CN113261255A - 通过封存和验证进行的装置认证 - Google Patents

Abstract

本公开涉及一种用于将装置信息封存到装置(1)中的方法，该装置信息能够实现装置(1)的安全功能，所述安全功能由安全管理员通过装置(1)的RoT(2)管理，以进一步将装置(1)引导到系统(10)并最终对装置(1)中的RoT(2)和装置信息的组合进行认证。这种方法对装置(1)的生产流程的影响最小。

Description

通过封存和验证进行的装置认证

技术领域

本公开总体上涉及一种认证装置。更具体地，本公开涉及包括信任根(Root-of-Trust，RoT)并且能够由安全管理员(security owner)的系统进行认证的物联网(Internetof Things，IoT)装置。

背景技术

物联网是物理装置、设备或嵌入在电子设备或软件中的项目的网络，它使这些对象能够在没有人干预的情况下交换数据。ITU-T Y.2060建议书将IoT定义为信息社会的全球基础设施，它通过基于现有和演进的可互操作的信息和通信技术使物理的物和虚拟的物互连，来实现先进的服务。术语“IoT”中的“物(thing)”被认为是能够被识别并集成到通信网络中的物理世界的对象—物理的物—或信息世界的对象—虚拟的物。在这个定义中，物理的物存在于物理世界中，并能被感测、致动和连接。物理的物的例子包括周围环境、工业机器人、商品和电气设备。在这个定义中，虚拟的物存在于信息世界中并能被存储、处理和访问。虚拟的物的例子包括多媒体内容和应用程序软件。

在ITU-T Y.2060中，物联网装置被认为是具有强制性的通信能力和可选的感测、致动、数据捕获、数据存储和/或数据处理的能力的设备。IoT装置通常与其他装置通信：它们可以经由网关通过通信网络进行通信，不经由网关通过通信网络进行通信，或者不使用通信网络直接进行通信。还可以是多种通信方案的组合；例如，装置可以使用通过局域网(即，提供装置之间以及装置与网关之间的本地连接的网络，例如，自组织网络)的直接通信，然后使用经由本地网络网关通过通信网络进行的通信，与其他装置进行通信。

通信网络可以将IoT装置捕获的数据传递到应用程序和其他装置，以及将指令从应用程序传递到装置。通信网络通常提供用于可靠且高效的数据传递的能力。可以经由诸如传统的基于TCP/IP的网络之类的现有网络和/或诸如下一代网络(NGN)之类的演进网络来实现IoT网络基础设施。

IoT装置可以围绕集成电路来构建，例如以片上系统(system on a chip，SoC)的形式。这样的SoC可以包括信任根(RoT)，该信任根是装置始终信任并基于硬件提供的以便为装置的凭证和软件提供强大保护的一组功能。RoT通常在集成安全元件中实现。RoT可以不被嵌入到装置的SoC中，而是在装置的集成安全元件中实现。通常，RoT比受到信任的执行环境(TEE)更值得信赖。

RoT可以与片上其他装置安全地共享数据。RoT提供了在SoC内和代表在不同主机CPU上运行的客户端应用程序用于创建、存储和使用秘密的安全环境。RoT可以包含安全模块、密码核心等。

IoT装置可以连接至需要对所连接的装置进行强认证的特定系统，例如以激活某些特征。这样的认证通常依赖于装置中嵌入的每个装置唯一的秘密，该秘密用于装置与系统之间的强密码认证协议设置。系统例如可以是IoT平台。

这些每个装置唯一的秘密通常在RoT中得到保护，并且通常在SoC或安全元件制造期间提供。系统对嵌入在装置中的RoT秘密进行认证。为了对装置进行认证，系统随后需要将每个RoT唯一的秘密安全地绑定到装置。

存在不同的方案，例如Merlin配对或TVkey的装置封存安全消息(Device Sealingsecure message)。Merlin配对利用在制造时设置的唯一密钥。安全消息TVkey利用在芯片制造时设置的不对称的唯一密钥。

现有方案的缺点在于，它们需要在装置的制造期间进行特定的处理。因此，使用这样的传统技术导致装置的制造时间更长且更昂贵，并且对这种装置的整体生产流程具有大的影响。

发明内容

本公开解决了现有技术中存在的上述问题。

根据本公开的一个方面，提出了一种方法，其中可以通过系统对装置进行编程和认证。由装置的信任根RoT管理的存储器可以在装置生产期间接收装置的装置信息。可以将装置引导(bootstrap)至系统，并且可以提供关于RoT的信息和经编程的装置信息，以通过系统的密码协议对RoT进行认证。这可以在经认证的RoT与系统已知的装置信息之间产生绑定，并且可以用于验证装置的装置生产，这可以导致绑定被系统验证。

这样，可以避免在装置制造期间的特定处理。即，由于系统对装置进行编程和认证，因此节省了制造期间的时间。

在一个实施方式中，装置可以具有一个或多个SoC，并且RoT可以管理每个SoC的装置信息的编程。装置信息可以与该一个或多个SoC有关，也可以与装置有关。当与装置有关时，该信息可以例如关于模块，或关于一个或多个CPU或关于一个或多个应用程序。由于一方可以提供装置，而另一方可以拥有装置，因此可以有模块制造商和模块/装置所有者。因此，需要对它们中的每一个的信息的编程进行管理：模块和模块的所有者，信息嵌入在模块中但不一定在不同的SoC上。

这样，装置的设计更加通用，并且仅使用装置的RoT就可以对不同的SoC进行认证。

在一个实施方式中，RoT不必嵌入到装置的任何一个SoC中。

这样，装置的设计和生产变得更加通用。

在一个实施方式中，RoT可以在装置生产期间与装置的每一个SoC商定专用的绑定密钥，该专用的绑定密钥可以用于对RoT和装置进行密码绑定。

这样，可以将RoT和装置彼此进行密码绑定。密钥协商可以是利用迪菲-赫尔曼(Diffie-Hellman)密钥交换以具有前向保密性的密码质询(challenge)。

在一个实施方式中，装置密钥可以用于对装置与RoT之间的通信进行加密。

这样，装置和RoT可以通过安全的方式在彼此之间发送和接收信息。

在一个实施方式中，可以通过永久的方式执行装置信息的编程。

这样，装置信息被永久地存储到装置中，并且不会轻易丢失。

在一个实施方式中，RoT可以被配置为仅引导到系统一次。

这样，由于引导到系统仅发生一次，因此特定的引导不会与之前执行的引导发生冲突。此外，它限制了系统与装置之间不需要的通信量。

在一个实施方式中，方法还可以包括向安全管理员报告关于RoT的装置生产的信息。

这样，安全管理员可以获得关于放置在特定装置中的特定RoT的装置生产的更多信息。

在一个实施方式中，对装置的装置生产的验证可以包括验证在装置生产期间是否报告了被引导的RoT。

这样，安全管理员可以更轻松地检查装置的来源。

在一个实施方式中，可以在装置到系统的引导期间强制进行验证。

这样，在系统对装置进行认证时，执行系统对装置信息的验证。这导致更好的认证过程。

在一个实施方式中，可以在系统接收到关于装置生产的报告信息之后进行验证。

这样，验证过程较少地依赖于系统接收关于装置生产的报告信息的时间。在一个实施方式中，可以将引导信息和关于装置生产的报告信息报告给RoT的安全管理员。这样，安全管理员可以确定哪些装置生产信息与装置引导信息相对应。换句话说，安全管理员可以确定哪个生产出的装置属于哪个经认证装置。

在一个实施方式中，关于RoT的信息可以包括RoT的公共id。要报告的最少信息是RoT的公共标识符。其他信息是可选的。因此，当一种类型的RoT由具有不同的装置生产场所的不同装置所有者共享时：具有不同生产场所的每个装置所有者都可以报告嵌入在其装置中的RoT的公共标识符，使得使一个装置所有者无法声明另一个装置所有者的RoT。如果RoT的类型仅由单个装置所有者使用，则为了安全不需要任何报告。否则，为了安全，每个装置所有者的RoT公共id报告是强制性的。

这样，可以确定放置在特定装置中的特定RoT。

根据本公开的另一个方面，提出了一种可以包括处理器的装置，该处理器被配置为执行根据任何一个所描述的实施方式的方法的步骤。

根据本公开的另一个方面，提出了一种可以包括集成电路的装置，该集成电路被配置为执行根据任何一个所描述的实施方式的方法的步骤。

在一个实施方式中，装置可以是物联网装置。

根据本公开的另一个方面，提出了一种计算机程序产品，其可以在计算机可读非瞬态存储介质上实现，其中计算机程序产品可以包括计算机可执行指令，该计算机可执行指令在由处理器执行时可以使处理器进行根据任何一个所描述的实施方式的方法的步骤。

根据本公开的另一个方面，提出了一种计算机可读非瞬态存储介质，其可以包括计算机可执行指令，该计算机可执行指令在由处理器执行时可以使处理器进行根据任何一个所描述的实施方式的方法的步骤。

在下文中，将进一步详细描述实施方式。然而，应当理解，这些实施方式不能被解释为限制本公开的保护范围。

附图说明

现在将仅通过举例的方式，参照所附的示意图来描述实施方式，在所附的示意图中，对应的附图标记表示对应的部分，并且：

图1示出了装置的生产、认证和验证过程的示例性实施方式；

图2示出了装置的示例性实施方式，其中RoT被嵌入在SoC中；

图3示出了装置的示例性实施方式，其中RoT不是嵌入在SoC中；

图4示出了具有多个SoC的装置的示例性实施方式；

图5示出了装置的生产、认证和验证过程的示例性实施方式，其中没有通过装置生产将生产信息发送给安全管理员。

这些图仅是出于说明的目的，而不用作对权利要求书所规定的范围或保护的限制。

具体实施方式

在下面的例子中参照客户端装置的情况下，应理解的是，本公开不限于在客户端装置中的应用。

图1示出了装置1的生产、认证和验证过程的示例性实施方式。

在RoT生产100期间，安全管理员11可以将RoT公共id和RoT密钥提供200给RoT 2，RoT公共id和RoT密钥则可以被编程201到RoT 2中。RoT公共id是关于RoT 2的信息的例子，该信息稍后可以与将要与装置1连接的系统10交换。它可用于识别放置在装置1中的特定RoT。RoT密钥可以是密码密钥的例子，该密码密钥例如可以用于对RoT 2和装置1或系统10进行密码绑定。

安全管理员11也可以在装置生产101期间将关于RoT 2的信息提供给RoT2。关于RoT 2的信息可以被永久地编程到RoT 2中，或者被提供给由RoT 2管理的存储单元。

在装置生产101期间，可以将关于放置有RoT 2的特定装置1的装置信息封存(seal)202到RoT 2或由RoT 2管理的安全存储单元4中。该安全存储单元4可以是RoT 2的一部分，也可以是单独的存储单元4。封存可以包括将装置信息永久地编程到RoT 2或由RoT 2管理的安全存储单元4中。

特定装置1上的装置信息可以包括制造商信息、型号信息、品牌信息、版本号和序列号、通常为通用唯一标识符(UUID)形式的装置的抽象标识符，但是装置信息不限于此。

图2示出了装置1的示例性实施方式，其中RoT 2被嵌入在SoC 3中。在该实施方式中，由RoT 2管理的安全存储单元4被描绘在RoT 2的外部，但是它也可以是RoT 2的一部分。

图3示出了装置1的示例性实施方式，其中RoT 2不是嵌入在SoC 3中。RoT 2可以是装置1的一部分，也可以设置在装置1的外部。

在图3的实施方式中，可能需要保护RoT 2与SoC 3之间的通信30，例如通过对通信加密。为了实现该经加密的通信30，RoT 2可以同意203在封存期间使用每个装置唯一的密钥，例如仅使用一次，所述每个装置唯一的密钥通常使用例如通过相互认证的密钥商定密码协议。该装置密钥存储在装置1中，并用于对RoT 2和装置1进行密码绑定。可以对RoT 2与装置1之间的通信进行加密的方式的例子包括利用RoT 2与装置1之间的相互认证的基于标准或专有的公共密钥的安全通道。相互认证可以在制造时完成，并且共享的协商秘密可以被编程在RoT 2的存储器和装置1的存储器中。

接下来，装置1的生产设施可以向安全管理员11报告204在装置1的装置生产中使用的关于RoT 2的信息列表，例如RoT公共id。该信息稍后可用于验证生产设施报告并由此产生了已经被引导到系统10的RoT 2。该信息可以例如包含在生产日志中。生产日志还可以包含例如装置信息和RoT公共id，或者装置序列号和RoT公共id。

接下来，可以将生产的装置1引导到系统10。这可以紧接在装置生产101之后执行，或者在将装置1出售给消费者之后执行。这样，可以与生产过程100、101分开地引导和认证装置1及装置1的RoT 2，因此对装置生产流程的影响最小。

当装置1被引导到系统10时，它可以将关于RoT 2的信息(例如，RoT公共id、类型或版本号)与在封存过程202期间封存的装置信息一起提供205给系统10。装置信息可以由装置制造商定义，例如，品牌或类型。装置信息可以是由系统10定义并返回给装置制造商的唯一标识符。信息的这种传输能够以安全的方式执行，例如使用基于预共享秘密的标准或专有的安全通道。例如，可以使用迪菲-赫尔曼密钥交换来建立安全通道。这将在下面更详细地说明。

在装置1例如得到提示对安全链路初始化之后，装置1生成随机密钥对，该随机密钥对由密钥的私有部分(即，私有装置密钥)和密钥的公共部分(即，公共装置密钥)组成。这通常是随机密钥对。私有装置密钥可以是出于密码目的仅使用一次的随机数(nonce)、数字或位串。可以基于私有装置密钥来计算公共装置密钥。这通常是在装置1的更安全的部分完成的。

装置1将公共装置密钥传输到系统10。该传输可以经由装置1的安全部分直接进行，也可以经由装置1的安全性较低的另一个部分进行。装置1也可以将其唯一的ID传输到系统10。系统10可以检查该属于装置1的唯一的ID，以验证试图与系统10建立安全链路的装置1的身份，并且可以验证唯一的ID属于实际生产的芯片。此外，装置1可以用签名对传输进行签名。这可用于检查认证、不可否认性(non-repudiation)以及消息在传输后没有被更改。

在接收到传输之后，系统10检查传输的参数。这意味着例如检查签名或由装置1传输的唯一的ID。

接下来，系统10生成密钥对，该密钥对由密钥的私有部分(私有服务器密钥)和密钥的公共部分(公共服务器密钥)组成。这可以是随机密钥对。私有服务器密钥可以是随机数，而公共服务器密钥可以基于私有服务器密钥来计算。

接下来，系统10可以基于公共装置密钥和私有服务器密钥来计算安全链路密钥。该安全链路密钥可以用于保护要在系统10与装置1之间形成的安全链路。

在计算出安全链路密钥之后，系统10将公共服务器密钥传输到装置1。该传输可以经由装置1的安全性较低的部分来执行，也可以直接传输到装置1的安全性较高的部分。系统10还可以传输其服务器证书，该服务器证书用于证明经由传输发送的公共服务器密钥确实是系统10所拥有。此外，系统10可以用其签名来对传输进行签名。

在接收到传输之后，装置1检查传输的参数(例如签名、服务器证书)，并且基于装置1的私有密钥和系统10的公共密钥来计算安全链路密钥。现在，装置1和系统10都一致同意该安全链路密钥。然后可以使用该密钥来对通过装置1和系统10之间的安全链路传输的数据进行加密和解密。

系统10可以使用强密码认证协议和秘密来认证RoT 2。这样的协议和秘密的例子可以包括TLS或DTLS PKI、RAW证书或利用相互认证的任何PKI方案。这样，系统10可以验证RoT 2是否可以被系统10信任。这样，安全系统可以接收受到信任的RoT秘密与装置1的装置信息之间的绑定。当系统10已认证接收到的数据(例如，封存装置1信息和RoT信息)来自经密码认证的RoT 2时，可以信任该RoT 2。到系统的引导205可以例如仅由RoT 2执行一次。

接下来，系统10可以验证206生产设施是否报告了被引导的RoT 2。这种验证206可以在引导205期间被强制进行，也可以在系统10接收到生产日志之后执行。以这种方式，系统10可以验证被引导到系统10的RoT 2实际上是由生产设施生产的。这种验证可以通过对装置的存储器执行特定的测量以验证其对应于被引导的装置类型的有效模式来执行。RoT秘密可用于认证RoT 2。此外，系统10可以验证使用装置1的装置信息引导到系统10的RoT 2实际上被放置在该特定的装置1中。在该验证206期间，RoT公共id可以用作装置制造信息与例如RoT秘密之间的联系，以验证生产设施报告了RoT 2。

在验证206之后，可以将RoT 2和装置1的唯一绑定报告为已向系统10的数据库进行了认证。

生产设施也可以不报告在装置2的生产中使用的RoT公共id的列表。例如，系统10的安全管理员可以已经向RoT 2提供了RoT公共id，并因此已经知道了它。此外，可以在现场(例如，在装置1的安装期间)报告RoT公共id。也可以在现场通过远程证明书来报告和验证RoT公共id，例如，通过检查与装置匹配的存储器占用。

可以将来自引导205的引导信息以及生产信息204报告给RoT安全管理员11，以使用RoT 2来验证所有系统10之间的一致性。

因此，以上方法依赖于信任装置生产设施封存202正确的装置信息并正确地报告生产日志204。该方法可能会阻止许多可能的攻击。

第一，可以防御称为‘合法装置升级’的攻击。在这种攻击中，具有合法的RoT 2的合法装置1可能会假装为另一个合法装置1。通常，低端装置1尝试作为高端装置1进行引导205。由于装置信息在受到信任的环境中被封存202在RoT 2中并在引导205期间安全地报告给系统，因此低端装置1在生产之后不能假装为高端装置1。

第二，防御称为‘非合法装置’的攻击。在这种攻击中，具有合法的RoT2的非合法装置1可能会假装为合法装置1。通常，非合法装置1可能使用系统10的有效RoT 2在合法系统10中进行引导205。当系统10检测到合法的生产设施100、101没有报告204关于被引导的RoT2的信息(例如，其RoT公共id)时，将在验证步骤206期间检测到非合法装置1。

第三，防御称为‘克隆装置’的攻击。在这种攻击中，当RoT 2在装置1的SoC 3的外部时，非合法装置1可能使用合法装置1的RoT 2。在封存过程202期间，可以在装置1中安装203每个装置唯一的密钥，迫使攻击者也克隆该秘密密钥。

第四，还可以防御称为‘克隆RoT’的攻击。在这种攻击中，克隆RoT 2试图使用合法RoT 2的秘密引导205到系统。当单个RoT 2尝试多个引导程序205时，可以在验证步骤206期间检测到克隆RoT 2。然后，系统可以拒绝该引导205并对RoT 2进行标记以用于进一步调查。这样，安全管理员可以通过检查特定的RoT 2仅引导一次来验证RoT 2的一致性，从而防止克隆特定的RoT 2。

图4示出了具有多个SoC 3的装置1的示例性实施方式。

在该实施方式中，装置1的RoT 2可以利用一个或多个生产设施来管理多个封存程序。因此，上述方法还支持每个装置1多个SoC 3。

图5示出了装置1的生产、认证和验证过程的示例性实施方式，其中没有通过装置生产将生产信息发送给安全管理员。

系统10的一个优点是，即使当生产信息是部分的或缺失的时，系统10仍保持功能和部分安全性。可以执行后验证过程207以对未完全认证的装置1进行认证。这对于管理大量装置1的系统10特别有用。这样的后验证过程207可以包括例如由RoT 2执行的对装置存储区域的安全远程测量。当RoT 2集成在SoC 3中时，这特别有效。

一个或多个实施方式可以被实现为与计算机系统一起使用的计算机程序产品。程序产品的(多个)程序可以定义实施方式的功能(包括本文描述的方法)，并且可以被包含在各种计算机可读存储介质上。计算机可读存储介质可以是非瞬态存储介质。说明性计算机可读存储介质包括但不限于：(i)其上可以永久存储信息的不可写存储介质(例如，计算机内的只读存储设备，例如由CD-ROM驱动器可读的CD-ROM盘、ROM芯片或任何类型的固态非易失性半导体存储器)；以及(ii)其上可存储可变信息的可写存储介质，例如硬盘驱动器或任何类型的固态随机存取半导体存储器、闪速存储器。

可以以任何适当的方式组合上述两个或更多个实施方式。

Claims (15)

1.一种通过系统(10)对装置(1)进行编程和认证的方法，其特征在于，所述方法包括：

在装置生产(101)期间，将装置(1)的装置信息接收到由所述装置(1)的信任根(RoT)(2)管理的存储器(4)中，

将所述装置(1)引导到所述系统(10)，以及

提供关于所述RoT(2)的信息和所述装置信息，用于通过所述系统(10)的密码协议来认证所述RoT(2)，从而在经认证的RoT(2)与所述系统(10)已知的所述装置信息之间产生绑定，并且用于验证所述装置(1)的所述装置生产(101)，从而导致所述绑定被所述系统(10)验证。

2.根据权利要求1所述的方法，其特征在于，所述装置(1)具有一个或多个SoC(3)，并且所述RoT(2)管理每个SoC(3)的装置信息的编程。

3.根据权利要求2所述的方法，其特征在于，所述RoT(2)没有嵌入到所述装置(1)的任何一个SoC(3)中。

4.根据权利要求3所述的方法，其特征在于，所述RoT(2)在装置生产(101)期间与所述装置(1)的每个SoC(3)商定专用的绑定密钥，所述专用的绑定密钥用于对所述RoT(2)和所述装置(1)进行密码绑定。

5.根据权利要求4所述的方法，其特征在于，所述装置密钥用于对所述装置(1)与所述RoT(2)之间的通信进行加密。

6.根据前述任一项权利要求所述的方法，其特征在于，所述RoT(2)被配置为仅引导到所述系统(10)一次。

7.根据前述任一项权利要求所述的方法，其特征在于，所述方法还包括：向安全管理员(11)报告关于所述RoT(2)的装置生产(101)的信息。

8.根据权利要求7所述的方法，其特征在于，对所述装置(1)的装置生产(101)的验证包括：验证在装置生产(101)期间是否报告了被引导的RoT(2)。

9.根据权利要求7或8所述的方法，其特征在于，在将所述装置(1)引导到所述系统(10)期间强制进行所述验证。

10.根据权利要求7至9中任一项所述的方法，其特征在于，将引导信息和关于装置生产(101)的报告信息报告给所述RoT(2)的安全管理员(11)。

11.根据前述任一项权利要求所述的方法，其特征在于，关于所述RoT(2)的信息包括所述RoT(2)的公共id。

12.一种包括处理器的装置(1)，其特征在于，所述处理器被配置为执行根据权利要求1至11中任一项所述的方法的步骤。

13.一种包括集成电路的装置(1)，其特征在于，所述集成电路被配置为执行根据权利要求1至11中任一项所述的方法的步骤。

14.一种计算机程序产品，其在计算机可读非瞬态存储介质(1)上实现，其特征在于，所述计算机程序产品包括计算机可执行指令，所述计算机可执行指令在由处理器执行时使所述处理器进行根据权利要求1至11中任一项所述的方法的步骤。

15.一种计算机可读非瞬态存储介质(1)，其特征在于，所述计算机可读非瞬态存储介质包括计算机可执行指令，所述计算机可执行指令在由处理器执行时使所述处理器进行根据权利要求1至11中任一项所述的方法的步骤。

Images