一种基于信任锚系统的互联网接入认证系统及方法与流程

本发明涉及数据安全连接
技术领域：
，具体涉及一种基于信任锚系统的互联网接入认证系统及方法。
背景技术：
：现有技术中的可信连接架构(tca)规定了具有可信平台控制模块(tpcm)的终端接入网络的可信网络连接，通过访问请求者(ar)、访问控制器(ac)和策略管理器(pm)的三元对等实体鉴别实现双向用户身份鉴别和平台鉴别。ar和ac都具有tpcm，ar请求访问受保护网络，ac控制ar对受保护网络的访问，pm对ar和ac进行集中管理。ar和ac基于pm来实现ar和ac之间的双向用户身份鉴别和平台鉴别，其中平台鉴别包括平台身份鉴别和平台完整性鉴别，pm在用户身份鉴别和平台鉴别过程中充当可信第三方。现有技术中可信连接架构依赖策略管理器，策略管理器往往由网络建立者设置和管理，使得可信连接架构应用具有局限性，仅能应用于企业内部网络或单一网络服务商(例如单一移动网络)，无法形成面向互联网的可信接入认证机制。技术实现要素：鉴于上述问题，本发明实施例提供一种基于信任锚系统的互联网接入认证系统及方法，以解决现有互联网领域缺乏通用的可信接入认证体系的技术问题。本发明实施例的基于信任锚系统的互联网接入认证系统，包括安全网关，所述安全网关设置在独立网络环境中，所述安全网关用于在信任锚系统中获取所述独立网络环境间的连接请求的身份信息，根据所述连接请求的身份信息形成身份认证，根据所述身份认证建立所述连接请求的网络连接；其中所述信任锚系统中包括所述独立网络环境中网元设备的标识和/或公钥。在本发明一实施例中，所述安全网关包括第一安全网关和第二安全网关，在第一个独立网络环境中包括所述第一安全网关、第一本地服务器和第一本地终端，还包括一个本地信任服务器，所述本地信任服务器、所述第一本地服务器和所述第一本地终端与所述第一安全网关建立数据连接，所述第一安全网关与其他网络按需建立数据连接；在第二个独立网络环境中包括所述第二安全网关、第二本地服务器和第二本地终端，还包括一个本地信任服务器，所述本地信任服务器、所述第二本地服务器和所述第二本地终端与所述第二安全网关建立数据连接，所述第二安全网关与其他网络按需建立数据连接；所述本地信任服务器用于接收对应安全网关的认证请求发起信任锚系统中的身份信息的查询过程。在本发明一实施例中，所述安全网关还包括网际安全网关，在网际服务网络环境中包括所述网际安全网关和至少一个网际服务器，还包括一个本地信任服务器。所述网际服务器和所述本地信任服务器与所述网际安全网关建立数据连接，所述网际安全网关与其他网络建立按需数据连接。在本发明一实施例中，所述安全网关与对应的所述本地信任服务器集成设置。在本发明一实施例中，所述信任锚系统包括根信任服务器、顶级信任服务器、权限信任服务器和所述本地信任服务器，所述根信任服务器至少包括一个所述顶级信任服务器，所述顶级信任服务器包括至少一个所述权限信任服务器，所述权限信任服务器至少包括一个所述本地信任服务器140，其中：所述根信任服务器，用于存储全部顶级信任服务器的标识、地址和公钥信息，以及用于签发证书；所述顶级信任服务器，用于存储自身的公钥信息，并存储与其连接的权限信任服务器的标识、地址和公钥信息；所述权限信任服务器，用于存储自身的公钥信息，并存储与对应安全网关连接的网元设备的标识、地址和公钥信息；所述本地信任服务器，用于存储自身的公钥信息，并存储期限内查询或使用的网元设备的标识、地址和公钥信息。本发明实施例的基于信任锚系统的互联网接入认证方法，包括：在独立网络环境中设置安全网关；所述安全网关完成以下验证过程：在信任锚系统中获取所述独立网络环境间的连接请求的身份信息，根据所述连接请求的身份信息形成身份认证，根据所述身份认证建立所述连接请求的网络连接。在本发明一实施例中，所述验证过程包括：第一安全网关向第二安全网关发出包含自身身份信息的连接请求；所述第二安全网关通过所述信任锚系统获取所述第一安全网关的真实身份信息；所述第二安全网关对比所述第一安全网关的所述自身身份信息和所述真实身份信息，身份信息验证通过后接受来自所述第一安全网关的所述连接请求。在本发明一实施例中，所述验证过程包括：第一本地终端向网际服务器发出包含自身身份信息的连接请求；网际安全网关通过所述信任锚系统获取所述第一本地终端的真实身份信息；所述网际安全网关对比所述第一本地终端的所述自身身份信息和所述真实身份信息，身份信息验证通过后接受来自所述第一本地终端的所述连接请求，建立所述第一本地终端通过所述网际安全网关至所述网际服务器的所述网络连接。在本发明一实施例中，所述验证过程包括：第一本地终端向第一安全网关发出包含自身身份信息的连接第二本地终端的连接请求；所述第一安全网关获取所述第一本地终端的所述连接请求并向第二安全网关发出附加自身身份信息的终端连接请求；所述第二安全网关通过所述信任锚系统获取所述第一安全网关的真实身份信息；所述第二安全网关对比所述第一安全网关的自身身份信息和真实身份信息，身份信息验证通过后接受来自所述第一安全网关的终端连接请求；所述第二安全网关根据所述终端连接请求中的所述连接请求建立所述第二安全网关至所述第二本地终端的网络连接。在本发明一实施例中，所述验证过程包括：所述连接请求的发起端通过连接响应获取所述连接请求的对端的自身身份信息；所述连接请求的发起端通过所述信任锚系统获取所述连接请求的对端的真实身份信息；所述连接请求的发起端对比所述连接请求的对端的自身身份信息和真实身份信息，身份信息验证通过后接受来自所述连接请求的对端连接请求。本发明实施例的基于信任锚系统的互联网接入认证系统及方法将网络请求的认证过程保留在独立网络环境中，使得网络服务商具有认证过程的控制权限，实现独立网络环境的可靠自治。同时利用信任锚系统获得广泛网元设备的真实身份信息用于身份认证验证，网际网络间的可靠接入可以实现通用的可信接入认证架构，提升互联网范围内整体的接入可靠性和稳定性。使得独立网络环境内的网元设备可以根据信任锚系统的覆盖规模和范围获得全网统一的分布式、多层次、电信级、跨网络域的互联网可信接入认证机制。附图说明图1所示为本发明一实施例基于信任锚系统的互联网接入认证系统的架构示意图。图2所示为本发明一实施例基于信任锚系统的互联网接入认证方法流程图一。图3所示为本发明一实施例基于信任锚系统的互联网接入认证方法流程图二。图4所示为本发明一实施例基于信任锚系统的互联网接入认证方法流程图三。图5所示为本发明一实施例基于信任锚系统的互联网接入认证方法中利用信任锚系统查询获取连接请求对端安全网关的身份信息的流程图一。图6所示为本发明一实施例基于信任锚系统的互联网接入认证方法中利用信任锚系统查询获取连接请求对端安全网关的身份信息的流程图二。具体实施方式为使本发明的目的、技术方案及优点更加清楚、明白，以下结合附图及具体实施方式对本发明作进一步说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。本发明基于信任锚系统的互联网接入认证系统，在独立网络环境中设置安全网关，用于在信任锚系统中获取独立网络环境(即独立网络域)间的连接请求的身份信息，根据连接请求的身份信息形成身份认证，根据身份认证建立连接请求的网络连接。其中信任锚系统中包括独立网络环境中网元设备的标识和/或公钥。标识和/或公钥作为对应网元设备的真实身份信息。连接请求的身份信息包括连接请求两端网元设备的身份信息或者连接请求主要路由节点上网元设备的身份信息。本领域技术人员可以理解安全网关还具有通用网关设备具有的标准功能例如协议转换和数据接入和输出、建立可靠网络间的数据连接等。本发明基于信任锚系统的互联网接入认证系统利用信任锚系统的分级公钥注册机制将独立网络环境中的用户、端口、终端、服务器等网元设备的标识与对应网元设备的公钥绑定，利用信任锚系统构建网元设备的分级认证信息，利用安全网关发起网元设备在信任锚系统的认证过程。利用信任锚系统对网元设备的认证信息进行有效存储和管理，提高了连接请求的认证效率和双向可靠性，基于信任锚在互联网领域的普遍适用性，本发明基于信任锚系统的互联网接入认证系统使得满足可信连接架构的网间接入得以实现。本发明一实施例基于信任锚系统的互联网接入认证系统的架构如图1所示。在图1中，包括处于独立网络环境的第一局域网200、第二局域网300、网际服务网络400，其中：第一局域网200中包括第一安全网关210、第一本地服务器220和第一本地终端230，还包括一个本地信任服务器140。本地信任服务器140、第一本地服务器220和第一本地终端230与第一安全网关210建立数据连接，第一安全网关210与其他网络按需建立数据连接。第二局域网300中包括第二安全网关310、第二本地服务器320和第二本地终端330，还包括一个本地信任服务器140。本地信任服务器140、第二本地服务器320和第二本地终端330与第二安全网关310建立数据连接，第二安全网关310与其他网络按需建立数据连接。网际服务网络400中包括网际安全网关410和至少一个网际服务器420，还包括一个本地信任服务器140。网际服务器420和本地信任服务器140与网际安全网关410建立数据连接，网际安全网关410与其他网络建立按需数据连接。本地信任服务器140用于接收对应安全网关的认证请求发起信任锚系统中的身份信息的查询过程。在本发明一实施例中，上述各安全网关与所在网络包括的本地信任服务器140集成设置。集成设置包括在单一网元设备上集成网管数据处理协议和认证查询协议。上述各本地服务器和网际服务器分别用于向信任的终端提供确定的服务，上述各本地终端向上述各本地服务器和网际服务器按需请求服务连接。还包括信任锚系统100，信任锚系统100包括根信任服务器110、顶级信任服务器120、权限信任服务器130和本地信任服务器140，根信任服务器110至少包括一个顶级信任服务器120，顶级信任服务器120包括至少一个权限信任服务器130，权限信任服务器130至少包括一个本地信任服务器140。其中：根信任服务器110，用于存储全部顶级信任服务器的标识(名称)、地址和公钥信息，以及用于签发证书。顶级信任服务器120，用于存储自身的公钥信息，并存储与其连接的权限信任服务器的标识(名称)、地址和公钥信息。权限信任服务器130，用于存储自身的公钥信息，并存储与对应安全网关连接的网元设备的标识、地址和公钥信息。本地信任服务器140，用于存储自身的公钥信息，并存储期限(即一个固定时段内或符合一个策略的时间周期)内查询或使用的网元设备的标识(名称)、地址和公钥信息。根信任服务器110、顶级信任服务器120、权限信任服务器130和本地信任服务器140顺序形成逐级向下的数据连接，本地信任服务器140、权限信任服务器130、顶级信任服务器120和根信任服务器110形成顺序的信任路径。在本发明一实施例中，顶级信任服务器120、权限信任服务器130和本地信任服务器140的数量根据联网网络及网络规模变化。本发明实施例的基于信任锚系统的互联网接入认证系统提供了信任锚系统与各独立网络环境相结合的基本结构，利用信任锚系统的完整信任路径结构分布式存储独立网络环境内各网元设备的认证身份信息，使得独立网络环境内的网元设备可以根据信任锚系统的覆盖规模和范围获得全网统一的分布式、多层次、电信级、跨网络域的互联网可信接入认证机制。本发明一实施例的基于信任锚系统的互联网接入认证方法包括：在独立网络环境中设置安全网关，通过安全网关在信任锚系统中获取独立网络环境间的连接请求的身份信息，根据连接请求的身份信息形成身份认证，根据身份认证建立连接请求的网络连接。本发明实施例的基于信任锚系统的互联网接入认证方法将网络请求的认证过程保留在独立网络环境中，使得网络服务商具有认证过程的控制权限，实现独立网络环境的可靠自治。同时利用信任锚系统获得广泛网元设备的真实身份信息用于身份认证验证，网际网络间的可靠接入可以实现通用的可信接入认证架构，提升互联网范围内整体的接入可靠性和稳定性。本发明一实施例的基于信任锚系统的互联网接入认证方法如图2所示。在图2中，利用本发明实施例的基于信任锚系统的互联网接入认证系统完成两个独立网络环境网关间的安全接入认证过程包括：步骤510：第一安全网关210(发起端)向第二安全网关310(对端)发出包含自身身份信息的连接请求。步骤520：第二安全网关310通过信任锚系统获取第一安全网关210的真实身份信息。步骤530：第二安全网关310对比第一安全网关210的自身身份信息和真实身份信息，身份信息验证通过后接受来自第一安全网关210的连接请求。在本发明一实施例中，上述安全接入认证过程还包括：步骤540：第一安全网关210获取第二安全网关310反馈的包含自身身份信息的连接响应。步骤550：第一安全网关210通过信任锚系统获取第二安全网关310的真实身份信息。步骤560：第一安全网关210对比第二安全网关310的自身身份信息和真实身份信息，身份信息验证通过后接受来自第二安全网关310的连接请求。在本发明一实施例中，上述网关间的安全接入认证过程也适用于第一安全网关210与网际安全网关410的安全接入认证。本发明实施例的基于信任锚系统的互联网接入认证方法利用信任锚系统获取连接请求两端的身份认证信息，利用不同的验证方向获得网关间数据连接的方向控制，进一步提升了统一可信接入的安全性和可控性。本发明一实施例的基于信任锚系统的互联网接入认证方法如图3所示。在图3中，利用本发明实施例的基于信任锚系统的互联网接入认证系统完成两个独立网络环境中的终端与网关间的安全接入认证过程包括：步骤610：第一本地终端230(发起端)向网际服务器420(对端)发出包含自身身份信息的连接请求。步骤620：网际安全网关410通过信任锚系统获取第一本地终端230的真实身份信息。步骤630：网际安全网关410对比第一本地终端230的自身身份信息和真实身份信息，身份信息验证通过后接受来自第一本地终端230的连接请求，建立第一本地终端230通过网际安全网关410至相应网际服务器420的网络连接。在本发明一实施例中，上述安全接入认证过程还包括：步骤640：第一本地终端230获取网际安全网关410反馈的包含自身身份信息的连接响应。步骤650：第一本地终端230通过信任锚系统获取网际安全网关410的真实身份信息。步骤660：第一本地终端230对比网际安全网关410的自身身份信息和真实身份信息，身份信息验证通过后接受来自网际安全网关410的连接请求。在本发明一实施例中，上述终端与网关间的安全接入认证过程也适用于第一本地终端230与第二本地服务器320的安全接入认证。本发明实施例的基于信任锚系统的互联网接入认证方法通过安全网关利用信任锚系统获取连接请求两端网络的身份认证信息，利用不同的验证方向获得网关间数据连接的方向控制，进一步提升了统一可信接入的安全性和可控性。本发明一实施例的基于信任锚系统的互联网接入认证方法如图4所示。在图4中，利用本发明实施例的基于信任锚系统的互联网接入认证系统完成两个独立网络环境中的终端间的安全接入认证过程包括：步骤710：第一本地终端230向第一安全网关210发出包含自身身份信息的连接第二本地终端330的连接请求。步骤720：第一安全网关210(发起端)获取第一本地终端230的连接请求并向第二安全网关310(对端)发出附加自身身份信息的终端连接请求。步骤730：第二安全网关310通过信任锚系统获取第一安全网关210的真实身份信息。步骤740：第二安全网关310对比第一安全网关210的自身身份信息和真实身份信息，身份信息验证通过后接受来自第一安全网关210的终端连接请求。步骤750：第二安全网关310根据终端连接请求中的连接请求建立第二安全网关310至第二本地终端330的网络连接。在本发明一实施例中，上述安全接入认证过程还包括：步骤760：第一安全网关210获取第二安全网关310反馈的包含自身身份信息的连接响应。步骤770：第一安全网关210通过信任锚系统获取第二安全网关310的真实身份信息。步骤780：第一安全网关210对比第二安全网关310的自身身份信息和真实身份信息，身份信息验证通过后接受来自第二安全网关310的连接请求。本发明实施例的基于信任锚系统的互联网接入认证方法利用信任锚系统获取连接请求两端的身份认证信息，利用不同的验证方向获得两个独立网络环境中的终端间数据连接的方向控制，进一步提升了统一可信接入的安全性和可控性，在保证接入安全性的基础上克服独立网络环境中地址分配局限性，满足终端间交互的灵活性。本发明一实施例的基于信任锚系统的互联网接入认证方法中通过信任锚系统进行连接请求的发起端安全网关的身份信息的一种查询获取方法如图5所示。在图5中，采用递归迭代的查询方式，查询过程包括：步骤810：第二安全网关310在连接的本地信任服务器140上尝试查询获取第一安全网关210的身份信息。对于在一定有效时限内访问过的其他网元设备，在本地信任服务器140会缓存对应网元设备的身份信息。步骤820：第二安全网关310通过连接的本地信任服务器140向根信任服务器110查询第一安全网关210的标识信息。没有查询到第一安全网关210的身份信息时连接的本地信任服务器140终止查询并返回未获得信息。步骤830：当在根信任服务器110获取第一安全网关210的标识信息时，返回第一安全网关210标识信息所属顶级信任服务器120连接地址。步骤840：连接的本地信任服务器140根据顶级信任服务器120连接地址访问顶级信任服务器120，查询第一安全网关210的标识信息。没有查询到第一安全网关210的标识信息时连接的本地信任服务器140终止查询并返回未获得信息。步骤850：当在顶级信任服务器120获取第一安全网关210的标识信息时，返回第一安全网关210标识信息所属权限信任服务器130连接地址。没有查询到第一安全网关210的标识信息时连接的本地信任服务器140终止查询并返回未获得信息。步骤860：连接的本地信任服务器140根据所属权限信任服务器130连接地址访问权限信任服务器130，查询第一安全网关210的标识信息。没有查询到第一安全网关210的标识信息时连接的本地信任服务器140终止查询并返回未获得信息。步骤870：当在权限信任服务器130获取第一安全网关210的标识信息时，返回第一安全网关210身份信息。步骤880：连接的本地信任服务器140向第二安全网关310反馈第一安全网关210的身份信息。在本发明一实施例中，网元设备的(身份)标识(id)的名字结构示例如下：www.bistu.edu.cn根信任服务器上存储的数据示例：编号名字地址信息1cnaddr12orgaddr23comadd34govaddr45netaddr5………………cn下的顶级信任服务器上存储的数据示例：编号名字地址信息1com.cnaddr12org.cnaddr23gov.cnaddr34net.cnaddr45edu.cnaddr5………………edu.cn下的权限信任服务器上存储的数据示例：编号名字地址信息公钥1bistu.edu.cnaddr1publickey12bjut.edu.cnaddr2publickey23njtu.edu.cnaddr3publickey34pku.edu.cnaddr4publickey45tsinghua.edu.cnaddr5publickey5……………………本发明一实施例的基于信任锚系统的互联网接入认证方法中通过信任锚系统进行连接请求的对端安全网关的身份信息的另一种查询获取方法如图6所示。在图6中，采用树形检索的查询方式，查询过程包括：步骤910：第二安全网关310在连接的本地信任服务器140上尝试查询获取第一安全网关210的身份信息。对于在一定有效时限内访问过的其他网元设备，在本地信任服务器140会缓存对应网元设备的身份信息。步骤920：当在连接的本地信任服务器140没有查询到第一安全网关210的身份信息时，第二安全网关310通过连接的本地信任服务器140向所属权限信任服务器130查询第一安全网关210的标识信息。若在所属权限信任服务器130上查询到第一安全网关210的标识信息则向连接的本地信任服务器140返回查询获取的第一安全网关210的身份信息。步骤930：当在所属权限信任服务器130未获取第一安全网关210的标识信息时，继续向所属顶级信任服务器120请求查询第一安全网关210的标识信息。若在所属顶级信任服务器120上查询到第一安全网关210的标识信息则通过所属权限信任服务器130向连接的本地信任服务器140返回查询获取的第一安全网关210的身份信息。步骤940：当在所属顶级信任服务器120未获取第一安全网关210的标识信息时，继续向根信任服务器110请求查询第一安全网关210的标识信息。步骤950：当在根信任服务器110未获取第一安全网关210的标识信息时，通过根信任服务器110向第一安全网关210隶属顶级信任服务器120请求查询第一安全网关210的标识信息。若在根信任服务器110上查询到第一安全网关210的标识信息则通过所属顶级信任服务器120-所属权限信任服务器130向连接的本地信任服务器140返回查询获取的第一安全网关210的身份信息。步骤960：当在第一安全网关210的隶属顶级信任服务器120上未获取第一安全网关210的标识信息时，通过隶属顶级信任服务器120向第一安全网关210的隶属权限信任服务器130请求查询第一安全网关210的标识信息。若在隶属顶级信任服务器120上查询到第一安全网关210的标识信息则通过根信任服务器110-所属顶级信任服务器120-所属权限信任服务器130向连接的本地信任服务器140返回查询获取的第一安全网关210的身份信息。步骤970：当在隶属权限信任服务器130上未获取第一安全网关210的标识信息时，通过隶属权限信任服务器130向第一安全网关210的隶属本地信任服务器140请求查询第一安全网关210的标识信息。步骤980：将查询获取第一安全网关210的身份信息经过信任路径反馈第二安全网关310连接的本地信任服务器140。若在隶属本地信任服务器140未查询到第一安全网关210的标识信息则通过信任路径向第二安全网关310连接的本地信任服务器140返回第一安全网关210的身份信息未获得信息。信任路径节点包括第一安全网关210的所属权限信任服务器130、所属顶级信任服务器120、根信任服务器110、第二安全网关310的隶属顶级信任服务器120、隶属权限信任服务器130和隶属本地信任服务器140。步骤985：连接的本地信任服务器140将第一安全网关210的身份信息反馈第二安全网关310。根信任服务器上存储的数据示例：编号顶级服务器名字顶级服务器地址信息顶级服务器公钥1b1addr1publickey12b2addr2publickey23e1addr3publickey34………编号根服务器名字根服务器公钥1apublickey12xpublickey23ypublickey34zpublickey45……顶级信任服务器上存储的数据示例(顶级服务器上还存储自身公钥)：编号权限服务器名字权限服务器地址信息权限服务器公钥1c1addr1publickey12c2addr2publickey23………权限信任服务器上存储的数据示例(权限服务器还存储自身公钥)：编号终端实体名字终端实体地址信息终端实体公钥1d1addr1publickey12d2addr2publickey23……………以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本
技术领域：
的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。当前第1页12