專利名稱：網(wǎng)絡(luò)計算機通信系統(tǒng)和面向用戶的網(wǎng)絡(luò)層安全通信方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)計算機通信技術(shù)領(lǐng)域，特別是涉及網(wǎng)絡(luò)計算機通信系統(tǒng)和面向用戶的網(wǎng)絡(luò)層安全通信方法。
今天，隨著網(wǎng)絡(luò)帶寬的增加和CPU處理能力的提升，網(wǎng)絡(luò)計算機的性能已經(jīng)得到了很大的提高。加上網(wǎng)絡(luò)計算機同傳統(tǒng)的PC機相比，有著明顯的價格優(yōu)勢，因此網(wǎng)絡(luò)計算機系統(tǒng)重新得到了國人的關(guān)注，成為今天推進(jìn)我國信息化進(jìn)程的重要解決方案。和幾年前相比，國內(nèi)網(wǎng)絡(luò)計算機的發(fā)展環(huán)境已今非昔比。一方面，政府成了網(wǎng)絡(luò)計算機發(fā)展的第一推動力。這是因為我國發(fā)展網(wǎng)絡(luò)計算機立足于國產(chǎn)CPU和源代碼公開的操作系統(tǒng)(如Linux)，這對于突破Wintel(Windows公司的操作系統(tǒng)和Intel公司的CPU)在信息技術(shù)核心領(lǐng)域的壟斷，發(fā)展我國在信息領(lǐng)域具有自主知識產(chǎn)權(quán)的核心技術(shù)，徹底消除Wintel技術(shù)對我國信息化可能帶來的信息安全隱患，將是非常重要的；另一方面，當(dāng)前，國內(nèi)適用于網(wǎng)絡(luò)計算機的具備自主知識產(chǎn)權(quán)的軟硬件技術(shù)，已經(jīng)越來越走向完善。例如以龍芯、方舟CPU為代表的國產(chǎn)CPU技術(shù)已經(jīng)走向市場化，國內(nèi)桌面Linux技術(shù)也在各家軟件廠商的努力下取得重要進(jìn)展，同時，許多適用于網(wǎng)絡(luò)計算機的面向行業(yè)客戶的解決方案與應(yīng)用系統(tǒng)也開始出現(xiàn)。這些為網(wǎng)絡(luò)計算機的發(fā)展提供了良好的技術(shù)保障。
網(wǎng)絡(luò)計算機必須在一個網(wǎng)絡(luò)環(huán)境下，和各種服務(wù)器整合為一個系統(tǒng)，從而發(fā)揮它的功用，而不能像PC那樣單獨的使用。這樣當(dāng)網(wǎng)絡(luò)計算機系統(tǒng)應(yīng)用在諸如電子政務(wù)、電子商務(wù)、企業(yè)信息管理甚至軍事領(lǐng)域時，就必須要解決網(wǎng)絡(luò)計算機系統(tǒng)中各節(jié)點間信息通信的安全問題。
由于網(wǎng)絡(luò)計算機的軟/硬件系統(tǒng)通常是封閉式的，即它不提供PC機上常見的擴展槽，不允許隨意的更改、升級網(wǎng)絡(luò)計算機的硬件配置，也不允許隨意添加、刪除、替換網(wǎng)絡(luò)計算機的應(yīng)用程序和系統(tǒng)程序。這樣對于定制一個安全可靠的網(wǎng)絡(luò)計算機系統(tǒng)創(chuàng)造了非常有利的條件。正是基于網(wǎng)絡(luò)計算機系統(tǒng)的這個特點，我們提出了面向用戶的網(wǎng)絡(luò)層安全通信方法。該方法針對的是摘要附圖1所示的網(wǎng)絡(luò)計算機硬件環(huán)境。在這個網(wǎng)絡(luò)計算機環(huán)境中，注冊用戶可以利用任意一臺網(wǎng)絡(luò)計算機同其它注冊用戶或其它服務(wù)器在網(wǎng)絡(luò)層建立起安全的通信鏈路。之所以選擇在網(wǎng)絡(luò)層建立安全通信鏈路，一方面是因為這種方式最大限度的兼容了已有的網(wǎng)絡(luò)硬件環(huán)境；另一方面是這種方式對已有的應(yīng)用程序來說是完全透明的，既不需要對已有應(yīng)用程序做任何修改，這樣就在最大限度上兼容了已有編程工作。
面向用戶的網(wǎng)絡(luò)層安全通信方法是對常用的網(wǎng)絡(luò)層安全通信協(xié)議IPSec(網(wǎng)絡(luò)層)的拓展。IPSec協(xié)議的初衷是為網(wǎng)絡(luò)中任意兩個節(jié)點建立安全的通信鏈路。但事實上，很多的網(wǎng)絡(luò)應(yīng)用是希望為網(wǎng)絡(luò)用戶提供安全通信連接。特別是在網(wǎng)絡(luò)計算機環(huán)境下，注冊用戶希望能夠通過任意一臺網(wǎng)絡(luò)計算機實現(xiàn)與其它用戶或其它服務(wù)器的安全通信。因此必須在保留IPSec協(xié)議已有優(yōu)點的基礎(chǔ)上，將現(xiàn)有的IPSec安全通信技術(shù)拓展為面向用戶的安全通信技術(shù)。

發(fā)明內(nèi)容
本發(fā)明的面向用戶的網(wǎng)絡(luò)層安全通信方法是在網(wǎng)絡(luò)計算機環(huán)境下，將面向網(wǎng)絡(luò)節(jié)點的網(wǎng)絡(luò)層安全通信技術(shù)進(jìn)一步拓展為面向用戶的網(wǎng)絡(luò)層安全通信方法。適用于安全認(rèn)證中心(Certificate Authority，簡稱CA)、智能卡、安全通信服務(wù)器(Communication Server，簡稱CS)和網(wǎng)絡(luò)計算機(Network Computer，簡稱NC)可信的網(wǎng)絡(luò)計算機環(huán)境；希望在網(wǎng)絡(luò)計算機環(huán)境下實現(xiàn)安全通信的用戶必須到安全認(rèn)證中心注冊；注冊用戶的私鑰、個人特征碼和安全認(rèn)證中心自簽名的根證書存儲在安全認(rèn)證中心頒發(fā)給該注冊用戶的智能卡內(nèi)；所有注冊用戶的用戶證書連同安全認(rèn)證中心的私鑰都將通過特定的安全信道存儲到安全通信服務(wù)器上；注冊用戶在網(wǎng)絡(luò)計算機環(huán)境中的任意一臺網(wǎng)絡(luò)計算機上登錄后，必須立即將用戶個人特征碼和注冊用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息(包括該網(wǎng)絡(luò)計算機的IP地址、網(wǎng)關(guān)IP地址和子網(wǎng)掩碼)安全可靠的提交給安全通信服務(wù)器；安全通信服務(wù)器負(fù)責(zé)網(wǎng)絡(luò)計算機環(huán)境中的用戶認(rèn)證，安全通信策略管理和用戶證書管理；每當(dāng)網(wǎng)絡(luò)計算機環(huán)境的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)或安全通信策略發(fā)生變化時，網(wǎng)絡(luò)計算機環(huán)境中的每個網(wǎng)絡(luò)節(jié)點(包括網(wǎng)絡(luò)計算機、安全通信服務(wù)器和其它服務(wù)器)所存儲的安全通信配置信息都要重構(gòu)一次；安全通信服務(wù)器根據(jù)自己所收集的登錄用戶信息和當(dāng)前安全通信策略，完成對網(wǎng)絡(luò)計算機環(huán)境中的安全通信鏈路的管理。
安全認(rèn)證中心(Certificate Authority，簡稱CA)、智能卡、安全通信服務(wù)器(Communication Server，簡稱CS)和網(wǎng)絡(luò)計算機(NetworkComputer，簡稱NC)可信的含義是a.安全認(rèn)證中心不會將用戶提交的所有個人特征信息泄露給第三方；不會將用戶選擇的個人識別號(Personal Identification Number，簡稱PIN)泄露給第三方；不會將注冊用戶的公鑰/私鑰對泄露給第三方；不會將自己的私鑰泄露給第三方；b.智能卡所存儲的用戶個人識別號、用戶私鑰信息、用戶個人特征碼和安全認(rèn)證中心自簽名的根證書不會被任何外力非法地篡改或替代；智能卡不會響應(yīng)任何非法持卡人，即不知道注冊用戶個人識別號的持卡人的操作命令；注冊用戶個人識別號決不允許從智能卡中讀出；
c.安全通信服務(wù)器不會將自己所存儲的安全認(rèn)證中心的私鑰泄露給第三方；安全通信服務(wù)器的安全通信策略不能被非法修改或替代；安全通信服務(wù)器存儲的當(dāng)前登錄用戶信息不能被非法修改或替代；安全通信服務(wù)器所維護(hù)的用戶證書撤銷列表信息(Certificate Revocation List，簡稱CRL)不能被非法修改或替代；安全通信服務(wù)器所維護(hù)的退出用戶列表不能被非法修改或替代；安全通信服務(wù)器必須根據(jù)安全通信策略和當(dāng)前登錄用戶信息管理安全通信鏈路；d.在網(wǎng)絡(luò)計算機環(huán)境中，當(dāng)注冊用戶之間或注冊用戶和其它服務(wù)器之間進(jìn)行安全通信時，網(wǎng)絡(luò)計算機不會破壞通信過程中所交互信息的完整性、私密性，不會破壞通信過程使用到的注冊用戶個人識別號、注冊用戶私鑰和安全認(rèn)證中心的自簽名根證書的私密性和完整性。
本發(fā)明的方法用于將用戶證書連同安全認(rèn)證中心的自簽名根證書存儲到安全通信服務(wù)器上的特定安全信道的含義是在網(wǎng)絡(luò)計算機環(huán)境尚未建立起基本的信任機制之前所使用的安全通信方法，比如在安全認(rèn)證中心和安全通信服務(wù)器之間架設(shè)的專用的、物理上安全的通信鏈路；通過移動存儲設(shè)備(如軟盤)，由一個可信的系統(tǒng)管理員將用戶證書連同安全認(rèn)證中心的自簽名根證書從安全認(rèn)證中心復(fù)制到安全通信服務(wù)器。
安全通信服務(wù)器采用基于角色的安全通信管理策略。由于角色能夠和政府、企/事業(yè)單位中實際的職位、職務(wù)等管理概念有機的統(tǒng)一起來，這使得基于角色的安全通信管理策略更容易表達(dá)人們在生活中各種實際的安全通信需求。舉例來說，如果在一個公司中設(shè)置了部門經(jīng)理、普通辦事員兩個職位(對于安全通信策略而言，這就是兩個角色)，而且為該公司設(shè)計的安全通信策略中有這樣三條規(guī)則a.部門經(jīng)理之間通信信息必須保證私密性和完整性；b.部門經(jīng)理和普通辦事員之間的通信信息必須保證完整性；c.普通辦事員之間的通信不做安全性要求。
則當(dāng)公司中的兩個部門經(jīng)理需要進(jìn)行網(wǎng)絡(luò)通信時，他們之間必須建立能夠提供保證私密性和完整性保障的安全通信鏈路；而兩個普通辦事員之間的網(wǎng)絡(luò)通信則可以沒有任何信息安全保障。
以網(wǎng)絡(luò)計算機環(huán)境中的任一網(wǎng)絡(luò)節(jié)點δ為例，其對應(yīng)的安全通信配置信息如表1所示

表1安全通信配置信息表表中1的(IPj，GWi，Subnetj)表示網(wǎng)絡(luò)計算機環(huán)境中第j個可能的通信節(jié)點的本機IP地址、對應(yīng)的網(wǎng)關(guān)地址和子網(wǎng)掩碼，且j≠δ。如果當(dāng)前使用第j個通信節(jié)的注冊用戶所分配的角色為Ri，則網(wǎng)絡(luò)節(jié)點δ需要打開安全通信配置符conni-i所描述的安全通信鏈路。
安全通信服務(wù)器根據(jù)自己所收集的登錄用戶信息和當(dāng)前安全通信策略，對網(wǎng)絡(luò)計算機環(huán)境中的安全通信鏈路的管理包含了以下兩方面的意思a.從網(wǎng)絡(luò)計算機上每新登錄一個注冊用戶，安全通信服務(wù)器都將根據(jù)其已收集的登錄用戶信息和當(dāng)前安全通信策略，確定網(wǎng)絡(luò)計算機環(huán)境中已有登錄用戶所在網(wǎng)絡(luò)計算機需要打開的安全通信鏈路；b.采用批處理的方式處理注冊用戶退出所在網(wǎng)絡(luò)計算機對網(wǎng)絡(luò)計算機環(huán)境中安全通信鏈路的影響。即設(shè)定每退出m個注冊用戶，才將這m個注冊用戶所在網(wǎng)絡(luò)計算機對應(yīng)的安全通信鏈路關(guān)閉。這種批處理方式對于降低安全通信服務(wù)器和網(wǎng)絡(luò)帶寬的負(fù)荷是有幫助的。其中域值m的具體取值，是由網(wǎng)絡(luò)計算機環(huán)境中的網(wǎng)絡(luò)帶寬、網(wǎng)絡(luò)計算機和服務(wù)器的硬件配置情況來決定。
安全通信服務(wù)器負(fù)責(zé)維護(hù)一個退出用戶列表，該列表如表2所示

表2退出用戶列表當(dāng)安全通信服務(wù)器收到一個用戶退出所在網(wǎng)絡(luò)計算機的消息后，將把該用戶對應(yīng)的個人信息填入表2所示的退出用戶列表。
本發(fā)明是一種面向用戶的網(wǎng)絡(luò)層安全通信方法，方法的關(guān)鍵是在網(wǎng)絡(luò)計算機環(huán)境中引入安全通信服務(wù)器，并由安全通信服務(wù)器負(fù)責(zé)網(wǎng)絡(luò)計算機環(huán)境中的用戶認(rèn)證，安全通信策略管理和用戶證書管理；另外，安全通信服務(wù)器還根據(jù)自己所收集的登錄用戶信息和當(dāng)前安全通信策略，完成對網(wǎng)絡(luò)計算機環(huán)境中的當(dāng)前安全通信鏈路的管理。網(wǎng)絡(luò)層安全通信方法所對應(yīng)的關(guān)鍵步驟和技術(shù)表述如下1.希望在網(wǎng)絡(luò)計算機環(huán)境下實現(xiàn)安全通信的用戶到安全認(rèn)證中心注冊的步驟如圖2所示，圖中的阿拉伯字母(a、b、c、d、e、f、g、h、i)分別代表注冊的9個步驟。這些步驟的具體含義解釋如下，以下步驟包含了面向用戶的網(wǎng)絡(luò)層安全通信方法a.用戶向安全認(rèn)證中心提供足以表明自己身份的個人信息；b.安全認(rèn)證中心驗證用戶提供的個人信息。如果用戶提供的個人信息通不過安全認(rèn)證中心的驗證，安全認(rèn)證中心將立刻終止對用戶的注冊；c.用戶向安全認(rèn)證中心提供自己選擇的個人識別號；d.安全認(rèn)證中心為用戶生成唯一的公鑰/私鑰對；e.安全認(rèn)證中心為用戶生成唯一的個人特征碼；f.安全認(rèn)證中心為用戶生成包含用戶名、用戶角色、個人特征碼和用戶公鑰的用戶證書，并用自己的私鑰為這個用戶證書簽名；g.安全認(rèn)證中心將用戶的個人識別號、個人特征碼、用戶私鑰和安全認(rèn)證中心自簽名的根證書存儲到將要發(fā)放給用戶的智能卡上；
h.安全認(rèn)證中心將g中得到的智能卡發(fā)放給注冊用戶；i.安全認(rèn)證中心將g中得到的用戶證書通過特定的安全信道存儲到安全通信服務(wù)器上。
2.注冊用戶在網(wǎng)絡(luò)計算機環(huán)境中的任意一臺網(wǎng)絡(luò)計算機上登錄并將注冊用戶個人特征碼和注冊用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息，包括該網(wǎng)絡(luò)計算機的IP地址、網(wǎng)關(guān)IP地址和子網(wǎng)掩碼提交給安全通信服務(wù)器的步驟是a.注冊用戶任選一臺網(wǎng)絡(luò)計算機，在該網(wǎng)絡(luò)計算機配置的智能卡讀寫器上插入用戶的智能卡；b.網(wǎng)絡(luò)計算機提示注冊用戶輸入用戶個人識別號；c.注冊用戶通過網(wǎng)絡(luò)計算機將用戶個人識別號輸入到用戶的智能卡中；d.注冊用戶輸入的個人識別號同智能卡內(nèi)存儲的個人識別號比較，如果二者不等，則智能卡將拒絕進(jìn)一步執(zhí)行任何其它指令；如果二者相等，則e.網(wǎng)絡(luò)計算機上的客戶端軟件將收集本機的網(wǎng)絡(luò)節(jié)點信息；f.網(wǎng)絡(luò)計算機從智能卡中讀取用戶的個人特征碼，并和收集到的網(wǎng)絡(luò)節(jié)點信息連結(jié)(concatenate)在一起得到消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]；g.網(wǎng)絡(luò)計算機利用從智能卡中讀取的用戶私鑰對消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]簽名；h.網(wǎng)絡(luò)計算機將消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]和對應(yīng)的簽名一起傳給安全通信服務(wù)器。
3.網(wǎng)絡(luò)計算機環(huán)境中每增加一個注冊用戶，安全通信服務(wù)器打開相應(yīng)安全通信鏈路的步驟是a.網(wǎng)絡(luò)計算機將消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]和對應(yīng)的簽名一起傳給安全通信服務(wù)器；b.安全通信服務(wù)器從消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]中提取用戶的個人特征碼，并利用得到的個人特征碼在本地數(shù)據(jù)庫中查找相應(yīng)用戶的用戶證書；
c.通過消息類型碼I確認(rèn)該消息對應(yīng)用戶登錄事件，否則，停止進(jìn)一步的處理；d.安全通信服務(wù)器從用戶證書中提取該用戶的公鑰，并利用這個公鑰驗證所收到的消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]，如果驗證失敗，則丟棄所收到的消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]；反之，則e.從用戶證書中提取用戶的個人信息(比如用戶的用戶名、角色等)，然后將這些信息填寫到當(dāng)前用戶信息數(shù)據(jù)庫中；f.安全通信服務(wù)器利用當(dāng)前安全通信策略，判定在網(wǎng)絡(luò)計算機環(huán)境中有那些用戶需要啟動與新加入用戶對應(yīng)的安全通信鏈路，并構(gòu)造消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]；g.安全通信服務(wù)器利用自己存儲的安全認(rèn)證中心的私鑰對消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]簽名，并將該簽名值連同消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]傳給所有需要啟動與新加入用戶對應(yīng)安全通信鏈路的用戶所在的網(wǎng)絡(luò)計算機；h.利用消息類型碼II確認(rèn)消息類型為打開安全通信鏈路，否則，停止進(jìn)一步的處理；i.得到消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]的網(wǎng)絡(luò)計算機從對應(yīng)用戶智能卡上讀取的安全認(rèn)證中心的自簽名根證書，并從該根證書上提取安全認(rèn)證中心的公鑰，然后利用這個公鑰驗證所收到的消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]，如果驗證失敗，則丟棄消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]；反之，則j.利用信息{新加入用戶的角色，新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息}在網(wǎng)絡(luò)計算機的安全通信配置信息表中查找相應(yīng)的安全通信配置符，并啟動該安全通信配置符所描述的安全通信鏈路。
4.每個用戶從所在網(wǎng)絡(luò)計算機退出前，都必須構(gòu)造一個退出消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]，并用用戶的私鑰對該消息簽名，然后將簽名值連同退出消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]一起傳給安全通信服務(wù)器。安全通信服務(wù)器在收到上述消息后，將完成下述動作a.安全通信服務(wù)器通過消息類型碼III確定該消息為退出消息，否則，停止進(jìn)一步的處理；b.安全通信服務(wù)器從退出消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]中提取用戶個人特征碼，并利用該個人特征碼在本地數(shù)據(jù)庫中查找相應(yīng)用戶的用戶證書；c.安全通信服務(wù)器從用戶證書中提取該用戶的公鑰，并利用這個公鑰驗證所收到的退出消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]，如果驗證失敗，則丟棄所收到的消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]；反之，則d.安全通信服務(wù)器將退出消息對應(yīng)用戶的個人信息填入退出用戶列表；e.如果退出用戶列表的m個條目未填滿，則安全通信服務(wù)器不做進(jìn)一步的處理，反之，則f.安全通信服務(wù)器將通知與退出用戶列表中所有用戶相關(guān)的網(wǎng)絡(luò)計算機，關(guān)閉與這些用戶相關(guān)的安全通信鏈路，然后清空退出用戶列表。
二、本發(fā)明對網(wǎng)絡(luò)計算機環(huán)境中的用戶的要求1.用戶必須在安全認(rèn)證中心注冊；2.用戶在登錄網(wǎng)絡(luò)計算機時必須提供合法的智能卡。


圖1是本發(fā)明所適用的網(wǎng)絡(luò)計算機系統(tǒng)的硬件環(huán)境圖；圖2是本發(fā)明用戶到安全認(rèn)證中心注冊的步驟示意圖。
圖1所示本發(fā)明網(wǎng)絡(luò)計算機通信的系統(tǒng)硬件環(huán)境，既可以建構(gòu)在一個局域網(wǎng)(LAN)上，也可以建構(gòu)在internet的基礎(chǔ)上。網(wǎng)絡(luò)計算機系統(tǒng)的普通用戶必須通過了安全認(rèn)證中心的身份認(rèn)證，成為安全認(rèn)證中心的注冊用戶后，才能享受網(wǎng)絡(luò)層安全通信服務(wù)。安全認(rèn)證中心負(fù)責(zé)整個網(wǎng)絡(luò)計算機系統(tǒng)環(huán)境下的信任管理工作，正是在安全認(rèn)證中心的支持下，注冊用戶之間，注冊用戶和安全通信服務(wù)器之間通過安全認(rèn)證中心頒發(fā)的用戶證書建立起了必要的信任關(guān)系。注冊用戶必須登錄到一臺網(wǎng)絡(luò)計算機上，并在安全通信服務(wù)器的幫助下，才能完成同其它注冊用戶或服務(wù)器的安全通信。
圖1所示的網(wǎng)絡(luò)計算機通信系統(tǒng)，是由多個注冊用戶、網(wǎng)絡(luò)計算機、互聯(lián)網(wǎng)或局域網(wǎng)組成，安全認(rèn)證中心用于驗證注冊用戶的個人信息；安全通信服務(wù)器用于網(wǎng)絡(luò)計算機中的用戶認(rèn)證，基于角色的安全通信策略管理和用戶證書管理，還根據(jù)所收集的登錄用戶信息和當(dāng)前安全通信策略，完成對網(wǎng)絡(luò)計算機環(huán)境中的當(dāng)前安全信息鏈路的管理。連接在安全認(rèn)證中心和互聯(lián)網(wǎng)或局域網(wǎng)之間。
安全認(rèn)證中心要求用戶提供必要的個人身份信息和合法的個人識別號，安全認(rèn)證中心將為注冊用戶生成個人特征碼、用戶私鑰和用戶證書。
圖2是本發(fā)明的用戶到安全認(rèn)證中心注冊的步驟；實際上包含了面向用戶的網(wǎng)絡(luò)層安全通信方法。具體詳細(xì)步驟已在發(fā)明內(nèi)容中詳述。在此省略。
權(quán)利要求
1.一種適用于網(wǎng)絡(luò)計算機通信的系統(tǒng)，由多個注冊用戶、網(wǎng)絡(luò)計算機、安全認(rèn)證中心、安全通信服務(wù)器、互聯(lián)網(wǎng)或局域網(wǎng)組成，其特征在于安全認(rèn)證中心，負(fù)責(zé)完成用戶注冊工作；在安全認(rèn)證中心頒發(fā)給用戶的智能卡中存放著用戶的個人特征碼、用戶私鑰和安全認(rèn)證中心的自簽名根證書；安全通信服務(wù)器，用于網(wǎng)絡(luò)計算機系統(tǒng)中的用戶認(rèn)證，基于角色的安全通信策略管理和用戶證書管理，并基于用戶角色和安全通信策略完成對網(wǎng)絡(luò)層安全通信鏈路的管理。
2.根據(jù)權(quán)利要求1的網(wǎng)絡(luò)計算機通信系統(tǒng)，其特征在于，安全認(rèn)證中心要求用戶提供必要的個人身份信息和合法的個人識別號，安全認(rèn)證中心將為注冊用戶生成個人特征碼、用戶私鑰和用戶證書。
3.一種面向用戶的網(wǎng)絡(luò)層安全通信方法，包括如下用戶注冊步驟a.用戶向安全認(rèn)證中心提供足以表明自己身份的個人信息；b.安全認(rèn)證中心驗證用戶提供的個人信息，如果用戶提供的個人信息通不過安全認(rèn)證中心的驗證，安全認(rèn)證中心將立刻終止對用戶的注冊；c.用戶向安全認(rèn)證中心提供自己選擇的個人識別號；d.安全認(rèn)證中心為用戶生成唯一的公鑰/私鑰對；e.安全認(rèn)證中心為用戶生成唯一的個人特征碼；f.安全認(rèn)證中心為用戶生成包含用戶名、用戶角色、個人特征碼和用戶公鑰的用戶證書，并用自己的私鑰為這個用戶證書簽名；g.安全認(rèn)證中心將用戶的個人識別號、個人特征碼、用戶私鑰和安全認(rèn)證中心自簽名的根證書存儲到將要發(fā)放給用戶的智能卡上；h.安全認(rèn)證中心將g中得到的智能卡發(fā)放給注冊用戶；i.安全認(rèn)證中心將g中得到的用戶證書通過特定的安全信道存儲到安全通信服務(wù)器上。
4.根據(jù)權(quán)利要求3的面向用戶的網(wǎng)絡(luò)層安全通信方法，還包括注冊用戶在網(wǎng)絡(luò)計算機環(huán)境中的任意一臺網(wǎng)絡(luò)計算機上登錄并將注冊用戶個人特征碼和注冊用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息，包括該網(wǎng)絡(luò)計算機的IP地址、網(wǎng)關(guān)IP地址和子網(wǎng)掩碼提交給安全通信服務(wù)器的步驟是a.注冊用戶任選一臺網(wǎng)絡(luò)計算機，在該網(wǎng)絡(luò)計算機配置的智能卡讀寫器上插入用戶的智能卡；b.網(wǎng)絡(luò)計算機提示注冊用戶輸入用戶個人識別號；c.注冊用戶通過網(wǎng)絡(luò)計算機將用戶個人識別號輸入到用戶的智能卡中；d.注冊用戶輸入的個人識別號同智能卡內(nèi)存儲的個人識別號比較，如果二者不等，則智能卡將拒絕進(jìn)一步執(zhí)行任何其它指令；如果二者相等，則e.網(wǎng)絡(luò)計算機上的客戶端軟件將收集本機的網(wǎng)絡(luò)節(jié)點信息；f.網(wǎng)絡(luò)計算機從智能卡中讀取用戶的個人特征碼，并和收集到的網(wǎng)絡(luò)節(jié)點信息連結(jié)在一起得到消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]；g.網(wǎng)絡(luò)計算機利用從智能卡中讀取的用戶私鑰對消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]簽名；h.網(wǎng)絡(luò)計算機將消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]和對應(yīng)的簽名一起傳給安全通信服務(wù)器。
5.根據(jù)權(quán)利要求3的面向用戶的網(wǎng)絡(luò)層安全通信方法，還包括網(wǎng)絡(luò)計算機環(huán)境中每增加一個注冊用戶，安全通信服務(wù)器打開相應(yīng)安全通信鏈路的步驟是a.網(wǎng)絡(luò)計算機將消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]和對應(yīng)的簽名一起傳給安全通信服務(wù)器；b.安全通信服務(wù)器從消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]中提取用戶的個人特征碼，并利用得到的個人特征碼在本地數(shù)據(jù)庫中查找相應(yīng)用戶的用戶證書；c.通過消息類型碼I確認(rèn)該消息對應(yīng)用戶登錄事件，否則，停止進(jìn)一步的處理；d.安全通信服務(wù)器從用戶證書中提取該用戶的公鑰，并利用這個公鑰驗證所收到的消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]，如果驗證失敗，則丟棄所收到的消息[消息類型碼I|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]；反之，則e.從用戶證書中提取用戶的個人信息，然后將這些信息填寫到當(dāng)前用戶信息數(shù)據(jù)庫中；f.安全通信服務(wù)器利用當(dāng)前安全通信策略，判定在網(wǎng)絡(luò)計算機環(huán)境中有那些用戶需要啟動與新加入用戶對應(yīng)的安全通信鏈路，并構(gòu)造消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]；g.安全通信服務(wù)器利用自己存儲的安全認(rèn)證中心的私鑰對消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]簽名，并將該簽名值連同消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]傳給所有需要啟動與新加入用戶對應(yīng)安全通信鏈路的用戶所在的網(wǎng)絡(luò)計算機；h.利用消息類型碼II確認(rèn)消息類型為打開安全通信鏈路，否則，停止進(jìn)一步的處理；i.得到消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]的網(wǎng)絡(luò)計算機從對應(yīng)用戶智能卡上讀取安全認(rèn)證中心的自簽名根證書，并從該根證書上提取安全認(rèn)證中心的公鑰，然后利用這個公鑰驗證所收到的消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]，如果驗證失敗，則丟棄消息[消息類型碼II|新加入用戶的角色|新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息]；反之，則j.利用信息{新加入用戶的角色，新加入用戶所在網(wǎng)絡(luò)計算機的網(wǎng)絡(luò)節(jié)點信息}在網(wǎng)絡(luò)計算機的安全通信配置信息表中查找相應(yīng)的安全通信配置符，并啟動該安全通信配置符所描述的安全通信鏈路。
6.根據(jù)權(quán)利要求3的面向用戶的網(wǎng)絡(luò)層安全通信方法，還包括每個用戶從所在網(wǎng)絡(luò)計算機退出前，都必須構(gòu)造一個退出消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]，并用用戶的私鑰對該消息簽名，然后將簽名值連同退出消息[消息類型碼III|個人特征節(jié)點信]一起傳給安全通信服務(wù)器，安全通信服務(wù)器在收到上述消息后，將完成下達(dá)動作a.安全通信服務(wù)器通過消息類型碼III確定該消息為退出消息，否則，停止進(jìn)一步的處理；b.安全通信服務(wù)器從退出消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]中提取用戶個人特征碼，并利用該個人特征碼在本地數(shù)據(jù)庫中查找相應(yīng)用戶的用戶證書；c.安全通信服務(wù)器從用戶證書中提取該用戶的公鑰，并利用這個公鑰驗證所收到的退出消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]，如果驗證失敗，則丟棄所收到的消息[消息類型碼III|個人特征碼|網(wǎng)絡(luò)節(jié)點信息]；反之，則d.安全通信服務(wù)器將退出消息對應(yīng)用戶的個人信息填入退出用戶列表；e.如果退出用戶列表的m個條目未填滿，則安全通信服務(wù)器不做進(jìn)一步的處理，反之，則f.安全通信服務(wù)器將通知與退出用戶列表中所有用戶相關(guān)的網(wǎng)絡(luò)計算機，關(guān)閉與這些用戶相關(guān)的安全通信鏈路，然后清空退出用戶列表。
全文摘要
本發(fā)明涉及網(wǎng)絡(luò)計算機通信技術(shù)領(lǐng)域，特別是網(wǎng)絡(luò)計算機通信系統(tǒng)和面向用戶的網(wǎng)絡(luò)層安全通信方法。該系統(tǒng)由多個注冊用戶、網(wǎng)絡(luò)計算機、安全認(rèn)證中心、安全通信服務(wù)器、互聯(lián)網(wǎng)等組成。其中安全認(rèn)證中心負(fù)責(zé)完成用戶注冊工作；在安全認(rèn)證中心頒發(fā)給用戶的智能卡中存放著用戶的個人特征碼、用戶私鑰和安全認(rèn)證中心的自簽名根證書；安全通信服務(wù)器用于網(wǎng)絡(luò)計算機中的用戶認(rèn)證，基于角色的安全通信策略管理和用戶證書管理，并基于用戶角色和安全通信策略完成對網(wǎng)絡(luò)層安全通信鏈路的管理。本發(fā)明可廣泛用于電子政務(wù)、電子商務(wù)、企業(yè)信息化管理、證券、金融、軍事等的計算機網(wǎng)絡(luò)通信系統(tǒng)。
文檔編號H04L12/28GK1463117SQ0313649
公開日2003年12月24日 申請日期2003年5月22日 優(yōu)先權(quán)日2003年5月22日
發(fā)明者李穎, 李錦濤 申請人:中國科學(xué)院計算技術(shù)研究所