[發明專利]保護密鑰授權數據的方法、設備和TPM密鑰管理中心

有效

• 申請號: 201410849795.3
• 申請日: 2014-12-30
• 公開（公告）號: CN104618096B
• 公開（公告）日: 2018-10-30
• 發明（設計）人: 施迅;葉思海
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 馮艷蓮

本發明公開了一種保護密鑰授權數據的方法、設備和TPM密鑰管理中心，需要訪問密鑰時向TPM密鑰管理中心臨時申請授權數據，訪問密鑰之后再刪除申請到的授權數據，從而提高了密鑰授權數據的安全性，降低了授權數據泄露和被篡改破壞的可能性。該方法為：第一設備向TPM密鑰管理中心發送授權數據調用請求；所述第一設備為集成TPM功能的物理服務器、虛擬機或終端；所述第一設備接收所述TPM密鑰管理中心返回的用所述第一設備的TPM公鑰加密的授權數據；所述第一設備用所述第一設備的TPM私鑰解密所述授權數據，并用解密后的授權數據訪問密鑰；所述第一設備在完成訪問密鑰之后，刪除接收到的授權數據。

技術領域

本發明涉及信息安全領域，尤其涉及一種保護密鑰授權數據的方法、設備和TPM密鑰管理中心。

背景技術

計算機系統中為提供信息安全防護機制而大量使用的對稱密鑰、私鑰、共享秘密等均屬于敏感數據，這些敏感數據一旦泄露，與其相關的被加密數據的機密性將受到嚴重影響。因此必須提供安全保護機制，防止其以明文的形式保存在系統或代碼中。保護這些敏感數據的機密性，應考慮部署以下防護措施中的一種或多種：

第一種：密鑰加密存儲，為了保護對稱密鑰、私鑰、共享秘密等的機密性，需要對這些信息再進行加密。例如，使用密鑰加密密鑰再對對稱密鑰、私鑰進行加密保存。

第二種：基于硬件的安全保護，將明文對稱密鑰及私鑰的使用限制于物理保護容器(如安全芯片)之內，密鑰的使用(加密、解密等)始終不離開硬件模塊。

第三種：訪問控制，設備提供權限控制功能，限制密鑰僅允許密碼模塊訪問或僅允許高權限的用戶讀取。

可信平臺模塊(英文：Trusted Platform Module，簡稱：TPM)是業界認可的密鑰保護方案，通過集成密鑰和加解密運算引擎，能夠提供基于硬件的敏感信息安全存儲功能，大部分商用計算機都有TPM，主流的通用操作系統也都支持TPM功能，如Microsoft Bitlocker使用TPM保存加密密鑰。

TPM安全芯片是一種含有密碼運算和存儲部件的小型芯片系統，通常由中央處理器(英文：Central Processing Unit，簡稱：CPU)、存儲器、輸入/輸出端口(英文：Input/Output，簡稱：I/O)、密碼運算器、隨機數產生器和嵌入式操作系統等部件組成。TPM標準是由國際工業標準組織——可信計算組織(Trusted Computing Group，TCG)制定的，該標準通過在計算機系統中嵌入一個包含密鑰生成、加解密計算、安全存儲和防篡改功能的芯片，使非法用戶無法對其內部的數據進行訪問更改，從而確保了身份認證和數據加密的安全性。

以TPM為安全存儲根密鑰的信任根，向用戶和應用程序提供TPM密鑰管理應用程序編程接口(英文：Application Programming Interface，簡稱：API)，形成的密鑰分層保護結構如圖1所示，包括：

TPM硬件根密鑰：用于為上層密鑰(如密鑰加密密鑰)提供機密性保護，位于密鑰分層保護結構的底端，由TPM芯片提供，僅限設備本地使用；包括一對公私鑰，以及其它一些密鑰參數信息。其中公鑰是公開的信息，可以通過API讀出；但私鑰是私密的，存放在TPM的安全存儲區域，只在TPM內部使用，沒有任何途徑被讀出到TPM外部。

密鑰加密密鑰：用于為上層工作密鑰提供機密性保護，自身受根密鑰保護。密鑰加密密鑰的職能可以直接由根密鑰兼任。

工作密鑰：用于直接對業務數據或用戶數據進行加解密、簽名和消息認證碼(英文：Message Authentication Code，簡稱：MAC)等操作，包括存儲加密密鑰、預共享密鑰、MAC密鑰、簽名密鑰等。

API：用于為應用程序提供調用的TPM密鑰訪問接口，支持對上述根密鑰、密鑰加密密鑰和工作密鑰的創建、清除、更新和使用等操作。應用程序執行這些操作時都需要指定對應密鑰的授權數據。