[發明專利]用于訪問計算設備的可信平臺模塊的方法和系統

有效

• 申請號: 201610204923.8
• 申請日: 2016-04-05
• 公開（公告）號: CN107292176B
• 公開（公告）日: 2021-01-15
• 發明（設計）人: 李天河;唐文蔚
• 申請（專利權）人: 聯想企業解決方案(新加坡)有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 王茂華

本公開的實施例涉及用于訪問計算設備的可信平臺模塊的方法和系統。公開了一種訪問計算設備中的可信平臺模塊的方法。該方法包括：(a)將平臺授權密鑰存儲在包括可信平臺模塊的計算設備的存儲器中，平臺授權密鑰用于許可對可信平臺模塊的訪問；(b)在計算設備請求對可信平臺模塊的訪問時，獲得數字簽名，數字簽名至少使用用于配置可信平臺模塊的命令而被生成；(c)驗證數字簽名；和(d)如果驗證數字簽名，則允許從計算設備的存儲器對平臺授權密鑰的檢索，以便訪問可信平臺模塊，但是否則拒絕對平臺授權密鑰的檢索。

技術領域

本公開涉及用于訪問計算設備的可信平臺模塊(TPM)的方法和系統，例如涉及用于執行TPM平臺層級認證的方法和系統。

背景技術

TPM是安全密碼處理器，其通過將密碼密鑰集成到設備中來專用于安全硬件。TPM2.0模塊具有三個層級，即平臺層級、存儲層級和支持層級。層級中的每一個層級經由授權值而由對應的控制域控制。例如，平臺層級由平臺固件控制域控制并且其訪問要求以platformAuth值的形式的授權密鑰。授權值需要小心處理，這是因為其公開或者暴露可能導致嚴重的安全破壞。

一旦系統重置或者啟動，則TPM就由系統固件接口可訪問，并且platformAuth的值是空的。常規地，為了之后防止任何未授權的訪問，系統固件將platformAuth值設定到隨機數，以鎖定對平臺固件控制域的訪問。隨后，從存儲器清除platformAuth值，使得平臺層級在統一可擴展固件接口(UEFI)POST之后變為不可訪問。

然而，上文過程使重新配置TPM繁瑣。例如，無論何時需要對計算機系統的TPM做出改變，諸如TPM的安全設置的改變，重新啟動計算機系統來做出改變是必要的。這是費力并且耗費時間的，并且特別地當需要對多個計算機系統做出改變時。注意，該問題對于計算機系統的領域是固有的。

因此，期望具有用于執行平臺固件控制域認證的改進的方法和系統。

發明內容

一般而言，本公開提出了將平臺授權密鑰存儲在計算設備的存儲器中，并且在允許對存儲器的訪問以檢索平臺授權密鑰之前使用數字簽名驗證TPM命令的真實性。注意，本公開解決固有地起因于并且存在于計算機的領域中的問題。

根據第一方面，提供了一種訪問計算設備中的可信平臺模塊的方法，該方法包括：

(a)將平臺授權密鑰存儲在計算設備的、包括可信平臺模塊的存儲器中，平臺授權密鑰被用于許可對可信平臺模塊的訪問；

(b)在計算設備請求對可信平臺模塊的訪問時，獲得數字簽名，數字簽名至少使用用于配置可信平臺模塊的命令而被生成；

(c)驗證數字簽名；以及

(d)如果數字簽名被驗證，則允許從計算設備的存儲器對平臺授權密鑰的檢索以便訪問可信平臺模塊，但是否則拒絕平臺授權密鑰的檢索。

在一個實施例中，將平臺授權密鑰被存儲在計算設備的安全存儲器中。例如，安全存儲器是系統管理存儲器部件，其是運行在系統管理模式下并且由計算設備的處理器可訪問的。

在一個實施例中，操作(b)可以包括生成對可信平臺模塊的模塊標識符和命令進行編碼的命令數據包；并且將命令數據包傳送給簽名服務器以獲得數字簽名。

在一個實施例中，模塊標識符被存儲在存儲器中，并且該方法包括檢索模塊標識符以便生成命令數據包的操作。

在一個實施例中，該方法還包括驗證模塊標識符，并且還可以在對模塊標識符的成功驗證時，還檢索平臺授權密鑰。

在一個實施例中，存儲器可以存儲密碼密鑰，并且數字簽名通過使用密碼密鑰對命令數據包簽名而被驗證。

在一個實施例中，可以在傳輸之前對命令數據包進行加密。