CN105162602B - 一种可信网络身份管理和验证***和方法 - Google Patents

一种可信网络身份管理和验证***和方法 Download PDF

Info

Publication number
CN105162602B
CN105162602B CN201510551325.3A CN201510551325A CN105162602B CN 105162602 B CN105162602 B CN 105162602B CN 201510551325 A CN201510551325 A CN 201510551325A CN 105162602 B CN105162602 B CN 105162602B
Authority
CN
China
Prior art keywords
user
information
unit
public key
trusted identities
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201510551325.3A
Other languages
English (en)
Other versions
CN105162602A (zh
Inventor
延志伟
耿光刚
傅瑜
李晓东
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Internet Network Information Center
Original Assignee
China Internet Network Information Center
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Internet Network Information Center filed Critical China Internet Network Information Center
Priority to CN201510551325.3A priority Critical patent/CN105162602B/zh
Publication of CN105162602A publication Critical patent/CN105162602A/zh
Priority to PCT/CN2015/098467 priority patent/WO2017036003A1/zh
Application granted granted Critical
Publication of CN105162602B publication Critical patent/CN105162602B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Transfer Between Computers (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明涉及一种可信网络身份管理和验证***和方法。用户标识管理单元维护用户的网络身份标识信息，并将用户的网络身份标识和公钥信息绑定注册到可信标识维护单元；网络服务管理单元管理互联网服务，并将对应的公钥信息和域名绑定注册到可信标识维护单元；可信标识维护单元部署DNSSEC协议，维护用户和互联网服务的标识及公钥绑定信息；互联网用户单元保存和管理自有私钥信息，并通过查询所述可信标识维护单元获取可信的网络服务提供者的信息；网络服务提供者单元保存和管理自有私钥信息，并通过查询所述可信标识维护单元获取用户信息。本发明能够支持服务提供者和互联网用户之间的双向身份验证、密钥协商、安全通信等功能。

Description

一种可信网络身份管理和验证***和方法
技术领域
本发明属于网络技术、信息安全技术领域，具体涉及一种可信网络身份管理和验证***和方法。
背景技术
近二十年来伴随着信息技术的迅猛发展，互联网在社会生产和个人生活中的重要性日益凸显，其服务和应用已经渗透到军事、文化、政治、经济等各个领域。然而，伴随着互联网空前广泛的应用，其所面临的安全问题日益严峻。“棱镜门”事件、“五只眼”情报联盟、“愤怒的小鸟”间谍风波等案例不断引发各国对网络可信安全的高度关注。
自2000年以来，美国、欧盟、日本等国家和地区均加快在信息网络中引入和部署可信网络战略框架，加强身份管理、构建可信环境。以美国为例，白宫早在2011年4月就发布了《网络空间可信身份国家战略》，计划用10年左右时间构建网络身份生态体系，以推动个人和组织在网络上使用安全、高效、易用的可信身份。
这就意味着互联网的安全可信越来越重要，而建立互联网用户和服务提供者之间的双向认证已经成为构建互联网安全可信环境迫在眉睫的基础。
域名***(Domain Name System,DNS)是一种将域名映射为某些预定义类型资源记录(如IP地址)的分布式互联网服务***。作为一种互联网应用层的资源寻址服务，域名服务是其它互联网络应用服务的基础，常见的互联网络应用服务(如Web服务、电子邮件服务、FTP服务等)都以域名服务为基础来实现资源的寻址和定位。
DNS的原始协议是一种轻量级协议，它不能对服务数据内容提供安全保证；而且DNS数据在互联网上以明文方式进行传输，数据在传输过程中很容易遭到劫持或篡改。由于DNS协议本身不提供数据内容的完整性保护机制，因此接收方无法判别接收到的消息是否遭到篡改及来源是否正确；此外，DNS协议的实现通常以UDP协议为基础，缺乏通信的可靠性保证，这进一步加重了消息被篡改或被伪造的可能性。正是由于DNS协议所暴露出来的以上安全缺陷，促使了DNS安全扩展(DNS Security Extensions,DNSSEC)的产生和发展。
DNSSEC协议是一个针对DNS协议的安全扩展，它通过给DNS的应答消息添加基于非对称加密算法的数字签名，来保证数据未经篡改且来源正确；再通过域名体系自下而上逐级向父域提交自己的公共密钥，来实现整个域名体系的逐级安全认证。具体而言，DNSSEC为DNS数据提供了三方面的安全保障：(1)来源验证：保证DNS应答消息来自被授权的权威服务器；(2)完整性验证：保证DNS应答消息在传输途中未经篡改；(3)否定存在验证：当用户请求一个不存在的域名时，DNS服务器也能够给出包含数字签名的否定应答消息，以保证这个否定应答的可靠性。
DNSSEC本质上是在域名***树形授权体系的基础上，再建立一套基于密码学手段的签名/验证体系，也就是信任链体系，通过信任链上的逐级安全验证，来确保DNS查询结果的真实可靠(数据完整性和非否认性)。
发明内容
本发明提供一种可信网络身份管理和验证***和方法，能够实现服务提供者和互联网用户之间的双向身份验证、密钥协商、安全通信等功能。
为实现上述目的，本发明采用的技术方案如下：
一种可信网络身份管理和验证***，包括用户标识管理单元、网络服务管理单元、可信标识维护单元、互联网用户单元以及网络服务提供者单元；
所述用户标识管理单元维护用户的网络身份标识信息，并将用户的网络身份标识和公钥信息绑定注册到所述可信标识维护单元；
所述网络服务管理单元管理互联网服务，并将对应的公钥信息和域名绑定注册到所述可信标识维护单元；
所述可信标识维护单元部署DNSSEC协议，并维护用户和互联网服务的标识及公钥绑定信息；
所述互联网用户单元保存和管理自有私钥信息，并通过查询所述可信标识维护单元获取可信的网络服务提供者的信息；
所述网络服务提供者单元保存和管理自有私钥信息，并通过查询所述可信标识维护单元获取用户信息。
一种采用上述***的可信网络身份验证和安全通信方法，包括如下步骤：
1)互联网用户向用户标识管理单元进行实名注册；
2)用户标识管理单元为用户生成网络标识，并为其创建用户标识管理账号；
3)用户生成非对称密钥对，通过登录账号上传公钥信息；
4)用户标识管理单元将用户网络身份标识及其公钥信息注册到可信标识维护单元；同时将该用户的网络身份标识及其公钥信息发送给当地的ISP，由当地的ISP将该用户的网络身份信息和上网账户信息进行绑定；
5)互联网服务提供者向网络服务管理单元进行实名注册；
6)网络服务管理单元对其进行入网许可验证，基于服务内容进行安全等级划分，并为其创建服务标识管理账号；
7)互联网服务提供者生成非对称密钥对，通过登录账号上传公钥信息；
8)网络服务管理单元将服务域名及其公钥信息注册到可信标识维护单元；
9)当某用户要访问网络服务提供者的网站时，首先通过可信标识维护单元查询该网站对应的公钥信息和IP地址；
10)用户使用网络服务提供者的公钥签名自己的网络标识和公钥信息；
11)网络服务提供者查询可信标识维护单元，用自己的私钥核验用户网络标识和公钥信息；
12)网络服务提供者生成对称密钥，用用户的公钥进行加密后传输给用户；
13)用户接收后用自己的私钥解密获得该对称密钥，用户和网络服务提供者使用该对称密钥进行安全通信。
本发明利用DNS及DNSSEC技术，来进行互联网可信身份的管理和验证，并支持不同安全等级的服务管理，进而支持服务提供者和互联网用户之间的双向身份验证、密钥协商、安全通信等功能。
附图说明
图1是可信网络框架相关角色示意图。
图2是密钥分发和用户标识注册示意图。
图3是密钥分发和服务标识注册示意图。
图4是可信标识维护域的示意图。
图5是可信标识验证流程图。
具体实施方式
为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实施例和附图，对本发明做进一步说明。
本发明具体包括五种功能角色：管理用户身份信息的机构、管理互联网服务提供者的机构、维护用户和服务可信标识信息的机构、互联网用户以及网络服务提供者。上述五种功能角色可以通过具体的硬件装置或软件模块实现，可分别称为用户标识管理单元/装置/模块、网络服务管理单元/装置/模块、可信标识维护单元/装置/模块、互联网用户单元/装置/模块以及网络服务提供者单元/装置/模块。下面采用“单元”这一名称，如图1所示。
用户标识管理单元维护中国公民(及外籍入境用户)的唯一性标识信息，并将其网络身份标识和公钥信息绑定注册到可信标识维护单元，同时将用户的网络身份标识信息和公钥信息与当地的ISP(Internet Service Provider网络服务提供商)进行共享，从而使ISP能够将用户的网络身份标识和该用户的上网账户信息进行绑定。
网络服务管理单元管理国内注册(及国外注册但国内运行)的互联网服务，对其服务安全性需求进行确认，将对应公钥信息和域名绑定注册到可信标识维护单元。
可信标识维护单元部署DNSSEC协议，通过可扩展、可管理的模式维护海量用户/服务标识和公钥绑定信息，并支持高效准确的查询。
互联网用户单元保存和管理自有私钥信息，并通过查询可信标识维护单元获取可信的网络服务提供者信息。
网络服务提供者单元保存并管理自有私钥信息，并通过查询可信标识维护单元获取用户信息。
下面就各角色关键功能进行分别描述。
1.用户标识管理单元
用户标识管理单元维护用户标识数据库，其中包含：1)我国公民的身份信息(如身份证号码)；2)入境外国公民身份信息(如护照编号)。希望在我国境内获取互联网服务的所有人都需要在用户标识数据库进行真实身份注册，并填写多于一种有效通信方式(一般为电子邮箱和手机号码)。并为每个注册的用户生成一个账户，管理用户的身份及公钥信息。同时将用户的身份信息和公钥信息通过带外的安全方式发送给当地的ISP备案。
用户标识管理单元生成经过注册的用户的网络身份标识，并将该标识和用户提交的公钥信息注册到可信标识维护单元，如图2所示；
1.1用户注册：用户在用户标识数据库中填写相关信息之后，选择用户注册功能，用户将生成的密钥中的公钥注册到标识数据库。为了避免假冒用户注册，在这个步骤必须保证注册身份和注册人的严格一致，具体可以参考CN个人域名注册流程和用户核验机制。
3.1标识注册：用户标识数据库通过专用安全接口(如CN域名注册服务)向标识维护单元提交用户注册信息清单，其中必选信息至少包括：
●用户身份标识信息
●所属省份或国家
●公钥信息
●生存时间
3.2标识注册确认：标识维护单元基于清单信息，首先生成对应域名，其格式如下：
U-ID.Location.USER.CN
其中USER为CN下的一个专门维护用户标识信息的域，Location标识该用户所属地理区域(对于中国公民以省份区分，对于入境外国公民以国家区分)，U-ID为不超过13位的用户标识(如身份证或护照编号)。
然后标识维护单元生成对应的DNS资源记录(本发明不限定采用何种资源记录，建议使用TLSA或TXT资源记录)，并添加到对应的CN子域，其中的生存期不大于用户注册信息清单中的生存期。
最后，标识维护单元向用户标识管理单元进行注册成功确认。
1.2用户注册确认：接收到注册成功确认消息之后，用户标识管理单元向用户发送注册成功消息及对应的用户网络身份标识(通过用户选择的通信方式)。
2.网络服务管理单元
网络服务管理单元维护网络服务提供者备案管理数据库，其中包含：1)基于国内域名(.CN、.中国、.公司、.网络等)的网络服务提供者；2)基于境外域名但在国内运行的网络服务提供者(如www.***.com)。希望在中国范围提供安全、有效互联网服务的域名所有者都应该在该数据库进行注册备案，并填写多于一种有效通信方式(一般为电子邮箱和手机号码)。并为每个注册的服务生成一个账户，管理服务对应域名、IP及公钥信息。
此外，网络服务管理单元还应根据服务类型，设定其安全等级，当前分为三种类型：
●强安全需求业务：对用户身份真实性以及用户权限具有一定要求，并可能对会话隐私性有一定保障；
●中安全需求业务：只进行用户对网络服务提供者的单向身份验证，并建立安全的会话通道；
●弱安全需求业务：只有用户需要对网络服务提供者身份进行单向验证。
在网络服务提供者注册过程中，涉及网络服务提供者单元、网络服务管理单元和可信标识维护单元之间的交互，如图3所示；
2.1服务注册：互联网服务提供者希望在互联网环境中提供一定业务，首先需要在网络服务管理单元进行注册和备案，为了避免假冒注册，在这个步骤必须保证注册身份和注册人的严格一致，具体可以参考CN公司域名注册流程和手续核验机制。
4.1标识注册：网络服务管理单元基于其注册的信息，划定其业务安全等级，然后接收服务提供者生成的密钥对的公钥信息。然后由网络服务管理单元通过专用安全接口(如CN域名注册服务)向标识维护单元提交注册的服务提供者信息清单，其中必选信息至少包括：
●网络服务提供者的域名
●所属省份或国家
●业务类型及安全等级
●密钥算法和公钥信息
●生存时间
4.2标识注册确认：对于境内注册域名，标识维护单元基于清单信息，生成对应的DNS资源记录，并添加作为对应境内域名的新建资源类型；对于境外注册但在境内运行的域名，标识维护单元基于该境外域名，附加SERVICE.CN后缀，生成新的域名，并添加对应的资源记录。如www.***.com将在CN域中存在如下域名的一条DNS资源记录：
www.***.com.service.cn
最后标识维护单元向服务管理单元进行注册成功确认。
2.2服务注册确认：接收到注册成功确认消息之后，服务标识管理单元向该服务提供者发放注册成功消息、新的DNS记录中域名信息(通过服务提供者选择的通信方式)。
3.可信标识维护单元
可信标识维护单元管理可信标识数据，在现有的域名体系中增加对DNSSEC协议的支持(至少保证管理网络身份信息的DNS区支持DNSSEC)。并划分对应的域名区维护可信标识数据，具体规划如图4所示。
1)个人标识维护域：在.CN下建立.USER子域，在该子域下按照各地理区域的拼音缩写(或Alpha-3国家码)建立对应的子域(如北京为.BJ，山西为.SX，山东为.SD，美国入境公民为.USA)。在各子域下面维护基于身份证编号的用户域名。
其中，各地理区域的拼音缩写可以参考中国各省、直辖市、自治区名称汉语拼音字母缩写表(http://www.pthyygf.org/guifanbiaozhun/guifanbiaozhun/2011-11-26/12.html)；采用Alpha-3国家码是为了避免跟中国各省拼音缩写存在冲突(如山东缩写为SD，而Sudan的Alpha-2国家码也是SD，但其Alpha-3国家码为SDN)，具体代码参见：https:// www.iso.org/obp/ui/#search。
2)服务标识维护域：在.CN下建立.SERVICE子域，在该子域下生成并维护境外注册但在国内运行的服务域名。
注册服务：可信标识维护单元应提供标识注册单元(用户标识管理单元和网络服务管理单元)对应的接口和服务，重点提供如下功能和性能保障：
●注册服务器和客户端的时钟同步
●海量标识注册和更新的效率
●注册者身份的安全认证以及注册数据的安全传输
查询服务：可信标识维护单元还应为用户和服务提供者提供标识信息的查询接口和服务，重点提供如下功能和性能保证：
●海量标识查询的效率
●对基础DNS服务的影响规避
4.用户(互联网用户单元)
用户首先需要在用户标识管理单元进行注册和身份验证，并自己生成非对称密钥，将其中公钥信息注册到用户标识管理单元的对应账户。
5.网络服务提供者(网络服务提供者单元)
网络服务提供者首先需要在网络服务管理单元进行开通业务前的注册，并根据网络服务管理单元评定的安全等级生成对应非对称密钥对，将其中公钥信息注册到网络服务管理单元的对应账户。
基于上述各角色对网络身份管理的功能，可以实现图5所示的网络身份验证流程，具体包括如下步骤：
(1)互联网用户向用户标识管理单元进行实名注册；
(2)用户标识管理单元基于验证结构，为用户生成网络标识，并为其创建用户标识管理账号(如使用身份证***，身份证号码可作为用户名，身份证验证码可作为初始登录密码)；
(3)用户生成非对称密钥对，通过登录该账号上传公钥信息；
(4)用户标识管理单元将用户网络身份标识及其公钥信息注册到可信标识维护单元；同时将该用户的网络身份标识及其公钥信息发送给当地的ISP，由当地的ISP将该用户的网络身份信息和上网账户信息进行绑定。从而使得用户标识管理单元可以根据用户的网络身份信息到当地ISP上查到该用户的上网在线时长，访问的网站信息，IP地址(IPv4公有地址信息，IPv4私有地址信息，IPv6地址信息)等，从而对该用户进行合法的网络监控和通过IP地址进行网络溯源等功能。
(1’)互联网服务提供者向网络服务管理单元进行实名注册；
(2’)网络服务管理单元对其进行入网许可验证，并基于服务内容进行安全等级划分，并为其创建服务标识管理账号；
(3’)互联网服务提供者生成非对称密钥对，通过登录该账号上传公钥信息；
(4’)网络服务管理单元将服务域名及其公钥信息注册到可信标识维护单元；
(5)当某用户要访问网络服务提供者的网站时，首先通过可信标识维护单元查询该网站对应的公钥信息和IP地址；
(6)用户使用网络服务提供者的公钥签名自己的网络标识和公钥信息；
(7)网络服务提供者查询可信标识维护单元，用自己的私钥核验用户网络标识和公钥信息；
(8)网络服务提供者生成对称密钥，用用户的公钥进行加密后传输给用户；
(9)用户接收后用自己的私钥解密获得该对称密钥，用户和网络服务提供者使用该对称密钥进行安全通信。
本发明定义了保证互联网通信双方安全通信，以及网络可管可控的主要逻辑角色，并定义了各角色的关键功能及可信标识验证流程。为了支持各种实际应用情况，并未对如下技术细节进行限定，本领域技术人员可以采用现有方法来实现：
1)用户网络标识生成机制；
2)用户和网络服务提供者的密钥生成方法；
3)各角色注册标识管理数据的安全通信接口；
4)用户和服务提供者对包含可信标识及对应公钥的签名记录的验证机制；
5)通过用户的IP地址进行溯源的功能。
以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求书所述为准。

Claims (9)

1.一种可信网络身份管理和验证***，其特征在于，包括用户标识管理单元、网络服务管理单元、可信标识维护单元、互联网用户单元以及网络服务提供者单元；
所述用户标识管理单元维护用户的网络身份标识信息，并将用户的网络身份标识和公钥信息绑定注册到所述可信标识维护单元；
所述网络服务管理单元管理互联网服务，并将对应的公钥信息和域名绑定注册到所述可信标识维护单元；
所述可信标识维护单元部署DNSSEC协议，并维护用户和互联网服务的标识及公钥绑定信息；
所述互联网用户单元保存和管理自有私钥信息，并通过查询所述可信标识维护单元获取可信的网络服务提供者的信息；
所述网络服务提供者单元保存和管理自有私钥信息，并通过查询所述可信标识维护单元获取用户信息。
2.如权利要求1所述的***，其特征在于：所述用户标识管理单元维护用户标识数据库，其中包含公民的身份信息、入境外国公民身份信息，用于对用户进行身份注册；所述用户标识管理单元生成经过注册的用户的网络身份标识，并将该标识和用户提交的公钥信息注册到所述可信标识维护单元。
3.如权利要求1所述的***，其特征在于：所述网络服务管理单元维护网络服务提供者备案管理数据库，其中包含基于国内域名的网络服务提供者、基于境外域名但在国内运行的网络服务提供者，用于对提供互联网服务的域名所有者进行注册备案。
4.如权利要求1所述的***，其特征在于：所述网络服务管理单元根据服务类型设定其安全等级，分为三种类型：
a)强安全需求业务：对用户身份真实性以及用户权限具有一定要求，并对会话隐私性有一定保障；
b)中安全需求业务：只进行用户对网络服务提供者的单向身份验证，并建立安全的会话通道；
c)弱安全需求业务：只有用户需要对网络服务提供者身份进行单向验证。
5.如权利要求1所述的***，其特征在于：所述可信标识维护单元划分对应的域名区维护可信标识数据，包括个人标识维护域和服务标识维护域。
6.如权利要求5所述的***，其特征在于：所述个人标识维护域在.CN下建立.USER子域，在该子域下按照各地理区域的拼音缩写或Alpha-3国家码建立对应的子域，在各子域下面维护基于身份证编号的用户域名；所述服务标识维护域在.CN下建立.SERVICE子域，在该子域下生成并维护境外注册但在国内运行的服务域名。
7.一种采用权利要求1所述***的可信网络身份验证和安全通信方法，其特征在于，包括如下步骤：
1)互联网用户向用户标识管理单元进行实名注册；
2)用户标识管理单元为用户生成网络标识，并为其创建用户标识管理账号；
3)用户生成非对称密钥对，通过登录账号上传公钥信息；
4)用户标识管理单元将用户网络身份标识及其公钥信息注册到可信标识维护单元；同时将该用户的网络身份标识及其公钥信息发送给当地的ISP，由当地的ISP将该用户的网络身份信息和上网账户信息进行绑定；
5)互联网服务提供者向网络服务管理单元进行实名注册；
6)网络服务管理单元对其进行入网许可验证，基于服务内容进行安全等级划分，并为其创建服务标识管理账号；
7)互联网服务提供者生成非对称密钥对，通过登录账号上传公钥信息；
8)网络服务管理单元将服务域名及其公钥信息注册到可信标识维护单元；
9)当某用户要访问网络服务提供者的网站时，首先通过可信标识维护单元查询该网站对应的公钥信息和IP地址；
10)用户使用网络服务提供者的公钥签名自己的网络标识和公钥信息；
11)网络服务提供者查询可信标识维护单元，用自己的私钥核验用户网络标识和公钥信息；
12)网络服务提供者生成对称密钥，用用户的公钥进行加密后传输给用户；
13)用户接收后用自己的私钥解密获得该对称密钥，用户和网络服务提供者使用该对称密钥进行安全通信。
8.如权利要求7所述的方法，其特征在于，步骤4)中用户标识管理单元将用户网络身份标识及其公钥信息注册到可信标识维护单元的方法是：
a)用户标识管理单元通过专用安全接口向可信标识维护单元提交用户注册信息清单，其中必选信息至少包括：用户身份标识信息、所属省份或国家、公钥信息、生存时间；
b)可信标识维护单元基于清单信息生成对应域名，其格式为：U-ID.Location.USER.CN；其中USER为CN下的一个专门维护用户标识信息的域，Location标识该用户所属地理区域，U-ID为用户标识；
c)可信标识维护单元生成对应的DNS资源记录，并添加到对应的CN子域，其中的生存期不大于用户注册信息清单中的生存期；
d)可信标识维护单元向用户标识管理单元进行注册成功确认。
9.如权利要求7或8所述的方法，其特征在于：步骤8)中网络服务管理单元将服务域名及其公钥信息注册到可信标识维护单元的方法是：
a)网络服务管理单元通过专用安全接口向可信标识维护单元提交注册的服务提供者信息清单，其中必选信息至少包括：网络服务提供者的域名、所属省份或国家、业务类型及安全等级、密钥算法和公钥信息、生存时间；
b)对于境内注册域名，可信标识维护单元基于清单信息生成对应的DNS资源记录，并添加作为对应境内域名的新建资源类型；对于境外注册但在境内运行的域名，可信标识维护单元基于该境外域名，附加SERVICE.CN后缀，生成新的域名，并添加对应的资源记录；
c)可信标识维护单元向服务管理机构进行注册成功确认。
CN201510551325.3A 2015-09-01 2015-09-01 一种可信网络身份管理和验证***和方法 Active CN105162602B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201510551325.3A CN105162602B (zh) 2015-09-01 2015-09-01 一种可信网络身份管理和验证***和方法
PCT/CN2015/098467 WO2017036003A1 (zh) 2015-09-01 2015-12-23 一种可信网络身份管理和验证***和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510551325.3A CN105162602B (zh) 2015-09-01 2015-09-01 一种可信网络身份管理和验证***和方法

Publications (2)

Publication Number Publication Date
CN105162602A CN105162602A (zh) 2015-12-16
CN105162602B true CN105162602B (zh) 2018-05-11

Family

ID=54803366

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510551325.3A Active CN105162602B (zh) 2015-09-01 2015-09-01 一种可信网络身份管理和验证***和方法

Country Status (2)

Country Link
CN (1) CN105162602B (zh)
WO (1) WO2017036003A1 (zh)

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105162602B (zh) * 2015-09-01 2018-05-11 中国互联网络信息中心 一种可信网络身份管理和验证***和方法
CN105743918A (zh) * 2016-04-05 2016-07-06 浪潮电子信息产业股份有限公司 一种信息加密传输的方法、装置及***
CN106302513A (zh) * 2016-09-06 2017-01-04 中国互联网络信息中心 一种网络身份验证方法及装置
CN106789881A (zh) * 2016-11-17 2017-05-31 中国互联网络信息中心 一种基于域名服务dns***的区块链数字身份认证方法及***
CN108737420A (zh) * 2018-05-22 2018-11-02 北京航空航天大学 信息服务可信标识格式及其生命周期管理装置及方法
CN108737419B (zh) * 2018-05-22 2020-05-22 北京航空航天大学 基于区块链的可信标识生命周期管理装置及方法
CN108964892B (zh) * 2018-06-25 2019-07-26 北京迪曼森科技有限公司 可信应用标识的生成方法、应用方法、管理***和应用***
CN109005029B (zh) * 2018-06-25 2019-08-16 北京迪曼森科技有限公司 可信应用标识的生成方法和***、应用方法和应用端设备
CN109067768B (zh) * 2018-08-31 2021-11-26 赛尔网络有限公司 一种域名查询安全性的检测方法、***、设备和介质
CN109474592B (zh) * 2018-11-08 2021-08-31 蓝信移动（北京）科技有限公司 公钥绑定方法及***
CN110945833B (zh) * 2018-12-07 2022-08-16 北京大学深圳研究生院 一种用于多模标识网络隐私保护与身份管理的方法及***
CN109670284A (zh) * 2019-02-20 2019-04-23 中国互联网络信息中心 基于区块链和dnssec的用户认证方法、***、设备及介质
CN109831529B (zh) * 2019-03-15 2020-05-12 北京世纪诚链科技有限公司 一种云链数一体化的体系结构
CN111783135A (zh) * 2020-06-17 2020-10-16 复旦大学 一种基于dnssec的数据可信服务实现方法
CN111832001B (zh) * 2020-07-20 2024-05-24 国家信息中心 基于区块链的身份管理方法及身份管理***
CN112995139B (zh) * 2021-02-04 2023-06-02 北京信息科技大学 一种可信网络、可信网络的构建方法和构建***
CN113346990B (zh) * 2021-05-11 2022-12-23 科大讯飞股份有限公司 安全通信方法及***、相关设备和装置
CN113660276A (zh) * 2021-08-18 2021-11-16 宜宾电子科技大学研究院 一种基于隐私数据保护的远程任务调度方法
CN114520734B (zh) * 2021-12-31 2024-01-26 华能信息技术有限公司 一种基于双向传输的网络数据安全管控方法及***

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1182557A2 (en) * 2000-08-18 2002-02-27 Hewlett-Packard Company, A Delaware Corporation Performance of a service on a computing platform
CN101179380A (zh) * 2007-11-19 2008-05-14 上海交通大学 一种双向认证方法、***及网络终端
CN102594558A (zh) * 2012-01-19 2012-07-18 东北大学 一种可信计算环境的匿名数字证书***及验证方法
CN103796200A (zh) * 2014-03-03 2014-05-14 公安部第三研究所 无线移动自组网络中基于身份实现密钥管理的方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103401686B (zh) * 2013-07-31 2016-08-10 陕西海基业高科技实业有限公司 一种用户互联网身份认证***及其应用方法
WO2015056008A1 (en) * 2013-10-17 2015-04-23 Arm Ip Limited Method for assigning an agent device from a first device registry to a second device registry
CN103929435B (zh) * 2014-05-05 2017-04-12 中国科学院计算机网络信息中心 一种基于dnssec及dane协议的可信验证方法
CN104243150A (zh) * 2014-09-05 2014-12-24 中国联合网络通信集团有限公司 一种IPSec公钥交互方法、节点和DNS服务器
CN105162602B (zh) * 2015-09-01 2018-05-11 中国互联网络信息中心 一种可信网络身份管理和验证***和方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1182557A2 (en) * 2000-08-18 2002-02-27 Hewlett-Packard Company, A Delaware Corporation Performance of a service on a computing platform
CN101179380A (zh) * 2007-11-19 2008-05-14 上海交通大学 一种双向认证方法、***及网络终端
CN102594558A (zh) * 2012-01-19 2012-07-18 东北大学 一种可信计算环境的匿名数字证书***及验证方法
CN103796200A (zh) * 2014-03-03 2014-05-14 公安部第三研究所 无线移动自组网络中基于身份实现密钥管理的方法

Also Published As

Publication number Publication date
WO2017036003A1 (zh) 2017-03-09
CN105162602A (zh) 2015-12-16

Similar Documents

Publication Publication Date Title
CN105162602B (zh) 一种可信网络身份管理和验证***和方法
US10642969B2 (en) Automating internet of things security provisioning
CN109714174B (zh) 一种基于区块链的物联网设备数字身份管理***及其方法
US10972264B2 (en) Method for realizing network electronic identity identification information protection based on key dispersion calculation
CN110046482A (zh) 身份核实方法及其***
TWI633775B (zh) 終端識別方法、機器識別碼註冊方法及相應系統、設備
Panda et al. A blockchain based decentralized authentication framework for resource constrained iot devices
CN103607416B (zh) 一种网络终端机器身份认证的方法及应用***
CN102025741B (zh) 一种两层架构的可信身份服务平台及其构建方法
CN102611707B (zh) 一种网站可信标识安装及识别方法
Zhang et al. Security architecture on the trusting internet of things
KR20060112182A (ko) 아이덴티티 인식 방법 및 시스템
US20070255815A1 (en) Software, Systems, and Methods for Secure, Authenticated Data Exchange
US20100036946A1 (en) System and process for providing online services
CN103401686B (zh) 一种用户互联网身份认证***及其应用方法
KR101458820B1 (ko) 공공 클라우드 환경에서의 안전한 데이터 관리 시스템 및 기법
CN104579660B (zh) 基于数据标签的通用身份信息管理***及方法
Kyriakidou et al. Decentralized Identity With Applications to Security and Privacy for the Internet of Things
CN109218318A (zh) 一种基于设备知识的物联网网关登录检测方法
CN105743883B (zh) 一种网络应用的身份属性获取方法及装置
Prayogi et al. Utilization of Mobile Network Infrastructure to Prevent Financial Mobile Application Account Takeover
Ranjbar et al. Authentication and authorization for mobile devices
Amin et al. Identity-of-things model using composite identity on permissioned blockchain network
Paintsil et al. Executable model-based risk analysis method for identity management systems: using hierarchical colored petri nets
Xie et al. TOA: a tag‐owner‐assisting RFID authentication protocol toward access control and ownership transfer

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant