[發明專利]一種保護平臺信息的可信OpenSSH的實現方法

無效

• 申請號: 201010140901.2
• 申請日: 2010-04-02
• 公開（公告）號: CN101834852A
• 公開（公告）日: 2010-09-15
• 發明（設計）人: 常曉林;韓臻;劉吉強;王紹創;左向暉;黃珊
• 申請（專利權）人: 北京交通大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L9/30
• 代理公司: 北京正理專利代理有限公司 11257
• 代理人: 張占榜

技術領域

本發明涉及一種保護平臺信息的可信OpenSSH的實現方法，屬于計算機信息安全領域。

背景技術

SSH(Secure?Shell)協議是IETF的網絡工作小組制定了一個安全協議，用于保護客戶端與服務器端之間傳輸的數據。SSH協議采用了分層結構設計，包括四個子協議：SSH傳輸層子協議、用戶認證子協議、連接子協議和文件傳輸子協議。客戶端與服務器端利用SSH協議進行通信時，首先執行的是SSH傳輸層子協議，它負責在服務器和客戶端建立安全信道，該子協議包括協議版本交換、參數協商(參數協商過程需要協商的內容包括密鑰交換方法、身份認證算法、哈希算法、加密算法和壓縮算法這五類)、會話密鑰交換三個過程，該子協議運行結束后將協商出一個會話密鑰，用于加密用戶認證階段的認證信息、連接階段通信雙方的通信數據和文件傳輸階段通信雙方的通信數據。OpenSSH是一個完整地實現了SSH協議的免費開源軟件包。

計算機信息的安全問題很難單靠軟件解決，為了解決現有PC機的不安全問題，從根本上提高其可信性，可信計算平臺聯盟TCPA(后來更名為TCG)提出通過增強現有的終端體系結構的安全性來保證整個系統的安全，核心思想是在硬件平臺上引入具有安全存儲和加密功能的可信平臺模塊(又稱為可信芯片)TPM。可信計算平臺以TPM為信任根，借助其他可信度量模塊對系統平臺配置進行度量，然后安全地將系統運行情況記錄在TPM中的平臺配置寄存器(PCR)，同時在系統保存代表了被驗證的可信平臺的完整性度量歷史的度量存儲日志SML(storage?measurement?log)。遠程用戶根據SML和相關PCR值來判斷該運行環境是否可信、某些環節是否出現安全問題，這一過程被稱作遠程證明。在TCG規范中，TPM使用身份證明密鑰AIK(attestation?identity?key)來證明自己的身份，凡是經過AIK簽名的實體，都表明已經經過TPM的處理。為了防止重放、篡改、假冒等攻擊，遠程證明要求被驗證的一方要使用AIK對數據進行簽名。

目前許多損害終端的攻擊是通過注入惡意代碼而不是通過損害安全信道來實施的，這造成了一個終端在與未知端點通信時，即使使用安全信道，仍然可能遭受一系列攻擊。為解決該問題，北京交通大學常曉林設計了一個基于OpenSSH的可信信道(申請號201010100818.2，一種有效的可信OpenSSH的實現方法)，但是在該專利所提供的方法中，通信雙方的平臺信息以明文方式傳輸，導致了通信雙方平臺信息的泄露。

發明內容

本發明的目的是提供一種保護平臺信息的可信OpenSSH的實現方法，在實現可信信道的同時保證了通信雙方的平臺信息在網絡傳輸過程中的秘密性。

本發明的技術方案為：

一種保護平臺信息的可信OpenSSH的實現方法，方法的組件包括功能增強的會話密鑰交換模塊，方法的具體步驟如下：

步驟1，可信客戶端確定三個變量min、n、max的值，然后發送給可信服務器端；

步驟2，可信服務器端根據收到的信息生成Diffie-Hellman公開密鑰算法的全局公開參數p和g，然后發送給可信客戶端；

步驟3，可信客戶端收到p和g后，首先選擇一個小于p且大于1的正整數x，然后計算k^c＝g^xmodp，最后將k^c發送給可信服務器端；其中k^c為可信客戶端生成的值；