CN103051455A

CN103051455A - 一种云计算环境下的可信密码模块密码功能授权代理的实现方法

Info

Publication number: CN103051455A
Application number: CN2012105616951A
Authority: CN
Inventors: 徐士伟; 高毅; 伍华凤; 戴新发
Original assignee: 709th Research Institute of CSIC
Current assignee: 709th Research Institute of CSIC
Priority date: 2012-12-22
Filing date: 2012-12-22
Publication date: 2013-04-17
Anticipated expiration: 2032-12-22
Also published as: CN103051455B

Abstract

一种云计算环境下的可信密码模块密码功能授权代理的实现方法：硬件TCM的密码功能依次被位于VMM中的TCM密码代理管理器和位于VM中的TCM密码代理模块授权代理，TCM和每级代理都需要生成相应的加解密密钥和签名密钥，通过密钥逐级认证授权和加密保护的方式，实现TCM密码功能的授权代理。其优点是：与硬件TCM芯片和虚拟TCM相比，每个虚拟机当中拥有一个轻量级的TCM密码代理模块并完成密码功能。多个TCM密码代理模块能够快捷地建立并且并行高效地处理数据，在保证平台数据机密性、完整性和可认证性的同时，提高了整个平台的数据处理效率，更加符合云计算环境下的并行高效处理数据的需求。

Description

一种云计算环境下的可信密码模块密码功能授权代理的实现方法

技术领域

本发明涉及计算机信息安全技术领域，主要涉及一种在云计算环境下可信密码模块(Trusted Cryptographic Module，TCM)密码功能授权代理的实现方法，同时利用密码手段保证代理密钥的保密性和可认证性。

背景技术

随着信息技术的发展和人们对计算机存储和计算能力不断提高的要求，云计算已经成为当前计算机技术的热点。在云计算时代，“云”会代替我们完成存储和计算的工作。云计算是指基于互联网的超级计算模式，即把分散在个人电脑、移动电话和其他设备上的大量信息、存储资源和处理器资源集中在服务器端，由服务器群组成的“云”统一管理并向终端用户提供数据计算能力和存储能力。它是一种新兴的共享基础架构的方法，可以将巨大的系统资源池连接在一起以提供各种IT服务。

在云计算环境下，通用的服务器架构是基于虚拟机管理器（Virtual Machine Monitor, VMM）的系统虚拟化架构。在基于VMM的架构中，VMM以软件方式模拟物理硬件的核心功能。VMM能够建立多个相互隔离的虚拟机，并且为运行在这些虚拟机之上的操作系统提供与访问物理硬件相同的访问接口，从而实现在同一个物理平台上同时运行多个操作系统。用户通过网络传输将自己的任务交给基于VMM的云计算环境，不同用户的任务被分配在不同虚拟机中运行，任务运行结束之后，各个虚拟机把运行结果通过网络传输返回给对应的用户。可以看出，在云计算环境下，服务器和终端用户之间有着非常频繁的敏感数据传输，这种模式对云计算环境下的数据传输提出了很高的速度和安全要求。

目前，我国各部委已经大力支持可信计算技术在我国信息安全建设中的发展。可信计算从根源上思考计算机安全问题，从微机的芯片和硬件结构等方面采取综合措施保证计算平台的安全性。在虚拟计算环境中引入可信计算体系结构，一方面由可信密码模块(Trusted Cryptographic Module, TCM)向虚拟计算平台提供相关密码功能的保障，另一方面修改平台启动的软固件，先启动的部件度量后启动的部件，并将所有度量值依次存入TCM的平台配置寄存器(Platform Configuration Register, PCR)当中，PCR中存储的这些度量值能够用于证明平台软固件的完整性和身份信息。这样，可以有效地解决云计算环境下数据传输的保密性、完整性和可认证性等问题。

但是，由于TCM是一枚SOC芯片，其数据处理过程是单线程性的，面对云计算环境下频繁数据传输和多用户连接的情况，TCM往往不能够多线程地高效地加解密和签名数据，这导致了TCM不能够很好的适用于云计算环境。虚拟TCM的使用在一定程度上缓解了单一物理TCM无法高效并行地支持多虚拟机多用户的密码功能需求问题，但是由于虚拟TCM自身功能和实现复杂，导致其建立和使用的过程较为繁琐耗时。因此，需要针对云计算平台自身体系结构的特点，将TCM核心密码功能简便快速地授权代理，交由能够高效并行运行的部件完成。

发明内容

本发明目的在于解决现有技术不足，相比于单线程数据处理的物理TCM和实现与使用复杂的虚拟TCM而言，提供一种建立快速并且能够高效并行运行的的适用于多用户接入虚拟环境的TCM密码功能授权代理的方法。

本发明的技术方案如下：

首先，硬件TCM需要进行相关密钥生成和生成及获取证书等准备操作。具体而言，由VMM建立TCM所有权，生成存储主密钥(Storage Main Key, SMK)，SMK作为父密钥用于加密保护TCM内部生成的其它密钥。硬件TCM生成平台身份密钥（Platform Identity Key, PIK），通过证书中心（Certificate Authority, CA）对生成的PIK进行认证授权并颁发证书。硬件TCM生成平台签名密钥（Platform Signing Key, PSK）和平台加密密钥（Platform Encryption Key, PEK），并且使用PIK对PSK进行认证授权，并生成相关证书；

然后，由VMM中的TCM密码代理管理器生成平台代理签名密钥（Platform Delegated Signing Key, PDSK）和平台代理加密密钥（Platform Delegated Encryption Key, PDEK）。此后，一方面，TCM使用PSK对PDSK进行认证授权，并生成证书；另一方面，TCM使用PEK的公玥对PDEK和PDSK的私玥进行加密保护，并将加密结果存储在本地存储器上；

接下来，当每个虚拟机(Virtual Machine, VM)建立的时候，都会由虚拟机中的TCM密码代理模块生成子加密密钥（Child Encryption Key, CEK）和子签名密钥（Child Signing Key, CSK）。此后，一方面，TCM密码代理管理器使用PDSK对CSK进行认证授权，并生成证书；另一方面，TCM密码代理管理器使用PDEK的公玥对CEK和CSK的私玥进行加密保护，并将加密结果存储在本地存储器上。最后，TCM密码代理模块利用CSK和CEK，向虚拟机提供安全功能，这些安全功能包括：签名子加密密钥、读取全部认证授权证书、签名数据、非对称加解密、生成对称密钥和对称加解密。

本发明提供的方法与现有其它技术相比具有以下的主要优点：与硬件TCM芯片和虚拟TCM相比，每个虚拟机当中能够拥有一个轻量级的TCM密码代理模块并完成相关密码功能。多个TCM密码代理模块能够快速地建立并且高效并行地处理数据，在保证平台数据机密性、完整性和可认证性的同时，提高了整个平台的数据处理效率，更加符合云计算环境下的并行高效处理数据的需求。

附图说明

图1：TCM密码功能代理授权体系图。

图2：TCM密码功能代理授权的密钥结构图。

具体实施方式

本发明提出一种在云计算环境下TCM密码功能授权代理的实现方法，如图1所示：在基于VMM架构的虚拟计算平台上，TCM的密码相关功能依次被位于VMM中的TCM密码代理管理器和位于VM中的TCM密码代理模块授权代理，TCM和每级代理都需要生成相应的加解密密钥和签名密钥用于授权认证和加密保护下级代理的密钥。

结合图1和图2，本发明的TCM密码功能代理体系建立的具体实现方法为：

①. 硬件TCM由VMM建立所有权，生成SMK。

在该步骤中，具体实施可以分为如下细节：

1. 在TCM建立所有权过程中，TCM生成SMK，并由VMM设置SMK和TCM所有者的口令；

2. 根据TCM标准，SMK是长度为256字节的SM2密钥对，其作用是作为父密钥用于加密保护TCM内部生成的其它密钥。

②. 硬件TCM生成PIK，并向CA发送生成PIK证书的请求，CA验证请求并向硬件TCM颁发PIK证书。

在该步骤中，具体实施可以分为如下细节：

1. 硬件TCM生成PIK。根据TCM标准，PIK是长度为256字节的SM2密钥对；

2. 硬件TCM向CA发送生成PIK证书的请求。PIK证书请求包括：密码模块密钥EK证书和PIK自签名证书。其中，EK的证书是由TCM生产厂商生成并固化在TCM内部的，PIK自签名证书的内容包括：PIK的公玥、EK的公玥、TCM版本号及平台相关信息；

3. CA验证接收到的证书及相关信息，验证通过则为PIK颁发PIK证书。

③. 硬件TCM生成平台签名密钥PSK和平台加密密钥PEK，并且TCM使用PIK对PSK进行认证授权，形成PSK证书。

在该步骤中，具体实施可以分为如下细节：

1. 硬件TCM生成PSK和PEK。根据TCM标准，PSK和PEK是长度为256字节的SM2密钥对。需要特别注意的是：生成的PSK和PEK需要与指定PCR值（即平台的身份信息，包括BIOS、系统引导程序和VMM的身份信息）进行绑定，当指定PCR不满足要求值的时候，TCM将拒绝任何软硬件使用PSK和PEK；

2. 硬件TCM使用PIK的私钥对PSK的公钥认证授权并签发证书，形成PSK证书，证书的内容包括：TCM的版本号、PSK的公钥和指定PCR值（即平台的身份信息，包括BIOS、系统引导程序和VMM的身份信息）；

④. VMM中的TCM密码代理管理器生成PDSK和PDEK。此后，一方面，TCM使用PSK对PDSK进行认证授权，形成PDSK证书；另一方面，TCM使用PEK加密保护PDSK和PDEK。

在该步骤中，具体实施可以分为如下细节：

1. VMM中的TCM密码代理管理器生成PDSK和PDEK。TCM密码代理管理器可以根据国产平台或国际平台的需要，生成长度为256字节的SM2或RSA密钥对；

2. TCM使用PSK对PDSK进行认证授权并签发证书，形成PDSK证书，证书的内容包括：PDSK的公钥；

3. TCM使用PEK的公玥对PDEK和PDSK的私玥进行加密保护，并将加密结果存储在本地存储器上。

⑤. VM中的TCM密码代理模块生成CEK和CSK。此后，一方面，TCM密码代理管理器使用PDSK对CSK进行认证授权并签发证书，形成CSK证书；另一方面，TCM密码代理管理器使用PDEK加密保护CEK和CSK。

在该步骤中，具体实施可以分为如下细节：

1. VM中的TCM密码代理模块生成CEK和CSK。TCM密码代理管理器可以根据国产平台或国际平台的需要，生成长度为256字节的SM2或RSA密钥对；

2. TCM密码代理管理器使用PDSK对CSK进行认证授权并签发证书，形成CSK证书，证书的内容包括：CSK的公钥和指定PCR值（即VM的身份信息）；

3. TCM密码代理管理器使用PDEK的公玥对CEK和CSK的私玥进行加密保护，并将加密结果存储在本地存储器上。当VM启动时，需要向TCM密码代理管理器发送解密CEK和CSK的请求，TCM密码代理管理器需要检查VM的完整性，如果通过检查，则返回CEK和CSK的解密结果；否则，拒绝解密CEK和CSK。这样，通过一级密钥加密保护一级密钥，并且指定解密时需要的PCR值和VM完整性的方式，完成与平台配置相关的加解密功能。

TCM密码代理模块的作用是代理实现TCM的核心密码功能，该模块的设计与功能介绍如下：

1. 签名CEK。TCM密码代理模块能够使用CSK对CEK进行签名，形成CEK证书，表明CEK是来自指定身份的云计算平台的VM；

2. 读取证书。TCM密码代理模块能够提供CA的根证书、PIK证书、PSK证书、PDSK证书、CSK证书和CEK证书。这些通过一级密钥认证一级密钥形成的证书，用于证明整个云计算平台从硬件到VM的身份信息；

3. 签名数据。需要签名数据的部件调用位于本VM中的TCM密码代理模块的签名功能，将需要签名的数据发送给TCM密码代理模块，TCM密码代理模块返回给相应部件被CSK签名的数据；

4. 非对称加密(解密)数据。需要非对称加密(解密)数据的部件调用位于本VM中的TCM密码代理模块的非对称加密(解密)数据功能，将需要加密(解密)的数据发送给TCM密码代理模块，TCM密码代理模块使用CEK的公钥(私钥)加密(解密)数据并返回加密(解密)结果；

对称加密(解密)数据。TCM密码代理模块能够生成对称密钥，生成的对称密钥被CEK的公钥加密保护存储在本地存储器上。在生成对称密钥之后，需要对称加密(解密)数据的部件调用位于本VM中的TCM密码代理模块的对称加密(解密)数据功能，将需要加密(解密)的数据发送给TCM密码代理模块，TCM密码代理模块使用生成的对称密钥加密(解密)数据并返回加密(解密)结果。

Claims

1.一种云计算环境下的可信密码模块密码功能授权代理的实现方法，其特征在于：硬件TCM的密码相关功能依次被位于VMM中的TCM密码代理管理器和位于VM中的TCM密码代理模块授权代理，TCM和每级代理都需要生成相应的加解密密钥和签名密钥；一方面，TCM和TCM密码代理管理器使用自身的签名密钥对下一级代理的签名密钥进行签名、认证和授权；另一方面，TCM和TCM密码代理管理器使用自身的加解密密钥，采用父密钥公玥加密子密钥私玥的方式，保证下一级代理的所有密钥存储的安全性，所述TCM相关生成密钥和证书及获取证书等准备操作的具体流程如下，

步骤1，硬件TCM由VMM通过建立所有权的操作，生成存储主密钥，作为父密钥用于加密保护TCM内部生成的其它密钥；

步骤2，硬件TCM生成平台身份密钥，通过证书中心对生成的平台身份密钥颁发证书并进行认证授权；

步骤3，硬件TCM生成平台签名密钥和平台加密密钥，并且使用平台身份密钥对平台签名密钥进行认证授权，并生成相关证书。

2.如权利要求1所述的位于VMM中的TCM密码代理管理器实现方法，其特征在于：所述的硬件TCM的相关密钥对TCM密码代理管理器的相关密钥进行认证授权和加密保护，具体流程如下，

步骤1，TCM密码代理管理器生成平台代理签名密钥和平台代理加密密钥；

步骤2，使用TCM的平台签名密钥对平台代理签名密钥进行认证授权，并生成证书；

步骤3，使用TCM平台加密密钥的公玥对平台代理签名密钥和平台代理加密密钥的私玥进行加密保护，并将加密结果存储在本地存储器上。

3.如权利要求1所述的位于各个虚拟机中的TCM密码代理模块实现方法，其特征在于：所述的TCM密码代理管理器的相关密钥对TCM密码代理模块的相关密钥进行认证授权和加密保护，并且由TCM密码代理模块利用相关密钥向虚拟机提供密码功能，流程如下，

步骤1，当每个虚拟机建立的时候，由虚拟机中的TCM密码代理模块生成子签名密钥和子加密密钥；

步骤2，TCM密码代理管理器使用平台代理签名密钥对子签名密钥进行认证授权，并生成证书；

步骤3，TCM密码代理管理器使用平台代理加密密钥的公玥对子签名密钥和子加密密钥的私玥进行加密保护，并将加密结果存储在本地存储器上；

步骤4，TCM密码代理模块利用子签名密钥和子加密密钥，向虚拟机提供安全功能，这些安全功能包括：签名子加密密钥、读取全部认证授权证书、签名数据、非对称加解密、生成对称密钥和对称加解密。