云身份管理及认证授权服务技术研究

With the development of cloud computing, cloud identity management and authentication and authorization services become technology trends , it has many problems to solve contradictions : support for ultra- large-scale users and preserve user's personality，need high security authentication and authorization with high-performance processing , real name identity management and privacy protection, users do not trust public cloud services but hands the access function to the cloud , need to present enough attributes to access the application but don't leak unnecessary attributes. In the project, we intends to put forward million times / sec cloud authentication architecture of the domestic cryptographic algorithms SM2 , billion / sec Cloud Access control , put forward attribute based authentication and anonymous authentication technology to satisfy the diverse user needs ; propose a multi-level framework for cloud identity management services to solve the contradiction of real name management and privacy protection; trust issues for cloud services access control , utilize verifiable computation and trusted computing technology to resolve the problem that access execution point can verify the decision result from the cloud services; we also research SM2 threshold signature scheme algorithm to solve the application sharing permissions problem. This project is intended to make 3 ISO / IEC standards contributions , 2 national standards , 2 industry standards , 8 patents and 1 cloud authentication and authorization system.

随着云计算的发展，云身份管理及认证授权服务成为技术发展趋势，它有很多矛盾问题需要解决：支持超大规模用户和用户个性、需高安全认证授权和高性能处理、网络实名身份管理同时保护个人隐私，用户不信任公有云服务却需要把访问控制交给云决策，需要出示足够多属性访问应用却不能泄露不必要的用户属性。本项目拟提出支持国产密码算法SM2的百万次/秒云认证架构、亿次/秒的云访问控制，解决海量用户的认证授权请求处理问题，研究支持属性认证、匿名认证等技术实现多样化的用户需求；针对实名管理与用户隐私矛盾，提出多级云身份管理服务框架与技术；针对云访问控制服务的信任问题，利用公开云环境下的可验证计算模型、可信计算技术等技术，解决访问控制执行端对云服务的决策结果验证问题；研究门限SM2算法签名方案，解决应用中分享权限问题。项目拟形成ISO/IEC标准贡献3项，国家标准2项，行业标准2项，专利8项，实用云认证授权系统1套。

本项目提出了支持百万次/秒请求的云认证/访问控制架构，并具有可扩展性，可通过分布式部署实现海量用户的认证授权请求处理。基于该架构，项目组研制了云认证中间件系统1套，并通过了测试，该系统支持国产密码算法SM2和RSA算法、支持百万次并发访问、易扩展。针对实名管理与用户隐私矛盾，提出了多级云身份管理服务框架技术，形成了通信行业标准《基于eID的多级数字身份管理技术参考框架》（报批稿）、《基于eID的属性证明规范》（报批稿）和15项通信行业标准；形成了GB/T 36629.3-2018《信息安全技术 公民网络电子身份标识安全技术要求 第3部分：验证服务消息及其处理规则》、GB/T 32213-2015《信息安全技术 公钥基础设施 远程口令鉴别与密钥建立规范》、GB/T 31504-2015《信息安全技术 鉴别与授权 数字身份信息服务框架规范》、GB/T 31501-2015《信息安全技术 鉴别与授权 授权应用程序判定接口规范》、GB/T 36960-2018《信息安全技术 鉴别与授权 访问控制中间件框架与接口》、GB/T 36629.1-2018《信息安全技术 公民网络电子身份标识安全技术要求 第1部分：读写机具安全技术要求》、GB/T 36629.2-2018《信息安全技术 公民网络电子身份标识安全技术要求 第2部分：载体安全技术要求》、GB/T 36632-2018《信息安全技术 公民网络电子身份标识格式规范》、GB/T 36631-2018《信息安全技术 时间戳策略和时间戳业务操作规则》、GB/T 30269.601-2016《信息技术 传感器网络 第601部分：信息安全：通用技术规范》10项国家标准，其中作为承担单位的有5项，2项负责人为本人。自主提出的YZ机制纳入国际标准ISO/IEC 20009-4:2017《信息技术 安全技术 匿名实体鉴别 第4部分：基于弱秘密的机制》。基于可信计算技术提出了《设备与服务建立可信连接的安全建议》国际标准提案，目前进入立项NWIP投票阶段，标准编号ISO/IEC27071。基于可信计算技术提出了ISO/IEC27070《虚拟化信任根的安全要求》的国际标准提案贡献，目前进入了3rd WD阶段。申请发明专利8项，发表学术论文6篇。