基于零信任架构的持续认证安全环境构建方法与流程

本发明涉及零信任安全，具体为基于零信任架构的持续认证安全环境构建方法。

背景技术：

1、在零信任安全架构下，网络访问不再依赖隐式信任，持续认证成为核心机制。当前常见的持续认证方法在终端接入时核验设备指纹和用户凭证，利用授权白名单完成准入判定，通过后即分配会话令牌并建立加密隧道。隧道一旦建立，通信双方在整个会话期间通常采用固定的加密算法、密钥长度与密钥更新周期，较少感知终端状态的变化。部分实现中引入了挑战应答机制以增强身份验证强度，但挑战码仅作为单次确认手段，其包含的随机因素并未融入后续令牌的生成和隧道密钥的派生环节，令牌与验证过程相互独立。当会话令牌泄漏或被攻击者截获后，能够被复用于其他网络地址重新建立连接，导致严重的会话劫持与重放风险。同时，由于隧道加密策略固定不变，如果合法终端在会话过程中因恶意软件植入而发生进程异常、非法外联或操作行为突变，加密隧道的防护强度无法随之动态增强，静态的安全配置难以对抗持续性威胁和内部风险。由此，需要一种能够将动态挑战验证、令牌派生与网络地址进行安全绑定，并可以持续采集终端实时行为数据量化风险水平，进而根据风险动态调整加密隧道保护强度的技术方案，以弥补现有方案中身份验证与隧道安全脱节以及加密策略缺乏行为感知自适应能力的缺陷。

技术实现思路

1、提供一种基于零信任架构的持续认证安全环境构建方法，以将挑战应答验证与临时会话令牌生成及网络地址绑定深度融合，并在通信过程中依据终端行为度量数据自适应调整加密策略，增强零信任环境下的持续防护能力。

2、为了实现上述目的，本发明提供如下技术方案：本发明提供一种基于零信任架构的持续认证安全环境构建方法，包括以下内容：

3、响应于终端设备发起的访问请求，拦截所述访问请求并提取所述终端设备的设备指纹和用户凭证；根据所述设备指纹和所述用户凭证，在预设的零信任授权白名单中执行准入匹配判定；当所述准入匹配判定通过时，向所述终端设备下发挑战码，并接收所述终端设备返回的基于所述挑战码的动态响应值；验证所述动态响应值与所述挑战码之间的响应逻辑是否匹配预设的响应规则；当所述响应逻辑匹配所述响应规则时，根据所述设备指纹和所述用户凭证生成临时会话令牌；将所述临时会话令牌绑定至所述终端设备的当前网络地址，并根据所述临时会话令牌建立加密传输隧道；在所述加密传输隧道建立后，持续从所述终端设备接收行为度量数据，根据所述行为度量数据计算所述终端设备在所述加密传输隧道内的会话风险值；根据所述会话风险值动态调整所述加密传输隧道的加密策略。

4、通过上述技术方案，在零信任架构下实现从初始准入校验到会话全过程持续认证的安全环境构建。每一次访问均需经过设备与用户凭证的双重准入判定，确保仅授权实体可进入挑战-响应认证环节；利用挑战码和动态响应值进行二次认证，并通过加密令牌与网络地址绑定建立加密隧道，消除凭证窃取与重放攻击的威胁；在会话期间持续采集行为度量数据并计算会话风险值，依据风险值动态调整加密强度和更新策略，使信任等级随设备行为实时变化，有效防范横向移动和持久化潜伏风险。

5、作为优选的，所述根据所述设备指纹和所述用户凭证，在预设的零信任授权白名单中执行准入匹配判定，具体包括：从所述零信任授权白名单中提取已授权的设备指纹集合和用户凭证集合；将所述设备指纹与所述已授权的设备指纹集合中的每个已授权设备指纹进行比对，得到设备指纹匹配结果；将所述用户凭证与所述用户凭证集合中的每个已授权用户凭证进行比对，得到用户凭证匹配结果；当所述设备指纹匹配结果指示所述设备指纹存在于所述已授权的设备指纹集合中，且所述用户凭证匹配结果指示所述用户凭证存在于所述已授权的用户凭证集合中时，确定所述准入匹配判定通过；任一不存在则判定不通过。进一步地，在比对设备指纹时，采用模糊哈希算法计算所述设备指纹与每个已授权设备指纹之间的相似度，并将所述相似度大于预设相似度阈值的比对结果判定为匹配。该方案在保证严格准入控制的同时，容忍因操作系统更新或硬件微调导致的设备指纹渐进变化，降低合法设备的误拒率。

6、作为本发明的一个优选技术方案，所述向所述终端设备下发挑战码，并接收所述终端设备返回的基于所述挑战码的动态响应值，具体包括：随机生成包含时间戳和随机数种子的所述挑战码；将所述挑战码通过预设的带外安全通道发送至所述终端设备；接收所述终端设备通过所述带外安全通道返回的所述动态响应值；从所述动态响应值中提取响应时间戳和响应随机数；比对所述响应时间戳与所述时间戳之间的时间差值是否小于预设的时间窗口阈值；当所述时间差值小于所述时间窗口阈值时，将所述响应随机数作为所述动态响应值参与后续验证步骤；当所述时间差值大于等于所述时间窗口阈值时，丢弃所述动态响应值并向所述终端设备重新下发新的挑战码。借助带外通道和时间窗口限制，即便挑战码在不安全信道中被截获，也无法通过延时重放完成认证，保障挑战-应答过程的新鲜性。

7、进一步地，所述验证所述动态响应值与所述挑战码之间的响应逻辑是否匹配预设的响应规则，优选为：从所述挑战码中提取所述随机数种子和所述时间戳；将所述随机数种子和所述时间戳输入预设的哈希链生成函数，生成参考响应序列；从所述动态响应值中提取所述响应随机数；将所述响应随机数与所述参考响应序列中的每个参考值进行顺序比对；当所述响应随机数在所述参考响应序列中的排列位置与预设的位置偏移量一致时，确定所述动态响应值与所述挑战码之间的响应逻辑匹配所述响应规则；否则判定为不匹配。该验证方式利用哈希链的单向不可逆特性，使攻击者无法根据已截获的挑战码和响应值推导出后续有效响应，增强认证安全强度。作为更优选的技术方案，所述哈希链生成函数采用基于sha-256算法的迭代哈希函数，所述参考响应序列通过将所述随机数种子和所述时间戳拼接后执行预设迭代次数的哈希运算生成。

8、作为优选的，所述当所述响应逻辑匹配所述响应规则时，根据所述设备指纹和所述用户凭证生成临时会话令牌，具体包括：获取所述设备指纹中的硬件序列号和所述用户凭证中的用户标识符；将所述硬件序列号和所述用户标识符按照预设的拼接顺序组合为原始令牌载荷；对所述原始令牌载荷执行基于所述挑战码的异或加密运算，得到加密令牌载荷；从所述挑战码中提取所述时间戳作为令牌有效期起始时刻；根据所述令牌有效期起始时刻和预设的令牌有效期时长计算令牌过期时刻；将所述加密令牌载荷、所述令牌有效期起始时刻和所述令牌过期时刻共同封装为所述临时会话令牌。该令牌同时耦合了设备标识、用户标识、挑战码以及有效期约束，不可被伪造或延长使用，为后续隧道建立提供基础信任凭证。

9、所述将所述临时会话令牌绑定至所述终端设备的当前网络地址，并根据所述临时会话令牌建立加密传输隧道，优选为：从所述终端设备的当前访问请求报文中提取源ip地址和源端口号；将所述源ip地址和所述源端口号组合为所述当前网络地址；将所述临时会话令牌与所述当前网络地址之间的绑定关系写入会话映射表中；根据所述临时会话令牌中的加密令牌载荷和令牌过期时刻，生成隧道加密密钥和隧道解密密钥；将所述隧道加密密钥和所述隧道解密密钥分别配置于网关设备和所述终端设备；在所述网关设备与所述终端设备之间启用基于所述隧道加密密钥和所述隧道解密密钥的加密数据传输通道，作为所述加密传输隧道。通过令牌与网络地址的强绑定以及从令牌直接派生隧道密钥，不仅防止令牌在不同网络位置复用，还使加密通信与认证凭证紧密耦合，有效抵御会话劫持和中间人攻击。

10、所述在所述加密传输隧道建立后，持续从所述终端设备接收行为度量数据，根据所述行为度量数据计算所述终端设备在所述加密传输隧道内的会话风险值，优选包括：在所述加密传输隧道建立后，按照预设的采样周期向所述终端设备发送度量数据上报指令；接收所述终端设备根据所述度量数据上报指令返回的当前行为度量数据，所述当前行为度量数据包括进程列表哈希值、网络连接状态码和键盘输入时间间隔；将所述进程列表哈希值与预设的进程白名单哈希值进行比对，得到进程偏离度；将所述网络连接状态码与预设的连接状态码集合进行比对，得到连接异常标记；计算所述键盘输入时间间隔的方差值，将所述方差值与预设的方差阈值进行比对，得到输入行为偏离度；根据所述进程偏离度、所述连接异常标记和所述输入行为偏离度，按照预设的加权规则计算所述会话风险值。该方案从终端内部环境完整性、网络行为合规性以及用户操作习惯一致性三个维度实时度量风险，信任评估不再是一成不变的静态结论，而是随会话进程持续更新的动态度量结果。

11、所述根据所述会话风险值动态调整所述加密传输隧道的加密策略，作为优选实现方式，将所述会话风险值与预设的第一风险阈值和第二风险阈值进行比对，所述第一风险阈值小于所述第二风险阈值；当所述会话风险值小于所述第一风险阈值时，维持所述加密传输隧道当前的加密密钥长度和密钥更新周期不变；当所述会话风险值大于等于所述第一风险阈值且小于所述第二风险阈值时，将所述加密传输隧道的加密密钥长度从当前长度延长至第一密钥长度，并将所述密钥更新周期从当前周期缩短至第一更新周期；当所述会话风险值大于等于所述第二风险阈值时，将所述加密传输隧道的加密密钥长度从当前长度延长至第二密钥长度，将所述密钥更新周期从当前周期缩短至第二更新周期，并向所述终端设备发送重新认证指令，所述第二密钥长度大于所述第一密钥长度，所述第二更新周期短于所述第一更新周期。这一分级响应策略在低风险时保持轻量加密以保证通信效率，风险上升时自动增强加密强度并加快密钥轮换频率，高风险时进一步强化密码保护并强制用户重新认证，从而在不显著影响用户体验的前提下实现自适应安全防护，有效阻断潜在攻击者对加密隧道的破解企图。

12、在上述技术方案中，本发明提供的技术效果和优点：

13、在准入匹配判定通过后，向终端设备下发包含时间戳和随机数种子的挑战码，接收动态响应值并提取响应随机数，利用随机数种子和时间戳通过哈希链生成函数生成参考响应序列，比对响应随机数在序列中的排列位置与预设偏移量，仅在时间窗口有效且位置匹配时视为验证通过。验证成功后提取设备指纹的硬件序列号和用户凭证的用户标识符，拼接为原始令牌载荷，使用挑战码进行异或加密获得加密令牌载荷，以挑战码中的时间戳作为有效期起始时刻封装为临时会话令牌，再将令牌与终端设备当前的源ip地址和源端口号绑定写入会话映射表，从加密令牌载荷和令牌过期时刻派生出隧道加密密钥与解密密钥，建立加密传输隧道。通过该方式，临时会话令牌的生成与有效性完全依赖于随机挑战码的通过，且强制与特定网络地址绑定，即使令牌被窃取也无法在其他网络环境中用于建立隧道，隧道密钥因包含挑战码和令牌载荷而具有单次不可预测性，有效避免了令牌异地重放和会话劫持攻击。

14、隧道建立后，按采样周期向终端设备发送度量数据上报指令，获取包括进程列表哈希值、网络连接状态码和键盘输入时间间隔的实时行为数据。将进程列表哈希值与进程白名单哈希值比对得到进程偏离度，将网络连接状态码与合法连接状态码集合比对得到连接异常标记，计算键盘输入时间间隔的方差并与方差阈值比较得到输入行为偏离度，再依据预设加权规则融合计算得到会话风险值。比较风险值与第一风险阈值及第二风险阈值，当风险值低于第一阈值时维持当前加密密钥长度和更新周期，当风险值介于两者之间时将加密密钥长度延长至第一密钥长度并将密钥更新周期缩短至第一更新周期，当风险值达到或超过第二阈值时进一步将加密密钥长度延长至第二密钥长度、更新周期缩短至第二更新周期并触发重新认证指令。持续的行为感知与加密策略联动，使得进程异动、非法外联或异常操作模式能够及时被反映为风险量化值，高风险状态下自动升级加密保护强度并强制重认证，低风险时则维持合理开销，消除了静态加密策略在风险变化时的防护滞后性，在无需人工干预的条件下实现了防护力度与终端实时风险等级的同步调节。