[发明专利]可信网络连接身份认证方法、电子设备及存储介质

权利要求书

1.一种可信网络连接身份认证方法，其特征在于，包括：

基于EAP，建立请求接入的终端设备与认证服务器之间的通信；

从所述认证服务器接收含有所述认证服务器的身份证明的数据包；其中所述认证服务器的身份证明基于IBC进行标识；

基于所述认证服务器的身份证明，验证所述认证服务器的身份；若身份不合法，则断开通信，若身份合法，则生成含有终端设备的身份信息的数据包并向所述认证服务器发送，以利用所述认证服务器执行：接收含有终端设备的身份信息的数据包；基于终端设备的身份信息，认证所述终端设备的身份，生成含有认证结果的数据包，并向终端设备发送；其中，终端设备的身份信息基于IBC进行标识；认证结果包括认证成功、认证失败和继续认证；

从所述认证服务器接收含有认证结果的数据包；若认证结果为认证失败，则断开通信，若认证结果为继续认证，则再次生成含有终端设备的身份信息的数据包并向所述认证服务器发送，以利用所述认证服务器继续执行认证，若认证结果为认证成功，则确认终端设备的身份可信；

在确认终端设备的身份可信之后，判断是否建立与所述认证服务器之间的加密隧道；

是则建立加密隧道，并向所述认证服务器发送受信任凭据；

所述建立加密隧道，包括：

生成含有终端设备拥有的受信任凭据模板类型信息的数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收含有终端设备拥有的受信任凭据模板类型信息的数据包；基于终端设备拥有的受信任凭据模板类型信息，评估终端设备能够提供受信任凭据的能力，生成含有模版建议信息的数据包，并向终端设备发送；

从所述认证服务器接收含有模版建议信息的数据包；

基于模版建议信息，判断终端设备是否能够满足要求；若不满足，则生成含有建立隧道失败标识的数据包并向所述认证服务器回复，若满足，则向所述认证服务器返回含有模版建议信息的数据包，以利用所述认证服务器执行：接收含有模版建议信息的数据包；产生协商数据，生成包含所述认证服务器产生的协商数据的数据包，并向终端设备发送；

从所述认证服务器接收包含所述认证服务器产生的协商数据的数据包；

产生协商数据，生成包含终端设备产生的协商数据的数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收包含终端设备产生的协商数据的数据包；基于终端设备及所述认证服务器产生的协商数据，生成对称密钥；

基于所述认证服务器及终端设备产生的协商数据，生成对称密钥。

2.根据权利要求1所述的方法，其特征在于，

向所述认证服务器发送受信任凭据，包括：

基于模版建议信息确定受信任凭据；

基于生成的对称密钥对受信任凭据进行加密，得到包含受信任凭据的加密数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收包含受信任凭据的加密数据包；基于生成的对称密钥对加密数据包进行解密，得到受信任凭据；基于受信任凭据进行评估，得到评估结果；基于评估结果，判断是否认证成功，并向终端设备反馈。

3.根据权利要求2所述的方法，其特征在于，

所述认证服务器的身份证明基于SM9进行标识；所述含有所述认证服务器的身份证明的数据包中，装载有所述认证服务器产生的第一随机数、所述认证服务器的SM9公钥，以及所述认证服务器的SM9私钥对第一随机数的签名数据，作为所述认证服务器的身份证明；

终端设备的身份信息基于SM9进行标识；所述含有终端设备的身份信息的数据包中，装载有终端设备的SM9公钥，以及终端设备的SM9私钥对第一随机数的签名数据，作为终端设备的身份信息。

4.根据权利要求3所述的方法，其特征在于，

所述包含所述认证服务器产生的协商数据的数据包中，装载有所述认证服务器产生的第二随机数，以及，基于第二随机数、终端设备的SM9公钥及SM9密钥交换协议产生的协商数据；

所述包含终端设备产生的协商数据的数据包中，装载有基于第二随机数、所述认证服务器的SM9公钥及SM9密钥交换协议产生的协商数据。