本发明公开了一种基于可信第三方的秘钥协商协议的设计及其实现方法，具体为信息安全技术领域。
背景技术
威胁网路数据安全的因素是多方面的，例如由于网络设计、管理等方面的原因会无意造成数据的暴漏，攻击者也可采取非法行动从网络中获取数据，从而威胁到数据的安全性和完整性。尽管网络安全对于网络的正常运行和使用有着极其重要的影响，但目前对于网络安全的研究仍然处于不成熟的阶段，对于网络安全体系结构还缺乏统一的认知。私钥密码系统应用中一个重要的安全需求就是确保使用的公钥确切的属于指定的接收者，即需要一种将用户标识(id)和其公钥绑定在一起的安全机制。传统私钥密码体制中，例如采用rsa、dsa、ecc等算法的系统，私钥的产生和用户的标识没有关系，需要由第三方认证中心(ca)发放证书，即对用户的私钥和标识进行签名，将二者绑定。私钥方式的身份认证协议安全度高，但是其计算开销大、标准不统一，用户标识私钥丢失后，传统私钥体制中用户的标识和私钥绑定在一起，如果用户私钥丢失，用户可以重新生成一对公钥和私钥，而在标识密码体制中，用户的标识就是公钥，因此无法被注销。为此，我们提出了一种基于可信第三方的秘钥协商协议的设计及其实现方法投入使用，以解决上述问题。
技术实现要素：
本发明的目的在于提供一种基于可信第三方的秘钥协商协议的设计及其实现方法，以解决上述背景技术中提出的问题。
为实现上述目的，本发明提供如下技术方案：一种基于可信第三方的秘钥协商协议的设计及其实现方法，包括客户端、数字签名模块、身份鉴别模块、数据公正模块、路由控制服务器、访问控制模块、应用接口、数据加密模块、第三方密钥分配中心以及应用服务器；
所述用于对上网用户的访问进行认证控制；所述身份鉴别模块用于支持访问控制服务所需的身份认证功能，并进行口令交换；所述数据公正模块基于数字签名技术对数据传输的完整性、数据源、传输时间和数据宿进行公正；所述访问控制模块基于访问控制表和通过容量或能力限制等手段进行资源的访问控制；所述路由控制服务器包括对路由的选择进行限制和对路由信息进行鉴别；所述数据加密模块用于对网络传输中的数据内容进行加密；所述应用接口提供所述客户端和访问控制模块的应用开发接口，其包含创建或读取身份认证请求例程，创建安全或秘密消息的例程；所述第三方密钥分配中心用于合理分配多组用户私钥。
优选的，所述访问控制模块包括对用于设置不同的访问权限、对用户允许访问的时间和访问的持续时间进行限制。
优选的，所述应用接口内置受控端口和非受控端口，其中所述非受控端口始终处于双向连通状态，用于传递eap协议包；所述受控端口可配置为双向受控、输人受控两种方式，以适应不同的应用环境。
优选的，所述客户端还包括数据管理服务器，用于注册用户通过发送协议包的方式对上网记录进行查询，系统管理员通过所述数据管理服务器对注册用户的上网情况进行统计和管理。
优选的，该实现方法的具体步骤如下：
s1：身份验证产生会话私钥ks，连同对方的身份标识b，用与第三方密钥分配中心共享的对称私钥ka进行加密，eka(b，ks)＝ka(b，ks),将结果ka(b，ks)与自身的身份标识a一起发送至第三方密钥分配中心；
s2：第三方密钥分配中心得到用户身份标识a，并用ka对ka(b，ks)进行解密，dka(ka(b，ks))＝b，ks,随后用与对方用户共享的对称私钥对用户a和ks进行加密，ekb(a，ks)＝kb(a，ks),将结果kb(a，ks)发送给对方用户；
s3：对方用户用kb对kb(a，ks)进行解密，dkb(kb(a，ks))＝b，ks,即确定用户的身份，并建立会话私钥ks
与现有技术相比，本发明的有益效果是：本发明能够使通信双方从对方提供自己支持的功能从而协商共同的安全属性，通过可信任的第三方私钥协商机制，利用正确的鉴别协议，完成用户身份鉴别，并引入可信任的第三方密钥分配中心，减轻私钥的管理难度和降低私钥的安全风险，减小了计算量，同时能够保证整个网络数据的安全性。
附图说明
图1为本发明系统原理框图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
请参阅图1，本发明提供一种技术方案：一种基于可信第三方的秘钥协商协议的设计，包括客户端、数字签名模块、身份鉴别模块、数据公正模块、路由控制服务器、访问控制模块、应用接口、数据加密模块、第三方密钥分配中心以及应用服务器；
所述用于对上网用户的访问进行认证控制；所述身份鉴别模块用于支持访问控制服务所需的身份认证功能，并进行口令交换；所述数据公正模块基于数字签名技术对数据传输的完整性、数据源、传输时间和数据宿进行公正；所述访问控制模块基于访问控制表和通过容量或能力限制等手段进行资源的访问控制；所述路由控制服务器包括对路由的选择进行限制和对路由信息进行鉴别；所述数据加密模块用于对网络传输中的数据内容进行加密；所述应用接口提供所述客户端和访问控制模块的应用开发接口，其包含创建或读取身份认证请求例程，创建安全或秘密消息的例程；所述第三方密钥分配中心用于合理分配多组用户私钥。
其中，所述访问控制模块包括对用于设置不同的访问权限、对用户允许访问的时间和访问的持续时间进行限制，所述应用接口内置受控端口和非受控端口，其中所述非受控端口始终处于双向连通状态，用于传递eap协议包；所述受控端口可配置为双向受控、输人受控两种方式，以适应不同的应用环境，所述客户端还包括数据管理服务器，用于注册用户通过发送协议包的方式对上网记录进行查询，系统管理员通过所述数据管理服务器对注册用户的上网情况进行统计和管理。
本发明还提供了一种基于可信第三方的秘钥协商协议的实现方法，该实现方法的具体步骤如下：
s1：身份验证产生会话私钥ks，连同对方的身份标识b，用与第三方密钥分配中心共享的对称私钥ka进行加密，eka(b，ks)＝ka(b，ks),将结果ka(b，ks)与自身的身份标识a一起发送至第三方密钥分配中心；
s2：第三方密钥分配中心得到用户身份标识a，并用ka对ka(b，ks)进行解密，dka(ka(b，ks))＝b，ks,随后用与对方用户共享的对称私钥对用户a和ks进行加密，ekb(a，ks)＝kb(a，ks),将结果kb(a，ks)发送给对方用户；
s3：对方用户用kb对kb(a，ks)进行解密，dkb(kb(a，ks))＝b，ks,即确定用户的身份，并建立会话私钥ks。
尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。