基于资产智能识别的异构终端自适应入网认证管控方法技术

本发明专利技术公开了一种基于资产智能识别的异构终端自适应入网认证管控方法。本发明专利技术依托于云端后台构建的全网终端资产信息库，提出了“资产信息检索+资产在线核查”相结合的方式，能够智能准确的识别入网终端的类型，有效解决了基于单一信息检索的识别方法难以实时、准确识别终端类型的问题。识别终端类型的问题。识别终端类型的问题。

Adaptive authentication control method for heterogeneous terminals based on asset intelligent identification

【技术实现步骤摘要】
基于资产智能识别的异构终端自适应入网认证管控方法


[0001]本专利技术涉及网络接入控制
，具体涉及一种基于资产智能识别的异构终端自适应入网认证管控方法。

技术介绍

[0002]随着信息系统的高速发展，互联网、企业网络上的用户终端已不再局限于计算机终端，接入网络的手持终端、话音终端、视频终端等异构终端的数量日益增多、形态日趋多样，上述异构终端的识别机制、认证方法和管控模式均存在较大的差异性。目前，传统的基于计算机终端代理单一的入网给管控机制难以适应多样化、异构化终端系统的入网管控需求，如何准确的识别各类接入网络的终端系统，为各类终端系统有针对性的构建入网认证和入网管控机制，是网络安全运维领域的重难点问题。
[0003]为了将手持终端、话音终端、视频终端等异构终端纳入到统一的入网认证管控体系，全面提升互联网、企业网络的入网认证和管控能力，急需基于资产智能识别的异构终端自适应入网认证管控机制，依托于互联网、企业网络的边界处统一的入网控制系统，能够全面、准确的识别各类接入网络的终端系统，并能够有针对性的提供与之适应的入网认证和入网管控方法，避免“一类终端系统部署一类入网控制系统”的高成本、低效率、难扩展的部署应用模式。

技术实现思路

[0004]针对现有技术中的上述不足，本专利技术提供的一种基于资产智能识别的异构终端自适应入网认证管控方法解决了基于单一信息检索的识别方法难以实时、准确识别终端类型的问题。
[0005]为了达到上述专利技术目的，本专利技术采用的技术方案为：一种基于资产智能识别的异构终端自适应入网认证管控方法，其特征在于，包括以下步骤：
[0006]S1、当任意终端a
i
向骨干网络边界处的入网认证管控网关A
j
发起入网请求；
[0007]S2、当入网认证管控网关A
j
收到终端a
i
的入网请求后，向入网终端信息库核对终端地址消息Ter_IP(a
i
)，若无终端地址消息，则拒绝该入网请求，并通知管理员重新校对、修正终端资产信息库，返回步骤S1，否则进入步骤S3；
[0008]S3、通过入网认证网关A
j
根据反馈的终端地址信息Ter_IP(a
i
)选择对应的入网认证模式，存在全网唯一身份标识的终端采用基于唯一身份标识的入网认证模式Ter_Auth_ID(a
i
)，否则，采用基于资产在线核查的认证模式Ter_Auth_Pro(a
i
)；
[0009]S4、若采用入网认证模式Ter_Auth_ID(a
i
)，终端a
i
利用自身的公私钥对(a
i
‑
ID，keya
i
)向入网认证管控网关A
j
进行身份认证，实现基于资产唯一标识的终端入网认证模式，若采用入网认证模式Ter_Auth_Pro(a
i
)，入网认证管控网关A
j
会主动对终端a
i
进行网络探测，确认终端特征信息和终端资产信息库中的数据是否一致，实现基于资产在线核查的终端入网认证模式；
[0010]S5、若终端a
i
认证成功，入网认证管控网关A
j
向终端资产信息库获取终端访问权限；
[0011]S6、采用入网认证模式Ter_Auth_ID(a
i
)的终端，完成认证后采用入网管控模式Ter_Control_ID(a
i
)；采用入网认证模式Ter_Auth_Pro(a
i
)的终端，完成认证后采用入网管控模式Ter_Control_Pro(a
i
)。
[0012]进一步地：所述入网管控模式Ter_Control_ID(a
i
)具体为：终端a
i
和入网认证管控网关A
j
之间可基于双方的身份标识协商会话标识，之后终端a
i
可在后续网络报文中携带会话标识，入网认证管控网关A
j
以此为依据实施。
[0013]进一步地：所述入网管控模式Ter_Control_Pro(a
i
)具体为：入网认证管控网关A
j
定期对终端a
i
进行网络探测，若网络探测的信息与终端资产信息库中终端a
i
的特征信息保持一致，则继续采用白名单方式进行访问控制，否则中止终端a
i
的后续访问行为。
[0014]进一步地：所述基于资产唯一标识的终端入网认证模式具体为：
[0015]步骤1、当入网认证管控网关A
j
通知终端a
i
认证模式后，终端a
i
首先生成随机数Rand(a
i
)发送给入网认证管控网关A
j
，然后由A
j
返回给终端a
i
一个挑战信息CC(a
i
)；
[0016]步骤2、将终端a
i
的终端特征信息Ter_Fea(a
i
)，同时形成最新的资产序列号Num(a
i
)，结合返回的挑战信息，生成入网注册信息M＝(a
i
‑
ID，Ter_Fea(a
i
)，Num(a
i
)，CC(a
i
)，Key_a(CC(a
i
))，并计算资产注册信息M的摘要X＝SHA256(M)；
[0017]步骤3、终端a
i
利用ECC的组合公钥算法计算出其公钥Pub_A对身份信息和摘要进行加密，生成认证消息Pub_A(M，X)，向入网认证管控网关A
j
发送入网认证消息；
[0018]步骤4、入网认证管控网关A
j
利用自己的私钥Key_A解密终端a
i
的入网认证消息，获得入网注册信息M的摘要X，并计算资产注册信息M的摘要SHA256(M)，将SHA256(M)与X比较，若相等则说明入网注册信息未被篡改，否则丢弃该入网注册信息；
[0019]步骤5、入网认证管控网关A
j
将终端a
i
发送的入网注册信息M终端资产信息库的数据进行核对，相等且资产序列号Num(a
i
)为最新值，则入网认证成功；若不相等或者Num(a
i
)不是最新值，则丢弃该入网注册信息。
[0020]进一步地：所述终端特征信息Ter_Fea(a
i
)包括信息设备的操作系统、开放端口以及通信协议。
[0021]进一步地：所述基于资产在线核查的终端入网认证模式具体为：
[0022]步骤1、当入网认证管控网关A
j<本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于资产智能识别的异构终端自适应入网认证管控方法，其特征在于，包括以下步骤：S1、当任意终端a
i
向骨干网络边界处的入网认证管控网关A
j
发起入网请求；S2、当入网认证管控网关A
j
收到终端a
i
的入网请求后，向入网终端信息库核对终端地址消息Ter_IP(a
i
)，若无终端地址消息，则拒绝该入网请求，并通知管理员重新校对、修正终端资产信息库，返回步骤S1，否则进入步骤S3；S3、通过入网认证网关A
j
根据反馈的终端地址信息Ter_IP(a
i
)选择对应的入网认证模式，存在全网唯一身份标识的终端采用基于唯一身份标识的入网认证模式Ter_Auth_ID(a
i
)，否则，采用基于资产在线核查的认证模式Ter_Auth_Pro(a
i
)；S4、若采用入网认证模式Ter_Auth_ID(a
i
)，终端a
i
利用自身的公私钥对(a
i
‑
ID，keya
i
)向入网认证管控网关A
j
进行身份认证，实现基于资产唯一标识的终端入网认证模式，若采用入网认证模式Ter_Auth_Pro(a
i
)，入网认证管控网关A
j
会主动对终端a
i
进行网络探测，确认终端特征信息和终端资产信息库中的数据是否一致，实现基于资产在线核查的终端入网认证模式；S5、若终端a
i
认证成功，入网认证管控网关A
j
向终端资产信息库获取终端访问权限；S6、采用入网认证模式Ter_Auth_ID(a
i
)的终端，完成认证后采用入网管控模式Ter_Control_ID(a
i
)；采用入网认证模式Ter_Auth_Pro(a
i
)的终端，完成认证后采用入网管控模式Ter_Control_Pro(a
i
)。2.根据权利要求1所述的基于资产智能识别的异构终端自适应入网认证管控方法，其特征在于，所述入网管控模式Ter_Control_ID(a
i
)具体为：终端a
i
和入网认证管控网关A
j
之间可基于双方的身份标识协商会话标识，之后终端a
i
可在后续网络报文中携带会话标识，入网认证管控网关A
j
以此为依据实施。3.根据权利要求1所述的基于资产智能识别的异构终端自适应入网认证管控方法，其特征在于，所述入网管控模式Ter_Control_Pro(a
i
)具体为：入网认证管控网关A
j
定期对终端a
i
进行网络探测，若网络探测的信息与终端资产信息库中终端a
i
的特征信息保持一致，则继续采用白名单方式进行访问控制，否则中止终端a
i
的后续访问行为。4.根据权利要求1所述的基于资产智能识别的异构终端自适应入网认证管控方法，其特征在于，所述基于资产唯一标识的终端入网认证模式具体为：步骤1、当入网认证管控网关A
j
通知终端a
i
认证模式后，终端a
i
首先生成随机数Rand(a
i
)发送给入网认证管控网关A
j
，然后由A
j
...

【专利技术属性】
技术研发人员：万抒，廖建华，伍荣，毛建辉，王邦礼，王秋实，
申请(专利权)人：中国电子科技集团公司第三十研究所，
类型：发明
国别省市：