CN105933117A - 一种基于tpm秘钥安全存储的数据加解密装置和方法 - Google Patents

一种基于tpm秘钥安全存储的数据加解密装置和方法 Download PDF

Info

Publication number
CN105933117A
CN105933117A CN201610500883.1A CN201610500883A CN105933117A CN 105933117 A CN105933117 A CN 105933117A CN 201610500883 A CN201610500883 A CN 201610500883A CN 105933117 A CN105933117 A CN 105933117A
Authority
CN
China
Prior art keywords
key
tpm
data
encryption
external equipment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610500883.1A
Other languages
English (en)
Inventor
段成德
戴鸿君
于治楼
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inspur Group Co Ltd
Original Assignee
Inspur Group Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inspur Group Co Ltd filed Critical Inspur Group Co Ltd
Priority to CN201610500883.1A priority Critical patent/CN105933117A/zh
Publication of CN105933117A publication Critical patent/CN105933117A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token

Abstract

本发明公开一种基于TPM秘钥安全存储的数据加解密装置和方法,涉及数据安全存储方法，其架构包括一可信服务器和一外部设备；其中，所述可信服务器包含一可信计算模块，提供可信的计算系统，并为敏感数据提供加解密；所述外部设备通过USB接口连接可信服务器，并存储数据加密过程中的会话摘要和加密秘钥。本发明在数据加密过程中，通过TPM内部SRK将秘钥进行加密，并将加密后的密文和授权会话摘要存储在移动外部设备中，增加了秘钥存储的安全性，防止秘钥被盗取导致数据丢失，提高数据存储加解密的安全性和可靠性。

Description

一种基于TPM秘钥安全存储的数据加解密装置和方法
技术领域
本发明涉及数据安全存储方法，具体的说是一种基于TPM秘钥安全存储的数据加解密装置和方法。
背景技术
随着计算机网络的深度应用，以用户私密信息为目标的恶意代码攻击超过传统的病毒成为最大的安全威胁，如何从体系架构上建立恶意攻击免疫机制，实现计算系统平台的可信赖的运行环境成为亟待解决的核心问题。
可信计算平台的核心是TPM芯片，由可信软件协议栈配合可信平台模块芯片对可信计算平台提供支持，以保证可信计算平台能够提供基于硬件保护的安全存储和各种密码运算功能。系统的所有安全认证和安全调用都通过可信平台模块来完成，并建立起一条网络——应用软件——操作系统——硬件的完整的信任链关系。在信任传输的作用下，实现安全机制的整体性检查，从而确保了各环节的可信性，进而保证了整个系统的可信性。
然而由于加解密算法的开源和秘钥的容易丢失或被获取，导致其加密的数据容易被获取的可能性增大。如何在现有整个系统可信的基础上，保证秘钥存储的安全性和敏感数据加解密的可靠性是一个需要解决的问题。
发明内容
本发明针对目前技术发展的需求和不足之处，提供一种基于TPM秘钥安全存储的数据加解密装置和方法。
本发明所述一种基于TPM秘钥安全存储的数据加解密装置和方法，解决上述技术问题采用的技术方案如下：一种基于TPM秘钥安全存储的数据加解密装置, 其架构包括一可信服务器和一外部设备；其中，所述可信服务器包含一可信计算模块，提供可信的计算系统，并为敏感数据提供加解密；所述外部设备通过USB接口连接可信服务器，并存储数据加密过程中的会话摘要和加密秘钥。
优选的，所述可信服务器中设置有加密数据区、可信计算模块、BIOS以及I/O设备，其中可信计算模块中含有TPM芯片，BIOS与可信计算模块通信，可信计算模块与加密数据区通信，I/O设备用于USB连接外部设备。
一种基于TPM秘钥安全存储的数据加解密方法，对敏感数据加密：首先，启动可信服务器，使用TPM的可行软件栈TSS，调用TPM命令启动授权会话，并生产（加载）一个秘钥，使用秘钥加密外部敏感数据，然后使用TPM内部的存储根秘钥SRK加密秘钥；最后，将外部设备接入可信服务器，将加密秘钥和授权会话的摘要存储到外部设备中。
一种基于TPM秘钥安全存储的数据加解密方法，对敏感数据解密：首先将外部设备接入可信服务器，通过TPM读取会话授权摘要，并验证其身份的合法性；若检查失败，则无法解密加密数据；若检查通过，身份验证成功，则通过TPM读取加密秘钥，调用TPM命令使用存储根秘钥SRK解密加密秘钥，然后，并使用解密后的秘钥解密敏感数据。
本发明所述一种基于TPM秘钥安全存储的数据加解密装置和方法与现有技术相比具有的有益效果是：本发明通过一个含有TPM芯片的可信服务器和一个外部USB连接的移动设备，实现了基于TPM秘钥安全存储的数据加解密；对数据加密过程中TPM产生的秘钥进行加密，并将加密后的密文和授权会话摘要存储在外部设备存储中，增加了秘钥存储的安全性，防止秘钥被盗取导致数据丢失，从而提高数据存储加解密的安全性和可靠性。
附图说明
附图1为所述基于TPM秘钥安全存储的数据加解密装置的示意图；
附图2为所述基于TPM秘钥安全存储的数据加解密方法的流程图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，对本发明所述一种基于TPM秘钥安全存储的数据加解密装置和方法进一步详细说明。
本发明公开了一种基于TPM秘钥安全存储的数据加解密装置和方法，在数据加密过程中，通过TPM内部SRK将秘钥进行加密，并将加密后的密文和授权会话摘要存储在移动外部设备中，增加了秘钥存储的安全性，防止秘钥被盗取导致数据丢失，提高数据存储加解密的安全性和可靠性，从而提高了服务器或计算机系统数据加解密的可靠性。
实施例：
本实施例所述一种基于TPM秘钥安全存储的数据加解密装置,如附图1所示，该数据加密装置包括一可信服务器和一外部设备；其中，所述可信服务器包含一可信计算模块，提供可信的计算系统，并为敏感数据提供加解密；所述外部设备通过USB接口连接可信服务器，并存储数据加密过程中的会话摘要和加密秘钥。
本实施例所述数据加解密装置中，所述可信服务器中设置有加密数据区、可信计算模块、BIOS以及I/O设备，其中可信计算模块中含有TPM芯片，BIOS与可信计算模块通信，可信计算模块与加密数据区通信，I/O设备用于USB连接外部设备。
该数据加解密装置提供一种基于TPM秘钥安全存储的数据加解密方法，对敏感数据进行加密：首先，启动可信服务器，使用TPM的可行软件栈TSS，调用TPM命令启动授权会话，并生产（加载）一个秘钥，使用秘钥加密外部敏感数据，然后使用TPM内部的存储根秘钥SRK加密秘钥；最后，将外部设备接入可信服务器，将加密秘钥和授权会话的摘要存储到外部设备中。
采用该基于TPM秘钥安全存储的数据加解密方法，对敏感数据解密：首先将外部设备接入可信服务器，通过TPM读取会话授权摘要，并验证其身份的合法性；若检查失败，则无法解密加密数据；若检查通过，身份验证成功，则通过TPM读取加密秘钥，调用TPM命令使用存储根秘钥SRK解密加密秘钥，然后，并使用解密后的秘钥解密敏感数据。
将外部设备USB连接至可信服务器上。附图1为所述基于TPM秘钥安全存储的数据加解密方法的流程图，如附图1所示，启动可信服务器后，发出数据加解密请求，判断数据是加密还是解密；若加密数据，则TPM启动授权会话并生产一个秘钥，使用该秘钥加密数据，并使用SRK加密所述秘钥，将加密秘钥和授权会话的摘要存储到外部设备中，过程结束；若解密数据，则TPM授权会话，并验证其身份的合法性，若检查失败则无法解密数据；若检查通过，则TPM读取加密秘钥，并解密该加密秘钥，然后使用秘钥解密需要解密的数据，过程结束。
本实施例所述基于TPM秘钥安全存储的数据加解密方法，由于存储根秘钥SRK仅仅存储在TPM内部，不会在外部被使用，因此具有较高的安全性。存储在外部设备中的秘钥经过TPM加密后，不易被外部攻击者获取器秘钥（KeyHandle），其存储的安全性得到保护。同时将会话授权摘要存储在外部，验证其身份的合法性。
上述具体实施方式仅是本发明的具体个案，本发明的专利保护范围包括但不限于上述具体实施方式，任何符合本发明的权利要求书的且任何所属技术领域的普通技术人员对其所做的适当变化或替换，皆应落入本发明的专利保护范围。

Claims (4)

1.一种基于TPM秘钥安全存储的数据加解密装置，其特征在于, 其架构包括一可信服务器和一外部设备；其中，所述可信服务器包含一可信计算模块，提供可信的计算系统，并为敏感数据提供加解密；所述外部设备通过USB接口连接可信服务器，并存储数据加密过程中的会话摘要和加密秘钥。
2. 根据权利要求1所述一种基于TPM秘钥安全存储的数据加解密装置，其特征在于,所述可信服务器中设置有加密数据区、可信计算模块、BIOS以及I/O设备，其中可信计算模块中含有TPM芯片，BIOS与可信计算模块通信，可信计算模块与加密数据区通信，I/O设备用于USB连接外部设备。
3.一种基于TPM秘钥安全存储的数据加解密方法，其特征在于,对敏感数据加密：首先，启动可信服务器，使用TPM的可行软件栈TSS，调用TPM命令启动授权会话，并生产（加载）一个秘钥，使用秘钥加密外部敏感数据，然后使用TPM内部的存储根秘钥SRK加密秘钥；最后，将外部设备接入可信服务器，将加密秘钥和授权会话的摘要存储到外部设备中。
4.一种基于TPM秘钥安全存储的数据加解密方法，其特征在于,对敏感数据解密：首先将外部设备接入可信服务器，通过TPM读取会话授权摘要，并验证其身份的合法性；若检查失败，则无法解密加密数据；若检查通过，身份验证成功，则通过TPM读取加密秘钥，调用TPM命令使用存储根秘钥SRK解密加密秘钥，然后，并使用解密后的秘钥解密敏感数据。
CN201610500883.1A 2016-06-30 2016-06-30 一种基于tpm秘钥安全存储的数据加解密装置和方法 Pending CN105933117A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610500883.1A CN105933117A (zh) 2016-06-30 2016-06-30 一种基于tpm秘钥安全存储的数据加解密装置和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610500883.1A CN105933117A (zh) 2016-06-30 2016-06-30 一种基于tpm秘钥安全存储的数据加解密装置和方法

Publications (1)

Publication Number Publication Date
CN105933117A true CN105933117A (zh) 2016-09-07

Family

ID=56829453

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610500883.1A Pending CN105933117A (zh) 2016-06-30 2016-06-30 一种基于tpm秘钥安全存储的数据加解密装置和方法

Country Status (1)

Country Link
CN (1) CN105933117A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106529271A (zh) * 2016-10-08 2017-03-22 深圳市金立通信设备有限公司 一种终端及其绑定校验方法
CN106803046A (zh) * 2017-01-22 2017-06-06 济南浪潮高新科技投资发展有限公司 一种基于外部存储的度量日志加密方法
CN106992859A (zh) * 2017-04-11 2017-07-28 北京奇艺世纪科技有限公司 一种堡垒机私钥管理方法及装置
CN112447007A (zh) * 2019-08-28 2021-03-05 富士电机株式会社 自动售货机和服务管理方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1607511A (zh) * 2003-10-14 2005-04-20 联想(北京)有限公司 数据保护方法及保护系统
CN103327156A (zh) * 2013-06-25 2013-09-25 腾讯科技（深圳）有限公司 一种语音文件输出方法及装置
CN104184887A (zh) * 2014-07-29 2014-12-03 小米科技有限责任公司 消息提醒方法、装置及终端设备
CN104573549A (zh) * 2014-12-25 2015-04-29 中国科学院软件研究所 一种可信的数据库机密性保护方法及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1607511A (zh) * 2003-10-14 2005-04-20 联想(北京)有限公司 数据保护方法及保护系统
CN103327156A (zh) * 2013-06-25 2013-09-25 腾讯科技（深圳）有限公司 一种语音文件输出方法及装置
CN104184887A (zh) * 2014-07-29 2014-12-03 小米科技有限责任公司 消息提醒方法、装置及终端设备
CN104573549A (zh) * 2014-12-25 2015-04-29 中国科学院软件研究所 一种可信的数据库机密性保护方法及系统

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106529271A (zh) * 2016-10-08 2017-03-22 深圳市金立通信设备有限公司 一种终端及其绑定校验方法
CN106803046A (zh) * 2017-01-22 2017-06-06 济南浪潮高新科技投资发展有限公司 一种基于外部存储的度量日志加密方法
CN106992859A (zh) * 2017-04-11 2017-07-28 北京奇艺世纪科技有限公司 一种堡垒机私钥管理方法及装置
CN106992859B (zh) * 2017-04-11 2020-06-19 北京奇艺世纪科技有限公司 一种堡垒机私钥管理方法及装置
CN112447007A (zh) * 2019-08-28 2021-03-05 富士电机株式会社 自动售货机和服务管理方法

Similar Documents

Publication Publication Date Title
CN109361668A (zh) 一种数据可信传输方法
CN103843303B (zh) 虚拟机的管理控制方法及装置、系统
CN110519309B (zh) 数据传输方法、装置、终端、服务器及存储介质
CN103138939B (zh) 云存储模式下基于可信平台模块的密钥使用次数管理方法
CN107766724A (zh) 一种可信计算机平台软件栈功能架构的构建方法
US20050283826A1 (en) Systems and methods for performing secure communications between an authorized computing platform and a hardware component
CN108418691A (zh) 基于sgx的动态网络身份认证方法
CN106327184A (zh) 一种基于安全硬件隔离的移动智能终端支付系统及方法
CN105162797B (zh) 一种基于视频监控系统的双向认证方法
CN105260663A (zh) 一种基于TrustZone技术的安全存储服务系统及方法
CN110990827A (zh) 一种身份信息验证方法、服务器及存储介质
KR20140126787A (ko) ＰＵＦ 기반 하드웨어 ＯＴＰ 제공 장치 및 이를 이용한 ２－Ｆａｃｔｏｒ 인증 방법
CN103679062A (zh) 智能电表主控芯片和安全加密方法
CN106161024B (zh) 一种usb控制芯片级的usb设备可信认证方法及其系统
CN1326629A (zh) 鉴定及利用计算机系统安全资源的方法和系统
US20180204004A1 (en) Authentication method and apparatus for reinforced software
CN101241528A (zh) 终端接入可信pda的方法和接入系统
CN106452764A (zh) 一种标识私钥自动更新的方法及密码系统
CN106603487A (zh) 一种基于cpu时空隔离机制对tls协议处理进行安全改进的方法
CN105099705A (zh) 一种基于usb协议的安全通信方法及其系统
CN106936588A (zh) 一种硬件控制锁的托管方法、装置及系统
CN105933117A (zh) 一种基于tpm秘钥安全存储的数据加解密装置和方法
CN114553603B (zh) 一种基于隐私计算的新型数据可信解密的方法
CN103944721A (zh) 一种基于web的保护终端数据安全的方法和装置
CN106953731A (zh) 一种终端管理员的认证方法及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20160907