CN105790935A - 基于自主软硬件技术的可信认证服务器 - Google Patents

基于自主软硬件技术的可信认证服务器 Download PDF

Info

Publication number
CN105790935A
CN105790935A CN201610145598.2A CN201610145598A CN105790935A CN 105790935 A CN105790935 A CN 105790935A CN 201610145598 A CN201610145598 A CN 201610145598A CN 105790935 A CN105790935 A CN 105790935A
Authority
CN
China
Prior art keywords
software
trusted
server
authentication server
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610145598.2A
Other languages
English (en)
Inventor
赵瑞东
王晓明
赵斌
冯磊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shandong Chaoyue Numerical Control Electronics Co Ltd
Original Assignee
Shandong Chaoyue Numerical Control Electronics Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shandong Chaoyue Numerical Control Electronics Co Ltd filed Critical Shandong Chaoyue Numerical Control Electronics Co Ltd
Priority to CN201610145598.2A priority Critical patent/CN105790935A/zh
Publication of CN105790935A publication Critical patent/CN105790935A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H04L2209/127—Trusted platform modules [TPM]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供一种基于自主软硬件技术的可信认证服务器，属于安全认证设备领域。本发明的可信认证服务器主要由平台硬件层、认证软件层、机械结构层和可信固件、可信操作***组成，平台硬件层主要由自主可信一体化主板、硬盘、内存、电源等组成。机械结构层包括机箱和散热***，固件采用国产昆仑固件，操作***选用国产中标麒麟服务器板操作***。认证软件层包括可信软件栈和可信网络接入认证软件。本发明安全性高，网络连接技术更加有效。

Description

基于自主软硬件技术的可信认证服务器
技术领域
本发明属于安全认证设备领域，尤其涉及一种基于自主软硬件技术的可信认证服务器。
背景技术
随着信息网络的发展，网络的安全保障越来越受到重视，当前大部分网络信息安全***主要是由防火墙、入侵监测和病毒防范等组成。这些安全手段是从网络中共享信息服务的平等交易等安全需求中假定而来的，其很重要的一个前提是用户不确定，没有一个明确的边界。因此常规的安全手段只能是以共享信息资源为中心，在***对非法用户和越权访问进行封堵，以达到防止外部攻击的目的，而对共享源的访问者源端不加控制。加之终端计算机体系结构、操作***的不安全导致应用***的各种漏洞层出不穷，常规的安全手段无法从根本上解决网络安全问题。
终端和服务器之间通过身份认证和授权共享资源。但是在信息***的事务交互中，服务器无法判断对方是否是真正的可以信任。例如终端请求是否是病毒和木马所发起、是否存在信息泄漏或者服务器被对方恶意欺骗的可能，因此服务器需要了解远程计算机终端的状态是否可信，然而当前网络体系结构都不能满足这种要求。如果待接入设备已经遭到了攻击，利用已经被攻破的接入设备作跳板，进而攻击受保护的网络，从而引起严重的安全问题，对企业应用环境的安全造成极大威胁。因此，从终端安全入手才能更好的解决整个信息***的安全问题，只有立足于终端，从源头抓起，才能构筑起全面高效的安全防护***。
目前出现了几种安全接入技术，从终端就开始安全分析，尽可能的将不信任的访问操作控制在源端，以保护整个企业网络环境的安全。目前具有代表性的技术包括：思科的网络接入控制技术(NetworkAdmissionControl，NAC)，微软的网络接入保护技术NAP(NetworkAccessProtecion，NAP)以及TCG组织的可信网络连接技术(TrustedNetworkConnection，TNC)。这些技术的主要思路是从终端着手，基于安全管理员指定的组织安全策略，对接入保护网络的主机的相关安全属性进行检查，对不符合安全策略的终端通常根据组织的不同要求采取不同的措施，拒绝其接入网络或对其隔离、补救。
以上技术中可信网络连接技术被认为更加有效。根据自主可控安全战略，我国通过改进TCG组织的技术标准，已经提出了国家可信计算标准和可信网络框架。基于国产软硬件研制的自主可信计算机装备也已经陆续出现，但作为在可信网络中承担可信网络接入认证核心功能的可信认证服务器缺乏研究和成熟的产品。
可信网络中TPM是核心的部件，我国推出了TPM的替代部件——TCM。TCM（trustedcryptographymodule可信密码模块）是我国可信计算标准硬件模块，具备密码运算器和受保护的存储器，内嵌国家密码管理局标准算法。TCM通过密钥树保护用户密钥和数据，私钥不会外泄，芯片内具备防破解机制，安全性高。根据国家相关管理部门规定，目前市售计算机绝大部分已经内置TCM。
发明内容
为了解决以上技术问题，本发明提出了一种基于自主软硬件技术的可信认证服务器。
本发明的可信认证服务器主要由平台硬件层、认证软件层、机械结构层和可信固件、可信操作***组成。
可信认证服务器平台硬件层主要由自主可信一体化主板、硬盘、内存、电源等组成。自主可信一体化主板由国产CPU为基础设计，集成了国产TCM芯片，CPU、桥片、内存、网络和音频等器件。根据整机的设计要求，对主板的板型、尺寸、器件布局及接口分布等按照标准规格进行设计，主板采用10层布线，综合考虑信号完整性、电磁兼容性，集成度高、布局紧凑；同时还集成了USB、串口、网口、VGA等多种通用功能接口，对外扩展预留两个PCI插槽和两个PCI-E×16的插槽等。
机械结构层包括机箱和散热***，固件采用国产昆仑固件，操作***选用国产中标麒麟服务器板操作***。
认证软件层包括可信软件栈和可信网络接入认证软件。可信软件栈提供基于TCM的可信密码算法服务和可信网络相关协议；可信网络接入认证软件包括完整性验证器、可信认证管理器和配置管理组件。
可信认证服务器由可信网络接入认证软件实现可信网络接入控制功能。可信网络接入认证软件基于可信证明机制和802.1x协议进行设计，主要由可信认证管理器和完整性验证器以及配置管理组件组成。所述认证管理器，指的是可信认证服务器对接入客户端的身份认证模块，检查客户端是否持有合法的证书。所述完整性验证器，指的是可信认证服务器对接入客户端的状态检查模块，检测客户端的各项状态是否合法。所述配置管理组件，就是指可信认证服务器对身份和完整性检查的设置，这些配置信息规定了客户端应满足的接入条件——身份证书、完整性状态。
附图说明
图1为本发明的一种自主可信认证服务器结构框图；
图2为本发明的可信网络接入认证软件***结构图；
图3为本发明的可信认证服务器可信网络接入控制原理图。
具体实施方式
下面对本发明的内容进行更加详细的阐述：
可信认证服务器由平台硬件层、认证软件层、机械结构层和可信固件、可信操作***组成。具体的可信认证服务器组成如图1所示。
可信认证服务器平台硬件层主要由自主可信一体化主板、硬盘、内存、电源等组成。自主可信一体化主板由国产CPU为基础设计，集成了国产TCM芯片，CPU、桥片、内存、网络和音频等器件。根据整机的设计要求，对主板的板型、尺寸、器件布局及接口分布等按照标准规格进行设计，主板采用10层布线，综合考虑信号完整性、电磁兼容性，集成度高、布局紧凑；同时还集成了USB、串口、网口、VGA等多种通用功能接口，对外扩展预留两个PCI插槽和两个PCI-E×16的插槽等。
机械结构层包括机箱和散热***，固件采用国产昆仑固件，操作***选用国产中标麒麟服务器板操作***。
认证软件层包括可信软件栈和可信网络接入认证软件。可信软件栈提供基于TCM的可信密码算法服务和可信网络相关协议；可信网络接入认证软件包括完整性验证器、可信认证管理器和配置管理组件。
可信认证服务器由可信网络接入认证软件实现可信网络接入控制功能。可信网络接入认证软件基于可信证明机制和802.1x协议进行设计，主要由可信认证管理器和完整性验证器以及配置管理组件组成，如图1所示。所述认证管理器，指的是可信认证服务器对接入客户端的身份认证模块，检查客户端是否持有合法的证书。所述完整性验证器，指的是可信认证服务器对接入客户端的状态检查模块，检测客户端的各项状态是否合法。所述配置管理组件，就是指可信认证服务器对身份和完整性检查的设置，这些配置信息规定了客户端应满足的接入条件——身份证书、完整性状态。
如图2所示，可信认证管理器主要包括可信授权模块和可信评估模块。
可信授权模块基于802.1x协议实现与访问控制器（一般为交换机或者安全网关）、可信终端间的信息传输，接受可信终端提交的可信网络接入请求、平台身份认证信息和平台完整性信息，同时作为可信授权决策的下达者将可信网络连接认证的决策下发给访问控制器执行。可信授权模块同时支持EAP_MD5等其他协议。
可信评估模块设计协议解析子模块，完成遵照可信网络协议的可信网络连接请求和决策报文的解析，对可信授权模块与完整性验证器之间交互的信息进行分片、封包。可信评估模块根据完整性验证器提供的验证结果和可信终端的平台身份认证结果，按照安全策略做出决策建议下发给可信授权模块。
完整性验证器对可信终端提交的平台完整性信息进行逐一的验证，验证依据数据库中预存的可信平台完整性预期值。
配置管理组件是设计给管理员的一组接口，可以将可信终端平台的初始完整性信息保存数据库，并按需进行更新。
可信认证服务器在可信网络中承担可信终端平台的完整性验证、可信网络接入控制功能，在可信网络中自主可信认证服务器工作原理如图3所示。
在可信网络中，可信终端作为访问请求者向访问控制器提交可信网络接入请求。访问控制器将请求转交给可信认证服务器。可信认证服务器先对可信终端平台进行身份认证，认证通过后，要求可信终端提交平台状态的完整性报告。可信认证服务器根据完整性验证结果和策略，返回给访问控制器批准接入或拒绝接入的决策。访问控制器执行最终决策。

Claims (3)

1.基于自主软硬件技术的可信认证服务器，其特征在于，
主要由平台硬件层、认证软件层、机械结构层和可信固件、可信操作***组成；
平台硬件层主要由自主可信一体化主板、硬盘、内存、电源组成；自主可信一体化主板由国产CPU为基础设计，集成了国产TCM芯片，CPU、桥片、内存、网络和音频；根据整机的设计要求，对主板的板型、尺寸、器件布局及接口分布按照标准规格进行设计，主板采用10层布线；同时还集成了USB、串口、网口、VGA的通用功能接口，对外扩展预留两个PCI插槽和两个PCI-E×16的插槽；
机械结构层包括机箱和散热***，固件采用国产昆仑固件，操作***选用国产中标麒麟服务器板操作***；
认证软件层包括可信软件栈和可信网络接入认证软件；可信软件栈提供基于TCM的可信密码算法服务和可信网络相关协议；可信网络接入认证软件包括完整性验证器、可信认证管理器和配置管理组件。
2.根据权利要求1所述的服务器，其特征在于，可信认证服务器由可信网络接入认证软件实现可信网络接入控制功能；可信网络接入认证软件基于可信证明机制和802.1x协议进行设计，主要由可信认证管理器和完整性验证器以及配置管理组件组成。
3.根据权利要求2所述的服务器，其特征在于，
所述认证管理器，指的是可信认证服务器对接入客户端的身份认证模块，检查客户端是否持有合法的证书；
所述完整性验证器，指的是可信认证服务器对接入客户端的状态检查模块，检测客户端的各项状态是否合法；
所述配置管理组件，就是指可信认证服务器对身份和完整性检查的设置，这些配置信息规定了客户端应满足的接入条件——身份证书、完整性状态。
CN201610145598.2A 2016-03-15 2016-03-15 基于自主软硬件技术的可信认证服务器 Pending CN105790935A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610145598.2A CN105790935A (zh) 2016-03-15 2016-03-15 基于自主软硬件技术的可信认证服务器

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610145598.2A CN105790935A (zh) 2016-03-15 2016-03-15 基于自主软硬件技术的可信认证服务器

Publications (1)

Publication Number Publication Date
CN105790935A true CN105790935A (zh) 2016-07-20

Family

ID=56393637

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610145598.2A Pending CN105790935A (zh) 2016-03-15 2016-03-15 基于自主软硬件技术的可信认证服务器

Country Status (1)

Country Link
CN (1) CN105790935A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106991329A (zh) * 2017-03-31 2017-07-28 山东超越数控电子有限公司 一种基于国产tcm的可信计算单元及其运行方法
CN110875930A (zh) * 2019-11-21 2020-03-10 山东超越数控电子股份有限公司 一种可信状态监控的方法、设备及介质
CN117395087A (zh) * 2023-12-12 2024-01-12 湖南博盛芯微电子科技有限公司 一种基于国产处理器的bmc实现方法及***

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110131418A1 (en) * 2009-12-02 2011-06-02 Giga-Byte Technology Co.,Ltd. Method of password management and authentication suitable for trusted platform module
CN102663301A (zh) * 2012-04-13 2012-09-12 北京国基科技股份有限公司 一种可信计算机及可信性检测方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110131418A1 (en) * 2009-12-02 2011-06-02 Giga-Byte Technology Co.,Ltd. Method of password management and authentication suitable for trusted platform module
CN102663301A (zh) * 2012-04-13 2012-09-12 北京国基科技股份有限公司 一种可信计算机及可信性检测方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
吴秋新: "可信网络接入技术改进研究", 《电视技术（宽带网络）》 *
肖思莹 等: "基于国产平台的可信***研究", 《智能工业与信息安全》 *
艾俊 等: "基于TCM 芯片的可信网络接入认证模型", 《通信技术》 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106991329A (zh) * 2017-03-31 2017-07-28 山东超越数控电子有限公司 一种基于国产tcm的可信计算单元及其运行方法
CN110875930A (zh) * 2019-11-21 2020-03-10 山东超越数控电子股份有限公司 一种可信状态监控的方法、设备及介质
CN117395087A (zh) * 2023-12-12 2024-01-12 湖南博盛芯微电子科技有限公司 一种基于国产处理器的bmc实现方法及***
CN117395087B (zh) * 2023-12-12 2024-02-20 湖南博盛芯微电子科技有限公司 一种基于国产处理器的bmc实现方法及***

Similar Documents

Publication Publication Date Title
CN100568212C (zh) 隔离***及隔离方法
CN103747036B (zh) 一种桌面虚拟化环境下的可信安全增强方法
US8572689B2 (en) Apparatus and method for making access decision using exceptions
US8726339B2 (en) Method and apparatus for emergency session validation
US8572714B2 (en) Apparatus and method for determining subject assurance level
US8572686B2 (en) Method and apparatus for object transaction session validation
US20130047202A1 (en) Apparatus and Method for Handling Transaction Tokens
US8752124B2 (en) Apparatus and method for performing real-time authentication using subject token combinations
CN106991329A (zh) 一种基于国产tcm的可信计算单元及其运行方法
US20130047200A1 (en) Apparatus and Method for Performing Data Tokenization
WO2013025590A1 (en) Method and apparatus for making token-based access decisions
CN105430000A (zh) 云计算安全管理***
CN101778099A (zh) 可容忍非信任组件的可信网络接入的架构及其接入方法
WO2013025592A1 (en) Method and apparatus for token-based conditioning
WO2013025581A1 (en) Apparatus and method for token-based access control
WO2013025586A2 (en) Apparatus and method for performing session validation
WO2018089136A1 (en) System and method for transparent multi-factor authentication and security posture checking
US8752157B2 (en) Method and apparatus for third party session validation
US8726341B2 (en) Apparatus and method for determining resource trust levels
Sethi et al. Misbinding attacks on secure device pairing and bootstrapping
US20130047245A1 (en) Apparatus and Method for Performing Session Validation to Access Confidential Resources
CN106899561A (zh) 一种基于acl的tnc权限控制方法和***
US8572724B2 (en) Method and apparatus for network session validation
CN105790935A (zh) 基于自主软硬件技术的可信认证服务器
CN106888091A (zh) 基于eap的可信网络接入方法和***

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20160720