[發明專利]一種平臺完整性的證明方法

在審

• 申請號: 201410536901.2
• 申請日: 2014-10-13
• 公開（公告）號: CN104270376A
• 公開（公告）日: 2015-01-07
• 發明（設計）人: 蘇振宇
• 申請（專利權）人: 浪潮電子信息產業股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 濟南信達專利事務所有限公司 37100
• 代理人: 姜明

技術領域

本發明涉及計算機安全技術領域，具體地說是一種實用性強、基于可信加密芯片的平臺完整性的證明方法。

背景技術

平臺完整性證明就是通過身份憑證證明可信計算平臺真實身份的過程，一般可信計算平臺的身份是用安全芯片標識的，平臺完整性證明實質上即認證TPM/TCM安全芯片身份。可信計算組織TCG的Privacy?CA認證方法在可信第三方的協助下只是減少了平臺身份隱私信息的泄露，但該方法并不保證平臺身份隱私，因此無法證明平臺的完整性。

基于此，現提供一種平臺完整性的證明方法，本發明通過在報告完整性度量值時，平臺身份密鑰對完整性度量值進行數字簽名，接收方通過驗證簽名有效性以及校驗完整性度量值來判斷該平臺的可信性，有效解決上述問題。

發明內容

本發明的技術任務是針對以上不足之處，提供一種實用性強、平臺完整性的證明方法。

一種平臺完整性的證明方法，其具體實現過程為：

首先由可信計算平臺報告其完整性：

設置可信計算平臺，該可信計算平臺內置可信密碼芯片和平臺身份證書，該可信計算平臺連接可信第三方和驗證者平臺；

可信計算平臺啟動后，外部可信第三方向可信計算平臺發送完整性度量報告的請求；

可信密碼芯片收集來報告數值后對該數值進行簽名；

可信計算平臺將報告數值、簽名和平臺身份證書發送給驗證者平臺的驗證者；

驗證者驗證該驗證者平臺的完整性：

驗證者得到可信計算平臺發送的報告數值，簽名和平臺身份證書；

驗證者在該驗證者平臺上驗證平臺身份證書；

驗證者驗證簽名；

驗證者對報告數值與平臺的完整性基準值進行比較，若相同則表明當前驗證者平臺處于可信狀態。

所述可信密碼芯片內置平臺配置寄存器PCR、密碼模塊密鑰EK、平臺身份密鑰PIK和芯片證書，其中

密碼模塊密鑰EK是唯一的，標識可信計算平臺的身份，當獲取可信計算平臺的所有者操作及申請平臺身份證書時使用，不能被導出可信加密芯片外部；

平臺身份密鑰PIK是在該可信計算平臺所有者授權下，生成一個密鑰對，用于對可信密碼芯片內部的信息進行數字簽名，實現平臺身份認證和平臺完整性報告；

平臺身份密鑰PIK設計有若干個，每個PIK均與密碼模塊密鑰EK綁定，對外代表平臺身份；

平臺身份證書由可信第三方提供，用于驗證平臺身份密鑰PIK對平臺配置寄存器PCR值的簽名。

所述可信計算平臺報告其完整性時，可信密碼芯片收集PCR的值，使用平臺身份密鑰PIK對平臺配置寄存器PCR的值進行簽名；可信計算平臺將平臺配置寄存器PCR的值、平臺身份密鑰PIK對平臺配置寄存器RCR值的簽名和平臺身份證書證書發送給驗證者；

相對應的，驗證者驗證驗證者平臺的完整性時，完成下述動作：驗證者得到平臺發送的平臺配置寄存器PCR值、平臺身份密鑰PIK對平臺配置寄存器PCR值的簽名和平臺身份證書；驗證者驗證平臺身份證書；驗證者驗證平臺配置寄存器PCR值的簽名；驗證者對平臺配置寄存器PCR的值與驗證者平臺的完整性基準值進行比較，若相同則表明當前驗證者平臺處于可信狀態。

本發明的一種平臺完整性的證明方法，具有以下優點：

該發明的一種平臺完整性的證明方法通過利用可信加密芯片，平臺可以向外部實體提供完整性報告，接收方通過所報告的度量值來判斷該平臺的可信性；實用性強，平臺身份隱私性能良好，有效證明平臺完整性，適用范圍廣泛，易于推廣。

附圖說明

附圖1為本發明的實現架構圖。

具體實施方式

下面結合附圖和具體實施例對本發明作進一步說明。

本發明提供一種平臺完整性的證明方法，平臺可向外部實體提供完整性報告，所報告的度量值作為判斷平臺可信性的依據。報告完整性度量值時，平臺身份密鑰對完整性度量值進行數字簽名，接收方通過驗證簽名有效性以及校驗完整性度量值來判斷該平臺的可信性。如附圖1所示，其具體實現過程為：

首先由可信計算平臺報告其完整性：

設置可信計算平臺，該可信計算平臺內置可信密碼芯片和平臺身份證書，該可信計算平臺連接可信第三方和驗證者平臺；

可信計算平臺啟動后，外部可信第三方向可信計算平臺發送完整性度量報告的請求；

可信密碼芯片收集來報告數值后對該數值進行簽名；

可信計算平臺將報告數值、簽名和平臺身份證書發送給驗證者平臺的驗證者；