[發明專利]一種基于安全芯片的配電終端管理方法

在審

• 申請號: 201310712807.3
• 申請日: 2013-12-20
• 公開（公告）號: CN103647651A
• 公開（公告）日: 2014-03-19
• 發明（設計）人: 徐震;于愛民;汪丹;穆振;趙保華;王志皓
• 申請（專利權）人: 國家電網公司;中國電力科學研究院;中國科學院信息工程研究所;國網四川省電力公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;G06F21/34;G06Q50/06
• 代理公司: 北京安博達知識產權代理有限公司 11271
• 代理人: 徐國文

技術領域

本發明涉及一種管理方法，具體涉及一種基于安全芯片的配電終端管理方法。

背景技術

網絡技術不斷發展和網絡規模的持續擴大，隨之而來的一個安全威脅是現代網絡環境下用戶可能使用各類終端設備進行實施網絡訪問，如果終端設備不安全，則很有導致用戶或者服務提供者的秘密信息遭到竊取或篡改。

目前，基于TPM/TCM等可信芯片為終端設備建立身份已得到了工業界和學術界的普遍重視和深入研究，部分研究結果也以規范標準的形式被相關國際及國內研究機構和組織制定和發布。該類方法的基本思路是在生產商在生產時為每個終端設備硬件綁定一個可信計算芯片TPM/TCM，每個芯片都內嵌一個唯一的公私鑰對EK（Endorsement?Key），由芯片對私鑰部分實施硬件級保護，公鑰部分由生產商通過公鑰證書的形式發布。當需要為終端建立身份時，TPM/TCM首先利用EK與負責頒發平臺身份證書的身份權威（又稱隱私CA，Privacy-CA）建立認證信道，通過該信道隱私CA確認當前終端設備是由可信的終端廠商生產，并且與一個硬件安全的可信計算芯片TPM/TCM相綁定。然后TPM/TCM將產生一對稱為AIK（/PIK）的公私鑰對，將公鑰通過認證信道發送給隱私CA。由隱私CA為其生成AIK/PIK的公鑰證書，則該AIK/PIK證書即成為該平臺的身份證書。在網絡活動中，驗證者可以通過AIK/PIK證書驗證消息是否來自于已建立身份的終端設備。在上述身份建立過程中，對應一個EK，隱私CA可頒發多個AIK（/PIK）證書給該平臺，因此這種方式可以使得在網絡活動中終端設備隱藏自己的唯一性標識，一定程度上可以保證終端的隱私性。

Brickell等人提出了直接匿名證明方案(Direct?Anonymous?Attestation，DAA)，隨后相關研究者在該方案思想的指導下，基于不同的簽名機制給出了各種直接匿名證明協議。DAA方案的主要思想是通過零知識證明機制，使得TPM/TCM向驗證者證明身份時，無需出示由身份權威簽發的平臺身份證書，從而保證了驗證方無法與身份權威合謀從而侵犯終端平臺的隱私性。

考慮電網中的情況，基于TPM/TCM芯片的終端身份建立方法仍然存在不足。目前基于EK證書建立的認證信道僅僅可以驗證該設備是由合法廠商生產并且相關部件是安全的，但不誠實的公司員工可以通過將一臺裝有可信芯片的私人PC機通過同樣的方式加入該網絡，從而實現訪問公司網絡資源的目的。

發明內容

為了克服上述現有技術的不足，本發明提供一種基于安全芯片的配電終端管理方法，針對身份的建立、認證、撤銷方面，都設置了安全驗證檢查，提高了系統的安全性與可信性，具有很強的通用性。

為了實現上述發明目的，本發明采取如下技術方案：

本發明提供一種基于安全芯片的配電終端管理方法，所述配電終端和安全芯片通過物理方式進行綁定，構成了配電終端設備；所述方法包括以下步驟：

步驟1：生成背書密鑰EK；

步驟2：配電終端身份建立；

步驟3：配電終端身份認證；

步驟4：更新背書密鑰EK。

所述步驟1包括以下步驟：

步驟1-1：生產配電終端設備的可信終端廠商和給配電終端頒發身份的身份權威分別進行初始化，通過初始化生成可信終端廠商的公鑰PK_c和私鑰SK_c，以及配電終端身份權威的公鑰PK_I和私鑰SK_I；

步驟1-2：對于配電終端設備，可信終端廠商為該配電終端生成背書密鑰EK。

所述步驟1-1中，可信終端廠商進行初始化，生成可信終端廠商的公鑰PK_c和私鑰SK_c，包括以下步驟：

1）選擇雙線性映射e_C:G_C1×G_C1→G_C2，其中G_C1，G_C2為素數q階循環群，g_C1和g_C2分別為G_C1和G_C2的生成元；