使用密码学证书来定义实体组的系统和方法技术方案

一种用于发布密码学证书的系统和方法，包括在所述密码学证书上描述一个或多个前提条件。所述一个或多个前提条件包括一个或多个前提实体组中的成员资格。实体可以是参与方、资源或特权等。本发明专利技术还要求在所述密码学证书上指定一个或多个目标实体组。授权所述一个或多个前提实体组中的实体被添加作为另一个实体组中的成员的一个或多个前提组利益相关者签署所述密码学证书。所述密码学证书还由授权实体被添加作为所述一个或多个目标组的成员的一个或多个目标组利益相关者签署。示例前提条件涉及另一个实体组中的成员资格、物理特征、时间特征、地点特征或位置特征等等中的一个或多个。

【技术实现步骤摘要】
【国外来华专利技术】
本专利技术总体上说涉及信息安全领域，具体地说涉及在密码学上保护系统。
技术介绍
密码学是与信息安全及相关问题、尤其是身份的认证和信息的加密/解密有关的一门数学和计算机科学学科。在所谓“移动中的数据(data-in-movement)”应用中，密码学已被广泛应用于保护通信信道上通信参与方(例如客户端节点)之间的信息流。密码学还在所谓“处于静止的数据(data-at-rest) ”应用中被应用于保护数据存储介质和数据库中的信息。对称密码学和非对称密码学是使用具有一个或多个秘密参数的钥来进行认证以及信息的加密和解密的已知类别的算法。在对称密码学中，钥代表在通信参与方之间事先知晓的共享秘密。利用对称钥算法保护的系统使用相对简单的加密和解密计算。这种系统还需要在通信参与方之间选择、分发和维护共享秘密。为了避免密码学对手的安全性破坏和潜在发现，共享密钥必须被经常改变并且在分发期间和服务中保持安全，这使得对称钥密码学对于保护大的系统不实用且难以扩缩。非对称密码学使用被称为公钥和私钥的一对数学上相关的钥，其避免了需要在通信参与方之间事先知晓共享密钥。尽管在计算上强度更大，但是非对称钥密码学克服了与对称钥密码学相关联的可扩缩性缺点。公钥基础设施(public key infrastructure,PKI) 是使用非对称钥密码学来保护信息的已知系统。在这种系统中，在一个计算机站的一方使用随机创建的私钥来数字签署消息，而在另一个计算机站的一方使用从该私钥导出的分发的公钥来验证签名。通信参与方的公钥被分发在对应的身份证书中，其中所述身份证书亦称为公钥证书，是由一个或多个称为证书机构(CA)的被信任方发布的。这样，PKI对不拥有私钥的那些方保密消息，且身份证书允许具有相关联的公钥和身份证书的任何一方验证出该消息是用私钥创建的。因此，PKI使得通信方能够彼此认证并使用身份证书中的公钥信息来对消息进行加密和解密，从而建立消息机密性、完整性和认证而无需事先交换共享密钥。每个身份证书包括数字签名，数字签名将公钥与由诸如名称、电子邮件地址等信息代表的身份绑定。通过数字签署该证书，CA证实了公钥属于该身份，即，该证书中记录的人、组织、服务器或其它实体。CA常常是发布数字证书供通信方使用的被信任的第三方。信任要求迫使CA以某种方式验证通信方的身份机密。假定如果通信方信任CA并且可验证它的签名，则它们还可验证出公钥确实属于标识在该证书中的任何人。一些企业级PKI系统依靠证书链来建立一方的身份。在这种方案下，证书可由CA 发布，该CA的合法性为此由更高级别的CA建立，依次类推。这产生了由几个CA (常常是多于一个的组织)组成的证书层级。CA可使用来自几个源的各种计算机和配套的互操作软件包来管理证书的发布。这使得标准对于PKI操作是关键的。IETF HQX工作组涉及包括被称为X. 509的证书标准在内的公钥证书格式的标准化。使用密码学的各种点到点安全通信协议是已知的。这些协议的例子包括安全套接层(SSL)、传输层安全性(TLS)、安全壳(SSH)、IP安全性(II5sec)以及高保障因特网协议互操作性规范(HAIPIS)。SSL和TLS为在基于客户-服务器的网络内通信的应用提供密码学端点认证，以防止通信期间的窃听、篡改和消息伪造。SSH是允许在本地计算机和远程计算机之间建立安全信道的一组标准和相关联的网络协议。该协议使用公钥密码学来认证远程计算机。msec是为了实现认证、数据机密性和消息完整性而对所有IP包进行加密从而保护因特网协议(IP)通信的标准。HAiPE(高保障因特网协议加密机)是遵守国家安全局(NSA)的HAIPEIS的类型1加密装置。所使用的密码学是亦由NSA规定作为密码学现代化程序的一部分的套件A和套件B。HAIPEIS是基于Ipsec的，但具有附加的限制和增强。 HAIPE通常是允许两个飞地(enclave)在不被信任的或较低分级的网络上交换数据的安全网关。在传统安全系统比如使用上述协议的安全系统中，基于CA对通信方身份的认证、常常通过防火墙在网络内的信道上传递被加密的消息。只要通信方的身份被认证，传统安全系统就允许通信方在信道上彼此通信。应用常常基于用户所提供的凭证提供对资源的访问。通常，这些应用验证用户的角色并基于该角色提供对资源的访问。常常在金融或商业应用中使用角色来实施策略。例如，应用可以根据作出请求的用户是否为规定角色的成员而对正被处理的交易的大小施加限制。职员可以具有对处理小于规定阈值的交易的授权，主管可以具有较宽松的限制，副总裁可以具有更宽松的限制(或毫无限制)。还可以当应用需要多个批准来完成动作时使用基于角色的安全性。这种情形可以是购买系统，其中任何雇员都可生成购买请求，但是只有采购员可将该请求转换成可被发送给供应商的购买订单。一种已知的基于角色的身份管理系统是由微软的.NET Framework提供的。在.Net Framework下，“负责人”代表用户的身份和角色，并且为用户的利益而作出动作。.Net Framework应用可基于负责人的身份或角色成员资格或者这二者作出授权决定。角色是关于安全性具有相同特权的指定组的负责人(如银行出纳员或管理员)。负责人可以是一个或多个角色中的成员。因此，应用可使用角色成员资格来确定负责人是否被授权执行所请求的动作。另一种基于角色的系统是称为 Eurekify Sage Enterprise RoleManager(ERM) 的分析协作平台，其允许组织创建并管理在目标平台中部署的基于角色的特权模型。&ige ERM使得组织能够利用基于角色的访问控制(RBAC)的益处从商业角度管理它们的特权和策略并实现它们的标识管理和遵守目标。目前，对象管理组OMG已起草了建议征求(OMG Document :bmi/2008-02_07)，以使基于角色的访问策略(RBAP)元模型定义基于角色的访问控制(RBAC)策略以及由RBAC运行时间环境施加的人员授权。该元模型意图成为支持建模工具与运行时间系统之间的RBAP 模型的交换的独立于平台的模型(PIM)。在另一种传统方法中，也称为伯克利实验室的劳伦斯伯克利国家实验室已开发出—禾中禾尔力 Akenti MM (http://dsd. lbl. gov/security/Akenti/homepage. html)。 Akenti解决了在允许对由多个利益相关者控制的分布式网络中的资源进行受限访问时出现的问题。Akenti提供了一种表达和实施访问控制策略而不需要中央实施者和管理机构的方法。Akenti的架构意图在分布式网络环境中提供可扩缩的安全性服务。Akenti被设计成允许资源的每个利益相关者实施其独立于其它利益相关者的访问控制要求。Akenti允许每个利益相关者在任何时间改变其要求并且确信新要求将立即生效，并且在访问控制要求的表达中提供完整性和抗否认性(non-r印udiabiIity)的高保障性。Akenti利用了数字签署的证书。证书可以声明身份(身份证书)，证实主体的属性(属性证书)，或者说明要满足的条件(使用条件证书)。Akenti中的证书能够承载用户身份认证以及资源使用要求和用户属性授权。Akenti中的“使本文档来自技高网...

【技术保护点】
１．一种用于发布密码学证书的方法，包括：在所述密码学证书上描述至少一个前提条件，其中所述至少一个前提条件包括至少一个前提实体组中的成员资格；以及由至少一个前提组利益相关者签署所述密码学证书，所述至少一个前提组利益相关者的批准是使用所述前提组中的成员资格来作决定所必需的。

【技术特征摘要】
【国外来华专利技术】1.一种用于发布密码学证书的方法，包括在所述密码学证书上描述至少一个前提条件，其中所述至少一个前提条件包括至少一个前提实体组中的成员资格；以及由至少一个前提组利益相关者签署所述密码学证书，所述至少一个前提组利益相关者的批准是使用所述前提组中的成员资格来作决定所必需的。2.根据权利要求1所述的方法，其中所述决定涉及准许实体获得另一个组中的成员资格、准许访问资源、授予特权或执行动作中的至少一个。3.根据权利要求1所述的方法，其中所述至少一个前提组的名称与所述前提组利益相关者的身份相关联。4.根据权利要求3所述的方法，其中所述至少一个前提组利益相关者的所述身份包括该利益相关者的公钥。5.根据权利要求1所述的方法，其中所述密码学证书还由控制对特权或资源的访问的一个或多个资源利益相关者签署。6.根据权利要求1所述的方法，其中所述一个或多个前提组利益相关者授权前提组中的实体成为至少一个目标组中的实体，并且其中所述密码学证书还由授权实体作为成员被添加到所述至少一个目标组的至少一个目标组利益相关者签署。7.根据权利要求1所述的方法，其中所述至少一个前提条件涉及另一个实体组中的成员资格、物理特征、非物理特征、时间特征、非时间特征、地点特征或位置特征中的至少一个。8.根据权利要求1所述的方法，其中所述至少一个前提组的名称包括授权前提组中的实体成为另一个实体组的成员的所述至少一个前提组利益相关者的名称；以及授权实体在所述至少一个前提组中的成员资格的至少一个前提组利益相关者的名称。9.根据权利要求8所述的方法，其中所述至少一个前提组的名称还包括至少一个前提组消歧标识符。10.根据权利要求8所述的方法，其中前提组利益相关者的名称包括所述前提组利益相关者的公钥，并且所述前提组利益相关者的签名包括使用该利益相关者的私钥签署的所述密码学证书的密码学签名。11.根据权利要求6所述的方法，其中目标组的名称包括授权所述目标组的实体成员在另一个组中的成员资格的至少一个目标组利益相关者的名称；以及授权实体成为所述目标组的成员的至少一个目标组利益相关者的名称。12.根据权利要求11所述的方法，其中所述目标组的名称还包括至少一个目标组消歧标识符。13.根据权利要求11所述的方法，其中所述目标组利益相关者的名称包括所述目标组利益相关者的公钥，并且所述目标组利益相关者的签名包括使用所述目标组利益相关者的私钥签署的所述密码学证书的密码学签名。14.根据权利要求1所述的方法，其中实体包括参与方、资源或特权中的至少一个。15.一种用于处理密码学证书的方法，包括接收所述密码学证书，所述密码学证书描述至少一个前提条件，所述至少一个前提条件包括至少一个前提实体组中的成员资格；以及确定所述密码学证书是否由至少一个前提组利益相关者有效地签署，所述至少一个前提组利益相关者的批准是使用所述前提组中的成员资格来作决定所必需的。16.根据权利要求15所述的方法，其中所述决定涉及准许实体获得另一个组中的成员资格、准许访问资源、授予特权或执行动作中的至少一个。17.根据权利要求15所述的方法，其中所述一个或多个前提组利益相关者授权前提组中的实体成为至少一个目标组中的实体，并且其中所述方法还包括确定所述密码学证书是否由授权实体作为成员被添加到所述至少一个目标组的至少一个目标组利益相关者有效地签署。18.根据权利要求15所述的方法，其中所述至少一个前提组的名称与所述至少一个前提组利益相关者的身份相关联。19.根据权利要求18所述的方法，其中所述至少一个前提组利益相关者的身份包括该利益相关者的公钥。20.根据权利要求15所述的方法，还包括确定所述密码学证书是否由控制对特权或资源的访问的至少一个资源利益相关者有效地签署。21.根据权利要求15所述的方法，其中所述前提条件涉及另一个实体组中的成员资格、物理特征、非物理特征、时间特征、非时间特征、地点特征或位置特征中的至少一个。22.根据权利要求15所述的方法，其中所述至少一个前提组的名称包括授权前提组中的实体成为另一个实体组的成员的至少一个前提组利益相关者的名称；以及授权实体在所述至少一个前提组中的成员资格的至少一个前提组利益相关者的名称。23.根据权利要求22所述的方法，其中所述至少一个前提组的名称还包括至少一个前提组消歧标识符。24.根据权利要求22所述...

【专利技术属性】
技术研发人员：R·威廉·贝克威思，杰弗里·G·马歇尔，杰弗里·W·奇尔顿，
申请(专利权)人：目标接口系统公司，
类型：发明
国别省市：US