專利名稱：一種通過深度識別并登記的“基因式網(wǎng)絡(luò)身份管理”方法
技術(shù)領(lǐng)域：
本發(fā)明屬于信息安全領(lǐng)域，具體涉及一種通過對接入到網(wǎng)絡(luò)中的設(shè)備或終端進行身份識別并進行登記，進行精準(zhǔn)身份識別，以這種精準(zhǔn)身份識別為基礎(chǔ)進行網(wǎng)絡(luò)安全和管理，可以大幅提升網(wǎng)絡(luò)安全管理等級。
背景技術(shù)：
IP是英文Internet Protocol (網(wǎng)際協(xié)議)的縮寫，也就是為計算機網(wǎng)絡(luò)相互連接進行通信而設(shè)計的協(xié)議。在因特網(wǎng)中，它是能使連接到網(wǎng)上的所有計算機網(wǎng)絡(luò)實現(xiàn)相互通信的一套規(guī)則，規(guī)定了計算機在因特網(wǎng)上進行通信時應(yīng)當(dāng)遵守的規(guī)則。任何廠家生產(chǎn)的計算機系統(tǒng)，只要遵守IP協(xié)議就可以與因特網(wǎng)互連互通。IP地址就是給每個連接在Internet上的主機分配的一個32bit地址。IP協(xié)議屬 TCP/IP協(xié)議族，是TCP/IP協(xié)議族中最為核心的協(xié)議，所有的TCP、UDP、ICMP、及IGMP數(shù)據(jù)都以 IP 數(shù)據(jù)報格式傳輸。TCP/IP (Transmission Control Protocol/Internet Protocol) 的簡寫，中文譯名為傳輸控制協(xié)議/因特網(wǎng)互聯(lián)協(xié)議，又叫網(wǎng)絡(luò)通訊協(xié)議，這個協(xié)議是 Internet最基本的協(xié)議、Internet國際互聯(lián)網(wǎng)絡(luò)的基礎(chǔ)，TCP/IP協(xié)議分為四層，依次是鏈路層、網(wǎng)絡(luò)層、傳輸層、應(yīng)用層，IP協(xié)議屬于網(wǎng)絡(luò)層。按照TCP/IP協(xié)議規(guī)定，IP地址用二進制來表示，每個IP地址長32bit，比特?fù)Q算成字節(jié)，就是4個字節(jié)。Internet上的每臺主機(Host)都有一個唯一的IP地址。IP協(xié)議就是使用這個地址在主機之間傳遞信息，這是Internet能夠運行的基礎(chǔ)。IP地址的長度為 32位，分為4段，每段8位，用十進制數(shù)字表示，每段數(shù)字范圍為0 255，段與段之間用句點隔開。例如159. 226. 1. 1。IP地址有兩部分組成，一部分為網(wǎng)絡(luò)地址，另一部分為主機地址。IP地址分為A、B、C、D、E5類。常用的是B和C兩類。目前對于連接于網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備和終端設(shè)備的身份識別是通過IP、MAC地址進行的。這種識別方式是最為普通，也是最為廣泛、最簡單的身份識別方式，很多防火墻、行為管理、IDS、IPS、路由器、交換機和軟件產(chǎn)品的安全和管理均是通過對數(shù)據(jù)包中得IP和MAC 地址進行讀取，通過IP、MAC匹配的方式進行身份識別、確定，然后進行相應(yīng)的管理策略和數(shù)據(jù)處理。MAC(Medium/MediaAccess Control，介質(zhì)訪問控制)MAC地址是燒錄在(網(wǎng)卡， NIC)里的。MAC地址，也叫硬件地址，是由48比特/bit長(6字節(jié)/byte，lbyte = 8bits)，16 進制的數(shù)字組成.0-23位叫做組織唯一標(biāo)志符(organizationally unique，是識別LAN(局域網(wǎng))節(jié)點的標(biāo)識.24-47位是由廠家自己分配。其中第40位是組播地址標(biāo)志位。網(wǎng)卡的物理地址通常是由網(wǎng)卡生產(chǎn)廠家燒入網(wǎng)卡的EPROM(—種閃存芯片，通?？梢酝ㄟ^程序擦寫)，它存儲的是傳輸數(shù)據(jù)時真正賴以標(biāo)識發(fā)出數(shù)據(jù)的電腦和接收數(shù)據(jù)的主機的地址。也就是說，在網(wǎng)絡(luò)底層的物理傳輸過程中，是通過物理地址來識別主機和傳輸數(shù)據(jù)的，其中MAC是全球唯一的。比如以太網(wǎng)卡，其物理地址是48bit (比特位)的整數(shù)，如 44-45-53-54-00-00，以機器可讀的方式存入主機接口中。以太網(wǎng)地址管理機構(gòu)(除了管這個外還管別的)(IEEE) (IEEE 電氣和電子工程師協(xié)會)將以太網(wǎng)地址，也就是48比特的不同組合，分為若干獨立的連續(xù)地址組，生產(chǎn)以太網(wǎng)網(wǎng)卡的廠家就購買其中一組，具體生產(chǎn)時，逐個將唯一地址賦予以太網(wǎng)卡。形象的說，MAC地址就如同我們身份證上的身份證號碼， 具有全球唯一性。在正常的情況下，由相應(yīng)MAC地址的網(wǎng)卡發(fā)布出來的數(shù)據(jù)包其源MAC填充位是該網(wǎng)卡的物理MAC，這樣通過分析數(shù)據(jù)包中源MAC地址可以確定數(shù)據(jù)來源的準(zhǔn)確身份。但在實際中由于數(shù)據(jù)包 可以由基于網(wǎng)卡驅(qū)動的上層應(yīng)用程序構(gòu)造發(fā)出，這樣數(shù)據(jù)包中的源MAC填充位的內(nèi)容并不是只有網(wǎng)卡可以操作，其它應(yīng)用程序和軟件可以隨意填充。特別是網(wǎng)絡(luò)設(shè)備管理接口和終端設(shè)備系統(tǒng)都提供了對MAC和IP地址的修改功能，這就使得通過IP、MAC 修改達到改變身份脫離相應(yīng)管理規(guī)則的目標(biāo)得以較容易的實現(xiàn)，導(dǎo)致了通過數(shù)據(jù)包源MAC 進行身份識別具有很大的不確定性、準(zhǔn)確性差。要實現(xiàn)網(wǎng)絡(luò)中設(shè)備和終端的管理控制，身份的準(zhǔn)確識別是基礎(chǔ)，而現(xiàn)有的方式已經(jīng)不能滿足對于身份的準(zhǔn)確識別和控制，帶來了很多安全和管理問題。

發(fā)明內(nèi)容
為了解決上述現(xiàn)有技術(shù)實現(xiàn)上的缺點，本發(fā)明的目的是通過運行在連接到網(wǎng)絡(luò)中的網(wǎng)絡(luò)設(shè)備或終端上的相關(guān)程序執(zhí)行本方法，實現(xiàn)網(wǎng)絡(luò)身份直接本地獲取，然后通過身份信息加密協(xié)議傳送至第三方進行登記，保證了網(wǎng)絡(luò)中成員身份的準(zhǔn)確識別，這樣就可以依此身份進行進一步的網(wǎng)絡(luò)訪問控制和管理。所述技術(shù)方案如下一種通過深度識別并登記進行網(wǎng)絡(luò)中身份管理的方法，該方法包含A、B兩個部分，A部分是運行于網(wǎng)絡(luò)設(shè)備或網(wǎng)絡(luò)終端上的程序，用于直接在源端獲取身份信息。B部分對A獲取的身份信息進行第三方登記記錄。A和B之間通過數(shù)據(jù)加密進行通信，主要包含以下過程A部分由協(xié)議處理模塊、身份信息獲取模塊、加解密模塊、指令處理模塊組成，如圖 2所示。將具有A部分功能的程序以安裝(或嵌入)的方式部署在網(wǎng)絡(luò)設(shè)備、終端系統(tǒng)上。 協(xié)議處理模塊作用為獲得需要取得的身份信息種類、傳輸已加密的身份信息將身份信息傳送至B部分。需要檢查的身份信息類別通過與B部分協(xié)商獲得，獲取的協(xié)議內(nèi)容由加解密模塊加解密，經(jīng)指令處理模塊分析提取后獲得的指令內(nèi)容。其中加密模塊負(fù)責(zé)加解密的信息包括將要各種身份要素信息和指令，加密模塊主要是保證獲取的身份信息不被監(jiān)聽、 盜用。如無法連接B部分或是協(xié)商失敗，則A部分按照默認(rèn)信息進行獲取，默認(rèn)信息類別依據(jù)具體設(shè)備不同而不同。獲取信息包括但不限于IP地址、物理MAC、邏輯MAC，還包括內(nèi)存序號/類型/大小、CPU序號/類型/大小、硬盤號/類型/大小等，以上信息的獲得均是原始信息，而非應(yīng)用層程序修改后的邏輯信息，具體獲取方式依據(jù)具體設(shè)備原理和驅(qū)動接口而不同。身份信息獲取模塊負(fù)責(zé)本地獲取該設(shè)備的以上身份信息，由于是本地直接獲取， 更加準(zhǔn)確。A部分身份信息獲取完成后，通過加解密模塊加密處理，交由協(xié)議處理模塊發(fā)出， 將獲取的身份信息送達B部分以進行登記、記錄，以便隨時調(diào)出對比，以分析網(wǎng)絡(luò)中各種身份是否符合。B部分由協(xié)議處理模塊、身份信息存取模塊、加解密模塊、指令管理模塊組成，如圖 3所示。
指令管理模塊用 于接受網(wǎng)絡(luò)管理者設(shè)定相關(guān)參數(shù)，進行讀取識別。加解密模塊對 A、B部分之間的通信內(nèi)容進行加解密處理，防止被截獲、破壞。身份信息存取模塊負(fù)責(zé)將收到的A部分送來的各種身份信息值進行存儲或給出身份核驗結(jié)論。協(xié)議處理模塊負(fù)責(zé)以網(wǎng)絡(luò)數(shù)據(jù)通信的方式完成A、B間交互數(shù)據(jù)的傳輸。本發(fā)明的技術(shù)方案帶來的有益效果是身份信息獲取在身份主體本身進行，位置準(zhǔn)確，通過底層的深度信息獲取，以其原始身份進行登記，而不是采用邏輯身份。由于可采集的身份信息種類可以適當(dāng)調(diào)整，就保證了信息內(nèi)容的完整乃至唯一，通過對身份信息的集合進行整體的識別登記，達到類似人類基因組的類似效果，大幅提高了準(zhǔn)確度、降低了重合概率，保證了身份管理的精準(zhǔn)。


圖1是本發(fā)明所述身份信息包含的內(nèi)容；圖2是本發(fā)明所述A部分的組成；圖3是本發(fā)明所述B部分的組成；圖4是本發(fā)明所述方法的處理流程具體實施例方式下面結(jié)合附圖和具體實施例對本發(fā)明作進一步說明，但不作為對本發(fā)明的限定。本發(fā)明采用以下技術(shù)方案通過運行于網(wǎng)絡(luò)設(shè)備或終端上的指定程序獲取設(shè)備的身份信息，身份信息包括IP地址、物理MAC等，并將這些信息通過加密的私有協(xié)議傳輸?shù)降怯浌芾矶耍苑乐剐畔⒈恍薷?，管理端運行的系統(tǒng)可以是開放式系統(tǒng)也可以是專用嵌入系統(tǒng)設(shè)備。在較高的安全要求下，管理端須為嵌入式專用設(shè)備，這樣對于身份信息的保存安全程度更高。本發(fā)明采用的基因式身份登記特征主要表現(xiàn)在1、信息獲取需要在身份主體上直接本地獲取，而不是間接的通過接收數(shù)據(jù)包，在數(shù)據(jù)包中的相應(yīng)數(shù)據(jù)位提取獲取。2、獲取的網(wǎng)絡(luò)身份信息不限于用于網(wǎng)絡(luò)實別的IP、MAC，而是包含了其它信息如CPU號、硬盤號等， 多重信息的組合作為網(wǎng)絡(luò)成員身份的識別更加精準(zhǔn)，提高了身份管理的準(zhǔn)確度。采用此的身份識別和管理后，使得網(wǎng)絡(luò)成員的細(xì)微身份改變都會得到及時的發(fā)現(xiàn)，并且這種發(fā)現(xiàn)是基于設(shè)備本身物理屬性的，而不是基于該設(shè)備邏輯信息，也不是基于發(fā)出的數(shù)據(jù)包中的相關(guān)信息的。這樣杜絕了通過偽造網(wǎng)絡(luò)數(shù)據(jù)包中的IP、MAC信息實現(xiàn)偽造其它設(shè)備身份，躲避或干擾基于身份的網(wǎng)絡(luò)控制和管理的問題。本技術(shù)方案的根本出發(fā)點為通過位于網(wǎng)絡(luò)設(shè)備上的程序直接獲得物理MAC、CPU 號、硬盤號等身份信息進行組合，以此作為其身份認(rèn)定的方法。任何身份信息的改變都會影響其身份的認(rèn)定，從而實現(xiàn)了對網(wǎng)絡(luò)設(shè)備身份的精準(zhǔn)管理。解決了現(xiàn)有方式下網(wǎng)絡(luò)身份容易更改、容易模仿而不可發(fā)現(xiàn)的問題，使得基于此方法的身份管理為基礎(chǔ)的各種管理控制達到真正準(zhǔn)確高效，加強了網(wǎng)絡(luò)使用的安全和管理。本技術(shù)方案的核心要點為第一，不使用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議中的信息位中存儲的信息作為身份判斷依據(jù)；第二，使用通過運行于終端本身的程序獲取其物理MAC作為重要身份信息之一；第三，增加非網(wǎng)絡(luò)信息要素作為身份信息集，如CPU號、硬盤號等；第四，通過私有加密協(xié)議封裝以上信息內(nèi)容傳送并將其存儲記錄下來，作為身份判斷的依據(jù)；
如圖4，本發(fā)明的具體步驟為 1. A部分程序的部署；本發(fā)明進行身份確認(rèn)的重要依據(jù)就是在網(wǎng)絡(luò)設(shè)備和終端本身上進行身份信息的獲取，這就要求具有該功能的A部分需要安裝部署在網(wǎng)絡(luò)中的設(shè)備上，部署方式有兩種。一種是通過嵌入式預(yù)安裝，直接在設(shè)備出廠時即按照標(biāo)準(zhǔn)將其內(nèi)至于設(shè)備中，此種方式需要和特定設(shè)備生產(chǎn)廠家進行預(yù)先的接口商定、標(biāo)準(zhǔn)制定，以保證A部分程序準(zhǔn)確、穩(wěn)定的安裝并運行于這些設(shè)備上。另一種是通過強制提示進行安裝，具體可通過行政制度和技術(shù)手段兩種方式，目的是將A部分程序運行于接入到網(wǎng)絡(luò)中、需要進行準(zhǔn)確身份識別的設(shè)備上。2.系統(tǒng)啟動后的身份信息采集；完成1中的部署后，A部分程序運行，根據(jù)特定系統(tǒng)接口和驅(qū)動進行預(yù)置網(wǎng)絡(luò)身份的獲取，例如IP地址，物理MAC。此時獲取的身份信息由A 部分預(yù)置的參數(shù)決定。3.網(wǎng)絡(luò)連接后的管理端探尋；當(dāng)設(shè)備連接的網(wǎng)絡(luò)接口有物理信號后，A部分開始通過預(yù)定協(xié)議進行對B部分(管理端)的探尋，主要是通過協(xié)議發(fā)現(xiàn)并和B部分建立聯(lián)絡(luò) (A、B兩部分即可以是同一設(shè)備上的兩個模塊，也可以是位于網(wǎng)絡(luò)中的兩個獨立節(jié)點)，以便將A部分獲取的身份信息存儲于B部分或是通過B部分已存儲信息進行比對，驗證A部分身份是否正確，是否有變動；4.管理端連通后的標(biāo)示確定、密鑰協(xié)商；當(dāng)A、B部分建立通信，并進行密鑰協(xié)商， 以保證傳輸數(shù)據(jù)的加解密。同時進行身份信息獲取的驗證、補充，也就是B部分會根據(jù)A 部分的設(shè)備的性質(zhì)、特點，對其獲取的默認(rèn)身份信息項目進行調(diào)整，以更適用于當(dāng)前身份管理。同時進行A部分標(biāo)示的商定，主要是通過該標(biāo)示明確A的唯一索引，保證A、B間身份信息存儲、核驗時的數(shù)據(jù)索引唯一。5.當(dāng)前身份信息的數(shù)據(jù)加密輸出；A部分根據(jù)同B部分的協(xié)商，對應(yīng)獲取的身份信息進行調(diào)整，補充獲取，然后將這些信息加密，將其發(fā)送出去，目的是讓B部分準(zhǔn)確獲得，以進行后期操作。6.當(dāng)前身份信息的接受，提取，處理，得出結(jié)果并加密反饋，完成身份檢查；B部分對接受的身份信息進行提取，并根據(jù)索引進行登記記錄或者比對核驗，將身份核驗結(jié)果 (是否存在問題)發(fā)給A，由A獲得結(jié)果。這樣，一次身份核驗的過程即告完成。對于以上身份信息獲取和登記過程中每一步驟的異常，須均由該部分進行記錄， 以便進行事件回溯。下面對本發(fā)明的以上過程作進一步的說明以上過程只是一次身份核驗的完整過程，為了保證身份信息的事實同步，可以通過其它技術(shù)手段進行商定如通過心跳的方式， 由A部分每隔一定時間進行一次如上過程，或是由A部分所在設(shè)備對應(yīng)身份信息發(fā)生變等異常出現(xiàn)觸發(fā)以上過程；也可由B部分發(fā)出指令，觸發(fā)A部分重復(fù)以上過程。本發(fā)明的核心在于通過A部分駐留于設(shè)備本地，進行多種身份信息的本地獲取，并在第三方進行登記。多種身份如IP地址、物理MAC、內(nèi)存序號/類型/大小、CPU序號/類型/大小、硬盤號/類型 /大小等身份這些作為網(wǎng)絡(luò)中設(shè)備和終端的“身份基因”，通過多種以上信息的組合，實現(xiàn)唯一確定網(wǎng)絡(luò)設(shè)備身份的“基因組”，從而實現(xiàn)了對網(wǎng)絡(luò)中設(shè)備和終端身份的“基因式”檢查。這里需要特別說明的是，在以上身份信息中，很多都是被網(wǎng)絡(luò)和行業(yè)標(biāo)準(zhǔn)定義為唯一的，如物理MAC、CPU序號、硬盤序號、內(nèi)存序號；也有一部分不是唯一的，如內(nèi)存大小、CPU大小、IP地址、邏輯MAC ；采用以上信息的組合作為身份識別驗證的“基因組”，更是進一步做到了準(zhǔn)確唯一、真實可靠。以上便是基因式網(wǎng)絡(luò)身份識別核驗管理的方法流程，對于本方案的關(guān)鍵部分，身份信息的獲取直接從對應(yīng)設(shè)備主體直接進行和多種身份信息同時獲取整體作為身份識別依據(jù)。 本發(fā)明的處理過程完整流程為圖4 ①A部分部署一②啟動、信息采集一③管理端探尋一④密鑰協(xié)商一⑤身份信息加密輸出一⑥提取處理加密反饋。由于以上過程實現(xiàn)了身份信息要素本地獲取，信息整體組合作為依據(jù)，第三方登記的方法實現(xiàn)了對網(wǎng)絡(luò)中設(shè)備和終端的身份精準(zhǔn)提取、識別，起到了較大程度上減少和避免網(wǎng)絡(luò)身份誤認(rèn)、偽造進一步影響網(wǎng)絡(luò)安全管理的問題。這樣，采用網(wǎng)絡(luò)設(shè)備和終端本身獲取的多種身份信息，組合進行身份標(biāo)識確認(rèn)的方法較好的解決了傳統(tǒng)方式僅通過網(wǎng)絡(luò)協(xié)議標(biāo)志位獲取身份信息，獲取途徑偏差、獲取信息少、容易偏差、偽造的問題，具有信息獲取源準(zhǔn)確，信息組集合唯一性強的特征。本發(fā)明的優(yōu)點是1.身份信息獲取的位置準(zhǔn)確，直接由運行于身份主體上的程序直接讀取其物理身份(此項需要身份主體設(shè)備或系統(tǒng)的廠家提供標(biāo)準(zhǔn)程序接口，依據(jù)標(biāo)準(zhǔn)獲得)。2.身份信息獲取的組合唯一性強，本發(fā)明提取了身份主體多項唯一身份參數(shù)和部分非唯一參數(shù)組合而成，進一步提高了身份信息的唯一性、準(zhǔn)確性。3.身份信息保存的位置安全，可靠，由于本發(fā)明設(shè)計的身份信息經(jīng)由私有加密協(xié)議傳出，并經(jīng)第三方加密保存，故安全性高，不會因單方面收到安全攻擊而導(dǎo)致身份信息的篡改。以上所述的實施例，只是本發(fā)明較優(yōu)選的具體實施方式
，本領(lǐng)域的技術(shù)人員在本發(fā)明技術(shù)方案范圍內(nèi)進行的通常變化和替換都應(yīng)包含在本發(fā)明的保護范圍內(nèi)。
權(quán)利要求
1.一種通過深度識別并登記進行網(wǎng)絡(luò)中身份管理的方法，其特征在于這種身份管理是基于網(wǎng)絡(luò)的，而不是單機的。進行身份管理的目的是對連接到網(wǎng)絡(luò)中的設(shè)備身份進行精準(zhǔn)識別，防止偽造；
2.如權(quán)利要求1所述的身份管理法，其特征在于通過運行于連接到網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備和終端設(shè)備上的指定程序來獲取身份信息集合，而不是通過接受相關(guān)協(xié)議通信數(shù)據(jù)分析獲得，這樣就避免了協(xié)議數(shù)據(jù)封裝偽造導(dǎo)致的身份信息獲取錯誤；
3.如權(quán)利要求2所述的身份信息集合包括IP地址、物理MAC、邏輯MAC，以及網(wǎng)絡(luò)設(shè)備和終端的其它關(guān)鍵信息，如內(nèi)存序號/類型/大小、CPU序號/類型/大小、硬盤號/類型/ 大??；
4.如權(quán)利要求3所述的身份信息集合，不是固定不變的，是可以根據(jù)具體設(shè)備的具體特點進行增減的，增減的標(biāo)準(zhǔn)在于其加入集合后，對于整體組合的唯一性具有正向作用；
5.如權(quán)利要求3所述的身份信息需要通過特定協(xié)議加密傳輸?shù)降谌竭M行存儲，以作為對網(wǎng)絡(luò)設(shè)備和終端的身份進行對比檢驗，核查其是否符合。
全文摘要
本發(fā)明涉及一種對接入到網(wǎng)絡(luò)中的設(shè)備進行身份識別并登記的方法，該種處理方法通過運行在相應(yīng)網(wǎng)絡(luò)設(shè)備和終端的程序來實現(xiàn)獲取信息，獲取的內(nèi)容為IP地址、物理MAC、邏輯MAC，以及網(wǎng)絡(luò)設(shè)備和終端的其它關(guān)鍵信息，如內(nèi)存序號/類型/大小、CPU序號/類型/大小、硬盤號/類型/大小等身份，這些身份類似于生物“基因”一樣的網(wǎng)絡(luò)身份基因，是網(wǎng)絡(luò)成員身份的重要信息。這樣網(wǎng)絡(luò)設(shè)備和終端的多項關(guān)鍵信息組合到一起，使組合身份信息發(fā)生重合的概率大幅降低，同時將其在第三方進行登記、記錄，從而實現(xiàn)一種精準(zhǔn)身份識別的方法，實現(xiàn)對連接于網(wǎng)絡(luò)中的設(shè)備進行準(zhǔn)確的身份識別。
文檔編號H04L29/06GK102427462SQ20121000938
公開日2012年4月25日 申請日期2012年1月13日 優(yōu)先權(quán)日2012年1月13日
發(fā)明者潘薇 申請人:潘薇