专利名称：一种网络环境下可信设备的认证方法
技术领域：
本发明涉及信息安全技术，特别涉及一种网络环境下可信设备的认证方法， 属于计算机技术领域。
背景技术：
移动存储设备，如u盘、移动硬盘等，因其体积小、容量大等优点，已得到
广泛应用。作为数据交换的主要手段之一，移动存储设备正成为数据和信息的重 要载体，但是我们也应该看到，移动存储设备在给我们带来极大方便的同时，也 给我们带来了不少的安全隐患。近几年的安全防御调查也表明，政府、企业单位
中超过70%的管理和安全问题来自单位内部人员，特别是因为移动存储介质的普 遍应用。
移动存储设备使用灵活、方便的特性使得它在单位信息化过程中迅速得到了 广泛的应用，越来越多的敏感信息、秘密数据和档案资料被随意的拷贝、存贮在 移动存储介质里。单位和个人持有的移动存储设备不区分，单位信息和个人信息 同时存储在同一个存储设备中，秘密信息保管不善，或把病毒、木马等恶意代码 带入单位计算机网络，这都给单位的信息资源带来了巨大的安全隐患。
近年来屡屡发生的移动存储介质泄密、窃密案件给国家和企事业单位带来 了不可估量的损失，也逐渐引起了国家和企事业单位的重视，单位通过各种行政 管理手段对USB存储设备做了相应的规定，但往往由于使用人对于单位保密意识 的淡漠或其他原因，仍然不可避免的产生了很多的问题，过去有的单位采用了用 树脂胶填充甚至手工强制拆除USB硬件组件的办法，或者采用一些软件对USB 口进行阻断等等，但这些办法又给工作效率的提高带来了极大的障碍，与信息化 提高工作效率的初衷背道而驰，同时在使用过程中仍然缺乏相应的监管力度，安 全隐患仍然存在。
同时，政府、企事业单位对如何监管、控制外来计算机等非授权设备的接入 方面颇费脑筋。
目前，外来计算机等设备通过各种合法或非法手段接入单位内部网络，由于 监管、有效防范手段缺失，导致机密信息的泄漏，引发各种严重的信息安全问题、 甚至社会、安全问题。使用的随意与有效防范手段缺失使外来计算机设备监管成 为现阶段的安全难点。
如何鉴别这些外来计算机、u盘、移动硬盘等设备，做好相关的监管、控制
工作，是政府、企事业单位做好信息安全防范的重要方面。
在增强设备的可识别性基础上，做好设备的准入控制、访问权限控制等方面 的管理，才能保证设备的安全、可信。
可信设备，指被准许在单位内部使用的移动存储设备或允许接入的计算机设
备等；非法设备，指来源不明未被准许在内部使用的，或者是外来单位带入的移 动存储设备、计算机等。
对于可信设备认证，要求做到"非法的设备在工作环境中不能使用"和"可 信设备在工作环境中能够正常使用"。
要做到既有效的控制单位移动存储设备和计算机等设备的管理、防止泄密案 件的发生、保护系统安全、又能不影响单位信息化效率的提高，关键在于这些外 部设备的可识别、可监控、可管理性。
目前，对于移动存储设备的监控、可信认证，有很多的方法、系统，但这些 方法、系统，大都是基于单机环境的，对于网络环境，就缺乏统一的管理机制， 而且不能防范外来计算机等设备，通过各种合法或非法手段接入单位内部网络。
发明内容
本发明的目的在于克服上述现有技术中存在的缺陷，提供一种网络环境下可 信设备的认证方法。
本发明的目的通过以下技术方案予以实现。
一种网络环境下可信设备的认证方法，它包括以下步骤
(1) 对网络中的所有计算机安装并运行监控程序；
(2) 可信设备在使用前必须经过授权中心统一注册与授权，使可信设备具 有唯一性的身份信息；
(3)当待认证设备与网络中的任一台计算机联接后，待接入的计算机读取 并验证待认证设备的身份信息，如果验证通过，则判断该待认证设备为可信设备， 允许接入；如果验证不通过，则直接判断该待认证设备为非法设备，拒绝接入。
所述待认证设备可以为计算机、U盘或移动硬盘等设备。
所述的身份信息是标识、私钥签名等信息。
所述的身份信息还包括授权内容，以进一步增强访问控制机制。
所述的标识为硬件管理ID号、设备内部代码、或它们的组合。
该授权内容包括安全级别标签、硬件管理ID号、使用人、使用部门、使 用期限以及是否釆用序列号口令保护等，而这些授权内容全部或部分的组合，用 私钥进行签名，根据访问者的身份、密级、时间期限等限制仅有"正确"的用户才 能访问。
步骤(3)中所述的待接入的计算机读取并验证待认证设备的身份信息，包 括以下步骤待认证设备向待接入计算机发出接入请求，待接入计算机向待认证 设备发送本次接入特征码，待认证设备读取私钥信息，并对接入特征码签名，然 后向待接入计算机发送签名的接入特征码，待接入计算机用公钥验证特征码和签 名。
本发明通过对可信设备进行统一注册和授权，同时对网络中的每一台计算机 安装并运行监控程序，来实现准确、高效地鉴别和认证网络环境下，外来的计算 机、U盘、移动硬盘等设备的可信性，建立统一的管理机制，从而能有效地防范 外来计算机等设备，通过各种合法或非法手段接入单位内部网络，切实做到了既 能有效的控制单位移动存储设备和计算机等设备的管理、防止泄密案件的发生、 保护系统安全、又能不影响单位信息化效率的提高。
图l是本发明的方法流程图。
具体实施例方式
5
下面结合附图和具体实施例对本发明作进一步详细描述
如图1所示， 一种网络环境下可信设备的认证方法，它包括以下步骤
(1) 对网络中的所有计算机安装并运行监控程序；
(2) 可信设备(计算机、U盘或移动硬盘等)在使用前必须经过授权中心 统一注册与授权，使可信设备具有唯一性的身份信息(唯一的标识、授权内容、 私钥签名等)；所述的标识为硬件管理ID号、设备内部代码、或它们的组合；所 述授权内容包括安全级别标签、硬件管理ID号、使用人、使用部门、使用期 限以及是否釆用序列号口令保护等，而这些授权内容全部或部分的组合，用私钥 进行签名；
(3) 当待认证设备(计算机、U盘或移动硬盘等)与网络中的任一台计算 机联接后，待认证设备向待接入计算机发出接入请求，待接入计算机向待认证设 备发送本次接入特征码，待认证设备读取私钥信息，并对接入特征码签名，然后. 向待接入计算机发送签名的接入特征码，待接入计算机用公钥验证特征码和签 名，如果验证通过，则判断该待认证设备为可信设备，允许接入；如果验证不通 过，则直接判断该待认证设备为非法设备，拒绝接入。
本发明并不限于以上实施方式，只要是本说明书及权利要求书中提及的方案 均是可以实施的。
权利要求
1、一种网络环境下可信设备的认证方法，包括以下步骤(1)对网络中的所有计算机安装并运行监控程序；(2)可信设备在使用前必须经过授权中心统一注册与授权，使可信设备具有唯一性的身份信息；(3)当待认证设备与网络中的任一台计算机联接后，待接入的计算机读取并验证待认证设备的身份信息，如果验证通过，则判断该待认证设备为可信设备，允许接入；如果验证不通过，则直接判断该待认证设备为非法设备，拒绝接入。
2、 根据权利要求1所述的一种网络环境下可信设备的认证方法，其特征是, 所述待认证设备为计算机、U盘或移动硬盘设备。
3、 根据权利要求1所述的一种网络环境下可信设备的认证方法，其特征是， 所述的身份信息是标识、私钥签名。
4、 根据权利要求3所述的一种网络环境下可信设备的认证方法，其特征是， 所述的身份信息还包括授权内容。
5、 根据权利要求3所述的一种网络环境下可信设备的认证方法，其特征是， 所述的标识为硬件管理ID号、设备内部代码、或它们的组合。
6、 根据权利要求4所述的一种网络环境下可信设备的认证方法，其特征是， 所述的授权内容包括安全级别标签、硬件管理ID号、使用人、使用部门、使 用期限以及序列号口令保护，而这些授权内容全部或部分的组合，用私钥进行签 名，根据访问者的身份、密级、时间期限等限制仅有"正确"的用户才能访问。
7、 根据权利要求6所述的一种网络环境下可信设备的认证方法，其特征是， 其中的步骤(3)中所述的待接入的计算机读取并验证待认证设备的身份信息， 包括以下步骤待认证设备向待接入计算机发出接入请求，待接入计算机向待认 证设备发送本次接入特征码，待认证设备读取私钥信息，并对接入特征码签名， 然后向待接入计算机发送签名的接入特征码，待接入计算机用公钥验证特征码和 签名。
全文摘要
本发明公开了一种网络环境下可信设备的认证方法，包括以下步骤(1)对网络中的所有计算机安装并运行监控程序；(2)可信设备在使用前必须经过授权中心统一注册与授权，使可信设备具有唯一性的身份信息；(3)当待认证设备与网络中的任一台计算机联接后，待接入的计算机读取并验证待认证设备的身份信息，如果验证通过，则判断该待认证设备为可信设备，允许接入；否则直接判断该待认证设备为非法设备，拒绝接入。本发明的方法能有效地防范外来计算机等设备，通过各种合法或非法手段接入单位内部网络，切实做到了既能有效的控制单位移动存储设备和计算机等设备的管理、防止泄密案件的发生、保护系统安全、又能不影响单位信息化效率的提高。
文档编号H04L9/32GK101364986SQ20081019863
公开日2009年2月11日 申请日期2008年9月19日 优先权日2008年9月19日
发明者张炼枢, 彭贤斌, 田文春, 程海龙, 萧嘉杰, 郑东曦 申请人:广东南方信息安全产业基地有限公司