[發(fā)明專利]一種基于可信計算雙體系架構的可信連接方法

有效

• 申請?zhí)枺?/td>: 201910604540.3
• 申請日: 2019-07-05
• 公開（公告）號: CN110401640B
• 公開（公告）日: 2021-10-22
• 發(fā)明（設計）人: 孫瑜;王濤;洪宇;于洪偉;王大海
• 申請（專利權）人: 北京可信華泰信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/06;H04L29/08
• 代理公司: 北京天悅專利代理事務所(普通合伙) 11311
• 代理人: 田明;楊方

1.一種基于可信計算雙體系架構的可信連接方法，其特征在于，應用于可信計算系統(tǒng)，所述可信計算系統(tǒng)包括可信安全管理平臺和與所述可信安全管理平臺連接的至少兩個可信節(jié)點；

所述可信安全管理平臺用于在所述至少兩個可信節(jié)點之間進行網絡連接時，在可信連接雙方在認證過程中，通過可信安全管理平臺作為第三方進一步驗證對方狀態(tài)的可信性，從而保證可信節(jié)點之間的通信安全；

所述可信節(jié)點包括并行的計算部件和防護部件；所述計算部件用于執(zhí)行計算任務，所述計算部件與所述防護部件之間具有安全隔離機制，通過專用訪問通道進行交互；

所述可信連接方法包括：

在所述可信節(jié)點對對端可信節(jié)點發(fā)起網絡連接時，所述可信節(jié)點與所述對端可信節(jié)點均通過所述可信安全管理平臺對對方的身份和狀態(tài)進行可信認證，認證通過后，所述可信節(jié)點與所述對端可信節(jié)點建立網絡連接，建立完成后進行數據傳輸；

所述可信連接具體步驟包括：

（1）所述可信節(jié)點的計算部件通過TSB代理攔截網絡行為，讀取所述網絡行為及其上下文數據，并將所述網絡行為及其上下文數據傳遞給所述可信節(jié)點的防護部件；

（2）所述可信節(jié)點的防護部件通過可信軟件基中的策略引擎，匹配與所述網絡行為及其上下文數據相關的策略，并根據所述策略對所述網絡行為及其上下文數據進行度量和控制，得到控制結果；

（3）所述可信節(jié)點的計算部件中的TSB代理根據所述控制結果，通過所述可信安全管理平臺對所述對端可信節(jié)點的身份和狀態(tài)進行可信認證，得到認證結果；

（4）所述可信節(jié)點根據所述認證結果，與所述對端可信節(jié)點協(xié)商建立安全的通信方式，并建立通信會話，所述可信節(jié)點與所述對端可信節(jié)點之間的網絡連接建立完成；

（5）所述可信節(jié)點通過所述通信方式和通信會話，與所述對端可信節(jié)點進行數據傳輸；其中，對于步驟（3）所述可信節(jié)點的計算部件中的TSB代理根據所述控制結果，通過所述可信安全管理平臺對所述對端可信節(jié)點的身份和狀態(tài)進行可信認證，得到認證結果包括：

（3.1）所述可信節(jié)點的計算部件中的TSB代理根據所述控制結果，對所述對端可信節(jié)點的防護部件的可信平臺控制模塊提供的可信憑據進行可信認證，得到第一認證結果，所述第一認證結果的認證不需要經過所述可信安全管理平臺；

（3.2）所述可信節(jié)點的計算部件中的TSB代理根據所述控制結果，通過所述可信安全管理平臺對所述對端可信節(jié)點的狀態(tài)進行可信認證，得到第二認證結果；

（3.3）所述可信節(jié)點的計算部件中的TSB代理在所述第一認證結果和所述第二認證結果均為可信時，確定所述認證結果為可信；

所述步驟（3.1）中，在可信節(jié)點傳輸可信憑據的時候，也同時傳輸通信協(xié)商信息；

所述步驟（3.2）中，所述可信節(jié)點的計算部件中的TSB代理根據所述控制結果，通過所述可信安全管理平臺對所述對端可信節(jié)點的狀態(tài)進行可信認證，得到第二認證結果包括：

所述可信節(jié)點的計算部件中的TSB代理根據所述控制結果，獲取所述可信安全管理平臺對所述對端可信節(jié)點的可信報告的評估結果，根據所述評估結果得到第二認證結果；

在所述可信節(jié)點對所述對端可信節(jié)點發(fā)起網絡連接之前，所述可信連接方法還包括：

所述可信節(jié)點和所述對端可信節(jié)點均通過自身的防護部件定期向所述可信安全管理平臺發(fā)送可信報告；

在所述可信節(jié)點與所述對端可信節(jié)點之間建立網絡連接之后，所述可信節(jié)點通過以下任一方式與所述對端可信節(jié)點進行數據傳輸：

所述可信節(jié)點通過協(xié)商建立的通信方式，根據自身的通信會話中的會話密鑰對數據進行加密和HMAC運算，將加密運算后的數據打包發(fā)送至所述對端可信節(jié)點；

所述可信節(jié)點通過協(xié)商建立的通信方式接收所述對端可信節(jié)點發(fā)送的數據包，讀取所述數據包的標簽，根據所述標簽查詢對應的通信會話，根據查詢到的通信會話中的會話密鑰對所述數據包進行解密和HMAC驗證；所述可信節(jié)點的計算部件還包括：通過多核CPU架構將計算機的硬件資源劃分為兩組硬件資源的其中一組硬件資源；

所述可信節(jié)點的防護部件還包括：通過多核CPU架構將計算機的硬件資源劃分為兩組硬件資源的另一組硬件資源；

所述計算機的硬件資源包括以下至少之一：CPU核、內存和I/O外設。

2.一種存儲介質，其特征在于，所述存儲介質中存儲有計算機程序，其中，所述計算機程序被設置為運行時執(zhí)行權利要求1所述的一種基于可信計算雙體系架構的可信連接方法。

3.一種電子裝置，包括存儲器和處理器，其特征在于，所述存儲器中存儲有計算機程序，所述處理器被設置為運行所述計算機程序以執(zhí)行權利要求1所述的一種基于可信計算雙體系架構的可信連接方法。