一種基于準實時狀態反饋的可信網絡連接方法技術

本發明專利技術公開了一種基于準實時狀態反饋的可信網絡連接方法，該方法包括：每個可信終端周期性的執行可信接入度量驗證步驟，以通過可信連接管理服務器向策略管理器上報其自身的可信狀態，使得該策略管理器根據該可信狀態更新合法終端列表和非法終端列表；當該多個可信終端中的兩個可信終端需要進行數據傳輸時，作為發起方的可信終端根據當前的合法終端列表和非法終端列表確定作為接收方的可信終端的終端狀態，執行與該終端狀態對應的通信控制策略。本發明專利技術可降低可信網絡連接建立過程所花費的時間，在數據傳輸的過程中，即使可信終端的狀態發生變化，也可根據變化后對應的通信控制策略進行可信網絡連接，提高可信網絡的安全性，保證數據傳輸的實時性。

【技術實現步驟摘要】

本專利技術涉及可信計算領域，特別是涉及一種基于準實時狀態反饋的可信網絡連接方法。
技術介紹
可信網絡的連接架構要求終端在接入可信網絡之前，對其平臺狀態進行度量，只有滿足網絡安全策略的終端才被允許接入網絡，使對可信網絡有潛在威脅的終端不能直接接入可信網絡，同時，終端也對接入服務器進行驗證，只有滿足終端安全策略的接入服務器才允許與終端連接，這是一種主動、雙向的、預先防范的網絡連接方法，目的是使信任鏈從終端擴展到網絡，將單個終端的可信狀態擴展到互聯系統。圖1所示為可信網絡系統的結構示意圖。該可信網絡包括策略管理器、可信連接管理服務器和多個可信終端。該策略管理器可以通過網絡管理多個可信連接管理服務器，每個可信連接管理服務器設置在不同的通信域中，每個可信連接管理服務器可連接并管理多個可信終端。在現有技術中，當一可信終端作為訪問請求發起方需要接入網絡并與作為訪問請求接收方的另一可信終端進行數據傳輸時，需要執行以下可信網絡連接方法：(1)訪問請求發起方向可信連接管理服務器發起訪問請求；(2)策略管理器作為可信第三方，實現訪問請求發起方和可信連接管理服務器的雙向用戶身份鑒別；(3)雙向用戶身份鑒別成功后，策略管理器作為可信第三方，實現訪問請求發起方和可信連接管理服務器的雙向平臺身份鑒別，即進行平臺身份鑒別和平臺完整性校驗；(4)當雙向平臺身份鑒別成功后，策略管理器根據鑒別結果生成通信控 制策略，并分別發送給訪問請求發起方和可信連接管理服務器；(5)訪問請求發起方和可信連接管理服務器根據該通信控制策略對各自的本地端口進行控制，從而實現可信網絡連接，即可信連接管理服務器依據通信控制策略控制訪問請求發起方對可信網絡的訪問，訪問請求發起方依據該通信控制策略判定是否連接至該可信網絡，當可以發起訪問時，訪問請求發起方執行應用數據的傳輸流程。然而，上述可信網絡連接方法存在的問題在于，訪問請求發起方每發起一次訪問，都要執行上述步驟(1)-(5)，即，可信接入的度量驗證流程和應用數據的傳輸流程是綁定在一起的，每次網絡訪問均需要執行度量驗證流程和應用數據的傳輸流程。而由于在每次執行應用數據的傳輸流程之前都需要執行可信接入的度量驗證流程，故而可信網絡連接建立過程花費時間較長，需進行等待，降低用戶體驗。另外，在連接建立后，數據傳輸的過程中，無法監控系統的狀態變化，特別是無法監控參與數據傳輸的各方的可信狀態。如果在訪問請求發起方與訪問請求接收方的數據傳輸的過程中，訪問請求發起方和/或訪問請求接收方的可信狀態發生了改變，數據傳輸也不能做出相應的調整，可能導致數據傳輸的安全性方面的隱患。并且，在應用交互頻繁的大型可信系統中，以上可信網絡連接方法將導致策略管理器對大量訪問請求頻繁提供身份鑒定和策略提供的服務，使得策略管理器壓力過大，不堪重負。
技術實現思路
本專利技術解決的技術問題在于，降低可信網絡連接建立過程所花費的時間。進一步的，本專利技術在數據傳輸的過程中，即使可信終端的狀態發生變化，也可根據變化后對應的通信控制策略進行可信網絡連接，提高可信網絡的安全性。進一步的，本專利技術用于保證數據傳輸的實時性。為了解決上述問題，本專利技術公開了一種基于準實時狀態反饋的可信網絡連接方法，應用于一可信網絡系統，該系統包括策略管理器、可信連接管理服務器和多個可信終端，該方法包括：每個該可信終端周期性的執行可信接入度量驗證步驟，以通過該可信連接 管理服務器向該策略管理器上報其自身的可信狀態，使得該策略管理器根據該可信狀態更新可信網絡的合法終端列表和非法終端列表；當該多個可信終端中的兩個可信終端需要進行數據傳輸時，作為發起方的可信終端根據當前的合法終端列表和非法終端列表確定作為接收方的可信終端的終端狀態，執行與該終端狀態對應的通信控制策略。該可信接入度量驗證步驟包括：以該策略管理器為可信第三方，該可信終端與該可信連接管理服務器進行平臺身份雙向認證；雙向認證通過后，該可信終端采集自身當前的運行狀態作為該可信狀態，發送給該可信連接管理服務器，由該可信連接管理服務器轉發至該策略管理器；該策略管理器根據該可信狀態判斷該可信終端的終端狀態，根據該終端狀態更新該合法終端列表和非法終端列表，將更新后的合法終端列表和非法終端列表以及對應的通信控制策略發送至該可信連接管理服務器；該可信連接管理服務器利用該對應的通信控制策略更新所有的該可信終端。該可信終端的運行狀態包括：該可信終端的可信密碼模塊的PCR值、當前運行進程列表、當前活動驅動列表、當前系統硬件列表中的一種或幾種。該終端狀態包括可信、不可信、未知，該策略管理器對應設置的通信控制策略包括：允許通信、阻斷通信、事件審計。當該通信控制策略為允許通信時，該發起方執行數據打包，封裝該發起方的身份來源標識數據至數據包中，以便于該接收方確認數據來源。封裝后的該數據包包括發起方ID、傳輸序列號、挑戰信息、荷載數據和簽名值。所述方法包括，如果在執行該數據打包過程中，包長超過預設值，該發起方建立新的數據包繼續添加荷載數據，該挑戰信息保持不變，在已封裝的數據包的傳輸序列號字段增加關聯標記。該接收方收到該數據包，根據該身份來源標識數據確定該發起方的身份，并根據當前的合法終端列表和非法終端列表確定該發起方的可信終端的終端狀態，執行與該終端狀態對應的通信控制策略。本專利技術實現的技術效果在于，可降低可信網絡連接建立過程所花費的時間，在數據傳輸的過程中，即使可信終端的狀態發生變化，也可根據變化后對應的通信控制策略進行可信網絡連接，提高可信網絡的安全性，保證數據傳輸的實時性。附圖說明圖1所示為可信網絡系統的結構示意圖。圖2所示為本專利技術的基于準實時狀態反饋的可信網絡連接方法的流程示意圖。圖3為訪問請求發起方與訪問請求接收方之間數據傳輸的流程示意圖。圖4A所示為現有技術中數據包的結構示意圖。圖4B所示為本專利技術的數據包的結構示意圖。具體實施方式以下結合實施例詳細描述本專利技術的實現過程，不視為對本專利技術的限制。為了解決上述問題，本專利技術公開了一種基于準實時狀態反饋的可信網絡連接方法，本專利技術通過將數據流與控制流相分離，也就是可信接入的度量驗證流程和應用數據的傳輸流程相分離的方式，解決了可信網絡連接過程中連接建立時間過長，無法保證應用業務數據傳輸實時性，以及無法監控連接建立后系統狀態變化的問題。本專利技術通過下述方法實現上述技術目標：數據流層面，系統中應用數據傳輸通過能夠實現可靠來源標識的隧道進行封裝，保證數據來源可辨識和驗證。控制流層面，本專利技術基于可信終端周期執行的可信接入度量驗證，建立并維護系統中合法終端列表和非法終端列表。通信進行中，進行通信的可信終端之間按合法終端列表和非法終端列表裁決對方的可信性，并對通信行為進行強制訪問控制或審計。以下進行具體說明，參照圖1為可信網絡系統的結構示意圖。該可信網絡包括策略管理器、可信連接管理服務器和多個可信終端。該策略管理器可以管理多個可信連接管理服務器，每個可信連接管理服務器設置在 不同的通信域中，每個可信連接管理服務器可連接并管理多個可信終端。策略管理器用于建立和維護度量基準庫，根據可信終端上報的可信狀態，特別是可信狀態的信任憑據，裁決該可信終端當前運行狀態的可信性，合法終端列表和非法終端列表；另外，該策略管理器還用于按安全需求不同，制定網本文檔來自技高網...

【技術保護點】
一種基于準實時狀態反饋的可信網絡連接方法，應用于一可信網絡系統，該系統包括策略管理器、可信連接管理服務器和多個可信終端，其特征在于，該方法包括：每個該可信終端周期性的執行可信接入度量驗證步驟，以通過該可信連接管理服務器向該策略管理器上報其自身的可信狀態，使得該策略管理器根據該可信狀態更新可信網絡的合法終端列表和非法終端列表；當該多個可信終端中的兩個可信終端需要進行數據傳輸時，作為發起方的可信終端根據當前的合法終端列表和非法終端列表確定作為接收方的可信終端的終端狀態，執行與該終端狀態對應的通信控制策略。

【技術特征摘要】
1.一種基于準實時狀態反饋的可信網絡連接方法，應用于一可信網絡系統，該系統包括策略管理器、可信連接管理服務器和多個可信終端，其特征在于，該方法包括：每個該可信終端周期性的執行可信接入度量驗證步驟，以通過該可信連接管理服務器向該策略管理器上報其自身的可信狀態，使得該策略管理器根據該可信狀態更新可信網絡的合法終端列表和非法終端列表；當該多個可信終端中的兩個可信終端需要進行數據傳輸時，作為發起方的可信終端根據當前的合法終端列表和非法終端列表確定作為接收方的可信終端的終端狀態，執行與該終端狀態對應的通信控制策略。2.如權利要求1所述的方法，其特征在于，該可信接入度量驗證步驟包括：以該策略管理器為可信第三方，該可信終端與該可信連接管理服務器進行平臺身份雙向認證；雙向認證通過后，該可信終端采集自身當前的運行狀態作為該可信狀態，發送給該可信連接管理服務器，由該可信連接管理服務器轉發至該策略管理器；該策略管理器根據該可信狀態判斷該可信終端的終端狀態，根據該終端狀態更新該合法終端列表和非法終端列表，將更新后的合法終端列表和非法終端列表以及對應的通信控制策略發送至該可信連接管理服務器；該可信連接管理服務器利用該對應的通信控制策略更新...

【專利技術屬性】
技術研發人員：王飛，王宇，田健生，強杰，李晉麗，吳忠望，
申請(專利權)人：中國人民解放軍裝備學院，北京可信華泰信息技術有限公司，
類型：發明
國別省市：北京;11