CN101572703B - 一种可保护平台配置信息的平台认证系统及方法 - Google Patents

Abstract

本发明涉及一种可保护平台配置信息的平台认证系统，其特征在于：该系统包括平台认证方、平台被认证方以及用于在进行平台认证之前建立平台组件产品归类列表并结合平台被认证方的平台组件信息生成各种平台组件产品的安全状态验证结果发送给平台认证方的平台认证可信第三方；所述平台被认证方、平台认证方和平台认证可信第三方相互连通。可有效地保护平台被认证方的平台P′的平台配置信息。本发明可有效地保护平台被认证方的平台P′的平台配置信息，适用于不同应用环境下的平台认证。

Description

一种可保护平台配置信息的平台认证系统及方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种可保护平台配置信息的平台认证系统及方法。

背景技术

随着信息化的不断发展，病毒、蠕虫等恶意软件的问题异常突出。目前已经出现了超过三万五千种的恶意软件，每年都有超过四千万的计算机被感染。为了遏制住这类攻击，人们提出了对机器进行识别、认证和评估，包括识别机器平台中的各个平台组件(包括硬件、软件和固件)、认证机器平台的确存在这些平台组件和评估机器平台中的这些平台组件(即：评估平台组件的安全状态，包括平台组件的完整性状态、运行状况和安全级别等，其中完整性状态指示平台组件是否被破坏，运行状况指示平台组件的运行环境和行为，安全级别指示平台组件的安全性)。这种对机器的识别、认证和评估称为机器级平台认证，简称为平台认证。

平台认证完全不同于用户认证。用户认证是发生在用户之间，而平台认证是发生在用户与平台之间，即用户对平台的认证。用户认证是基于对称密钥或非对称密钥的密码技术来实现用户身份的识别和认证。平台认证是基于平台认证可信根来实现对平台中各个组件的识别和认证。

近年来，业界提出了一种Client/Server平台认证系统，参见图1，Client为平台认证客户端，Server为平台认证服务端，P为平台认证客户端的平台，平台认证服务端Server通过平台认证协议对平台认证客户端的平台P进行平台认证。图1所示Client/Server平台认证系统的平台认证过程如下：

1)平台认证服务端Server通过平台认证协议向平台认证客户端Client请求平台认证客户端的平台P的平台组件信息(构成平台的各个平台组件信息也就是平台配置信息)；

2)平台认证客户端Client收到步骤1)中的信息后，将平台认证客户端的平台P的平台组件信息通过平台认证协议发送给平台认证服务端Server；

3)平台认证服务端Server收到步骤2)中信息后，识别、认证和评估平台认证客户端的平台P的平台组件信息，从而实现平台认证服务端Server对平台认证客户端的平台P的平台认证。

根据以上所述的Client/Server平台认证系统可知：平台认证客户端的平台P的平台配置信息在平台认证过程中被平台认证服务端Server所知。当平台认证服务端Server为网络管理方的服务器时，平台认证客户端的平台P的平台配置信息在平台认证过程中被平台认证服务端Server所知是允许的。但是，这种平台认证也存在其相应的缺点：当平台认证服务端Server不是网络管理方的服务器而是普通的对等端时，平台认证客户端的平台P的平台配置信息在平台认证过程中被平台认证服务端Server所知是不允许的，因为平台认证客户端的平台P的平台配置信息被暴露会使得平台认证客户端的平台P易被攻击。因此，需要建立一个可保护平台配置信息的平台认证系统。

发明内容

为了解决背景技术中存在的上述技术问题，本发明提供了一种可有效地保护平台被认证方的平台P′的平台配置信息并且可适用于不同应用环境的可保护平台配置信息的平台认证系统及方法。

本发明的技术解决方案是：本发明提供了一种可保护平台配置信息的平台认证系统，其特殊之处在于：所述系统包括平台认证方、平台被认证方以及用于在进行平台认证之前建立平台组件产品归类列表并结合平台被认证方的平台组件信息生成各种平台组件产品的安全状态验证结果发送给平台认证方的平台认证可信第三方；平台被认证方、平台认证方和平台认证可信第三方相互连通。

上述平台被认证方包括平台被认证方的平台P′。

一种可保护平台配置信息的平台认证方法，其特殊之处在于：该方法包括以下步骤：

1)平台认证方向平台被认证方请求平台被认证方的平台P′的平台组件信息；

2)平台被认证方收到步骤1)中的信息后，首先依据其中的组件类型度量和收集平台被认证方的平台P′的平台组件信息，然后将所度量和收集的平台被认证方的平台P′的平台组件信息分别发送给平台认证方和平台认证可信第三方；

3)当平台认证可信第三方收到步骤2)中的信息后，首先根据平台认证可信第三方中的平台组件产品归类表识别、认证和评估所度量和收集的平台被认证方的平台P′的平台组件信息，生成各种平台组件产品的安全状态验证结果并发送给平台认证方；

4)当平台认证方收到步骤2)和步骤3)中的信息后，首先验证步骤2)中所度量和收集的平台被认证方的平台P′的平台组件信息是否合法，若不合法，则丢弃所收到的步骤2)和步骤3)中的信息，否则进一步验证步骤3)中的各种平台组件产品的安全状态验证结果是否合法，若不合法，则丢弃所收到的步骤3)中的信息，否则依据步骤3)中的各种平台组件产品的安全状态验证结果生成对平台被认证方的平台P′的平台认证结果，从而实现平台认证方对平台被认证方的平台认证。

上述方法在步骤1)之前还包括步骤：

0)在进行平台认证之前，平台认证可信第三方对各种平台组件产品进行归类并建立平台组件产品归类列表，用于实现平台组件信息的识别、认证和评估。

上述步骤0)中平台组件产品归类列表的内容可包括平台组件产品的组件类型、序号、标识、版本号、安全级别和基准值。

上述步骤1)中的平台组件信息仅指明所请求的平台被认证方的平台P′的平台组件信息的组件类型，不涉及平台被认证方的平台P′的具体平台组件信息。

上述步骤2)中的所度量和收集的平台被认证方的平台P′的平台组件信息是利用平台被认证方与平台认证可信第三方之间的安全通道传输的，平台认证方仅能验证该信息是否由平台被认证方发送的，以及仅能识别和验证该信息的组件类型。

上述步骤3)中的各种平台组件产品的安全状态验证结果仅指明各种组件类型下各种平台组件产品的安全状态，不涉及平台被认证方的平台P′的具体平台组件信息，可以包括各种平台组件产品的组件类型、序号、运行状况、安全级别和完整性状态。

本发明的优点是：

1、可有效地保护平台被认证方的平台P′的平台配置信息。本发明由于仅允许平台认证方知晓平台被认证方的平台P′存在哪些组件类型的平台组件，而平台被认证方的平台P′的具体平台组件信息由平台认证可信第三方进行识别、认证和评估，所以可以模糊化平台认证方对平台被认证方的平台P′的平台认证，从而可有效地保护平台被认证方的平台P′的平台配置信息。

2、适用范围广。本发明可保护平台配置信息的平台认证系统由平台被认证方、平台认证方和平台认证可信第三方三个独立角色构成，因此可以适用于不同应用环境下的平台认证。

附图说明

图1为现有技术中Client/Server平台认证系统示意图；

图2为本发明所提供的平台认证系统示意图；

图3为本发明所提供平台认证系统第一实施例结构示意图；

图4为本发明所提供平台认证系统第二实施例结构示意图；

图5为本发明所提供平台认证系统第三实施例结构示意图。

具体实施方式

参见图2，本发明提供了一种可保护平台配置信息的平台认证系统，包括平台被认证方、平台认证方和平台认证可信第三方；平台被认证方包含平台被认证方的平台P′；所述平台被认证方、平台认证方和平台认证可信第三方能够互相连通；平台认证可信第三方协助平台认证方实现对平台被认证方的平台P′的平台认证；

平台认证方用于：向平台被认证方请求平台被认证方的平台P′的各种组件类型的平台组件信息；验证所度量和收集的平台被认证方的平台P′的平台组件信息的合法性，包括验证所度量和收集的平台被认证方的平台P′的平台组件信息是否是由平台被认证方发送的，识别和验证所度量和收集的平台被认证方的平台P′的平台组件信息对应的组件类型等；验证所收到的各种平台组件产品的安全状态验证结果的合法性，然后依据这些平台组件产品的安全状态验证结果生成对平台被认证方的平台P′的平台认证结果，从而实现平台认证方对平台被认证方的平台认证；

平台被认证方用于：依据平台认证方向平台被认证方请求平台被认证方的平台P′的平台组件信息中的组件类型度量和收集平台被认证方的平台P′的平台组件信息，然后将所度量和收集的平台被认证方的平台P′的平台组件信息发送给平台认证方和平台认证可信第三方；

平台认证可信第三方用于：在进行平台认证之前对各种平台组件产品进行归类并建立平台组件产品归类列表，用于实现平台组件信息的识别、认证和评估，其内容可包括平台组件产品的组件类型、序号、标识、版本号、安全级别和基准值；根据平台认证可信第三方中的平台组件产品归类表识别、认证和评估所度量和收集的平台被认证方的平台P′的平台组件信息，生成各种平台组件产品的安全状态验证结果并发送给平台认证方，其内容可包括平台组件产品的组件类型、序号、运行状况、安全级别和完整性状态；

在进行平台认证之前，平台认证可信第三方对各种平台组件产品进行归类并建立平台组件产品归类列表，其内容可包括平台组件产品的组件类型、序号、标识、版本号、安全级别和基准值，如下所示：

平台组件产品的组件类型表示该平台组件产品属于哪一类组件，平台组件产品的序号表示该平台组件产品在平台认证可信第三方中平台组件产品归类表中的位置编号(用于平台认证方区分平台被认证方的平台P′中相同组件类型下的不同平台组件产品，但不能识别是哪一种平台组件产品，从而可以模糊化平台认证方对平台被认证方的平台P′中的平台组件信息的识别)，平台组件产品的标识表示该平台组件产品属于哪一种平台组件产品(如：天网防火墙还是其他防火墙)，平台组件产品的版本号表示该平台组件产品属于哪一个版本(如：v5.1.1.1002)，平台组件产品的安全级别表示该平台组件产品属于哪一个安全级别，平台组件产品的基准值可以用来校验平台被认证方所提供的该平台组件产品信息(如：平台组件产品的完整性基准值)。

本发明在提供一种可保护平台配置信息的平台认证系统的同时，还提供了一种可保护平台配置信息的平台认证方法，为了方便说明，现列举以下三个具体实施方式来具体说明。

参见图3，当平台被认证方、平台认证方和平台认证可信第三方之间都通过平台认证协议连通时，可保护平台配置信息的平台认证方法如下：

步骤101)平台认证方通过平台认证协议向平台被认证方请求平台被认证方的平台P′的各种组件类型的平台组件信息；

步骤102)平台被认证方收到步骤101)中的信息后，首先依据其中的组件类型度量和收集平台被认证方的平台P′的平台组件信息，然后将所度量和收集的平台被认证方的平台P′的平台组件信息通过平台认证协议发送给平台认证方和平台认证可信第三方；

步骤103)平台认证方收到步骤102)中的信息后，验证所度量和收集的平台被认证方的平台P′的平台组件信息的合法性，包括其组件类型应该与步骤101)中平台认证方所请求的组件类型相对应以及其发送者是合法的等；

步骤104)平台认证可信第三方收到步骤102)中的信息后，根据平台认证可信第三方中的平台组件产品归类表识别、认证和评估所度量和收集的平台被认证方的平台P′的平台组件信息，生成各种平台组件产品的安全状态验证结果并通过平台认证协议发送给平台认证方，其内容可包括平台组件产品的组件类型、序号、运行状况、安全级别和完整性状态(即：依据平台组件产品的基准值对平台组件信息校验后生成的完整性校验结果)，如下所示：

步骤105)平台认证方收到步骤104)中的信息后，首先验证其中各种平台组件产品的安全状态验证结果的合法性，然后依据这些平台组件产品的安全状态验证结果生成对平台被认证方的平台P′的平台认证结果，从而实现平台认证方对平台被认证方的平台认证。

参见图4，当平台被认证方与平台认证方通过平台认证协议连通，平台认证方与平台认证可信第三方通过平台认证协议连通，平台被认证方与平台认证可信第三方通过平台认证方连通时，可保护平台配置信息的平台认证方法具体过程如下：

步骤201)平台认证方通过平台认证协议向平台被认证方请求平台被认证方的平台P′的各种组件类型的平台组件信息；

步骤202)平台被认证方收到步骤201)中的信息后，首先依据其中的组件类型度量和收集平台被认证方的平台P′的平台组件信息，然后将所度量和收集的平台被认证方的平台P′的平台组件信息通过平台认证协议发送给平台认证方；

步骤203)平台认证方收到步骤202)中的信息后，验证所度量和收集的平台被认证方的平台P′的平台组件信息的合法性，包括其组件类型应该与步骤201)中平台认证方所请求的组件类型相对应以及其发送者是合法的等，然后将所度量和收集的平台被认证方的平台P′的平台组件信息通过平台认证协议发送给平台认证可信第三方；

步骤204)平台认证可信第三方收到步骤203)中的信息后，根据平台认证可信第三方中的平台组件产品归类表识别、认证和评估所所度量和收集的平台被认证方的平台P′的平台组件信息，生成各种平台组件产品的安全状态验证结果并通过平台认证协议发送给平台认证方，其内容可包括平台组件产品的组件类型、序号、运行状况、安全级别和完整性状态，其内容与步骤104)的内容是相同的；

步骤205)平台认证方收到步骤204)中的信息后，首先验证其中各种平台组件产品的安全状态验证结果的合法性，然后依据这些平台组件产品的安全状态验证结果生成对平台被认证方的平台P′的平台认证结果，从而实现平台认证方对平台被认证方的平台认证。

参见图5，当平台认证方与平台被认证方通过平台认证协议连通，平台被认证方与平台认证可信第三方通过平台认证协议连通，平台认证方与平台认证可信第三方通过平台被认证方连通时，可保护平台配置信息的平台认证方法具体过程如下：

步骤301)平台认证方通过平台认证协议向平台被认证方请求平台被认证方的平台P′的各种组件类型的平台组件信息；

步骤302)平台被认证方收到步骤301)中的信息后，首先依据其中的组件类型度量和收集平台被认证方的平台P′的平台组件信息，然后将所度量和收集的平台被认证方的平台P′的平台组件信息通过平台认证协议发送给平台认证可信第三方；

步骤303)平台认证可信第三方收到步骤302)中的信息后，根据平台认证可信第三方中的平台组件产品归类表识别、认证和评估所所度量和收集的平台被认证方的平台P′的平台组件信息，生成各种平台组件产品的安全状态验证结果并通过平台认证协议发送给平台被认证方，其内容可包括平台组件产品的组件类型、序号、运行状况、安全级别和完整性状态，其内容与步骤104)的内容是相同的；

步骤304)平台被认证方收到步骤303)中的信息后，将所度量和收集的平台被认证方的平台P′的平台组件信息、平台认证可信第三方生成的各种平台组件产品的安全状态验证结果通过平台认证协议发送给平台认证方；

步骤305)平台认证方收到步骤304)中的信息后，首先验证其中所度量和收集的平台被认证方的平台P′的平台组件信息的合法性，包括其组件类型应该与步骤301)中平台认证方所请求的组件类型相对应以及其发送者是合法的等，然后验证其中平台认证可信第三方生成的各种平台组件产品的安全状态验证结果的合法性，最后依据这些平台组件产品的安全状态验证结果生成对平台被认证方的平台P′的平台认证结果，从而实现平台认证方对平台被认证方的平台认证。

在上述平台认证过程中，平台认证方向平台被认证方请求的平台被认证方的平台P′的平台组件信息仅指明所请求的平台被认证方的平台P′的平台组件信息的组件类型，不涉及平台被认证方的平台P′的具体平台组件信息；平台被认证方发送的平台被认证方的平台P′的平台组件信息是利用平台被认证方与平台认证可信第三方之间的安全通道传输的，平台认证方仅能验证这些平台组件信息是由平台被认证方发送的以及仅能识别和验证这些平台组件信息的组件类型；平台认证可信第三方生成的各种平台组件产品的安全状态验证结果仅指明各种组件类型下各种平台组件产品的安全状态，不涉及平台被认证方的平台P′的具体平台组件信息，可以包括各种平台组件产品的组件类型、序号、运行状况、安全级别和完整性状态等。

Claims (5)

1.一种可保护平台配置信息的平台认证系统，其特征在于：该系统包括平台认证方、平台被认证方以及用于在进行平台认证之前建立平台组件产品归类列表并结合平台被认证方的平台组件信息生成各种平台组件产品的安全状态验证结果发送给平台认证方的平台认证可信第三方；所述平台被认证方、平台认证方和平台认证可信第三方相互连通；

所述平台认证可信第三方根据平台认证可信第三方中的平台组件产品归类表识别、认证和评估由平台被认证方所度量和收集的平台被认证方的平台P′的平台组件信息，生成各种平台组件产品的安全状态验证结果并发送给平台认证方，所述平台P′的平台组件信息仅指明所请求的平台被认证方的平台P′的平台组件信息的组件类型，不涉及平台被认证方的平台P′的具体平台组件信息；

所述平台认证方验证所度量和收集的平台被认证方的平台P′的平台组件信息是否合法，若不合法，则丢弃所收到信息，否则进一步验证各种平台组件产品的安全状态验证结果是否合法，若不合法，则丢弃所收到信息，否则依据各种平台组件产品的安全状态验证结果生成对平台被认证方的平台P′的平台认证结果，从而实现平台认证方对平台被认证方的平台认证，所述各种平台组件产品的安全状态验证结果仅指明各种组件类型下各种平台组件产品的安全状态，包括各种平台组件产品的组件类型、序号、运行状况、安全级别和完整性状态，所述各种平台组件产品的安全状态验证结果不涉及平台被认证方的平台P′的具体平台组件信息。

2.一种可保护平台配置信息的平台认证方法，其特征在于：该方法包括以下步骤：

1)平台认证方向平台被认证方请求平台被认证方的平台P′的平台组件信息，所述平台组件信息仅指明所请求的平台被认证方的平台P′的平台组件信息的组件类型，不涉及平台被认证方的平台P′的具体平台组件信息；

2)平台被认证方收到步骤1)中的信息后，首先依据其中的组件类型度量和收集平台被认证方的平台P′的平台组件信息，然后将所度量和收集的平台被认证方的平台P′的平台组件信息分别发送给平台认证方和平台认证可信第三方；

3)当平台认证可信第三方收到步骤2)中的信息后，首先根据平台认证可信第三方中的平台组件产品归类表识别、认证和评估所度量和收集的平台被认证方的平台P′的平台组件信息，生成各种平台组件产品的安全状态验证结果并发送给平台认证方；其中，所述各种平台组件产品的安全状态验证结果仅指明各种组件类型下各种平台组件产品的安全状态，包括各种平台组件产品的组件类型、序号、运行状况、安全级别和完整性状态，所述各种平台组件产品的安全状态验证结果不涉及平台被认证方的平台P′的具体平台组件信息；

4)当平台认证方收到步骤2)和步骤3)中的信息后，首先验证步骤2)中所度量和收集的平台被认证方的平台P′的平台组件信息是否合法，若不合法，则丢弃所收到的步骤2)和步骤3)中的信息，否则进一步验证步骤3)中的各种平台组件产品的安全状态验证结果是否合法，若不合法，则丢弃所收到的步骤3)中的信息，否则依据步骤3)中的各种平台组件产品的安全状态验证结果生成对平台被认证方的平台P′的平台认证结果，从而实现平台认证方对平台被认证方的平台认证。

3.根据权利要求2所述的可保护平台配置信息的平台认证方法，其特征在于：该方法在步骤1)之前还包括步骤：

0)在进行平台认证之前，平台认证可信第三方对各种平台组件产品进行归类并建立平台组件产品归类列表，用于实现平台组件信息的识别、认证和评估。

4.根据权利要求3所述的可保护平台配置信息的平台认证方法，其特征在于：所述步骤0)中平台组件产品归类列表的内容可包括平台组件产品的组件类型、序号、标识、版本号、安全级别和基准值。

5.根据权利要求4所述的可保护平台配置信息的平台认证方法，其特征在于：所述步骤2)中的所度量和收集的平台被认证方的平台P′的平台组件信息是利用平台被认证方与平台认证可信第三方之间的安全通道传输的，平台认证方仅能验证该信息是否由平台被认证方发送的，以及仅能识别和验证该信息的组件类型。

Images