[发明专利]一种分层连接可信网络的方法及系统

权利要求书

1.一种分层连接可信网络的方法，包括如下步骤：

1)终端平台接入可信网络控制域，可信网络管理域对终端平台的连接请求进行验证，并由可信网络管理域发送长期平台身份PIK或AIK证书给经验证的终端平台；

2)获得证书的终端平台中的任意终端接入网络服务域，可信网络管理域的网络连接控制点根据终端平台接入时提供的身份证明和终端平台完整性属性，通过调用可信网络管理域中的平台身份管理服务及平台完整性管理服务，判定终端是否能接入网络服务域；

3)接入网络服务域的终端访问网络服务域中的任一网络服务，该网络服务利用平台身份向可信网络管理域查询平台完整性属性，根据返回的完整性属性确定终端是否可以访问该网络服务。

2.根据权利要求1所述的分层连接可信网络的方法，其特征在于所述终端平台连接入可信网络控制域的方法为：

A、终端平台向网络连接控制点发送请求；

B、网络连接控制点收到请求后，将请求发送给平台身份管理服务进行验证；

C、通过验证后，平台身份管理服务发送长期平台身份PIK或AIK证书给网络连接控制点；

D、网络连接控制点将证书发送给终端平台。

3.根据权利要求2所述的分层连接可信网络的方法，其特征在于所述请求包括管理员用户名及密码、PIK或AIK请求包和终端平台的自身描述。

4.根据权利要求3所述的分层连接可信网络的方法，其特征在于所述验证PIK或AIK请求的方法为：

a.平台身份管理服务接收平台发送的PIK或AIK请求包；

b.将随机数通过网络连接控制点发送给终端平台；

c.终端平台上的TPM/TC产生密钥对，并向平台身份管理服务证明该密钥对是TPM/TC产生的不可迁移签名密钥；

d.验证不可迁移签名密钥，若通过验证，则为TPM/TCM产生的密钥对的公钥颁发长期平台身份PIK或AIK证书。

5.根据权利要求1所述的分层连接可信网络的方法，其特征在于所述终端连接入网络服务域的方法为：

A、终端向网络连接控制点发送网络接入请求，接入请求中包括终端用户名与密码；

B、网络连接控制点向可信网络管理域的用户身份管理服务查询当前用户名与密码的正确性，查询结果返回给网络连接控制点；

C、网络连接控制点发送完整性证明请求给终端； 

D、终端调用不同的完整性收集组件完成完整性收集，并将收集到的完整性数据用PIK或AIK签名发送给网络连接控制点；

E、网络连接控制点根据长期平台身份PIK或AIK证书对完整性数据签名进行验证；

F、网络连接控制点将完整性数据发送给可信网络管理域的平台完整性管理服务，验证终端是否满足平台完整性属性关系，验证结果发送网络连接控制点；

G、网络连接控制点根据验证结果，确定接入策略。

6.根据权利要求5所述的分层连接可信网络的方法，其特征在于所述完整性证明请求包含需要终端进行收集的完整性属性列表。

7.根据权利要求6所述的分层连接可信网络的方法，其特征在于所述完整性属性列表获得的方法为：

a、网络连接控制点查询用户名表，获得用户名所属的用户组ID；

b、根据用户组ID查询所有的平台完整性分组ID列表；

c、获得列表中每个平台完整性分组ID包含的属性值；

d、根据属性ID和属性值生成完整性属性列表。

8.根据权利要求5所述的分层连接可信网络的方法，其特征在于所述完整性数据验证结果为资源组成列表。