CN106603513A

CN106603513A - 基于主机标识的资源访问控制方法以及系统

Info

Publication number: CN106603513A
Application number: CN201611087507.0A
Authority: CN
Inventors: 邢长友; 李东阳; 丁科; 张国敏; 许博
Original assignee: PLA University of Science and Technology
Current assignee: PLA University of Science and Technology
Priority date: 2016-11-30
Filing date: 2016-11-30
Publication date: 2017-04-26

Abstract

一种基于主机标识的资源访问控制方法以及系统，它包括主机标识分配的单元、主机标识注册的单元、访问策略配置的单元、访问请求发起的单元以及访问控制执行的单元，该方法中对用户的认证分为两个部分：身份认证和权限认证，前者用于判断用户身份是否真实，而后者用于判断用户是否具有访问某一资源的权限。通过这样的双重认证，有效提升了网络的安全性，并且由于用户的身份证书与其主机标识HIT相绑定，即使用户位置发生了移动，其HIT仍保持全网唯一，故而有效解决了以往基于IP地址鉴别身份时存在的问题，进一步增强安全性。

Description

基于主机标识的资源访问控制方法以及系统

技术领域

本发明属于网络数据通信领域，特别是在角色访问控制基础上，结合主机标识协议的身份认证能力，构建具有更高安全性的资源访问控制机制，具体地讲是提出一种基于主机标识的资源访问控制机制。

背景技术

访问控制技术是确保信息系统安全的主要手段之一，同时也是保护网络资源安全的重要途径。通过允许被授权主体对某些客体的访问、同时拒绝向非授权主体提供服务的策略，限制非法用户对关键资源的访问，防止因恶意用户侵入或合法用户不慎操作所造成的破坏。

现有访问控制机制本质上都是应用层的访问控制机制，需与具体的网络应用相关联，一方面增加了应用开发的复杂性，另一方面又造成系统功能的冗余，同时又可能存在实现或者设置不慎导致的安全漏洞等。并且，这种访问控制机制只能保护应用层的安全性，对因网络本身导致的安全隐患没有任何保护能力，例如一台具有严格访问控制的服务器还是同样可能会因为恶意主机的拒绝服务攻击而崩溃等。

一个好的访问控制机制，应当能够作为一个系统级的通用安全服务，面向各种网络应用提供多层次、立体的保护。为此，人们设计了基于IP地址的网络层访问控制机制，但这一机制仍存在诸多问题：

首先，基于IP地址的访问控制限制了节点移动条件下的资源访问。一些网络服务基于IP地址来区分服务对象，这就导致服务对象绑定了位置。当用户网络位置发生变化后，即使身份合法也无法获得原有服务，不能满足用户的移动性要求；

其次，存在IP地址语义过载问题，在一定程度上影响了访问控制的效能，

加大了访问控制的复杂性和难度，主要表现以下两个方面：a)由于IP地址本身的动态可变以及“地址欺骗”的存在，IP地址不能够准确反映节点的真实身份，非法用户可以匿名的发动各种形式的攻击，而很难在网络层定位访问源。b)IP地址与用户之间没有准确的对应关系，不同时刻一个IP地址可能对应不同的用户，一个IP地址也可能对应多个用户(如NAT)。这种情况便于网络犯罪的隐藏，增大了各种安全机制的复杂性，并影响其效能。由于上述情况的存在，使得访问控制的效能大打折扣，同时还可能会损害了合法用户的利益；

最后，由于网络拓扑或ISP自身策略的改变，会导致IP地址重分配，从而使得许多基于IP地址的访问控制策略、配置都需要改变。这无疑加大了基于IP地址访问控制的复杂性和更新的工作量。

可见，当前基于IP地址的访问控制机制仍存在着访问控制策略复杂且管理难度大、移动支持能力差、IP地址语义过载、安全保护能力受限等缺陷，需要设计一种更加灵活的访问控制机制。

发明内容

本发明的目的是针对当前基于IP地址的访问控制机制存在的访问控制策略复杂、管理难度大、对主机的移动支持能力差、安全保护能力受限等缺陷，提出一种基于主机标识的资源访问控制机制。

本发明的技术方案是：

一种基于主机标识的资源访问控制方法，它包括下列步骤：

A、建立全网唯一的认证中心，负责为网络中的每台主机分配IP地址、主机标识HIT，并在认证中心中通过公钥密码体系为每台主机的HIT生成用于可信性认证的HIT认证证书；

B、扩展现有网络中DNS服务器的功能，使其能够支持主机标识到IP地址的解析，随后将所有需要进行身份认证的主机在该DNS服务器上注册，记录每台主机的主机标识HIT和其IP地址的映射关系；

C、在网络内部署访问控制服务器，网络管理员在访问控制服务器中根据访问权限的限制为每台资源主机配置访问策略，该策略标识了每个用户主机能够访问的资源主机和具体资源；

D、用户主机向DNS服务器发起查询请求，获取其需要访问的资源主机的IP地址，并向该IP地址的资源主机发起访问请求；

E、资源主机收到访问请求报文后，解析出用户主机的HIT信息，并与认证中心进行通信，对发起访问请求的用户主机的可信性进行认证，如果认证未通过，表明该用户主机的身份非法，拒绝其访问请求；否则若认证通过，将访问请求发送至访问控制服务器进行决策，并根据决策结果判断该用户主机是否具有所请求资源的访问权限。

本发明的步骤D中，具体为：用户主机首先根据资源主机的HIT值Hs,通过DNS服务器查询获取该资源主机的IP地址IPs；随后向资源主机IPs发送资源访问请求，访问请求中必须包含用户主机的HIT值Hc、由认证中心为其颁发的HIT认证证书Certc、以及对相关资源的访问请求。

本发明的步骤E中，具体为：资源主机的IP地址IPs接到用户的访问请求后，需要对用户身份的合法性进行认证，该过程基于HIP协议的四次握手基本交换过程创建安全连接，并在连接建立过程中通过认证中心对用户主机身份可信性进行认证。若用户主机的HIT认证证书Certc不合法或者被篡改，表明用户主机的身份不可信，则拒绝该访问请求，若用户主机的HIT认证证书Certc合法，则证明该用户主机身份可信，资源主机随后将该用户主机的访问请求发送至访问控制服务器进行决策，并根据决策结果决定用户主机是否具有相应资源的访问权限。

本发明的步骤E中：

访问控制决策的步骤具体为：访问控制服务器根据预先设定的资源访问策略和用户的访问权限进行访问控制决策，判断用户是否对资源具有相应的操作权限，作出允许或者拒绝用户访问服务器资源的决定。

本发明的方法还包括以下步骤：

F、当需要定制新的访问策略或者调整用户的访问权限时，由访问控制服务器管理员进行访问策略或用户权限的动态更新。

本发明的步骤A、B和E中，通过为网络主机分配IP地址和全网唯一的主机标识HIT，并向DNS服务器注册主机标识和IP地址映射关系，在用户访问控制基础上，结合主机标识协议的身份认证能力，构建基于主机标识的资源访问控制机制。

一种基于主机标识的资源访问控制系统，它包括：

主机标识分配的单元：该单元用于建立全网唯一的认证中心，负责为网络中的每台主机分配IP地址、主机标识HIT，并在认证中心中通过公钥密码体系为每台主机的HIT生成用于可信性认证的HIT认证证书；

主机标识注册的单元：该单元扩展现有网络中DNS服务器的功能，使其能够支持主机标识到IP地址的解析，随后将所有需要进行身份认证的主机在该DNS服务器上注册，记录每台主机的主机标识HIT和其IP地址的映射关系；

访问策略配置的单元：该单元在网络内部署访问控制服务器，网络管理员在访问控制服务器中根据访问权限的限制为每台资源主机配置访问策略，该策略标识了每个用户主机能够访问的资源主机和具体资源；

访问请求发起的单元：该单元由用户主机向DNS服务器发起查询请求，获取其需要访问的资源主机的IP地址，并向该IP地址的资源主机发起访问请求；

访问控制执行的单元：该单元中资源主机收到访问请求报文后，解析出用户主机的HIT信息，并与认证中心进行通信，对发起访问请求的用户主机的可信性进行认证，如果认证未通过，表明该用户主机的身份非法，拒绝其访问请求；否则若认证通过，将访问请求发送至访问控制服务器进行决策，并根据决策结果判断该用户主机是否具有所请求资源的访问权限。

本发明的系统还包括：访问策略或用户权限更新的单元：当需要定制新的访问策略或者调整用户的访问权限时，由访问控制服务器管理员进行访问策略或用户权限的动态更新。

本发明的有益效果：

本发明中访问控制策略长期稳定，由于基于主机标识的资源访问控制机制利用网络实体的真实固定标识(Identifier)，而不是IP地址或者网络设备端口，解决了IP地址语义过载问题，因此保证了访问控制策略的长期稳定性，避免了由于IP地址变化所导致的访问控制策略频繁更新，减轻了访问控制管理的复杂性和工作量。

本发明中，该方法的移动支持能力好，虽然网络节点在移动过程中地址标识会发生变化，但基于固定主机标识的访问控制策略不需要改变，合法用户可以继续访问相关服务。因此，基于主机标识的资源访问控制机制对移动节点访问控制的支持性好。

本发明的系统具有更高安全性的通用安全服务，基于主机标识的资源访问控制机制在网络层保证了端到端的访问控制，提供了网络行为的可追溯性。在应用层将角色权限与用户的实名身份标识相结合，实现了基于角色的多粒度多层次资源访问控制，能够有效防止网络资源受到假冒身份等恶意攻击，实现了具有更高安全性的通用安全服务。

附图说明

图1为本发明实施例运行的环境

图2为基于主机标识的资源访问控制机制

图3为基于主机标识的资源访问控制时序图

具体实施方式

下面结合附图和实施例对本发明作进一步的说明。

首先需要给出本发明提出的访问控制机制所需要的运行环境，如图1所示：在网络中部署用户主机、DNS服务器、CA认证中心、资源主机、访问控制服务器，每台主机和服务器均配置运行HIP协议。

运行本发明所提出的访问控制机制的系统配置如图2所示：首先由CA认证中心为网络中的每台主机发放全网唯一的主机标识HIT和相应的证书。用户主机首先根据资源主机的HIT值Hs查询DNS服务器获得其IP地址，随后通过HIP协议向资源主机发送访问请求，并在请求中携带自己的认证证书Certc。资源主机收到请求后通过HIT认证模块将该证书向CA认证中心查询，判断用户身份的合法性，若认证失败则拒绝用户的访问。认证成功表明用户身份可信、非假冒用户，则通过HIP协议与访问控制服务器进行交互，查询该用户是否具有访问相应资源的权限，并根据查询结果决定允许用户访问资源或者拒绝访问。

因此，在这一过程中，对用户的认证分为两个部分：身份认证和权限认证，前者用于判断用户身份是否真实，而后者用于判断用户是否具有访问某一资源的权限。通过这样的双重认证，有效提升了网络的安全性，并且由于用户的身份证书与其主机标识HIT相绑定，即使用户位置发生了移动，其HIT仍保持全网唯一，故而有效解决了以往基于IP地址鉴别身份时存在的问题，进一步增强安全性。

图3给出了本发明基于主机标识的资源访问控制机制的工作时序图，系统实际运行过程中实现了对通信双方的身份相互鉴别。

在步骤S1中，网络中的所有主机均向DNS注册其身份标识HIT和IP地址的映射关系；

当用户主机I要向资源主机R请求资源时，首先进行步骤S2，I根据R的域名向DNS查询R的主机标识HIT证书和IP地址信息，进行步骤S3；

在步骤S3中，I根据获取的R的IP地址，向R发起资源访问请求，请求中包含I的HIT证书、I的用户角色及对请求访问的相关资源。两者基于HIP协议的四次握手基本交换过程创建安全连接，并在连接建立过程中通过CA认证中心对主机身份可信性进行认证。若HIT证书被篡改，则拒绝该访问请求。若HIT证书可信，则证明该用户是合法用户，进行步骤S4；

在步骤S4中，R将I的访问请求发送至访问控制服务器，对用户主机的访问权限进行查询。访问控制服务器根据预先设定的资源访问策略和用户角色访问权限进行访问控制决策。若访问不合法，则拒绝该访问请求。若访问合法，则进行步骤S5；

在步骤S5中，R允许I获取请求的访问资源，随后两者可以进行正常的通信交互。

实施例

本实施例给出基于本发明访问控制机制的高可信安全视频服务系统。当网络中的用户希望访问某视频服务器所提供的视频服务时，需要经过两个层次的身份认证过程。首先基于HIP协议的四次握手基本交换过程创建安全连接，并在连接建立过程中通过PKI结构CA认证中心对主机身份的可信性进行认证。只有通过认证的合法用户才能够进行下一步的角色访问权限判别。两次认证全部通过后用户才可以正常访问资源获取视频服务，否则访问被拒绝。在这样一个视频服务系统中，通过基于主机标识的资源访问控制机制，用户对资源的访问都是在实现身份验证之后进行的，因此能够确保用户身份的可信性；实现了对不同安全级别的视频的访问控制，能够满足多媒体应用安全的需要。同时能够有效防止视频服务器受到假冒身份、DoS等恶意攻击，实现了视频服务系统的高可信性和高安全性。

本发明未涉及部分均与现有技术相同或可采用现有技术加以实现。

Claims

1.一种基于主机标识的资源访问控制方法，其特征是它包括下列步骤：

2.根据权利要求1所述的基于主机标识的资源访问控制方法，其特征是步骤D中，具体为：用户主机首先根据资源主机的HIT值H_s，通过DNS服务器查询获取该资源主机的IP地址IP_s；随后向资源主机IP_s发送资源访问请求，访问请求中必须包含用户主机的HIT值H_c、由认证中心为其颁发的HIT认证证书Cert_c、以及对相关资源的访问请求。

3.根据权利要求1所述的基于主机标识的资源访问控制方法，其特征是步骤E中，具体为：资源主机的IP地址IP_s接到用户的访问请求后，需要对用户身份的合法性进行认证，该过程基于HIP协议的四次握手基本交换过程创建安全连接，并在连接建立过程中通过认证中心对用户主机身份可信性进行认证。若用户主机的HIT认证证书Certc不合法或者被篡改，表明用户主机的身份不可信，则拒绝该访问请求，若用户主机的HIT认证证书Certc合法，则证明该用户主机身份可信，资源主机随后将该用户主机的访问请求发送至访问控制服务器进行决策，并根据决策结果决定用户主机是否具有相应资源的访问权限。

4.根据权利要求3所述的基于主机标识的资源访问控制方法，其特征是步骤E中：

5.根据权利要求1-4之一所述的基于主机标识的资源访问控制方法，其特征是该方法还包括以下步骤：

6.根据权利要求1的基于主机标识的资源访问控制方法，其特征是在步骤A、B和E中，通过为网络主机分配IP地址和全网唯一的主机标识HIT，并向DNS服务器注册主机标识和IP地址映射关系，在用户访问控制基础上，结合主机标识协议的身份认证能力，构建基于主机标识的资源访问控制机制。

7.一种基于主机标识的资源访问控制系统，其特征是它包括：

8.根据权利要求7的基于主机标识的资源访问控制系统，其特征是它还包括：访问策略或用户权限更新的单元：当需要定制新的访问策略或者调整用户的访问权限时，由访问控制服务器管理员进行访问策略或用户权限的动态更新。