[發(fā)明專利]一種基于外部存儲的度量日志加密方法

在審

• 申請?zhí)枺?/td>: 201710046912.6
• 申請日: 2017-01-22
• 公開（公告）號: CN106803046A
• 公開（公告）日: 2017-06-06
• 發(fā)明（設(shè)計）人: 段成德;戴鴻君;于治樓
• 申請（專利權(quán)）人: 濟(jì)南浪潮高新科技投資發(fā)展有限公司
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F21/60
• 代理公司: 濟(jì)南信達(dá)專利事務(wù)所有限公司37100
• 代理人: 孫晶偉

技術(shù)領(lǐng)域

本發(fā)明公開一種度量日志加密方法，涉及可信計算安全領(lǐng)域，具體地說是一種基于外部存儲的度量日志加密方法。

背景技術(shù)

TPM，Trusted Platform Module是可信計算平臺的核心，能夠為可信終端和平臺提供基于硬件的數(shù)據(jù)安全存儲和密碼運算。同時在系統(tǒng)啟動過程中，以TPM硬件中的可信度量根為起點，對系統(tǒng)組件進(jìn)行度量并構(gòu)建信任鏈生成的完整性度量日志，保證系統(tǒng)啟動運行過程中的安全可信。

當(dāng)系統(tǒng)重啟或者開啟發(fā)起本地驗證可信服務(wù)時，會將度量組件的歷史記錄包括特征和對應(yīng)的序列存儲到本地度量存儲日志（Stored Measurement Log，SML）中，由于SML中涉及本機的操作系統(tǒng)版本、系統(tǒng)配置參數(shù)和運行軟件等關(guān)鍵信息，在本地存儲中這些關(guān)鍵信息容易被外部獲取，導(dǎo)致本機配置信息泄露，而是本機進(jìn)一步遭受攻擊或被竊取其他主要信息，造成不可估量的損失。

為此，本發(fā)明提供一種基于外部存儲的度量日志加密方法，通過增設(shè)外部存儲與可信終端連接，將系統(tǒng)的度量日志SML存儲至外部設(shè)備中，利用啟動授權(quán)并加載密鑰，對度量信息進(jìn)行加密，防止系統(tǒng)可信度量信息泄露，保證其度量日志數(shù)據(jù)存儲的安全性，防止本機信息的泄露。

發(fā)明內(nèi)容

本發(fā)明針對現(xiàn)有技術(shù)中SML中涉及本機的操作系統(tǒng)版本、系統(tǒng)配置參數(shù)和運行軟件等關(guān)鍵信息，在本地存儲中這些關(guān)鍵信息容易被外部獲取，導(dǎo)致本機配置信息泄露的問題，提供一種基于外部存儲的度量日志加密方法，具有通用性強、實施簡便等特點，具有廣闊的應(yīng)用前景。

本發(fā)明提出的具體方案是：

一種基于外部存儲的度量日志加密方法：

可信終端包括一外部存儲設(shè)備，可信終端系統(tǒng)發(fā)起本地完整性度量后，將度量日志存儲在外部存儲設(shè)備中，可信終端啟動授權(quán)會話功能和密鑰功能，設(shè)定對外部存儲設(shè)備的操作身份證明并產(chǎn)生的密鑰對度量日志數(shù)據(jù)進(jìn)行加密。

所述可信終端利用TPM協(xié)議啟動會話功能和密鑰功能，設(shè)置會話身份認(rèn)證并利用TPM產(chǎn)生密鑰對度量信息進(jìn)行加密。

所述可信終端系統(tǒng)發(fā)起從信任根到 BIOS、BootLoader、OS到應(yīng)用程序的驗證，對系統(tǒng)組件的特征值產(chǎn)生度量摘要，將度量摘要擴(kuò)展存儲至TPM。

所述可信終端通過TPM命令創(chuàng)建RSA算法的密鑰句柄，加載密鑰句柄和度量日志數(shù)據(jù)，對度量日志數(shù)據(jù)進(jìn)行加密，將加密后的密文存儲至外部存儲設(shè)備中。

所述輸入授權(quán)會話設(shè)定的身份證明進(jìn)行會話驗證，驗證通過，調(diào)用TPM命令攜帶密鑰句柄和密文發(fā)送至TPM中，進(jìn)行解密獲取度量日志數(shù)據(jù)明文。

一種基于外部存儲的度量日志加密系統(tǒng)：

包括可信終端，

其中可信終端包括一外部存儲設(shè)備，

可信終端還包括啟動授權(quán)會話功能和密鑰功能的單元，用于設(shè)定對外部存儲設(shè)備的操作身份證明并產(chǎn)生的密鑰對度量日志數(shù)據(jù)進(jìn)行加密。

所述啟動授權(quán)會話功能和密鑰功能的單元內(nèi)置TPM芯片和對應(yīng)的可信軟件協(xié)議棧TSS。

所述可信終端通過USB接口與外部存儲設(shè)備連接。

本發(fā)明的有益之處是：

本發(fā)明提供一種基于外部存儲的度量日志加密方法，通過增設(shè)外部存儲與可信終端連接，將系統(tǒng)的度量日志SML存儲至外部存儲設(shè)備中，利用啟動授權(quán)并加載密鑰，對度量信息進(jìn)行加密，防止系統(tǒng)可信度量信息泄露，保證其度量日志數(shù)據(jù)存儲的安全性，防止本機信息的泄露。優(yōu)選地，使用TPM協(xié)議支持的會話啟動功能和密鑰管理功能，設(shè)置會話操作身份的認(rèn)證并利用TPM產(chǎn)生的密鑰對度量信息進(jìn)行加密，防止系統(tǒng)可信度量信息泄露，保證其度量日志數(shù)據(jù)存儲的安全性。

附圖說明

圖1本發(fā)明系統(tǒng)框架示意圖；

圖2是本發(fā)明方法流程示意圖。

具體實施方式

本發(fā)明提供一種基于外部存儲的度量日志加密方法：

可信終端包括一外部存儲設(shè)備，可信終端系統(tǒng)發(fā)起本地完整性度量后，將度量日志存儲在外部存儲設(shè)備中，可信終端啟動授權(quán)會話功能和密鑰功能，設(shè)定對外部存儲設(shè)備的操作身份證明并產(chǎn)生的密鑰對度量日志數(shù)據(jù)進(jìn)行加密。

以具體操作實施來對本發(fā)明做進(jìn)一步解釋。

同時提供一種基于外部存儲的度量日志加密系統(tǒng)：

包括可信終端，

其中可信終端包括一外部存儲設(shè)備，

可信終端還包括啟動授權(quán)會話功能和密鑰功能的單元，用于設(shè)定對外部存儲設(shè)備的操作身份證明并產(chǎn)生的密鑰對度量日志數(shù)據(jù)進(jìn)行加密。