CN115514584A - 服务器以及金融相关服务器的可信安全认证方法 - Google Patents

Abstract

本发明实施例涉及隐私数据处理技术领域，具体涉及一种服务器以及金融相关服务器的可信安全认证方法，包括：接收第一程序发送的证书写入指令，以获取第一认证证书；确定第一程序是否具有证书写入权限，若是，则将第一认证证书存入安全存储组件的存储区；接收第二程序发送的证书读取指令；确定第二程序是否具有证书读取权限；并依据结果从存储区读取相应的第一认证证书。本发明实施例的技术方案，通过利用认证证书获取服务器支持的身份认证文件的方式，实现客户端与数据库服务器的认证，使得与服务器认证方式不兼容的客户端能够获得相应的认证证书以访问服务器，提高了客户端与服务器交互的兼容性；并在通过安全认证方式提高了数据交互的安全性。

Description

服务器以及金融相关服务器的可信安全认证方法

技术领域

本发明实施例涉及隐私数据处理技术领域，尤其涉及一种服务器以及金融相关服务器的可信安全认证方法。

背景技术

支持英特尔软件防护扩展（Software Guard Extensions，以下简称“SGX”）远程认证协议（SGX remote attestation）的服务器能够从硬件层面保证机密数据不泄漏。而目前支持SGX的客户端软件数量较少，为实现与支持SGX远程认证协议的服务器进行数据交互需要进行数量庞大的软件改造。

发明内容

基于现有技术的上述情况，本发明实施例的目的在于提供一种服务器以及金融相关服务器的可信安全认证方法，以在减少对客户端软件配置的改动的情况下使得客户端软件支持多种远程认证协议，提高了客户端与服务器交互的兼容性，并且采用通过安全认证方式实现认证提高了数据交互的安全性。

为达到上述目的，根据本发明的第一个方面，提供了一种服务器的可信安全认证方法，应用于客户端，所述客户端包含有安全存储组件，所述安全存储组件包含有指定位置对应的存储区以及控制存储区安全写入和安全读取的程序，所述方法包括：

安全存储组件接收第一程序发送的证书写入指令，所述证书写入指令包含有待写入的第一认证证书，所述第一程序用于对服务器的硬件可信环境进行认证，以获取第一认证证书；

安全存储组件确定第一程序是否具有证书写入权限，若是，则将第一认证证书存入安全存储组件的存储区；

安全存储组件接收第二程序发送的证书读取指令，所述证书读取指令包含有待读取的第一认证证书的证书信息；

安全存储组件确定第二程序是否具有证书读取权限；若是，则依据证书信息从存储区读取相应的第一认证证书，并发送给第二程序，以使得第二程序依据第一认证证书与服务器进行认证。

进一步的，所述确定第一程序是否具有证书写入权限，包括以下步骤中的至少一种：

获取写入权限表，并依据写入权限表与第一程序相关的第一身份信息，确定第一程序是否具有证书写入权限；

接收第一程序采用第一私钥进行签名后的第一签名信息，并依据第一私钥对应的第一公钥进行第一验签，以依据第一验签结果确定第一程序是否具有证书写入权限。

进一步的，所述确定第二程序是否具有证书读取权限，包括以下步骤中的至少一种：

获取读取权限表，并依据读取权限表与第二程序相关的第二身份信息，确定第二程序是否具有证书读取权限；

接收第二程序采用第二私钥进行签名后的第二签名信息，并依据第二私钥对应的第二公钥进行第二验签，以依据第二验签结果确定第一程序是否具有证书读取权限。

进一步的，所述方法还包括：

若安全存储组件确定第二程序不具有证书读取权限，则发出权限获取信息；

安全存储组件依据用户的反馈信息，在用户授权时，安全存储组件从存储区读取相应的第一认证证书发送给第二程序，并将第二程序新增到读取权限表。

进一步的，所述依据证书信息从存储区读取相应的第一认证证书，包括：

依据证书信息确定存储区是否存储有第一认证证书；

若是，则从存储区读取第一认证证书；

若否，则进行用户身份验证，并在验证通过后，向第一程序发送第一认证证书的证书获取任务，以使得第一程序依据证书获取任务对服务器进行第一认证，以获取第一认证证书。

进一步的，所述接收第一程序发送的证书写入指令，包括以下步骤中的至少一种：

从本地的第一程序接收证书写入指令；

与第一认证端的第一程序建立连接，并接收采取证书加密密钥加密的证书写入指令，采取证书解密密钥进行解密，得到证书写入指令。

进一步的，所述第一认证证书包括服务器的SGX硬件公钥，所述方法还包括：

第二程序对服务器发出第二认证请求，获取采取服务器的SGX硬件私钥签名的第二认证证书；

依据第一认证证书中服务器的SGX硬件公钥，对签名的第二认证证书进行验签，依据验签结果是否通过，确定是否采用服务器进行数据处理。

根据本发明的第二个方面，提供了一种服务器的可信安全认证方法，应用在服务器，包括：

接收客户端的第一程序的第一认证请求，发送第一认证证书，以使得客户端依据第一认证证书与服务器进行认证；第一认证请求是对服务器的硬件可信环境进行认证的请求；

接收客户端的第二程序的第二认证请求，发送第二认证证书，所述第二认证证书采取服务器的SGX硬件私钥签名，以使得客户端依据第一认证证书中服务器的SGX硬件公钥，对签名的第二认证证书进行验签，并在验签通过后发送待分析数据；

接收客户端的第二程序上传的待分析数据，并进行分析处理，反馈处理结果给客户端的第二程序。

根据本发明的第三个方面，提供了一种金融相关服务器的可信安全认证方法，应用在服务器，包括：

接收客户端的第一程序的第一认证请求，发送第一认证证书，以使得客户端依据第一认证证书与金融相关服务器进行认证；第一认证请求是对金融相关服务器的硬件可信环境进行认证的请求；

接收客户端的第二程序的第二认证请求，发送第二认证证书，所述第二认证证书采取服务器的SGX硬件私钥签名，以使得客户端依据第一认证证书中金融相关服务器的SGX硬件公钥，对签名的第二认证证书进行验签，并在验签通过后发送待分析数据；所述待分析数据包括金融领域相关数据，所述金融相关服务器用于对金融领域相关数据进行分析、转换、加密和存储处理中的至少一项；

接收客户端的第二程序上传的待分析数据，并进行分析处理，反馈处理结果给客户端的第二程序。

根据本发明的第四个方面，提供了一种服务器的可信安全认证装置，应用于客户端，所述客户端包含有安全存储组件，所述安全存储组件包含有指定位置对应的存储区以及控制存储区安全写入和安全读取的程序，所述装置包括：

证书写入指令接收模块，安全存储组件接收第一程序发送的证书写入指令，所述证书写入指令包含有待写入的第一认证证书，所述第一程序用于对服务器的硬件可信环境进行认证，以获取第一认证证书；

证书存储模块，安全存储组件确定第一程序是否具有证书写入权限，若是，则将第一认证证书存入安全存储组件的存储区；

证书读取指令接收模块，安全存储组件接收第二程序发送的证书读取指令，所述证书读取指令包含有待读取的第一认证证书的证书信息；

证书读取模块安全存储组件确定第二程序是否具有证书读取权限；若是，则依据证书信息从存储区读取相应的第一认证证书，并发送给第二程序，以使得第二程序依据第一认证证书与服务器进行认证。

综上所述，本发明实施例提供了一种服务器以及金融相关服务器的可信安全认证方法，包括：安全存储组件接收第一程序发送的证书写入指令，所述证书写入指令包含有待写入的第一认证证书，所述第一程序用于对服务器的硬件可信环境进行认证，以获取第一认证证书；安全存储组件确定第一程序是否具有证书写入权限，若是，则将第一认证证书存入安全存储组件的存储区；安全存储组件接收第二程序发送的证书读取指令，所述证书读取指令包含有待读取的第一认证证书的证书信息；安全存储组件确定第二程序是否具有证书读取权限；若是，则依据证书信息从存储区读取相应的第一认证证书，并发送给第二程序，以使得第二程序依据第一认证证书与服务器进行认证。本发明实施例的技术方案，通过利用认证证书获取服务器支持的身份认证文件的方式，实现客户端与数据库服务器的认证，使得与服务器认证方式不兼容的客户端能够获得相应的认证证书以访问服务器，实现了在对客户端软件配置改动较小的情况下使得客户端软件支持多种远程认证协议，提高了客户端与服务器交互的兼容性，降低了改造客户端程序的成本；并且在获取认证过程中通过安全认证方式提高了数据交互的安全性。

附图说明

图1是本发明一实施例提供的服务器的可信安全认证方法的流程图；

图2是本发明实施例提供的数据库服务器的构成框图；

图3是本发明另一实施例提供的服务器的可信安全认证方法的流程图；

图4是本发明另一实施例提供的服务器的可信安全认证方法的流程图；

图5是本发明实施例提供的金融相关服务器的可信安全认证方法的流程图；

图6是本发明实施例中服务器、认证服务端以及客户端三方进行交互的示意图；

图7是本发明实施例提供的服务器的可信安全认证装置的构成框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式并参照附图，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

需要说明的是，除非另外定义，本发明一个或多个实施例使用的技术术语或者科学术语应当为本公开所属领域内具有一般技能的人士所理解的通常意义。本发明一个或多个实施例中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。

英特尔软件防护扩展（Software Guard Extensions，以下简称“SGX”）是英特尔指令集架构的一个扩展，目的是从硬件实现信息安全。简单来讲就是通过硬件来实现了一个安全的沙盒，沙盒内部的环境中的程序被称为飞地（enclave）程序。enclave程序运行时能保证运行过程中的内存数据不会被操作系统等外部环境窥探，从硬件层面保证机密数据不泄漏。

时序数据是随时间不断产生的一系列数据，简单来说，就是带时间戳的数据。时序数据库 (Time Series Database，TSDB) 是优化用于摄取、处理和存储时间戳数据的数据库，支持时序数据高效读写、高压缩存储、插值和聚合等功能。此类数据可能包括来自服务器和应用程序的指标、来自物联网传感器的读数、网站或应用程序上的用户交互或金融市场上的交易活动。

客户端访问服务端程序提供的服务，首先需要先利用SGX远程认证协议（SGXremote attestation）确认正在访问的服务器硬件和软件是否提供SGX硬件支持，确认服务端程序是否运行在SGX硬件上，只有确认服务端是enclave程序的情况下，客户端才能安全的将机密数据发送给服务端，否则服务器内存仍然可能泄漏机密数据。

Enclave程序相比于传统程序，能够利用SGX硬件提供更高的安全性，但是需要软件对SGX设备和SGX远程认证协议进行适配改造。每次客户端在和服务器建立连接时都需要和服务器进行SGX远程认证，并且只有支持SGX远程认证协议的客户端才能进行SGX远程认证。而目前支持SGX的数据库服务端软件数量少，现存的大多数数据库服务端都还不支持该技术。在时序数据库领域，特别是应用于金融领域时序数据库，还没有一种使用SGX技术提供硬件级别内存安全性的数据库产品。为了利用服务端enclave程序带来的硬件层面的机密数据安全保证，数据库客户端同样需要添加SGX远程认证的支持，目前存在的数据库客户端软件数量比数据库服务端软件数量大得多，即使存在支持SGX技术的数据库服务端存在的情况下，改造数量庞大的数据库客户端软件也会带来巨大的成本。针对上述情形，本发明实施例提供了一种服务器的可信安全认证方法，在对客户端的软件进行尽量小的改造的情况下使得客户端的程序（原不支持SGX认证的程序）可以与支持SGX的数据库服务端进行数据交互。

下面结合附图对本发明的技术方案进行详细说明。本发明实施例提供了一种服务器的可信安全认证方法，应用于客户端，所述客户端包含有安全存储组件，所述安全存储组件包含有指定位置对应的存储区以及控制存储区安全写入和安全读取的程序，其中指定位置对应的存储区是指待存储内容被存储在存储器中而不是缓存中。图1中示出了该方法的流程图，所述方法包括如下步骤：

S102、安全存储组件接收第一程序发送的证书写入指令，所述证书写入指令包含有待写入的第一认证证书，所述第一程序用于对服务器的硬件可信环境进行认证，以获取第一认证证书；其中，第一认证证书包含有服务器的硬件信息、软件框架信息等，第一程序依据硬件信息和软件框架信息与英特尔的认证端进行验证（与从英特尔的认证端获取的可信硬件信息和可信软件框架信息进行匹配），若通过，则第一认证证书有效，进行存储。

该步骤S102中，安全存储组件接收第一程序发送的证书写入指令，可以按照如下步骤进行：

从本地的第一程序接收证书写入指令；

与第一认证端的第一程序建立连接，并接收采取证书加密密钥加密的证书写入指令，采取证书解密密钥进行解密，得到证书写入指令。一方面，第一程序可以是客户端本地的程序，相应的，安全存储组件可以直接从第一程序获取证书写入指令。另一方面，第二程序可以是单独设置在第一认证端（一个单独的用于进行认证的设备）的程序，客户端可以与第一认证端的第一程序建立连接，并接收第一程序传输的证书写入指令，并采用证书解密密钥进行解密。其中证书解密密钥是客户端与第一认证端协商后得到的密钥，可以是对称加密密钥，也可以是非对称加密秘钥（公钥私钥）。

S104、安全存储组件确定第一程序是否具有证书写入权限；若是，则安全存储组件将第一认证证书存入安全存储组件的存储区；若否，则拒绝第一程序的证书写入指令。安全存储组件确定第一程序是否具有证书写入权限，可以根据如下方式进行：

获取写入权限表，并依据写入权限表与第一程序相关的第一身份信息，确定第一程序是否具有证书写入权限；或者，

接收第一程序采用第一私钥进行签名后的第一签名信息，并依据第一私钥对应的第一公钥进行第一验签，以依据第一验签结果确定第一程序是否具有证书写入权限。第一私钥是第一程序自身生成的代表第一程序身份的信息，可以通过私钥签名和公钥验签的方式来确定第一程序的身份，进而确定第一程序是否具有相应的权限。

S106、安全存储组件接收第二程序发送的证书读取指令，所述证书读取指令包含有待读取的第一认证证书的证书信息。

S108、安全存储组件确定第二程序是否具有证书读取权限；若是，则安全存储组件依据证书信息从存储区读取相应的第一认证证书，并发送给第二程序，以使得第二程序依据第一认证证书与服务器进行认证；若否，则拒绝第二程序的证书读取指令，或者获取用户许可。

该步骤S108中，安全存储组件确定第二程序是否具有证书读取权限，可以根据如下方式进行：

获取读取权限表，并依据读取权限表与第二程序相关的第二身份信息，确定第二程序是否具有证书读取权限；其中，写入权限表以及读取权限表可以通过安全存储组件的服务中心下发得到，安全存储组件的服务中心也可以下发更新信息给客户端，以更新客户端中的写入权限表；或者，

接收第二程序采用第二私钥进行签名后的第二签名信息，并依据第二私钥对应的第二公钥进行第二验签，以依据第二验签结果确定第二程序是否具有证书读取权限。第二公钥和第二私钥的处理过程与第一公钥和第二私钥的过程类似，此处不再赘述。

该步骤S108中，安全存储组件依据证书信息从存储区读取相应的第一认证证书，可以按照以下步骤进行：

依据证书信息确定存储区是否存储有第一认证证书；

若是，则从存储区读取第一认证证书；

若否，则进行用户身份验证，例如可以通过指纹、人脸、以及密码认证等，并在验证通过后，向第一程序发送第一认证证书的证书获取任务，以使得第一程序依据该证书获取任务对服务器进行第一认证，以获取第一认证证书。其中，证书获取任务包含有待进行第一认证的服务器的服务器信息，以便第一程序对服务器进行第一认证（例如为可信执行环境的认证）。在客户端的第一程序可以具有多个，本方案可以向多个第一程序分别发送相应的证书获取任务，也可以确定多个第一程序中空闲的第一程序，以向空闲的第一程序发送证书获取任务，以通过空闲的第一程序对服务器进行第一认证。

根据某些可选的实施例，所述方法还包括如下步骤：

若安全存储组件确定第二程序不具有证书读取权限，则发出权限获取信息；

安全存储组件依据用户的反馈信息，在用户授权时，安全存储组件从存储区读取相应的第一认证证书发送给第二程序，并将第二程序新增到读取权限表。

根据某些可选的实施例，所述方法还包括如下步骤：

安全存储组件可以依据第一认证证书的清理规则，清理第一认证证书。第一认证证书可以按照次数进行使用，例如，在使用n次后失效进行清理。第一认证证书也可以设定有效周期（如十分钟），在超过十分钟时清理该证书。需要说明的是，本申请的第一认证证书是存储在存储器中，而部分方案是将第一认证证书存储在缓存中，在客户机发生故障时，缓存中的信息可能会被清理掉，会导致客户端需要重新对服务器进行认证。而本申请将认证证书存储在存储器中，由安全存储组件进行管理，在客户端发生故障之后，存储器中的数据不会被清理。

根据某些可选的实施例，所述第一认证证书还包括服务器的SGX硬件公钥。所述方法还包括如下步骤：

第二程序对服务器发出第二认证请求，获取采取服务器的SGX硬件私钥签名的第二认证证书；其中，该第二认证请求可以在第二程序向安全存储组件获取第一认证证书之前或同时或之后获取；

第二程序依据第一认证证书中服务器的SGX硬件公钥，对签名的第二认证证书进行验签，依据验签结果是否通过，确定是否采用服务器进行数据处理；

若验签结果通过，则采取SGX公钥加密数据后传输给服务器，在服务器的可信执行环境用SGX私钥进行解密后进行数据处理；

若验签结果不通过，则拒绝采用服务器进行数据处理。

本发明的实施例，还提供了一种服务器的可信安全认证方法，该方法应用于服务器。服务器包括第一认证模块、第二认证模块和第一硬件实现模块，其中第一硬件实现模块基于第一认证实现其对应功能。图2中以支持SGX硬件和SGX远程认证协议的时序数据库服务器为例，示出了该服务器的构成框图。如图2所示，服务器为时序数据库服务器，包括用于SGX远程认证的SGX远程认证模块，用于传输层安全性协议（Transport Layer Security，以下简称“TLS”）认证的TLS认证模块。该时序数据库服务器在现有的时序数据库服务器基础之上通过改造软件以支持SGX硬件，在此基础上提供SGX远程认证协议支持，数据库访问依然可以使用TLS技术。TLS是指安全传输层协议（Transport Layer Security，以下简称“TLS”）,用于在两个通信应用程序之间提供保密性和数据完整性。现存的大多数客户端不支持SGX远程认证协议，但基本都支持TLS技术。本发明实施例的技术方案，可以利用单独的SGX远程认证程序来进行SGX远程认证，在SGX远程认证程序确认时序数据库服务端身份的情况下，时序数据库服务端发送自签名电子认证机构,（Certification Authority，以下简称“CA”）证书给SGX远程认证程序，客户端可以从SGX远程认证程序得到一个可用于认证时序数据库服务端身份的CA证书。

图3中示出了该服务器的可信安全认证方法的流程图，该方法应用于服务器，包括如下步骤：

S302、接收客户端的第一程序的第一认证请求，发送第一认证证书，以使得客户端依据第一认证证书与服务器进行认证；第一认证请求是对服务器的硬件可信环境进行认证的请求，可以为SGX远程认证请求。服务器产生第一认证证书可以有不同策略：每次接收第一认证请求时，可以根据请求生成不同的自签名第一认证证书，也可以根据请求生成相同的自签名第一认证证书。还可以同时生成自签名第一认证证书及其对应的有效时间，以使得认证服务端在超过该有效时间时重新发起第一认证请求。

S304、接收客户端的第二程序的第二认证请求，发送第二认证证书，所述第二认证证书采取服务器的SGX硬件私钥签名，以使得客户端依据第一认证证书中服务器的SGX硬件公钥，对签名的第二认证证书进行验签，并在验签通过后发送待分析数据。该第二认证请求可以为TLS认证请求。

S306、接收客户端的第二程序上传的待分析数据，并进行分析处理，反馈处理结果给客户端的第二程序。

在不支持SGX远程认证的客户端访问时序数据库服务端时使用TLS技术，并且使用之前时序数据库服务器发送的自签名CA证书（第一认证证书）作为根证书，可以利用CA证书验证服务器的身份是否是经过SGX远程认证确认的时序数据库服务器。从而通过一个单独的SGX远程认证程序可以使得不支持SGX远程认证协议但支持TLS技术的客户端安全访问支持SGX硬件的时序数据库服务器。

本发明的实施例，还提供了一种服务器的可信安全认证方法，应用于认证服务端，认证服务端上设置有支持SGX远程认证的程序，支持SGX远程认证的程序和不支持SGX远程认证的客户端可以是两个单独的设备，也可以是同一个设备上的两个独立的程序。SGX远程认证程序和客户端的关系可以是一对一，也可以是一对多的关系，即SGX远程认证程序获取的CA证书可以给一个客户端使用，也可以给多个客户端使用。

图4中示出了该服务器的安全认证方法400的流程图，包括如下步骤：

S402、向服务器发送第一认证请求，以使得服务器根据所述请求生成自签名第一认证证书，所述第一认证证书用于该服务器的身份认证。

S404、接收服务器发送的自签名第一认证证书，以使得至少一个客户端通过安全认证方式获取该自签名第一认证证书并利用该自签名第一认证证书访问基于第一认证的服务器。安全认证方式包括：生成第一公钥和第一私钥，并将第一公钥发送至客户端同时接收客户端发送的第二公钥；第二公钥和第二私钥由客户端生成；接收客户端发送的采用第一公钥加密的验证信息；采用第一私钥对该验证信息进行解密后，将第一认证证书和解密的验证信息采用第二公钥加密后发送至客户端，以使得客户端采用第二私钥对该加密的第一认证证书和验证信息进行解密，并对验证信息进行验证后，将第一认证证书存入指定的文件夹。

本发明的实施例还提供了一种金融相关服务器的可信安全认证方法，应用在服务器，所述金融相关服务器用于对金融领域相关数据进行分析、转换、加密以及存储等处理中的至少一项。图5中示出了该数据库的安全认证方法500的流程图，包括如下步骤：

S502、接收客户端的第一程序的第一认证请求，发送第一认证证书，以使得客户端依据第一认证证书与金融相关服务器进行认证；第一认证请求是对金融相关服务器的硬件可信环境进行认证的请求。所述第一认证证书由客户端通过安全认证方式从认证服务端获取。

S504、接收客户端的第二程序的第二认证请求，发送第二认证证书，所述第二认证证书采取服务器的SGX硬件私钥签名，以使得客户端依据第一认证证书中金融相关服务器的SGX硬件公钥，对签名的第二认证证书进行验签，并在验签通过后发送待分析数据；所述待分析数据包括金融领域相关数据。

S506、接收客户端的第二程序上传的待分析数据，并进行分析处理，反馈处理结果给客户端的第二程序。

本发明的实施例，还提供了一种存储医疗数据的服务器的可信安全认证方法，应用在服务器，该方法包括如下步骤：

S602、接收客户端的第一程序的第一认证请求，发送第一认证证书，以使得客户端依据第一认证证书与服务器进行认证；第一认证请求是对服务器的硬件可信环境进行认证的请求。

S604、接收客户端的第二程序的第二认证请求，发送第二认证证书，所述第二认证证书采取服务器的SGX硬件私钥签名，以使得客户端依据第一认证证书中服务器的SGX硬件公钥，对签名的第二认证证书进行验签，并在验签通过后发送待分析数据；所述待分析数据包括医疗领域相关数据。

S606、接收客户端的第二程序上传的待分析数据，并进行分析处理，反馈处理结果给客户端的第二程序。

图6中示出了服务器、认证服务端以及客户端三方进行交互的示意图。如图6所示，设置于认证服务端的独立的SGX远程认证程序向支持SGX硬件服务的服务器发出SGX远程认证请求，基于该SGX远程认证请求，服务器向独立的SGX远程认证程序发送自签名的CA证书；当不支持SGX远程认证的客户端需要与该服务器进行数据交互时，向服务器发出TLS认证请求，并且使用之前服务器发送的自签名CA证书作为根证书，该自签名CA证书通过上述独立的SGX远程认证程序获取，可以利用CA证书验证服务端的身份是否是经过SGX远程认证确认的服务器服务端，从而该不支持SGX远程认证协议但支持TLS技术的的客户端可以实现安全访问支持SGX硬件的服务器服务端。

本发明的实施例，还提供了一种服务器的可信安全认证装置，应用于客户端，图7中示出了该装置的构成框图，所述客户端包含有安全存储组件，所述安全存储组件包含有指定位置对应的存储区以及控制存储区安全写入和安全读取的程序，所述装置包括：

证书写入指令接收模块701，安全存储组件接收第一程序发送的证书写入指令，所述证书写入指令包含有待写入的第一认证证书，所述第一程序用于对服务器的硬件可信环境进行认证，以获取第一认证证书；

证书存储模块702，安全存储组件确定第一程序是否具有证书写入权限，若是，则将第一认证证书存入安全存储组件的存储区；

证书读取指令接收模块703，安全存储组件接收第二程序发送的证书读取指令，所述证书读取指令包含有待读取的第一认证证书的证书信息；

证书读取模块704，安全存储组件确定第二程序是否具有证书读取权限；若是，则依据证书信息从存储区读取相应的第一认证证书，并发送给第二程序，以使得第二程序依据第一认证证书与服务器进行认证。

本发明上述实施例提供的可信安全认证装置中各个模块实现其功能的具体过程与本发明上述实施例提供的可信安全认证方法的各步骤相同，因此，此处将省略其重复描述。

本发明的实施例，还提供了一种电子设备，该电子设备包括：一个或多个处理器和存储器；以及存储在存储器中的计算机程序指令，计算机程序指令在被处理器运行时使得处理器执行如上述任一实施例的可信安全认证方法。处理器可以是中央处理单元（Central Processing Unit，CPU）或者具有数据处理能力和/或指令执行能力的其他形式的处理单元，并且可以控制电子设备中的其他组件以执行期望的功能。

存储器可以包括一个或多个计算机程序产品，计算机程序产品可以包括各种形式的计算机可读存储介质，例如易失性存储器和/或非易失性存储器。易失性存储器例如可以包括随机存取存储器（RAM）和/或高速缓冲存储器（cache）等。非易失性存储器例如可以包括只读存储器（ROM）、硬盘、闪存等。在计算机可读存储介质上可以存储一个或多个计算机程序指令，处理器可以运行程序指令，以实现上文的本发明的各个实施例的可信安全认证方法中的步骤以及/或者其他期望的功能。

在一些实施例中，电子设备还可以包括：输入装置和输出装置，这些组件通过总线系统和/或其他形式的连接机构互连。例如，在该电子设备是单机设备时，该输入装置可以是通信网络连接器，用于从外部的可移动设备接收所采集的输入信号。此外，该输入设备还可以包括例如键盘、鼠标、麦克风等。该输出装置可以向外部输出各种信息，例如可以包括例如显示器、扬声器、打印机、以及通信网络及其所连接的远程输出设备等。

除了上述方法和设备以外，本发明的实施例还可以是计算机程序产品，包括计算机程序指令，计算机程序指令在被处理器运行时使得处理器执行如上述任一实施例的可信安全认证方法中的步骤。

计算机程序产品可以以一种或多种程序设计语言的任意组合来编写用于执行本发明实施例操作的程序代码，程序设计语言包括面向对象的程序设计语言，诸如Java、C++等，还包括常规的过程式程序设计语言，诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。

此外，本发明的实施例还可以是计算机可读存储介质，其上存储有计算机程序指令，计算机程序指令在被处理器运行时使得处理器执行本发明的各个实施例的可信安全认证方法中的步骤。

计算机可读存储介质可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以包括但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子（非穷举的列表）包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。

应理解，本发明实施例中的处理器可以为中央处理单元（Central ProcessingUnit，CPU），该处理器还可以是其他通用处理器、数字信号处理器（Digital SignalProcessor，DSP）、专用集成电路（Application Specific Integrated Circuit，ASIC）、现成可编程门阵列（Field Programmable Gate Array，FPGA）或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

综上所述，本发明实施例涉及一种服务器以及金融相关服务器的可信安全认证方法，包括：安全存储组件接收第一程序发送的证书写入指令，所述证书写入指令包含有待写入的第一认证证书，所述第一程序用于对服务器的硬件可信环境进行认证，以获取第一认证证书；安全存储组件确定第一程序是否具有证书写入权限，若是，则将第一认证证书存入安全存储组件的存储区；安全存储组件接收第二程序发送的证书读取指令，所述证书读取指令包含有待读取的第一认证证书的证书信息；安全存储组件确定第二程序是否具有证书读取权限；若是，则依据证书信息从存储区读取相应的第一认证证书，并发送给第二程序，以使得第二程序依据第一认证证书与服务器进行认证。本发明实施例的技术方案，通过利用认证证书获取服务器支持的身份认证文件的方式，实现客户端与数据库服务器的认证，使得与服务器认证方式不兼容的客户端能够获得相应的认证证书以访问服务器，实现了在不更改客户端软件配置的情况下使得客户端软件支持多种远程认证协议，提高了客户端与服务器交互的兼容性，降低了改造客户端程序的成本；并且在获取认证过程中通过安全认证方式提高了数据交互的安全性。

应当理解的是，以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明的范围（包括权利要求）被限于这些例子；在本发明的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本发明一个或多个实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (10)

1.一种服务器的可信安全认证方法，其特征在于，应用于客户端，所述客户端包含有安全存储组件，所述安全存储组件包含有指定位置对应的存储区以及控制存储区安全写入和安全读取的程序，所述方法包括：

安全存储组件接收第一程序发送的证书写入指令，所述证书写入指令包含有待写入的第一认证证书，所述第一程序用于对服务器的硬件可信环境进行认证，以获取第一认证证书；

安全存储组件确定第一程序是否具有证书写入权限，若是，则将第一认证证书存入安全存储组件的存储区；

安全存储组件接收第二程序发送的证书读取指令，所述证书读取指令包含有待读取的第一认证证书的证书信息；

安全存储组件确定第二程序是否具有证书读取权限；若是，则依据证书信息从存储区读取相应的第一认证证书，并发送给第二程序，以使得第二程序依据第一认证证书与服务器进行认证。

2.根据权利要求1所述的方法，其特征在于，所述确定第一程序是否具有证书写入权限，包括以下步骤中的至少一种：

获取写入权限表，并依据写入权限表与第一程序相关的第一身份信息，确定第一程序是否具有证书写入权限；

接收第一程序采用第一私钥进行签名后的第一签名信息，并依据第一私钥对应的第一公钥进行第一验签，以依据第一验签结果确定第一程序是否具有证书写入权限。

3.根据权利要求1所述的方法，其特征在于，所述确定第二程序是否具有证书读取权限，包括以下步骤中的至少一种：

获取读取权限表，并依据读取权限表与第二程序相关的第二身份信息，确定第二程序是否具有证书读取权限；

接收第二程序采用第二私钥进行签名后的第二签名信息，并依据第二私钥对应的第二公钥进行第二验签，以依据第二验签结果确定第一程序是否具有证书读取权限。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

若安全存储组件确定第二程序不具有证书读取权限，则发出权限获取信息；

安全存储组件依据用户的反馈信息，在用户授权时，安全存储组件从存储区读取相应的第一认证证书发送给第二程序，并将第二程序新增到读取权限表。

5.根据权利要求1所述的方法，其特征在于，所述依据证书信息从存储区读取相应的第一认证证书，包括：

依据证书信息确定存储区是否存储有第一认证证书；

若是，则从存储区读取第一认证证书；

若否，则进行用户身份验证，并在验证通过后，向第一程序发送第一认证证书的证书获取任务，以使得第一程序依据证书获取任务对服务器进行第一认证，以获取第一认证证书。

6.根据权利要求1所述的方法，其特征在于，所述接收第一程序发送的证书写入指令，包括以下步骤中的至少一种：

从本地的第一程序接收证书写入指令；

与第一认证端的第一程序建立连接，并接收采取证书加密密钥加密的证书写入指令，采取证书解密密钥进行解密，得到证书写入指令。

7.根据权利要求1所述的方法，其特征在于，所述第一认证证书包括服务器的SGX硬件公钥，所述方法还包括：

第二程序对服务器发出第二认证请求，获取采取服务器的SGX硬件私钥签名的第二认证证书；

依据第一认证证书中服务器的SGX硬件公钥，对签名的第二认证证书进行验签，依据验签结果是否通过，确定是否采用服务器进行数据处理。

8.一种服务器的可信安全认证方法，其特征在于，应用在服务器，包括：

接收客户端的第一程序的第一认证请求，发送第一认证证书，以使得客户端依据第一认证证书与服务器进行认证；第一认证请求是对服务器的硬件可信环境进行认证的请求；

接收客户端的第二程序的第二认证请求，发送第二认证证书，所述第二认证证书采取服务器的SGX硬件私钥签名，以使得客户端依据第一认证证书中服务器的SGX硬件公钥，对签名的第二认证证书进行验签，并在验签通过后发送待分析数据；

接收客户端的第二程序上传的待分析数据，并进行分析处理，反馈处理结果给客户端的第二程序。

9.一种金融相关服务器的可信安全认证方法，其特征在于，应用在服务器，包括：

接收客户端的第一程序的第一认证请求，发送第一认证证书，以使得客户端依据第一认证证书与金融相关服务器进行认证；第一认证请求是对金融相关服务器的硬件可信环境进行认证的请求；

接收客户端的第二程序的第二认证请求，发送第二认证证书，所述第二认证证书采取服务器的SGX硬件私钥签名，以使得客户端依据第一认证证书中金融相关服务器的SGX硬件公钥，对签名的第二认证证书进行验签，并在验签通过后发送待分析数据；所述待分析数据包括金融领域相关数据，所述金融相关服务器用于对金融领域相关数据进行分析、转换、加密和存储处理中的至少一项；

接收客户端的第二程序上传的待分析数据，并进行分析处理，反馈处理结果给客户端的第二程序。

10.一种服务器的可信安全认证装置，其特征在于，应用于客户端，所述客户端包含有安全存储组件，所述安全存储组件包含有指定位置对应的存储区以及控制存储区安全写入和安全读取的程序，所述装置包括：

证书写入指令接收模块，安全存储组件接收第一程序发送的证书写入指令，所述证书写入指令包含有待写入的第一认证证书，所述第一程序用于对服务器的硬件可信环境进行认证，以获取第一认证证书；

证书存储模块，安全存储组件确定第一程序是否具有证书写入权限，若是，则将第一认证证书存入安全存储组件的存储区；

证书读取指令接收模块，安全存储组件接收第二程序发送的证书读取指令，所述证书读取指令包含有待读取的第一认证证书的证书信息；

证书读取模块安全存储组件确定第二程序是否具有证书读取权限；若是，则依据证书信息从存储区读取相应的第一认证证书，并发送给第二程序，以使得第二程序依据第一认证证书与服务器进行认证。

Images