[發明專利]一種可信道系統及其實現方法

有效

• 申請號: 201610649191.3
• 申請日: 2016-08-09
• 公開（公告）號: CN106326751B
• 公開（公告）日: 2019-04-19
• 發明（設計）人: 徐明迪;任正偉;明瑞揚;沈楚楚;劉毅
• 申請（專利權）人: 中國船舶重工集團公司第七0九研究所
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 武漢河山金堂專利事務所(普通合伙) 42212
• 代理人: 胡清堂

1.一種可信道系統，其特征在于，該系統包括設置在DeltaOS TA內的第一可信平臺模塊子系統和第一完整性度量子系統，設置在DeltaOS內核中的第二可信平臺模塊子系統、第二完整性度量子系統和可信軟件棧子系統，以及設置在DeltaOS應用程序中的應用模塊；

第一可信平臺模塊子系統用于實現TPM2.0的密碼運算、命令執行以及寄存器的配置工作，對第一完整性度量子系統的請求命令進行接收處理；

第一完整性度量子系統通過調用第一可信平臺模塊子系統實現對DeltaOS內核文件的完整性度量和完整性存儲；

第二可信平臺模塊子系統用于實現TPM 2.0的密碼運算、命令執行和平臺寄存器以及COMP Socket通信協議系統的配置，對第二完整性度量子系統、可信軟件棧子系統的請求命令進行接收處理，第二可信平臺模塊子系統通過讀取第一可信平臺模塊子系統的第一平臺配置寄存器獲取DeltaOS內核文件的完整性信息；

第二完整性度量子系統通過第二可信平臺模塊子系統實現對DeltaOS應用程序文件的完整性度量和完整性存儲；

可信軟件棧子系統實現TSS 2.0的系統API和用戶API，對第二可信平臺模塊子系統的二進制命令流進行函數式封裝，可信軟件棧子系統是應用模塊和第二可信平臺模塊子系統之間的訪問通道；

其中，可信軟件棧子系統的任務優先級高于DeltaOS內核驅動的任務優先級，且低于第二可信平臺模塊子系統的任務優先級。

2.根據權利要求1所述的一種可信道系統，其特征在于，第一可信平臺模塊子系統包括第一密碼模塊、第一命令模塊和第一平臺配置寄存器；

第一密碼模塊內包含有第一雜湊算法、第一隨機數生成算法和第一算法自檢；

第一命令模塊內包含有第一完整性存儲命令、第一平臺配置寄存器初始化命令和用于雜湊計算的第一完整性度量命令，第一命令模塊調用第一密碼模塊中的各密碼算法實現完整性度量，第一命令模塊對第一平臺配置寄存器的第一完整性存儲單元進行初始化清零操作；

第一平臺配置寄存器用于存儲DeltaOS內核文件的完整性度量值。

3.根據權利要求1所述的一種可信道系統，其特征在于，第二可信平臺模塊子系統包括第二密碼模塊、第二命令模塊、第二平臺配置寄存器和數據通信模塊；

第二密碼模塊內包含有第二雜湊算法、第二隨機數生成算法、對稱加密算法、非對稱加密算法、數字簽名算法和第二算法自檢；

第二命令模塊內包含有第二完整性存儲命令、第二平臺配置寄存器初始化命令、數據密封存儲命令、密鑰管理命令和使用者管理命令，以及用于雜湊計算的第二完整性度量命令；第二命令模塊調用第二密碼模塊中的各密碼算法，第二命令模塊對第二平臺配置寄存器的第二完整性存儲單元進行初始化清零操作；

第二可信平臺模塊子系統讀取第一可信平臺模塊子系統中的第一平臺配置寄存器，把DeltaOS內核的完整性度量值復制到第二平臺配置寄存器中；

第二平臺配置寄存器用于存儲DeltaOS應用程序文件的完整性度量值。

4.根據權利要求3所述的一種可信道系統，其特征在于，可信軟件棧子系統包括系統API模塊和用戶API模塊；

所述系統API模塊包括第二通信套接字、第三通信套接字、第二字節流序列化單元和第二命令包發送與接收單元；系統API模塊實現通信套接字和字節流序列化，用于與數據通信模塊建立COMP Socket連接，建立可信軟件棧子系統與第二可信平臺模塊子系統之間的通信；

所述用戶API模塊包括用戶API模塊接口和第四通信套接字；數據通信模塊包括第一通信套接字、第一字節流序列化單元和第一命令發送與接收單元；用戶API模塊實現通信套接字，用于與系統API模塊建立COMP Socket連接，實現應用模塊與可信軟件棧子系統之間的通信。

5.根據權利要求1所述的一種可信道系統，其特征在于，應用模塊包括應用安全功能模塊和用戶API模塊訪問接口。