CN114070590A - 一种基于ibc的零信任防护方法及系统 - Google Patents

一种基于ibc的零信任防护方法及系统 Download PDF

Info

Publication number
CN114070590A
CN114070590A CN202111292655.7A CN202111292655A CN114070590A CN 114070590 A CN114070590 A CN 114070590A CN 202111292655 A CN202111292655 A CN 202111292655A CN 114070590 A CN114070590 A CN 114070590A
Authority
CN
China
Prior art keywords
access
port
ibc
network
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202111292655.7A
Other languages
English (en)
Inventor
马俊明
边杏宾
张清萍
郑伟伟
陈学丽
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Cetc Pengyue Electronic Technology Co ltd
Original Assignee
Cetc Pengyue Electronic Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cetc Pengyue Electronic Technology Co ltd filed Critical Cetc Pengyue Electronic Technology Co ltd
Priority to CN202111292655.7A priority Critical patent/CN114070590A/zh
Publication of CN114070590A publication Critical patent/CN114070590A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明属于网络与信息安全技术领域，具体涉及一种基于IBC的零信任防护方法及系统，网络中所有用户和设备都被赋予唯一访问标识，搭建基于国密算法SM9的密钥基础设施，通过标识密码算法进行身份认证；搭建策略管理系统及资源访问微隔离控制网关，并将系统资源或应用按宿主主机划分为多个逻辑段，每个逻辑段单独设置安全访问策略，保证系统的安全可控。本方案是在传统边界上叠加了逻辑边界即访问控制网关有效解决了网络边界模糊带来的网络安全问题。

Description

一种基于IBC的零信任防护方法及系统
技术领域
本发明属于网络与信息安全技术领域，具体涉及一种基于IBC的零信任防护方法及系统。
背景技术
随着云计算、大数据、物联网、5G、工业互联网等新兴技术的不断兴起，企业IT架构正在从“有边界”向“无边界”转变，传统的安全边界逐渐瓦解。零信任安全理念基于身份认证和授权重新构建访问控制的信任基础，从而确保终端安全、链路安全和访问控制安全。密码技术作为网络安全核心技术在零信任安全架构中起着不可替代的作用。
网络安全离不开密码技术，2016年3月，国家密码管理局正式公布了SM9算法，该算法是我国自主制定的标识密码算法标准，由于其技术原理，标识算法更加适合有标识的系统的应用。基于SM9算法的IBC一种非对称的公钥密码体系，是基于传统的PKI(公开密钥基础设施)基础上发展而来，与PKI相比IBC避开复杂的数字证书管理环节，系统更易于部署和使用。
零信任概括来讲就是“持续验证，永不信任”，代表了新一代的网络安全防护理念。它的关键在于打破传统网络安全的内网完全可信假设，不信任企业网络内外的任何人、设备和系统。
当前新一代信息技术在互联网络中大规模的应用，传统网络边界逐渐模糊化，访问路径多样化，随之带来了网络安全面临日益严重的风险问题。传统IT架构基于内网安全的假设，安全边界一旦被突破传统网络安全防护就可能失效导致网络系统受到严重破坏。
发明内容
针对上述技术问题，本发明提供了一种基于IBC的零信任防护方法及系统，可以有效解决网络边界模糊带来的网络安全问题。
为了解决上述技术问题，本发明采用的技术方案为：
一种基于IBC的零信任防护方法，网络中所有用户和设备都被赋予唯一访问标识，搭建基于国密算法SM9的密钥基础设施，通过标识密码算法进行身份认证；搭建策略管理系统及资源访问微隔离控制网关，并将系统资源或应用按宿主主机划分为多个逻辑段，每个逻辑段单独设置安全访问策略，保证系统的安全可控。
基于身份驱动，分类创建网络角色访问模型，确定对资源的访问权。
一种基于IBC的零信任防护系统，包括标识管理系统、标识密码基础设施、动态策略管理系统、零信任访问控制网关、微隔离逻辑端口控制器和资源池；
通过标识管理系统进行登记注册并分配唯一身份标识码；
通过标识密码基础设施对主密钥生产管理，对注册成功的ID提供生成标识密钥私钥的服务，并提供安全下载通道将私钥下发到对应ID设备；
通过零信任访问控制网关进行身份认证、权限确认和服务分配；
微隔离逻辑端口控制器，可以以软件定义网络形态出现集成在零信任访问控制网关设备中；
资源池组成主要有系统中能提供的服务、数据和应用，依据访问配置在相应服务端配置相应服务IP及端口号，方便微隔离控制系统访问。
标识密码基础设施可提供公用参数查询下载服务、提供认证签名服务，并可离线运行。
动态策略管理系统，整理现有系统中所有资源，梳理主体对资源的访问情况，合理创建和配置访问角色；创建ID与授权角色的映射表，实现ID的授权管理；通过调用ID与授权角色整映射表，实现资源访问策略的动态调整。
零信任访问控制网关：实现基于标识密码的身份认证；身份认证结束后，零信任网关根据当前ID的ID值在策略管理系统获得相应访问授权；访问控制网关对照访问授权，分配给当前ID连接控制器逻辑端口，通过端口控制实现主体对资源的精准访问控制。
微隔离逻辑端口控制器：依据资源数量定义配置外联端口；控制器各外联端口间设置为相互隔离不能互相访问，控制器外联端口与系统资源端口存在一一对应连接关系；控制器依据访问主体对资源的单次访问需求及时分配所需端口，当单次会话完毕后关闭分配的端口，实现动态配置端口访问功能。
所述端口可以是内部虚拟端口或物理端口。
本发明与现有技术相比，具有的有益效果是：
传统网络安全防护方法：基于边界网络安全架构，在网络中寻找边界将网络划分为内网、外网、DMZ区等不同区域，然后在区域边界部署防火墙、IPS、WAF等安全设备，实现网络的安全防护。
而本发明安全防护方案基于身份认证对资源应用进行持续访问认证控制，有效解决了传统安全基于内网安全的假设，一旦内网被突破的安全风险大增的情景，此外随着新技术的发展网络边界逐渐模糊，传统边界被突破的可能随之加大，但本方案是在传统边界上叠加了逻辑边界即访问控制网关有效解决了网络边界模糊带来的网络安全问题。
标识密码作为身份认证工具简化了传统PKI身份认证系统的复杂度，提升了安全系统部署的经济性。
本发明基于身份(ID)驱动，不仅限于IP、用户、资源权限角色等，分类创建网络角色访问模型，确定对资源的访问权限；新安全保护框架，信任控制网关直接控制微隔离逻辑端口实现资源间东西向隔离。
附图说明
图1是本发明系统防护架构图；
具体实施方式
下面对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
一种基于IBC的零信任防护方法，对网络中所有用户和设备都被赋予唯一访问标识，系统搭建基于国密算法SM9的密钥基础设施，通过标识密码算法进行身份认证，同时系统还搭建策略管理系统及资源访问微隔离控制网关，并将系统资源或应用按宿主主机划分为多个逻辑段，每个逻辑段单独设置安全访问策略，保证系统的安全可控。
网络安全防护系统主要由六大部分组成，1、访问主体，即用户或对资源有访问需求的对象；2、标识密码基础设施，主要功能有：标识生成注册管理，密钥生成管理中心，密钥安全下载通道；3、零信任访问控制网关，主要功能有：身份认证，权限确认，服务分配；4、策略管理，主要功能有：角色分配，策略配置及管理，策略调整；5、微隔离逻辑端口控制器，可以以软件定义网络(SDN)形态出现集成在零信任访问控制网关设备中；6、客体即资源池，指系统提供的服务、数据、应用等。
系统防护架构图如图1所示，本系统中的资源泛指系统中能提供给主体的服务、数据及应用等。
建设一套基于IBC的零信任网络安全防护系统需要以下几个步骤：
1、建设一套标识管理系统：
(1)系统内资产逐一登记注册并分配唯一身份标识码(ID)，ID编号简单规则如下：总编码占16位，设备用户、或资源等大类编码(占4位，可以是字符与数字组合)，部门编码(4位，可以是字符与数字组合)，每类中资产序列号(8位数字从00000001-99999999)。举例1，办公室办公主机1的ID为：BGZJ000100000001；举例2，技术部员工张三用户编码为：YH01000300000012。
(2)搭建标识管理服务器，具备以下功能：标识的注册增加、查询、注销等功能，由于IBC密钥系统特殊性特别声明注销ID不能用于新增ID。
2、建设一套标识密码基础设施
(1)主密钥生产管理。并提供公用参数查询下载服务。
(2)对注册成功的ID提供生成标识密钥私钥的服务，并提供安全下载通道将私钥下发到对应ID设备；
(3)提供认证签名服务，并可离线运行。
3、建设一套动态策略管理系统：
(1)整理现有系统中所有资源，梳理主体对资源的访问情况，合理创建和配置访问角色。
(2)创建ID与授权角色的映射表(1对多，即一个ID拥有1个或者多个角色)，实现ID的授权管理。
(3)通过调ID与授权角色整映射表，实现资源访问策略的动态调整。
4、研发配置零信任访问控制网关：
(1)实现基于标识密码的身份认证，以用户A访问零信任网关举例：
IBC体系中用户ID即该用户公钥，设用户A为使用标识密码系统的用户，用户A签名私钥、公钥分别为dsA、IDA，即IDA＝dsAG，其中G(x，y)为IBC体系所选曲线的基点，阶为n。
网关对用户A身份认证过程如下：
用户A私钥签名过程：选择随机数r(r∈[1，n-1])，计算点rG；根据随机数r、消息M的哈希值h、私钥dsA，计算s＝(h+dsAx)/r；将消息M、和签名{rG,s}发给网关。
公钥验证签名：网关收到消息M、以及签名{rG,s}；根据消息求哈希h；使用发送方公钥IDA计算：hG/s+x IDA/s，并与rG比较，如相等即验签成功，(签名原理如下：hG/s+xIDA/s＝hG/s+x(dsAG)/s＝(h+xdsA)G/s＝r(h+xdsA)G/(h+dsAx)＝rG。)A用户身份得到控制网关确认。
反之用户A也可对网关进行身份验证。另外在实际使用中可以通过添加账户口令或其他方式实现多元身份认证。
(2)身份认证结束后，零信任网关根据当前ID的ID值在策略管理系统获得相应访问授权。
(3)访问控制网关对照访问授权，分配给当前ID连接控制器逻辑端口，通过端口控制实现主体对资源的精准访问控制。
5、搭建微隔离逻辑端口控制器：
(1)依据资源数量定义配置外联端口(即图1中的口1、口2…、口n)，端口可以是内部虚拟端口或物理端口。
(2)控制器各外联端口间设置为相互隔离不能互相访问，控制器外联端口与系统资源端口存在一一对应连接关系(如图1最右侧所示)。
(3)控制器依据访问主体对资源的单次访问需求及时分配所需端口，当单次会话完毕后关闭分配的端口，实现动态配置端口访问功能。
6、建设资源池配置管理系统：
资源池组成主要有系统中能提供的服务、数据和应用等，依据访问配置在相应服务端配置相应服务IP及端口号，方便微隔离控制系统访问。
上面仅对本发明的较佳实施例作了详细说明，但是本发明并不限于上述实施例，在本领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下作出各种变化，各种变化均应包含在本发明的保护范围之内。

Claims (8)

1.一种基于IBC的零信任防护方法，其特征在于：网络中所有用户和设备都被赋予唯一访问标识，搭建基于国密算法SM9的密钥基础设施，通过标识密码算法进行身份认证；搭建策略管理系统及资源访问微隔离控制网关，并将系统资源或应用按宿主主机划分为多个逻辑段，每个逻辑段单独设置安全访问策略，保证系统的安全可控。
2.根据权利要求1所述的一种基于IBC的零信任防护方法，其特征在于：基于身份驱动，分类创建网络角色访问模型，确定对资源的访问权。
3.一种基于IBC的零信任防护系统，其特征在于：包括标识管理系统、标识密码基础设施、动态策略管理系统、零信任访问控制网关、微隔离逻辑端口控制器和资源池；
通过标识管理系统进行登记注册并分配唯一身份标识码；
通过标识密码基础设施对主密钥生产管理，对注册成功的ID提供生成标识密钥私钥的服务，并提供安全下载通道将私钥下发到对应ID设备；
通过零信任访问控制网关进行身份认证、权限确认和服务分配；
微隔离逻辑端口控制器，可以以软件定义网络形态出现集成在零信任访问控制网关设备中；
资源池组成主要有系统中能提供的服务、数据和应用，依据访问配置在相应服务端配置相应服务IP及端口号，方便微隔离控制系统访问。
4.根据权利要求3所述的一种基于IBC的零信任防护系统，其特征在于：标识密码基础设施可提供公用参数查询下载服务、提供认证签名服务，并可离线运行。
5.根据权利要求3所述的一种基于IBC的零信任防护系统，其特征在于：动态策略管理系统，整理现有系统中所有资源，梳理主体对资源的访问情况，合理创建和配置访问角色；创建ID与授权角色的映射表，实现ID的授权管理；通过调ID与授权角色整映射表，实现资源访问策略的动态调整。
6.根据权利要求3所述的一种基于IBC的零信任防护系统，其特征在于，零信任访问控制网关：实现基于标识密码的身份认证；身份认证结束后，零信任网关根据当前ID的ID值在策略管理系统获得相应访问授权；访问控制网关对照访问授权，分配给当前ID连接控制器逻辑端口，通过端口控制实现主体对资源的精准访问控制。
7.根据权利要求3所述的一种基于IBC的零信任防护系统，其特征在于，微隔离逻辑端口控制器：依据资源数量定义配置外联端口；控制器各外联端口间设置为相互隔离不能互相访问，控制器外联端口与系统资源端口存在一一对应连接关系；控制器依据访问主体对资源的单次访问需求及时分配所需端口，当单次会话完毕后关闭分配的端口，实现动态配置端口访问功能。
8.根据权利要求7所述的一种基于IBC的零信任防护系统，其特征在于：所述端口可以是内部虚拟端口或物理端口。
CN202111292655.7A 2021-11-03 2021-11-03 一种基于ibc的零信任防护方法及系统 Pending CN114070590A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111292655.7A CN114070590A (zh) 2021-11-03 2021-11-03 一种基于ibc的零信任防护方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111292655.7A CN114070590A (zh) 2021-11-03 2021-11-03 一种基于ibc的零信任防护方法及系统

Publications (1)

Publication Number Publication Date
CN114070590A true CN114070590A (zh) 2022-02-18

Family

ID=80273564

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111292655.7A Pending CN114070590A (zh) 2021-11-03 2021-11-03 一种基于ibc的零信任防护方法及系统

Country Status (1)

Country Link
CN (1) CN114070590A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115118465A (zh) * 2022-06-13 2022-09-27 北京寰宇天穹信息技术有限公司 一种基于可信标签的云边端协同零信任访问控制方法及系统
CN115967584A (zh) * 2023-03-16 2023-04-14 深圳市永达电子信息股份有限公司 一种基于pki与cpk混合认证的零信任网关实现方法及系统

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101277308A (zh) * 2008-05-23 2008-10-01 杭州华三通信技术有限公司 一种隔离内外网络的方法、认证服务器及接入交换机
CN101951384A (zh) * 2010-09-29 2011-01-19 南京信息工程大学 一种分布式安全域逻辑边界保护方法
CN103248488A (zh) * 2013-05-14 2013-08-14 顾纯祥 一种基于身份的密钥生成方法和认证方法
US20150281278A1 (en) * 2014-03-28 2015-10-01 Southern California Edison System For Securing Electric Power Grid Operations From Cyber-Attack
CN109274694A (zh) * 2018-11-14 2019-01-25 天津市国瑞数码安全系统股份有限公司 一种基于标识的通用跨域认证方法
CN110851274A (zh) * 2019-10-29 2020-02-28 深信服科技股份有限公司 资源访问控制方法、装置、设备及存储介质
CN111885046A (zh) * 2020-07-21 2020-11-03 广州锦行网络科技有限公司 一种基于Linux的透明内网访问方法及装置
CN213403064U (zh) * 2020-11-12 2021-06-08 中电科鹏跃电子科技有限公司 一种基于标识密码的工业网络安全通信系统
CN113098695A (zh) * 2021-04-21 2021-07-09 金陵科技学院 一种基于用户属性的微服务统一权限控制方法与系统

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101277308A (zh) * 2008-05-23 2008-10-01 杭州华三通信技术有限公司 一种隔离内外网络的方法、认证服务器及接入交换机
CN101951384A (zh) * 2010-09-29 2011-01-19 南京信息工程大学 一种分布式安全域逻辑边界保护方法
CN103248488A (zh) * 2013-05-14 2013-08-14 顾纯祥 一种基于身份的密钥生成方法和认证方法
US20150281278A1 (en) * 2014-03-28 2015-10-01 Southern California Edison System For Securing Electric Power Grid Operations From Cyber-Attack
CN109274694A (zh) * 2018-11-14 2019-01-25 天津市国瑞数码安全系统股份有限公司 一种基于标识的通用跨域认证方法
CN110851274A (zh) * 2019-10-29 2020-02-28 深信服科技股份有限公司 资源访问控制方法、装置、设备及存储介质
CN111885046A (zh) * 2020-07-21 2020-11-03 广州锦行网络科技有限公司 一种基于Linux的透明内网访问方法及装置
CN213403064U (zh) * 2020-11-12 2021-06-08 中电科鹏跃电子科技有限公司 一种基于标识密码的工业网络安全通信系统
CN113098695A (zh) * 2021-04-21 2021-07-09 金陵科技学院 一种基于用户属性的微服务统一权限控制方法与系统

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115118465A (zh) * 2022-06-13 2022-09-27 北京寰宇天穹信息技术有限公司 一种基于可信标签的云边端协同零信任访问控制方法及系统
CN115118465B (zh) * 2022-06-13 2023-11-28 北京寰宇天穹信息技术有限公司 一种基于可信标签的云边端协同零信任访问控制方法及系统
CN115967584A (zh) * 2023-03-16 2023-04-14 深圳市永达电子信息股份有限公司 一种基于pki与cpk混合认证的零信任网关实现方法及系统

Similar Documents

Publication Publication Date Title
CN109918878B (zh) 一种基于区块链的工业物联网设备身份认证及安全交互方法
Lu et al. DRRS-BC: Decentralized routing registration system based on blockchain
Luo et al. Hierarchical multi-authority and attribute-based encryption friend discovery scheme in mobile social networks
Dinger et al. Defending the sybil attack in p2p networks: Taxonomy, challenges, and a proposal for self-registration
US8281377B1 (en) Remote access manager for virtual computing services
US9253158B2 (en) Remote access manager for virtual computing services
US11683213B2 (en) Autonomous management of resources by an administrative node network
CN114070590A (zh) 一种基于ibc的零信任防护方法及系统
US20060010491A1 (en) Firewall system protecting a community of appliances, appliance participating in the system and method of updating the firewall rules within the system
EP1994712A1 (en) Access control protocol for embedded devices
CN109413080B (zh) 一种跨域动态权限控制方法及系统
US11784819B2 (en) Dynamic segmentation of network traffic by use of pre-shared keys
WO1989008887A1 (en) Access security system for switched communications networks
Xue et al. A blockchain based user subscription data management and access control scheme in mobile communication networks
CN114189380A (zh) 一种基于零信任的物联网设备分布式认证系统及授权方法
TW202025662A (zh) 網路安全系統及網路安全方法
US20230034771A1 (en) Auditable and tamper-resistant remote zero trust access
US11297049B2 (en) Linking a terminal into an interconnectable computer infrastructure
CN110891067B (zh) 一种可撤销的多服务器隐私保护认证方法及系统
CN106856605B (zh) 一种基于假身份无线网络匿名切换认证方法
Fu et al. An optimized control access mechanism based on micro-service architecture
CN112667977A (zh) 面向智慧城市的区块链身份认证和访问控制方法及系统
US20130263213A1 (en) Techniques for identity and policy based routing
CN114024767B (zh) 密码定义网络安全体系构建方法、体系架构及数据转发方法
Chatterjee et al. An efficient fine grained access control scheme based on attributes for enterprise class applications

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination