Método para una conexión de red fiable basada en autenticación entre tres elementos del mismo nivel.

Método de conexión de red fiable, TNC, basado en autenticación entre tres elementos del mismo nivel,

que comprende:

(1.) etapa de inicialización:

(1.1) preparar previamente, por parte de un cliente TNC de un solicitante de acceso y un servidor TNC de un controlador de acceso, información de integridad de plataforma, y enviar la información de integridad de plataforma a recopiladores de medición de integridad, IMC, respectivos en una capa de medición de integridad;

(1.2) establecer previamente, por parte del cliente TNC y el servidor TNC, un requisito de verificación de integridad que comprende una lista de registros de configuración de plataforma, PCR, que el solicitante de acceso y el controlador de acceso se solicitan mutuamente para verificación; y

(1.3) trocear, por parte de módulos de plataforma fiables, TPM, del solicitante de acceso y el controlador de acceso, información requerida para una política de red, y almacenarla en los PCR;

(2.) etapa de autenticación de usuario:

(2.1) iniciar, por parte de un solicitante de acceso a la red, una petición de acceso a un controlador de acceso a la red;

(2.2) iniciar, por parte del controlador de acceso a la red, tras la recepción de la petición de acceso, un proceso de autenticación de usuario bidireccional, e iniciar un protocolo de autenticación entre tres elementos del mismo nivel entre el solicitante de acceso a la red, el controlador de acceso a la red y una unidad de servicio de autenticación de usuario en una capa de acceso a la red, de modo que se realice una autenticación de usuario bidireccional y un acuerdo de claves del solicitante de acceso y el controlador de acceso; y

(2.3) enviar, por parte del solicitante de acceso a la red y el controlador de acceso a la red, tras una autenticación de usuario bidireccional satisfactoria, información de éxito de autenticación de usuario al cliente TNC y al servidor TNC respectivamente, y controlar puntos del solicitante de acceso a la red y el controlador de acceso a la red según un resultado de autenticación de usuario;

(3.) etapa de evaluación de integridad:

usar, por parte del cliente TNC, el servidor TNC y una unidad de servicio de evaluación de plataforma en una capa de evaluación de integridad, un método de autenticación entre tres elementos del mismo nivel para realizar una evaluación de integridad de plataforma del solicitante de acceso y el controlador de acceso cuando el servidor TNC del controlador de acceso recibe la información de éxito de autenticación de usuario enviada por el controlador de acceso a la red; y

(4.) etapa de control de acceso:

reunir, por parte del servidor TNC y el cliente TNC, los resultados de la evaluación de integridad de plataforma del controlador de acceso y el solicitante de acceso respectivamente, y enviar recomendaciones al solicitante de acceso a la red y al controlador de acceso a la red respectivamente, y controlar, por parte del solicitante de acceso a la red y el controlador de acceso a la red, los puertos según las recomendaciones recibidas respectivamente, de modo que se realice un control de acceso mutuo del solicitante de acceso y el controlador de acceso.

Método para una conexión de red fiable basada en autenticación entre tres elementos del mismo nivel Campo de la invención

La presente invención se refiere al campo de la seguridad en las redes y, en particular, a un método de conexión de red fiable basado en autenticación entre tres elementos del mismo nivel.

Antecedentes de la invención

Software maliciosos tales como virus y gusanos se han convertido en un gran problema a medida que se ha ido desarrollando la informatización. Ha habido más de treinta y cinco mil software maliciosos, y más de cuarenta millones de ordenadores se infectan cada año. Para proteger los ordenadores de este tipo de ataques, debe considerarse una transmisión segura y una comprobación de datos mientras se introducen, y debe realizarse una protección desde el origen, es decir, puntos de extremo conectados a la red. Sin embargo, las tecnologías de seguridad tradicionales no protegen contra numerosos ataques maliciosos.

El Grupo para la Informática Fiable (TCG, Trusted Computing Group) definió una especificación de conexión de red basada en la informática fiable, la conexión de red fiable (TNC, Trusted NetWork Connect), denominada de manera abreviada TCG-TNC, que incluye una arquitectura abierta para una integridad de punto de extremo y un conjunto de normas que garantizan interoperaciones seguras. Este conjunto de normas pueden proteger una red cuando lo necesite el usuario, y el usuario puede decidir en qué medida se protege la red. Básicamente, la TCG-TNC pretende establecer conexiones partiendo de la integridad de punto de extremo. En primer lugar, debe crearse un conjunto de políticas para el estado operativo de un sistema interno de la red fiable. Sólo los puntos de extremo que cumplan con la política establecida para la red pueden acceder a la red, y la red aísla y localiza dispositivos que no cumplan con las políticas. Los ataques de tipo rootkit también pueden bloquearse mediante el uso de un módulo de plataforma fiable (TPM, Trusted Platform Module). Un rootkit es una instrucción de programa de ataque, un programa de sistema modificado, o un conjunto de instrucciones de programa de ataque y herramientas que se usan para obtener ilegalmente un privilegio de control máximo de un sistema objetivo.

En la arquitectura TCG-TNC, se ¡lustra una transmisión de información completa de una conexión de red fiable en la figura 1. Antes del establecimiento de la conexión de red, el cliente TNC prepara información de integridad de plataforma requerida, y la envía al recopilador de medición de integridad, IMC (Integrity Measurement Collector). En un punto de extremo con un TPM, esto también significa que la información de plataforma requerida para una política de red se trocea (hashed) y se almacena en registros de configuración de plataforma (PCR, Platform Configuraron Register). El servidor TNC establece previamente un requisito de verificación de integridad de plataforma y lo envía al verificador de medición de integridad, IMV (Integrity Measurement Verifier). El proceso se detalla tal como sigue:

(1) Un solicitante de acceso a la red inicia una petición de acceso a un aplicadorde políticas.

(2) El aplicadorde políticas envía una descripción de petición de acceso a un autorizadorde acceso a la red.

(3) Tras la recepción de la descripción de petición de acceso desde el solicitante de acceso a la red, el autorizador de acceso a la red realiza un protocolo de autenticación de usuario con el solicitante de acceso a la red. Tras una autenticación de usuario satisfactoria, el autorizador de acceso a la red envía la petición de acceso e información de éxito de autenticación de usuario al servidor TNC.

(4) Tras la recepción de la petición de acceso y la información de éxito de autenticación de usuario enviada por el autorizador de acceso a la red, el servidor TNC realiza una autenticación de credenciales de plataforma bidireccional con el cliente TNC, por ejemplo, para verificar una clave de identidad de certificación (AIK, Attestation Identity Key) de la plataforma.

(5) Tras una autenticación de credenciales de plataforma satisfactoria, el cliente TNC notifica al IMC que se ha iniciado una conexión de red nueva y debe realizarse un protocolo de conformidad (handshake) de integridad. El IMC devuelve la información de integridad de plataforma requerida a través de una interfaz de recopilador de medición de integridad, IF-IMC. El servidor de TMC envía la información de integridad de plataforma al IMV a través de una interfaz de verificador de medición de integridad, IF-IMV.

(6) El cliente TNC y el servidor TNC realizan uno o más cambios de datos durante la ejecución del protocolo de conformidad de integridad hasta que se satisfaga al servidor TNC.

(7) Tras finalizar la ejecución del protocolo de conformidad de integridad sobre el cliente TNC, el servidor TNC envía una recomendación al autorizador de acceso a la red para solicitar que se permita el acceso. Si hay otras consideraciones de seguridad, el punto de decisión de políticas puede no permitir el acceso del solicitante de

acceso.

(8) El autorizador de acceso a la red envía una decisión de acceso al aplicador de políticas, y el aplicador de políticas aplica finalmente la decisión de acceso para controlar el acceso del solicitante de acceso.

Actualmente, no han salido al mercado productos desarrollados con la arquitectura TCG-TNC. Algunos aspectos importantes de la arquitectura TCG-TNC están todavía en una fase de investigación y normalización y tienen principalmente los siguientes inconvenientes:

1. Mala capacidad de ampliación. Se predefine un canal seguro entre el punto de aplicación de políticas y el punto de decisión de políticas, y el punto de decisión de políticas gestiona posiblemente un gran número de puntos de aplicación de políticas, por consiguiente, el punto de aplicación de políticas tiene que configurar un gran número de canales seguros, lo que da como resultado una gestión complicada y mala capacidad de ampliación.

2. Proceso de acuerdo de claves complicado. Con el fin de proteger datos en la capa de acceso a la red, debe establecerse un canal seguro entre el solicitante de acceso y el punto de decisión de políticas, es decir, debe realizarse un acuerdo de claves de sesión entre el solicitante de acceso y el punto de decisión de políticas. Sin embargo, también se requiere una protección de datos entre el solicitante de acceso y el punto de aplicación de políticas, por tanto debe realizarse de nuevo un acuerdo de claves de sesión entre el solicitante de acceso y el punto de aplicación de políticas, lo que complica el proceso de acuerdo de claves.

3. Nivel de seguridad bajo. Se envía la clave primaria, que resulta del acuerdo entre el solicitante de acceso y el punto de decisión de políticas, desde el punto de decisión de políticas hasta el punto de aplicación de políticas. Dado que la clave se transmite a través de la red, pueden introducirse puntos de ataque de seguridad nuevos, y disminuye el nivel de seguridad. Además, las dos veces que tiene lugar un acuerdo de claves de sesión se usa la misma clave primaria, lo que también puede reducir el nivel de seguridad de toda la arquitectura TNC.

4. El solicitante de acceso puede no poder verificar la validez del certificado de AIK del punto de decisión de políticas. Durante la autenticación de credenciales de plataforma, el solicitante de acceso y el punto de decisión de políticas usan una clave privada de AIK y un certificado para la autenticación de credenciales de plataforma bidireccional, y ambos deben verificar la validez del certificado de AIK. Si el punto de decisión de políticas es un proveedor de servicios de red para el solicitante de acceso, entonces el solicitante de acceso no puede acceder a la red antes de que se establezca una conexión de red fiable, es decir, no puede verificarse la validez del certificado de AIK del punto de decisión de políticas, lo que disminuye el nivel de seguridad.

5. La evaluación de integridad de plataforma no es paralela. En la arquitectura TCG-TNC, el punto de decisión de políticas realiza una evaluación de integridad de plataforma sobre el solicitante de acceso, pero el solicitante de acceso no realiza una evaluación de integridad de plataforma sobre el punto de decisión de políticas. Si la plataforma del punto de decisión de políticas no es fiable, no es seguro que el solicitante de acceso se conecte con un dispositivo no fiable. Sin embargo, se requiere una fiabilidad paralela en redes ad hoc. El documento "TCG Trusted NetWork Connect TNC Architecture for Interoperability, Specification Versión 1.1, Revisión 2" da a conocer flujos de mensajes básicos... [Seguir leyendo]

Método de conexión de red fiable, TNC, basado en autenticación entre tres elementos del mismo nivel, que comprende:

(1.) etapa de inicialización:

(1.1) preparar previamente, por parte de un cliente TNC de un solicitante de acceso y un servidor TNC de un controlador de acceso, información de integridad de plataforma, y enviar la información de integridad de plataforma a recopiladores de medición de integridad, IMC, respectivos en una capa de medición de integridad;

(1.2) establecer previamente, por parte del cliente TNC y el servidor TNC, un requisito de verificación de integridad que comprende una lista de registros de configuración de plataforma, PCR, que el solicitante de acceso y el controlador de acceso se solicitan mutuamente para verificación; y

(1.3) trocear, por parte de módulos de plataforma fiables, TPM, del solicitante de acceso y el controlador de acceso, información requerida para una política de red, y almacenarla en los PCR;

(2.) etapa de autenticación de usuario:

(2.1) iniciar, por parte de un solicitante de acceso a la red, una petición de acceso a un controlador de acceso a la red;

(2.2) iniciar, por parte del controlador de acceso a la red, tras la recepción de la petición de acceso, un proceso de autenticación de usuario bidireccional, e iniciar un protocolo de autenticación entre tres elementos del mismo nivel entre el solicitante de acceso a la red, el controlador de acceso a la red y una unidad de servicio de autenticación de usuario en una capa de acceso a la red, de modo que se realice una autenticación de usuario bidireccional y un acuerdo de claves del solicitante de acceso y el controlador de acceso; y

(2.3) enviar, por parte del solicitante de acceso a la red y el controlador de acceso a la red, tras una autenticación de usuario bidireccional satisfactoria, información de éxito de autenticación de usuario al cliente TNC y al servidor TNC respectivamente, y controlar puntos del solicitante de acceso a la red y el controlador de acceso a la red según un resultado de autenticación de usuario;

(3.) etapa de evaluación de integridad:

usar, por parte del cliente TNC, el servidor TNC y una unidad de servicio de evaluación de plataforma en una capa de evaluación de integridad, un método de autenticación entre tres elementos del mismo nivel para realizar una evaluación de integridad de plataforma del solicitante de acceso y el controlador de acceso cuando el servidor TNC del controlador de acceso recibe la información de éxito de autenticación de usuario enviada por el controlador de acceso a la red; y

(4.) etapa de control de acceso:

reunir, por parte del servidor TNC y el cliente TNC, los resultados de la evaluación de integridad de plataforma del controlador de acceso y el solicitante de acceso respectivamente, y enviar recomendaciones al solicitante de acceso a la red y al controlador de acceso a la red respectivamente, y controlar, por parte del solicitante de acceso a la red y el controlador de acceso a la red, los puertos según las recomendaciones recibidas respectivamente, de modo que se realice un control de acceso mutuo del solicitante de acceso y el controlador de acceso.

Método TNC basado en autenticación entre tres elementos del mismo nivel según la reivindicación 1, en el que la evaluación de integridad de plataforma comprende: verificar, por parte de un gestor de políticas, la validez de un certificado de AIK y la integridad de plataforma del solicitante de acceso y el controlador de acceso.

Método TNC basado en autenticación entre tres elementos del mismo nivel según la reivindicación 1, en el que la etapa de usar, por parte del cliente TNC, el servidor TNC y la unidad de servicio de evaluación de plataforma en la capa de evaluación de integridad, el método de autenticación entre tres elementos del mismo nivel para realizar la evaluación de integridad de plataforma del solicitante de acceso y el controlador de acceso comprende:

(3.1) enviar, por parte del servidor TNC del controlador de acceso, al solicitante de acceso un número aleatorio Ns generado por un TPM del controlador de acceso, el certificado de AIK CertAc-AiK del

controlador de acceso y la lista de PCR PCRListAR que el controlador de acceso solicita al solicitante de acceso, tras la recepción de la información de éxito de autenticación de usuario enviada por el controlador de acceso a la red o tras recibir confirmación de que la autenticación de usuario es satisfactoria;

(3.2) extraer, por parte del solicitante de acceso, tras la recepción de la información enviada en la etapa

(3.1) por el controlador de acceso, valores de PCR correspondientes del TPM según la lista de PCR solicitada por el controlador de acceso; después, firmar los valores de PCR correspondientes extraídos del TPM y el número aleatorio Ns generado por el TPM del controlador de acceso con una clave privada de AIK en el TPM; y enviar, por parte del solicitante de acceso, al controlador de acceso, el número aleatorio Ns generado por el TPM del controlador de acceso, un número aleatorio Nar generado por un TPM del solicitante de acceso, el certificado de AIK CertAR-AiK del solicitante de acceso, la lista de PCR PCRLIstAc que el solicitante de acceso solicita al controlador de acceso, valores de PCR PCRar solicitados por el controlador de acceso, un logaritmo de medición LogAR que corresponde a los valores de PCR solicitados por el controlador de acceso, y la firma generada por el solicitante de acceso que firma los valores de PCR correspondientes extraídos del TPM y el número aleatorio Ns generado por el TPM del controlador de acceso con la clave privada de AIK en el TPM;

(3.3) verificar, por parte del TPM, tras recibir el controlador de acceso la información enviada en la etapa

(3.2) por el solicitante de acceso, la concordancia del número aleatorio Ns generado por el TPM del controlador de acceso, y verificar la validez de una firma de AIK del solicitante de acceso usando una clave pública en el certificado de AIK del solicitante de acceso; extraer valores de PCR correspondientes del TPM según la lista de PCR solicitada por el solicitante de acceso; firmar, por parte del controlador de acceso, los valores de PCR correspondientes extraídos del TPM y el número aleatorio Nar generado por el TPM del solicitante de acceso con una clave privada de AIK en el TPM; y enviar, por parte del controlador de acceso, a un gestor de políticas, el número aleatorio Ns generado por el TPM del controlador de acceso, el número aleatorio Nar generado por el TPM del solicitante de acceso, el certificado de AIK CertAR-Aix del solicitante de acceso, los valores de PCR PCRar solicitados por el controlador de acceso, el logaritmo de medición LogAR que corresponde a los valores de PCR solicitados por el controlador de acceso, la firma generada por el solicitante de acceso que firma los valores de PCR correspondientes extraídos del TPM y el número aleatorio Ns generado por el TPM del controlador de acceso con la clave privada de AIK en el TPM, un número aleatorio Nac generado para un usuario del controlador de acceso, el certificado de AIK CertAc-AiK del controlador de acceso, valores de PCR PCRac solicitados por el solicitante de acceso, un logaritmo de medición LogAc que corresponde a los valores de PCR solicitados por el solicitante de acceso, y la firma generada por el controlador de acceso que firma los valores de PCR correspondientes extraídos del TPM y el número aleatorio Nar generado por el TPM del solicitante de acceso con la clave privada de AIK en el TPM;

(3.4) verificar, por parte del gestor de políticas, tras la recepción de la información enviada en la etapa

(3.3) por el controlador de acceso, la validez de las firmas de AIK y certificados de AIK del solicitante de acceso y el controlador de acceso usando claves públicas que corresponden a los certificados de AIK respectivos del solicitante de acceso y el controlador de acceso; recalcular valores de PCR correspondientes según los logaritmos de medición de los valores de PCR correspondientes extraídos de los TPM respectivos del solicitante de acceso y el controlador de acceso y valores de medición de integridad convencionales de componentes de plataforma respectivos en una base de datos, y compararlos con los valores de PCR correspondientes en la información enviada en la etapa (3.3) por el controlador de acceso; generar un resultado de autenticación de certificado de AIK y verificación de integridad de plataforma del solicitante de acceso y el controlador de acceso, ResultAiK-pcR, y firmar el resultado generado de autenticación de certificado de AIK y verificación de integridad de plataforma con una clave privada que corresponde a un certificado de identidad del gestor de políticas [ResultAiK-pcR]s¡g; y enviar, al controlador de acceso, el resultado de autenticación de certificado de AIK y verificación de integridad de plataforma del solicitante de acceso y el controlador de acceso ResultAix- pcr, y la firma [ResultAiK-pcR]s¡g firmada por el gestor de políticas del resultado de autenticación de certificado de AIK y verificación de integridad de plataforma del solicitante de acceso y el controlador de acceso;

(3.5) verificar, por parte del controlador de acceso, tras la recepción de la información enviada en la etapa

(3.4) por el gestor de políticas, si un número aleatorio Nac generado para el usuario del controlador de acceso concuerda con el número aleatorio Nac enviado en la información en la etapa (3.4) por el gestor de políticas y generado para el usuario del controlador de acceso, y verificar la validez de una firma de usuario del gestor de políticas; verificar, por parte del TPM, la concordancia del número aleatorio Ns generado por el TPM del controlador de acceso; y verificar la concordancia del certificado de AIK CertAR- aik del solicitante de acceso y los valores de PCR PCRar solicitados por el controlador de acceso; verificar el resultado de verificación de certificado de AIK del solicitante de acceso Rcar-aik y el resultado de verificación de integridad de plataforma del solicitante de acceso ReAR ,y generar un resultado de evaluación de integridad de plataforma del solicitante de acceso; y enviar, por parte del controlador de acceso, al solicitante de acceso, la información enviada en la etapa (3.4) y la firma generada por el controlador de acceso que firma los valores de PCR correspondientes extraídos del TPM y el número

aleatorio Nar generado por el TPM del solicitante de acceso con la clave privada de AIK en el TPM; y

(3.6) verificar, por parte del solicitante de acceso, tras la recepción de la información enviada en la etapa

(3.5) por el controlador de acceso, la validez de la firma de AIK del controlador de acceso y la firma de usuario del gestor de políticas; verificar, el TPM, la concordancia del número aleatorio Nar generado por el TPM del solicitante de acceso; verificar la concordancia del certificado de AIK del controlador de acceso y los valores de PCR solicitados por el solicitante de acceso; y verificar el resultado de verificación de certificado de AIK del controlador de acceso ReAc-AiK y el resultado de verificación de integridad de

plataforma del controlador de acceso ReAc, y generar un resultado de evaluación de integridad de

plataforma del solicitante de acceso.

Método TNC basado en autenticación entre tres elementos del mismo nivel según la reivindicación 3, en el que el resultado de autenticación de certificado de AIK y verificación de integridad de plataforma del solicitante de acceso y el controlador de acceso generado en la etapa (3.4) ResultAiK-pcR comprende: el número aleatorio Nac generado para el usuario del controlador de acceso, el número aleatorio Ns generado por el TPM del controlador de acceso, el certificado de AIK CertAR-AiK del solicitante de acceso, los valores de PCR PCRar solicitados por el controlador de acceso, el resultado de verificación de integridad de

plataforma del solicitante de acceso ReAR, el número aleatorio Nar generado por el TPM del solicitante de

acceso, el certificado de AIK CertAc-AiK del controlador de acceso, la lista de PCR, los valores de PCR PCRac solicitados por el solicitante de acceso, el resultado de verificación de integridad de plataforma del controlador de acceso ReAc, el resultado de verificación de certificado de AIK del solicitante de acceso ReAR-AiK, y el resultado de verificación de certificado de AIK del controlador de acceso ReAc-AiK-

Método TNC basado en autenticación entre tres elementos del mismo nivel según la reivindicación 1,2, 3 ó 4, en el que las recomendaciones enviadas en la etapa (4.) por el servidor TNC y el cliente TNC al solicitante de acceso a la red y al controlador de acceso a la red comprenden información de permiso de acceso, información de prohibición de acceso o información de aislamiento y reparación.

Método TNC basado en autenticación entre tres elementos del mismo nivel según la reivindicación 5, en el que en el proceso de generar el resultado de evaluación de integridad de plataforma del solicitante de acceso en la etapa (3.5), las etapas (3.1) a (3.6) se repiten si el controlador de acceso debe intercambiar información de integridad de nuevo con el solicitante de acceso y verificar la información de integridad.

Método TNC basado en autenticación entre tres elementos del mismo nivel según la reivindicación 6, en el que en el proceso de generar el resultado de evaluación de integridad de plataforma del solicitante de acceso en la etapa (3.6), las etapas (3.2) a (3.6) se repiten si el solicitante de acceso debe intercambiar información de integridad de nuevo con el controlador de acceso y verificar la información de integridad.