[發(fā)明專利]構(gòu)建可信計算池的方法及系統(tǒng)、認證服務(wù)器

在審

• 申請?zhí)枺?/td>: 201510324619.2
• 申請日: 2015-06-12
• 公開（公告）號: CN104935589A
• 公開（公告）日: 2015-09-23
• 發(fā)明（設(shè)計）人: 宋洪濤
• 申請（專利權(quán)）人: 浪潮電子信息產(chǎn)業(yè)股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 濟南信達專利事務(wù)所有限公司 37100
• 代理人: 李世喆

1.構(gòu)建可信計算池的方法，其特征在于，包括：

產(chǎn)生代理端程序，所述代理端程序中包括CA證書；

將所述代理端程序發(fā)送給待認證主機，觸發(fā)待認證主機進行所述代理端程序的安裝；

向待認證主機的代理端程序發(fā)送基準值收集命令；

接收待認證主機的基準值；

接收對所述待認證主機的可信認證請求；

通過待認證主機的代理端程序，獲取所述待認證主機的BIOS度量值、VMM度量值、OS度量值，以及獲取所述待認證主機根據(jù)CA證書產(chǎn)生的認證信息；

根據(jù)所述CA證書以及待認證主機根據(jù)CA證書產(chǎn)生的認證信息，驗證所述待認證主機的合法性，合法性通過后，根據(jù)預(yù)先得到的待認證主機的基準值對待認證主機的BIOS度量值、VMM度量值及OS度量值進行可信認證，將可信認證結(jié)果返回給認證管理平臺，觸發(fā)所述認證管理平臺根據(jù)所述認證結(jié)果執(zhí)行將所述待認證主機加入或不加入可信計算池。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述可信認證請求包括：主機添加請求、認證請求及主機移動請求中的任意一個。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，進一步包括：

通過所述代理端程序獲取所述待認證主機根據(jù)所述CA證書產(chǎn)生的EK公鑰；

根據(jù)獲取的EK公鑰產(chǎn)生EC，并發(fā)送給所述代理端程序；

通過所述代理端程序獲取所述待認證主機根據(jù)EC生成的AIK密鑰；

根據(jù)獲取的AIK密鑰產(chǎn)生所述證言身份證書AIC；

所述待認證主機根據(jù)CA證書產(chǎn)生的認證信息包括：所述待認證主機產(chǎn)生的AIC；

所述根據(jù)所述CA證書驗證所述待認證主機的合法性包括：判斷自身產(chǎn)生的AIC與獲取的所述待認證主機的AIC是否相同，如果相同，則合法性通過。

4.構(gòu)建可信計算池的方法，其特征在于，包括：

接收并安裝代理端程序，該代理端程序中包括CA證書；

根據(jù)接收到的基準值收集命令，通過代理端程序?qū)⒆陨淼幕鶞手蛋l(fā)送給認證服務(wù)器；

根據(jù)所述CA證書產(chǎn)生認證信息；

通過代理端程序?qū)⒆陨淼腂IOS度量值、VMM度量值、OS度量值，以及認證信息發(fā)送給認證服務(wù)器。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述認證信息包括：AIC；

所述根據(jù)所述CA證書產(chǎn)生認證信息包括：根據(jù)所述CA證書產(chǎn)生EK公鑰，并發(fā)送給認證服務(wù)器；接收認證服務(wù)器根據(jù)EK公鑰產(chǎn)生并發(fā)來的EC；根據(jù)接收到的EC生成AIK密鑰，并發(fā)送給認證服務(wù)器，以及根據(jù)AIK密鑰生成所述AIC。

6.一種認證服務(wù)器，其特征在于，包括：

代理端程序產(chǎn)生單元，用于產(chǎn)生代理端程序，所述代理端程序中包括CA證書；

第一交互處理單元，用于將代理端程序產(chǎn)生單元所產(chǎn)生的代理端程序發(fā)送給待認證主機；向待認證主機的代理端程序發(fā)送基準值收集命令；接收待認證主機的基準值；通過待認證主機的代理端程序，獲取所述待認證主機的BIOS度量值、VMM度量值、OS度量值，以及獲取所述待認證主機根據(jù)CA證書產(chǎn)生的認證信息；

第二交互處理單元，用于接收對所述待認證主機的可信認證請求；

合法性認證單元，用于在所述第二交互處理單元接收到所述可信認證請求后，根據(jù)代理端程序產(chǎn)生單元所產(chǎn)生的所述CA證書以及第一交互處理單元接收到的認證信息，驗證所述待認證主機的合法性，

可信認證單元，用于在所述合法性認證單元合法性通過后，根據(jù)預(yù)先得到的待認證主機的基準值對待認證主機的BIOS度量值、VMM度量值及OS度量值進行可信認證，將可信認證結(jié)果返回給認證管理平臺，觸發(fā)所述認證管理平臺根據(jù)所述認證結(jié)果執(zhí)行將所述待認證主機加入或不加入可信計算池。

7.根據(jù)權(quán)利要求6所述的認證服務(wù)器，其特征在于，所述合法性認證單元中包括：

AIC獲取子單元，所述AIC獲取子單元通過所述第一交互單元獲取所述待認證主機根據(jù)所述CA證書產(chǎn)生的EK公鑰；根據(jù)獲取的EK公鑰產(chǎn)生EC，并通過第一交互處理單元發(fā)送給待認證主機的所述代理端程序；通過第一交互處理單元獲取所述待認證主機根據(jù)EC生成的AIK密鑰；根據(jù)獲取的AIK密鑰產(chǎn)生所述證言身份證書AIC；

AIC認證子單元，判斷AIC獲取子單元產(chǎn)生的AIC與第一交互處理單元獲取的所述待認證主機的AIC是否相同，如果相同，則合法性通過。