WO2008074234A1 - Système de contrôle d'accès p2p faisant intervenir une structure à trois éléments et dispositif d'autorisation associé - Google Patents

Système de contrôle d'accès p2p faisant intervenir une structure à trois éléments et dispositif d'autorisation associé Download PDF

Info

Publication number
WO2008074234A1
WO2008074234A1 PCT/CN2007/070173 CN2007070173W WO2008074234A1 WO 2008074234 A1 WO2008074234 A1 WO 2008074234A1 CN 2007070173 W CN2007070173 W CN 2007070173W WO 2008074234 A1 WO2008074234 A1 WO 2008074234A1
Authority
WO
WIPO (PCT)
Prior art keywords
layer
authentication
authenticator
authentication method
server
Prior art date
Application number
PCT/CN2007/070173
Other languages
English (en)
French (fr)
Inventor
Xiaolong Lai
Jun Cao
Manxia Tie
Bianling Zhang
Original Assignee
China Iwncomm Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Iwncomm Co., Ltd. filed Critical China Iwncomm Co., Ltd.
Publication of WO2008074234A1 publication Critical patent/WO2008074234A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication

Definitions

  • the present invention relates to a network access control system, and more particularly to a ternary structure peer access control system and an authenticator.
  • the basic function of the network is to provide network services to various terminals.
  • the terminal can be physically connected to the network, the connected to the network is not necessarily an authorized legal terminal, and the terminal connection is not necessarily required.
  • the network therefore, requires authentication and authorization functions to authenticate each other's legitimacy before the terminal and the network communicate, that is, two-way access control between the terminal and the network is required to ensure communication security.
  • FIG. 1 is a schematic diagram of two-way access control between a terminal and a network.
  • the terminal 1 accesses the network 4 through the access controller 3. Before the terminal 1 starts to use the resources of the network 4, the terminal 1 and the access controller 3 complete the access.
  • Access controller 3 checks whether terminal 1 has the right to access network 4, that is, authenticates terminal 1.
  • the terminal 1 checks whether the access controller 3 is a legitimate device to prevent data from being intercepted, that is, the network 4 is authenticated.
  • the entity refers to the function that can perform specific functions in the network structure and can exist independently. Generally, it is implemented by independent equipment.
  • the element refers to the authentication in the network access authentication.
  • the terminal has authentication credentials and authentication
  • the function and control function of accessing the network corresponds to element one; the access controller has authentication credentials, an authentication function, and a function of controlling terminal access according to the authentication result, corresponding to element two.
  • both the terminal and the access controller have an authentication function that supports mutual authentication.
  • the second network structure refer to the binary three-entity structure shown in FIG. 3, including the terminal, the access controller, and the server, which respectively correspond to the entity 1, the entity 2, and the entity 3.
  • the terminal has an authentication credential, an authentication function, and a function of controlling whether to access the network, corresponding to the first one;
  • the access controller has the function of controlling the terminal access according to the authentication result, and has no authentication function;
  • the server has the authentication credential and the authentication function, and the corresponding element two.
  • the binary three-entity network structure is also called a pass-through mode.
  • both the terminal and the server have an authentication function, and the access controller has no authentication function, so the structural form is through the entity two. As a relay of entity three to support mutual authentication.
  • the access controller of the binary three-entity structure is falsified, and authentication is performed only between the terminal and the server, and the relationship between multiple terminals corresponding to multiple access controllers is evolved into a relationship of multiple terminals corresponding to one server, that is, in them Establish a trust relationship A between.
  • a trust relationship B needs to be established between the terminal and the access controller, so the trust relationship must be transferred securely, that is, from the trust relationship A to the trust relationship B.
  • the transfer of the trust relationship is done by sending a key from the server to the access controller.
  • a trust relationship C and a secure channel must be established between the access controller and the server.
  • the terminal and the access controller After the access controller receives the key, the terminal and the access controller must also confirm the trust relationship B. Therefore, the establishment of a trust relationship between the terminal and the access controller needs to be completed after three trust relationships. And the transmission of trust relationships has not only led to the complexity of authentication but may affect the security of the network and should be avoided as much as possible.
  • the invention provides a ternary structure peer-to-peer access control system and an authenticator for securely implementing mutual authentication between a terminal and a network, which not only solves the limitation of the flexibility of the access form in the existing binary two-entity structure access control system,
  • a ternary structure peer-to-peer access control system includes a main body, an authenticator, and an authentication server; the main body includes a bottom layer of the main body, an encapsulation layer of the main body, a peer layer of the main body, and a function of an authenticity authority of the main body, The authentication method layer of the main body is used for performing authentication according to the authentication credential;
  • the authenticator includes an underlayer of the authenticator, a transport layer of the authenticator, an encapsulation layer of the authenticator, and an authenticator layer of the authenticator, and the underlying layer of the authenticator is used to control whether the authenticator allows Subject access
  • the authentication server includes a transport layer of the authentication server, an encapsulation layer of the authentication server, a peer layer of the authentication server, and an authentication method layer of the authentication server, where the authentication method layer of the authentication server is used for authentication according to the authentication credential;
  • the authenticator further includes an authentication method layer of the authenticator, and the authentication method layer of the authenticator is used to perform authentication according to the authentication credential;
  • the authentication method layer of the subject, the authentication method layer of the authenticator, and the authentication method layer of the authentication server together constitute an authentication protocol layer;
  • the authentication method layer of the subject sequentially passes through the peer layer of the subject, the encapsulation layer of the subject, the bottom layer of the subject, the underlayer of the authenticator, the encapsulation layer of the authenticator, the authenticator layer of the authenticator, and the authenticator.
  • the authentication method layer performs authentication protocol communication, and the authentication method layer of the authenticator sequentially passes the authenticator layer of the authenticator, the encapsulation layer of the authenticator, the bottom layer of the authenticator, the bottom layer of the main body, and the encapsulation layer of the main body.
  • the peer peer layer communicates with the authentication method layer of the subject in an authentication protocol layer;
  • the authentication method layer of the authenticator passes through the authenticator layer of the authenticator, the encapsulation layer of the authenticator, the transport layer of the authenticator, the transport layer of the authentication server, the encapsulation layer of the authentication server, and the pair of the authentication server.
  • the authentication layer communicates with the authentication method layer of the authentication server, and the authentication method layer of the authentication server passes through the peer layer of the authentication server, the encapsulation layer of the authentication server, the transport layer of the authentication server, and the transmission of the authenticator.
  • the layer, the encapsulation layer of the authenticator, the authenticator layer of the authenticator and the authentication method layer of the authenticator perform authentication protocol communication.
  • the authentication protocol layer performed by the authentication method layer of the above entity and the authentication method layer of the authenticator includes: a request message sent by the authentication method layer of the authenticator to the authentication method layer of the subject, and an authentication method of the subject
  • the response message sent by the layer to the authentication method layer of the authenticator includes a type field, where the type field is a field indicating the type of the request message; the response message includes a type field corresponding to the request The type field in the message.
  • the authentication protocol layer of the authentication method layer of the above-mentioned authenticator and the authentication method layer of the authentication server includes: the authentication message layer sent by the authentication method layer of the authenticator to the authentication method layer of the authentication server and the authentication method layer authentication of the authentication server
  • the specific structural form of the above-mentioned subject is a terminal; the specific structural form of the above-mentioned authenticator is an access controller; the specific structural form of the above authentication server is a server.
  • An authenticator comprising: an underlay, a transport layer, an encapsulation layer, and an authenticator layer; the bottom layer is configured to control whether the subject is allowed to access the authenticator; and the method further includes: an authentication method layer, configured to: The authentication certificate is authenticated.
  • the specific structural form of the authenticator is an access controller.
  • the terminal main body
  • the access controller authentication
  • the terminal can communicate with the access controller and cannot communicate with the server.
  • the access controller can communicate with the terminal or with the server.
  • the terminal, the access controller, and the server all participate in the authentication, and establish a trust relationship directly between the terminal and the access controller, which has excellent security.
  • the invention is a ternary structure, it is compatible with binary two-entity structures.
  • the present invention is fully compatible with the network structure of the binary two entities. Therefore, the present invention can be applied regardless of the binary two-entity structure or the ternary three-entity structure, and fully conforms to the existing network structure.
  • the authentication method layer can use an existing authentication protocol or a new authentication protocol.
  • 1 is a schematic diagram of two-way access control between an existing terminal and a network
  • FIG. 2 is a connection diagram of a network access control system of a prior art binary two-entity structure
  • FIG. 3 is a connection diagram of a network access control system of a prior art binary three-entity structure
  • 4 is a connection diagram of a network peer-to-peer access control system of the ternary three-entity structure of the present invention
  • FIG. 5 is a flowchart of the operation of the network peer-to-peer access control system of the ternary three-entity structure of the present invention
  • the authentication method layer of the body, the authenticator, and the authentication server is an implementation of the authentication protocol among the various participants, which together constitute an authentication protocol layer and complete the authentication protocol function.
  • the invention adjusts the functions of the terminal, the access controller and the server, so that the access controller has the authentication credential and the authentication function, and the network structure form is changed into a ternary three entity:
  • Entity 1 / Yuan 1 Terminal (Entity 1), with authentication credentials, authentication functions, and functions to control access to the network (yuan 1).
  • Entity 2/II 2 Access controller (Entity 2), with authentication credentials, authentication function and function to control terminal access according to the authentication result (yuan 2).
  • Entity 3 / Yuan 3 Server (entity 3), with authentication credentials and authentication function (yuan 3).
  • the terminal (main body) and the access controller (authenticator) perform authentication, which is required to be completed by the assistance of the server (authentication server).
  • the terminal can communicate with the access controller and cannot communicate with the server.
  • the access controller can communicate with the terminal or with the server.
  • the terminal, the access controller, and the server all participate in the authentication, and establish a trust relationship directly between the terminal and the access controller, which has excellent security.
  • the authentication method layer of the subject and the authentication method layer of the authenticator together form an authentication protocol layer to jointly complete the authentication protocol function. If the subject and the authenticator need to participate in the authentication, the authentication method layer of the subject, the authentication method layer of the authenticator, and the authentication method layer of the authentication server are required to form an authentication protocol layer to jointly complete the authentication protocol function; You can run the same authentication protocol, or you can run different authentication protocols between the two, but essentially the messages between the two are related, and together accomplish one purpose, that is, complete the authentication between the principal and the authenticator. .
  • the concepts of the bottom layer, the transport layer, the encapsulation layer, the peer layer, the authenticator layer, and the authentication method layer are as follows:
  • the underlying and transport layers are responsible for transmitting and receiving data frames between the peer and the authenticator.
  • the transport layer is a logical concept, indicating that the layer and the adjacent underlay may not be the same technology.
  • Encapsulation layer The encapsulation layer transmits and receives the ternary Extensible Authentication Protocol (TEAP, through the underlying layer).
  • TEAP ternary Extensible Authentication Protocol
  • Data-frame Triple-unit Extensible Authentication Protocol (Data-frame), which implements repeated frame detection and retransmission, and transmits messages between the peer layer and the authenticator layer.
  • Data-frame Triple-unit Extensible Authentication Protocol
  • Peer layer and authenticator layer The encapsulation layer parses the TEAP data frame and transmits it to the peer layer or the authenticator layer.
  • the peer layer and the authenticator layer parse the received data packet and transmit it to the corresponding authentication method layer.
  • the authentication method layer implements an authentication algorithm that transmits messages through the peer layer and the authenticator layer.
  • the specific structure of the peer-to-peer access control system of the present invention is shown in FIG. 4, including: a terminal, an access controller, and a server.
  • the terminal (corresponding to the main body) includes an underlay (corresponding to the bottom layer of the main body), an encapsulation layer (encapsulation layer corresponding to the main body), a peer layer (a peer layer corresponding to the main body), and an authentication method layer (the authentication method layer corresponding to the main body)
  • the access controller (corresponding to the authenticator) includes the underlying layer (the underlying layer corresponding to the authenticator), the transport layer (corresponding to the transport layer of the authenticator), the encapsulation layer (the encapsulation layer corresponding to the authenticator), and the authenticator Layer (corresponding to the authenticator layer of the authenticator) and authentication method layer (corresponding to the authentication method layer of the authenticator);
  • the server includes a transport layer (corresponding to the transport layer of the authentication server) and an encapsulation layer (corresponding to the encapsulation layer of the authentication server) ,
  • the terminal has an authentication credential, an authentication function, and a function of controlling whether to access the access controller, wherein the authentication method layer of the terminal has a function of performing authentication according to the authentication credential, and the bottom layer of the terminal has transmission data and controls whether the terminal accesses according to the authentication result.
  • Access controller function ;
  • the access controller has an authentication credential, an authentication function, and a function of controlling terminal access, wherein the bottom layer of the access controller has a function of controlling whether the terminal is allowed to access the access controller; and the authentication method layer of the access controller has a basis The function of authentication credentials for authentication;
  • the server has authentication credentials and authentication functions, which are implemented through the authentication method layer of the server;
  • the authentication method layer of the terminal, the authentication method layer of the access controller, and the authentication method layer of the server are common. Form the authentication protocol layer.
  • the authentication method layer of the terminal performs authentication protocol communication between the peer layer, the encapsulation layer, the bottom layer, and the bottom layer, the encapsulation layer, the authenticator layer of the access controller, and the authentication method layer of the access controller through the terminal;
  • the authentication method layer of the access controller performs authentication protocol communication between the authentication layer of the access controller, the encapsulation layer, the bottom layer, and the bottom layer, the encapsulation layer, and the peer layer of the terminal, and the authentication method layer of the terminal.
  • the authentication method layer of the access controller sequentially performs an authentication protocol between the authentication layer of the access controller, the encapsulation layer, the transport layer, and the transport layer, the encapsulation layer, and the peer layer of the server, and the authentication method layer of the server.
  • Communication; the authentication method layer of the server is sequentially performed between the peer layer of the server, the encapsulation layer, the transport layer, and the transport layer, the encapsulation layer, the authenticator layer of the access controller, and the authentication method layer of the access controller.
  • Authentication protocol communication is sequentially performed between the peer layer of the server, the encapsulation layer, the transport layer, and the transport layer, the encapsulation layer, the authenticator layer of the access controller, and the authentication method layer of the access controller.
  • FIG. 5 it is a flow chart of the network peer-to-peer access control process of the present invention.
  • the main function is implemented in the terminal
  • the authenticator function is implemented in the access controller
  • the authentication server function is implemented in the server
  • the corresponding protocol of the authentication method is implemented in the terminal, the access controller and the server.
  • the working process of the system of the present invention is as follows:
  • the access controller sends a request message to the terminal to request to start the authentication, and the request message has a type field indicating the type of the request, and the type may be Identity, MD5-Chanllenge, etc.;
  • the terminal sends a response message to the access controller to respond to the valid request message, where the response message includes a type field corresponding to the type field in the request message.
  • the access controller sends a request message to the server when necessary according to the authentication method.
  • the server sends a response message to the access controller, where the sequence of the request message and the response message continues for a required length;
  • the access controller sends a request message to the terminal, and the terminal sends a response message to the access controller, and the sequence of the request message and the response message continues to interact as needed; of course, according to different authentication methods, the terminal may not access control
  • the request message sent by the device responds;
  • the conversation continues until the access controller cannot authenticate the terminal, accesses the controller or stops sending the request message, ends the message interaction, and the access controller sends a failure message to the terminal, and the access controller does not allow the terminal to access the access.
  • the controller or the access controller determines that the successful authentication has been completed, accesses the controller or stops sending the request message, ends the message interaction, or sends a success message to the terminal, and access control
  • the device allows the terminal to access the access controller; at this time, the access control between the terminal and the access controller is completed.
  • One of the embodiments of the present invention is applied under the model of the authentication method defined in the national standard GB15629.11-2003/XG1-2006.
  • the certificate authentication process described in the standard applies the steps of the present invention as shown in FIG. 6, which are as follows:
  • the ASUE (Authentication Supplicant Entity) in Figure 6 is an authentication requester entity, that is, a terminal, which implements the main function; AE (Authenticator Entity) is a discriminator entity, that is, an access controller, which implements an authenticator function; ASE (Authentication) Service Entity is an authentication service entity, that is, a server that implements the authentication server function.
  • the authentication methods described in the standard are implemented in ASUE, AE and ASE, and the model conforming to the method of the present invention can be applied to the system of the present invention, as follows:
  • the AE sends a request message to the ASUE.
  • the ASUE sends a response message to the AE.
  • the AE sends a request message to the ASE.
  • the ASE sends a response message to the AE.
  • the AE sends a request message to the ASUE; the ASUE receives the request message, and does not need to send a response message; the AE stops sending the message.
  • the second embodiment of the present invention is applied under the Otway-Rees protocol, see Otway, D. and Ress, 0., "Efficient and timely mutual authentication" ACE OSR, Vol. 21, No. 1, pp. 8-10. , Jan.l987.
  • This protocol is used for identity authentication and cannot be applied in the form of a previous network structure.
  • the system of the present invention is combined with the protocol, and the specific steps are as follows:
  • the participants are Alice, Bob and Trent.
  • Alice generates a message that includes an index number, her identity, Bob's identity, and a random number, and encrypts this message with her shared secret key with Trent. Then, send the ciphertext along with the index number, Alice and Bob to Bob;
  • Bob generates a message that includes the identity of a new random number, index number, Alice, and Bob, and encrypts this message with his shared key with Trent. Then, along with the ciphertext along with Alice The ciphertext, index number, Alice and Bob identity are sent to Trent;
  • Trent generates a random session key. Thereafter, two messages are generated. The first message is to encrypt Alice's random number and session key with his shared key with Alice. The second message is to encrypt Bob's random number and session key with the shared key of Bob and Bob. Finally, Trent sends these two messages along with the index number to Bob.
  • Alice, Bob, and Trent implement the subject, authenticator, and authentication server functions, respectively, which can be applied in the system of the present invention.
  • the terminal main body
  • the access controller authentication
  • the terminal can communicate with the access controller and cannot communicate with the server.
  • the access controller can communicate with the terminal or with the server.
  • the terminal, the access controller, and the server all participate in the authentication, and establish a trust relationship directly between the terminal and the access controller, which has excellent security.
  • the invention is a ternary structure, it is compatible with binary two-entity structures.
  • the present invention is fully compatible with the network structure of the binary two entities. Therefore, the present invention can be applied regardless of the binary two-entity structure or the ternary three-entity structure, and fully conforms to the existing network structure.
  • the authentication method layer can use an existing authentication protocol or a new authentication protocol.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)

Description

一种三元结构的对等访问控制系统及鉴权者
本申请要求于 2006 年 12 月 18 日提交中国专利局、 申请号为 200610105204.7、 发明名称为"一种三元结构的对等访问控制系统"的中国专利 申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及一种网络访问控制系统，特别涉及一种三元结构的对等访问控 制系统及鉴权者。
背景技术
网络的基本功能是给各种终端提供网络服务，虽然终端可以物理的连接到 网络上，但是连接到网络上的不一定是经过授权的合法终端， 终端连接的也并 不一定是其所需要的网络， 因此， 在终端和网络通信前需要鉴别和授权功能来 互相鉴别对方的合法性， 即需要进行终端和网络间的双向访问控制， 以保证通 信的安全。
图 1 是终端和网络间的双向访问控制示意图， 终端 1 通过接入控制器 3 接入网络 4 , 在终端 1开始使用网络 4的资源之前， 终端 1和接入控制器 3之 间要完成访问控制 2 , 即：
1、 接入控制器 3检查终端 1是否有访问网络 4的权限， 即对终端 1进行 认证；
2、 终端 1检查接入控制器 3是否是合法的设备， 以防止数据被截取， 即 对网络 4进行认证。
在认证中需要用到实体和元的概念，其中实体是指在网络结构中完成特定 功能， 能够独立存在的功能体， 一般釆用独立的设备实现； 元是指在网络接入 认证中具有认证功能的功能体。 在网络中， 实体如果具有认证功能， 其就是一 个元； 如果实体没有认证功能， 其就不是一个元。
根据参与认证的实体的数目不同，实现终端与网络的双向认证有两种网络
EAP)中有详细描述。
第一种网络结构参见图 2 所示的二元二实体结构， 包括终端和接入控制 器， 终端对应实体一， 接入控制器对应实体二。 其中终端具有认证凭证、 认证 功能和控制是否接入网络的功能， 对应元一； 接入控制器具有认证凭证、 认证 功能和根据认证结果控制终端接入的功能， 对应元二。 在该网络结构中， 终端 和接入控制器都有认证功能， 支持双向认证。
但是二元二实体结构不存在认证服务器， 灵活性受到很大限制。 而且终端 的数量通常都比较多，如果接入控制器的数量也比较多， 那么终端和接入控制 器之间的关系就是多对多， 非常难于管理。 因此这种结构形式一般只用于接入 控制器数量很少的情况下， 其应用具有很大的局限性。
第二种网络结构参见图 3所示的二元三实体结构， 包括终端、接入控制器 和服务器， 分别对应实体一、 实体二和实体三。 其中终端具有认证凭证、 认证 功能和控制是否接入网络的功能，对应元一； 接入控制器具有根据认证结果控 制终端接入的功能， 没有认证功能； 服务器具有认证凭证和认证功能， 对应元 二。 二元三实体网络结构也称为透传 (Pass-through)模式， 在该网络结构中， 终 端和服务器都有认证功能， 而接入控制器没有认证功能， 所以该结构形式是通 过将实体二作为实体三的中继来支持双向认证。
二元三实体结构的接入控制器虚化， 只在终端和服务器之间进行认证，将 多个终端对应多个接入控制器的关系演变为多个终端对应一个服务器的关系， 即在它们之间建立信任关系 A。但是最终需要在终端和接入控制器之间建立信 任关系 B, 因此信任关系必须进行安全的转移， 即从信任关系 A转移到信任 关系 B。 信任关系的转移是通过从服务器发送一个密钥给接入控制器来完成 的。 但是该密钥如果泄漏将严重影响网络安全， 因此为了避免这一问题， 接入 控制器和服务器之间必须建立信任关系 C和安全通道。 而接入控制器收到密 钥后， 终端和接入控制器还必须确认信任关系 B。 所以， 终端和接入控制器之 间信任关系的建立需要经过三次信任关系的传递才能完成。而多次的信任关系 传递不但导致认证的复杂而且可能影响网络的安全， 应该尽量避免。
发明内容
本发明提供一种安全实现终端与网络双向认证的三元结构对等访问控制 系统及鉴权者，不但解决了现有的二元二实体结构访问控制系统中接入形式的 灵活性受到限制、接入控制器数量不宜扩展的技术问题， 而且解决了现有的二 元三实体结构访问控制系统中信任关系建立的过程复杂且影响网络安全的技 术问题。
本发明的技术解决方案是：
一种三元结构的对等访问控制系统， 包括主体、 鉴权者和认证服务器； 所述主体包括主体的底层、主体的封装层、主体的对等体层和主体的认证 权者的功能， 所述主体的认证方法层用于根据认证凭证进行认证；
所述鉴权者包括鉴权者的底层、鉴权者的传输层、鉴权者的封装层和鉴权 者的鉴权者层， 所述鉴权者的底层用于控制鉴权者是否允许主体接入；
所述认证服务器包括认证服务器的传输层、认证服务器的封装层、认证服 务器的对等体层和认证服务器的认证方法层，所述认证服务器的认证方法层用 于根据认证凭证进行认证；
其中：
所述鉴权者还包括鉴权者的认证方法层，所述鉴权者的认证方法层用于根 据认证凭证进行认证；
所述主体的认证方法层、鉴权者的认证方法层和认证服务器的认证方法层 共同构成认证协议层；
所述主体的认证方法层依次通过主体的对等体层、主体的封装层、主体的 底层、 鉴权者的底层、 鉴权者的封装层、 鉴权者的鉴权者层同鉴权者的认证方 法层进行认证协议通信， 所述鉴权者的认证方法层依次通过鉴权者的鉴权者 层、 鉴权者的封装层、 鉴权者的底层、 主体的底层、 主体的封装层、 主体的对 等体层同主体的认证方法层进行认证协议通信；
所述鉴权者的认证方法层依次通过鉴权者的鉴权者层、 鉴权者的封装层、 鉴权者的传输层、 认证服务器的传输层、 认证服务器的封装层、 认证服务器的 对等体层同认证服务器的认证方法层进行认证协议通信，所述认证服务器的认 证方法层依次通过认证服务器的对等体层、认证服务器的封装层、认证服务器 的传输层、 鉴权者的传输层、 鉴权者的封装层、 鉴权者的鉴权者层同鉴权者的 认证方法层进行认证协议通信。
上述主体的认证方法层同鉴权者的认证方法层进行的认证协议通信包含： 鉴权者的认证方法层发送给主体的认证方法层的请求消息和主体的认证方法 层发送给鉴权者的认证方法层的响应消息； 上述请求消息中包含一个类型字 段， 该类型字段是用来指示请求消息类型的字段； 上述响应消息中包含一个类 型字段， 对应于所述请求消息中的类型字段。
上述鉴权者的认证方法层同认证服务器的认证方法层进行的认证协议通 信包含：鉴权者的认证方法层发送给认证服务器的认证方法层的请求消息和认 证服务器的认证方法层向鉴权者的认证方法层响应消息；上述请求消息中包含 一类型字段， 该类型字段是用来指示请求消息类型的字段； 所述响应消息中包 含一个类型字段， 对应于所述请求消息中的类型字段。
上述主体的具体结构形式是终端；上述鉴权者的具体结构形式是接入控制 器； 上述认证服务器的具体结构形式是服务器。
一种鉴权者， 包括： 底层、 传输层、 封装层和鉴权者层； 所述底层用于控 制是否允许主体接入鉴权者； 其特征在于， 还包括： 认证方法层， 用于根据认 证凭证进行认证。
其中 , 所述鉴权者的具体结构形式是接入控制器。
在本发明网络结构形式下， 终端（主体）和接入控制器（鉴权者）进行认 证， 需要通过服务器（认证服务器）的协助来完成。 终端可以和接入控制器通 信， 不能和服务器通信， 接入控制器可以和终端通信， 也可以和服务器通信。 终端、接入控制器和服务器都参与认证， 直接在终端和接入控制器之间一次性 建立信任关系， 具有极好的安全性。
虽然本发明是三元结构，但是能和二元二实体结构兼容。在认证服务器不 存在的情况下， 本发明完全兼容于二元二实体的网络结构。 因此不论对于二元 二实体结构还是三元三实体结构， 本发明都可以适用， 充分符合现有的网络结 构。
此外，在实现符合本发明的系统时，认证方法层可以使用已有的认证协议， 也可设计新的认证协议。
附图说明
图 1是现有的终端和网络间的双向访问控制示意图；
图 2是现有技术二元二实体结构的网络访问控制系统的连接关系图； 图 3是现有技术二元三实体结构的网络访问控制系统的连接关系图； 图 4是本发明三元三实体结构的网络对等访问控制系统的连接关系图； 图 5是本发明三元三实体结构的网络对等访问控制系统的工作流程图； 图 6是本发明系统应用于一种具体证书鉴别过程的流程图；
其中： 1-终端， 2-访问控制， 3-接入控制器， 4-网络。
具体实施方式
首先， 介绍本发明的原理如下： 体、鉴权者和认证服务器的认证方法层是认证协议在各个参与者中的实现， 它 们共同构成认证协议层， 完成认证协议功能。
本发明对终端、接入控制器和服务器的功能进行了调整，使接入控制器具 有认证凭证和认证功能， 将网络结构形式变成三元三实体：
实体一 /元一： 终端（实体一）， 具有认证凭证、 认证功能和控制是否接入 网络的功能（元一）。
实体二 /元二： 接入控制器（实体二）， 具有认证凭证、 认证功能和根据认 证结果控制终端接入的功能（元二）。
实体三 /元三： 服务器（实体三）， 具有认证凭证和认证功能（元三）。 在这种结构形式下， 终端（主体）和接入控制器（鉴权者）进行认证， 需 要通过服务器（认证服务器）的协助来完成。 终端可以和接入控制器通信， 不 能和服务器通信， 接入控制器可以和终端通信， 也可以和服务器通信。 终端、 接入控制器和服务器都参与认证，直接在终端和接入控制器之间一次性建立信 任关系， 具有极好的安全性。
如果认证协议只需要主体和鉴权者参与 ,则主体的认证方法层和鉴权者的 认证方法层共同构成认证协议层，共同完成认证协议功能。如果主体和鉴权者 进行认证需要服务器的参与， 则需要主体的认证方法层、鉴权者的认证方法层 和认证服务器的认证方法层共同构成认证协议层，共同完成认证协议功能； 三 者之间可以运行同一个认证协议，也可以两两之间运行不同的认证协议，但本 质上两两之间的消息是有关联的，共同完成一个目的， 即完成主体和鉴权者之 间的认证。 在本技术领域中， 底层、 传输层、 封装层、 对等体层、 鉴权者层和认证方 法层的概念如下：
底层和传输层：底层和传输层负责在对等体和鉴权者之间传送和接收数据 帧， 该传输层是逻辑概念， 表示该层和相邻的底层可以不是同一种技术。
封装层： 封装层通过底层传送和接收三元可扩展鉴权协议 （ TEAP ,
Triple-unit Extensible Authentication Protocol )数据帧， 实现重复帧检测和重传、 在对等体层和鉴权者层之间传送消息。
对等体层和鉴权者层： 封装层解析 TEAP数据帧，传送到对等体层或鉴权 者层。 对等体层和鉴权者层解析收到的数据包， 传送给相应的认证方法层
认证方法层： 认证方法层实现了认证算法，通过对等体层和鉴权者层传送 消息。
本发明对等访问控制系统的具体结构见图 4, 包括： 终端、 接入控制器和 服务器。 终端 （对应于主体） 包括底层 （对应主体的底层）、 封装层（对应主 体的封装层）、 对等体层（对应主体的对等体层）和认证方法层（对应主体的 认证方法层）； 接入控制器（对应于鉴权者） 包括底层（对应鉴权者的底层）、 传输层（对应鉴权者的传输层）、封装层（对应鉴权者的封装层）、鉴权者层（对 应鉴权者的鉴权者层）和认证方法层 （对应鉴权者的认证方法层）； 服务器包 括传输层 （对应认证服务器的传输层）、 封装层（对应认证服务器的封装层）、 对等体层（对应认证服务器的对等体层）和认证方法层（对应认证服务器的认 证方法层）。
终端具有认证凭证、 认证功能和控制是否接入接入控制器的功能， 其中， 终端的认证方法层具有根据认证凭证进行认证的功能，终端的底层具有传送数 据以及根据认证结果控制终端是否接入接入控制器的功能；
接入控制器具有认证凭证、 认证功能和控制终端接入的功能， 其中， 接入 控制器的底层具有控制是否允许终端接入接入控制器的功能；接入控制器的认 证方法层具有根据认证凭证进行认证的功能；
服务器具有认证凭证和认证功能，是通过服务器的认证方法层来实现该功 能的；
终端的认证方法层、接入控制器的认证方法层和服务器的认证方法层共同 构成认证协议层。
终端的认证方法层依次通过终端的对等体层、封装层、底层以及接入控制 器的底层、封装层、鉴权者层来和接入控制器的认证方法层之间进行认证协议 通信； 接入控制器的认证方法层依次通过接入控制器的鉴权者层、 封装层、 底 层以及终端的底层、封装层、对等体层来和终端的认证方法层之间进行认证协 议通信。
接入控制器的认证方法层依次通过接入控制器的鉴权者层、封装层、传输 层以及服务器的传输层、封装层、对等体层来和服务器的认证方法层之间进行 认证协议通信； 服务器的认证方法层依次通过服务器的对等体层、 封装层、 传 输层以及接入控制器的传输层、封装层、鉴权者层来和接入控制器的认证方法 层之间进行认证协议通信。
如图 5所示， 是本发明的网络对等访问控制过程的流程图。 其中： 在终端 中实现主体功能， 在接入控制器中实现鉴权者功能，在服务器中实现认证服务 器功能； 在终端、接入控制器和服务器中实现认证方法的相应协议。 本发明系 统的工作过程具体如下：
501、 接入控制器发送请求消息给终端要求开始认证， 请求消息有一个类 型字段指示请求的种类， 类型可以是 Identity, MD5-Chanllenge等；
502、 终端发送响应消息给接入控制器来响应有效的请求消息， 响应消息 中包含一个类型字段， 对应于请求消息中的类型字段；
503、 根据认证方法的不同， 接入控制器必要时向服务器发送请求消息；
504、 服务器向接入控制器发送响应消息， 此请求消息和响应消息的序列 会持续需要的长度；
505 - 506、接入控制器发送请求消息给终端， 终端发送响应消息给接入控 制器， 请求消息和响应消息的序列根据需要持续交互； 当然， 根据认证方法的 不同， 终端可以不对接入控制器发送的请求消息进行响应；
507、 对话一直持续到接入控制器不能认证终端， 接入控制器或停止发送 请求消息， 结束消息交互， 接入控制器将发送失败消息给终端， 接入控制器不 允许终端接入接入控制器； 或者接入控制器判断成功的认证已经完成，接入控 制器或停止发送请求消息， 结束消息交互， 或发送成功消息给终端， 接入控制 器允许终端接入接入控制器； 此时终端和接入控制器之间的访问控制完成。 本发明的实施方式之一是在国标 GB15629.11-2003/XG1-2006中定义的认 证方法的模型下应用， 该标准中描述的证书鉴别过程应用本发明步骤详见图 6, 具体如下：
图 6中的 ASUE ( Authentication Supplicant Entity )是鉴别请求者实体， 也 就是终端， 实现主体功能； AE ( Authenticator Entity )是鉴别器实体， 也就是 接入控制器， 实现鉴权者功能； ASE ( Authentication Service Entity )是鉴别服 务实体， 也就是服务器， 实现认证服务器功能。 标准中描述的认证方法在 ASUE、 AE和 ASE中都要实现， 符合本发明方法的模型， 可以应用在本发明 的系统中， 具体如下：
601、 AE向 ASUE发送请求消息；
602、 ASUE向 AE发送响应消息；
603、 AE向 ASE发送请求消息；
604、 ASE向 AE发送响应消息；
605、 AE向 ASUE发送请求消息； ASUE收到请求消息， 不需发送响应消 息； AE停止发送消息。
消息中所包含的具体字段定义参见国标 GB15629.11-2003/XG1-2006的定 义。
本发明的实施方式之二是在 Otway-Rees协议下应用， 参见 Otway,D. and Ress,0., "Efficient and timely mutual authentication" ACE OSR,Vol.21,No.l,pp.8-10,Jan.l987。 该协议是用于身份认证的， 不能在以前的 网络结构形式下应用。 本发明的系统与该协议结合， 其具体步骤如下：
参与者为 Alice、 Bob和 Trent。
l]Bob发送请求消息要求开始认证；
2]Alice生成一条消息， 其中包括一个索引号码、 她的身份、 Bob 的身份 和一个随机数， 并将这条消息釆用她和 Trent的共享密钥加密。 然后， 将密文 连同索引号、 Alice和 Bob的身份一起发送给 Bob;
3]Bob生成一条消息， 其中包括一个新的随机数、 索引号、 Alice和 Bob 的身份，并将这条消息釆用他和 Trent的共享密钥加密。然后，将密文连同 Alice 的密文、 索引号、 Alice和 Bob的身份一起发送给 Trent;
4]Trent生成一个随机的会话密钥。 此后， 生成两条消息。 第一条消息是 将 Alice的随机数和会话密钥釆用他和 Alice的共享密钥加密。 第二条消息是 将 Bob的随机数和会话密钥釆用他和 Bob的共享密钥加密。 最后， Trent将这 两条消息连同索引号一起发送给 Bob。
5]Bob将属于 Alice的那条消息连同索引号一起发送给 Alice。
6]如果所有的随机数都匹配， 而且通信过程中索引号没有被改动， 那么认 证成功。
可以看出， Alice、 Bob和 Trent分别实现主体、鉴权者和认证服务器功能， 该认证协议可以在本发明的系统中应用。
综上所述， 在本发明网络结构形式下， 终端（主体）和接入控制器（鉴权 者）进行认证， 需要通过服务器（认证服务器）的协助来完成。 终端可以和接 入控制器通信， 不能和服务器通信， 接入控制器可以和终端通信， 也可以和服 务器通信。 终端、接入控制器和服务器都参与认证， 直接在终端和接入控制器 之间一次性建立信任关系， 具有极好的安全性。
虽然本发明是三元结构，但是能和二元二实体结构兼容。在认证服务器不 存在的情况下， 本发明完全兼容于二元二实体的网络结构。 因此不论对于二元 二实体结构还是三元三实体结构， 本发明都可以适用， 充分符合现有的网络结 构。
此外，在实现符合本发明的系统时，认证方法层可以使用已有的认证协议， 也可设计新的认证协议。
上述实施例是用于说明和解释本发明的原理的。可以理解， 本发明的具体 实施方式不限于此。对于本领域技术人员而言，在不脱离本发明的实质和范围 的前提下进行的各种变更和修改均涵盖在本发明的保护范围之内。 因此， 本发 明的保护范围由权利要求确定。

Claims

权 利 要 求
1、 一种三元结构的对等访问控制系统， 包括主体、 鉴权者和认证服务器； 所述主体包括主体的底层、主体的封装层、主体的对等体层和主体的认证 权者的功能， 所述主体的认证方法层用于根据认证凭证进行认证；
所述鉴权者包括鉴权者的底层、鉴权者的传输层、鉴权者的封装层和鉴权 者的鉴权者层， 所述鉴权者的底层用于控制是否允许主体接入鉴权者；
所述认证服务器包括认证服务器的传输层、认证服务器的封装层、认证服 务器的对等体层和认证服务器的认证方法层，所述认证服务器的认证方法层用 于根据认证凭证进行认证；
其特征在于：
所述鉴权者还包括鉴权者的认证方法层，所述鉴权者的认证方法层用于根 据认证凭证进行认证；
所述主体的认证方法层、鉴权者的认证方法层和认证服务器的认证方法层 共同构成认证协议层；
所述主体的认证方法层依次通过主体的对等体层、主体的封装层、主体的 底层、 鉴权者的底层、 鉴权者的封装层、 鉴权者的鉴权者层同鉴权者的认证方 法层进行认证协议通信， 所述鉴权者的认证方法层依次通过鉴权者的鉴权者 层、 鉴权者的封装层、 鉴权者的底层、 主体的底层、 主体的封装层、 主体的对 等体层同主体的认证方法层进行认证协议通信；
所述鉴权者的认证方法层依次通过鉴权者的鉴权者层、 鉴权者的封装层、 鉴权者的传输层、 认证服务器的传输层、 认证服务器的封装层、 认证服务器的 对等体层同认证服务器的认证方法层进行认证协议通信，所述认证服务器的认 证方法层依次通过认证服务器的对等体层、认证服务器的封装层、认证服务器 的传输层、 鉴权者的传输层、 鉴权者的封装层、 鉴权者的鉴权者层同鉴权者的 认证方法层进行认证协议通信。
2、 根据权利要求 1所述的三元结构的对等访问控制系统， 其特征在于： 所 述主体的认证方法层同鉴权者的认证方法层进行的认证协议通信包含：鉴权者 的认证方法层发送给主体的认证方法层的请求消息和主体的认证方法层发送 给鉴权者的认证方法层的响应消息； 所述请求消息中包含一个类型字段， 该类 型字段用来指示请求消息类型的字段； 所述响应消息中包含一个类型字段，对 应于所述请求消息中的类型字段。
3、 根据权利要求 1所述的三元结构的对等访问控制系统， 其特征在于： 所述鉴权者的认证方法层同认证服务器的认证方法层进行的认证协议通信包 含：鉴权者的认证方法层发送给认证服务器的认证方法层的请求消息和认证服 务器的认证方法层发送给鉴权者的认证方法层的响应消息；所述请求消息中包 含一个类型字段， 该类型字段用来指示请求消息类型的字段； 所述响应消息中 包含一个类型字段， 对应于所述请求消息中的类型字段。
4、 根据权利要求 1或 2或 3所述的三元结构的对等访问控制系统， 其特 征在于： 所述主体的具体结构形式是终端； 所述鉴权者的具体结构形式是接入 控制器； 所述认证服务器的具体结构形式是服务器。
5、 一种鉴权者， 其特征在于， 包括： 底层、 传输层、 封装层和鉴权者层； 所述底层用于控制是否允许主体接入鉴权者； 其特征在于， 还包括： 认证方法 层， 用于根据认证凭证进行认证。
6、 根据权利要求 5所述的鉴权者， 其特征在于， 所述鉴权者的具体结构 形式是接入控制器。
PCT/CN2007/070173 2006-12-18 2007-06-25 Système de contrôle d'accès p2p faisant intervenir une structure à trois éléments et dispositif d'autorisation associé WO2008074234A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CNB2006101052047A CN100463462C (zh) 2006-12-18 2006-12-18 一种三元结构的对等访问控制系统
CN200610105204.7 2006-12-18

Publications (1)

Publication Number Publication Date
WO2008074234A1 true WO2008074234A1 (fr) 2008-06-26

Family

ID=38126131

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/070173 WO2008074234A1 (fr) 2006-12-18 2007-06-25 Système de contrôle d'accès p2p faisant intervenir une structure à trois éléments et dispositif d'autorisation associé

Country Status (2)

Country Link
CN (1) CN100463462C (zh)
WO (1) WO2008074234A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100534036C (zh) 2007-08-01 2009-08-26 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络连接方法
CN100566252C (zh) * 2007-08-03 2009-12-02 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络连接系统
CN101145915B (zh) * 2007-10-10 2011-08-10 中国科学院计算技术研究所 一种可信路由器认证系统和方法
CN100496025C (zh) * 2007-11-16 2009-06-03 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制方法
CN100553212C (zh) 2007-11-16 2009-10-21 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制系统
CN101527718B (zh) 2009-04-16 2011-02-16 西安西电捷通无线网络通信股份有限公司 一种建立三元对等鉴别可信网络连接架构的方法
CN101527717B (zh) * 2009-04-16 2012-11-28 西安西电捷通无线网络通信股份有限公司 一种三元对等鉴别可信网络连接架构的实现方法
CN101540676B (zh) 2009-04-28 2012-05-23 西安西电捷通无线网络通信股份有限公司 一种适合三元对等鉴别可信网络连接架构的平台鉴别方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US1765082A (en) * 1929-07-09 1930-06-17 James L Sparks Harrow tooth
US20040098612A1 (en) * 2002-11-07 2004-05-20 Mednovus, Inc. Authentication, authorization and accounting (diameter) protocol-based accounting method using batch processing
CN1539106A (zh) * 2001-07-12 2004-10-20 诺基亚公司 互联网协议的模块化鉴权和授权方案
CN1567868A (zh) * 2003-07-02 2005-01-19 华为技术有限公司 基于以太网认证系统的认证方法
EP1708447A1 (en) * 2005-03-31 2006-10-04 BRITISH TELECOMMUNICATIONS public limited company Method and apparatus for communicating information between devices

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1175626C (zh) * 2002-12-16 2004-11-10 北京朗通环球科技有限公司 无线接入设备
US7434044B2 (en) * 2003-02-26 2008-10-07 Cisco Technology, Inc. Fast re-authentication with dynamic credentials

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US1765082A (en) * 1929-07-09 1930-06-17 James L Sparks Harrow tooth
CN1539106A (zh) * 2001-07-12 2004-10-20 诺基亚公司 互联网协议的模块化鉴权和授权方案
US20040098612A1 (en) * 2002-11-07 2004-05-20 Mednovus, Inc. Authentication, authorization and accounting (diameter) protocol-based accounting method using batch processing
CN1567868A (zh) * 2003-07-02 2005-01-19 华为技术有限公司 基于以太网认证系统的认证方法
EP1708447A1 (en) * 2005-03-31 2006-10-04 BRITISH TELECOMMUNICATIONS public limited company Method and apparatus for communicating information between devices

Also Published As

Publication number Publication date
CN1976338A (zh) 2007-06-06
CN100463462C (zh) 2009-02-18

Similar Documents

Publication Publication Date Title
WO2008074233A1 (fr) Procédé de contrôle d'accès p2p faisant intervenir une structure à trois éléments
US7707412B2 (en) Linked authentication protocols
EP1997292B1 (en) Establishing communications
EP2317445B1 (en) Information processing apparatus and method, recording medium and program
RU2406251C2 (ru) Способ и устройство для установления безопасной ассоциации
KR100832893B1 (ko) 무선 근거리 통신망으로 이동 단말의 보안 접근 방법 및 무선 링크를 통한 보안 데이터 통신 방법
CN109347809A (zh) 一种面向自主可控环境下的应用虚拟化安全通信方法
WO2008074234A1 (fr) Système de contrôle d'accès p2p faisant intervenir une structure à trois éléments et dispositif d'autorisation associé
KR101218701B1 (ko) 포트 기반 피어 액세스 제어 방법
WO2010012203A1 (zh) 鉴权方法、重认证方法和通信装置
WO2006086932A1 (fr) Methode d'authentification d'acces adaptee aux reseaux avec et sans fils
WO2005112338A1 (fr) Procede de distribution de cles
RU2008146960A (ru) Способ и система предоставления защищенной связи с использованием сотовой сети для множества устройств специализированной связи
US20040010713A1 (en) EAP telecommunication protocol extension
WO2007028328A1 (fr) Procede, systeme et dispositif de negociation a propos d'une cle de chiffrement partagee par equipement utilisateur et equipement externe
CN104113547B (zh) 一种sip安全防范视频监控入网控制系统
WO2014176997A1 (zh) 数据收发方法及系统、消息的处理方法及装置
CN108964888B (zh) 一种基于对称密钥池和中继通信的改进型aka身份认证系统和方法
WO2005079013A1 (fr) Procede de transmission de messages dans le systeme h323
CN105848140B (zh) 一种5g网络中能够实现通信监管的端到端安全建立方法
CN100544247C (zh) 安全能力协商方法
CN101094063B (zh) 一种游牧终端接入软交换网络系统的安全交互方法
KR100553792B1 (ko) 단말 대 단말간의 인증기능을 구비한 통신장치 및 방법
CN101521884A (zh) 一种自组网模式下安全关联建立方法及终端
CN100589384C (zh) 一种用户终端接入软交换系统的安全交互方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07721789

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07721789

Country of ref document: EP

Kind code of ref document: A1