息。
总体来说，通过本发明的技术方案，使用TPM构建终端可信执行环境，在用户请求访问时，进行终端安全等级计算，判断是否满足最低接入等级，保证了接入终端的安全性，根据用户角色和终端接入安全等级分配资源权限，自定义终端度量信息，具有高扩展性和适应性，可以适用于内部网络环境。
基于同一发明构思，本申请还提供了一种与实施例一中基于角色和终端可信性的接入访问控制方法对应的装置，详见实施例二。
实施例二
本实施例提供了一种基于角色和终端可信性的接入访问控制装置，请参见图7，该装置为服务器，包括：
接入请求接收模块201，用于接收用户通过终端发送的接入请求，其中，接入请求中包含用户的身份信息，终端通过TPM预先构建终端可信执行环境；
身份验证模块202，用于对用户的身份信息进行验证，验证通过后，通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，其中，安全信息包括系统危险性信息和软件更新时间信息；
执行环境可信性判定模块203，用于根据终端采集的系统关键文件度量值信息与预先构建的可信执行环境进行匹配，若匹配通过，则执行环境可信；
安全等级确定模块204，用于根据身份信息、执行环境可信性情况、系统危险性信息以及软件更新时间信息，确定终端的安全等级，
接入判定模块205，用于根据终端的安全等级判断对应的终端是否准许接入，当终端的安全等级高于预设等级时，判定终端允许接入；
用户角色获取模块206，用于获取用户身份信息，并将获取的用户身份信息与预先构建的用户-角色数据库进行对比，获取用户角色信息；
访问权限确定模块207，用于根据用户角色信息和终端的安全等级，确定用户对资源对象的访问权限。
在一种实施方式中，接入请求接收模块201具体用于：
通过TPM采集终端的系统关键文件度量值；
对比采集的系统关键文件度量值与TPM内部PCR值是否一致；
若一致，认为终端执行环境可信，保存第一对比结果；若不一致，认为终端执行环境不可信，保存第二对比结果。
在一种实施方式中，身份验证模块202具体用于：
通过TPM采集终端的CPU序列号、内存序列号、主板序列号和物理地址，将其作为终端的身份信息，并散列所采集的身份信息，获取终端唯一身份标识；
采集系统安全软件病毒扫描日志信息；
采集系统安全软件更新日志信息。
在一种实施方式中，安全等级确定模块204具体用于：
根据执行环境可信性情况确定终端安全的得分，根据系统危险性信息确定系统危险项的得分，根据软件更新时间信息确定软件更新项的得分；
根据预设满分、终端安全的得分、系统危险项的得分、软件更新项的得分以及对应的预设权重，获得安全性分数；
根据安全性分数和终端的身份信息，确定终端的安全等级。
在一种实施方式中，安全等级确定模块204具体用于：
C＝100-w1×c1-w2×c2-…-wn×cn
其中，终端安全积分C计算采用评分制，预设满分为100分，ci表示系统度量危险项分数，为影响系统安全性的因素，wi表示危险项分数所占权重。
在一种实施方式中，访问权限确定模块207具体用于：
获取用户角色与对应终端的安全等级；
对比预先构建的资源权限数据库，根据用户角色与终端安全等级获取对应访问权限信息。
在一种实施方式中，当终端的安全等级低于预设等级时，判定终端不允许接入。
由于本发明实施例二所介绍的装置，为实施本发明实施例一中基于角色和终端可信性的接入访问控制方法所采用的装置，故而基于本发明实施例一所介绍的方法，本领域所属人员能够了解该装置的具体结构及变形，故而在此不再赘述。凡是本发明实施例一的方法所采用的装置都属于本发明所欲保护的范围。
实施例三
基于同一发明构思，本申请还提供了一种计算机可读存储介质300，请参见图8，其上存储有计算机程序311，该程序被执行时实现实施例一中的方法。
由于本发明实施例三所介绍的计算机可读存储介质，为实施本发明实施例一中基于角色和终端可信性的接入访问控制方法所采用的计算机可读存储介质，故而基于本发明实施例一所介绍的方法，本领域所属人员能够了解该计算机可读存储介质的具体结构及变形，故而在此不再赘述。凡是本发明实施例一的方法所采用的计算机可读存储介质都属于本发明所欲保护的范围。
实施例四
基于同一发明构思，本申请还提供了一种计算机设备，请参见图9，包括存储401、处理器402及存储在存储器上并可在处理器上运行的计算机程序403，处理器402执行上述程序时实现实施例一中的方法。
由于本发明实施例四所介绍的计算机设备为实施本发明实施例一中基于角色和终端可信性的接入访问控制方法所采用的计算机设备，故而基于本发明实施例一所介绍的方法，本领域所属人员能够了解该计算机设备的具体结构及变形，故而在此不再赘述。凡是本发明实施例一中方法所采用的计算机设备都属于本发明所欲保护的范围。
尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。
显然，本领域的技术人员可以对本发明实施例进行各种改动和变型而不脱离本发明实施例的精神和范围。这样，倘若本发明实施例的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (7)

1.一种基于角色和终端可信性的接入访问控制方法，其特征在于，包括：
步骤S1：接收用户通过终端发送的接入请求，其中，接入请求中包含用户的身份信息，终端通过TPM预先构建终端可信执行环境；
步骤S2：对用户的身份信息进行验证，验证通过后，通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，其中，安全信息包括系统危险性信息和软件更新时间信息；
步骤S3：根据终端采集的系统关键文件度量值信息与预先构建的可信执行环境进行匹配，若匹配通过，则执行环境可信；
步骤S4：根据身份信息、执行环境可信性情况、系统危险性信息以及软件更新时间信息，确定终端的安全等级，
步骤S5：根据终端的安全等级判断对应的终端是否准许接入，当终端的安全等级高于预设等级时，判定终端允许接入；
步骤S6：获取用户身份信息，并将获取的用户身份信息与预先构建的用户-角色数据库进行对比，获取用户角色信息；
步骤S7：根据用户角色信息和终端的安全等级，确定用户对资源对象的访问权限；
其中，步骤S1中终端通过TPM预先构建终端可信执行环境，包括：
通过TPM采集终端的系统关键文件度量值；
对比采集的系统关键文件度量值与TPM内部PCR值是否一致，其中，TPM内部PCR值为平台配置寄存器记录的度量值，度量值组成的序列用以反映系统状态的变迁；
若一致，认为终端执行环境可信，保存第一对比结果；若不一致，认为终端执行环境不可信，保存第二对比结果；
步骤S4具体包括：
根据执行环境可信性情况确定终端安全的得分，根据系统危险性信息确定系统危险项的得分，根据软件更新时间信息确定软件更新项的得分；
根据预设满分、终端安全的得分、系统危险项的得分、软件更新项的得分以及对应的预设权重，获得安全性分数；
根据安全性分数和终端的身份信息，确定终端的安全等级；
步骤S7具体包括：
获取用户角色与对应终端的安全等级；
对比预先构建的资源权限数据库，根据用户角色与终端安全等级获取对应访问权限信息。
2.如权利要求1所述的方法，其特征在于，步骤S2中通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，具体包括：
通过TPM采集终端的CPU序列号、内存序列号、主板序列号和物理地址，将其作为终端的身份信息，并散列所采集的身份信息，获取终端唯一身份标识；
采集系统安全软件病毒扫描日志信息；
采集系统安全软件更新日志信息。
3.如权利要求1所述的方法，其特征在于，安全性分数的计算具体包括：
C=100-w1*c1-w2*c2-…-wn*cn
其中，终端安全积分计算采用评分制，预设满分为100分，ci表示系统度量危险项分数，为影响系统安全性的因素， wi表示危险项分数所占权重，i=1…n。
4.如权利要求1所述的方法，其特征在于，当终端的安全等级低于预设等级时，判定终端不允许接入。
5.一种基于角色和终端可信性的接入访问控制装置，其特征在于，包括：
接入请求接收模块，用于接收用户通过终端发送的接入请求，其中，接入请求中包含用户的身份信息，终端通过TPM预先构建终端可信执行环境；
身份验证模块，用于对用户的身份信息进行验证，验证通过后，通过TPM采集终端的身份信息、系统关键文件度量值信息和安全信息，其中，安全信息包括系统危险性信息和软件更新时间信息；
执行环境可信性判定模块，用于根据终端采集的系统关键文件度量值信息与预先构建的可信执行环境进行匹配，若匹配通过，则执行环境可信；
安全等级确定模块，用于根据身份信息、执行环境可信性情况、系统危险性信息以及软件更新时间信息，确定终端的安全等级，
接入判定模块，用于根据终端的安全等级判断对应的终端是否准许接入，当终端的安全等级高于预设等级时，判定终端允许接入；
用户角色获取模块，用于获取用户身份信息，并将获取的用户身份信息与预先构建的用户-角色数据库进行对比，获取用户角色信息；
访问权限确定模块，用于根据用户角色信息和终端的安全等级，确定用户对资源对象的访问权限；
其中，终端通过TPM预先构建终端可信执行环境，包括：
通过TPM采集终端的系统关键文件度量值；
对比采集的系统关键文件度量值与TPM内部PCR值是否一致；
若一致，认为终端执行环境可信，保存第一对比结果；若不一致，认为终端执行环境不可信，保存第二对比结果；
安全等级确定模块具体用于：
根据执行环境可信性情况确定终端安全的得分，根据系统危险性信息确定系统危险项的得分，根据软件更新时间信息确定软件更新项的得分；
根据预设满分、终端安全的得分、系统危险项的得分、软件更新项的得分以及对应的预设权重，获得安全性分数；
根据安全性分数和终端的身份信息，确定终端的安全等级；
访问权限确定模块具体用于：
获取用户角色与对应终端的安全等级；
对比预先构建的资源权限数据库，根据用户角色与终端安全等级获取对应访问权限信息。
6.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被执行时实现如权利要求1至4中任一项权利要求所述的方法。
7.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至4中任一项权利要求所述的方法。
CN201910318590.5A 2019-04-19 2019-04-19 一种基于角色和终端可信性的接入访问控制方法及装置 Active CN110061987B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910318590.5A CN110061987B (zh) 2019-04-19 2019-04-19 一种基于角色和终端可信性的接入访问控制方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910318590.5A CN110061987B (zh) 2019-04-19 2019-04-19 一种基于角色和终端可信性的接入访问控制方法及装置

Publications (2)

Publication Number Publication Date
CN110061987A CN110061987A (zh) 2019-07-26
CN110061987B true CN110061987B (zh) 2021-03-16

Family

ID=67319802

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910318590.5A Active CN110061987B (zh) 2019-04-19 2019-04-19 一种基于角色和终端可信性的接入访问控制方法及装置

Country Status (1)

Country Link
CN (1) CN110061987B (zh)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110474911B (zh) * 2019-08-14 2023-05-23 深圳前海微众银行股份有限公司 终端可信性识别方法、装置、设备与计算机可读存储介质
CN111177692B (zh) * 2019-11-29 2022-07-12 云深互联(北京)科技有限公司 终端可信级别评估方法、装置、设备和存储介质
CN110912938B (zh) * 2019-12-24 2022-09-27 医渡云（北京）技术有限公司 入网终端接入验证方法、装置、存储介质及电子设备
CN114282224B (zh) * 2021-12-23 2023-06-23 深圳朗驰科技有限公司 一种基于可信架构的双路机架式服务器
CN114866258A (zh) * 2022-05-16 2022-08-05 卡奥斯工业智能研究院(青岛)有限公司 一种访问关系的建立方法、装置、电子设备及存储介质
CN115859395A (zh) * 2023-03-02 2023-03-28 北京神州慧安科技有限公司 一种具有防盗功能的硬盘及其应用的方法

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104063788A (zh) * 2014-07-16 2014-09-24 武汉大学 一种移动平台可信支付系统及方法

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101562558B (zh) * 2008-04-15 2012-04-18 华为技术有限公司 一种终端等级划分的方法、系统和设备
CN101448264A (zh) * 2008-12-22 2009-06-03 杭州华三通信技术有限公司 接入用户的访问控制方法和系统
US9036820B2 (en) * 2013-09-11 2015-05-19 At&T Intellectual Property I, Lp System and methods for UICC-based secure communication
CN103888257B (zh) * 2013-11-03 2017-01-18 北京工业大学 一种基于tpcm的网络摄像机身份认证方法
CN106899561B (zh) * 2015-12-24 2020-04-07 北京奇虎科技有限公司 一种基于acl的tnc权限控制方法和系统
CN107196765B (zh) * 2017-07-19 2019-08-02 武汉大学 一种强化隐私保护的远程生物特征身份认证方法
CN107332671A (zh) * 2017-08-15 2017-11-07 鼎讯网络安全技术有限公司 一种基于安全芯片的安全移动终端系统及安全交易方法
CN107612929A (zh) * 2017-10-18 2018-01-19 南京航空航天大学 一种基于信息流的多级安全访问控制模型
CN108959906B (zh) * 2018-07-13 2020-08-21 Oppo广东移动通信有限公司 数据获取方法、移动终端、电子设备、产线标定系统、可读存储介质及计算机设备

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104063788A (zh) * 2014-07-16 2014-09-24 武汉大学 一种移动平台可信支付系统及方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于TNC体系的移动终端可信网络接入模型研究;张忠杰;《中国优秀硕士学位论文全文数据库信息科技辑》;20110915;正文第37页至第53页，图4.6-图4.15 *

Also Published As

Publication number Publication date
CN110061987A (zh) 2019-07-26

Similar Documents

Publication Publication Date Title
CN110061987B (zh) 一种基于角色和终端可信性的接入访问控制方法及装置
CN112055029B (zh) 用于零信任电力物联网设备的用户实时信任度评估方法
EP2788912B1 (en) Predictive heap overflow protection
US10778444B2 (en) Devices and methods for application attestation
US8806629B1 (en) Automatic generation of policy-driven anti-malware signatures and mitigation of DoS (denial-of-service) attacks
CN109327439B (zh) 业务请求数据的风险识别方法、装置、存储介质及设备
US9455994B1 (en) Techniques for intelligently executing a digital signature
CN111191226B (zh) 利用提权漏洞的程序的确定方法、装置、设备及存储介质
CN110474911B (zh) 终端可信性识别方法、装置、设备与计算机可读存储介质
WO2020000749A1 (zh) 一种越权漏洞检测方法及装置
US10885162B2 (en) Automated determination of device identifiers for risk-based access control in a computer network
CN112653714A (zh) 一种访问控制方法、装置、设备及可读存储介质
US10503882B2 (en) File execution
CN111953635B (zh) 接口请求处理方法及计算机可读存储介质
CN111177692B (zh) 终端可信级别评估方法、装置、设备和存储介质
CN111181979B (zh) 访问控制方法、装置、计算机设备和计算机可读存储介质
CN111953633A (zh) 基于终端环境的访问控制方法及访问控制装置
CN111949363A (zh) 业务访问的管理方法、计算机设备、存储介质及系统
CN109583177B (zh) 在用户与银行服务的交互期间识别新设备的系统和方法
CN112765588B (zh) 一种身份识别方法、装置、电子设备及存储介质
CN117254918A (zh) 零信任动态授权方法、装置、电子设备及可读存储介质
JP6890559B2 (ja) アクセス分析システム及びアクセス分析方法
JP6884652B2 (ja) ホワイトリスト管理システムおよびホワイトリスト管理方法
CN110781466A (zh) 设备安全管理方法、装置、计算机设备和存储介质
US11245703B2 (en) Security tool for considering multiple security contexts

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant