[發明專利]芯片、生成私鑰的方法和可信證明的方法

有效

• 申請號: 201880064343.0
• 申請日: 2018-10-09
• 公開（公告）號: CN111264044B
• 公開（公告）日: 2021-11-19
• 發明（設計）人: 蔡恒
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/00
• 分類號: H04L9/00;G06F21/64
• 代理公司: 北京龍雙利達知識產權代理有限公司 11329
• 代理人: 周喬;王君

1.一種安全芯片，其特征在于，所述芯片包括安全核模塊和業務核，所述安全核模塊包括：安全核和存儲器，其中，所述安全核模塊對于所述芯片的除所述安全核模塊外的外部模塊訪問隔離，且所述安全核模塊對于所述芯片以外的外部設備訪問隔離；

所述存儲器，用于保存所述芯片的唯一設備秘密UDS；

所述安全核，用于根據層1固件的哈希和所述UDS，生成層1公鑰和層1私鑰；

所述安全核，還用于使用所述層1私鑰對層2證書進行簽名；

所述存儲器，用于保存所述層1私鑰；

所述業務核用于運行業務核固件。

2.如權利要求1所述的芯片，其特征在于，所述安全核，具體用于根據所述層1固件的哈希和所述UDS，確定設備組合身份CDI；根據所述CDI，生成所述層1公鑰和所述層1私鑰。

3.如權利要求1或2所述的芯片，其特征在于，所述安全核模塊的地址在所述外部模塊和所述外部設備能夠訪問的地址范圍之外。

4.如權利要求2所述的芯片，其特征在于，所述安全核還用于根據所述CDI和層2固件哈希，生成層2公鑰和層2私鑰；

所述存儲器還用于保存所述層2私鑰；

所述層2證書中包括所述層2公鑰。

5.如權利要求4所述的芯片，其特征在于，所述安全核，還用于在使用所述層1私鑰對層2證書進行簽名后，將所述層1私鑰刪除。

6.如權利要求4或5中所述的芯片，其特征在于，所述安全核還用于在接收到挑戰設備發送的針對目標數據的驗證請求信息時，運行安全固件，以根據所述層2私鑰對所述目標數據進行簽名，并將簽名后的目標數據發送給所述挑戰設備，以便于所述挑戰設備根據所述層2公鑰對所述簽名后的目標數據進行驗證；

其中，所述安全固件為層1固件和/或層2固件。

7.如權利要求1、2、4、5中任一項所述的芯片，其特征在于，所述安全核還用于在接收到挑戰設備發送的針對目標數據的驗證請求信息時，運行安全固件，以根據所述層1私鑰對所述目標數據進行簽名，并將簽名后的目標數據發送給所述挑戰設備，以便于所述挑戰設備根據所述層1公鑰對所述簽名后的目標數據進行驗證；

其中，所述安全固件為層1固件和/或層2固件。

8.如權利要求1所述的芯片，其特征在于，所述芯片還包括第一輸入輸出接口和第二輸入輸出接口，所述第一輸入輸出接口耦合至所述安全核模塊，所述第二輸入輸出接口耦合至所述業務核。

9.一種生成私鑰的方法，其特征在于，由芯片中的安全核執行，所述安全核位于所述芯片的安全核模塊中，所述安全核模塊還包括用于存儲所述芯片的唯一設備秘密UDS的存儲器，所述安全核模塊對于所述芯片的除所述安全核模塊外的外部模塊訪問隔離，且所述安全核模塊對于所述芯片以外的外部設備訪問隔離，所述方法包括：

所述安全核從存儲器中獲取所述UDS；

所述安全核根據層1固件的哈希和所述UDS，生成層1公鑰和層1私鑰；

所述安全核使用所述層1私鑰對層2證書進行簽名；

所述安全核將所述層1私鑰寫入到所述存儲器中。

10.如權利要求9所述的方法，其特征在于，所述安全核根據層1固件的哈希和所述UDS，生成層1公鑰和層1私鑰，包括：

所述安全核根據所述UDS和所述層1固件的哈希，確定設備組合身份CDI；根據所述CDI，生成所述層1公鑰和所述層1私鑰。

11.如權利要求10所述的方法，其特征在于，所述方法還包括：

所述安全核根據所述CDI和層2固件哈希，生成層2公鑰和層2私鑰；

所述安全核將所述層2私鑰寫入到所述存儲器中；

所述層2證書中包括所述層2公鑰。