[发明专利]一种身份认证方法及装置

权利要求书

1.一种身份认证方法，其特征在于，应用于身份认证系统的服务端，包括：

接收代理客户端发送的身份注册请求，所述身份注册请求中包括：通过所述代理客户端获取的用户身份信息、设备身份信息和设备完整性信息，所述设备完整性信息用于标识设备的安全可信性；

根据所述用户身份信息和所述设备身份信息，生成认证证书，并发送给所述代理客户端；

接收所述代理客户端在获取到所述认证证书后发送的第一认证信息，所述第一认证信息包括：所述设备身份信息、所述用户身份信息、所述认证证书以及所述设备完整性信息；所述第一认证信息，还包括：用于标识所述设备合规性的软件环境基线信息；

根据所述用户身份信息、所述设备身份信息和所述认证证书，认证身份信息，并生成第一认证结果；以及根据所述设备完整性信息，认证设备的可信状态，并生成第二认证结果；

根据所述软件环境基线信息，认证设备的合规性，并生成第三认证结果；

基于所述第一认证结果，判定所述用户和所述设备是否具备网络连接条件；

若判断所述用户和所述设备具备网络连接条件，则基于所述第二认证结果和所述第三认证结果，制定访问控制策略；

其中，结合设备的应用场景制定所述访问控制策略，设定多层次的访问控制策略组合，按照最小权限原则对设备进行细粒度的动态授权。

2.根据权利要求1所述的身份认证方法，其特征在于，根据所述用户身份信息和所述设备身份信息，生成认证证书之前，还包括：

根据身份注册请求，验证用户身份和设备身份；

在用户身份和设备身份验证通过后，根据所述用户身份信息和所述设备身份信息，生成认证证书。

3.根据权利要求1所述的身份认证方法，其特征在于，所述设备配置有可信模块，所述可信模块内置背书密钥和背书证书；

所述设备身份信息包括：所述背书证书和基于所述背书密钥生成的认证密钥，所述背书证书用于标识所述设备的身份。

4.根据权利要求3所述的身份认证方法，其特征在于，根据所述用户身份信息和所述设备身份信息，生成认证证书，包括：

根据所述用户身份信息和所述设备身份信息中的所述认证密钥，生成所述认证证书，所述认证证书用以标识所述设备和所述用户的绑定关系。

5.根据权利要求3所述的身份认证方法，其特征在于，所述设备完整性信息是在基于所述可信模块构建所述设备的可信链的过程中，通过对所述设备的各组件进行完整性度量生成的一组度量值。

6.根据权利要求1所述的身份认证方法，其特征在于，还包括：

基于所述第一认证结果，判定所述用户和所述设备是否具备网络连接条件；若否，则将所述用户和所述设备接入隔离网络；

将所述访问控制策略发送至安全网关，以使所述设备和所述用户在所述安全网关执行所述访问控制策略时获得所述访问策略中设定的访问权限。

7.根据权利要求6所述的身份认证方法，其特征在于，所述访问控制策略是综合所所述第二认证结果和所述第三认证结果，并根据最小权限原则为所述用户与所述设备分配的访问权限。

8.根据权利要求6所述的身份认证方法，其特征在于，所述设备和所述用户获得所述访问策略中设定的访问权限之后，还包括：

根据需要注销已通过认证的所述用户身份信息和所述设备身份信息。

9.根据权利要求8所述的身份认证方法，其特征在于，注销已通过认证的所述用户身份信息和所述设备身份信息，包括：

发送身份注销指令至所述代理客户端；

接收所述代理客户端根据所述身份注销指令，执行销毁所述认证证书后返回的销毁成功消息；

在获取到所述销毁成功消息后，封存所述设备信息，注销所述设备与所述用户的绑定关系，生成冻结所述设备和所述用户的所有访问权限的指令并发送给所述安全网关，以使所述安全网关执行冻结所述设备和所述用户的访问权限的指令。