[發明專利]認證憑證的傳遞方法、芯片及設備

有效

• 申請號: 201911360161.0
• 申請日: 2019-12-25
• 公開（公告）號: CN113032786B
• 公開（公告）日: 2023-07-04
• 發明（設計）人: 劉明;閆銳;陳貴榮;范晨;袁乃華
• 申請（專利權）人: 成都鼎橋通信技術有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/45;G06F21/60
• 代理公司: 北京同立鈞成知識產權代理有限公司 11205
• 代理人: 張曉霞;臧建明

本發明提供一種認證憑證的傳遞方法、芯片及設備。該方法包括DICE核根據設備唯一密值UDS生成合成設備標識CDI，將該CDI保存在第一共享內存中；其中，該UDS保存在一次性可編程區；Layer?0核從該第一共享內存中讀取該CDI，并根據該CDI生成別名密鑰Alias?Key公私鑰對，將Alias?Key私鑰保存在第二共享內存中；Layer?1核從該第二共享內存中獲取該Alias?Key私鑰以進行業務的認證，實現了終端設備芯片中認證憑證的安全傳遞，保證了終端設備的可信安全。

技術領域

本發明涉及終端領域，尤其涉及一種認證憑證的傳遞方法、芯片及設備。

背景技術

隨著終端技術的發展，為解決終端的可信安全問題，可信計算組織(TrustedComputing?Group，TCG)提出了設備標識符合成引擎(Device?Identifier?CompositionEngine，DICE)規范，以提高終端的安全性和隱私性。

該規范中的指導機制為：DICE層維護設備唯一密值(Unique?Device?Secret，UDS)，UDS在終端出廠時隨機生成或者外部注入，每個設備的UDS唯一，對外不可見。DICE層對上層Layer?0層提供合成設備標識(Compound?Device?Identifier，CDI)，該CDI由UDS和Layer?0層軟件特性碼組合生成。Layer?0層用于生成終端的身份標示，即公私鑰對。私鑰保存在終端側，公鑰對外公布，提供給各種應用服務平臺，用于服務平臺認證終端身份。這里包含兩對身份標示：一是設備標識(DeviceID)：由CDI通過加密算法來生成一對公私鑰，同時生成終端的根證書，根證書里包含終端的公鑰，同時證書由私鑰進行自簽名。為了安全起見，DeviceID的私鑰不會傳遞給上層Layer?1層固件。二是別名密鑰(Alias?Key)：由CDI和Layer?1層固件的固件安全描述符(Firmware?Security?Descriptor，FSD)通過加密算法生成一對公私鑰，同時生成相應的服務證書，服務證書里包含Alias?Key的公鑰，同時該服務證書由DeviceID的私鑰進行簽名，因此服務證書可以由DeviceID的根證書來驗證是否有效。Alias?key的私鑰會傳遞給Layer?1層固件，由Layer?1層固件使用其去進行和各種應用平臺交互的認證服務。Layer?1層對應終端的業務應用部分，實現各種業務處理，以及和各種業務平臺的對接。

上述DICE規范中給出的僅僅是一個指導規范，而對于在具體實現中如何保證各層之間的認證憑證傳遞的安全性，規范中并未說明，因此，亟需提供一種認證憑證的傳遞方法。

發明內容

本發明提供一種認證憑證的傳遞方法、芯片及設備，以保證終端設備的可信安全。

第一方面，本發明提供一種認證憑證的傳遞方法，應用于終端設備的芯片，所述芯片包括設備標識符合成引擎DICE核、Layer?0核和Layer?1核；所述方法包括：

所述DICE核根據設備唯一密值UDS生成合成設備標識CDI，將所述CDI保存在第一共享內存中；其中，所述UDS保存在一次性可編程區；

所述Layer?0核從所述第一共享內存中讀取所述CDI，并根據所述CDI生成別名密鑰Alias?Key公私鑰對，將Alias?Key私鑰保存在第二共享內存中；

所述Layer?1核從所述第二共享內存中獲取所述Alias?Key私鑰以進行業務的認證。

可選的，所述方法還包括：

所述Layer?0核根據所述CDI生成證書，并將所述證書保存在所述第二閃存中；

所述Layer?1核從所述第二閃存中獲取所述證書以進行業務的認證。

可選的，DICE代碼保存在只讀內存中；Layer?0代碼和加密后的第一校驗碼保存在第一閃存中；Layer?1代碼和加密后的第二校驗碼保存在第二閃存中。