CN113645229A - 一种基于可信确认的认证系统及方法 - Google Patents

一种基于可信确认的认证系统及方法 Download PDF

Info

Publication number
CN113645229A
CN113645229A CN202110911430.9A CN202110911430A CN113645229A CN 113645229 A CN113645229 A CN 113645229A CN 202110911430 A CN202110911430 A CN 202110911430A CN 113645229 A CN113645229 A CN 113645229A
Authority
CN
China
Prior art keywords
trusted
node
oat
value
current
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202110911430.9A
Other languages
English (en)
Other versions
CN113645229B (zh
Inventor
阮安邦
魏明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Octa Innovations Information Technology Co Ltd
Original Assignee
Beijing Octa Innovations Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Octa Innovations Information Technology Co Ltd filed Critical Beijing Octa Innovations Information Technology Co Ltd
Priority to CN202110911430.9A priority Critical patent/CN113645229B/zh
Publication of CN113645229A publication Critical patent/CN113645229A/zh
Application granted granted Critical
Publication of CN113645229B publication Critical patent/CN113645229B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Debugging And Monitoring (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供了一种基于可信确认的认证系统及方法，该系统包括：可信流式计算集群、至少一个OAT(Open Attestation)、每一个所述OAT所连接的至少一个节点；任一所述节点均配备有可信平台模块TPM安全芯片；每一个所述TPM安全芯片中均记录有AIK证书和原始可信值；每一个所述节点，还用于利用内部TPM安全芯片中记录的AIK证书的私钥，对内部TPM安全芯片中记录的原始可信值进行加密处理，将获得的密文记录为固定可信值；所述当前节点所连接的OAT，还用于采集所述当前节点的TPM安全芯片中记录的第一AIK证书，并将第一固定可信值和所述第一AIK证书发送给所述可信流式计算集群。

Description

一种基于可信确认的认证系统及方法
本发明是申请号为201810575105.8，申请日为2018年6月6日，申请类型为发明，申请名称为一种确定节点可信的系统及方法的分案申请。
技术领域
本发明涉及可信计算领域，特别涉及一种基于可信确认的认证系统及方法。
背景技术
可信计算技术是解决计算机体系结构的安全技术，它通过建立一种特定的完整性度量机制，使计算平台运行时具备分辨程序代码可信与否的能力，从而对不可信的程序代码建立有效的防治方法和措施。
目前，OAT(Open Attestation)可以采集所连接的各个节点的程序运行数据，通过对程序运行数据的可信计算，以根据可信计算结果来确定各个节点是否可信。
但当所连接节点的数目较多时，可信计算通常需要占用较多设备资源。
公开号为CN103347073A的中国专利公开了一种云管理行为安全控制方法。本方法为：1)云管理中心CMS为每一个节点分配密钥，在每一节点上建立代理域；2)CMS根据节点号查询节点的密钥，并确定授权信息类型；3)CMS生成云管理操作的管理授权信息并签名后发送给代理域；4)代理域将其发送给该节点的虚拟机监控器进行验证，验证通过则将其添加到一安全服务器中，5)CMS发送云管理操作请求给该节点的云平台代理CMP；6)CMP根据该请求向该虚拟机监控器发出超级调用请求；该虚拟机监控器先查询该安全服务器中是否有该云请求的授权项，如果有则验证授权信息类型和时间戳；验证通过则执行该请求；否则拒绝。
现有技术在所连接节点的数目较多的情况下，会占用大量的设备资源对各个节点的程序运行数据进行可信计算来确定各个节点是否可信。需要一种系统及方法仅需执行简单操作即可确定节点是否可信，故本发明提供一种基于可信确认的认证系统及方法。
发明内容
本发明提供了一种确定节点可信的系统及方法，能够减少可信计算所需占用的设备资源。
为了达到上述目的，本发明是通过如下技术方案实现的：
一方面，本发明提供了一种确定节点可信的系统，包括：
可信流式计算集群、至少一个OAT、每一个所述OAT所连接的至少一个节点；
任一所述节点均配备有TPM(TrustedPlatfol'In Module，可信平台模块)安全芯片；
每一个所述OAT，均用于针对所连接的每一个节点均执行：采集当前节点的TPM安全芯片中记录的第一固定可信值；采集所述当前节点的第一程序运行数据；将所述第一程序运行数据发送给所述可信流式计算集群，并接收所述可信流式计算集群返回的所述第一程序运行数据对应的实际可信值；判断所述第一固定可信值、所述第一程序运行数据对应的实际可信值、预存的所述当前节点的预期可信值是否一致，若是，确定所述当前节点可信；
所述可信流式计算集群，用于针对每一个所述OAT均执行：针对当前OAT发来的每一个程序运行数据均执行：计算当前程序运行数据对应的实际可信值，并将所述当前程序运行数据对应的实际可信值返回给所述当前OAT。
进一步地，所述第一程序运行数据携带有所述当前节点的节点唯一标识；
所述可信流式计算集群，还用于控制所述第一程序运行数据对应的实际可信值携带所述当前节点的节点唯一标识。
进一步地，所述可信流式计算集群包括：RPC(Remote Procedure Call，远程过程调用)接口、至少一个分布式RPC服务器、至少一个计算拓扑；
每一个所述OAT，均具体用于通过调用所述RPC接口，以向所述可信流式计算集群发送每一个程序运行数据，且发送的每一个程序运行数据均携带有自身的OAT唯一标识；
每一个所述分布式RPC服务器，均用于在接收到任一所述OAT发来的一程序运行数据时，根据外部当前发来的分发命令，将接收到的程序运行数据分发给该分发命令所指定的计算拓扑；在接收到一实际可信值时，根据该实际可信值对应的程序运行数据所携带的OAT唯一标识，将接收到的实际可信值发送给相应的OAT；
每一个所述计算拓扑，均用于在接收到一程序运行数据时，计算接收到的程序运行数据对应的实际可信值，并根据外部当前发来的分发命令，将计算出的实际可信值分发给该分发命令所指定的分布式RPC服务器。
进一步地，每一个所述计算拓扑均由相关联的Spout和至少一个Bolt所组成；
每一个所述Spout，用于在接收到任一所述分布式RPC服务器分发来的一程序运行数据时，将接收到的程序运行数据解析后发送给相关联的一Bolt；
每一个所述Bolt，均用于在接收到一解析后的程序运行数据时，计算接收到的程序运行数据对应的实际可信值，并根据外部当前发来的分发命令，将计算出的实际可信值分发给该分发命令所指定的分布式RPC服务器。
进一步地，该确定节点可信的系统还包括：数据一致性服务模块；
所述可信流式计算集群为storm集群；
所述storm集群还包括：Nimbus、至少一个Supervisor；
所述数据一致性服务模块，用于协调所述Nimbus和所述至少一个Supervisor；
所述Nimbus，用于通过资源分配和任务调度，向每一个所述Supervisor分配任务；
每一个所述Supervisor，均用于根据所述Nimbus分配来的任务，控制所述分发命令的发送。
进一步地，所述数据一致性服务模块包括：Zookeeper。
进一步地，每一个所述TPM安全芯片均包括：用于存储固定可信值的PCR(PlatformConfiguration Register，平台配置寄存器)；
每一个所述节点，均用于基于先度量再执行的启动原则以启动程序，并将程序启动过程的程序运行数据以日志的形式放置在度量日志文件中，且所述度量日志文件位于配备的TPM安全芯片的外部。
进一步地，该确定节点可信的系统还包括：第三方认证机构；
每一个所述TPM安全芯片中均记录有AIK证书和原始可信值；
每一个所述节点，还用于利用内部TPM安全芯片中记录的AIK证书的私钥，对内部TPM安全芯片中记录的原始可信值进行加密处理，将获得的密文记录为固定可信值；
所述当前节点所连接的OAT，还用于采集所述当前节点的TPM安全芯片中记录的第一AIK证书，并将所述第一固定可信值和所述第一AIK证书发送给所述可信流式计算集群；
所述可信流式计算集群，还用于将所述第一AIK证书发送给所述第三方认证机构；利用所述第三方认证机构返回的所述第一AIK证书的公钥，解密所述第一固定可信值；
所述第三方认证机构，用于在判断出预设的有效证书列表中包括所述第一AIK证书时，将预设的所述第一AIK证书的公钥发送给所述可信流式计算集群。
进一步地，所述第三方认证机构，还用于针对所述有效证书列表中的每一个AIK证书均执行：在监测到当前AIK证书无效时，将所述当前AIK证书从所述有效证书列表中移除。
另一方面，本发明提供了一种基于上述任一所述的确定节点可信的系统而执行的确定节点可信的方法，其特征在于，包括：
每一个OAT针对所连接的每一个节点均执行：采集当前节点配备的TPM安全芯片中记录的固定可信值；采集所述当前节点的第一程序运行数据；将所述第一程序运行数据发送给可信流式计算集群；
所述可信流式计算集群针对每一个所述OAT均执行：针对当前OAT发来的每一个程序运行数据均执行：计算当前程序运行数据对应的实际可信值，并将所述当前程序运行数据对应的实际可信值返回给所述当前OAT；
所述当前节点所连接的OAT接收所述可信流式计算集群返回的所述第一程序运行数据对应的实际可信值；
所述当前节点所连接的OAT判断所述固定可信值、所述第一程序运行数据对应的实际可信值、预存的所述当前节点的预期可信值是否一致，若是，确定所述当前节点可信。
本发明提供了一种确定节点可信的系统及方法，该系统包括：可信流式计算集群、至少一个OAT、各OAT所连接的至少一个节点，各个节点均均配备有TPM安全芯片。OAT针对所连接的每一个节点，采集节点的TPM安全芯片中记录的固定可信值及节点的程序运行数据；将程序运行数据发送给可信流式计算集群，并接收其计算并返回的程序运行数据对应的实际可信值；在判断出同一节点的固定可信值、实际可信值、预存的预期可信值一致时，确定该节点可信。OAT不进行可信计算，而由一个专用的计算机群通过流式计算方式代为执行，OAT仅执行简单的数值收发对比操作即可确定节点是否可信，故本发明能够减少可信计算所需占用的设备资源。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明一实施例提供的一种确定节点可信的系统的示意图；
图2是本发明一实施例提供的另一种确定节点可信的系统的示意图；
图3是本发明一实施例提供的一种节点可信确定方法的流程图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，本发明实施例提供了一种确定节点可信的系统，可以包括：
可信流式计算集群101、至少一个OAT102、每一个所述OAT102所连接的至少一个节点103；
任一所述节点103均配备有TPM安全芯片1031；
每一个所述OAT102，均用于针对所连接的每一个节点103均执行：采集当前节点的TPM安全芯片中记录的第一固定可信值；采集所述当前节点的第一程序运行数据；将所述第一程序运行数据发送给所述可信流式计算集群101，并接收所述可信流式计算集群101返回的所述第一程序运行数据对应的实际可信值；判断所述第一固定可信值、所述第一程序运行数据对应的实际可信值、预存的所述当前节点的预期可信值是否一致，若是，确定所述当前节点可信；
所述可信流式计算集群101，用于针对每一个所述OAT102均执行：针对当前OAT发来的每一个程序运行数据均执行：计算当前程序运行数据对应的实际可信值，并将所述当前程序运行数据对应的实际可信值返回给所述当前OAT。
本发明实施例提供了一种确定节点可信的系统，包括可信流式计算集群、至少一个OAT、各OAT所连接的至少一个节点，各个节点均均配备有TPM安全芯片。OAT针对所连接的每一个节点，采集节点的TPM安全芯片中记录的固定可信值及节点的程序运行数据；将程序运行数据发送给可信流式计算集群，并接收其计算并返回的程序运行数据对应的实际可信值；在判断出同一节点的固定可信值、实际可信值、预存的预期可信值一致时，确定该节点可信。OAT不进行可信计算，而由一个专用的计算机群通过流式计算方式代为执行，OAT仅执行简单的数值收发对比操作即可确定节点是否可信，故本发明实施例能够减少可信计算所需占用的设备资源。
详细地，可信计算技术可以依赖于内嵌在平台上的协处理器TPM。TPM至少可以具有对称加密、非对称加密、安全存储、完整性度量、签名认证等主要功能。如图1所示，为判断各节点是否可信，可以在各个节点中均配备TPM安全芯片。
详细地，TPM安全芯片中可以记录有固定可信值，这一可信值通常只能被TPM自身所访问，故通常不易被恶意更改。
此外，对于每一个节点，其程序运行数据也可以是度量其可信度的一个因素，但程序运行数据由于存在被恶意更改的可能。正常情况下，经程序运行数据而计算出的可信值应与记录的固定可信值保持一致，否则，则节点不可信。
由图1可以看出，OAT的个数可以有多个，且各个OAT连接的节点数据可以有多个，故为减轻OAT数据处理压力，可由统一的可信流式计算集群来执行可信计算，并将计算结果反馈给相应的OAT。
基于上述内容，OAT除了对比固定可信值和实际可信值外，OAT中还可以预存有节点的预期可信值。通常情况下，这3个可信值均应保持一致，否则，可以认为相应节点不可信。可以看出，本发明实施例中，OAT可以仅执行3个可信值的对比及相关数据收发操作外，即可完成节点可信验证，这一过程占用设备资源少，故可以应对待验证节点数较多的情况，以能保证较高的设备性能。
在本发明一个实施例中，所述第一程序运行数据携带有所述当前节点的节点唯一标识；
所述可信流式计算集群101，还用于控制所述第一程序运行数据对应的实际可信值携带所述当前节点的节点唯一标识。
详细地，每一个程序运行数据均可以携带有相应节点的节点唯一标识，以使可信流式计算集群在计算出任一实际可信值时，即可令其携带相应节点唯一标识，如此，可信流式计算集群在将各个实际可信值反馈给相应OAT时，OAT可以简单快速的确定出各实际可信值的针对对象是哪一节点。
在本发明一个实施例中，请参考图2，所述可信流式计算集群101包括：RPC接口1011、至少一个分布式RPC服务器1012、至少一个计算拓扑1013；
每一个所述OAT102，均具体用于通过调用所述RPC接口1011，以向所述可信流式计算集群101发送每一个程序运行数据，且发送的每一个程序运行数据均携带有自身的OAT唯一标识；
每一个所述分布式RPC服务器1012，均用于在接收到任一所述OAT102发来的一程序运行数据时，根据外部当前发来的分发命令，将接收到的程序运行数据分发给该分发命令所指定的计算拓扑1013；在接收到一实际可信值时，根据该实际可信值对应的程序运行数据所携带的OAT唯一标识，将接收到的实际可信值发送给相应的OAT102；
每一个所述计算拓扑1013，均用于在接收到一程序运行数据时，计算接收到的程序运行数据对应的实际可信值，并根据外部当前发来的分发命令，将计算出的实际可信值分发给该分发命令所指定的分布式RPC服务器1012。
详细地，分布式RPC服务器，可以负责提供分布式的RPC调用服务。
详细地，可信流式计算集群可以提供有一个统一的RPC接口，各OAT均可通过调用该RPC接口以提出可信计算请求，以将用于可信计算的各个程序运行数据发送至可信流式计算集群。
详细地，可信流式计算集群可以包括有分布式RPC服务器集群和计算拓扑集群，外部OAT发来的程序运行数据可以经任一分布式RPC服务器发送至一计算拓扑，从而在该计算拓扑中完成可信计算。
本发明一个实施例中，执行程序运行数据收发操作的分布式RPC服务器可以为可用的服务器，比如可以为空闲的服务器。如此，当外部确定一服务器可用时，可以向其发送分发命令，以使其接收从RPC接口发来的程序运行数据，并分发至指定的计算拓扑。当然，该指定的计算拓扑可以为外部确定的可执行可信计算的任一可用的计算拓扑。
对应地，计算拓扑完成可信计算后，需要将可信计算结果反馈给相应的OAT，故同样基于外部的分发命令，将可信计算结果经任一可用的分布式RPC服务器、RPC接口而反馈至相应OAT。
本发明实施例中，可信计算结果，即计算出的实际可信值可以携带有相应OAT唯一标识，如此，任一分布式RPC服务器可以基于该OAT唯一标识，将各个实际可信值反馈至相应OAT。
在本发明一个实施例中，请参考图2，每一个所述计算拓扑1013均由相关联的Spout10131和至少一个Bolt10132所组成；
每一个所述Spout10131，用于在接收到任一所述分布式RPC服务器1012分发来的一程序运行数据时，将接收到的程序运行数据解析后发送给相关联的一Bolt10132；
每一个所述Bolt10132，均用于在接收到一解析后的程序运行数据时，计算接收到的程序运行数据对应的实际可信值，并根据外部当前发来的分发命令，将计算出的实际可信值分发给该分发命令所指定的分布式RPC服务器1012。
详细地，计算拓扑可以由负责数据解析和发送的Spout和负责计算可信值的Bolt这两类组件构成。
详细地，计算拓扑可以由不同的Spout和Bolt构建，是通过数据流连接起来的拓扑图。其中，Spout是数据源，用于为计算拓扑生产数据，一般是从外部数据源不间断地读取数据并发送，Bolt是消息处理者，而且可以一级级的进行处理。
计算拓扑中的分布式RPCSpout组件可以收到一分布式RPC服务器转发的计算数据，并进行解析和发送，发送的目标即可以为逻辑上实现可信值计算的各个Bolt。然后，Bolt计算出各个可信值后，可以再由一可用的分布式RPC服务器而将计算结果返回给相应的请求计算服务的OAT。
请参考图2，图2中箭头所示路径，即可以为OAT-2向可信流式计算集群请求可信计算时的相应数据处理路径。
在本发明一个实施例中，请参考图2，该确定节点可信的系统还包括：数据一致性服务模块201；
所述可信流式计算集群101为storm集群；
所述storm集群还包括：Nimbus1014、至少一个Supervisor1015；
所述数据一致性服务模块201，用于协调所述Nimbus1014和所述至少一个Supervisor1015；
所述Nimbus1014，用于通过资源分配和任务调度，向每一个所述Supervisor1015分配任务；
每一个所述Supervisor1015，均用于根据所述Nimbus1014分配来的任务，控制所述分发命令的发送。
详细地，Nimbus可以负责资源分配和任务调度。
详细地，Supervisor可以作为流失计算异步任务管理器，负责接收Nimbus分配的任务，启动和停止属于自己管理的worker进程。
详细地，Worker可以为运行具体处理组件逻辑的进程，且运行的任务类型只有两种，Spout和Bolt任务。
本发明实施例中，由于一个计算拓扑可以包含一个或多个Worker，其中，每个Worker进程可以只能从属于一个特定的计算拓扑。这些Worker进程可以并行跑在集群中不同的服务器上，即一个计算拓扑其实是由并行运行在流式计算集群中多台服务器上的进程所组成。此外，Executor(线程)是由Worker进程中生成的一个线程，每个Worker进程中会运行拓扑当中的一个或多个Executor线程，一个Executor线程中可以执行一个甚至多个Task任务，但是这些Task任务可以都是对应着同一个组件，即Spout、Bolt。Task可以作为实际执行数据处理的最小单元，每个task即为一个Spout或者一个Bolt。基于上述原因，传统的每个机器节点以点对点式进行可信计算相比，本发明实施例所述的流式计算要比该传统方式的并行性好。
详细地，数据一致性服务可以负责协调Nimbus和Supervisor，用于保存元数据。
在本发明一个实施例中，所述数据一致性服务模块201包括：Zookeeper。
在本发明一个实施例中，每一个所述TPM安全芯片1031均包括：用于存储固定可信值的PCR；
每一个所述节点103，均用于基于先度量再执行的启动原则以启动程序，并将程序启动过程的程序运行数据以日志的形式放置在度量日志文件中，且所述度量日志文件位于配备的TPM安全芯片1031的外部。
详细地，TPM记录的固定可信值可以存储在内部的PCR中。
在本发明一个实施例中，请参考图2，该确定节点可信的系统还包括：第三方认证机构202；
每一个所述TPM安全芯片1031中均记录有AIK证书和原始可信值；
每一个所述节点103，还用于利用内部TPM安全芯片1031中记录的AIK证书的私钥，对内部TPM安全芯片1031中记录的原始可信值进行加密处理，将获得的密文记录为固定可信值；
所述当前节点所连接的OAT102，还用于采集所述当前节点的TPM安全芯片中记录的第一AIK证书，并将所述第一固定可信值和所述第一AIK证书发送给所述可信流式计算集群101；
所述可信流式计算集群101，还用于将所述第一AIK证书发送给所述第三方认证机构202；利用所述第三方认证机构202返回的所述第一AIK证书的公钥，解密所述第一固定可信值；
所述第三方认证机构202，用于在判断出预设的有效证书列表中包括所述第一AIK证书时，将预设的所述第一AIK证书的公钥发送给所述可信流式计算集群101。
详细地，采集到的固定可信值可以为密文形式，只有节点的AIK证书有效时，才可利用证书公钥对密文解密以获得明文。
在本发明一个实施例中，所述第三方认证机构202，还用于针对所述有效证书列表中的每一个AIK证书均执行：在监测到当前AIK证书无效时，将所述当前AIK证书从所述有效证书列表中移除。
详细地，第三方认证机构可以实时更新有效证书列表，以保证证书有效的准确性。
如图3所示，本发明一个实施例提供了一种基于上述任一所述的确定节点可信的系统而执行的确定节点可信的方法，具体包括以下步骤：
步骤301：每一个OAT针对所连接的每一个节点均执行：采集当前节点配备的TPM安全芯片中记录的固定可信值；采集所述当前节点的第一程序运行数据；将所述第一程序运行数据发送给可信流式计算集群。
步骤302：所述可信流式计算集群针对每一个所述OAT均执行：针对当前OAT发来的每一个程序运行数据均执行：计算当前程序运行数据对应的实际可信值，并将所述当前程序运行数据对应的实际可信值返回给所述当前OAT。
步骤303：所述当前节点所连接的OAT接收所述可信流式计算集群返回的所述第一程序运行数据对应的实际可信值。
步骤304：所述当前节点所连接的OAT判断所述固定可信值、所述第一程序运行数据对应的实际可信值、预存的所述当前节点的预期可信值是否一致，若是，确定所述当前节点可信，否则，确定所述当前节点不可信。
上述方法内的各单元模块之间的信息交互、执行过程等内容，由于与本发明系统实施例基于同一构思，具体内容可参见本发明系统实施例中的叙述，此处不再赘述。
综上所述，本发明的各个实施例至少具有如下有益效果：
1、本发明实施例中，确定节点可信的系统，包括可信流式计算集群、至少一个OAT、各OAT所连接的至少一个节点，各个节点均均配备有TPM安全芯片。OAT针对所连接的每一个节点，采集节点的TPM安全芯片中记录的固定可信值及节点的程序运行数据；将程序运行数据发送给可信流式计算集群，并接收其计算并返回的程序运行数据对应的实际可信值；在判断出同一节点的固定可信值、实际可信值、预存的预期可信值一致时，确定该节点可信。OAT不进行可信计算，而由一个专用的计算机群通过流式计算方式代为执行，OAT仅执行简单的数值收发对比操作即可确定节点是否可信，故本发明实施例能够减少可信计算所需占用的设备资源。
需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个·”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储在计算机可读取的存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质中。
最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种基于可信确认的认证系统，其特征在于，包括：
可信流式计算集群、至少一个OAT(Open Attestation)、每一个所述OAT所连接的至少一个节点；
任一所述节点均配备有可信平台模块TPM安全芯片；每一个所述TPM安全芯片中均记录有AIK证书和原始可信值；
每一个所述节点，还用于利用内部TPM安全芯片中记录的AIK证书的私钥，对内部TPM安全芯片中记录的原始可信值进行加密处理，将获得的密文记录为固定可信值；
所述当前节点所连接的OAT，还用于采集所述当前节点的TPM安全芯片中记录的第一AIK证书，并将第一固定可信值和所述第一AIK证书发送给所述可信流式计算集群。
2.根据权利要求1所述的基于可信确认的认证系统，其特征在于，还包括：第三方认证机构；
所述可信流式计算集群，将所述第一AIK证书发送给所述第三方认证机构；利用所述第三方认证机构返回的所述第一AIK证书的公钥，解密所述第一固定可信值；
所述第三方认证机构，用于在判断出预设的有效证书列表中包括所述第一AIK证书时，将预设的所述第一AIK证书的公钥发送给所述可信流式计算集群。
3.根据权利要求1所述的基于可信确认的认证系统，其特征在于，所述第三方认证机构，还用于针对所述有效证书列表中的每一个AIK证书均执行：在监测到当前AIK证书无效时，将所述当前AIK证书从所述有效证书列表中移除。
4.根据权利要求3所述的基于可信确认的认证系统，其特征在于，
每一个所述OAT，均用于针对所连接的每一个节点均执行：采集当前节点的TPM安全芯片中记录的第一固定可信值；采集所述当前节点的第一程序运行数据；将所述第一程序运行数据发送给所述可信流式计算集群，并接收所述可信流式计算集群返回的所述第一程序运行数据对应的实际可信值；判断所述第一固定可信值、所述第一程序运行数据对应的实际可信值、预存的所述当前节点的预期可信值是否一致，若是，确定所述当前节点可信。
5.根据权利要求4所述的基于可信确认的认证系统，其特征在于，所述可信流式计算集群，用于针对每一个所述OAT均执行：针对当前OAT发来的每一个程序运行数据均执行：计算当前程序运行数据对应的实际可信值，并将所述当前程序运行数据对应的实际可信值返回给所述当前OAT。
6.根据权利要求5所述的基于可信确认的认证系统，其特征在于，所述第一程序运行数据携带有所述当前节点的节点唯一标识；
所述可信流式计算集群，还用于控制所述第一程序运行数据对应的实际可信值携带所述当前节点的节点唯一标识。
7.根据权利要求1所述的基于可信确认的认证系统，其特征在于，所述可信流式计算集群包括：远程过程调用RPC接口、至少一个分布式RPC服务器、至少一个计算拓扑；
每一个所述OAT，均具体用于通过调用所述RPC接口，以向所述可信流式计算集群发送每一个程序运行数据，且发送的每一个程序运行数据均携带有自身的OAT唯一标识；
每一个所述分布式RPC服务器，均用于在接收到任一所述OAT发来的一程序运行数据时，根据外部当前发来的分发命令，将接收到的程序运行数据分发给该分发命令所指定的计算拓扑；在接收到一实际可信值时，根据该实际可信值对应的程序运行数据所携带的OAT唯一标识，将接收到的实际可信值发送给相应的OAT；
每一个所述计算拓扑，均用于在接收到一程序运行数据时，计算接收到的程序运行数据对应的实际可信值，并根据外部当前发来的分发命令，将计算出的实际可信值分发给该分发命令所指定的分布式RPC服务器。
8.根据权利要求7所述的基于可信确认的认证系统，其特征在于，每一个所述计算拓扑均由相关联的Spout和至少一个Bolt所组成；
每一个所述Spout，用于在接收到任一所述分布式RPC服务器分发来的一程序运行数据时，将接收到的程序运行数据解析后发送给相关联的一Bolt；
每一个所述Bolt，均用于在接收到一解析后的程序运行数据时，计算接收到的程序运行数据对应的实际可信值，并根据外部当前发来的分发命令，将计算出的实际可信值分发给该分发命令所指定的分布式RPC服务器。
9.根据权利要求8所述的基于可信确认的认证系统，其特征在于，还包括：数据一致性服务模块；
所述可信流式计算集群为storm集群；
所述storm集群还包括：Nimbus、至少一个Supervisor；
所述数据一致性服务模块，用于协调所述Nimbus和所述至少一个Supervisor；
所述Nimbus，用于通过资源分配和任务调度，向每一个所述Supervisor分配任务；
每一个所述Supervisor，均用于根据所述Nimbus分配来的任务，控制所述分发命令的发送。
10.一种基于可信确认的认证方法，其特征在于，至少包括：
OAT针对所连接的每一个节点，采集节点的TPM安全芯片中记录的固定可信值及节点的程序运行数据，还用于采集所述当前节点的TPM安全芯片中记录的第一AIK证书，并将可信流式计算集群计算的第一固定可信值和第一AIK证书发送给可信流式计算集群；在判断出预设的有效证书列表中包括所述第一AIK证书时，将预设的所述第一AIK证书的公钥发送给所述可信流式计算集群；在监测到当前AIK证书无效时，将所述当前AIK证书从所述有效证书列表中移除。
CN202110911430.9A 2018-06-06 2018-06-06 一种基于可信确认的认证系统及方法 Active CN113645229B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110911430.9A CN113645229B (zh) 2018-06-06 2018-06-06 一种基于可信确认的认证系统及方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202110911430.9A CN113645229B (zh) 2018-06-06 2018-06-06 一种基于可信确认的认证系统及方法
CN201810575105.8A CN108833522B (zh) 2018-06-06 2018-06-06 一种确定节点可信的系统及方法

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CN201810575105.8A Division CN108833522B (zh) 2018-06-06 2018-06-06 一种确定节点可信的系统及方法

Publications (2)

Publication Number Publication Date
CN113645229A true CN113645229A (zh) 2021-11-12
CN113645229B CN113645229B (zh) 2023-04-07

Family

ID=64144065

Family Applications (3)

Application Number Title Priority Date Filing Date
CN201810575105.8A Active CN108833522B (zh) 2018-06-06 2018-06-06 一种确定节点可信的系统及方法
CN202110911706.3A Active CN113645230B (zh) 2018-06-06 2018-06-06 一种节点的可信值分析系统及方法
CN202110911430.9A Active CN113645229B (zh) 2018-06-06 2018-06-06 一种基于可信确认的认证系统及方法

Family Applications Before (2)

Application Number Title Priority Date Filing Date
CN201810575105.8A Active CN108833522B (zh) 2018-06-06 2018-06-06 一种确定节点可信的系统及方法
CN202110911706.3A Active CN113645230B (zh) 2018-06-06 2018-06-06 一种节点的可信值分析系统及方法

Country Status (1)

Country Link
CN (3) CN108833522B (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109164780B (zh) * 2018-11-22 2020-06-16 北京八分量信息科技有限公司 一种基于边缘计算的工业现场设备控制方法、装置及系统
CN109873801B (zh) 2018-12-12 2020-07-24 阿里巴巴集团控股有限公司 在用户和可信计算集群之间建立可信通道的方法、装置、存储介质及计算设备
CN109861980B (zh) 2018-12-29 2020-08-04 阿里巴巴集团控股有限公司 一种建立可信计算集群的方法、装置、存储介质及计算设备
CN110009499B (zh) * 2019-04-17 2021-05-11 北京八分量信息科技有限公司 一种基于区块链和隐藏地址的交易方法及系统
WO2021093486A1 (zh) * 2019-11-11 2021-05-20 华为技术有限公司 远程证明方法、装置，系统及计算机存储介质
CN111600886B (zh) * 2020-05-15 2022-03-08 北京光润通科技发展有限公司 一种加密方法、智能网卡及加密链
CN112187475A (zh) * 2020-09-28 2021-01-05 北京八分量信息科技有限公司 基于可信计算进行多中心记账的方法、装置及相关产品
CN112532600B (zh) * 2020-11-19 2022-08-16 中安可信(青岛)网络科技有限公司 一种数据交换可信的集群系统及可信数据交换方法

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101488851A (zh) * 2009-02-25 2009-07-22 中国人民解放军信息工程大学 一种可信计算中签发身份证明证书的方法及装置
CN102355351A (zh) * 2011-07-21 2012-02-15 华为技术有限公司 一种基于可信计算的密钥生成、备份和迁移方法及系统
CN102594558A (zh) * 2012-01-19 2012-07-18 东北大学 一种可信计算环境的匿名数字证书系统及验证方法
CN103856478A (zh) * 2012-12-06 2014-06-11 阿里巴巴集团控股有限公司 一种可信网络的证书签发、认证方法及相应的设备
CN104184743A (zh) * 2014-09-10 2014-12-03 西安电子科技大学 面向云计算平台的三层认证系统及认证方法
CN105516207A (zh) * 2016-01-28 2016-04-20 浪潮电子信息产业股份有限公司 一种远程认证中证书管理的方法
US20170262657A1 (en) * 2014-11-28 2017-09-14 Thomson Licensing Method and device for providing verifying application integrity
CN107609136A (zh) * 2017-09-19 2018-01-19 北京许继电气有限公司 基于访问特征标示的自主可控数据库审计方法和系统
CN107766724A (zh) * 2017-10-17 2018-03-06 华北电力大学 一种可信计算机平台软件栈功能架构的构建方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7613921B2 (en) * 2005-05-13 2009-11-03 Intel Corporation Method and apparatus for remotely provisioning software-based security coprocessors
DE202011103084U1 (de) * 2011-07-11 2012-10-15 Metrona Wärmemesser Union Gmbh Manipulationsgesicherte Standarddosimetrie für Kabinenluftfiltrationssysteme in Verkehrsmaschinen - statische Dosimetrie in der Tropopausenregion
CN103347073B (zh) * 2013-07-02 2016-04-27 北京大学 一种云管理行为安全控制方法和系统
EP3026557A1 (en) * 2014-11-28 2016-06-01 Thomson Licensing Method and device for providing verifying application integrity
CN105760271A (zh) * 2016-01-28 2016-07-13 浪潮电子信息产业股份有限公司 一种集群模式下计算节点可信状态监控的方法
CN105873031B (zh) * 2016-04-08 2019-03-01 西安电子科技大学 基于可信平台的分布式无人机密钥协商方法

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101488851A (zh) * 2009-02-25 2009-07-22 中国人民解放军信息工程大学 一种可信计算中签发身份证明证书的方法及装置
CN102355351A (zh) * 2011-07-21 2012-02-15 华为技术有限公司 一种基于可信计算的密钥生成、备份和迁移方法及系统
CN102594558A (zh) * 2012-01-19 2012-07-18 东北大学 一种可信计算环境的匿名数字证书系统及验证方法
CN103856478A (zh) * 2012-12-06 2014-06-11 阿里巴巴集团控股有限公司 一种可信网络的证书签发、认证方法及相应的设备
CN104184743A (zh) * 2014-09-10 2014-12-03 西安电子科技大学 面向云计算平台的三层认证系统及认证方法
US20170262657A1 (en) * 2014-11-28 2017-09-14 Thomson Licensing Method and device for providing verifying application integrity
CN105516207A (zh) * 2016-01-28 2016-04-20 浪潮电子信息产业股份有限公司 一种远程认证中证书管理的方法
CN107609136A (zh) * 2017-09-19 2018-01-19 北京许继电气有限公司 基于访问特征标示的自主可控数据库审计方法和系统
CN107766724A (zh) * 2017-10-17 2018-03-06 华北电力大学 一种可信计算机平台软件栈功能架构的构建方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
YUQIONG SUN、CHENG SONG、MENGQIAN LI: ""Design and Implementation of Dual AIK Signing Scheme in Virtual TPM"", 《2010 3RD INTERNATIONAL SYMPOSIUM ON PARALLEL ARCHITECTURES, ALGORITHMS AND PROGRAMMING》 *
崔善童: ""基于改进型可信网络连续的动态网络控制的设计和研究"", 《信息科技》 *

Also Published As

Publication number Publication date
CN108833522A (zh) 2018-11-16
CN113645230B (zh) 2023-04-28
CN113645229B (zh) 2023-04-07
CN108833522B (zh) 2021-06-22
CN113645230A (zh) 2021-11-12

Similar Documents

Publication Publication Date Title
CN113645229B (zh) 一种基于可信确认的认证系统及方法
US11991209B2 (en) System and method for security health monitoring and attestation of virtual machines in cloud computing systems
US10901918B2 (en) Constructing flexibly-secure systems in a disaggregated environment
CN111082940B (zh) 物联网设备控制方法、装置及计算设备、存储介质
EP3443502B1 (en) Remote attestation of cloud infrastructure
US11025415B2 (en) Cryptographic operation method, method for creating working key, cryptographic service platform, and cryptographic service device
CN109657492B (zh) 数据库管理方法、介质及电子设备
US9537898B2 (en) Shared security utility appliance for secure application and data processing
US20180288101A1 (en) Verifying that usage of virtual network function (vnf) by a plurality of compute nodes comply with allowed usage rights
US11082219B2 (en) Detection and protection of data in API calls
US9049232B2 (en) Configurable-quality random data service
US11533304B2 (en) Securing sensitive historian configuration information
US20150365227A1 (en) Shared security utility appliance for secure application and data processing
Kaaniche et al. Security SLA based monitoring in clouds
CN111859379B (zh) 保护数据模型的处理方法和装置
CN114172663A (zh) 基于区块链的业务确权方法及装置、存储介质和电子设备
US11606279B2 (en) Secure heartbeat monitoring
KR101505468B1 (ko) 클라우드 컴퓨팅 환경 내 데이터 비교 처리 방법 및 시스템
JP2002318700A (ja) 仮想計算機システムの運用管理情報提供制御方法および仮想計算機システム
Hauck et al. Challenges and opportunities of cloud computing
Bissiriou et al. Towards secure tag-MapReduce framework in cloud
Li et al. Attack models for big data platform hadoop
Ennahbaoui et al. Secure and flexible grid computing based intrusion detection system using mobile agents and cryptographic traces
US20210390195A1 (en) Method for building a predefined secret value
Idrissi et al. A secure cloud-based IDPS using cryptographic traces and revocation protocol

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant