CN102055769B - 一种基于格的网格环境下多信任域认证*** - Google Patents

Abstract

本发明涉及一种基于格的网格环境下多信任域认证技术，属于信息安全领域。包括四个模块：网格结构构建模块、信任域管理模块、格结构转换模块和跨域访问控制模块，其工作过程包括网格初始化、域内初始化、认证服务器初始化和用户认证。本发明每个信任域都是认证实体，充分利用了网格模型的资源共享优势；每个域在作为认证服务器的时候，只需要存储以自身作为上界或者下界的域的相关认证信息，而不必存储全局的认证信息，减少了信息存储的冗余，便于维护和管理；在认证过程中，每个域的认证服务器对自身来说都是已知的，并且其认证路径也是相对确定的，从而提高了跨域认证的效率。

Description

一种基于格的网格环境下多信任域认证***

技术领域

本发明涉及一种基于格的网格环境下多信任域认证***，属于信息安全技术领域。

技术背景

信息化建设和网络技术的发展，使得信息共享变得越来越便利，网络中的信息的获取、传递和处理更加便捷，但信息在某种程度上所具有的十分敏感的安全特性，使得如何实现不同企业和应用之间跨信任域的身份授权与认证就显得非常具有必要性。近年来一直受到广泛关注的一门信息安全技术——访问控制，为该问题提供了一种解决途径，引起国内外学术界和企业界的广泛关注。

网格计算作为基础设施和下一代网络近年来也备受关注。网格常用于科学工程计算领域，它提供了一种灵活、安全、协同的资源共享模式，在这个模式中，由个体或机构等各种类型网络资源提供者组成了一种动态的环境，并且所有的计算机都可以参与计算和资源的共享。网格中的认证通常以对称和非对称加密理论为基础，采用满足规范的实体证书和代理证书来提供实体认证，或者通过构造一定的协议在通信过程中实现实体的认证。网络通信中实体认证的协议已相对完善，因此，目前研究的热点普遍集中在通过使用证书来进行认证的机制方面。最著名的证书认证体系就是PKI(Public Key Infrastructure)，它建立在公钥加密基础之上，通过使用非对称密码原理和实现技术来建立提供信息安全服务的基础设施，PKI体系模型如图1所示。通过PKI，可以将网络实体的身份、角色等信息融入到跨域认证中，从而实现不同要求、不同目的的认证方式，甚至还可以在认证模型中加入时间、会话等要素，构造多粒度的认证模型。随着非对称密码技术研究的发展，PKI技术也得到了广泛的发展，由于PKI具有支持可公开验证并无法仿冒的数字签名、保密能力强、证书由第三方发布而不需要在线查询、支持证书撤销、网络互联能力强等优点，目前其应用已经深入到网络的各个层面。

但是，PKI也存在着证书管理和撤销复杂、由某个拥有特权的机构认证所带来的网络传输瓶颈和单点崩溃等不足，虽然曾有人试图通过改造PKI认证体系的CA结构如提出层次型CA、网状CA以及桥CA等拓扑结构，并结合前向、后向、深度优先、广度优先等路径搜索方法，来改进认证路径构造问题从而提高PKI的认证效率，但当网络规模非常庞大，信任域数量较多且处于动态变化的状态时，PKI的复杂维护性就更加凸显。可见，PKI认证技术在网格环境下跨域认证过程中的应用潜力还可以得到继续挖掘，应该进一步发挥其优势，完善该领域的认证效力。

发明内容

本发明的目的是为了克服现有技术的缺陷，解决传统认证***中选择认证路径过程效率低的问题，提出了一种基于格的网格环境下多信任域认证***。

本发明是通过以下技术方案实现的。

本发明的一种基于格的网格环境下多信任域认证***，包括四个模块：网格结构构建模块、信任域管理模块、格结构转换模块和跨域访问控制模块，用户通过用户访问接口与本体系进行交互，实现对因特网资源的访问；

网格结构构建模块是本***最底层的模块，负责对因特网的网络资源进行统一的管理和组织，实现对底层的网络实体及应用的调用，以及对网络中共享资源的分配和使用，本模块构建以网格形式组织的网络结构；

信任域管理模块是在由网格结构构建模块所构建的以网格形式组织的网络结构的基础上，根据信任域管理策略划分和管理信任域，选定各信任域的代理服务器，完成各信任域间的通信和相关信息的注册，形成有组织的、相对稳定的信任域群，作为格结构转换模块的逻辑基础；

格结构转换模块使用格技术对信任域管理模块所形成的信任域群再进行逻辑组织，确定各信任域在格中的逻辑表示与地址，提供信任域网络地址与格地址的对映关系，明确格中各信任域间的相互关系，完成任意两个信任域的最大下界域和最小上界域的查找以及相关信息的注册管理，形成明确且相对稳定的格结构，为跨域访问控制模块提供逻辑基础；

跨域访问控制模块与用户访问接口进行交互，并根据跨域访问控制策略，完成信任域与其对应的上下界域之间的路径查找、跨域访问过程中信任域间认证信息的路由传递、证书的发放和认证，以及跨域访问的最终实现；

上述格结构转换模块使用格技术对网格中信任域群进行逻辑组织的方法为：

定义

是偏序集，ρ(S)表示集合S＝{a₁，a₂，...a_n}的所有子集的集合，表示集合的“包含于”关系；由于集合ρ(S)中任意两个不同的元素x和y都有最小上界和最大下界，所以称ρ(S)关于偏序集

构成一个格，由于格关系中最小上界和最大下界的唯一性，将求x和y的最小上界和最大下界分别定义为x与y的二元运算∨和∧，即x∨y和x∧y分别表示x与y的最小上界和最大下界；根据格理论中满足一定偏序关系的集合中的任意两元素都具有确定的最小上界和最大下界的特点，对网格环境中划分好的信任域进行逻辑再划分，将划分出的信任域表示为ρ(S)集合中的一个元素；

上述跨域访问控制模块中跨域访问控制策略为：依据格理论，在对网格信任域进行格形式组织的基础上，对跨域访问涉及的访问发起域和访问目的域，约定以他们的最小上界域为证书发放服务器，最大下界域为证书认证服务器，代理服务器为域内实体与认证服务器进行通信与认证的接口，负责本域实体的管理、本域内部实体访问控制，以及对外域实体认证证书的发放或认证的工作，具体认证过程描述如下：

1)访问发起域的代理服务器获取访问目的域的网络地址；

2)访问发起域的代理服务器根据网路地址查找访问目的域在格中的地址；

3)访问发起域的代理服务器根据自身的格地址和访问目的域的格地址计算自身域与访问目的域的最大下界域和最小上界域；

4)访问发起域的代理服务器查找与最小上界域之间的认证路径，然后向最小上界域提出证书申请，并传递本域的网络地址、格地址和身份信息等相关信息；

5)最小上界域发布证书，并交给访问发起域的代理服务器；

6)访问发起域的代理服务器向访问目的域的代理服务器发送证书；

7)访问目的域查找其与最大下界域之间的认证路径，提出证书认证申请，并传递访问发起域的认证证书；

8)最大下界域完成证书认证，并将认证结果返回给访问目的域；

9)访问目的域根据认证结果实施或结束此次跨域访问，若认证证书通过认证，则访问目的域向访问发起域发送访问密钥，并接受访问；若认证证书认证失败，则访问目的域拒绝此次访问；

上述步骤4)和步骤7)中的认证路径的查找是根据***所构造的格中元素的上下界关系，具体过程为：

访问发起域首先判断访问目的域与自身在格中的关系，如果访问目的域是自己的最小上界域，则访问发起域先查找与自身相邻的域中是否有访问目的域，如果有，则只向访问目的域发送消息，如果没有，则选择向与自身相邻的并且是自身上界的域发送信息，接收到信息的域也会重复这一选择过程，直到信息发送到访问目的域或者被丢弃。由于格中上下界关系的确定性，最终信息一定会到达访问目的域，其他非最小上界域的上界域会因为找不到自身的上界域而将接收到的信息丢弃，但此处理不影响最小上界域对信息的接收；

如果访问目的域是自己的最大下界域，则访问发起域先查找与自身相邻的域中是否有访问目的域，如果有，则只向访问目的域发送信息，如果没有，则选择向与自身相邻的并且是自身下界的域发送信息，接收到信息的域也会重复这一选择过程，直到信息发送到访问目的域或者被丢弃。由于格中上下界关系的确定性，最终信息一定会到达访问目的域，其他非最大下界域的下界域会因为找不到自身的下界域而将接收到的信息丢弃，同样，这种处理也不会影响最大下界域对信息的接收。

本发明的一种基于格的网格环境下多信任域认证***，其工作过程为：

1)网格初始化。网格初始化自身结构，并确定网络规模，为所有的相关实体分配身份标识，确定信任域划分策略并依此划分和注册各信任域，为各信任域分配格表示，根据格表示确定各域之间的关系及域间通信规则和通信路径，初始化并告知所有相关实体私钥及会话密钥生成算法；

2)域内初始化。网格初始化完成后，各实体以本域为范围，根据各实体的信任度、访问频率、实体计算性能等要素确定本域代理服务器。本域内部实体间建立互信任机制，彼此间访问共享资源不需要认证。

3)认证服务器初始化。各信任域根据初始化得到的格表示与和自身有关的域进行通信，完成网络中所有域的格表示与网络真实地址的映射，计算并确定任意两个信任域的最小上界域和最大下界域，每个域的代理服务器对相关信息进行注册，代理服务器初始化身份判决和证书生成、认证策略，并向相邻域的代理服务器通信，以注册自身为实体。

4)用户认证。在跨域访问时，用户使用自身的身份信息，通过本域的代理服务器向其所对应的身份判决与认证证书发放域(即自身所在域与目标域的最小上界)的服务器发送相关信息，认证服务器根据判决、认证策略做出相应的反应，并将认证结果返回给访问发起实体，访问发起实体根据认证结果和访问策略进行跨域访问。

有益效果

本发明的一种基于格的网格环境下多信任域认证***，其相对于现有技术的优势在于：每个信任域都是认证实体，并且都可以充当认证服务器，充分利用了网格模型的资源共享优势；每个域在作为认证服务器的时候，只需要存储以自身作为上界或者下界的域的相关认证信息，而不必存储全局的认证信息，如相关密钥、对应坐标等，减少了信息存储的冗余，便于维护和管理；在认证过程中，每个域的认证服务器对自身来说都是已知的，并且由于偏序关系的选择，其认证路径也是相对确定的，从而提高了跨域认证的效率。

附图说明

图1为PKI体系模型；

图2为本发明的***层次结构图；

图3为实施例中使用格技术所构造的网络模型；

图4为实施例中***认证过程的示意图。

具体实施方式

下面结合附图和实施例对本发明做进一步说明。

实施例

一种基于格的网格环境下多信任域认证***，包括四个模块：网格结构构建模块、信任域管理模块、格结构转换模块和跨域访问控制模块，用户通过用户访问接口与本体系进行交互，实现对因特网资源的访问；

网格结构构建模块是本***最底层的模块，负责对因特网的网络资源进行统一的管理和组织，实现对底层的网络实体及应用的调用，以及对网络中共享资源的分配和使用，本模块构建以网格形式组织的网络结构；

信任域管理模块是在由网格结构构建模块所构建的以网格形式组织的网络结构的基础上，根据信任域管理策略划分和管理信任域，选定各信任域的代理服务器，完成各信任域间的通信和相关信息的注册，形成有组织的、相对稳定的信任域群，作为格结构转换模块的逻辑基础；

格结构转换模块使用格技术对信任域管理模块所形成的信任域群再进行逻辑组织，确定各信任域在格中的逻辑表示与地址，提供信任域网络地址与格地址的对映关系，明确格中各信任域间的相互关系，完成任意两个信任域的最大下界域和最小上界域的查找以及相关信息的注册管理，形成明确且相对稳定的格结构，为跨域访问控制模块提供逻辑基础；

跨域访问控制模块与用户访问接口进行交互，并根据跨域访问控制策略，完成信任域与其对应的上下界域之间的路径查找、跨域访问过程中信任域间认证信息的路由传递、证书的发放和认证，以及跨域访问的最终实现；

上述格结构转换模块使用格技术对网格中信任域群进行逻辑组织的方法为：

定义

是偏序集，ρ(S)表示集合S＝{a₁，a₂，...a_n}的所有子集的集合，

表示集合的“包含于”关系；由于集合ρ(S)中任意两个不同的元素x和y都有最小上界和最大下界，所以称ρ(S)关于偏序集

构成一个格，由于格关系中最小上界和最大下界的唯一性，将求x和y的最小上界和最大下界分别定义为x与y的二元运算∨和∧，即x∨y和x∧y分别表示x与y的最小上界和最大下界；根据格理论中满足一定偏序关系的集合中的任意两元素都具有确定的最小上界和最大下界的特点，对网格环境中划分好的信任域进行逻辑再划分，将划分出的信任域表示为ρ(S)集合中的一个元素；

对于集合S＝{a，b，c}，S有3个元素且S的子集的个数为2³＝8个，偏序集合

是格，且ρ(S)可以表示8个域，分别为{a，b，c}、{a}、{b}、{c}、{a，b}、{a，c}、{b，c}、空集Ф，对于ρ(S)中任意两个元素为A、B，则A∨B＝A∪B，A∧B＝A∩B。格

所构造的网络模型如图3所示。

上述跨域访问控制模块中跨域访问控制策略为：依据格理论，在对网格信任域进行格形式组织的基础上，对跨域访问涉及的访问发起域和访问目的域，约定以他们的最小上界域为证书发放服务器，最大下界域为证书认证服务器，代理服务器为域内实体与认证服务器进行通信与认证的接口，负责本域实体的管理、本域内部实体访问控制，以及对外域实体认证证书的发放或认证的工作，具体认证过程描述如下：

1)访问发起域的代理服务器获取访问目的域的网络地址；

2)访问发起域的代理服务器根据网路地址查找访问目的域在格中的地址；

3)访问发起域的代理服务器根据自身的格地址和访问目的域的格地址计算自身域与访问目的域的最大下界域和最小上界域；

4)访问发起域的代理服务器查找与最小上界域之间的认证路径，然后向最小上界域提出证书申请，并传递本域的网络地址、格地址和身份信息等相关信息；

5)最小上界域发布证书，并交给访问发起域的代理服务器；

6)访问发起域的代理服务器向访问目的域的代理服务器发送证书；

7)访问目的域查找其与最大下界域之间的认证路径，提出证书认证申请，并传递访问发起域的认证证书；

8)最大下界域完成证书认证，并将认证结果返回给访问目的域；

9)访问目的域根据认证结果实施或结束此次跨域访问，若认证证书通过认证，则访问目的域向访问发起域发送访问密钥，并接受访问；若认证证书认证失败，则访问目的域拒绝此次访问；

上述步骤4)和步骤7)中的认证路径的查找是根据***所构造的格中元素的上下界关系，具体过程为：

访问发起域首先判断访问目的域与自身在格中的关系，如果访问目的域是自己的最小上界域，则访问发起域先查找与自身相邻的域中是否有访问目的域，如果有，则只向访问目的域发送消息，如果没有，则选择向与自身相邻的并且是自身上界的域发送信息，接收到信息的域也会重复这一选择过程，直到信息发送到访问目的域或者被丢弃。由于格中上下界关系的确定性，最终信息一定会到达访问目的域，其他非最小上界域的上界域会因为找不到自身的上界域而将接收到的信息丢弃，但此处理不影响最小上界域对信息的接收；

如果访问目的域是自己的最大下界域，则访问发起域先查找与自身相邻的域中是否有访问目的域，如果有，则只向访问目的域发送信息，如果没有，则选择向与自身相邻的并且是自身下界的域发送信息，接收到信息的域也会重复这一选择过程，直到信息发送到访问目的域或者被丢弃。由于格中上下界关系的确定性，最终信息一定会到达访问目的域，其他非最大下界域的下界域会因为找不到自身的下界域而将接收到的信息丢弃，同样，这种处理也不会影响最大下界域对信息的接收。

本发明的一种基于格的网格环境下多信任域认证***，其工作过程为：

1)网格初始化。网格初始化自身结构，并确定网络规模，为所有的相关实体分配身份标识，确定信任域划分策略并依此划分和注册各信任域，为各信任域分配格表示，根据格表示确定各域之间的关系及域间通信规则和通信路径，初始化并告知所有相关实体私钥及会话密钥生成算法；

2)域内初始化。网格初始化完成后，各实体以本域为范围，根据各实体的信任度、访问频率、实体计算性能等要素确定本域代理服务器。本域内部实体间建立互信任机制，彼此间访问共享资源不需要认证。

3)认证服务器初始化。各信任域根据初始化得到的格表示与和自身有关的域进行通信，完成网络中所有域的格表示与网络真实地址的映射，计算并确定任意两个信任域的最小上界域和最大下界域，每个域的代理服务器对相关信息进行注册，代理服务器初始化身份判决和证书生成、认证策略，并向相邻域的代理服务器通信，以注册自身为实体。

4)用户认证。在跨域访问时，用户使用自身的身份信息，通过本域的代理服务器向其所对应的身份判决与认证证书发放域(即自身所在域与目标域的最小上界)的服务器发送相关信息，认证服务器根据判决、认证策略做出相应的反应，并将认证结果返回给访问发起实体，访问发起实体根据认证结果和访问策略进行跨域访问。

如图4所示，域A中的实体E_A想要访问域B中的实体E_B的资源，则跨域认证过程为：

1)实体E_A向访问发起域的代理服务器CA_A请求跨域访问，并传递实体E_B的网络地址；

2)访问发起域的代理服务器CA_A通过实体E_B的网络地址获取访问目的域CA_B的网络地址，根据网路地址查找访问目的域CA_B在格中的地址，然后根据自身的格地址和访问目的域CA_B的格地址计算自身域与访问目的域CA_B的最大下界域和最小上界域，最后访问发起域的代理服务器CA_A查找与最小上界域CA_C之间的认证路径，并向最小上界域CA_C提出证书申请，并传递本域的网络地址、格地址和身份信息等相关信息；

3)最小上界域代理服务器CA_C发布证书，并交给访问发起域的代理服务器CA_A；

4)访问发起域的代理服务器CA_A向访问目的域服务器CA_B发送证书；

5)访问目的域的代理服务器CA_B向实体E_B索要实体E_B的会话密钥；

6)实体E_B向访问目的域的代理服务器CA_B返回其会话密钥；

7)访问目的域代理服务器CA_B查找其与最大下界域代理服务器CA_C之间的认证路径，提出证书认证申请，并传递访问发起域CA_A的认证证书给最大下界域；

8)最大下界域代理服务器CA_D完成证书认证，并将认证结果返回给访问目的域代理服务器CA_B；

9)访问目的域代理服务器CA_B根据认证结果实施或结束此次跨域访问，若认证证书通过认证，则访问目的域代理服务器CA_B向访问发起域代理服务器CA_A发送同意访问的消息，并发送实体E_B的访问密钥；若认证证书认证失败，则访问目的域代理服务器CA_B向访问发起域的代理服务器CA_A发送拒绝此次访问的消息，并结束此次认证；

10)访问发起域的代理服务器CA_A收到访问目的域代理服务器CA_B的通知，然后将结果传递给实体E_A；

11)实体E_A根据收到的结果决定是否可以实施跨域访问，若可以，则使用实体E_B的会话密钥向实体E_B发起访问；若不可以，则结束此次跨域访问。

Claims (2)

1.一种基于格的网格环境下多信任域认证***，用户通过用户访问接口与本体系进行交互，实现对因特网资源的访问，其特征在于： 

包括网格结构构建模块、信任域管理模块、格结构转换模块和跨域访问控制模块，四个模块在本***中所完成的任务分别为： 

网格结构构建模块构建以网格形式组织的网络结构，处于本***最底层，负责对因特网的网络资源进行统一的管理和组织，实现对底层的网络实体及应用的调用，以及对网络中共享资源的分配和使用； 

信任域管理模块是在由网格结构构建模块所构建的以网格形式组织的网络结构的基础上，根据信任域管理策略划分和管理信任域，选定各信任域的代理服务器，完成各信任域间的通信和相关信息的注册，形成有组织的、相对稳定的信任域群，作为格结构转换模块的逻辑基础； 

格结构转换模块使用格技术对信任域管理模块所形成的信任域群再进行逻辑组织，确定各信任域在格中的逻辑表示与地址，提供信任域网络地址与格地址的对应关系，明确格中各信任域间的相互关系，完成任意两个信任域的最大下界域和最小上界域的选择以及相关信息的注册管理，形成明确且相对稳定的格结构，为跨域访问控制模块提供逻辑基础； 

跨域访问控制模块与用户访问接口进行交互，并根据跨域访问控制策略，完成信任域与其对应的上下界域之间的路径查找、跨域访问过程中信任域间认证信息的路由传递、证书的发放和认证，以及跨域访问的最终实现； 

所述格结构转换模块使用格技术对网格中信任域群进行逻辑组织的方法为： 

定义

是偏序集，其中ρ(S)表示集合S＝{a₁，a₂，Ka_n}的所有子集的集合，表示集合的“包含于”关系；由于集合ρ(S)中任意两个不同的元素x和y都有最小上界和最大下界，所以称ρ(S)关于偏序集

构成一个格，由于格关系中最小上界和最大下界的唯一性，将求x和y的最小上界和最大下界分别定义为x与y的二元运算∨和∧，即x∨y和x∧y分别表示x与 y的最小上界和最大下界；根据格理论中满足一定偏序关系的集合中的任意两元素都具有确定的最小上界和最大下界的特点，对网格环境中划分好的信任域进行逻辑再划分，将划分出的信任域表示为ρ(S)集合中的一个元素； 

所述跨域访问控制模块中跨域访问控制策略为：依据格理论，在对网格信任域进行格形式组织的基础上，对跨域访问涉及的访问发起域和访问目的域，约定以他们的最小上界域为证书发放服务器，最大下界域为证书认证服务器，代理服务器为域内实体与认证服务器进行通信与认证的接口，负责本域实体的管理、本域内部实体访问控制，以及对外域实体认证证书的发放或认证的工作，具体认证过程描述如下： 

1)访问发起域的代理服务器获取访问目的域的网络地址； 

2)访问发起域的代理服务器根据网路地址查找访问目的域在格中的地址； 

3)访问发起域的代理服务器根据自身的格地址和访问目的域的格地址计算自身域与访问目的域的最大下界域和最小上界域； 

4)访问发起域的代理服务器查找与最小上界域之间的认证路径，然后向最小上界域提出证书申请，并传递本域的网络地址、格地址和身份信息相关信息； 

5)最小上界域发布证书，并交给访问发起域的代理服务器； 

6)访问发起域的代理服务器向访问目的域的代理服务器发送证书； 

7)访问目的域查找其与最大下界域之间的认证路径，提出证书认证申请，并传递访问发起域的认证证书； 

8)最大下界域完成证书认证，并将认证结果返回给访问目的域； 

9)访问目的域根据认证结果实施或结束此次跨域访问，若认证证书通过认证，则访问目的域向访问发起域发送访问密钥，并接受访问；若认证证书认证失败，则访问目的域拒绝此次访问。 

2.根据权利要求1所述的一种基于格的网格环境下多信任域认证***， 其特征在于：所述步骤4)和步骤7)中的认证路径的查找是根据***所构造的格中元素的上下界关系，具体过程为： 

访问发起域首先判断访问目的域与自身在格中的关系，如果访问目的域是自己的最小上界域，则访问发起域先查找与自身相邻的域中是否有访问目的域，如果有，则只向访问目的域发送消息，如果没有，则选择向与自身相邻的并且是自身上界的域发送信息，接收到信息的域也会重复这一选择过程，直到信息发送到访问目的域或者被丢弃；如果访问目的域是自己的最大下界域，则访问发起域先查找与自身相邻的域中是否有访问目的域，如果有，则只向访问目的域发送信息，如果没有，则选择向与自身相邻的并且是自身下界的域发送信息，接收到信息的域也会重复这一选择过程，直到信息发送到访问目的域或者被丢弃。 

Images