[发明专利]基于环境数据证书的访问控制安全系统、方法和防火墙

权利要求书

1.一种基于环境数据证书的访问控制安全系统，其特征在于，所述访问控制安全系统包括第一访问控制安全组件、第二访问控制安全组件和第三访问控制安全组件：

所述第一访问控制安全组件，用于采集终端设备的环境多因子信息，截取终端设备向待访问应用服务发送的访问请求，根据所述环境多因子信息和所述访问请求生成请求消息，将所述请求消息发送到所述第二访问控制安全组件；

所述第二访问控制安全模块，用于从所述请求消息中获取所述环境多因子信息和所述待访问应用服务，若所述待访问应用服务属于预设保护服务类时，则将所述环境多因子信息发送至所述第三访问控制安全模块，并根据所述第三访问控制安全模块返回的访问控制结果，确定所述终端设备是否被允许访问所述待访问应用服务；

所述第三访问控制安全模块，用于根据预设的所述待访问应用服务的身份验证策略，对所述环境因子信息进行验证，得到所述访问控制结果。

2.根据权利要求1所述的基于环境数据证书的访问控制安全系统，其特征在于，

所述第一访问控制安全组件，具体用于通过设置于所述终端设备的客户端代理服务、浏览器插件或浏览器控件，采集所述终端设备的环境多因子信息，所述环境多因子信息包括终端编号、硬件环境参数类、系统环境参数类、用户使用习惯类、终端网络地址类、用户身份类和用户二次验证参数类。

3.根据权利要求1所述的基于环境数据证书的访问控制安全系统，其特征在于，

所述第二访问控制安全模块，具体用于对所述访问请求进行解析，得到所述终端设备的环境多因子信息和所述待访问应用服务的信息；

对所述访问请求进行单包授权认证，若所述访问请求通过所述单包授权认证，判断所述待访问应用服务是否是所述预设保护服务类；

若是，则将所述终端设备的环境多因子信息和所述待访问应用服务的信息发送到所述第三访问控制安全模块。

4.根据权利要求3所述的基于环境数据证书的访问控制安全系统，其特征在于，

所述第三访问控制安全模块，具体用于根据所述待访问应用服务的信息，确定所述待访问应用服务所对应的身份验证策略；

基于所述身份验证策略中的每一个子验证策略，分别对所述环境因子信息进行验证，得到每一个所述子验证策略的验证结果；

根据预设验证策略规则和每一个所述子验证策略的验证结果，得到所述访问控制结果。

5.根据权利要求1所述的基于环境数据证书的访问控制安全系统，其特征在于，

所述第二访问控制安全模块，具体用于对所述访问请求进行解析，得到所述终端设备的环境多因子信息和所述待访问应用服务的信息；

判断所述访问请求是否是标准协议；

若是，则判断所述待访问应用服务是否属于所述预设保护服务类；

若是，则将所述终端设备的环境多因子信息和所述待访问应用服务的信息发送到所述第三访问控制安全模块进行验证；

当所述第三访问控制安全模块返回的访问控制结果是允许访问时，所述终端设备和所述待访问应用服务之间建立单包授权通道；

若所述待访问应用服务未属于预设保护服务类时，则允许所述终端设备访问所述待访问应用服务。

6.一种基于环境数据证书的访问控制安全方法，基于权利要求1-5中任一项所述的基于环境数据证书的访问控制安全系统，其特征在于，所述方法包括：

所述第一访问控制安全组件采集终端设备的环境多因子信息，截取终端设备向待访问应用服务发送的访问请求，根据所述环境多因子信息和所述访问请求生成请求消息，将所述请求消息发送到第二访问控制安全组件；

所述第二访问控制安全模块从所述请求消息中获取所述环境多因子信息和所述待访问应用服务，若所述待访问应用服务属于预设保护服务类时，则将所述环境多因子信息发送至第三访问控制安全模块，并根据所述第三访问控制安全模块返回的访问控制结果，确定所述终端设备是否被允许访问所述待访问应用服务；

所述第三访问控制安全模块根据预设的所述待访问应用服务的身份验证策略，对所述环境因子信息进行验证，得到所述访问控制结果。