[發明專利]用于使一次性口令的使用安全的技術

有效

• 申請號: 201480008538.5
• 申請日: 2014-02-27
• 公開（公告）號: CN105074716B
• 公開（公告）日: 2018-02-02
• 發明（設計）人: R·拉爾;M·E·霍克斯特拉
• 申請（專利權）人: 英特爾公司
• 主分類號: G06F21/45
• 分類號: G06F21/45;H04L9/32
• 代理公司: 上海專利商標事務所有限公司31100
• 代理人: 毛力

技術領域

本文所述的多個實施例一般涉及在計算設備的存儲設備中所定義的用于安全地解密并使用一次性口令的安全飛地的使用。

背景技術

雖然長時間以來口令被用作用于在控制對計算設備和由位于遠程的計算設備所提供的數據/功能的訪問時提供安全的工具，但是，長久以來也存在著對保持不變并在長期時期期間被反復使用的“靜態”口令的使用的擔憂。長時間以來已認可一次性口令(OTP)因其一次使用的性質是更安全的。然而，長時間以來存在著關于如何生成并提供它們的挑戰。

長期存在的解決方案已用于提供微型OTP生成器設備，其授權用戶可攜帶著它們。此類設備經常以信用卡或鑰匙墜的形狀和尺寸出現，并且以示出頻繁變化的OTP的小型字母數字顯示器為特征。由此類設備使用各種算法中的任何算法來生成這些OTP，各種算法通常需要初始的“種子”值和諸如一天中的時刻或單調計數器的當前輸出之類的持續變化的“變量”值。所生成的OTP旨在允許對其訪問的計算設備也執行具有相同種子和變量值的相同算法。結果，微型OTP生成器設備和尋求訪問其的計算設備應當隨時間生成完全相同的OTP，盡管歷經從數月到數年的時期在它們的相對時序上可能有輕微的漂移。

盡管此類微型OTP生成器設備的預設是有效的，并且在伴隨著敏感信息工作的人員之間廣泛地使用，但是需要持有物理設備以便在需要時具有OTP的事實是不方便的。此外，此類設備的用戶發現，如果微型OTP生成器設備被損壞、丟失或僅僅是需要時他們沒有持有，則他們就不能夠使用計算設備的服務。對此的一個提出的解決方案是將OTP生成功能合并進個人所擁有的個人的計算設備中，包括個人最有可能頻繁地著用于多種使用的手持式便攜設備。遺憾的是，對于那些個人擁有的計算設備的頻繁具有的弱安全等級而導致種子和/或變量值可能被破解存在著擔憂。正是針對這些和其他考慮才需要本文所述的多個實施例。

附圖說明

圖1示出多個計算設備之間的交互的第一實施例。

圖2和圖3各自示出圖1的實施例的部分。

圖4示出圖2和圖3的部分的變型。

圖5示出第一邏輯流程的實施例。

圖6示出第二邏輯流程的實施例。

圖7示出第三邏輯流程的實施例。

圖8示出第四邏輯流程的實施例。

圖9示出處理架構的實施例。

具體實施方式

各實施例一般涉及安全飛地(enclave)的預設和使用，該安全飛地在計算設備的存儲設備內由該計算設備的處理器元件定義，并且用于存儲OTP組件實現邏輯的可執行指令，該OTP組件實現邏輯用于生成并使用用于允許對由另一計算設備提供的服務的訪問的一次性口令(OTP)。該安全飛地占據由處理器元件通過使用其指令集中的特定指令而創建的存儲設備中的可尋址位置中的至少一個區間(range)。在各種實現中，由不是存儲在該安全飛地內的軟件進行的訪問可能是不允許的，本質上是高度受限的和/或需要解密。

最初向計算設備提供OTP組件以通過與預設服務器之間的通信來生成并使用OTP，其中，測試計算設備的完整性和/或安全特征的多個方面以確保可信度。此外，在對預設服務器的最初訪問中使用通過完全不同的機制(例如，通過經由郵政服務的信、通過電話呼叫、通過當面的方式等)提供給計算設備的操作者的初始通行碼。假定測試成功完成，則由預設服務器將種子值提供給計算設備。然后，使計算設備執行附加步驟，在這些附加步驟中，利用在該計算設備中生成的密封密鑰對該種子值重新加密，以供稍后由OTP組件使用。

在此類預設之后，每當需要OTP來訪問提供計算設備的操作者力圖訪問的各種服務中的任何服務的賬戶服務器時，都使計算設備重新實例化安全飛地。在對安全飛地的重新實例化之后，將OTP組件和經重新加密的種子值存儲在其中，并且由計算設備的處理器元件在其中執行該OTP組件。同樣，以需要密鑰的生成以對經重新加密的種子值解密的的方式，對存儲在安全飛地中的內容進行完整性進行校驗。如果至少OTP組件的完整性沒有丟失，則所生成的密鑰應當用于對種子值解密。

為了支持這些各種各樣的測試并且在保持計算設備以及預設服務器和賬戶服務器中的每一個之間的通信的完整性時提供支持，該計算設備可合并各種附加特征來防止捕捉操作者的登錄相關的輸入和/或呈現給該操作者的登錄相關的視覺信息的屏幕捕捉。更具體地說，可利用硬件和/或軟件組件來定義用于登錄相關的信息的安全路徑以防止破解。