基于可信边界的跨域访问方法以及可信安全管理系统与流程

本发明涉及可信安全管理，具体而言，涉及一种基于可信边界的跨域访问方法以及可信安全管理系统。

背景技术：

1、随着信息技术的飞速发展，网络资源不断丰富，平台对终端的管理，计算终端的认证越来越暴露出它的缺陷。随着计算终端硬件资源和功能的不断增强，现有的保护方案已经无法满足下一代新的网络的安全需求。现有技术中计算终端的认证方案大都存在着以下几个问题：

2、(1)缺乏对计算终端的安全状态的监控。如果终端的操作系统、软件、硬件或固件已染有病毒或己被恶意篡改，用户往往会在不知情的情况下输入敏感信息或非法访问受控资源，造成信息泄露。

3、(2)缺乏对计算终端的身份认证管理。由于终端之间、终端与平台之间，平台与平台之间、平台内部未有可靠的安全管理和认证，在以上环境中进行信息传送，容易使合法的信息传送给非法的终端，造成安全隐患。

4、(3)缺乏平台之间的安全隔离及访问控制策略。敏感信息在处理过程中容易被别的程序偷听或窃取；而且在一机多用户的情况下，不能授予不同的用户具有不同的访问权限难以保证用户隐私的机密性。

5、针对上述的问题，目前尚未提出有效的解决方案。

技术实现思路

1、本发明实施例提供了一种基于可信边界的跨域访问方法以及可信安全管理系统，以至少解决相关技术中缺乏平台中各终端节点之间的安全隔离，容易造成目标对象的信息泄露的技术问题。

2、根据本发明实施例的一个方面，提供了一种基于可信边界的跨域访问方法，应用于可信计算体系架构中可信安全管理中心，所述可信计算体系架构中包含：可信安全管理中心以及n个可信网络，每个所述可信网络中部署有至少一个可信终端节点，各个所述可信网络之间通过可信边界节点隔离，所述可信终端节点和所述可信边界节点以内嵌的tpcm模块作为可信根，由tpcm模块进行可信度量，所述可信安全管理中心对所有所述可信网络以及所述可信边界进行管理，n为大于1的正整数，所述跨域访问方法包括：接收节点访问请求，其中，所述节点访问请求中携带有：访问终端节点的第一节点标识、被访问的目标终端节点的第二节点标识以及访问需求；查询所述第一节点标识指示的访问终端节点是否与所述第二节点标识指示的目标终端节点是否位于同一可信网络，得到查询结果；在所述查询结果指示两个节点不在同一可信网络的情况下，确认所述节点访问请求的请求类型为跨域访问请求，查找所述访问终端节点与所述目标终端节点之间的可信边界节点以及对应的节点管理策略；基于所述节点管理策略，分别建立所述访问终端节点与所述可信边界节点之间的第一可信连接，以及所述可信边界节点与所述目标终端节点之间的第二可信连接，其中，所述第一可信连接与所述第二可信连接之间是对等的；对所述第一可信连接与所述第二可信连接进行网络安全校验，并根据校验结果以及节点访问策略，将所述节点访问请求通过所述可信边界节点传输至所述目标终端节点。

3、可选地，对所述第一可信连接与所述第二可信连接进行网络安全校验的步骤，包括：采集所述第一可信连接与所述第二可信连接的网络行为特征值；基于所述网络行为特征值评估所述第一可信连接与所述第二可信连接的网络行为安全属性，得到网络行为评估等级；基于所述网络行为评估等级确定网络安全校验的校验结果。

4、可选地，分别建立所述访问终端节点与所述可信边界节点之间的第一可信连接，以及所述可信边界节点与所述目标终端节点之间的第二可信连接的步骤，包括：接收可信节点集合中各可信节点发起的验证请求，其中，所述可信节点集合中的可信节点为下述之一：所述访问终端节点、所述可信边界节点以及所述目标终端节点；响应所述验证请求，在可信环境中产生一个随机数，并将该随机数发送至所述可信节点；接收所述可信节点传输的完整性报告，其中，所述完整性报告为所述可信节点基于私钥对所述随机数、节点安全性值以及平台配置寄存器pcr值进行签名后生成的；对所述完整性报告中的节点安全性值以及平台配置寄存器pcr值进行可信策略验证；在验证通过的情况下，确认对该可信节点的完整性度量通过，建立所述访问终端节点与所述可信边界节点之间的第一可信连接，以及所述可信边界节点与所述目标终端节点之间的第二可信连接。

5、可选地，在查找所述访问终端节点与所述目标终端节点之间的可信边界节点以及对应的节点管理策略之后，还包括：接收所述访问终端节点的身份证书和访问证书，并接收所述可信边界节点的身份证书；对所述访问终端节点的身份证书和访问证书以及所述可信边界节点的身份证书进行证书校验；基于证书校验结果，确认所述访问终端节点与所述可信边界节点是否具备建立可信连接的可信条件。

6、可选地，将所述节点访问请求通过所述可信边界节点传输至所述目标终端节点的步骤，包括：将所述节点访问请求传输至所述可信边界节点，由所述可信边界节点对所述节点访问请求进行解析，并将解析后信息发送至边界裁决服务模块，其中，所述边界裁决服务模块确认所述访问终端节点是否有可信报告，并确认所述访问终端节点的节点状态是否可信；在所述访问终端节点无所述可信报告，或者，所述访问终端节点的节点状态不可信的情况下，所述可信边界节点终止与所述访问终端节点之间的网络连接；在所述访问终端节点存在所述可信报告，且所述访问终端节点的节点状态可信的情况下，所述可信边界节点验证所述访问终端节点是否有访问证书；在所述访问终端节点没有所述访问证书的情况下，所述可信边界节点将述节点访问请求发送至所述可信安全管理中心或者发证平台，由所述可信安全管理中心或者发证平台进行审核；在所述访问终端节点有所述访问证书的情况下，所述可信边界节点将所述节点访问请求传输至所述目标终端节点。

7、可选地，在接收节点访问请求之前，还包括：接收所述访问终端节点发起的平台鉴别请求，其中，所述平台鉴别请求用于对可信边界节点与可信终端节点的对接平台的安全通信进行鉴别；响应所述平台鉴别请求，对所述访问终端节点所属的可信网络以及所述可信边界执行至少一轮平台鉴别协议，得到平台鉴别结果。

8、根据本发明实施例的另一方面，还提供了一种基于可信边界的可信安全管理系统，包括：可信终端节点的网络组件，包括：n个可信网络，每个所述可信网络中部署有至少一个可信终端节点，所述可信终端节点以内嵌的tpcm模块作为可信根，由tpcm模块对所述可信终端节点进行可信度量；可信边界节点的可信区域网关，对各个所述可信网络进行隔离；可信安全管理中心边界策略管理组件，其中，所述可信安全管理中心执行上述任意一项所述的基于可信边界的跨域访问方法。

9、可选地，所述可信终端节点的网络组件包括：所述可信根，用于对所述可信终端节点进行可信度量，建立可信信任链，生成可信报告；第一可信网络模块，包括第一网络控制器、可信网络连接客户端、第一完整性度量采集模块和网络行为采集模块，其中，所述第一网络控制器负责向所述可信边界节点发起跨边界的访问请求，与所述可信边界节点的第二网络控制器和所述可信安全管理中心的鉴别策略服务模块执行用户身份鉴别协议来实现可信终端节点和可信边界节点之间的双向身份鉴别；所述可信网络连接客户端模块通过协议接口向各个完整性度量采集模块请求并接收组件度量值，执行平台鉴别协议，实现所述可信终端节点和可信边界节点之间的双向平台鉴别；所述第一完整性度量采集模块收集可信终端节点中组件的完整性度量值，完成平台完整性认证；所述网络行为采集模块对所述可信终端节点的网络安全行为进行收集，为所述可信安全管理中心的网络行为评估服务提供采样数据。

10、可选地，所述可信边界节点的可信区域网关包括：边界攻击检测模块、边界协议过滤模块和边界访问审计模块，实现所述可信边界节点的安全校验；第二可信网络模块，与所述可信终端节点的第一可信网络模块对应，包括第二网络控制器、可信网络连接接入点、第二完整性度量采集模块和网络行为管理模块，其中，所述第二网络控制器负责启动用户身份鉴别协议，与所述可信终端节点的第一网络控制器和所述可信安全管理中心的鉴别策略服务模块执行用户身份鉴别协议，来实现所述可信终端节点和所述可信边界节点之间的双向身份鉴别，并向可信网络的接入点发送平台鉴别请求；所述可信网络连接接入点通过协议接口网关的各个完整性度量采集模块请求并接收组件度量值，与所述可信终端节点的可信网络客户端模块和和所述可信安全管理中心的评估策略服务模块执行平台鉴别协议，实现可信终端节点和所述可信边界节点的可信区域网关之间的双向平台鉴别；所述第二完整性度量采集模块收集可信边界节点中各组件的完整性度量值，完成平台完整性认证；所述网络行为管理模块用于对所述可信边界节点的网络安全行为进行收集。

11、可选地，所述可信安全管理中心边界策略管理组件包括：完整性度量验证模块，校验所接收到的所述可信终端节点和所述可信边界节点中各种组件的完整性度量值，并依据预设评估策略生成组件完整性评估结果；评估策略服务模块，执行平台鉴别协议，实现所述可信终端节点和所述可信边界节点之间的双向平台鉴别，其中，在所述平台鉴别协议中，评估策略服务验证所述可信终端节点和所述可信边界节点的平台身份密钥pik证书的有效性；鉴别策略服务模块，执行用户身份鉴别协议，实现所述可信终端节点和所述可信边界节点之间的双向用户身份鉴别；网络行为评估模块，对网络行为安全属性进行评估，对各可信节点的网络行为进行风险等级划分。

12、根据本发明实施例的另一方面，还提供了一种计算机可读存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设备执行上述任意一项所述的基于可信边界的跨域访问方法。

13、本公开中，实现基于多重因素采集的可信边界访问鉴别，本实施方式中的可信边界的访问控制机制，先接收节点访问请求，节点访问请求中携带有：访问终端节点的第一节点标识、被访问的目标终端节点的第二节点标识以及访问需求；查询第一节点标识指示的访问终端节点是否与第二节点标识指示的目标终端节点是否位于同一可信网络，得到查询结果；在查询结果指示两个节点不在同一可信网络的情况下，确认节点访问请求的请求类型为跨域访问请求，查找访问终端节点与目标终端节点之间的可信边界节点以及对应的节点管理策略；基于节点管理策略，分别建立访问终端节点与可信边界节点之间的第一可信连接，以及可信边界节点与目标终端节点之间的第二可信连接，其中，第一可信连接与第二可信连接之间是对等的；对第一可信连接与第二可信连接进行网络安全校验，并根据校验结果以及节点访问策略，将节点访问请求通过可信边界节点传输至目标终端节点。

14、通过可信边界进行跨域访问，采用多次消息传递和在线可信第三方进行鉴别的机制，实现两个通讯实体节点之间的双向身份鉴别，同时实现可信终端节点跨越可信边界进行跨域访问，提升终端节点之间信息传输的安全性，从而解决相关技术中缺乏平台中各终端节点之间的安全隔离，容易造成目标对象的信息泄露的技术问题。

15、本公开中，基于三元对等实体鉴别可信网络连接架构的双向鉴别，在可信边界体系结构中，可信终端节点和可信边界节点均以内嵌的tpcm模块作为信任根，tpcm中集成椭圆曲线算法和对称加密算法模块。双方在可信安全管理中心的策略管理下进行双向的身份认证、平台认证和其他方法的认证，双方均通过认证后，才能建立可信连接及跨域的网络访问。