[發明專利]可信遠程證明方法、裝置和系統

有效

• 申請號: 201711015965.8
• 申請日: 2017-10-25
• 公開（公告）號: CN109714168B
• 公開（公告）日: 2022-05-27
• 發明（設計）人: 付穎芳;肖鵬
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/40
• 代理公司: 北京博浩百睿知識產權代理有限責任公司 11134
• 代理人: 宋子良

本申請公開了一種可信遠程證明方法、裝置和系統。其中，該方法包括：接收第一業務可信服務器發送的挑戰請求，并獲取挑戰請求中第一業務可信服務器的待驗證信息；向可信遠程證明服務器發送驗證請求，其中，驗證請求包括：第一業務服務器的待驗證信息，獲取可信遠程證明服務器返回的驗證響應。本申請解決了由于相關技術遠程證明機制中存在策略部署過程中對服務器終端運行產生影響以及采用明文傳輸導致的信息安全的技術問題。

技術領域

本申請涉及互聯網技術應用領域，具體而言，涉及一種可信遠程證明方法、裝置和系統。

背景技術

在云環境中，針對服務器平臺系統軟硬件配置動態變化的場景中，服務器之間進行交互時，如何相互鑒別通信方是來自一個合法可信平臺的合法用戶請求。

其中，在相關技術中基于可信平臺模塊(Trusted Platform Module，簡稱TPM)的遠程證明(TPM-Based Remote Attestation,簡稱TRA)是對目標完整性做出承諾的一種活動。具體來講，就是挑戰者依據目標提供的完整性證據對其狀態做出是否完整的決策。這一活動涉及到以下一些術語：

(1)挑戰者(Challenger)：是對目標做出完整性承諾的參與者。

(2)目標(Target)：是提供完整性證據，證明其狀態完整的參與者。

(3)可信平臺模塊(TPM)：為證據提供完整性和真實性保障的安全芯片，一般通過物理方式被強綁定到計算平臺。

(4)基于TPM的遠程證明協議(TPM-Based Remote Attestation Protocol,TRAP)：是一個包括挑戰者、目標、可信平臺模塊三方參與的協議。協議的目標是給挑戰者提供具有權威性的證據，為挑戰者正確決策提供證據保障。

在相關技術中在初始化階段中，基于TPM的遠程證明機制在初始化部署校驗策略的時候，將平臺配置基準值寫入TPM的PCR中，在其啟動后再生效，這針對基本輸入輸出系統(Basic input Output System，簡稱BIOS)，基板管理控制器(Baseboard ManagementController，簡稱BMC)等固件，及系統OS內核或應用軟件不斷更新的場景，會因平臺配置及系統軟硬件的更新，而至校驗策略的更新及重啟設備，造成校驗策略管理的困難，及業務運營的中斷；也常因校驗策略的更新失誤，導致校驗通不過，系統啟動不起來；

并且，在證明階段，基于TPM的遠程證明機制中SML或PCR10在傳輸過程中是明文傳輸的，這在傳輸過程中，如果信息被截獲，將泄露其隱私；同時，因其對挑戰者是完全開放的，因此其對挑戰者而言，也沒有提供隱私保護能力。

針對上述由于相關技術遠程證明機制中存在策略部署過程中對服務器終端運行產生影響以及采用明文傳輸導致的信息安全的問題，目前尚未提出有效的解決方案。

發明內容

本申請實施例提供了一種可信遠程證明方法、裝置和系統，以至少解決由于相關技術遠程證明機制中存在策略部署過程中對服務器終端運行產生影響以及采用明文傳輸導致的信息安全的技術問題。

根據本申請實施例的一個方面，提供了一種可信遠程證明方法，包括：接收第一業務可信服務器發送的挑戰請求，并獲取挑戰請求中第一業務可信服務器的待驗證信息；向可信遠程證明服務器發送驗證請求，其中，驗證請求包括：第一業務服務器的待驗證信息；獲取可信遠程證明服務器返回的驗證響應。

可選的，挑戰請求包括：第一業務可信服務器的證書、通過第二業務可信服務器公鑰加密的第一業務可信服務器的序列號和第一隨機數、以及通過可信遠程證明服務器公鑰加密的第一業務可信服務器的各部件及對應的度量策略標識。