CN108171042B - 一种基于可信执行环境的系统配置属性证明方法及系统 - Google Patents

Abstract

本发明是一种基于可信执行环境的系统配置属性证明方法。该方法包括：1)在证明方的计算机系统启动时，利用可信执行环境技术将内存和外设配置划分为安全区域和非安全区域；2)在安全区域内部署密码学服务程序、非易失性存储设备的驱动程序、安全区域完整性证明程序；3)在非安全区域部署实现配置属性证明协议的主体程序；4)在配置属性证明协议运行之前，证明方首先运行安全区域中的完整性证明程序，向验证方证实自身的安全区域的完整性；5)依次执行配置属性证明协议的初始化过程、证书颁发过程、证明过程和验证过程。采用本发明，证明方可以证明自己的计算机系统的配置满足特定的安全属性，同时能够保护配置的隐私性。

Description

一种基于可信执行环境的系统配置属性证明方法及系统

技术领域

本发明属于计算机操作系统安全协议和安全增强技术领域，具体涉及一种基于可信执行环境的、能够向远端验证方证实计算机系统配置可信性同时保护具体配置隐私的属性证明实现方法及系统。

背景技术

在数据版权保护、企业移动办公等计算机网络应用领域的常见场景中，数据提供者常常希望数据使用者的计算机系统的配置符合特定的安全要求。例如，在数字版权保护领域，数字媒体厂商希望视频只能在特定的设备上播放。再例如，在企业远程办公领域，企业希望企业数据只能被下载到特定类型的计算机上进行查看。与此同时，从数据使用者的角度来说，由于处理数据的计算机设备可能涉及到使用者个人的隐私情况，因而使用者希望在这些场景中能顾及使用者的个人隐私保护，即不泄露包括计算机配置的具体信息，因为这些信息可能涉及个人隐私。在上面的例子中，播放视频或处理企业数据的计算机系统很可能是使用者个人的计算设备，因此使用者不希望在下载数据时暴露自己的计算机中安装了哪些软件。

证明计算机系统的可信性与保障配置隐私性之间存在矛盾，前者要求计算机系统的拥有者(证明方)证明计算机系统配置，这通常意味着暴露计算机系统配置，后者则要求证明方隐藏计算机系统配置。为了解决这一矛盾，研究者已经提出了一类新式安全协议——属性远程证明协议。这种协议的特点是，证明方可以在证明自己的计算机系统的配置满足特定的安全属性，却不在证明过程中暴露具体的配置信息。

然而，这些方法的主要贡献集中在计算机协议层面，即使有一些方案考虑了协议的具体实现方式，这些方案也仍然存在明显的局限。例如有研究者给出基于可信安全芯片实现属性远程证明协议，然而其方案中的可信安全芯片并无实际对应的产品，或者说，需要在现有可信安全芯片的基础上增加新的接口才能符合方案要求。鉴于这种情况，可以考虑采用新型的可信执行环境技术来实现属性远程证明，在达成可信和配置隐私保护两个主要的安全目的的同时，也兼顾方法的可实现性以及完整性。可信执行环境技术，是一种基于具有安全增强扩展的处理器的系统安全增强技术。目前，可信执行环境技术是信息安全领域最受关注、研发力度最强的技术之一，具有十分重要的作用和价值。该技术的主要运用方式如其名字所示，是为特定的、重要的应用程序建立一个可信的运行环境(相对的，不可信的、普通的运行环境一般被称为普通运行环境)，保障该程序不受到任何的外界程序的干扰、窥探。例如，在移动支付场景中，可以将指纹处理程序置入可信执行环境中，移动平台上其他的程序都无法获取有关指纹的任何信息，也无法干扰指纹识别的过程和结果。

本发明所基于的可信执行环境技术的主要特征是：1)通常基于计算机处理器、总线控制器和设备控制器等的安全增强扩展构建，这些安全增强扩展通常包括但不限于：处理器特殊的工作模式、处理器特殊的控制逻辑以及控制器特殊的控制逻辑；2)该技术中，计算机系统内的内存(以及处理器的寄存器)、外设(以及与外设关联的中断)被划分为安全区域和非安全区域两个部分；3)处理器只有在特定的工作模式(安全模式)下才能访问全部内存，在非安全模式下则只能访问访问非安全区域，不能访问安全区域；换言之，安全区域内的程序可以访问全部内存，非安全区域中的程序只能访问非安全区域，不能访问安全区域；4)上述“安全区域”的范围可以计算机系统在启动时或运行时进行配置；5)处理器可以通过执行特定的指令在上述“安全模式”与对应的非安全模式之间切换。

发明内容

本发明是一种基于可信执行环境技术的、能够保护配置隐私的系统配置属性证明方法及系统。参与协议的实体包括证书颁发方、证明方和验证方，三者构成如图1所示。其中证明方根据计算位置不同而分为安全区域和非安全区域。基于该方法，验证方可以确认证明方的计算机系统的配置符合特定的安全要求，同时证明方的计算机系统的具体配置情况又不会被暴露。

本发明的一种基于可信执行环境的系统配置属性证明方法，其中的配置属性证明协议包括系统初始化过程、配置属性证书颁发过程、配置属性证明过程以及证明信息的验证过程。该方法包括以下步骤：

1)在证明方的计算机系统启动时，利用可信执行环境技术，将内存和外设配置划分为两部分，一部分是安全区域，一部分是对应的非安全区域；证明方的计算机系统启动时，还需要使用安全启动技术，保证安全与非安全区域内运行的所有程序都未遭受过篡改、攻击。

2)在安全区域内部署如下程序：

a)密码学服务程序，用于参与配置属性证明协议，完成协议中所需的密码学运算服务；密码学服务程序必须拥有属于自己的数字签名密钥对AIK(Attestation IdentityKey)；

b)非易失性存储设备的驱动程序，用于辅助密码学服务程序排他性的管理和访问一个非易失性存储设备(即该设备必须不能够被非安全区域访问)，AIK即存储在该设备当中；

c)安全区域完整性证明程序，用于证明安全区域的完整性。

3)在非安全区域部署实现配置属性证明协议的主体程序。

4)在任何配置属性证明协议运行之前，证明方首先运行安全区域中的安全区域完整性证明程序，向验证方证实自身的安全区域的完整性；注意，此步骤只证明安全区域的完整性，虽然将暴露安全区域的配置信息，但不会暴露非安全区域(也即计算系统主体)的配置信息。

5)配置属性证明协议的初始化过程如下：

在这一过程中，证书颁发方生成公共参数以及自己的秘密信息，然后执行如下步骤：

a)设定协议的安全参数(从密码学角度表征了协议的安全强度)为整数t。

b)证书颁发方选择双线性对计算e。e的输入域为两个q阶椭圆曲线点群G1和G2，生成元分别为g1和g2，输出域为定义输入点群的基域的阔域GT，生成元为g3。该椭圆曲线的嵌入度为k。G1、G2和GT都应足够大，以保证协议安全强度。

c)在G1中，随机选择原则元素h1、h2、h3。在Zq*中，选择随机数x、y和gamma，此处Zq*是由小于q且与q互素的整数构成的循环群，下同；计算出X＝g1^x、Y＝g1^y以及W＝g2^gamma。“^”符号表征椭圆曲线点群上的倍点计算，其优先级是本文档中所有运算符号中最高，下同。

d)选择一个密码杂凑函数(哈希函数)H：{0,1}*→Zq，此处Zq是一个q阶整数群。

e)证书颁发方向证明方和验证方公布公共参数(q,G1,G2,GT,g1,g2,h1,h2,h3,X,Y,W,e,H)，并自己保留(x,y,gamma)作为秘密信息。

6)配置属性证明协议的配置属性证书颁发过程如下：

在这一过程中，证书颁发方为一个配置-属性对(cs,ps)颁发一个配置属性证书。对于(cs,ps)，证书颁发方首先计算一个数字签名结果Sigma＝(A,a)，其中的A和a与前述的公开参数和私有参数(即步骤5)中的“秘密信息”)满足如下的计算关系：

A＝((g1)*(h1^cs)*(h2*ps))^(1/(a+gamma))。

最终，证书颁发方颁发的配置属性证书为CRE＝((cs,ps),Sigma)。

7)配置属性证明协议的证明方证明流程如下：

在这一过程中，证明方证明其计算平台的配置为某个配置cs且证书颁发方颁发了配置属性证书(cs,ps)，也即证明方证明其计算平台满足安全属性ps。整个证明过程中，证明方不暴露cs的具体数值。

a)验证方在{0,1}^t中选择随机数Nv(即长度为t个比特的随机数，下同)，并发送给证明方非安全区域中的实现配置属性证明协议的主体程序；该主体程序再将Nv发送给安全区域中的密码学服务程序，引发系统从非安全区域向安全区域的切换；

b)系统切换到安全区域后，密码学服务程序在G1中随机选择原则元素h4、h5，在{0,1}^t中选择随机数Nt，在Zq*中选择随机数r0；然后计算配置cs的密码学承诺CM＝(h4^cs)*(h5^r0)；最后使用AIK为CM、Nv和Nt签名，得到数字签名Delta＝SigAIK(CM||Nv||Nt)，其中“||”表示连接操作，下同；

c)安全区域的密码学服务程序将计算结果(h4,h5,CM,Nt,r0,Delta)返回给非安全区域中的实现配置属性证明协议的主体程序；

d)非安全区域中的实现配置属性证明协议的主体程序根据证书CRE＝((cs,ps),Sigma)并在Zq*中选择随机数r、t1、t2，计算T＝A*(h3^r)、K1＝X^t1、K2＝Y^t2和Sigma0＝Sigma*(g1^(t1+t2))；

e)非安全区域中的实现配置属性证明协议的主体程序应用知识签名方法，构建出一个知识证明签名结果：

SPK{(A,a,cs,r0,gamma,t1,t2):

A＝((g1)*(h1^cs)*(h2*ps))^(1/(a+gamma))∧

CM＝(h4^cs)*(h5^r0)∧

K1＝X^t1∧

K2＝Y^t2}(Nv||Nt)

此处，SPK是配置属性证明协议中常见的一种零知识证明方法，SPK在不暴露(A,a,cs,r0,gamma,t1,t2)的具体数值的情况下，证明(A,a,cs,r0,gamma,t1,t2)满足“∧”符号所链接的四个等式关系，并在证明信息中融入Nt和Nv两个随机值。

f)非安全区域中的实现配置属性证明协议的主体程序将下述数据SigmaPBA发送给验证方：

SigmaPBA＝(Delta,CM,h4,h5,Nt,T,Sigma0,K1,K2,SPK)。

8)配置属性证明协议的验证方验证流程如下：

a)验证方验证数字签名Delta的正确性；

b)验证方验证知识证明签名SPK的正确性。

本发明还提供一种基于可信执行环境的系统配置属性证明系统，包括证明方、证书颁发方和验证方；所述证明方的计算机系统启动时，利用可信执行环境技术将内存和外设配置划分为两部分，一部分是安全区域，一部分是对应的非安全区域，并使用安全启动技术保证安全区域与非安全区域内运行的所有程序都未遭受过篡改、攻击；所述安全区域内部署密码学服务程序、非易失性存储设备的驱动程序、安全区域完整性证明程序；所述非安全区域部署实现配置属性证明协议的主体程序；在任何配置属性证明协议运行之前，所述证明方首先运行安全区域中的安全区域完整性证明程序，向所述验证方证实自身的安全区域的完整性，然后依次执行配置属性证明协议的初始化过程、证书颁发过程、证明过程和验证过程。

与现有技术相比，本发明的优点如下：

1.证明方可以在证明自己的计算机系统的配置满足特定的安全属性，却不在证明过程中暴露具体的配置信息，保护了配置的隐私性。

2.基于可信执行环境技术构建方法体系，不依赖任何非标准的可信安全芯片或其他设备，确保了证明过程和结果的可信性，使本发明方法具有高度的可实现性和安全性。

3.完整考虑了安全启动、安全区域的密钥存储保护等问题。将安全启动、安全区域的完整性证明和数字签名密钥的安全存储等步骤纳入到统一框架进行考虑，即本发明方法具有良好的完整性。

附图说明

图1是属性证明协议中的证书颁发方、证明方和验证方的示意图。

具体实施方式

下面以基于ARM TrustZone技术(ARM处理器和总线安全扩展技术)的可信执行环境技术，在智能移动终端上实现配置隐私保护的数据分发以及使用的系统为实例说明本发明的具体实施方式。

1、移动智能终端基于ARM TrustZone技术划分安全区域和非安全区域。

通过配置TrustZone技术中的TZASC(TrustZone地址空间控制器)等控制器，将智能移动终端的内存、外设划分为安全世界(安全世界为TrustZone技术术语，对应上文中的安全区域)和普通世界(普通世界为TrustZone技术术语，对应上文中的非安全区域)；其中，安全世界仅需要少量内存主要部署发明描述中的密码学服务程序，还需要部署一个可靠的存储设备；普通世界则占据移动终端中其他所有资源，部署协议实现主体程序；安全世界和普通世界之间通过SMC指令相互转换，转换过程受到ARM处理器的Monitor模式的监控。

2、移动智能终端利用ARM TrustZone执行安全启动和安全世界保护。

利用TrustZone安全启动技术实施启动，保证移动终端正常启动安全世界和普通世界；安全世界中将运行前述的密码学服务程序等；普通世界中的程序不能直接读写安全世界的内存，也不能够访问安全世界的存储设备(因而无法访问到数字签名密钥)；

3、移动智能终端(证明方)运行安全世界中的完整性证明协议，向验证方证实自身的安全世界的可信性；

4、移动智能终端(证明方)与验证方运行协议。

从移动智能终端的角度来说，依赖配置属性证明协议，移动智能终端证实了自身配置满足特定安全属性，但是不暴露具体的配置信息。从验证方的角度来说，由于步骤3证明了安全世界的可信性，因而验证方相信移动智能终端的证明过程是安全可靠的，证明结果是可以被信任的。

本发明提出了一种基于可信执行环境的、能够向远端验证方证实计算机系统配置可信性同时保护具体配置隐私的属性证明实现方法，对于本领域的技术人员而言，可以参考该方法设计、实现出对应的配置属性远程证明系统。

尽管为说明目的公开了本发明的具体实施例，其目的在于帮助理解本发明的内容并据以实施，本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。因此，本发明不应局限于最佳实施例所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (5)

1.一种基于可信执行环境的系统配置属性证明方法，其特征在于，包括以下步骤：

1)在证明方的计算机系统启动时，利用可信执行环境技术将内存和外设配置划分为两部分，一部分是安全区域，一部分是对应的非安全区域；并使用安全启动技术保证安全区域与非安全区域内运行的所有程序都未遭受过篡改、攻击；

2)在安全区域内部署密码学服务程序、非易失性存储设备的驱动程序、安全区域完整性证明程序；

3)在非安全区域部署实现配置属性证明协议的主体程序；

4)在任何配置属性证明协议运行之前，证明方首先运行安全区域中的安全区域完整性证明程序，向验证方证实自身的安全区域的完整性；

5)依次执行配置属性证明协议的初始化过程、证书颁发过程、证明过程和验证过程；

在配置属性证明协议的初始化过程中，证书颁发方生成公共参数以及自己的秘密信息，然后执行如下步骤：

a)设定配置属性证明协议的安全参数为整数t；

b)证书颁发方选择双线性对计算e，e的输入域为两个q阶椭圆曲线点群G1和G2，生成元分别为g1和g2，输出域为定义输入点群的基域的阔域GT，生成元为g3；该椭圆曲线的嵌入度为k；

c)在G1中随机选择原则元素h1、h2、h3；在Zq*中选择随机数x、y和gamma，Zq*是由小于q且与q互素的整数构成的循环群；计算出X＝g1^x、Y＝g1^y以及W＝g2^gamma；

d)选择一个密码杂凑函数H：{0,1}*→Zq，此处Zq是一个q阶整数群；

e)证书颁发方向证明方和验证方公布公共参数(q,G1,G2,GT,g1,g2,h1,h2,h3,X,Y,W,e,H)，并自己保留(x,y,gamma)作为秘密信息；

在配置属性证明协议的配置属性证书颁发过程中，证书颁发方为一个配置-属性对(cs,ps)颁发一个配置属性证书；对于(cs,ps)，证书颁发方首先计算一个数字签名结果Sigma＝(A,a)，其中的A和a满足如下关系：

A＝((g1)*(h1^cs)*(h2*ps))^(1/(a+gamma))，

最终，证书颁发方颁发的配置属性证书为CRE＝((cs,ps),Sigma)；

在配置属性证明协议的证明过程中，证明方证明其计算平台的配置为某个配置cs且证书颁发方颁发了配置属性证书(cs,ps)，也即证明方证明其计算平台满足安全属性ps，整个证明过程中证明方不暴露cs的具体数值；

所述配置属性证明协议的证明过程包括：

a)验证方在{0,1}^t中选择随机数Nv，并发送给证明方非安全区域中的实现配置属性证明协议的主体程序；该主体程序再将Nv发送给安全区域中的密码学服务程序，引发系统从非安全区域向安全区域的切换；

b)切换到安全区域后，密码学服务程序在G1中随机选择原则元素h4、h5，在{0,1}^t中选择随机数Nt，在Zq*中选择随机数r0；然后计算配置cs的密码学承诺CM＝(h4^cs)*(h5^r0)；

最后使用AIK为CM、Nv和Nt签名，得到数字签名Delta＝SigAIK(CM||Nv||Nt)；

c)安全区域的密码学服务程序将计算结果(h4,h5,CM,Nt,r0,Delta)返回给非安全区域中的实现配置属性证明协议的主体程序；

d)非安全区域中的实现配置属性证明协议的主体程序根据证书CRE＝((cs,ps),Sigma)并在Zq*中选择随机数r、t1、t2，计算T＝A*(h3^r)、K1＝X^t1、K2＝Y^t2和Sigma0＝Sigma*(g1^(t1+t2))；

e)非安全区域中的实现配置属性证明协议的主体程序应用知识签名方法，构建出一个知识证明签名结果SPK：

f)非安全区域中的实现配置属性证明协议的主体程序将数据SigmaPBA发送给验证方：

SigmaPBA＝(Delta,CM,h4,h5,Nt,T,Sigma0,K1,K2,SPK)；

配置属性证明协议的验证过程包括：

a)验证方验证数字签名Delta的正确性；

b)验证方验证知识证明签名SPK的正确性。

2.如权利要求1所述的方法，其特征在于，证明方证实自身的配置满足特定的安全属性的同时，不会暴露具体的配置信息，以保护配置的隐私性。

3.如权利要求1所述的方法，其特征在于，不依赖于任何非标准的安全芯片或其他设备，而是基于可信执行环境技术实现，以确保证明过程和结果的可信性。

4.如权利要求1所述的方法，其特征在于，所述密码学服务程序用于参与配置属性证明协议，完成协议中所需的密码学运算服务，密码学服务程序必须拥有属于自己的数字签名密钥对；所述非易失性存储设备的驱动程序用于辅助密码学服务程序排他性的管理和访问一个非易失性存储设备，即该设备必须不能够被非安全区域访问，所述数字签名密钥对即存储在该设备当中；所述安全区域完整性证明程序用于证明安全区域的完整性。

5.一种采用权利要求1～4中任一权利要求所述方法的基于可信执行环境的系统配置属性证明系统，其特征在于，包括证明方、证书颁发方和验证方；所述证明方的计算机系统启动时，利用可信执行环境技术将内存和外设配置划分为两部分，一部分是安全区域，一部分是对应的非安全区域，并使用安全启动技术保证安全区域与非安全区域内运行的所有程序都未遭受过篡改、攻击；所述安全区域内部署密码学服务程序、非易失性存储设备的驱动程序、安全区域完整性证明程序；所述非安全区域部署实现配置属性证明协议的主体程序；在任何配置属性证明协议运行之前，所述证明方首先运行安全区域中的安全区域完整性证明程序，向所述验证方证实自身的安全区域的完整性，然后依次执行配置属性证明协议的初始化过程、证书颁发过程、证明过程和验证过程。

Images