[发明专利]一种可信网络接入与访问控制方法

权利要求书

1.一种可信网络接入与访问控制方法，其特征在于：网络接入决策者采用数字标签技术将整个网络划分为不同的安全域，网络接入请求者通过身份认证发起网络接入请求，然后从网络接入决策者接收安全可信策略，网络接入请求者按照安全可信策略执行安全可信检查，将检查结果发送到网络决策者，决策者根据检查结果判断请求者安全状态，并将对应的安全域数字标签特征发送到请求者，请求者在后续网络访问过程中对网络数据包打数字标签，网络接入控制者根据网络数据包中数字标签判断请求者网络访问是否合法。

2.根据权利要求1所述的一种可信网络接入与访问控制方法，其特征在于：结合国产TCM芯片与数字标签技术，所述控制方法包含步骤如下：

步骤V101：网络接入请求者首先将AIK证书发送到网络接入决策者，由网络接入决策者验证请求者的平台身份；

步骤V102：网络接入请求者AIK证书认证通过后，使用TCM对称加密算法对用户名、密码加密，并使用AIK私钥对加密信息签名，将签名后信息发送到网络接入决策者；

步骤V103：网络接入决策者首先使用AIK公钥对加密数据验签，验证通过后使用TCM对称加密算法解密加密用户名、密码并对用户名密码认证，如果认证失败拒绝接入网络；

步骤V104：身份认证通过后网络接入请求者从网络接入服务器请求安全可信策略；

步骤V105：网络请求者根据安全可信策略执行安全可信检查，检测结果包含平台完整性PCR值、系统文件完整性、杀毒软件版本及状态，使用AIK私钥对检测结果签名，并将检测结果发送到所述网络接入决策者；

步骤V106：网络接入决策者对网络接入请求者安全可信检测结果进行对比评分，根据评分将对应的安全域数字标签特征发送到网络接入请求者，同时更新安全域，并将最新安全域信息发送到网络接入控制者；

步骤V107：网络接入请求者接收到对应安全域数字标签，对网络出口数据包打数字标签；

步骤V108：网络接入控制者对网络接入请求者数据包进行过滤，判断数字标签，当数字标签与网络数据包中目的地址所在安全域数字标签特征相同时则认为访问合法，放行数据包，反之，禁止网络访问。

3.根据权利要求2所述的一种可信网络接入与访问控制方法，其特征在于：所述网络接入决策者对网络接入请求者安全可信检测的具体实施步骤如下：

步骤S201：网络接入请求者身份认证通过后，接入决策者根据用户名查询对应的安全可信策略，并将策略下发到网络接入请求者；

步骤S202：网络接入请求者接收到安全可信策略后对策略解析，并开始安全可信策略的执行，收集网络接入请求者完整性、网络端口状态，收集完成后对检测结果打包签名，发送到网络接入决策者；

步骤S203：网络接入决策者接收到检测结果后，对检测结果解析，并与对应的安全可信策略预期值对比，得出安全等级；

步骤S204：网络接入决策者得出网络接入请求者安全等级后，将对应等级的安全可信域数字标签特征下发到网络接入请求者，并更新安全可信域，并下发到网络接入控制者；

步骤S205：网络接入控制者接收到更新的安全可信域后解析保存到本地内存中。

4.根据权利要求3所述的一种可信网络接入与访问控制方法，其特征在于：对于不同等级的安全可信域，网络跨域访问控制操作步骤如下：

步骤S301：网络接入请求者接收到数字标签后，将数字标签下发到内核网络过滤驱动；

步骤S302：网络过滤驱动对流出的网络数据包进行拦截，修改数据包中IP部分，对网络数据包进行打标签，重新计算数据包校验和，更新到数据包中，将数据包通过网络设备发送出去；

步骤S303：网络数据包在到达目的地前流经网络接入控制者，网络接入控制者拦截网络数据包，解析出IP地址、数字标签信息；

步骤S304：在S205步骤保存在内存中的安全可信域查找对比IP地址与数字标签，根据IP地址与数字标签判断网络中目的地址是否处于同一安全可信域中，处于同一域放行，否则禁止网络访问。