CN102195774B

CN102195774B - 一种可信密码模块芯片背书密钥线生成的方法和系统

Info

Publication number: CN102195774B
Application number: CN201010125160.0A
Authority: CN
Inventors: 罗广文
Original assignee: Nationz Technologies Inc
Current assignee: Nationz Technologies Inc
Priority date: 2010-03-16
Filing date: 2010-03-16
Publication date: 2014-04-02
Anticipated expiration: 2030-03-16
Also published as: CN102195774A

Abstract

本发明涉及一种可信密码模块芯片背书密钥在线生成的方法和系统，通过利用可以生成符合可信密码模块芯片标准要求的ECC密钥辅助硬件生成ECC密钥对，形成具有安全管理，可多带同时生产，可稳定运行，以及背书密钥生成使用可追溯功能的系统。从而可满足多带同时生产，提高生产效率；不需要在外部物理介质中存储背书密钥数据增加可靠性、确保安全性。

Description

一种可信密码模块芯片背书密钥线生成的方法和系统

技术领域

本发明涉及一种可信密码模块(TCM)芯片背书密钥(EK)在线生成的方法和系统，解决TCM芯片生产过程中生产效率低、EK数据安全性低、可靠性差的问题。

背景技术

TCM芯片是指符合TCM协议标准(《可信计算密码支撑平台功能与接口规范》)的安全芯片。TCM芯片完整产品形态包括芯片硬件、芯片内运行的固件程序和芯片身份标识EK(符合SM2算法要求的ECC公私密钥对)，TCM芯片生产过程需要完成硬件的封装，固件程序的写入，EK的生成。一般来说生产流程有以下两种：

(1)在Wafer平台生产阶段只写入固件程序，后续在PC机上手工方式调用固件程序指令完成TCM内部生成EK数据，称其为EK片内生成方式。限于人工操作效率极其低下，这种方式不适于批量生产，而且无法对所生产的TCM芯片进行追溯(即检测是否由自己厂商所生产，检测是否生产相同EK的芯片)，因此这种方式基本不被采用。

(2)在Wafer平台将EK和固件程序一起写入TCM芯片，需要独立的EK生成辅助工具，称其为EK片外生成方式。这种方式生产效率高，且对TCM芯片EK数据可追溯，目前生产线上普遍采用该方式。

EK是TCM芯片的身份标识，对整个TCM产品至关重要，属于芯片终端用户的隐私信息，生产过程中必须确保其唯一性、安全性。一般来说，片内生成方式最为安全，因为在整个生产过程EK不曾在芯片外出现过，但因其无法满足量产要求，在TCM芯片生产过程普遍采取片外生成EK的方式。由此保证EK数据在生成，存储，转移，使用过程中各个环节的安全性是至关重要的。

目前，芯片外EK生成方式一般采用数据库为存储手段。此方法是在生产线之外预先生成并记录EK数据，一方面供生产线使用，一方面供生成完成后追溯检测使用，因此需要记录EK的完整信息。该方法必然需要将EK存储在外部物理介质中，即使采取了一定安全策略，也会增加EK不安全性的风险(因为物理存储介质是无法从根本上保证安全的)，同时，也不便于机台多带同时进行生产，导致生产效率下降。

故在现有EK生成方法中，片内生成效率低下无法满足生产需要；传统片外生成方式将EK数据完整信息存储在外部物理介质中，无法保证安全性、可靠性，并且不能满足机台多带同时生产，导致效率低下。

本发明利用可以生成符合TCM芯片标准要求的ECC密钥辅助硬件，设计一套具有安全管理，可多带同时生产，可稳定运行，以及EK生成使用可追溯功能的EK在线实时生成系统。从而，可满足多带同时生产，提高生产效率；不需要在外部物理介质中存储EK数据增加可靠性、确保安全性。

发明内容

本发明提供一种可信密码模块芯片背书密钥在线生成的方法和系统，解决现有技术中无法保证安全性、可靠性，且不能满足机台多带同时生产，导致效率低下的问题。

本发明解决上述技术问题的技术方案如下：一种可信密码模块芯片背书密钥在线生成的方法，步骤包括：

步骤a.利用可以生成符合可信密码模块芯片标准要求的ECC密钥辅助硬件生成ECC密钥对；

步骤b.利用EK实时生成模块读取ECC密钥对，并组织生成EK数据；

步骤c.Wafer使用EK数据，并回馈EK使用状态，若EK使用状态设置未成功则报告生产过程中实时读取EK出现异常；

步骤d.成功设置EK使用状态后检查本批次所取的EK状态，若有未设置状态的EK数据则报告生产过程中实时读取EK出现异常；

步骤e.当所有输出的EK数据都已进行状态标识后，判断是否继续读取EK数据，是则返回步骤a，否则退出。

本发明的有益效果是：利用可以生成符合可信密码模块芯片标准要求的ECC密钥辅助硬件，从而，可满足多带同时生产，提高生产效率；不需要在外部物理介质中存储EK数据增加可靠性、确保安全性。

在上述技术方案的基础上，本发明还可以做如下改进。

进一步，所述步骤a前还包括用户登陆的步骤，所述用户登陆的步骤包括：检查用户名和口令是否合法；根据合法的用户名和口令设定用户权限级别。

进一步，所述生成ECC密钥对的步骤a包括，初始化可以生成符合TCM芯片标准要求的ECC密钥辅助硬件；创建ECC；检测ECC是否符合标准；检测ECC符合标准成功后判断是否继续创建ECC，是则返回创建ECC，否则退出。

进一步，所述步骤d中所述检查本批次所取的EK状态的步骤包括使用区分检测功能，所述区分检测功能包括：输入指定EK，通过读取生产记录日志，遍历查找是否有给定的EK存在；通过遍历生产记录日志，判定是否有相同的EK存在；遍历生产记录日志，逐条检测系统输出的EK外部使用情况。

本发明还提供了一种可信密码模块芯片背书密钥在线生成系统，其特征在于，系统包括，权限管理模块、ECC密钥对生成模块、EK实时生成模块和EK检测模块，其中所述权限管理模块与所述ECC密钥对生成模块和EK实时生成模块连接，负责检查登录用户的合法性、权限级别及用户创建功能；所述ECC密钥对生成模块与所述EK实时生成模块连接，利用可以生成符合TCM芯片标准要求的ECC密钥对的助硬件创建ECC密钥对；所述EK实时生成模块，用以调用ECC生成模块，实时创建EK数据对外输出；所述EK检测模块，根据生产日志进行EK相关检测。

附图说明

图1为本发明EK在线生成系统模块结构图；

图2为本发明EK实时生成方法流程图；

图3为本发明通过Z32u创建ECC密钥对流程图；

图4为本发明权限管理模块的管理流程图；

图5为本发明EK追踪检测模块的流程图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

如图1所示，系统的四个主要模块，分别为：

权限管理模块：负责检查登录用户的合法性、权限级别、及用户创建功能。

EK实时生成模块：调用ECC生成模块，实时创建EK数据对外输出。

ECC密钥对生成模块：利用可以生成符合可信密码模块芯片标准要求的ECC密钥辅助硬件创建符合标准的ECC密钥对。

EK检测模块：根据生产日志进行EK相关检测。

其中权限管理模块与ECC密钥对生成模块和EK实时生成模块连接。

如图2所示的本发明EK实时生成方法流程，步骤包括：

步骤a.初始化可以生成符合可信密码模块芯片标准要求的ECC密钥辅助硬件，若初始化成功则利用可以生成符合可信密码模块芯片标准要求的ECC密钥辅助硬件生成ECC密钥对，若初始化失败则退出；

步骤c.若EK实时生成模块读取ECC密钥对读取成功，则Wafer使用EK数据，并回馈EK使用状态，若EK使用状态设置未成功则报告生产过程中实时读取EK出现异常；

步骤d.成功设置EK使用状态后检查本批次所取的EK数据状态，若有未设置状态的EK数据则报告生产过程中实时读取EK出现异常；

在一种实施例中，使用具有ECC算法引擎的ZTEIC Z32u芯片作为生成符合可信密码模块芯片标准要求的ECC密钥辅助硬件的来生成密钥对，并设计一套生产线上wafer机台可实时安全调用的机制，统一的起始和退出接口标识同一批次的使用过程，在起始和退出之间机台可连续多次地获取EK数据，且多个机台可同时调用。在向生产线实时提供EK数据的同时，计算EK数据的HASH值(散列值)，当作与生产线通讯的数据索引。所有向外部输出的EK数据，都需要进行状态回馈。EK使用状态情况和HASH值信息将记录到相应生产日志。

图3所示为使用Z32u创建ECC密钥对流程图。

步骤包括：

初始化ZTEIC Z32u芯片；

若初始化成功则调用ZTEIC Z32u芯片的DDK接口创建ECC，若调用失败则退出；

若成功调用则检测ECC是否符合标准，不符合标准则退出；

在检测ECC符合标准成功后判断是否继续创建ECC，是则返回创建ECC，否则退出。

其中，ZTEIC Z32u芯片带有ECC算法引擎，其开发套件提供USB接口及DDK，本实施例使用该套件时，首先将其COS程序中关于ECC算法参数修改为符合SM2标准的参数，然后在EK实时生成过程中直接调用DDK接口创建ECC密钥对。

图4所示为本发明权限管理模块的管理流程图，设置管理员，操作员两级用户分别完成不同级别操作权限，从而保证生产操作过程的安全性。

用户登陆的步骤包括：

检查用户名和口令是否合法；

根据合法的用户名和口令设定用户权限级别；

各级别用户权限如下表所示

操作	管理员	操作员
			授权操作员	可以	不可以
制定生产任务	可以	不可以
			导出生产日志	可以	不可以
检测生结果	可以	可以
			执行生产任务	可以	可以

用户级别管理

在本系统中采用TCM芯片来实现权限管理，TCM芯片具有密钥存储与管理的功能，本系统中将用户级别与密钥级别对应实现权限的管理，具体方法如下：

1.管理员身份与TCM芯片EK和SMK(软件迁移组件)绑定；

2.在管理员授权下创建操作员信息，即由管理员密钥派生操作员密钥；

3.使用TCM芯片的密钥迁移功能来实现用户信息的备份。

制定生产任务：

管理员登录后，设置生产批次，可生产EK数量，以及任务执行人员，生产任务信息通过TCM芯片进行加密后保存。

执行生产任务：

用户登录后，读取属于本用户的生产任务，开始生产，并记录生产日志。

图5所示为本发明EK追踪检测模块的流程图。

在本方案实现过程中，对于所有向外部提供的EK数据都通过计算其HASH值。该HASH值主要有两方面功能：

在EK实时生成过程中，作为生产线回馈EK状态时检测索引。

批量生产完成后，作为追踪检测的依据，主要是根据记录有EK数据HASH值的日志文件进行如下操作。

分析是否生产相同EK的芯片

分析本系统对外提供的EK是否都正确应用到芯片

检测某芯片的EK是否有相应的生产记录

该模块实现为一个独立的可执行程序，对生产过程中产生的包含EK数据HASH值和EK使用状态信息的日志文件进行分析。

如图5所示，检查本批次所取的EK状态的步骤包括使用区分检测功能，区分检测功能包括：

输入指定EK，通过读取生产记录日志，遍历查找是否有给定的EK存在；

通过遍历生产记录日志，判定是否有相同的EK存在；

遍历生产记录日志，逐条检测系统输出的EK外部使用情况。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种可信密码模块芯片背书密钥在线生成的方法，步骤包括：

步骤b.利用背书密钥实时生成模块读取ECC密钥对，并组织生成背书密钥数据；

步骤c.生产线上wafer机台可实时安全调用背书秘钥数据，Wafer使用背书密钥数据，并回馈背书密钥使用状态，若背书密钥使用状态设置未成功则报告生产过程中实时读取背书密钥出现异常；

步骤d.成功设置背书密钥使用状态后检查本批次所取的背书密钥状态，若有未设置状态的背书密钥数据则报告生产过程中实时读取背书密钥出现异常；

步骤e.当所有输出的背书密钥数据都已进行状态标识后，判断是否继续读取背书密钥数据，是则返回步骤a，否则退出。

2.根据权利要求1所述的方法，其特征在于，所述方法在步骤a前还包括用户登陆的步骤，所述用户登陆的步骤包括：检查用户名和口令是否合法；根据合法的用户名和口令设定用户权限级别。

3.根据权利要求1所述的方法，其特征在于，所述生成ECC密钥对的步骤a包括，初始化可以生成符合TCM芯片标准要求的ECC密钥辅助硬件；创建ECC；检测ECC是否符合标准；检测ECC符合标准成功后判断是否继续创建ECC，是则返回创建ECC，否则退出。

4.根据权利要求1所述的方法，其特征在于，步骤d中所述检查本批次所取的背书密钥状态的步骤包括使用区分检测功能，所述区分检测功能包括，输入指定背书密钥，通过读取生产记录日志，遍历查找是否有给定的背书密钥存在；通过遍历生产记录日志，判定是否有相同的背书密钥存在；遍历生产记录日志，逐条检测系统输出的背书密钥外部使用情况。

5.一种可信密码模块芯片背书密钥在线生成系统，其特征在于，系统包括，权限管理模块、ECC密钥对生成模块、背书密钥实时生成模块和背书密钥检测模块，其中所述权限管理模块与所述ECC密钥对生成模块和背书密钥实时生成模块连接，负责检查登录用户的合法性、权限级别及用户创建功能；所述ECC密钥对生成模块与所述背书密钥实时生成模块连接，利用可以生成符合TCM芯片标准要求的ECC密钥辅助硬件创建ECC密钥对；所述背书密钥实时生成模块，用以调用ECC生成模块，实时创建背书密钥数据对外输出；所述背书密钥检测模块，根据生产日志进行背书密钥相关检测。