一种网络环境中实现多级安全访问控制的技术方法

摘要

本发明公开了一种网络环境中实现多级安全访问控制的技术方法，其特征是修改操作系统核心TCP/IP协议栈，包括修改UDP报文、修改TCP的握手过程，在TCP/UDP层实施网络强制访问控制措施；其优点是：能在操作系统核心实现，具有更高的效率和安全性，能有效防止内部用户泄露信息，支持复杂的信任关系，完全兼容当前网络应用以及配置管理简单容易等。

主权项

1、一种网络环境中实现多级安全访问控制的方法，其特征在于：通过修改操作系统核心协议栈，包括修改UDP报文，修改TCP握手过程，在TCP/UDP层实施强制访问控制MAC，具体步骤是：对UDP报文，将强制访问控制MAC信息，封装在UDP报文中，其修改UDP报文包括发送与接收两个方面，对于发送：将强制访问控制MAC信息封装在有效数据的头部，再封装UDP报文头，以UDP报文加上强制访问控制MAC信息加上有效数据DATA的方式交给IP层发送；对于接收：对等实体收到UDP报文后，解封UDP报文头，再解封强制访问控制MAC信息，得到报文的强制访问控制MAC信息，然后将解封UDP报文得到的强制访问MAC信息与自己的强制访问控制MAC信息进行比较，以确定接收或拒绝此UDP报文的有效数据DATA；对TCP会话，通过修改TCP建立连接的三次握手过程，实现客户端/服务端交换强制访问控制信息，对于连接请求，即第一次握手：客户端向服务端发送连接请求时，将客户端自己的强制访问控制MAC信息与SYN连接请求报文一起发送；对于请求响应，即第二次握手：服务端在收到连接请求后，暂存客户端的强制访问控制MAC信息，并向客户端发送SYN应答加上服务端的强制访问控制MAC信息的响应报文；第三次握手：客户端收到服务端的响应报文后，暂存服务端的强制访问控制MAC信息，至此客户端和服务端完成了强制访问控制MAC信息的交换，然后，客户端向服务端发送数据序号响应报文，完成了三次握手过程双方建立了连接；此后，客户端在向服务端发送数据前，将暂存的服务端的强制访问控制MAC信息与客户端自己的强制访问控制MAC信息进行比较，以确定是否可以向服务端发送数据；而服务端在向客户端发送数据前，将暂存的客户端的强制访问控制MAC信息与服务端自己的强制访问控制MAC信息进行比较，以确定是否可以向客户端发送数据；以此过程实现多级安全访问控制。