CN107465689A - 云环境下的虚拟可信平台模块的密钥管理系统及方法 - Google Patents
云环境下的虚拟可信平台模块的密钥管理系统及方法 Download PDFInfo
- Publication number
- CN107465689A CN107465689A CN201710804893.9A CN201710804893A CN107465689A CN 107465689 A CN107465689 A CN 107465689A CN 201710804893 A CN201710804893 A CN 201710804893A CN 107465689 A CN107465689 A CN 107465689A
- Authority
- CN
- China
- Prior art keywords
- platform module
- credible platform
- encryption device
- key
- management server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
- H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
- H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Storage Device Security (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明公开一种云环境下的虚拟可信平台模块的密钥管理系统及方法，于可信主机上建立虚拟机及其对应的虚拟可信平台模块，其中，将虚拟可信平台模块的密钥管理功能独立出来，由硬件密码设备实现，同时结合资源管理服务器、证书管理服务器、可信认证服务器等进行密钥管理和认证，虚拟可信平台模块的其它功能通过软件实现，一方面，可保证虚拟可信平台模块迁移时的灵活性；另一方面，可实现密钥等关键信息的硬件级保护，可信主机与密码设备客户端之间通过保密通道传输应用数据对称密钥，提高密钥等关键信息的安全性；可将密钥使用及管理的控制权从云服务提供商转移到虚拟机及虚拟可信平台模块的用户手中，密钥管理实现了非集中管理模式。
Description
技术领域
本发明涉及一种云环境下的虚拟可信平台模块的密钥管理系统及方法，属于信息安全技术领域。
背景技术
可信计算在工业上的主要实现方式为硬件可信平台模块(TPM：Trusted PlatformModule)，因为可信平台模块自身性能以及成本的局限性，无法向上层云服务提供充分的可信安全服务。为此虚拟可信平台模块的概念被提出，它通过模拟硬件可信平台模块的功能和接口来为每个虚拟机分配一个虚拟可信平台模块，能够实现相当于可信平台模块的各项功能，解决上层云服务的安全问题。
由于虚拟可信平台模块完全基于软件实现，能够实现其随虚拟机的迁移而迁移，不受绑定硬件的限制，灵活性较强，但由于密钥等关键信息缺少硬件设备的保护，密钥管理无法达到硬件安全级别，相较于硬件可信平台模块，虚拟可信平台模块的密钥等关键信息更易受到攻击，安全性较差。
发明内容
鉴于上述原因，本发明的目的在于提供一种云环境下的虚拟可信平台模块的密钥管理系统及方法，利用密码设备实现虚拟可信平台模块的密钥管理功能，同时结合资源管理服务器、可信认证服务器、证书管理服务器等进行密钥管理和认证，既可保证虚拟可信平台模块的使用灵活性，又可提高密钥等关键信息的安全性。
为实现上述目的，本发明采用以下技术方案：
一种云环境下的虚拟可信平台模块的密钥管理系统，包括密码设备、密码设备客户端、资源管理服务器、服务器资源池、可信认证服务器、证书管理服务器，
密码设备，用于实现虚拟可信平台模块的密钥管理功能；
密码设备客户端，用于实现密码设备与资源管理服务器之间的数据交互，实现虚拟可信平台模块的生成、管理、迁移；
资源管理服务器，用于根据可信认证服务器的可信主机完整性验证信息，从服务器资源池中确定运行虚拟机及虚拟可信平台模块的可信主机；用于在可信主机与密码设备客户端之间建立数据通道；
证书管理服务器，用于根据密码设备的密钥及虚拟机、虚拟可信平台模块的信息生成证书，并将证书保存于密码设备。
创建虚拟机及虚拟可信平台模块的方法是：
密码设备生成vAIK公钥、vAIK私钥，经密码设备客户端向资源管理服务器发送包括vAIK公钥和密码设备的数字证书的创建虚拟机请求消息，该数字证书包括密码设备的身份信息UsbID；
资源管理服务器向证书管理服务器发送包括密码设备的数字证书的认证消息，
数字证书认证通过，资源管理服务器通过可信认证服务器获取服务器资源池中处于可信状态的可信主机列表，资源管理服务器从中确定可信主机，向服务器资源池发送于该可信主机上创建虚拟机及虚拟可信平台模块的请求消息；
该可信主机创建虚拟机及虚拟可信平台模块，生成虚拟机vmID、虚拟可信平台模块vTPMID，向资源管理服务器发送vmID、vTPMID及该可信主机所属可信资源池CtrsID；
资源管理服务器向证书管理服务器发送包括vmID、vTPMID、CtrsID、vAIK公钥的证书请求，证书管理服务器根据该证书请求，生成vAIK证书，返回给资源管理服务器；
资源管理服务器将vAIK证书经密码设备客户端传输至密码设备，资源管理服务器维护CtrsID-vmID-vTPMID-UsbID关系对照表。
在密码设备客户端与可信主机之间建立保密通道，包括：
密码设备客户端向资源管理服务器发送保密通道连接请求消息，该请求消息包括密码设备保存的vAIK证书及UsbID；
资源管理服务器根据CtrsID-vmID-vTPMID-UsbID关系对照表，从服务器资源池中确定可信主机；
密码设备客户端与该可信主机通过资源管理服务器建立保密通道。
应用数据加密方法包括：
虚拟机的上层应用请求加密应用数据；
虚拟可信平台模块生成应用数据对称密钥，利用该应用数据对称密钥对应用数据进行加密处理，生成密文应用数据；
虚拟可信平台模块将应用数据对称密钥经所述保密通道传输给密码设备客户端，保存于密码设备；
虚拟可信平台模块计算该应用数据对称密钥的摘要值，保存应用数据对称密钥-摘要值关系表，并将该应用数据对称密钥-摘要值关系表传输至密码设备客户端。
应用数据解密方法包括：
虚拟机的上层应用请求解密应用数据；
虚拟可信平台模块向密码设备客户端发送获取应用数据对称密钥的请求消息，该请求消息包括要获取的应用数据对称密钥对应的摘要值；
密码设备客户端接收该请求消息，根据摘要值确定应用数据对称密钥，从密码设备中获取该应用数据对称密钥；
密码设备客户端将应用数据对称密钥经所述保密通道传输至虚拟可信平台模块；
虚拟可信平台模块利用应用数据对称密钥对密文应用数据进行解密处理，将生成的明文应用数据返回给上层应用。
虚拟机与虚拟可信平台模块的迁移方法是：
密码设备客户端向资源管理服务器发送虚拟机迁移请求消息，该请求消息包括密码设备保存的vAIK证书及UsbID；
资源管理服务器根据CtrsID-vmID-vTPMID-UsbID关系对照表，确定当前宿主可信主机；
资源管理服务器通过可信认证服务器获取服务器资源池中处于可信状态的可信主机列表，资源管理服务器从中确定目的宿主可信主机；
虚拟机及虚拟可信平台模块从当前宿主可信主机迁移到目的宿主可信主机；
资源管理服务器更新CtrsID-vmID-vTPMID-UsbID关系对照表。
所述服务器资源池包括可信资源池与普通资源池，可信资源池包括若干经过完整性验证的可信主机，普通资源池包括若干未经完整性验证或是验证未通过的普通主机。
基于上述密钥管理系统实现的虚拟可信平台模块的密钥管理方法，
利用一密码设备实现虚拟可信平台模块的密钥管理功能。
于可信主机创建虚拟机及虚拟可信平台模块，生成虚拟机vmID、虚拟可信平台模块vTPMID，该可信主机与可信资源池CtrsID对应；
利用一资源管理服务器维护CtrsID-vmID-vTPMID-UsbID关系对照表，UsbID为所述密码设备的数字证书；
虚拟机及虚拟可信平台模块迁移至目的宿主可信主机，该目的宿主可信主机与可信资源池CtrsID`对应；
资源管理服务器根据CtrsID`更新CtrsID-vmID-vTPMID-UsbID关系对照表。
与可信主机与密码设备之间建立保密通道，以进行密钥传输及数据加解密处理。
本发明的优点是：
1、本发明的系统及方法，将虚拟可信平台模块的密钥管理模块独立出来，利用便携式密码设备进行密钥存储与管理，而虚拟可信平台模块的其他功能通过软件实现，通过软件和硬件的结合，即可保证虚拟可信平台模块在云环境下的使用灵活性，又可提高密钥管理的安全性；
2、本发明的系统及方法，密码设备可以是UsbKey或带有USB接口的加密SD卡等便携式密码设备，基于便携式密码设备实现虚拟可信平台模块的密钥管理，并提供配套的密码设备客户端供用户操作使用，可将虚拟机及虚拟可信平台模块的密钥使用和管理控制权从云服务提供商转移到用户手中，满足用户隐私安全需求，实现了非集中管理模式。
附图说明
图1是本发明的系统组成框图。
图2是本发明的创建虚拟机及虚拟可信平台模块的信号流向示意图。
图3是本发明的建立保密通道的信号流向示意图。
图4是本发明的应用数据加密过程的信号流向示意图。
图5是本发明的应用数据解密过程的信号流向示意图。
图6是本发明的虚拟机及虚拟可信平台模块迁移的信号流向示意图。
具体实施方式
以下结合附图和实施例对本发明作进一步详细的描述。
如图1所述，本发明公开的云环境下的虚拟可信平台模块的密钥管理系统，包括密码设备、密码设备客户端、资源管理服务器、服务器资源池、可信认证服务器、证书管理服务器等。
密码设备，基于硬件实现的密码管理设备，如便携式USB密码设备，密钥设备包括密钥管理模块、加解密运算模块，密钥管理模块用于管理虚拟可信平台模块的密钥，包括生成密钥、存储密钥、使用密钥、销毁密钥等，密钥包括根密钥、虚拟身份认证密钥、存储密钥等符合TPM2.0规范的密钥。
密码设备客户端，安装于终端主机，是密码设备与资源管理服务器的通信接口，用于实现密码设备与资源管理服务器之间的数据交互；
资源管理服务器，用于分别与密码设备客户端、服务器资源池、可信认证服务器、证书管理服务器进行数据交互；
服务器资源池，包括若干服务器主机，根据完整性度量结果，划分为可信资源池及普通资源池，可信资源池包括若干完整性验证通过的可信主机，普通资源池包括若干未经完整性度量或是完整性验证未通过的普通主机。可信主机与普通主机上可运行虚拟机及虚拟可信平台模块。
可信认证服务器，保存有服务器资源池中各可信主机的完整性验证信息。
证书管理服务器，用于证书管理，包括认证、签发、吊销等。
基于上述系统实现的虚拟可信平台模块的密钥管理方法，包括：
一、创建虚拟机及虚拟可信平台模块
如图2所示，具体方法是：
1)建立连接；
将密码设备插入终端主机，登陆密码设备客户端，密码设备客户端与资源管理服务器建立加密网络连接，密码设备客户端可以执行符合TPM2.0规范的相关操作。
2)密码设备生成vAIK密钥对，将vAIK公钥和密码设备的数字证书传输至密码设备客户端；
密码设备内预先设定存储根密钥(SRK)和密码设备的数字证书，该数字证书包括密码设备的身份信息UsbID，密码设备基于SRK密钥生成虚拟身份认证密钥(vAIK)，包括vAIK公钥、vAIK私钥对，将vAIK公钥和密码设备的数字证书传输至密码设备客户端。
3)密码设备客户端向资源管理服务器发送创建虚拟机请求消息，该请求消息包括vAIK公钥和密码设备的数字证书；
4)资源管理服务器接收该创建虚拟机请求消息，向证书管理服务器发送证书验证消息，该证书验证消息包括密码设备的数字证书，用以验证密码设备的数字证书的有效性；
5)密码设备的数字证书验证通过后，资源管理服务器向可信认证服务器发送查询服务器资源池中可信主机的完整性验证信息的请求消息，可信认证服务器向资源管理服务器返回根据完整性验证信息判断为可信状态的可信主机列表；
6)资源管理服务器从返回的可信主机列表中，选取一个可信主机，确定在该可信主机上建立虚拟机及相应的虚拟可信平台模块，资源管理服务器向服务器资源池发送于选定的可信主机上建立虚拟机及虚拟可信平台模块的请求消息；
7)服务器资源池接收该请求消息，于该可信主机上建立虚拟机及相应的虚拟可信平台模块，生成虚拟机vmID、虚拟可信平台模块vTPMID，将生成的虚拟机vmID、虚拟可信平台模块vTPMID及该可信主机所在的可信资源池CtrsID发送给资源管理服务器；
8)资源管理服务器与证书管理服务器进行认证过程，得到vAIK证书，
认证过程包括：资源管理服务器将可信资源池CtrsID、虚拟机vmID、虚拟可信平台模块vTPMID、vAIK公钥、UsbID发送给证书管理服务器；证书管理服务器根据上述各项信息签名得到vAIK证书；证书管理服务器将vAIK证书发送给资源管理服务器；
9)资源管理服务器保存CtrsID-vmID-vTPMID-UsbID关系对照表；
10)资源管理服务器将vAIK证书发送给密码设备客户端；
11)密码设备客户端将vAIK证书传输给密码设备，密码设备保存该vAIK证书，并将vAIK私钥经SRK密钥加密后保存。
二、虚拟可信平台模块的数据加解密处理
1、建立保密通道
如图3所示，具体方法是：
1)建立连接；
将密码设备插入终端主机，登陆密码设备客户端，密码设备客户端与资源管理服务器建立加密网络连接。
2)密码设备客户端向资源管理服务器发送建立保密通道请求消息，该请求消息包括vAIK证书及UsbID；
3)资源管理服务器接收该请求消息，资源管理服务器根据其保存的CtrsID-vmID-vTPMID-UsbID关系对照表，查找该密码设备的UsbID对应的CtrsID、vmID，资源管理服务器根据CtrsID、vmID向服务器资源池中对应的可信资源池CtrsID中运行虚拟机vmID的可信主机请求建立保密通道，该可信主机与资源管理服务器建立保密通道后，可信主机向资源管理服务器发送连接成功的消息；
4)资源管理服务器与密码设备客户端之间建立保密通道；
资源管理服务器生成会话密钥，利用vAIK公钥对会话密钥加密后，将密文会话密钥传输至密码设备客户端，密码设备客户端从密码设备调用vAIK私钥，对密文会话密钥进行解密生成明文的会话密钥，后续资源管理服务器与密码设备客户端之间利用会话密钥对交互的数据进行加解密处理，在资源管理服务器与密码设备客户端之间建立保密通道。
2、数据加密
如图4所示，方法是：
1)虚拟机的上层应用请求加密应用数据；
2)虚拟可信平台模块收到该请求，生成应用数据对称密钥(AppKey)，利用该应用数据对称密钥对应用数据进行加密处理，生成密文应用数据；
3)虚拟可信平台模块将AppKey经保密通道传输给密码设备客户端，保存于密码设备；
4)虚拟可信平台模块计算该AppKey的摘要值，保存AppKey-摘要值关系表，并将该AppKey-摘要值关系表传输至密码设备客户端。
3、数据解密
如图5所示，方法是：
1)虚拟机的上层应用请求解密应用数据；
2)虚拟可信平台模块向密码设备客户端发送获取AppKey的请求消息，该请求消息包括要获取的AppKey对应的摘要值；
3)密码设备客户端接收该请求消息，根据摘要值确定AppKey，从密码设备中获取该AppKey；
4)密码设备客户端将AppKey经保密通道传输至虚拟可信平台模块；
5)虚拟可信平台模块利用AppKey对密文应用数据进行解密处理，将生成的明文应用数据返回给上层应用。
三、虚拟机及相应的虚拟可信平台模块迁移
如图6所示，具体方法是：
1)建立连接；
将密码设备插入终端主机，登陆密码设备客户端，密码设备客户端与资源管理服务器建立加密网络连接。
2)密码设备客户端向资源管理服务器发送虚拟机迁移请求消息，该请求消息包括vAIK证书及UsbID；
3)资源管理服务器接收该虚拟机迁移请求消息，资源管理服务器根据其保存的CtrsID-vmID-vTPMID-UsbID关系对照表，查找该密码设备的UsbID对应的CtrsID、vmID，资源管理服务器根据CtrsID、vmID向服务器资源池中对应的可信资源池CtrsID中运行虚拟机vmID的可信主机请求迁移该虚拟机；
4)资源管理服务器通过可信认证服务器从服务器资源池中选定目的宿主可信主机；
资源管理服务器向可信认证服务器发送查询服务器资源池中可信主机的完整性验证信息的请求消息，可信认证服务器向资源管理服务器返回根据完整性验证信息判断为可信状态的可信主机列表，资源管理服务器从返回的可信主机列表中，选取一个可信主机作为虚拟机迁移的目的宿主可信主机，资源管理服务器向服务器资源池发送在当前宿主可信主机与目的宿主可信主机之间迁移虚拟机的请求消息。
5)将虚拟机由当前宿主可信主机迁移到目的宿主可信主机；
6)虚拟机迁移完成，服务器资源池将目的宿主可信主机所在的可信资源池CtrsID发送给资源管理服务器，资源管理服务器根据该CtrsID，更新本地保存的CtrsID-vmID-vTPMID-UsbID关系对照表；
7)资源管理服务器向密码设备客户端发送虚拟机迁移成功消息。
本发明公开的云环境下的虚拟可信平台模块的密钥管理系统及方法，于可信主机上建立虚拟机及其对应的虚拟可信平台模块，其中，将虚拟可信平台模块的密钥管理功能独立出来，由硬件密码设备实现，同时结合资源管理服务器、证书管理服务器、可信认证服务器等进行密钥管理和认证，虚拟可信平台模块的其它功能通过软件实现，一方面，可保证虚拟可信平台模块迁移时的灵活性；另一方面，可实现密钥等关键信息的硬件级保护，可信主机与密码设备客户端之间通过保密通道传输应用数据对称密钥，提高密钥等关键信息的安全性；同时，可将密钥使用及管理的控制权从云服务提供商转移到虚拟机及虚拟可信平台模块的用户手中，密钥管理实现了非集中管理模式。
以上所述是本发明的较佳实施例及其所运用的技术原理，对于本领域的技术人员来说，在不背离本发明的精神和范围的情况下，任何基于本发明技术方案基础上的等效变换、简单替换等显而易见的改变，均属于本发明保护范围之内。
Claims (10)
1.云环境下的虚拟可信平台模块的密钥管理系统，其特征在于，包括密码设备、密码设备客户端、资源管理服务器、服务器资源池、可信认证服务器、证书管理服务器，
密码设备，用于实现虚拟可信平台模块的密钥管理功能；
密码设备客户端，用于实现密码设备与资源管理服务器之间的数据交互，实现虚拟可信平台模块的生成、管理、迁移；
资源管理服务器，用于根据可信认证服务器的可信主机完整性验证信息，从服务器资源池中确定运行虚拟机及虚拟可信平台模块的可信主机；用于在可信主机与密码设备客户端之间建立数据通道；
证书管理服务器，用于根据密码设备的密钥及虚拟机、虚拟可信平台模块的信息生成证书，并将证书保存于密码设备。
2.根据权利要求1所述的云环境下的虚拟可信平台模块的密钥管理系统，其特征在于，创建虚拟机及虚拟可信平台模块的方法是：
密码设备生成vAIK公钥、vAIK私钥，经密码设备客户端向资源管理服务器发送包括vAIK公钥和密码设备的数字证书的创建虚拟机请求消息，该数字证书包括密码设备的身份信息UsbID；
资源管理服务器向证书管理服务器发送包括密码设备的数字证书的认证消息，
数字证书认证通过，资源管理服务器通过可信认证服务器获取服务器资源池中处于可信状态的可信主机列表，资源管理服务器从中确定可信主机，向服务器资源池发送于该可信主机上创建虚拟机及虚拟可信平台模块的请求消息；
该可信主机创建虚拟机及虚拟可信平台模块，生成虚拟机vmID、虚拟可信平台模块vTPMID，向资源管理服务器发送vmID、vTPMID及该可信主机所属可信资源池CtrsID；
资源管理服务器向证书管理服务器发送包括vmID、vTPMID、CtrsID、vAIK公钥的证书请求，证书管理服务器根据该证书请求，生成vAIK证书，返回给资源管理服务器；
资源管理服务器将vAIK证书经密码设备客户端传输至密码设备，资源管理服务器维护CtrsID-vmID-vTPMID-UsbID关系对照表。
3.根据权利要求2所述的云环境下的虚拟可信平台模块的密钥管理系统，其特征在于，在密码设备客户端与可信主机之间建立保密通道，包括：
密码设备客户端向资源管理服务器发送保密通道连接请求消息，该请求消息包括密码设备保存的vAIK证书及UsbID；
资源管理服务器根据CtrsID-vmID-vTPMID-UsbID关系对照表，从服务器资源池中确定可信主机；
密码设备客户端与该可信主机通过资源管理服务器建立保密通道。
4.根据权利要求3所述的云环境下的虚拟可信平台模块的密钥管理系统，其特征在于，应用数据加密方法包括：
虚拟机的上层应用请求加密应用数据；
虚拟可信平台模块生成应用数据对称密钥，利用该应用数据对称密钥对应用数据进行加密处理，生成密文应用数据；
虚拟可信平台模块将应用数据对称密钥经所述保密通道传输给密码设备客户端，保存于密码设备；
虚拟可信平台模块计算该应用数据对称密钥的摘要值，保存应用数据对称密钥-摘要值关系表，并将该应用数据对称密钥-摘要值关系表传输至密码设备客户端。
5.根据权利要求4所述的云环境下的虚拟可信平台模块的密钥管理系统，其特征在于，应用数据解密方法包括：
虚拟机的上层应用请求解密应用数据；
虚拟可信平台模块向密码设备客户端发送获取应用数据对称密钥的请求消息，该请求消息包括要获取的应用数据对称密钥对应的摘要值；
密码设备客户端接收该请求消息，根据摘要值确定应用数据对称密钥，从密码设备中获取该应用数据对称密钥；
密码设备客户端将应用数据对称密钥经所述保密通道传输至虚拟可信平台模块；
虚拟可信平台模块利用应用数据对称密钥对密文应用数据进行解密处理，将生成的明文应用数据返回给上层应用。
6.根据权利要求2所述的云环境下的虚拟可信平台模块的密钥管理系统，其特征在于，虚拟机与虚拟可信平台模块的迁移方法是：
密码设备客户端向资源管理服务器发送虚拟机迁移请求消息，该请求消息包括密码设备保存的vAIK证书及UsbID；
资源管理服务器根据CtrsID-vmID-vTPMID-UsbID关系对照表，确定当前宿主可信主机；
资源管理服务器通过可信认证服务器获取服务器资源池中处于可信状态的可信主机列表，资源管理服务器从中确定目的宿主可信主机；
虚拟机及虚拟可信平台模块从当前宿主可信主机迁移到目的宿主可信主机；
资源管理服务器更新CtrsID-vmID-vTPMID-UsbID关系对照表。
7.根据权利要求1所述的云环境下的虚拟可信平台模块的密钥管理系统，其特征在于，所述服务器资源池包括可信资源池与普通资源池，可信资源池包括若干经过完整性验证的可信主机，普通资源池包括若干未经完整性验证或是验证未通过的普通主机。
8.基于权利要求1-7中任一项所述密钥管理系统实现的虚拟可信平台模块的密钥管理方法，其特征在于，
利用一密码设备实现虚拟可信平台模块的密钥管理功能。
9.根据权利要求8所述的虚拟可信平台模块的密钥管理方法，其特征在于，于可信主机创建虚拟机及虚拟可信平台模块，生成虚拟机vmID、虚拟可信平台模块vTPMID，该可信主机与可信资源池CtrsID对应；
利用一资源管理服务器维护CtrsID-vmID-vTPMID-UsbID关系对照表，UsbID为所述密码设备的数字证书；
虚拟机及虚拟可信平台模块迁移至目的宿主可信主机，该目的宿主可信主机与可信资源池CtrsID`对应；
资源管理服务器根据CtrsID`更新CtrsID-vmID-vTPMID-UsbID关系对照表。
10.根据权利要求9所述的虚拟可信平台模块的密钥管理方法，其特征在于，与可信主机与密码设备之间建立保密通道，以进行密钥传输及数据加解密处理。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201710804893.9A CN107465689B (zh) | 2017-09-08 | 2017-09-08 | 云环境下的虚拟可信平台模块的密钥管理系统及方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201710804893.9A CN107465689B (zh) | 2017-09-08 | 2017-09-08 | 云环境下的虚拟可信平台模块的密钥管理系统及方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN107465689A true CN107465689A (zh) | 2017-12-12 |
| CN107465689B CN107465689B (zh) | 2020-08-04 |
Family
ID=60552211
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201710804893.9A Active CN107465689B (zh) | 2017-09-08 | 2017-09-08 | 云环境下的虚拟可信平台模块的密钥管理系统及方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN107465689B (zh) |
Cited By (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108572861A (zh) * | 2018-04-26 | 2018-09-25 | 浪潮(北京)电子信息产业有限公司 | 一种虚拟可信根的保护方法、系统、设备及存储介质 |
| CN108718316A (zh) * | 2018-06-11 | 2018-10-30 | 山东超越数控电子股份有限公司 | 一种虚拟机密码信息安全迁移的实现方法及系统 |
| CN110109731A (zh) * | 2019-04-19 | 2019-08-09 | 苏州浪潮智能科技有限公司 | 一种云环境下虚拟可信根的管理方法与系统 |
| CN110502311A (zh) * | 2018-05-18 | 2019-11-26 | 杭州海康威视数字技术股份有限公司 | 容器调度方法、装置、电子设备及可读存储介质 |
| CN111190694A (zh) * | 2019-12-27 | 2020-05-22 | 山东乾云启创信息科技股份有限公司 | 一种基于鲲鹏平台的虚拟化安全加固方法及装置 |
| CN111310173A (zh) * | 2020-03-11 | 2020-06-19 | 青岛科技大学 | 一种可信芯片的终端虚拟机身份认证方法及系统 |
| CN111897621A (zh) * | 2019-05-06 | 2020-11-06 | 阿里巴巴集团控股有限公司 | 一种虚拟机迁移方法、装置、设备、系统及存储介质 |
| WO2021051259A1 (en) * | 2019-09-17 | 2021-03-25 | Microsoft Technology Licensing, Llc | Centralized remote migration client credential management |
| CN112905993A (zh) * | 2021-03-22 | 2021-06-04 | 华东师范大学 | 一种面向大规模网络的分布式密码设备管理系统及构建方法 |
| CN113703918A (zh) * | 2021-08-26 | 2021-11-26 | 中国人民解放军战略支援部队信息工程大学 | 一种基于硬件辅助的虚拟可信平台及安全处理方法 |
| CN113791872A (zh) * | 2021-11-11 | 2021-12-14 | 北京信安世纪科技股份有限公司 | 基于云计算的认证方法及系统 |
| CN114218555A (zh) * | 2021-12-14 | 2022-03-22 | 广东工业大学 | 增强密码管理app密码安全强度方法和装置、存储介质 |
| WO2022073429A1 (zh) * | 2020-10-10 | 2022-04-14 | 华为技术有限公司 | 数据管理方法、装置及系统、存储介质 |
| CN114938275A (zh) * | 2022-07-21 | 2022-08-23 | 国开启科量子技术(北京)有限公司 | 使用量子密钥迁移虚拟机的方法、装置、介质和设备 |
| US11575508B2 (en) | 2021-06-02 | 2023-02-07 | International Business Machines Corporation | Unified HSM and key management service |
| CN115834155A (zh) * | 2022-11-07 | 2023-03-21 | 南京百敖软件有限公司 | 使用可信计算技术管理系统中存储设备密码的方法 |
Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20060020781A1 (en) * | 2004-06-24 | 2006-01-26 | Scarlata Vincent R | Method and apparatus for providing secure virtualization of a trusted platform module |
| US20070094719A1 (en) * | 2005-05-13 | 2007-04-26 | Scarlata Vincent R | Method and apparatus for migrating virtual trusted platform modules |
| CN101350044A (zh) * | 2008-09-02 | 2009-01-21 | 中国科学院软件研究所 | 一种虚拟环境信任构建方法 |
| CN102882858A (zh) * | 2012-09-13 | 2013-01-16 | 江苏乐买到网络科技有限公司 | 一种用于云计算系统的外部数据传输方法 |
| CN103139221A (zh) * | 2013-03-07 | 2013-06-05 | 中国科学院软件研究所 | 一种可信虚拟平台及其构建方法、平台之间数据迁移方法 |
| CN103888429A (zh) * | 2012-12-21 | 2014-06-25 | 华为技术有限公司 | 虚拟机启动方法、相关设备和系统 |
| CN104639516A (zh) * | 2013-11-13 | 2015-05-20 | 华为技术有限公司 | 身份认证方法、设备及系统 |
| CN105528239A (zh) * | 2016-01-15 | 2016-04-27 | 北京工业大学 | 基于可信根服务器的虚拟可信平台模块的密钥管理方法 |
| CN106936797A (zh) * | 2015-12-31 | 2017-07-07 | 北京网御星云信息技术有限公司 | 一种云中虚拟机磁盘及文件加密密钥的管理方法和系统 |
-
2017
- 2017-09-08 CN CN201710804893.9A patent/CN107465689B/zh active Active
Patent Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20060020781A1 (en) * | 2004-06-24 | 2006-01-26 | Scarlata Vincent R | Method and apparatus for providing secure virtualization of a trusted platform module |
| US20070094719A1 (en) * | 2005-05-13 | 2007-04-26 | Scarlata Vincent R | Method and apparatus for migrating virtual trusted platform modules |
| CN101350044A (zh) * | 2008-09-02 | 2009-01-21 | 中国科学院软件研究所 | 一种虚拟环境信任构建方法 |
| CN102882858A (zh) * | 2012-09-13 | 2013-01-16 | 江苏乐买到网络科技有限公司 | 一种用于云计算系统的外部数据传输方法 |
| CN103888429A (zh) * | 2012-12-21 | 2014-06-25 | 华为技术有限公司 | 虚拟机启动方法、相关设备和系统 |
| CN103139221A (zh) * | 2013-03-07 | 2013-06-05 | 中国科学院软件研究所 | 一种可信虚拟平台及其构建方法、平台之间数据迁移方法 |
| CN104639516A (zh) * | 2013-11-13 | 2015-05-20 | 华为技术有限公司 | 身份认证方法、设备及系统 |
| CN106936797A (zh) * | 2015-12-31 | 2017-07-07 | 北京网御星云信息技术有限公司 | 一种云中虚拟机磁盘及文件加密密钥的管理方法和系统 |
| CN105528239A (zh) * | 2016-01-15 | 2016-04-27 | 北京工业大学 | 基于可信根服务器的虚拟可信平台模块的密钥管理方法 |
Non-Patent Citations (1)
| Title |
|---|
| 黄强等: "一种云计算适用的虚拟可信报告根构建机制", 《工程科学与技术》 * |
Cited By (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108572861A (zh) * | 2018-04-26 | 2018-09-25 | 浪潮(北京)电子信息产业有限公司 | 一种虚拟可信根的保护方法、系统、设备及存储介质 |
| CN110502311A (zh) * | 2018-05-18 | 2019-11-26 | 杭州海康威视数字技术股份有限公司 | 容器调度方法、装置、电子设备及可读存储介质 |
| CN108718316A (zh) * | 2018-06-11 | 2018-10-30 | 山东超越数控电子股份有限公司 | 一种虚拟机密码信息安全迁移的实现方法及系统 |
| CN108718316B (zh) * | 2018-06-11 | 2020-11-24 | 山东超越数控电子股份有限公司 | 一种虚拟机密码信息安全迁移的实现方法及系统 |
| CN110109731A (zh) * | 2019-04-19 | 2019-08-09 | 苏州浪潮智能科技有限公司 | 一种云环境下虚拟可信根的管理方法与系统 |
| CN111897621A (zh) * | 2019-05-06 | 2020-11-06 | 阿里巴巴集团控股有限公司 | 一种虚拟机迁移方法、装置、设备、系统及存储介质 |
| WO2021051259A1 (en) * | 2019-09-17 | 2021-03-25 | Microsoft Technology Licensing, Llc | Centralized remote migration client credential management |
| US12015698B2 (en) | 2019-09-17 | 2024-06-18 | Microsoft Technology Licensing, Llc | Centralized remote migration client credential management |
| CN111190694A (zh) * | 2019-12-27 | 2020-05-22 | 山东乾云启创信息科技股份有限公司 | 一种基于鲲鹏平台的虚拟化安全加固方法及装置 |
| CN111310173A (zh) * | 2020-03-11 | 2020-06-19 | 青岛科技大学 | 一种可信芯片的终端虚拟机身份认证方法及系统 |
| WO2022073429A1 (zh) * | 2020-10-10 | 2022-04-14 | 华为技术有限公司 | 数据管理方法、装置及系统、存储介质 |
| CN112905993A (zh) * | 2021-03-22 | 2021-06-04 | 华东师范大学 | 一种面向大规模网络的分布式密码设备管理系统及构建方法 |
| US11575508B2 (en) | 2021-06-02 | 2023-02-07 | International Business Machines Corporation | Unified HSM and key management service |
| CN113703918A (zh) * | 2021-08-26 | 2021-11-26 | 中国人民解放军战略支援部队信息工程大学 | 一种基于硬件辅助的虚拟可信平台及安全处理方法 |
| CN113791872A (zh) * | 2021-11-11 | 2021-12-14 | 北京信安世纪科技股份有限公司 | 基于云计算的认证方法及系统 |
| CN114218555A (zh) * | 2021-12-14 | 2022-03-22 | 广东工业大学 | 增强密码管理app密码安全强度方法和装置、存储介质 |
| CN114938275A (zh) * | 2022-07-21 | 2022-08-23 | 国开启科量子技术(北京)有限公司 | 使用量子密钥迁移虚拟机的方法、装置、介质和设备 |
| CN114938275B (zh) * | 2022-07-21 | 2022-10-14 | 国开启科量子技术(北京)有限公司 | 使用量子密钥迁移虚拟机的方法、装置、介质和设备 |
| CN115834155A (zh) * | 2022-11-07 | 2023-03-21 | 南京百敖软件有限公司 | 使用可信计算技术管理系统中存储设备密码的方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN107465689B (zh) | 2020-08-04 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN107465689A (zh) | 云环境下的虚拟可信平台模块的密钥管理系统及方法 | |
| CN109309565B (zh) | 一种安全认证的方法及装置 | |
| US9760721B2 (en) | Secure transaction method from a non-secure terminal | |
| CN100580657C (zh) | 分布式单一注册服务 | |
| JP6797828B2 (ja) | クラウドベースの暗号化マシン鍵インジェクションの方法、装置、及びシステム | |
| US8433914B1 (en) | Multi-channel transaction signing | |
| CN104104692B (zh) | 一种虚拟机加密方法、解密方法及加解密控制系统 | |
| CN104917741B (zh) | 一种基于usbkey的明文文档公网安全传输系统 | |
| CN107810617A (zh) | 机密认证和供应 | |
| CN101631305B (zh) | 一种加密方法及系统 | |
| US8806206B2 (en) | Cooperation method and system of hardware secure units, and application device | |
| JP2011082662A (ja) | 通信装置及び情報処理方法及びプログラム | |
| CN102098317A (zh) | 一种应用于云系统的数据传输方法及系统 | |
| CN104901935A (zh) | 一种基于cpk的双向认证及数据交互安全保护方法 | |
| CN108199847B (zh) | 数字安全处理方法、计算机设备及存储介质 | |
| CN102984273B (zh) | 虚拟磁盘加密方法、解密方法、装置及云服务器 | |
| CN109257347A (zh) | 适于银企间数据交互的通信方法和相关装置、存储介质 | |
| CN101414913A (zh) | 基于虚拟化技术的计算机网络认证系统和方法 | |
| CN102024123A (zh) | 一种云计算中虚拟机镜像导入方法及装置 | |
| CN106936588A (zh) | 一种硬件控制锁的托管方法、装置及系统 | |
| CN109362074A (zh) | 一种混合模式APP中h5与服务端安全通讯的方法 | |
| CN102118385A (zh) | 安全域的管理方法和装置 | |
| CN103996117A (zh) | 安全手机 | |
| CN103475474B (zh) | 一种提供、获取共享的加密数据的方法及身份认证设备 | |
| CN104954137A (zh) | 一种基于国产密码技术的虚拟机安全认证的方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |