【摘要】
本發(fā)明屬于互聯(lián)網(wǎng)用戶身份標識與認證領域，具 體特征在于利用下一代互聯(lián)網(wǎng)協(xié)議IPv6所提出的良好的體系 結構設計，通過與安全域名服務相結合，擴展現(xiàn)有身份認證系 統(tǒng)的功能，實現(xiàn)用戶身份與當前真實IPv6地址的綁定關系， 為上層的應用提供了更加可靠的安全服務。在用戶管理域內(nèi)設 有：網(wǎng)絡訪問控制服務器：通過用戶計算機源MAC地址、源 IPv6地址以及端口所組成的三元組來標識 注冊用戶；身份認證服務器：對用戶身份標識進行認證并設定 相應的訪問權限；域名服務器建立了用戶個人域名與IPv6地 址之間的正反向?qū)P系。本發(fā)明能夠為未來互聯(lián)網(wǎng)的應用提 供多種有效的身份認證手段，同時具有良好的可擴展性，能夠 適應未來互聯(lián)網(wǎng)應用發(fā)展所帶來的要求。
【專利類型】發(fā)明申請
【申請人】清華大學
【申請人類型】學校
【申請人地址】100084北京市100084－82信箱
【申請人地區(qū)】中國
【申請人城市】北京市
【申請人區(qū)縣】海淀區(qū)
【申請?zhí)枴緾N200610113707.9
【申請日】2006-10-13
【申請年份】2006
【公開公告號】CN1937499A
【公開公告日】2007-03-28
【公開公告年份】2007
【授權公告號】CN100539501C
【授權公告日】2009-09-09
【授權公告年份】2009.0
【發(fā)明人】吳建平; 段海新; 張洪; 付強
【主權項內(nèi)容】1.基于域名的統(tǒng)一身份標識和認證方法，其特征在于：依次含有以下步驟：步驟(1)，在用戶所在的身份認證管理域中設有身份認證服務器、網(wǎng)絡訪問控制服務器、身份認證客戶端以及域名服務器： 身份認證服務器含有：網(wǎng)絡層、協(xié)議處理層、邏輯控制層、數(shù)據(jù)控制層以及數(shù)據(jù)庫，其中： 網(wǎng)絡層，通過身份認證請求端口和計費請求端口將從網(wǎng)絡訪問控制服務器發(fā)來的請求數(shù)據(jù)傳遞給協(xié)議處理層，再將從協(xié)議處理層傳來的響應數(shù)據(jù)封裝成數(shù)據(jù)包發(fā)送給該網(wǎng)絡訪問控制服務器； 協(xié)議處理層，根據(jù)身份認證協(xié)議組合、解析、校驗和處理網(wǎng)絡層的請求報文，并將處理后的數(shù)據(jù)送給邏輯控制層，同時也將邏輯控制層送來的數(shù)據(jù)根據(jù)身份認證協(xié)議處理后發(fā)送給網(wǎng)絡層； 邏輯控制層，設有：身份認證授權模塊，用于根據(jù)用戶身份認證標識進行認證，并且根據(jù)用戶身份標識授予相應的訪問權限，所述用戶身份認證標識是一個與用戶當前IPv6地址相對應的一個全網(wǎng)唯一的個人域名PDN，表明該用戶屬于某個給定的管理域，同時該身份認證授權模塊用下述算法生成一個合法的真實IPv6地址給用戶；計費模塊，用于對用戶訪問網(wǎng)絡資源的行為進行計費或?qū)徲嫞宦文K，當請求認證的用戶不屬于本管理域A時，須與對方管理域的身份認證服務器通信，實現(xiàn)用戶的跨網(wǎng)絡管理域身份認證； 數(shù)據(jù)控制層，設有：數(shù)據(jù)庫接口，用于從數(shù)據(jù)庫中查詢用于信息；配合接口，用于從配置文件中讀取身份認證系統(tǒng)運行所需要的包括服務器地址等信息； 數(shù)據(jù)庫，設有用戶帳號權限信息表、其中含有用戶個人域名PDN、用戶口令Password以及用戶權限Right等字段； 網(wǎng)絡訪問控制服務器，采用802.1x交換機實現(xiàn)，在該交換機中綁定了用戶計算機源MAC地址、源IPv6地址以及分配的端口，構成三元組，在用戶通過身份認證之后訪問網(wǎng)絡時作匹配用，為此設有含該三元組的源地址綁定表；身份認證客戶端計算機，含有網(wǎng)絡層、協(xié)議處理層和邏輯控制層，其中： 網(wǎng)絡層，把協(xié)議處理層的數(shù)據(jù)進行封裝后發(fā)送給網(wǎng)絡網(wǎng)絡訪問控制服務器端， 而把網(wǎng)絡訪問控制服務器端的數(shù)據(jù)解封裝后傳遞給協(xié)議處理層； 協(xié)議處理層，根據(jù)身份認證協(xié)議組合、解析、校驗和處理邏輯層的以及發(fā)送給網(wǎng)絡層的認證請求報文； 邏輯控制層，設有：用戶接口，用于身份認證客戶端計算機與用戶之間的交互；地址接口，用于將從服務器獲得的IPv6地址配置到本地計算機中；接口地址，讀取身份認證客戶端計算機運行時所需的包括認證服務器地址等信息；消息定時器，用于控制身份認證客戶端計算機每隔設定的時間間隔向網(wǎng)絡訪問控制服務器發(fā)送保持用戶認證狀態(tài)的信息； 域名服務器，根據(jù)用戶個人域名從數(shù)據(jù)庫中查詢用戶當前的IPv6地址，或者反之，在其中設有用戶個人域名→IPv6地址的對應表以及IPv6地址→用戶個人域名的對應表； 步驟(2)，在管理域A內(nèi)認證按以下步驟進行： 步驟(2.1)，用戶在身份認證客戶端中輸入包括用戶個人域名及用戶口令在內(nèi)的用戶信息，身份認證客戶端向本管理域的訪問控制服務器發(fā)出含有用戶信息的認證請求； 步驟(2.2)，網(wǎng)絡訪問控制服務器收到用戶的認證請求后，首先從認證請求中取出認證消息，然后向身份認證服務器發(fā)出認證請求； 步驟(2.3)，身份認證服務器收到認證請求后，根據(jù)用戶個人域名所屬管理域判斷進行域內(nèi)認證，然后判斷用戶的認證狀態(tài)，如果是首次請求，則產(chǎn)生一個隨機數(shù)R，將其封裝在認證質(zhì)詢報文中通過訪問網(wǎng)絡控制服務器返回給身份認證客戶端； 步驟(2.4)，身份認證客戶端從收到的質(zhì)詢報文中提取出服務器的隨機數(shù)R，將用戶口令P與該隨機數(shù)進行混合，計算出一個強制訪問控制校驗碼MAC＝MD5(P‖R)，其中：MD5是國際標準的散列值計算函數(shù)，P為字符串，“‖”表示將R放在P后形成一個新的字符串，并將該校驗碼放在響應消息中，再次發(fā)送給網(wǎng)絡訪問控制服務器； 步驟(2.5)，網(wǎng)絡訪問控制服務器將響應報文進行格式處理后轉發(fā)給身份認證服務器，身份認證服務器從本地數(shù)據(jù)庫中取出用戶口令P’，與隨機數(shù)R混合后計算強制訪問控制校驗碼MAC’＝MD5(P’‖R)，然后比較MAC與MAC′是否相等，如果相等則認證成功，并根據(jù)用戶個人域名PDN生成IPv6地址，IPv6Addr＝IPv6Prefix(N)‖Hash128-N(PDN)，其中IPv6Addr表示生成的IPv6地址，IPv6Prefix表示從配置文件中讀出的N位地址前綴，Hash128-N表示用MD5算法對個人域名PDN進行散列后取前面128-N位數(shù)值，“‖”表示 將前后兩部分聯(lián)結起來生成新的字符串，并將該地址放入認證成功報文里發(fā)送給網(wǎng)絡訪問控制服務器；否則發(fā)送認證失敗報文； 步驟(2.6)，網(wǎng)絡訪問控制服務器收到返回報文后，判斷報文類型，如果是認證成功報文，則從中取出IPv6地址，進行三元組的綁定，通知身份認證客戶端通過認證并打開受控端口允許用戶訪問網(wǎng)絡資源；如果是認證失敗報文則通知身份認證客戶端失敗信息； 步驟(2.7)，網(wǎng)絡訪問控制服務器打開受控端口后，向身份認證服務器發(fā)出計費請求；步驟(2.8)，身份認證服務器收到計費請求后，開始計費，同時將用戶的個人域名與IPv6的正反向?qū)P系注冊到本域的域名服務器上； 步驟(2.9)，用戶退出身份認證系統(tǒng)時，向網(wǎng)絡訪問控制服務器發(fā)出退出請求； 步驟(2.10)，網(wǎng)絡訪問控制服務器收到退出請求后，通知身份認證服務器停止對用戶的計費，報文里同時包含了用戶對網(wǎng)絡資源的訪問量； 步驟(2.11)，身份認證服務器收到停止計費請求后，將用戶的計費信息記入數(shù)據(jù)庫中，同時注銷在域名服務器上的域名與IPv6地址的對應關系； 步驟(2.12)，網(wǎng)絡訪問控制服務器關閉受控端口，禁止用戶訪問網(wǎng)絡資源； 步驟(3)，域間認證是指個人域名PDN為User@DomainB的B域用戶在A域身份認證客戶端計算機上用自己在B域的個人域名請求認證，按以下步驟進行： 步驟(3.1)，根據(jù)步驟(2.1)-(2.2)判斷用戶進行域間認證； 步驟(3.2)，A域的身份認證服務器將認證請求轉發(fā)給B域的身份認證服務器； 步驟(3.3)，B域的身份認證服務器判斷用戶的認證狀態(tài)，如果是第一次請求，則產(chǎn)生一個隨機數(shù)R，將其封裝在認證質(zhì)詢報文中返回給A域的身份認證服務器； 步驟(3.4)，A域的身份認證服務器將認證質(zhì)詢報文通過A域的網(wǎng)絡訪問控制服務器返回給用戶身份認證客戶端； 步驟(3.5)，A域的身份認證客戶端按照步驟(2.4)所述方法計算出一個校驗碼MAC放在響應消息中，再次通過A域的網(wǎng)絡訪問控制服務器發(fā)送給A域的身份認證服務器； 步驟(3.6)，A域身份認證服務器又將報文轉發(fā)給B域的身份認證服務器，B域的身份認證服務器按步驟(2.5)所述方法計算校驗碼MAC’，然后比較MAC與MAC′是否相等，如果相等則認證成功并將認證成功報文發(fā)送給A域身份認證服務器；否則發(fā)送認證失敗報文給A域身份認證服務器； 步驟(3.7)，A域身份認證服務器收到報文后，判斷報文類型，如果是認證成功報文則按照步驟(2.5)根據(jù)用戶個人域名生成IPv6地址，并將其放入認證成功報文中返回給本管理域的網(wǎng)絡訪問控制服務器； 步驟(3.8)，A域網(wǎng)絡訪問控制服務器收到返回報文后按步驟(2.6)-(2.7)進行處理； 步驟(3.9)，A域身份認證服務器收到計費請求后，開始計費，同時將用戶的個人域名與IPv6的反向?qū)P系注冊到A域的域名服務器上，同時A域身份認證服務器向B域身份認證服務器發(fā)出計費請求； 步驟(3.10)，B域身份認證服務器收到計費請求后，開始計費，同時將用戶的個人域名與IPv6的正向?qū)P系注冊到B域的域名服務器上； 步驟(3.11)，用戶退出身份認證系統(tǒng)時，按步驟(2.9)-(2.11)所述方法處理，但在A域身份認證服務器把用戶的計費信息記入數(shù)據(jù)庫的同時注銷該用戶在A域域名服務器DNS上的域名與IPv6地址反向?qū)P系關系； 步驟(3.12)，A域身份認證服務器向B域身份認證服務器發(fā)出停止對用戶計費的請求； 步驟(3.13)，B域身份認證服務器收到停止計費請求后，停止計費，并同時注銷該用戶在B域域名服務器DNS上的域名與IPv6地址正向?qū)P系； 步驟(3.14)，A域網(wǎng)絡訪問控制服務器關閉端口，禁止用戶訪問網(wǎng)絡資源。
【當前權利人】清華大學
【當前專利權人地址】北京市100084-82信箱
【專利權人類型】公立
【統(tǒng)一社會信用代碼】12100000400000624D
【被引證次數(shù)】61
【被自引次數(shù)】9.0
【家族被引證次數(shù)】69
未經(jīng)允許不得轉載：http://www.mhvdw.cn/1776328151.html
