多級安全信任鏈構(gòu)造方法及系統(tǒng)的制作方法
【專利摘要】本發(fā)明提供一種多級安全信任鏈構(gòu)造方法，其包括如下步驟：S1、可度量根獲取各個度量模塊的度量事件的結(jié)構(gòu)，并將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊；S2、多級安全可信密碼模塊根據(jù)度量事件的結(jié)構(gòu)對各個度量模塊進行完整性度量；并對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞。本發(fā)明能夠?qū)崿F(xiàn)面向不同等級密碼算法的多級安全度量方式。本發(fā)明還提供一種多級安全信任鏈構(gòu)造系統(tǒng)。
【專利說明】多級安全信任鏈構(gòu)造方法及系統(tǒng)

【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及計算機信息安全與可信計算領(lǐng)域，特別涉及一種多級安全信任鏈構(gòu)造方法及系統(tǒng)。

【背景技術(shù)】
[0002]目前，可信計算技術(shù)是增強信息系統(tǒng)安全的一種行之有效的新技術(shù)，可信計算技術(shù)通過可信密碼模塊TCM(Trusted Cryptographic Module)對信息系統(tǒng)進行安全增強，在可信密碼模塊的內(nèi)部封裝了安全服務(wù)功能單元，用來為平臺提供基本的安全服務(wù)。信任鏈技術(shù)是可信計算技術(shù)的關(guān)鍵技術(shù)之一?？尚庞嬎憬M織TCG(Trusted Computing Group)給出的信任鏈定義如下:
[0003]CRTM — B1S — OSLoader — OS — Applicat1ns ；
[0004]其中，CRTM(CoreRoot of Trust for Measurement)為可信度量根核，B1S (BasicInput and Output System為基本輸入輸出系統(tǒng)，OSLoader為系統(tǒng)引導(dǎo)程序，OS表示操作系統(tǒng)，Applicat1ns為應(yīng)用程序。
[0005]其中，CRTM度量B1S的完整性、B1S度量OSLoader的完整性、OSLoader度量OS的完整性、OS度量Applicat1ns的完整性，實現(xiàn)對平臺的完整性度量，并將度量結(jié)果存儲至TCM中的平臺配置寄存器PCR(Platform Configurat1n Register)和存儲度量日志SML(Stored Measurement Log)中，實現(xiàn)對平臺的完整性存儲。
[0006]但是在復(fù)雜的多級安全系統(tǒng)中，業(yè)務(wù)系統(tǒng)對安全等級有著不同的安全需求，會要求不同安全等級應(yīng)用系統(tǒng)實現(xiàn)相應(yīng)安全等級的信任鏈系統(tǒng)，但已有的可信計算平臺只能實現(xiàn)一種安全等級密碼算法下的信任鏈系統(tǒng)，無法滿足面向不同安全等級密碼算法的多級安全度量方式。


【發(fā)明內(nèi)容】

[0007]有鑒于此，有必要提供一種能夠滿足面向不同安全等級密碼算法的多級安全信任鏈構(gòu)造方法及系統(tǒng)。
[0008]一種多級安全信任鏈構(gòu)造方法，其包括如下步驟:
[0009]S1、可度量根獲取各個度量模塊的度量事件的結(jié)構(gòu)，并將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊；
[0010]S2、多級安全可信密碼模塊根據(jù)度量事件的結(jié)構(gòu)對度量模塊進行完整性度量；并對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞。
[0011]一種多級安全信任鏈構(gòu)造系統(tǒng)，其包括如下模塊:
[0012]度量事件結(jié)構(gòu)獲取模塊，用于通過可度量根獲取各個度量模塊的度量事件的結(jié)構(gòu)，并將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊；
[0013]多級安全可信密碼模塊，用于根據(jù)度量事件的結(jié)構(gòu)對度量模塊進行完整性度量；并對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞。
[0014]本發(fā)明提供的多級安全信任鏈構(gòu)造方法和系統(tǒng)，通過將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊，然后多級安全可信密碼模塊根據(jù)度量事件的結(jié)構(gòu)的特點(不同的度量模塊具有不同的安全性等級需求)對度量模塊進行完整性度量；并對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞，從而能夠?qū)崿F(xiàn)面向不同等級密碼算法的多級安全度量方式。

【專利附圖】

【附圖說明】
[0015]圖1是本發(fā)明實施方式提供的多級安全信任鏈構(gòu)造方法流程圖；
[0016]圖2是圖1中步驟S2的子流程圖；
[0017]圖3是本發(fā)明實施方式提供的多級安全信任鏈構(gòu)造系統(tǒng)的結(jié)構(gòu)框圖；
[0018]圖4是圖3中多級安全可信密碼模塊的子結(jié)構(gòu)框圖；
[0019]圖5是本發(fā)明實施例中多級安全信任鏈傳遞的示意圖；
[0020]圖6是本發(fā)明實施例中多級安全密碼算法引擎的示意圖；
[0021]圖7是本發(fā)明實施例中多級安全平臺配置寄存器的示意圖；
[0022]圖8是本發(fā)明實施例中多級安全度量日志存儲單元的示意圖。

【具體實施方式】
[0023]如I所示，本發(fā)明實施例提供了一種多級安全信任鏈構(gòu)造方法，其包括如下步驟:
[0024]S1、可度量根獲取各個度量模塊的度量事件的結(jié)構(gòu)，并將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊2。
[0025]其中度量模塊系統(tǒng)中的各種需要被度量的模塊，比如OSloader、OS或者各種應(yīng)用程序。在復(fù)雜的多級安全系統(tǒng)需求下，不同的度量模塊的安全需求不同，各個度量模塊的度量事件的結(jié)構(gòu)也不同?？尚哦攘扛梢员豢醋鍪荁1S的引導(dǎo)程序，是一段簡單可控的代碼模塊，被認為是絕對可信的，加電之后，可信度量根就會引導(dǎo)并驗證B1S的完整性。比如B1S就可以被看做是一個度量模塊。
[0026]可選地，所述步驟SI中各個度量模塊的度量事件包括基于普通密碼算法的度量事件，基于商業(yè)密碼算法的度量事件以及基于軍用密碼算法的度量事件。
[0027]在本實施例中，基于普通密碼算法的度量事件，基于商業(yè)密碼算法的度量事件以及基于軍用密碼算法的度量事件僅為了說明不同安全系統(tǒng)的需求，其中普通密碼算法、商業(yè)密碼算法、軍用密碼算法為了表明不同的安全等級，本發(fā)明不會限制其具體的密碼算法的實現(xiàn)方式。
[0028]S2、多級安全可信密碼模塊2根據(jù)度量事件的結(jié)構(gòu)對各個度量模塊進行完整性度量。并對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞。
[0029]如圖5所示，可信度量根、度量模塊1、度量模塊η可以通過通過接口調(diào)用訪問多級安全可信密碼模塊2。
[0030]整個驗證過程可度量根是度量的起點，直到最后一個度量模塊被驗證，通過一級驗證一級，一級信任一級的方式，完成了整個平臺的驗證，從而能夠保證計算機系統(tǒng)的安全性。
[0031]實施本發(fā)明實施例，通過將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊2，然后多級安全可信密碼模塊2根據(jù)度量事件的結(jié)構(gòu)的特點(不同的度量模塊具有不同的安全性等級需求)對度量模塊進行完整性度量；并對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞，從而能夠?qū)崿F(xiàn)面向不同等級密碼算法的多級安全度量方式。
[0032]可選地，所述步驟S2包括以下步驟:
[0033]S21、通過度量事件的結(jié)構(gòu)調(diào)用多級安全密碼算法引擎計算度量事件的哈希值。
[0034]通過接口根據(jù)度量事件的結(jié)構(gòu)調(diào)用多級安全密碼算法引擎計算度量事件的哈希值。如圖6所示，多級安全密碼算法引擎單元21中多級安全密碼算法引擎包括普通密碼算法引擎211、商用密碼算法引擎212、軍用密碼算法引擎213。上述三種引擎可以包括非對稱加密算法、對稱加密算法、哈希算法、隨機數(shù)生成算法。
[0035]S22、更新多級安全平臺配置寄存器，并對度量事件的結(jié)構(gòu)進行組合形成完整性度量曰志。
[0036]如圖7所示，多級安全平臺配置寄存器22中的多級安全平臺配置寄存器包括對應(yīng)普通密碼算法的平臺配置寄存器PCRec221、對應(yīng)商用密碼算法的平臺配置寄存器PCRcc222、對應(yīng)軍用密碼算法的平臺配置寄存器PCRAe223。其中，PCRee221包含了 24個存儲單元PCRgc0 ?PCRgg23, PCRcc222 包含了 24 個存儲單元 PCRggq ?PCRgg23, PCRac223 包含了 24 個存儲單元PCRagci?PCRag23。如圖8所示，多級安全度量日志存儲單元23包括基于普通密碼算法的度量日志231、基于商用密碼算法的度量日志232以及基于軍用密碼算法的度量日志233。
[0037]可選地，所述步驟S22中所述完整性度量日志包括多個6元組結(jié)構(gòu)數(shù)據(jù)。所述6元組結(jié)構(gòu)數(shù)據(jù)包括寄存器類型、寄存器索引、事件哈希值、事件類型、事件長度、事件內(nèi)容。
[0038]其中6元組結(jié)構(gòu)數(shù)據(jù)的構(gòu)造可參見圖8，多級安全度量日志存儲單元包括基于普通密碼算法的度量日志231、基于商用密碼算法的度量日志232、基于軍用密碼算法的度量日志233。其中，基于普通密碼算法的度量日志231由多個6元組結(jié)構(gòu)組成，包括{PCRec類別，PCRtx索引，事件哈希值HASHe。，事件類型TYPEe。，事件長度LENe。，事件內(nèi)容CONeJ?；谏逃妹艽a算法的度量日志232由多個6元組結(jié)構(gòu)組成，包括{PCRcc類別，PCRrc索引，事件哈希值HASH。。，事件類型TYPE。。，事件長度LEN。。，事件內(nèi)容C0N。。}?；谲娪妹艽a算法的度量日志233由多個6元組結(jié)構(gòu)組成，包括{PCRA。類別，PCRa。索引，事件哈希值HASHa。，事件類型TYPEac,事件長度LENac,事件內(nèi)容CONaJ。
[0039]S23、存儲所述完整性度量日志，完成面向多級安全的信任鏈傳遞。
[0040]可選地，度量模塊的度量事件為基于普通密碼算法的度量事件時，多級安全密碼算法引擎為普通密碼算法引擎211，所述多級安全平臺配置寄存器為對應(yīng)普通密碼算法的寄存器221，所述完整性度量日志為基于普通密碼算法的度量日志231。
[0041]度量模塊的度量事件為基于商用密碼算法的度量事件時，多級安全密碼算法引擎為商用密碼算法引擎212，所述多級安全平臺配置寄存器為對應(yīng)商用密碼算法的寄存器222，所述完整性度量日志為基于商用密碼算法的度量日志232。
[0042]度量模塊的度量事件為基于軍用密碼算法的度量事件時，多級安全密碼算法引擎為軍用密碼算法引擎213，所述多級安全平臺配置寄存器為對應(yīng)軍用密碼算法的寄存器223，所述完整性度量日志為基于軍用密碼算法的度量日志233。
[0043]實施本實施例:多級安全可信密碼模塊2包括多級安全密碼算法引擎，提供了普通密碼算法引擎211、商用密碼算法引擎212和軍用密碼算法引擎213，為不同安全需求的應(yīng)用系統(tǒng)提供了相應(yīng)安全等級的密碼服務(wù)。多級安全可信密碼模塊2包括多級安全平臺配置寄存器，為不同安全需求的應(yīng)用系統(tǒng)提供了相應(yīng)安全等級的完整性存儲單元。多級安全可信密碼模塊2包括多級安全度量日志，為不同安全需求的應(yīng)用系統(tǒng)提供了相應(yīng)安全等級的度量日志存儲單元。根據(jù)安全等級需求的不同可實現(xiàn)相應(yīng)安全等級的完整性度量和完整性存儲，實現(xiàn)多級安全信任鏈。
[0044]如圖3所示，本發(fā)明實施例還提供一種多級安全信任鏈構(gòu)造系統(tǒng)，其包括如下模塊:
[0045]度量事件結(jié)構(gòu)獲取模塊1，用于通過可度量根獲取各個度量模塊的度量事件的結(jié)構(gòu)，并將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊2。
[0046]可選地，所述度量事件結(jié)構(gòu)獲取模塊I中各個度量模塊的度量事件包括基于普通密碼算法的度量事件，基于商業(yè)密碼算法的度量事件以及基于軍用密碼算法的度量事件。
[0047]多級安全可信密碼模塊2，用于根據(jù)度量事件的結(jié)構(gòu)對各個度量模塊進行完整性度量。并用于對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞。
[0048]可選地，所述多級安全可信密碼模塊2包括以下單元:
[0049]多級安全密碼算法引擎單元21，用于通過度量事件的結(jié)構(gòu)調(diào)用多級安全密碼算法引擎計算度量事件的哈希值。
[0050]多級安全平臺配置寄存器單元22，用于更新多級安全平臺配置寄存器，并對度量事件的結(jié)構(gòu)進行組合形成完整性度量日志。
[0051]可選地，所述多級安全平臺配置寄存器單元22中所述完整性度量日志包括多個6元組結(jié)構(gòu)數(shù)據(jù)，所述6元組結(jié)構(gòu)數(shù)據(jù)包括寄存器類型、寄存器索引、事件哈希值、事件類型、事件長度、事件內(nèi)容。
[0052]多級安全度量日志存儲單元23，用于存儲所述完整性度量日志，完成面向多級安全的信任鏈傳遞。
[0053]可選地，在度量模塊的度量事件為基于普通密碼算法的度量事件時，多級安全密碼算法引擎為普通密碼算法引擎211，所述多級安全平臺配置寄存器為對應(yīng)普通密碼算法的寄存器221，所述完整性度量日志為基于普通密碼算法的度量日志231。
[0054]在度量模塊的度量事件為基于商用密碼算法的度量事件時，多級安全密碼算法引擎為商用密碼算法引擎221，所述多級安全平臺配置寄存器為對應(yīng)商用密碼算法的寄存器222，所述完整性度量日志為基于商用密碼算法的度量日志223。
[0055]在度量模塊的度量事件為基于軍用密碼算法的度量事件時，多級安全密碼算法引擎為軍用密碼算法引擎231，所述多級安全平臺配置寄存器為對應(yīng)軍用密碼算法的寄存器232，所述完整性度量日志為基于軍用密碼算法的度量日志233。
[0056]以上裝置實施例與方法實施例是一一對應(yīng)的，裝置實施例簡略之處，參見方法實施例即可。
[0057]本說明書中各個實施例采用遞進的方式描述，每個實施例重點說明的都是與其他實施例的不同之處，各個實施例之間相同相似部分互相參見即可。
[0058]專業(yè)人員還可以進一步意識到，結(jié)合本文中所公開的實施例描述的各示例的單元及算法步驟，能夠以電子硬件、計算機軟件或者二者的結(jié)合來實現(xiàn)，為了清楚地說明硬件和軟件的可互換性，在上述說明中已經(jīng)按照功能性一般性地描述了各示例的組成及步驟。這些功能究竟以硬件還是軟件方式來執(zhí)行，取決于技術(shù)方案的特定應(yīng)用和設(shè)計約束條件。專業(yè)技術(shù)人員可以對每個特定的應(yīng)用來使用不同方法來實現(xiàn)所描述的功能，但是這種實現(xiàn)不應(yīng)超過本發(fā)明的范圍。
[0059]結(jié)合本文中所公開的實施例描述的方法或算法的步驟可以直接用硬件、處理器執(zhí)行的軟件模塊，或者二者的結(jié)合來實施。軟件模塊可以置于隨機儲存器、內(nèi)存、只讀存儲器、電可編程ROM、電可檫除可編程ROM、寄存器、硬盤、可移動磁盤、CD-ROM、或【技術(shù)領(lǐng)域】內(nèi)所公知的任意其他形式的存儲介質(zhì)中。
[0060]可以理解的是，對于本領(lǐng)域的普通技術(shù)人員來說，可以根據(jù)本發(fā)明的技術(shù)構(gòu)思做出其它各種相應(yīng)的改變與變形，而所有這些改變與變形都應(yīng)屬于本發(fā)明權(quán)利要求的保護范圍。
【權(quán)利要求】
1.一種多級安全信任鏈構(gòu)造方法，其特征在于，其包括如下步驟: 51、可度量根獲取各個度量模塊的度量事件的結(jié)構(gòu)，并將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊； 52、多級安全可信密碼模塊根據(jù)度量事件的結(jié)構(gòu)對各個度量模塊進行完整性度量；并對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞。
2.如權(quán)利要求1所述的多級安全信任鏈構(gòu)造方法，其特征在于，所述步驟SI中各個度量模塊的度量事件包括基于普通密碼算法的度量事件，基于商業(yè)密碼算法的度量事件以及基于軍用密碼算法的度量事件。
3.如權(quán)利要求2所述的多級安全信任鏈構(gòu)造方法，其特征在于，所述步驟S2包括以下步驟: 521、通過度量事件的結(jié)構(gòu)調(diào)用多級安全密碼算法引擎計算度量事件的哈希值； 522、更新多級安全平臺配置寄存器，并對度量事件的結(jié)構(gòu)進行組合形成完整性度量日志； 523、存儲所述完整性度量日志，完成面向多級安全的信任鏈傳遞。
4.如權(quán)利要求3所述的多級安全信任鏈構(gòu)造方法，其特征在于， 所述步驟S22中所述完整性度量日志包括多個6元組結(jié)構(gòu)數(shù)據(jù)，所述6元組結(jié)構(gòu)數(shù)據(jù)包括寄存器類型、寄存器索弓1、事件哈希值、事件類型、事件長度、事件內(nèi)容。
5.如權(quán)利要求4所述的多級安全信任鏈構(gòu)造方法，其特征在于， 度量模塊的度量事件為基于普通密碼算法的度量事件時，多級安全密碼算法引擎為普通密碼算法引擎，所述多級安全平臺配置寄存器為對應(yīng)普通密碼算法的寄存器，所述完整性度量日志為基于普通密碼算法的度量日志； 度量模塊的度量事件為基于商用密碼算法的度量事件時，多級安全密碼算法引擎為商用密碼算法引擎，所述多級安全平臺配置寄存器為對應(yīng)商用密碼算法的寄存器，所述完整性度量日志為基于商用密碼算法的度量日志； 度量模塊的度量事件為基于軍用密碼算法的度量事件時，多級安全密碼算法引擎為軍用密碼算法引擎，所述多級安全平臺配置寄存器為對應(yīng)軍用密碼算法的寄存器，所述完整性度量日志為基于軍用密碼算法的度量日志。
6.一種多級安全信任鏈構(gòu)造系統(tǒng)，其特征在于，其包括如下模塊: 度量事件結(jié)構(gòu)獲取模塊，用于通過可度量根獲取各個度量模塊的度量事件的結(jié)構(gòu)，并將度量模塊的度量事件的結(jié)構(gòu)發(fā)送給多級安全可信密碼模塊； 多級安全可信密碼模塊，用于根據(jù)度量事件的結(jié)構(gòu)對各個度量模塊進行完整性度量；并對完整性度量的結(jié)果進行存儲，完成面向多級安全的信任鏈傳遞。
7.如權(quán)利要求6所述的多級安全信任鏈構(gòu)造系統(tǒng)，其特征在于，所述度量事件結(jié)構(gòu)獲取模塊中各個度量模塊的度量事件包括基于普通密碼算法的度量事件，基于商業(yè)密碼算法的度量事件以及基于軍用密碼算法的度量事件。
8.如權(quán)利要求6所述的多級安全信任鏈構(gòu)造系統(tǒng)，其特征在于，所述多級安全可信密碼模塊包括以下單元: 多級安全密碼算法引擎單元，用于通過度量事件的結(jié)構(gòu)調(diào)用多級安全密碼算法引擎計算度量事件的哈希值； 多級安全平臺配置寄存器單元，用于更新多級安全平臺配置寄存器，并對度量事件的結(jié)構(gòu)進行組合形成完整性度量日志； 多級安全度量日志存儲單元，用于存儲所述完整性度量日志，完成面向多級安全的信任鏈傳遞。
9.如權(quán)利要求8所述的多級安全信任鏈構(gòu)造系統(tǒng)，其特征在于， 所述多級安全平臺配置寄存器單元中所述完整性度量日志包括多個6元組結(jié)構(gòu)數(shù)據(jù)，所述6元組結(jié)構(gòu)數(shù)據(jù)包括寄存器類型、寄存器索引、事件哈希值、事件類型、事件長度、事件內(nèi)容。
10.如權(quán)利要求9所述的多級安全信任鏈構(gòu)造系統(tǒng)，其特征在于， 在度量模塊的度量事件為基于普通密碼算法的度量事件時，多級安全密碼算法引擎為普通密碼算法引擎，所述多級安全平臺配置寄存器為對應(yīng)普通密碼算法的寄存器，所述完整性度量日志為基于普通密碼算法的度量日志； 在度量模塊的度量事件為基于商用密碼算法的度量事件時，多級安全密碼算法引擎為商用密碼算法引擎，所述多級安全平臺配置寄存器為對應(yīng)商用密碼算法的寄存器，所述完整性度量日志為基于商用密碼算法的度量日志； 在度量模塊的度量事件為基于軍用密碼算法的度量事件時，多級安全密碼算法引擎為軍用密碼算法引擎，所述多級安全平臺配置寄存器為對應(yīng)軍用密碼算法的寄存器，所述完整性度量日志為基于軍用密碼算法的度量日志。
【文檔編號】G06F21/64GK104268486SQ201410486196
【公開日】2015年1月7日 申請日期:2014年9月22日 優(yōu)先權(quán)日:2014年9月22日
【發(fā)明者】徐明迪, 楊連嘉, 沈楚楚 申請人:中國船舶重工集團公司第七0九研究所