专利名称：一种保护终端配置隐私的可信网络接入方法及系统的制作方法
技术领域：
本发明涉及可信网络接入方法，尤其涉及终端配置隐私性要求高的可信网络接入系统，属于信息安全技术领域。
背景技术：
随着网络技术和电子商务等应用的推广和普及，在线购物等商业交易越来越多，而与此相对应针对网络和终端计算机的各种安全目前呈爆炸性的增长——特别是基于网络传播的病毒和木马，而主流的终端计算平台安全漏洞更是层出不穷。传统的安全解决方案(防火墙、杀毒软件等)多年来一直在发展，但是其对网络中恶意代码传播的控制力度还不够，导致病毒、蠕虫和木马程序这些恶意软件每年都造成了不少的损失，甚至造成大量的企业安全事故，带来了巨大的经济影响。因此，仅凭传统的安全解决方案无法解决恶意代码带来的问题。针对上述情况，互联网产业界提出了将终端的安全状态与网络接入技术结合的网络接入控制技术，目前以思科的网络准入控制和微软的网络准入保护这两种解决方案为主流。但是由于知识产权问题，产业界的网络接入控制方案普遍存在兼容性差和扩展性差等问题，这给用户带来了不必要的经济负担。
针对此问题，可信计算组织提出了一种开放的网络接入控制方案一可信网络接入，并推出了包括体系结构规范、组件互操作接口规范、技术支撑类规范在内的一整套规范体系。可信网络接入基于现有的网络控制技术，如802.1X框架、虚拟专用网络(VPN)IPsec、安全传输层协议(TLS)，在终端接入网络之前对终端平台身份以及终端平台配置进行认证，保证接入终端身份和安全状态的合法性。从技术层面上来说，可信网络接入是可信计算将可信扩展到网络的一种方式，旨在建立可信的网络环境，是一种主动防御网络危害的方法。
自可信计算组织发布可信网络接入框架以后，很多研究机构着手可信网络接入框架的实现工作，目前已经有多个开源项目支持可信网络接入框架。
德国汉诺威应用技术大学的TrustOFHH研究小组是可信网络接入工作组的成员，它主持的开源项目TNC@FHH实现了可信网络接入框架。TNC@FHH在接入平台的完整性评估层通过实施用户定义的访问控制，防止用户的秘密配置信息泄露，通过这种方法达到了一定的保护平台配置信息的目的。但是其在完整性信息管理以及隔离域方面并没有改进。
开源项目IibTNC旨在于建立一个操作系统无关的开源可信网络接入系统，目前已经支持Windows、多个类Unix操作系统以及Mac OS X操作系统,但是其仅仅是可信网络接入架构的部分实现，没有对TNC的缺点进行改进。
其它的一些项目，比如OpenlX项目，是由OpenSEA联盟赞助的开源跨平台802.1X客户端，还有strongSwan,是Linux操作系统上的IPsec实现,只是在网络访问层提供了对可信网络接入的支持。
除此之外，多家企业的产品也开始支持可信网络接入框架，特别是JuniperNetworks厂商，其下的多个产品已经通过了国际可信计算组织的认证。在国内，华为、天融信和清大安科等公司相继推出了自己基于可信网络接入的网络接入控制方案。
可信网络接入架构采用了可信计算中传统的二进制证明方案，但是传统的二进制证明方案存在如下缺点:首先，完整性管理复杂，验证方在互联网应用中一般是服务提供方，服务提供方需要记录所有证明方的平台配置，包括各类软件以及各个软件的不同版本，这给服务提供方造成了很大的管理负担；其次，这种方案泄露了用户的平台配置信息，服务提供方能够获得终端所有的配置信息，给服务提供方统计用户信息提供了可乘之机；最后，这种方案能够造成软件歧视，比如服务提供方的接入策略要求客户端必须安装某个软件或者禁止安装某个软件。而上述缺点随二进制证明方案的使用被引入到可信网络接入中。发明内容
针对当前可信网络接入解决方案不能保护终端配置隐私的不足，本发明提出了一种基于属性证明的可信网络接入方法，能够保护用户终端的配置信息并可减轻互联网中网络服务提供方的完整性管理负载。本发明的接入方法将网络组件划分为接入终端、策略执行点、策略判定点以及网络服务提供方等主要四部分。接入终端是各种请求接入网络的终端，要求具有TPM/TCM芯片。策略执行点是执行接入决策的网络设备，通常包括各类交换机、路由器以及无线AP等。策略判定点提供平台身份管理、平台安全属性证明等服务。平台身份管理服务负责接入终端平台身份的管理，平台安全属性证明服务提供平台安全属性的证明以及安全属性证书颁发等功能。网络服务提供方为互联网上各类网络在线服务，比如WEB服务、邮件服务等。
下面对在该方法中，对保护终端配置隐私的可信网络接入方法进行详细说明:
I)接入终端获取平台身份，没有平台身份的终端需要首先向策略判定点中的平台身份管理服务申请平台身份；
2)终端平台接入网络，策略判定点将接入终端的平台身份和平台完整性分别交给平台身份管理服务和平台安全属性证明服务进行验证。平台身份管理服务对平台身份的合法性进行验证。平台安全属性证明服务将平台完整性数据映射为平台所具有的安全属性，并对此终端颁发安全属性证书。平台身份和平台安全属性验证通过之后，策略判定点根据这两方面的验证结果给出接入决策，通知策略实施点实施此决策，并将安全证书和接入决策通知接入终端；
3)终端访问网络服务，该网络服务请求访问终端的平台身份、安全属性证书以及特定软件的配置信息，访问终端利用平台身份对自己的安全属性证书以及特定软件的完整性信息进行签名发送给网络服务，网络服务分别对平台身份、安全属性证书以及特定软件的完整性信息进行验证，验证通过方可允许此终端访问。验证不通过的终端需修改自己的平台配置，使自身配置满足网络服务的要求后继续申请访问。
所述终端获取平台身份的方法为:
A、接入终端与平台身份管理服务通过TPM/TCM芯片支持的平台身份申请协议，比如PrivacyCA或DAA协议,协商平台身份；
所述终端接入网络的方法为:
A、终端按照可信启动流程启动，启动后向策略判定点发送网络接入请求；
B、所述策略判定点与所述终端在网络设备提供的通信信道上建立一条安全信道，之后该策略判定点和终端上所有的通信都在此安全信道内进行；
C、策略判定点发送平台身份证明请求和平台完整性证明请求给终端；
D、终端根据策略判定点的平台完整性证明请求调用相应的完整性收集组件完成完整性收集，并将收集到的完整性数据列表用平台身份密钥签名，然后发送给策略判定占.
E、所述策略判定点对终端发送过来的平台身份密钥签名调用平台身份管理服务进行验证，验证通过后将完整性数据列表交给平台安全属性证明服务进行平台安全属性证明；
F、平台安全属性证明服务依据其属性证明方法将平台完整性数据列表映射为相应的安全属性，并用平台安全属性证明服务的签名密钥对此安全属性和平台身份证书进行签名作为安全属性证书；
G、所述策略判定点根据平台身份管理服务和平台安全属性证明服务的验证结果给出接入决策；
H、策略判定点通知策略执行点执行接入决策，并将接入结果以及安全属性证书发送给接入终端；
1、接入终端将安全属性证书扩展至安全芯片。
所述终端可信启动的方法为:
a、终端加电后，平台从静态可信度量根CRTM开始依次加载、度量并运行可信引导程序BootLoader、操作系统内核以及系统安全软件，并将度量结果扩展至安全芯片。
所述属性证明方法为:
a、终端发送BootLoader、操作系统和系统安全软件度量信息，以及平台身份密钥的签名给策略判定点；
b、策略判定点将签名交给平台身份管理服务进行验证，验证通过后将终端完整性信息交给平台安全属性证明服务进行验证，平台安全属性证明服务利用自身的完整性-安全属性映射方法给出终端满足的最高级别安全属性，然后对此安全属性以及平台身份证书进行签名作为接入终端的安全属性证书。
所述完整性-安全属性映射的方法为:
a、符号标记安全属性的映射方式可按照如下方式进行:
用符号Pl标记安全属性:平台拥有合法的安全芯片，
P2标记安全属性:终端可信引导程序的度量值等同于正常可信引导程序的度量值，
P3-vl到P3_vm分别标记安全属性:操作系统的度量值满足某个类型或版本的操作系统度量值，
P4-vl到P4-vn分别标记安全属性:终端安全软件的度量值满足某个版本的系统安全软件度量值，
P5标记安全属性:终端平台的运行环境可信。
b、终端已经通过了平台身份签名认证，所以满足安全属性P1，及平台拥有合法的安全芯片；
C、在安全属性Pl的基础上，检查终端完整性是否满足P2，如果满足则推导出终端的可信引导程序满足安全性要求，标记平台达到安全属性P2级别；
d、在安全属性P2的基础上，检查终端完整性是否满足P3-vl到P3-Vm的任意一条，如果满足则推导出终端的操作系统满足安全性要求，标记平台达到安全属性P3级别；e、在安全属性P3的基础上，检查终端完整性是否满足P4_vl到P4_vn的任意一条，如果满足则推导出终端的安全软件满足安全性要求，标记平台达到安全属性P4级别。所述终端接入网络服务的方法为:A、经过验证接入网络的终端向网络服务发送访问请求；B、网络服务请求访问终端的安全属性以及某个特定软件的配置信息以及一个挑战随机数；C、访问终端将特定软件度量至安全芯片，然后对挑战随机数、安全属性证书和网络服务指定的软件用平台身份密钥签名并发送给网络服务；D、网络服务对访问终端的安全属性以及特定软件配置进行检查，如果通过，则允许终端访问自身服务，若果没有通过，则不允许终端访问自身服务，该终端需要重新进行请求。所述终端上绑定有安全芯片TCM或TPM。本发明还提出基于保护终端配置隐私的可信网络接入系统，可信网络接入系统由以下的实体组成:接入终端、策略执行点、策略判定点和网络服务；所述接入终端对应于一接入网络的终端平台；包括网络接入引擎、终端网络接入服务以及完整性收集组件；所述网络接入引擎针对不同的网络环境负责底层的网络通信，用于负责底层的网络通信，所述终端网络接入服务负责平台身份的注册和管理、平台完整性消息的转发以及完整性收集组件的管理，所述完整性收集组件负责终端某一方面的完整性数据收集，一个终端上可以有多个完整性收集组件，所述策略执行点负责具体接入策略的实施,包括多个网络接入设备；所述策略判定点由平台身份管理服务和平台安全属性证明服务组成，平台身份管理服务负责平台身份的颁发、认证以及撤销等功能，平台安全属性证明服务负责平台安全属性的认证以及安全属性证书的颁发功能；所述网络服务可提供互联网上的各类网络服务提供商提供的具体网络服务。本发明的有益效果为:目前的可信网络接入框架，采用可信计算领域传统的二进制证明方法，存在暴露平台配置信息以及网路服务完整性管理复杂等问题，本发明提出的网络接入方法采用保护平台配置信息的属性证明方法，I)为网络服务提供了终端安全属性证明服务，终端平台只需要向网路服务提供自身平台的安全属性即可，2)保护了终端平台的配置隐私，同时也减轻了网络服务提供方平台完整性管理的负担，3)本发明中的接入方法为一些要求特定软件配置才能访问的网络服务提供了支持。
图1是本发明保护终端配置隐私的可信网络接入方法一实施例中的系统的结构示意图；图2是本发明保护终端配置隐私的可信网络接入方法一实施例中终端接入网络的方法流程示意图；图3是本发明保护终端配置隐私的可信网络接入方法一实施例中接入终端访问网络服务的方法流程示意图。
具体实施例方式下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，可以理解的是，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。如图1所示，本发明的方法由以下的实体组成:接入终端、策略执行点、策略判定点和网络服务。接入终端对应于接入网络的终端平台。策略执行点负责具体接入策略的实施。策略判定点由平台身份管理服务和平台安全属性证明服务组成，平台身份管理服务负责平台身份的颁发、认证以及撤销等功能，平台安全属性证明服务负责平台安全属性的认证以及安全属性证书的颁发功能。网络服务对应于互联网上的各类网络服务提供商提供的具体网络服务，例如社交网站、学术论文服务平台等等。接入终端系统具体包括网络接入引擎、终端网络接入服务以及完整性收集组件。网络接入引擎针对不同的网络环境(比如无线局域网、以太网以及VPN等)负责底层的网络通信，具体表现形式为VPN客户端或802.1X客户端；终端网络接入服务负责平台身份的注册和管理、平台完整性消息的转发以及完整性收集组件的管理；完整性收集组件负责终端某一方面的完整性数据收集，一个终端上可以有多个完整性收集组件，一般由网络服务提供方提供。策略执行点具体表现为网络接入设备，比如交换机、安全网络以及无线接入点等
坐寸ο本发明的保护终端配置隐私的可信网络接入方法包括如下步骤:I)接入终端通过可信弓丨导启动平台1、加电后，平台上的静态可信度量根CRTM加载并度量可信弓I导程序BootLoader，将度量值扩展至PCR4中，然后将控制权交给BootLoader ；2、BootLoader加载并度量操作系统内核，将度量值扩展至PCR8，然后将控制权交给操作系统；3、操作系统加载并度量系统安全软件，将度量值扩展至PCR9，系统启动。2)接入终端向平台身份管理服务获取平台身份1、接入终端通过网络接入引擎向策略判定点中的平台身份管理服务发起平台身份注册请求；2、策略判定点与网络接入引擎通过TLS握手协议建立一条安全信道，以后所有的消息都在此安全信道内转发；3、平台身份管理服务与接入终端进行PrivacyCA或DAA协议，最后为接入终端颁发平台身份证书。
2)终端接入网络，如图2所示是本发明保护终端配置隐私的可信网络接入方法一实施例中终端接入网络的方法流程示意图；1、接入终端通过网络接入引擎向策略判定点发送网络接入请求；2、策略判定点与网络接入引擎通过TLS握手协议建立一条安全信道，以后所有的消息都受此安全信道的保护；3、策略判定点上的平台身份管理服务和平台安全属性证明服务分别发送平台身份认证请求和平台安全属性认证请求，以及一个挑战随机数Nonce ；4、接入终端中的终端网络接入服务利用平台身份密钥AIK或PIK对TPM或TCM的PCR4、PCR8和PCR9中的完整性数据，另外加上Nonce进行签名，将平台身份证书、AIK或PIK签名、平台完整性数据发送给策略判定点；5、策略判定点将平台证书以及平台身份签名发送给平台身份管理服务进行验证，平台身份管理服务验证通过后将平台身份签名以及平台完整性数据交给平台安全属性证明服务进行验证；6、平台安全属性证明服务按照如下映射管理完成平台完整性-安全属性的映射:6-1、用符号Pl标记安全属性:平台拥有合法的TPM或TCM，P2标记安全属性:PCR4的度量值等同于正常可信引导程序的度量值，P3标记安全属性:操作系统被度量至PCR8，P4-vl到P4-Vm分别标记安全属性:PCR4的值满足某个版本的操作系统度量值，P5标记安全属性:系统安全软件被度量至PCR9，P6-vl到P6-vn分别标记安全属性:PCR9的值满足某个版本的系统安全软件度量值，P7标记安全属性:终端平台的运行环境可信。终端已经通过了 AIK或PIK签名认证，所以满足安全属性Pl ；6-2、在满足安全属性Pl的基础上，如果终端完整性满足P2，则推导出终端完整性满足安全属性P3;6-3、检查终端完整性是否满足P4-vl到P4-vm的任意一条，如果满足则推导出终端完整性满足安全属性P5 ；6-4、检查终端完整性是否满足P6-vl到P6_vn的任意一条，如果满足则推导出终端完整性满足安全属性P7。7、平台安全属性证明服务用自己的签名密钥对终端的最高安全属性进行签名作为终端的安全属性证书，并依据平台身份和安全属性认证结果给出接入决策，最后通知策略执行点执行接入决策并将安全属性证书发送给接入终端；8、接入终端将安全属性证书扩展到安全芯片PCRlO中。3)终端访问网络服务，如图3所示，是本发明保护终端配置隐私的可信网络接入方法一实施例中接入终端访问网络服务的方法流程示意图，终端按照如下的方法对网络服务进行访问:1、接入终端向网络服务提供方发送访问请求；2、网络服务提供方向接入终端发送平台身份、平台安全属性、特定软件配置信息认证请求，并发送一个挑战随机数Nonce ；3、接入终端将特定软件配置信息认证请求将信息转发给对应的完整性组件收集组件，完整性收集组件收集相应软件的完整性信息并扩展到PCRll中，然后接入终端利用平台身份密钥对保存在安全芯片PCRlO和PCRll中的平台安全属性证书和特定软件配置信息的度量值以及网络服务提供方的挑战随机数Nonce进行签名，最后将平台身份证书和此签名发送给网络服务提供方；4、网络服务提供方验证平台身份签名、平台安全属性以及特定软件的配置信息，如果满足访问要求，则允许此终端访问服务。
权利要求
1.一种保护终端配置隐私的可信网络接入方法，将网络中组件划分为接入终端、策略执行点、策略判定点以及网络服务提供方，其步骤为: 1)接入终端获取平台身份后接入网络，建立安全信道；没有平台身份的接入终端需要申请获得平台身份； 2)接入终端通过策略执行点进行平台安全属性证明和平台身份验证； 2-1)当所述接入终端接入网络后，通过所述策略判定点将终端的平台身份和平台完整性发送到平台服务进行验证，该平台服务对通过验证的平台身份和完整性反馈身份验证结果以及颁发完整性安全证书； 2-2)平台身份和平台安全属性验证通过之后，策略判定点根据验证结果给出接入决策，通知策略执行点实施该决策，并将安全证书和接入决策通知接入终端； 3)所述接入终端接入网络服务，验证成功后对网络进行访问； 3-1)所述网络服务请求访问终端的平台身份、安全属性证书以及特定软件的配置信息； 3-2)所述接入终端利用平台身份对自己的安全属性证书以及特定软件的完整性信息进行签名发送给网络服务， 3-2)所述网络服务分别对平台身份、安全属性证书以及特定软件的完整性信息进行验证，验证通过方可允许此终端访问。
2.如权利要求1所述的保护终端配置隐私的可信网络接入方法，其特征在于，所述终端接入网络的方法为: A、接入终端按照可信启动流程启动，启动后向策略判定点发送网络接入请求； B、所述策略判定点与所述终端在网络设备提供的通信信道上建立一条安全信道，之后该策略判定点和终端上所有的通信都在此安全信道内进行； C、所述策略判定点发送平台身份证明请求和平台完整性证明请求给终端； D、所述接入终端根据策略判定点的平台完整性证明请求调用相应的完整性收集组件完成完整性收集，并将收集到的完整性数据列表用平台身份密钥签名，然后发送给策略判定点; E、所述策略判定点对终端发送过来的平台身份密钥签名调用平台身份管理服务进行验证，验证通过后将完整性数据列表交给平台安全属性证明服务进行平台安全属性证明； F、平台安全属性证明服务根据属性证明方法将平台完整性数据列表映射为相应的安全属性，并用平台安全属性证明服务的签名密钥对此安全属性和平台身份证书进行签名作为安全属性证书； G、所述策略判定点根据平台身份管理服务和平台安全属性证明服务的验证结果给出接入决策； H、策略判定点通知策略执行点执行接入决策，并将接入结果以及安全属性证书发送给接入终端； 1、接入终端将安全属性证书扩展至安全芯片。
3.如权利要求2所述的保护终端配 置隐私的可信网络接入方法，其特征在于，所述属性证明方法为: i在所述接入终端发送BootLoader、操作系统和系统安全软件度量信息，以及平台身份密钥的签名给策略判定点； 策略判定点将签名交给平台身份管理服务进行验证，验证通过后将终端完整性信息交给平台安全属性证明服务进行验证，平台安全属性证明服务利用自身的完整性-安全属性映射方法给出终端满足的最高级别安全属性，然后对此安全属性以及平台身份证书进行签名作为接入终端的安全属性证书。
4.如权利要求3所述的保护终端配置隐私的可信网络接入方法，其特征在于，所述完整性-安全属性映射的方法为: a、符号标记安全属性的映射方式可按照如下方式进行: 用符号Pl标记安全属性:平台拥有合法的安全芯片， P2标记安全属性:终端可信引导程序的度量值等同于正常可信引导程序的度量值，P3-vl到P3-vm分别标记安全属性:操作系统的度量值满足某个类型或版本的操作系统度量值， P4-Vl到P4-vn分别标记安全属性:终端安全软件的度量值满足某个版本的系统安全软件度量值， P5标记安全属性:终端平台的运行环境可信。
b、终端已经通过了平台身份签名认证，所以满足安全属性P1，及平台拥有合法的安全-H-* I I心片； C、在安全属性Pl的基础上，检查终端完整性是否满足P2，如果满足则推导出终端的可信引导程序满足安全性要求，标记平台达到安全属性P2级别； d、在安全属性P2的基础上，检查终端完整性是否满足P3-vl到P3-Vm的任意一条，如果满足则推导出终端的操作系统满足安全性要求，标记平台达到安全属性P3级别； e、在安全属性P3的基础上，检查终端完整性是否满足P4-vl到P4-vn的任意一条，如果满足则推导出终端的安全软件满足安全性要求，标记平台达到安全属性P4级别。
5.如权利要求1所述的保护终端配置隐私的可信网络接入方法，其特征在于，所述终端接入网络服务的方法为: A、经过验证接入网络的终端向网络服务发送访问请求； B、网络服务请求访问终端的安全属性以及某个特定软件的配置信息以及一个挑战随机数； C、访问终端将 特定软件度量至安全芯片，然后对挑战随机数、安全属性证书和网络服务指定的软件用平台身份密钥签名并发送给网络服务； D、网络服务对访问终端的安全属性以及特定软件配置进行检查，如果通过，则允许终端访问自身服务，若果没有通过，则不允许终端访问自身服务，该终端需要重新进行请求。
6.如权利要求1所述的保护终端配置隐私的可信网络接入方法，其特征在于，所述终端获取平台身份的方法如下: 接入终端与平台身份管理服务通过TPM/TCM芯片支持的平台身份申请协议，比如PrivacyCA或DAA协议,协商平台身份。
7.如权利要求1所述的保护终端配置隐私的可信网络接入方法，其特征在于，建立安全信道为: 网络设备提供的802.1X框架、VPN虚拟专用网络IPsec、TLS安全传输层协议内的通信信道中一种或多种。
8.如权利要求2所述的保护终端配置隐私的可信网络接入方法，其特征在于，接入终端可信启动的方法如下: 终端加电后平台从静态可信度量根CRTM开始依次加载、度量并运行可信引导程序BootLoader、操作系统内核以及系统安全软件，并将度量结果扩展至安全芯片。
9.如权利要求1所述的保护终端配置隐私的可信网络接入方法，其特征在于，所述终端上绑定有一或多个安全芯片TCM或TPM。
10.一种保护终端配置隐私的可信网络接入系统，其特征在于，由接入终端、策略执行点、策略判定点和网络服务组成， 所述接入终端对应于一接入网络的终端平台；包括网络接入引擎、终端网络接入服务以及完整性收集组件； 所述网络接入引擎针对不同的网络环境负责底层的网络通信，用于负责底层的网络通 目; 所述终端网络接入服务负责平台身份的注册和管理、平台完整性消息的转发以及完整性收集组件的管理； 所述完整性收集组件负责终端某一方面的完整性数据收集，一个终端上可以有多个完整性收集组件； 所述策略执行点负责具体接入策略的实施，包括多个网络接入设备； 所述策略判定点由平台身份管理服务和平台安全属性证明服务组成，平台身份管理服务负责平台身份的颁发、认证以及撤销等功能，平台安全属性证明服务负责平台安全属性的认证以及安全属性证书的颁发功能； 所述网络服务 可提供互联网上的各类网络服务提供商提供的具体网络服务。
全文摘要
本发明涉及一种保护终端配置隐私的可信网络接入方法及系统，可信网络接入系统由以下的实体组成接入终端、策略执行点、策略判定点和网络服务，方法为1)接入终端获取平台身份后接入网络，建立安全信道；没有平台身份的接入终端需要申请获得平台身份；2)接入终端通过策略执行点进行平台安全属性证明和平台身份验证；3)所述接入终端接入网络服务，验证成功后对网络进行访问。为网络服务提供了终端安全属性证明服务，保护了终端平台的配置隐私。
文档编号H04L9/32GK103152350SQ20131008230
公开日2013年6月12日 申请日期2013年3月14日 优先权日2013年3月14日
发明者赵世军, 初晓博, 张倩颖, 秦宇, 冯伟 申请人:中国科学院软件研究所