可信网络连接研究..docVIP

可信网络连接研究* 张焕国陈璐张立强 (武汉大学计算机学院空天信息安全与可信计算教育部重点实验室）摘 要 关键词中图分类号 TP309 Research on Trusted Network Connection 1）2）Zhang-Huanguo 1）Chen-Lu 3）Zhang-Liqiang , 1）(School of Computer, Wuhan University, Wuhan 430072) 2）(Key Lab of Aerospace Information Security and Trusted Computing, Wuhan University, Wuhan 430072 ) 3）(State Key Lab of Software Engineering , Wuhan University, Wuhan 430072) Abstract This paper introduces the development history, architecture, information flow and related specification of Trusted Network Connection in details. Analyses are given on Trusted Network Connection architecture; merits and restriction are pointed out. Focusing on how to extend the Trusted Computing mechanism into network and make network to be a trusted computing environment, related research work are analyzed and summarized. Some research trends and directions are advised on the future research and development on Trusted Network Connection. Key Words Trusted Computing, Trusted Network Connection, Trusted Network, Network Security，Information Security1 引言 自从2003年可信计算组织（Trusted Computing Group，TCG）[1]成立以来，可信计算技术得到了迅速的发展。人们已经意识到，在面对现有各种安全风险威胁时，不仅需要自顶向下的安全体系设计，还需要从终端开始自底向上地保证计算系统的可信；不仅要保证终端计算环境的可信，还要把终端计算环境的可信扩展到网络，使得网络成为一个可信的计算环境。 2004 年5 月TCG 成立了可信网络连接分组[2](Trusted Network Connection Sub Group, TNC-SG)，主要负责研究及制定可信网络连接（Trusted Network Connection，TNC）框架[3]及相关的标准[4][5][6][7][8][9][10]。经过几年的发展，TNC已经具有70多名成员，形成了以TNC架构为核心、多种组件之间交互接口为支撑的规范体系结构，实现了与Microsoft的网络访问保护（Network Access Protection，NAP）[11]之间的互操作，并将一些规范作为建议草稿提交到互联网工程任务组（International Engineer Task Force，IETF）的网络访问控制（Network Access Control，NAC）规范中。目前已经有多家企业的产品支持TNC体系结构，如Extreme Networks、HP ProCureve、Juniper Networks、Meru Networks、OpSwat、Patchlink、Q1Labs、StillSecure、Wave Systems等；也有开放源代码的软件，如libTNC[12]、FHH[13]、Xsupplicant[14]等。 TNC是对可信平台应用的扩展，也是可信计算机制与网络接入控制机制的结合。它是指在终端接入网络之前，对用户的身份进行认证；如果认证通过，对终端平台的身份进行认证；如果认证通过，对终端的平台可信状态进行度量，如果度量结果满足网络接入的安全策略，则允许终端接入网络，否则将终端连接到指定的隔离区域，对其进行安全性修补和升级。TNC旨在将终端的可信状态延续到网络中，使信任链从终端扩展到网络。TNC是网络接入控