[发明专利]使用严格约束网络访问控制协议的网络访问控制信息交换

权利要求书

1.一种访问控制方法，包括：

通过网络协议的严格约束握手序列利用访问控制设备接 收数字签名，其中，当端点设备请求访问权以在第一网络上通 信时，所述端点设备发起所述严格约束握手序列，其中，所述 数字签名基于可信平台模块TPM值和随机数值，其中，由于 所述严格约束握手序列的约束，所述访问控制设备和所述端点 设备不能在所述严格约束握手序列期间协商随机数信息集；

确定所述访问控制设备之前是否已与所述端点设备协商 了所述随机数信息集；

确定所述TPM值是否与可接受配置相关；

确定所述随机数值是否是可接受的；

确定所述数字签名是否是有效的；

当所述访问控制设备之前已协商了所述随机数信息集 时、当所述TPM值与所述可接受配置相关时、当所述随机数 值是可接受的时、以及当所述数字签名是有效的时，将所述访 问权授予所述端点设备；

当所述访问控制设备之前未协商所述随机数信息集时、 当所述TPM值与所述可接受配置不相关时、当所述随机数值 是不可接受的时、或者当所述数字签名不是有效的时，允许所 述端点设备在第二网络上进行通信；以及

使用所述第二网络与所述端点设备协商所述随机数信息 集。

2.根据权利要求1所述的方法，

其中，所述网络协议是动态主机配置协议DHCP；以及

其中，将所述访问权授予所述端点设备以在所述第一网 络上进行通信包括将互联网协议IP地址租给所述端点设备， 其中，访问点将指定所述IP地址作为源地址的IP包转发到所 述第一网络。

3.根据权利要求1所述的方法，其中，确定所述TPM值是否与 所述可接受配置相关包括：当所述访问控制设备之前已经接收 到所述TPM值时确定所述TPM值是否与所述可接受配置相 关；

其中，所述方法还包括：响应于接收所述数字签名，计 算一个或多个候选随机数值的集合；

其中，确定所述数字签名是否是有效的包括：确定由所 述TPM值和所述候选随机数值的集合中的一个候选随机数值 给定的所述数字签名是否是有效的；以及

其中，确定所述随机数值是否是可接受的包括：确定所 述候选随机数值是否是可接受的。

4.根据权利要求1所述的方法，

其中，使用所述端点设备中的TPM芯片的私有加密密钥 来加密所述数字签名；以及

其中，确定所述数字签名是否是有效的包括：使用与所 述私有加密密钥相关的公钥证书来确定所述数字签名是否是 有效的。

5.根据权利要求4所述的方法，进一步包括：

当所述公钥证书未被存储在存储介质中时，拒绝访问所 述第一网络并允许所述端点设备在所述第二网络上进行通信；

经由所述第二网络接收所述公钥证书；以及

在经由所述第二网络接收所述公钥证书之后，将所述公 钥证书存储在所述存储介质中，供来自所述端点设备的后续访 问请求使用。

6.根据权利要求1所述的方法，

其中，所述随机数信息集包括一组值；以及

其中，确定随机数值是否是可接受的包括：

当所述随机数值在这组值中时，确定所述随机数值 是可接受的；以及

当所述随机数值在这组值中时，将所述随机数值从 所述这组值中去除。

7.根据权利要求1所述的方法，

其中，所述随机数信息集包括表示时间的时间指示符； 以及

其中，确定所述随机数值是否是可接受的包括：基于由 所述时间指示符表示的时间来确定所述随机数值是否是可接 受的。

8.根据权利要求1所述的方法，

其中，所述随机数信息集包括序列号；以及

其中，确定所述随机数信息集是否是可接受的包括：当 所述随机数值与在所述序列号之后的数相等时，确定所述随机 数值是可接受的。