1.一种基于访问授权票据的跨异构域身份认证及会话密钥协商方法，其步骤包括：首先，PKI（公钥基础设施）域中的认证中心CA与Kerberos（私钥认证体制）域中的认证服务器AS通过公钥证书进行交互认证；然后，Kerberos域的用户和PKI域的资源通过访问授权票据进行交互认证和会话密钥协商，其特征在于：所述的Kerberos域的用户和PKI域的资源通过访问授权票据进行交互认证和会话密钥协商的具体方法是：A1、访问授权票据请求

Kerberos域的用户向认证服务器AS提出跨域访问资源的认证请求，认证服务器AS对Kerberos域的用户身份进行认证，若认证未通过则转步骤A4；否则，向PKI域的认证中心CA发送访问授权票据请求；

A2、访问授权票据生成和发放

认证中心CA验证认证服务器AS的身份，若验证未通过则转步骤A4；否则，生成Kerberos域用户访问PKI域资源的会话密钥、包括该会话密钥的访问授权票据，再对会话密钥和访问授权票据打包加密，然后发送给认证服务器AS；认证服务器AS解密出会话密钥和访问授权票据并验证其有效性，若验证不通过则转步骤A4；否则，将会话密钥和访问授权票据打包加密并发送给Kerberos域的用户；

A3、双向身份认证及会话密钥协商

Kerberos域用户解密提取出会话密钥和访问授权票据，验证其有效性，若验证未通过则转步骤A4，否则将自己的身份信息用该会话密钥加密后并连同访问授权票据一起发送给PKI域资源；PKI域资源解密访问授权票据获得并存储会话密钥，再用该会话密钥解密出用户的身份信息并验证Kerberos域用户身份的有效性，若验证未通过则转步骤A4，否则将自己的身份信息用该会话密钥加密发送给Kerberos域用户；Kerberos域用户用会话密钥解密出资源的身份信息并验证资源身份的有效性，若验证未通过则转步骤A4；否则，Kerberos域用户利用该会话密钥安全访问PKI域资源；

A4、终止会话。

2.根据权利要求1所述的一种基于访问授权票据的跨异构域身份认证及会话密钥协商方法，其特征在于：所述的A1步骤中：

所述的Kerberos域用户向认证服务器AS提出跨域访问PKI域资源的认证请求时的请求消息MA1为：其中IDU表示Kerberos域用户的身份标识，IDS表示PKI域资源的身份标识，T1表示Kerberos域用户产生的时间戳，kU,AS表示Kerberos域用户和认证服务器AS的共享对称密钥， 表示用对称密钥kU,AS对{IDU,IDS,T1}加密；

所述的认证服务器AS对Kerberos域用户身份进行认证的具体做法是：认证服务器AS接收到请求消息M1后，用kU,AS解密 得到Kerberos域用户的解密身份标识ID’U、解密的时间戳T’1；当解密身份标识ID’U与请求消息MA1中明文的Kerberos域用户的身份标识IDU一致且解密的时间戳T’1具有新鲜性，则认证通过，否则，认证不通过；

所述的认证服务器AS向PKI域的认证中心CA发送访问授权票据请求的具体做法是：认证服务器AS产生新的时间戳T2，向PKI域资源所在域的认证中心CA发送访问授权票据请求MA2：其中IDAS表示认证服务器的身份标识，IDCA表示认证中心的身份标识，表 示 认 证 服 务 器 AS用 私 钥SKAS 对 消 息 {IDAS,IDCA,IDU,IDS,T2} 的 签名， 表 示 用认 证 中 心CA 的公 钥 PKCA对 消 息加密；

所述的A2步骤中：

所述的认证中心CA验证认证服务器AS的身份的具体做法为：

认证中心CA收到MA2后，用私钥SKCA解密MA2，解密得到认证服务器AS的签名SIGNAS及时间戳T2，若验证签名SIGNAS正确，并且T2是具有新鲜性，则认证服务器AS的身份验证通过，否则验证不通过；

所述的认证中心CA生成Kerberos域的用户访问PKI域的资源的会话密钥、包括该会话密钥的访问授权票据，再对会话密钥和访问授权票据打包加密，然后发送给认证服务器AS的具体做法为：认证中心CA产生Kerberos域的用户和PKI域的资源之间的会话密钥kU,S及其使用期限lt（kU,S的起止时间），新的时间戳T3，认证中心CA为Kerberos域用户生成的用于访问PKI域资源的访问授权票据TKT，作为认证中心CA信任Kerberos域用户的凭证：其中， 表示用认证中心CA的私钥SKCA对{IDCA,IDU,kU,S,lt}签名，表示用PKI域资源的公钥PKS对 加

密；

然后，认证中心CA生成消息MA3发送给认证服务器AS：

其中， 表示用认证中心CA的私钥SKCA对{IDCA,IDAS,IDU,IDS,kU,S,lt,TKT,T3}签名， 表示用认证服务器AS的公钥PKAS对加密；

所述的认证服务器AS解密出会话密钥和访问授权票据并验证其有效性的具体做法是：认证服务器AS用私钥SKAS解密MA3得到证认证中心CA签名 及时间戳T3，验证的有效性和T3的新鲜性，若 有效性且T3新鲜，，则验证通过，否则不通过；

将解密得到的kU,S、lt、TKT连同认证服务器AS新产生的时间戳T4一起用Kerberos域用户和认证服务器AS之间的共享密钥kU,AS加密作为消息MA4发送给用户：其 中，HASH 表 示 {IDU,IDS,kU,S,lt,TKT,T4} 的 哈 希 摘 要 值，表示用Kerberos域用户与认证服务器AS的共享对

称密钥kU,AS对{IDU,IDS,kU,S,lt,TKT,T4,HASH}加密；

所述的A3步骤中：

所述的Kerberos域的用户解密提取出会话密钥和访问授权票据，验证其有效性的具体做法是：Kerberos域用户用kU,AS解密MA4得到Kerberos域的用户身份信息ID’U、PKI域资源的身份信息ID’S及时间戳T’4，若解密出的ID’U及自己的身份标识IDU一致，ID’S与和PKI域资源的身份标志IDS一致，并且T’4具有新鲜性，则验证通过，并认为kU,S、lt、TKT有效，否则不通过。

所述的Kerberos域的用户将自己的身份信息用该会话密钥加密后并连同访问授权票据一起发送给PKI域的资源的具体做法是：Kerberos域的用户产生新的时间戳T5连同自己的身份信息IDU用kU,S加密后，再加入TKT作为消息MA5发送给资源：其中， 表示用会话密钥kU,S对{IDU,T5}加密；

所诉的PKI域的资源解密访问授权票据获得并存储会话密钥，再用该会话密钥解密出用户的身份信息并验证用户身份的有效性，其具体做法是：PKI域的资源收到MA5后，首先用自己的私钥SKS解密TKT，得到认证中心CA的签名及有效期lt，验证 和lt的有效性。若验证通过，则认为解密TKT得到的kU,S有效并存储。然后，利用kU,S解密消息 得到Kerberos域用户的身份标识ID’U以及时间戳T’5，验证ID’U是否和TKT中的IDU一致，并验证T’5是否具有新鲜性，若验证都通过则认为Kerberos域用户的身份有效；

所述的PKI域的资源将自己的身份信息用该会话密钥加密发送给Kerberos域用户，其作法是：PKI域资源生成新的时间戳T6，用会话密钥kU,S加密{IDS,T6}，向Kerberos域用户发送一条确认消息MA6：所述的Kerberos域的用户用会话密钥解密出PKI域资源的身份信息并验证PKI域资源身份的有效性，具体作法是：Kerberos域的用户收到MA6后，用会话密钥kU,S解密MA6，得到PKI域资源的身份标识ID’S以及时间戳T’6，若解密结果ID’S正确且T’6新鲜即可确认资源的有效性。随后，Kerberos域用户和PKI域资源之间可利用会话密钥kU,S实现安全通信。

3.一种基于访问授权票据的跨异构域身份认证及会话密钥协商方法，其步骤包括：首先，PKI（公钥基础设施）域中的认证中心CA与Kerberos（私钥认证体制）域中的认证服务器AS通过公钥证书进行交互认证；然后，PKI域的用户和Kerberos域的资源通过访问授权票据进行交互认证和会话密钥协商，其特征在于：所述的PKI域的用户和Kerberos域的资源通过访问授权票据进行交互认证的具体方法是：B1、票据授予票据请求

PKI域的用户向认证中心CA提出跨域访问资源的请求，认证中心CA对PKI域的用户身份进行认证后，向Kerberos域的认证服务器AS提出访问Kerberos域资源的请求；

B2、票据授予票据生成和发放

认证服务器AS验证认证中心CA的身份，若验证不通过则转步骤B6；否则，生成PKI域的用户访问Kerberos域的票据授予服务器TGS的对称密钥、包含该对称密钥的票据授权票据，并打包加密发送给认证中心CA；认证中心CA解密出对称密钥和票据授权票据并验证其有效性，若验证不通过则转步骤B6；否则，将对称密钥和票据授权票据打包加密发送给PKI域的用户；

B3、访问授权票据请求

PKI域的用户解密提取出对称密钥和票据授权票据，验证票据授权票据和认证中心CA身份的有效性，若验证不通过则转步骤B6；否则，用该对称密钥加密自己的身份信息连同票据授予票据一起作为跨域访问Kerberos域资源的请求，发送给票据授予服务器TGS；

B4、访问授权票据生成和发放

票据授予服务器TGS解密获得对称密钥，用此对称密钥解密出PKI域用户的身份信息并对PKI域用户身份进行认证，若认证不通过则转步骤B6；否则，生成PKI域用户访问Kerberos域资源的会话密钥和包含该会话密钥的访问授权票据，再对会话密钥和访问授权票据打包加密，然后发送给用户；

B5、双向身份认证及会话密钥协商：PKI域用户解密提取出会话密钥和访问授权票据，验证其有效性，若验证不通过则转步骤B6；否则，将自己的身份信息用该会话密钥加密后连同访问授权票据一起发送给Kerberos域资源；Kerberos域资源解密访问授权票据获得并存储会话密钥，再用该会话密钥解密出PKI域用户的身份信息并验证PKI域用户身份的有效性，然后将自己的身份信息用该会话密钥加密发送给PKI域用户；PKI域用户用该会话密钥解密出资源的身份信息并验证资源身份的有效性后，若验证通过则可利用该会话密钥安全访问Kerberos域资源，否则转步骤B6；

B6、终止会话。

4.根据权利要求3所述的一种基于访问授权票据的跨异构域身份认证及会话密钥协商方法，其特征在于：所述的B1步骤中：

所述的PKI域的用户向认证中心CA提出跨域访问资源的请求，请求消息MB1为：其中，T1为用户产生的时间戳， 表示用PKI域用户的私钥SKU对

{IDU,IDS,T1}产生的签名， 表示用认证中心CA的公钥PKCA对加密；

所述的认证中心CA对PKI域的PKI域用户身份进行认证后，向Kerberos域的认证服务器AS提出访问Kerberos域资源的请求，具体作法是：认证中心CA收到MB1后，用私钥SKCA解密MB1，得到PKI域用户的签名SIGNU以及时间戳T1，验证SIGNU的有效性和T1的新鲜性。若验证通过，生成新的时间戳T2，向Kerberos域的认证服务器AS发送跨域认证请求消息MB2：其 中， 表 示 用 认 证 中 心 CA的 私 钥SKCA 对{IDCA,IDAS,IDU,IDS,T2}签 名， 表 示 用 认 证 服 务 器 AS的 公 钥PKAS 对加密；

所述的B2步骤中：

所述的认证服务器AS验证认证中心CA的身份，若验证不通过则转步骤B6；否则，生成PKI域的用户访问Kerberos域的票据授予服务器TGS的对称密钥、包含该对称密钥的票据授权票据，并打包加密发送给认证中心CA，其具体做法是：认证服务器AS收到MB2后，用自己的私钥SKAS解密MB2，得到证认证中心CA签名以及时间戳T2，验证 的有效性和T2的新鲜性，若验证通过，认证服务器AS产生PKI域的用户和票据授予服务器TGS之间的对称密钥kU,TGS及其使用期限lt1（kU,TGS的起止时间），以及票据授予票据 并生成消息MB3发送给认证中心CA：

其中，HASH1表示{IDU,kU,TGS,lt1}的哈希摘要值， 表示用认证服务器AS和TGS之间的对称密钥kAS,TGS加密

表示用 认证服 务器AS的 私钥SKAS对{IDAS,IDCA,IDU,IDS,kU,TGS,lt1,TGT,T3}签 名，表示 用认 证中心CA 的公钥 PKCA 对加密；

所述的认证中心CA解密出对称密钥和票据授权票据并验证其有效性，若验证不通过则转步骤(B6)；否则，将对称密钥和票据授权票据打包加密发送给PKI域的用户，其具体作法是：认证中心CA收到MB3后，用自己的私钥SKCA解密MB3，得到认证服务器AS签名以及时间戳T’3，验证认证服务器AS签名 是否正确，并验证T’3是否具有新鲜性；

验证通过后，取出kU,TGS、lt1、TGT，并产生的新的时间戳T4，生成消息MB4发送给PKI域的用户：其中， 表示认证中心CA用自己的私钥SKCA对{IDU,IDTGS,kU,TGS,lt1,TGT,T4}的签名；

所述的B3步骤中：

所述的PKI域的用户解密提取出对称密钥和票据授权票据，验证票据授权票据和认证中心CA身份的有效性，其具体作法是：PKI域用户收到MB4后，用自己的私钥SKU解密MB4得到认证中心CA的签名 以及时间戳T4，验证 的有效性和T4的新鲜性；

所述的PKI域中用户用该对称密钥加密自己的身份信息连同票据授予票据一起作为跨域访问资源的请求，发送给票据授予服务器TGS，具体作法是：PKI域中用户产生新产生的时间戳T5，生成消息MB5发送给票据授予服务器TGS：其中， 表示用对称密钥kU,TGS对{IDU,IDS,T5}加密；

所述的B4步骤中：

所述的票据授予服务器TGS解密获得对称密钥，用此对称密钥解密出用户的身份信息并对用户身份进行认证，其具体作法是：票据授予服务器TGS收到MB5后，首先用AS与TGS之间的共享密钥kAS,TGS解密票据授予票据TGT，然后计算{IDU,kU,TGS,lt1}的哈希值，验证是否与收到的HASH1相等；如果相等，则认为对称密钥kU,TGS有效，并用该密钥解密{IDU,IDS,T5}kU,TGS，得到PKI域用户的身份标识ID’U，验证ID’U与收到的IDU是否一致，并验证T’5是否具有新鲜性，若验证通过，则证明PKI域用户的真实性及票据的有效性；

所述的票据授予服务器TGS生成用户访问Kerberos域资源的会话密钥和包含该会话密钥的访问授权票据，再对会话密钥和访问授权票据打包加密，然后发送给PKI域用户，具体做法是：票据授予服务器TGS生成PKI域用户与Kerberos域资源之间的会话密钥kU,S及其使用期限lt2（kU,S的起止时间）及访问授权票据 并将消息MB6发送给用户：

其中，TKT中的HASH2表示对{IDU,kU,S,lt2}的哈希值， 表示用票据授予票据TGS和Kerberos域资源的共享密钥对{IDU,kU,S,lt2,HASH2}加密，MB6中的HASH3表示{IDS,kU,S,lt2,T6}的哈希值；

所述的B5步骤中：

所述的PKI域用户解密提取出会话密钥和访问授权票据，验证其有效性，具体作法是：用户收到MB6后，用kU,TGS解密 并得到时间戳T’6以及哈希值HASH’，验证T’6是否具有新鲜性，然后计算{IDS,kU,S,lt2,T6}的哈希值，验证该值是否与解密得到的HASH’相等；若相等则认为会话密钥kU,S有效并保存用于与资源进行交换；

所述的用户将自己的身份信息用该会话密钥加密后连同访问授权票据一起发送给资源，其发送的消息为MB7：，

其中T7为用户新产生的时间戳， 表示用kU,S对{IDU,IDS,T7}加密；

所述的Kerberos域资源解密访问授权票据获得并存储会话密钥，再用该会话密钥解密出PKI域用户的身份信息并验证用户身份的有效性，然后将自己的身份信息用该会话密钥加密发送给PKI域用户，其具体作法是：资源收到消息MB7后，用kTGS,S解密访问授权票据TKT，得到哈希值HASH’2，然后计算{IDU,kU,S,lt2}的哈希值，验证其是否与HASH’2相等，若相等则认为kU,S有效；进而用kU,S解密 得到PKI域用户的身份标识的ID’U以及时间戳T’7，验证ID’U是否与TKT中的IDU一致，并验证T’7的新鲜性；若验证通过，资源生成新的时间戳T8，用会话密钥kU,S加密{IDS,T8}，向PKI域用户发送一条确认消息：所述的PKI域用户用该会话密钥解密出资源的身份信息并验证Kerberos域资源身份的有效性后，若验证通过则可利用该会话密钥安全访问Kerberos域资源，其具体做法是：PKI域用户收到MB8后用会话密钥kU,S解密MB8，得到Kerberos域资源的身份标识IDS′以及时间戳T’8，验证IDS′是否正确，并验证T’8是否具有新鲜性，若验证通过则认为Kerberos域资源S的身份有效。在有效期lt2内，PKI域用户和Kerberos域资源之间利用会话密钥kU,S实现安全通信。