可信网络连接身份认证方法、电子设备及存储介质技术

本发明专利技术涉及网络安全技术领域，特别涉及可信网络连接身份认证方法、电子设备及存储介质，其中方法包括：基于EAP，建立终端设备与认证服务器之间的通信；从认证服务器接收含有认证服务器的身份证明的数据包；验证认证服务器的身份，若不合法，则断开通信，若合法，则生成含有终端设备的身份信息的数据包并向认证服务器发送，以利用认证服务器认证；从认证服务器接收含有认证结果的数据包，若认证结果为认证失败，断开通信，若认证结果为继续认证，再次生成含有终端设备的身份信息的数据包并向认证服务器发送，若认证结果为认证成功，确认身份可信。本方案能够保证接入网络的终端设备身份安全可信，且简单、轻量，具备在多种跨域网络中的兼容性。中的兼容性。中的兼容性。

【技术实现步骤摘要】
可信网络连接身份认证方法、电子设备及存储介质


[0001]本专利技术实施例涉及网络安全
，特别涉及可信网络连接身份认证方法、电子设备及存储介质。

技术介绍

[0002]随着互联网、物联网和工控互联网的迅速发展，IP基础设施的发展带来了新技术，也带了新的安全挑战。机器级平台身份验证对于网络访问请求的安全性和授权至关重要。目前，现有技术中多是针对互联网设备的身份认证方法，这些技术通常涉及到数字证书认证的签名和验签流程，受证书存储容量等因素的限制，难以在资源受限的物联网设备或工控互联网平台上使用。因此，需要一种轻量级身份认证方法。

技术实现思路

[0003]本专利技术的目的是针对上述至少一部分不足之处，提供一种轻量级的可信网络连接身份认证方法、电子设备及存储介质，能够适用于互联网、物联网甚至是工控互联网平台，在多网跨域的融合性网络平台上增强整个网络架构的安全性。
[0004]第一方面，本专利技术实施例提供了一种可信网络连接身份认证方法，包括：
[0005]基于EAP，建立请求接入的终端设备与认证服务器之间的通信；
[0006]从所述认证服务器接收含有所述认证服务器的身份证明的数据包；其中所述认证服务器的身份证明基于IBC进行标识；
[0007]基于所述认证服务器的身份证明，验证所述认证服务器的身份；若身份不合法，则断开通信，若身份合法，则生成含有终端设备的身份信息的数据包并向所述认证服务器发送，以利用所述认证服务器执行：接收含有终端设备的身份信息的数据包；基于终端设备的身份信息，认证所述终端设备的身份，生成含有认证结果的数据包，并向终端设备发送；其中，终端设备的身份信息基于IBC进行标识；认证结果包括认证成功、认证失败和继续认证；
[0008]从所述认证服务器接收含有认证结果的数据包；若认证结果为认证失败，则断开通信，若认证结果为继续认证，则再次生成含有终端设备的身份信息的数据包并向所述认证服务器发送，以利用所述认证服务器继续执行认证，若认证结果为认证成功，则确认终端设备的身份可信。
[0009]可选地，所述的可信网络连接身份认证方法还包括：
[0010]在确认终端设备的身份可信之后，判断是否建立与所述认证服务器之间的加密隧道；
[0011]是则建立加密隧道，并向所述认证服务器发送受信任凭据。
[0012]可选地，所述建立加密隧道，包括：
[0013]生成含有终端设备拥有的受信任凭据模板类型信息的数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收含有终端设备拥有的受信任凭据模板类型信息的数据包；基于终端设备拥有的受信任凭据模板类型信息，评估终端设备能够提供受信任
凭据的能力，生成含有模版建议信息的数据包，并向终端设备发送；
[0014]从所述认证服务器接收含有模版建议信息的数据包；
[0015]基于模版建议信息，判断终端设备是否能够满足要求；若不满足，则生成含有建立隧道失败标识的数据包并向所述认证服务器回复，若满足，则向所述认证服务器返回含有模版建议信息的数据包，以利用所述认证服务器执行：接收含有模版建议信息的数据包；产生协商数据，生成包含所述认证服务器产生的协商数据的数据包，并向终端设备发送；
[0016]从所述认证服务器接收包含所述认证服务器产生的协商数据的数据包；
[0017]产生协商数据，生成包含终端设备产生的协商数据的数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收包含终端设备产生的协商数据的数据包；基于终端设备及所述认证服务器产生的协商数据，生成对称密钥；
[0018]基于所述认证服务器及终端设备产生的协商数据，生成对称密钥。
[0019]可选地，向所述认证服务器发送受信任凭据，包括：
[0020]基于模版建议信息确定受信任凭据；
[0021]基于生成的对称密钥对受信任凭据进行加密，得到包含受信任凭据的加密数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收包含受信任凭据的加密数据包；基于生成的对称密钥对加密数据包进行解密，得到受信任凭据；基于受信任凭据进行评估，得到评估结果；基于评估结果，判断是否认证成功，并向终端设备反馈。
[0022]可选地，所述认证服务器的身份证明基于SM9进行标识；所述含有所述认证服务器的身份证明的数据包中，装载有所述认证服务器产生的第一随机数、所述认证服务器的SM9公钥，以及所述认证服务器的SM9私钥对第一随机数的签名数据，作为所述认证服务器的身份证明；
[0023]终端设备的身份信息基于SM9进行标识；所述含有终端设备的身份信息的数据包中，装载有终端设备的SM9公钥，以及终端设备的SM9私钥对第一随机数的签名数据，作为终端设备的身份信息。
[0024]可选地，所述包含所述认证服务器产生的协商数据的数据包中，装载有所述认证服务器产生的第二随机数，以及，基于第二随机数、终端设备的SM9公钥及SM9密钥交换协议产生的协商数据；
[0025]所述包含终端设备产生的协商数据的数据包中，装载有基于第二随机数、所述认证服务器的SM9公钥及SM9密钥交换协议产生的协商数据。
[0026]可选地，所述基于模版建议信息确定受信任凭据，包括：
[0027]根据模版建议信息确定受信任凭据的数据，并决定是否对受信任凭据的数据进行分片，若分片，则得到多个包含受信任凭据的数据包，否则得到单个包含受信任凭据的数据包；
[0028]所述基于生成的对称密钥对受信任凭据进行加密，得到包含受信任凭据的加密数据包，包括：
[0029]基于生成的对称密钥，采用SM4加密算法对包含受信任凭据的数据包进行加密，得到加密数据；
[0030]基于所述认证服务器产生的协商数据得到盐值，采用SM4加密算法对包含受信任凭据的数据包或加密数据进行HMAC运算，得到HMAC数据；
[0031]基于得到的加密数据和HMAC数据，生成包含受信任凭据的加密数据包。
[0032]第二方面，本专利技术实施例还提供了一种可信网络连接身份认证方法，包括：
[0033]基于EAP，建立认证服务器与请求接入的终端设备之间的通信；
[0034]向所述终端设备发送含有认证服务器的身份证明的数据包，以利用所述终端设备执行：接收含有所述认证服务器的身份证明的数据包；基于含有认证服务器的身份证明的数据包，验证认证服务器的身份；若身份不合法，则断开通信，若身份合法，则生成含有所述终端设备的身份信息的数据包并向认证服务器发送；其中，认证服务器的身份证明、所述终端设备的身份信息均基于IBC确定；
[0035]从所述终端设备接收含有所述终端设备的身份信息的数据包；
[0036]基于终端设备的身份信息，认证所述终端设备的身份，生成含有认证结果的数据包，并向所述终端设备发送；其中，认证结果包括认证成功、认证失败和继续认证；若认证结果为认证失败，则断开通信，若认证结果为继续认证，则继续从所述终端设备接收含有本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种可信网络连接身份认证方法，其特征在于，包括：基于EAP，建立请求接入的终端设备与认证服务器之间的通信；从所述认证服务器接收含有所述认证服务器的身份证明的数据包；其中所述认证服务器的身份证明基于IBC进行标识；基于所述认证服务器的身份证明，验证所述认证服务器的身份；若身份不合法，则断开通信，若身份合法，则生成含有终端设备的身份信息的数据包并向所述认证服务器发送，以利用所述认证服务器执行：接收含有终端设备的身份信息的数据包；基于终端设备的身份信息，认证所述终端设备的身份，生成含有认证结果的数据包，并向终端设备发送；其中，终端设备的身份信息基于IBC进行标识；认证结果包括认证成功、认证失败和继续认证；从所述认证服务器接收含有认证结果的数据包；若认证结果为认证失败，则断开通信，若认证结果为继续认证，则再次生成含有终端设备的身份信息的数据包并向所述认证服务器发送，以利用所述认证服务器继续执行认证，若认证结果为认证成功，则确认终端设备的身份可信。2.根据权利要求1所述的方法，其特征在于，还包括：在确认终端设备的身份可信之后，判断是否建立与所述认证服务器之间的加密隧道；是则建立加密隧道，并向所述认证服务器发送受信任凭据。3.根据权利要求2所述的方法，其特征在于，所述建立加密隧道，包括：生成含有终端设备拥有的受信任凭据模板类型信息的数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收含有终端设备拥有的受信任凭据模板类型信息的数据包；基于终端设备拥有的受信任凭据模板类型信息，评估终端设备能够提供受信任凭据的能力，生成含有模版建议信息的数据包，并向终端设备发送；从所述认证服务器接收含有模版建议信息的数据包；基于模版建议信息，判断终端设备是否能够满足要求；若不满足，则生成含有建立隧道失败标识的数据包并向所述认证服务器回复，若满足，则向所述认证服务器返回含有模版建议信息的数据包，以利用所述认证服务器执行：接收含有模版建议信息的数据包；产生协商数据，生成包含所述认证服务器产生的协商数据的数据包，并向终端设备发送；从所述认证服务器接收包含所述认证服务器产生的协商数据的数据包；产生协商数据，生成包含终端设备产生的协商数据的数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收包含终端设备产生的协商数据的数据包；基于终端设备及所述认证服务器产生的协商数据，生成对称密钥；基于所述认证服务器及终端设备产生的协商数据，生成对称密钥。4.根据权利要求3所述的方法，其特征在于，向所述认证服务器发送受信任凭据，包括：基于模版建议信息确定受信任凭据；基于生成的对称密钥对受信任凭据进行加密，得到包含受信任凭据的加密数据包，并向所述认证服务器发送，以利用所述认证服务器执行：接收包含受信任凭据的加密数据包；基于生成的对称密钥对加密数据包进行解密，得到受信任凭据；基于受信任凭据进行评估，得到评估结果；基于评估结果，判断是否认证成功，并向终端设备反馈。
5.根据权利要求4所述的方法，其特征在于，所述认证服务器的身...

【专利技术属性】
技术研发人员：徐宁，孟德伟，
申请(专利权)人：长扬科技北京股份有限公司，
类型：发明
国别省市：