CN103150523A - 一种简易的嵌入式可信终端系统及方法 - Google Patents

Abstract

本发明公开了一种简易的嵌入式可信终端系统及其方法，包括只读存储器ROM、TPM芯片、NAND Flash和CPU；将启动加载程序Bootloader和操作系统内核烧录到ROM中；将应用程序、用户数据存放于NandFlash中；TPM设备驱动程序还具有TPM字节流发生器的功能；在TPM设备驱动程序中加入并发访问技术，使不同的进程能够有序访问TPM芯片，确保TPM芯片的可靠性和高效性；TPM设备驱动程序运行在操作系统的内核态，多个进程对同一个内核模块进行访问，比多个进程对同一个守护进程访问的效率高很多。

Description

一种简易的嵌入式可信终端系统及方法

技术领域

本发明涉及嵌入式数据终端技术领域，尤其涉及的是一种简易的嵌入式可信终端系统及方法。

背景技术

嵌入式数据终端主要负责采集、存储和传输数据。存储和传输环节都需要进行数据加密，防止用户隐私信息和重要传感器数据的泄露。传统方法采用纯软件的方式，对于大量数据，为了提高加密解密速度，通常使用一种对称加密算法将原始数据映射到密文空间后存储或传输。由于现代密码学算法公开的特点，密钥才是真正要保护的对象，由于操作系统和应用程序往往存在漏洞，纯软件方式实现的安全策略不能从根本上有效保护密钥。因此常常借助可信计算的思想，通过扩展TPM芯片来实现密钥的存储、证书签名、平台配置信息的存储和验证等等。

可信计算技术是由可信计算组织（TCG）组织发起的，旨在通过软硬件相结合的方式加强信息安全，可信计算的保护范围涉及从服务器、桌面工作站、嵌入式设备等各种平台，为了兼容性和完善性的考虑，可信计算组织采用了可信计算软件栈（TSS）的形式规范了实施细节。TSS功能完善，函数和接口复杂庞大。

可信平台模块：TPM(Trusted Platform Module)安全芯片，是指符合TCG标准的安全芯片，它能有效地保护PC、防止非法用户访问。

平台配置寄存器(PCR)：平台配置寄存器位于TPM芯片内部，是用来记录系统运行状态的寄存器。平台配置信息包含相当大的数据，如操作系统内核镜像、应用程序的二进制可执行代码等，TPM能存储的信息容量有限，只能存储平台运行状态的摘要，TPM中常用的摘要算法是SHA-1。

对称加密：用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，这种加密方法称为对称加密。由于其速度快，对称性加密通常适用于加密大量数据。所谓对称，就是采用这种加密方法的双方使用同样的密钥进行加密和解密，因此对称式加密本身不是安全的。

非对称加密：与对称加密算法不同，非对称加密算法需要两个密钥：公开密钥（public key）和私有密钥（private key）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。本发明中用到的非对称加密算法是RSA，公钥和私钥被称为RSA密钥对。

数据密封：密封是指在加密消息的同时加入平台状态信息，如某些平台配置信息PCR值及平台验证信息。在解密时首先判断解密方的平台状态是否与加密时的平台状态一致，如果一致对消息解密，否则消息不被解密。

数据解封：数据密封的逆过程，即解密操作。

发明内容

本发明所要解决的技术问题是针对现有技术的不足提供一种简易的嵌入式可信终端系统及方法。

本发明的技术方案如下：

一种简易的嵌入式可信终端系统，包括只读存储器ROM、TPM芯片、NAND Flash和CPU；将启动加载程序Bootloader和操作系统内核烧录到ROM中；将应用程序、用户数据存放于NandFlash中；仅仅保留TPM设备驱动程序一层，TPM设备驱动程序直接访问TPM芯片，同时应用程序能够直接通过输入输出控制（ioctl()）系统调用访问TPM设备驱动程序；TPM设备驱动程序还具有TPM字节流发生器的功能，应用程序只需要提供自定义命令和参数就可以访问TPM芯片；在TPM设备驱动程序中加入并发访问技术，使不同的进程能够有序访问TPM芯片，确保TPM芯片的可靠性和高效性；TPM设备驱动程序运行在操作系统的内核态，多个进程对同一个内核模块进行访问，比多个进程对同一个守护进程访问的效率高很多。

所述的嵌入式可信终端系统，所述TPM芯片采用AT97SC3204T，该芯片通过IIC总线接口和CPU进行通信。

所述的嵌入式可信终端系统的工作方法，包括以下步骤：

A1、系统上电后，CPU首先从只读存储器ROM的0x00000000地址处取出第一条指令执行;

A2、启动加载程序Bootloader对CPU和外围芯片进行初始化，并建立设置堆栈，之后设置启动参数，加载Linux操作系统内核；

A3、操作系统内核启动时会逐个加载TPM设备驱动程序，当TPM设备驱动程序加载完成后，TPM正常工作；

A4、接下来，操作系统内核会对根文件系统中的重要文件进行完整性度量，借助驱动程序将度量值扩散到TPM的PCR寄存器当中，实现可信启动；

A5、启动应用程序；

A6、应用程序通过系统调用接口与TPM芯片通讯，完成可信计算相关的功能；

A7、如果应用程序需要更新，则首先确保终端处于可信状态，释放出所有密封过的密钥，向内核申请重新度量文件系统，最后重新密封所有密钥。

所述的工作方法，所述应用程序通过两种方式调用TPM，第一种方式，通过写（write()）系统调用发送原始字节流；第二种方式，通过输入输出控制（ioctl()）系统调用发送上层命令给TPM设备驱动程序，TPM设备驱动程序根据上层命令的参数构建字节流；输入输出控制（ioctl()）系统调用的参数使用结构体表示，结构体中包含了传入参数缓冲区地址，传入参数大小，返回值缓冲区地址，返回值缓冲区大小等信息。

所述的工作方法，通过CMD_RSA、CMD_SEAL命令实现数据加密的流程如下：

B1、内核进行文件系统度量，度量值存放于PCR中，此步骤在终端启动时自动完成；

B2、生成对称密钥randKey，只需要生成一个随机数即可；如果借助TPM生成随机数，可以采用TPM_GetRandom命令，通过读（read()）或写（write()）系统调用实现；

B3、调用CMD_RSA命令，生成RSA密钥对sealKey，该密钥用于对randKey进行密封；

B4、调用CMD_SEAL命令，TPM内部会将randKey和PCR值绑定，然后用sealKey的公钥部分对randKey密封,得到randKey*；

B5、使用randKey对原始数据data进行加密，得到data*；

B6、将randKey*、data*以及sealKey的公钥部分存储在文件系统中；

通过CMD_UNSEAL命令实现数据解密的流程如下：

C1、内核对进行文件系统度量，度量值存放于PCR中，此步骤在终端启动时自动完成；

C2、从文件系统中读取randKey*；

C3、调用CMD_UNSEAL命令，TPM内部会使用sealKey的私钥部分对randKey*解封，如果PCR值与密封时相同，则释放出randKey，否则，randKey*无法解封；

C4、使用randKey对data*进行解密，得到原始数据data。

本发明只采纳了可信计算最核心的思想，将复杂操作交给TPM设备驱动程序处理。硬件上，仅仅扩展了TPM芯片，并加入了一片ROM存放引导加载程序和操作系统内核。对TPM设备驱动程序的功能进行增强，将原本TSS需要完成的复杂功能裁剪整合，移交给驱动程序处理。这种方式结构简洁，多进程访问效率更高。

附图说明

图1为可信数据采集终端硬件结构图；

图2为可信数据终端工作流程图；

图3为应用程序、驱动程序、TPM芯片调用关系图；

图4为数据密封和解封示意图。

具体实施方式

以下结合具体实施例，对本发明进行详细说明。

参考图1，可信数据采集终端硬件结构图，在传统的嵌入式硬件电路的基础上，增加了只读存储器ROM，并将启动加载程序(Bootloader)和操作系统内核烧录到ROM中；将应用程序、用户数据等存放于NandFlash中；仅仅保留TPM设备驱动程序一层，设备驱动程序直接访问TPM芯片，同时应用程序可以直接通过输入输出控制（ioctl()）系统调用访问TPM设备驱动程序；TPM设备驱动程序还具有TPM字节流发生器的功能，应用程序只需要提供自定义命令和参数就可以访问TPM芯片，TPM字节流构建工作由TPM设备驱动程序来完成。在TPM设备驱动程序中加入并发访问技术，使不同的进程能够有序访问TPM芯片，确保TPM芯片的可靠性和高效性。TPM设备驱动程序运行在操作系统的内核态，多个进程对同一个内核模块进行访问，比多个进程对同一个守护进程访问的效率高很多。TPM芯片采用AT97SC3204T，该芯片通过IIC总线接口和CPU进行通信。

参考图2，可信终端启动和工作流程如下：

1、系统上电后，首先CPU首先从只读存储器ROM的0x00000000地址处取出第一条指令执行。

2、启动加载程序(Bootloader)对CPU和外围芯片进行初始化，并建立设置堆栈，之后设置启动参数，加载Linux操作系统内核。

3、操作系统内核启动时会逐个加载TPM设备驱动程序，当TPM设备驱动程序加载完成后，TPM就可以正常工作。

4、接下来，操作系统内核会对根文件系统中的重要文件进行完整性度量，借助驱动程序将度量值扩散到TPM的PCR寄存器当中，实现可信启动。省略了信任链度量的Bootloader度量和内核度量两个步骤，ROM程序本身作为可信度量根（RTM）。

5、启动应用程序，应用程序完成数据采集、数据传输等常规任务。

6、应用程序通过系统调用接口与TPM通讯，完成可信计算相关的功能。

7、如果应用程序需要更新，则首先确保终端处于可信状态，释放出所有密封过的密钥，向内核申请重新度量文件系统，最后重新密封所有密钥。

参考图3，应用程序可以通过两种方式调用TPM，第一种方式，通过写（write()）系统调用发送原始字节流，这种方式相当于直接操作TPM。第二种方式，通过输入输出控制（ioctl()）系统调用发送上层命令给TPM设备驱动程序，TPM设备驱动程序根据上层命令的参数构建字节流。上层命令（以CMD_开头）都是自定义命令，不遵循TCG规范，根据实际需要，可以由TPM设备驱动程序开发者和应用程序开发者协商制定。输入输出控制（ioctl()）系统调用的参数使用结构体表示，结构体中包含了传入参数缓冲区地址，传入参数大小，返回值缓冲区地址，返回值缓冲区大小等信息。

从图3中可以看到，TPM设备驱动程序对TPM命令起到了封装和打包的作用。对于上层使用者更方便简洁。另外为了解决并发访问的问题，涉及TPM芯片的操作都加入了信号量控制，对于只有一个TPM芯片的终端来说，信号量的初值设为1即可。

参考图4，引入了增强的TPM设备驱动程序后，可信计算的常用操作被简化为对TPM设备的系统调用。首先，使用open()函数打开设备文件”/dev/tpm0”，然后通过输入输出控制（ioctl()）系统调用传入命令，以及命令相关的参数，这里的命令都是自定命令，根据需要自己制定，而非TCG定义的TPM命令，每条自定义命令可能包含若干条TPM命令，并需要密码学库函数辅助操作。另外，如果TPM设备驱动程序提供的自定义命令无法满足需要，使用者也可以自行构建TPM命令字节流。

这里以数据密封和解封操作（本发明中涉及到对data和randKey的操作是加密/解密；对randKey和sealKey的操作是密封/解封）为例，用户可以定义三条命令，这些命令的输入参数和返回值都使用结构体来传递。

CMD_RSA用来创建RSA密钥对。

CMD_SEAL命令用来实现数据密封的功能。

CMD_UNSEAL命令用来实现数据解封功能。

通过CMD_RSA、CMD_SEAL命令实现数据加密的流程如下（凡是以CMD_开头的都是自定义命令；以TPM_开头的命令是固化在TPM芯片中的）：

1、内核进行文件系统度量，度量值存放于PCR中，此步骤在终端启动时自动完成。

2、生成对称密钥randKey，只需要生成一个随机数即可。如果借助TPM生成随机数，可以采用TPM_GetRandom命令，通过读（read()）或写（write()）系统调用实现。

3、调用CMD_RSA命令，生成RSA密钥对sealKey，该密钥用于对randKey进行密封。

4、调用CMD_SEAL命令，TPM内部会将randKey和PCR值连接，然后用sealKey的公钥部分对randKey密封,得到randKey*。

5、使用randKey对原始数据data进行加密，得到data*。

6、将randKey*、data*以及sealKey的公钥部分存储在文件系统中。

通过CMD_UNSEAL命令实现数据解密的流程如下：

1、内核对进行文件系统度量，度量值存放于PCR中，此步骤在终端启动时自动完成。

2、从文件系统中读取randKey*

3、调用CMD_UNSEAL命令，TPM内部会使用sealKey的私钥部分对randKey*解封，如果PCR值与密封时相同，则释放出randKey，否则，randKey*无法解封。

4、使用randKey对data*进行解密，得到原始数据data。

本方案将Bootloader、操作系统内核（包括增强的TPM驱动程序）等相对固定的程序存储在ROM中，省略了信任链度量的Bootloader度量和内核度量两个步骤，ROM程序本身作为可信度量根（RTM）。将应用程序、用户数据等存放于NandFlash中。由于操作系统内核固定，内核虽然能控制启动流程，也能借助TPM对用户数据和应用程序进行完整性度量，但是操作系统无法根据PCR信息判断是否可信。但这并不妨碍本应用，因为即使系统处在不可信的状态，当涉及敏感信息的操作时TPM无法释放出密钥。进而入侵者无法获得解密后的数据。简言之，本方案是一种简化的可信计算实现方式，硬件上，省略了FPGA等信任链控制芯片。软件上，省略了对Bootloader和操作系统内核的度量过程。

在可信计算功能的实现方式上。传统方法是借助TSS可信软件栈的设计模型，按照硬件、设备驱动程序、设备驱动程序库、可信计算核心服务、可信计算服务提供者、应用程序的层次逐层设计。这种方式功能完善、函数和接口复杂庞大，适合在服务器、个人电脑和安全性较高且运算能力较强的平台上使用。借助TSS协议栈架构实现可信计算的方案，在嵌入式平台上进行应用时需要进行优化和裁剪以保证效率，开发周期较长。对于数据采集终端来说，可信软件栈的大部分功能都不需要，只要实现数据密封、签名、远程身份证明就可以了。

本发明技术方案的解决思路是仅仅保留TPM设备驱动程序一层，设备驱动程序直接访问TPM硬件，同时应用程序可以直接通过输入输出控制（ioctl()）系统调用访问设备驱动程序，从而避免了复杂的软件栈结构，执行效率更高，同时能避免层与层通讯存在的潜在安全漏洞。增强的设备驱动还具有TPM字节流发生器的功能，应用程序只需要提供自定义命令和参数就可以访问TPM芯片，TPM字节流构建工作由驱动程序来完成。

对于多个应用程序访问TPM的情况，传统方法是通过软件栈中的核心服务层，解决并发访问的问题。而核心服务层运行在用户态，不仅涉及进程间通讯，而且核心服务和应用程序进行上下文切换的开销也很大。本发明技术方案直接在驱动程序中加入并发访问技术，使不同的进程能够有序访问TPM芯片，确保TPM芯片的可靠性和高效性。驱动程序运行在操作系统的内核态，多个进程对同一个内核模块进行访问，比多个进程对同一个守护进程访问的效率高很多。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (5)

1.一种简易的嵌入式可信终端系统，其特征在于，包括只读存储器ROM、TPM芯片、NAND Flash和CPU；将启动加载程序Bootloader和操作系统内核烧录到ROM中；将应用程序、用户数据存放于NandFlash中；仅仅保留TPM设备驱动程序一层，TPM设备驱动程序直接访问TPM芯片，同时应用程序能够直接通过输入输出控制（ioctl()）系统调用访问TPM设备驱动程序；TPM设备驱动程序还具有TPM字节流发生器的功能，应用程序只需要提供自定义命令和参数就可以访问TPM芯片；在TPM设备驱动程序中加入并发访问技术，使不同的进程能够有序访问TPM芯片，确保TPM芯片的可靠性和高效性；TPM设备驱动程序运行在操作系统的内核态，多个进程对同一个内核模块进行访问。

2.根据权利要求1所述的嵌入式可信终端系统，其特征在于，所述TPM芯片采用AT97SC3204T，该芯片通过IIC总线接口和CPU进行通信。

3.根据权利要求1所述的嵌入式可信终端系统的工作方法，其特征在于，包括以下步骤：

A1、系统上电后，CPU首先从只读存储器ROM的0x00000000地址处取出第一条指令执行;

A2、启动加载程序Bootloader对CPU和外围芯片进行初始化，并建立设置堆栈，之后设置启动参数，加载Linux操作系统内核；

A3、操作系统内核启动时会逐个加载TPM设备驱动程序，当TPM设备驱动程序加载完成后，TPM正常工作；

A4、接下来，操作系统内核会对根文件系统中的重要文件进行完整性度量，借助驱动程序将度量值扩散到TPM的PCR寄存器当中，实现可信启动；

A5、启动应用程序；

A6、应用程序通过系统调用接口与TPM芯片通讯，完成可信计算相关的功能；

A7、如果应用程序需要更新，则首先确保终端处于可信状态，释放出所有密封过的密钥，向内核申请重新度量文件系统，最后重新密封所有密钥。

4.根据权利要求3所述的工作方法，其特征在于，所述应用程序通过两种方式调用TPM，第一种方式，通过写（write()）系统调用发送原始字节流；第二种方式，通过输入输出控制（ioctl()）系统调用发送上层命令给TPM设备驱动程序，TPM设备驱动程序根据上层命令的参数构建字节流；输入输出控制（ioctl()）系统调用的参数使用结构体表示，结构体中包含了传入参数缓冲区地址，传入参数大小，返回值缓冲区地址，返回值缓冲区大小等信息。

5.根据权利要求3所述的工作方法，其特征在于，通过CMD_RSA、CMD_SEAL命令实现数据加密的流程如下：

B1、内核进行文件系统度量，度量值存放于PCR中，此步骤在终端启动时自动完成；

B2、生成对称密钥randKey，只需要生成一个随机数即可；如果借助TPM生成随机数，可以采用TPM_GetRandom命令，通过读（read()）或写（write()）系统调用实现；

B3、调用CMD_RSA命令，生成RSA密钥对sealKey，该密钥用于对randKey进行密封；

B4、调用CMD_SEAL命令，TPM内部会将randKey和PCR值连接，然后用sealKey的公钥部分对randKey密封,得到randKey*；

B5、使用randKey对原始数据data进行加密，得到data*；

B6、将randKey*、data*以及sealKey的公钥部分存储在文件系统中；

通过CMD_UNSEAL命令实现数据解密的流程如下：

C1、内核对进行文件系统度量，度量值存放于PCR中，此步骤在终端启动时自动完成；

C2、从文件系统中读取randKey*；

C3、调用CMD_UNSEAL命令，TPM内部会使用sealKey的私钥部分对randKey*解封，如果PCR值与密封时相同，则释放出randKey，否则，randKey*无法解封；

C4、使用randKey对data*进行解密，得到原始数据data。

Images