[發明專利]基于FPGA的密鑰協商方法及裝置

有效

• 申請號: 202110582003.0
• 申請日: 2019-09-25
• 公開（公告）號: CN113285802B
• 公開（公告）日: 2022-08-19
• 發明（設計）人: 魏長征;潘國振;閆鶯
• 申請（專利權）人: 支付寶（杭州）信息技術有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L67/30
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 周嗣勇

1.一種基于FPGA的密鑰協商方法，包括：

FPGA結構將已部署的電路邏輯配置文件加載至FPGA芯片上，以在所述FPGA芯片上形成密鑰協商模塊；

所述FPGA結構通過所述密鑰協商模塊與客戶端進行遠程密鑰協商，以在所述FPGA結構和所述客戶端處分別得到配置文件部署密鑰；

所述FPGA結構基于所述配置文件部署密鑰對來自所述客戶端的加密后新版電路邏輯配置文件進行解密，并基于得到的新版電路邏輯配置文件更新所述已部署的電路邏輯配置文件，所述新版電路邏輯配置文件用于將所述FPGA結構實現為所屬的區塊鏈節點上的可信執行環境。

2.根據權利要求1所述的方法，所述FPGA結構通過所述密鑰協商模塊與客戶端進行遠程密鑰協商，包括：

所述FPGA結構通過所述密鑰協商模塊與客戶端交換協商信息，并使用獲取到的協商信息生成配置文件部署密鑰，其中，發送至客戶端的所述協商信息被所述客戶端用于生成所述配置文件部署密鑰。

3.根據權利要求2所述的方法，所述FPGA結構通過所述密鑰協商模塊與客戶端交換協商信息，并使用獲取到的協商信息生成配置文件部署密鑰，包括：

所述FPGA結構通過所述密鑰協商模塊向所述客戶端發送第一密鑰協商信息，并接收來自所述客戶端的第二密鑰協商信息；其中，所述第一密鑰協商信息由所述FPGA結構基于所述密鑰協商模塊生成的第一私有信息而生成，所述第二密鑰協商信息由所述客戶端基于自身生成的第二私有信息而生成；

所述FPGA結構通過所述密鑰協商模塊對所述第一私有信息與所述第二密鑰協商信息進行計算生成秘密值，并基于所述秘密值確定配置文件部署密鑰；其中，所述第二私有信息與所述第一密鑰協商信息被所述客戶端用于計算生成所述秘密值，以確定所述配置文件部署密鑰。

4.根據權利要求3所述的方法，所述FPGA結構基于所述秘密值確定配置文件部署密鑰，包括：

所述FPGA結構將所述秘密值確定為所述配置文件部署密鑰；或者，

所述FPGA結構通過密鑰導出函數基于所述秘密值導出所述配置文件部署密鑰。

5.根據權利要求3所述的方法，所述第一密鑰協商信息由所述FPGA結構上部署的認證根密鑰進行簽名。

6.根據權利要求5所述的方法，所述認證根密鑰對應的公鑰由認證服務器所管理，或者所述認證根密鑰對應的公鑰被公開。

7.根據權利要求5所述的方法，所述認證根密鑰被預置于所述FPGA結構中，或者被所述客戶端在離線安全環境下部署于所述FPGA結構中。

8.根據權利要求5所述的方法，所述認證根密鑰被基于所述已部署的電路邏輯配置文件部署至所述FPGA結構。

9.根據權利要求5所述的方法，所述FPGA結構包含獨立于所述FPGA芯片的密鑰管理芯片，所述方法還包括：

在部署所述已部署的電路邏輯配置文件之前，所述FPGA結構將從該電路邏輯配置文件中取出的所述認證根密鑰維護于密鑰管理芯片中。

10.根據權利要求3所述的方法，還包括：

所述FPGA結構對所述第二密鑰協商信息進行簽名驗證，其中所述FPGA結構上已部署所述客戶端對應的預置證書；

其中，所述FPGA結構在簽名驗證成功的情況下，基于所述第二密鑰協商信息生成所述秘密值。

11.根據權利要求1所述的方法，所述FPGA結構包含與所述FPGA芯片相連的存儲器，所述存儲器用于部署所述已部署的電路邏輯配置文件和所述新版電路邏輯配置文件。

12.根據權利要求1所述的方法，還包括：

所述FPGA結構針對被部署的所述新版電路邏輯配置文件生成認證結果，所述認證結果包含所述新版電路邏輯配置文件的相關內容。