[發明專利]一種面向工控可信計算平臺的高效遠程證明方法

在審

• 申請號: 201710671181.4
• 申請日: 2017-08-08
• 公開（公告）號: CN107395366A
• 公開（公告）日: 2017-11-24
• 發明（設計）人: 高明超;岳笑含
• 申請（專利權）人: 沈陽東青科技有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/30;H04L9/08;H04L29/06
• 代理公司: 沈陽亞泰專利商標代理有限公司21107
• 代理人: 史力伏

技術領域

本發明涉及信息安全領域，特別是涉及一種面向工控可信計算平臺的高效遠程證明方法。

背景技術

隨著互聯網技術、物聯網技術的快速發展以及中國制造2025、工業4.0革命的到來，工業控制系統連接到信息網絡的需求日益增加，隨之產生的工控系統的信息安全問題變得日益突出。而早期孤島式的工控系統在通訊協議、操作系統、安管策略與管理流程、應用軟件等方面埋下的安全隱患使得工控系統信息安全漏洞百出，從2010年伊朗的“震網(Stuxnet)”病毒的爆發到2016年德國貢德雷明根核電站發現“W32.Ramnit”病毒，引發了各國對工控系統信息安全的廣泛關注。為確保計算終端安全性可信計算組織(Trusted Computing Group，TCG)提出了可信計算的概念，并制定了相關的標準用于保障計算平臺的安全性。

在可信計算標準中為證明平臺可信性，TCG提出了兩種遠程證明方法，一是直接匿名認證方法，但該方法基于多種密碼學原型且較為復雜不易部署實現；二是基于隱私CA(Privacy Certification Authority)的認證，該方案沿用了PKI(Public KeyInfrastructure)體系架構，但目前仍未有可用的商業模型且整體架構存在性能問題。上述兩種方法均為確保平臺用戶的隱私性，因此在性能方面較為低下且體系結構復雜，無法滿足工業控制領域所要求的實時性和可用性，尤其是，在工業控制場景下，無需對工控計算平臺用戶進行隱私保護。

發明內容

本發明就是針對現有技術存在的缺陷，提供面向工控可信計算平臺的高效遠程證明方法，其能夠解決工業控制環境下可信計算平臺遠程證明方法部署難度大和實時性低等問題。在實現遠程證明基礎上能夠確保工業控制環境下證明方法的易部署性和實時性。

為實現上述目的，本發明采用如下技術方案；包括：

可信平臺客戶端、遠程驗證服務器及私鑰頒發中心。

所述可信平臺客戶端包括可信平臺模塊TPM(Trusted Platform Module)及遠程證明模塊。

所述的遠程驗證服務器用于驗證可信平臺客戶端所生成的簽名值，為通過驗證的可信平臺客戶端提供服務。

所述的私鑰頒發中心用于根據TPM唯一ID為可信平臺客戶端頒發簽名私鑰，負責TPM唯一ID值的管理(包括查找及撤銷)。

所述的可信平臺模塊TPM不直接與外界實體進行交互，由遠程證明模塊實現與外界實體間的交互；所述的遠程證明模塊協助可信平臺模塊TPM向私鑰頒發中心獲取根據其唯一ID生成的簽名私鑰，利用獲得的簽名私鑰向遠程驗證服務器證明客戶端所在的平臺為可信平臺。

進一步地，所述的可信平臺客戶端為：在工業控制環境下，用于工控的計算平臺客戶端均嵌入可信平臺模塊TPM，且(所有設備的軟硬件)須遵循可信計算組織提出的標準。

進一步地，所述的唯一ID，是在可信平臺模塊安全芯片出廠時由生產廠家所制定的全球唯一ID值。

進一步地，所述的簽名私鑰由私鑰頒發中心為可信平臺模塊TPM頒發，存儲在TPM安全芯片內部；可信平臺客戶端可以使用該私鑰生成簽名值向遠程驗證服務器證明其平臺的可信性，該簽名私鑰可以讓可信平臺客戶端向遠程驗證服務器證明其擁有可信平臺模塊TPM，平臺的可信性由可信平臺模塊TPM及客戶端平臺配置信息來保證。

一種面向工控可信計算平臺的高效遠程證明方法；包括以下步驟：

步驟1：私鑰頒發中心生成遠程證明相關密碼學參數；包括以下步驟：

步驟1-1：基于在橢圓曲線上的雙線性配對，選擇階為素數p的乘法循環群G，令g為循環群的生成元，且有e：G×G→G_T成立，其中e為雙線性映射，G_T為映射群。

步驟1-2：隨機選擇一個主密鑰其中為階p整數域，并計算公鑰pk＝g^mk。

步驟1-3：選擇兩個哈希函數：Hash₂：{0，1}^*→G，其中{0，1}^*表示任意長度二進制流，表示乘法群。

通過上述步驟，私鑰頒發中心生成的公開參數為(g，pk，Hash₁，Hash₂)，私有參數為主密鑰mk。

步驟2：私鑰頒發中心向可信平臺模塊TPM頒發簽名私鑰，包含以下步驟：