[發(fā)明專利]一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法

在審

• 申請?zhí)枺?/td>: 201910810010.4
• 申請日: 2019-08-29
• 公開（公告）號: CN110519054A
• 公開（公告）日: 2019-11-29
• 發(fā)明（設(shè)計(jì)）人: 閆曉艷;張耀;劉亮
• 申請（專利權(quán)）人: 四川普思科創(chuàng)信息技術(shù)有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L12/24;H04L29/06;H04L29/08
• 代理公司: 51224 成都頂峰專利事務(wù)所(普通合伙)
• 代理人: 劉林<國際申請>=<國際公布>=<進(jìn)入國

1.一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于,包括如下步驟：

S101.在初始化配置物聯(lián)網(wǎng)服務(wù)器時，利用SGX技術(shù)的enclave可信執(zhí)行環(huán)境進(jìn)行服務(wù)器側(cè)非對稱密鑰對的生成及存儲，其中，所述服務(wù)器側(cè)非對稱密鑰對包含服務(wù)器側(cè)公鑰和服務(wù)器側(cè)私鑰；

S102.在初始化配置物聯(lián)網(wǎng)客戶端時，存儲來自物聯(lián)網(wǎng)服務(wù)器的所述服務(wù)器側(cè)公鑰；

S103.物聯(lián)網(wǎng)客戶端在啟動后，向物聯(lián)網(wǎng)服務(wù)器請求建立通訊連接；

S104.由物聯(lián)網(wǎng)客戶端使用所述服務(wù)器側(cè)公鑰對第一數(shù)據(jù)進(jìn)行加密，獲取第一加密數(shù)據(jù)，并利用建立的通訊連接將所述第一加密數(shù)據(jù)傳輸至物聯(lián)網(wǎng)服務(wù)器的enclave可信執(zhí)行環(huán)境內(nèi)；

S105.在物聯(lián)網(wǎng)服務(wù)器的enclave可信執(zhí)行環(huán)境內(nèi)，使用所述服務(wù)器側(cè)私鑰解密所述第一加密數(shù)據(jù)，若解密成功，則獲取并處理所述第一數(shù)據(jù)，否則丟棄所述第一加密數(shù)據(jù)。

2.如權(quán)利要求1所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于,在所述步驟S101中包括有如下步驟：

S201.在物聯(lián)網(wǎng)服務(wù)器的enclave可信執(zhí)行環(huán)境內(nèi),隨機(jī)生成所述服務(wù)器側(cè)非對稱密鑰對；

S202.通過seal操作，將生成的服務(wù)器側(cè)私鑰加密存儲在服務(wù)器硬盤中，同時將生成的服務(wù)器側(cè)公鑰輸出至enclave可信執(zhí)行環(huán)境外，以便分發(fā)給待初始化配置的物聯(lián)網(wǎng)客戶端。

3.如權(quán)利要求2所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于,在所述步驟S202之后還包括有如下步驟：

S203.每次啟動SGX程序時，在enclave可信執(zhí)行環(huán)境中通過unseal操作從服務(wù)器硬盤中獲取服務(wù)器側(cè)私鑰，并將該服務(wù)器側(cè)私鑰緩存于內(nèi)部存儲器中。

4.如權(quán)利要求1所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于,在所述步驟S103中：物聯(lián)網(wǎng)客戶端通過握手協(xié)議建立與物聯(lián)網(wǎng)服務(wù)器的雙向通訊連接。

5.如權(quán)利要求4所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于：所述握手協(xié)議為三次握手協(xié)議或四次握手協(xié)議。

6.如權(quán)利要求4所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于，在所述步驟S103中包括有如下步驟：

S301.物聯(lián)網(wǎng)客戶端使用所述服務(wù)器側(cè)公鑰對本地生成的客戶端側(cè)公鑰進(jìn)行加密，得到第二加密數(shù)據(jù)，并將所述第二加密數(shù)據(jù)傳輸至物聯(lián)網(wǎng)服務(wù)器的enclave可信執(zhí)行環(huán)境內(nèi)，同時本地緩存與該客戶端側(cè)公鑰一一對應(yīng)的客戶端側(cè)私鑰；

S302.在物聯(lián)網(wǎng)服務(wù)器的enclave可信執(zhí)行環(huán)境內(nèi)，使用所述服務(wù)器側(cè)私鑰解密所述第二加密數(shù)據(jù)，若解密成功，則獲取并緩存所述客戶端側(cè)公鑰，否則丟棄所述第二加密數(shù)據(jù)。

7.如權(quán)利要求6所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于，在所述步驟S301之前，還包括有如下步驟：

S300.物聯(lián)網(wǎng)客戶端在請求建立雙向通訊連接時，通過隨機(jī)密鑰生成器生成客戶端側(cè)密鑰對，其中，所述客戶端側(cè)密鑰對包含所述客戶端側(cè)公鑰和客戶端側(cè)私鑰。

8.如權(quán)利要求6所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于，在所述步驟S302之后，還包括有如下步驟：

S303.由物聯(lián)網(wǎng)服務(wù)器使用所述客戶端側(cè)公鑰對第三數(shù)據(jù)進(jìn)行加密，獲取第三加密數(shù)據(jù)，并利用建立的通訊連接將所述第三加密數(shù)據(jù)傳輸至物聯(lián)網(wǎng)客戶端；

S304.由物聯(lián)網(wǎng)客戶端使用所述客戶端側(cè)私鑰解密所述第三加密數(shù)據(jù)，若解密成功，則獲取所述第三數(shù)據(jù)，否則丟棄所述第三加密數(shù)據(jù)。

9.如權(quán)利要求1所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于，在所述步驟S105中還包括如下步驟：

若解密成功則向物聯(lián)網(wǎng)客戶端反饋傳輸成功消息，否則向物聯(lián)網(wǎng)客戶端反饋傳輸失敗消息。

10.如權(quán)利要求1所述的一種基于可信計(jì)算技術(shù)進(jìn)行物聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)的方法，其特征在于，在所述步驟S105之后還包括如下步驟：通過seal操作，將經(jīng)過處理的第一數(shù)據(jù)加密存儲在服務(wù)器硬盤中。