CN116108447A - 可信证明方法、装置和电子设备 - Google Patents

Abstract

本发明提供一种可信证明方法、装置和电子设备，包括：响应于用户的登录指令，向可信管理平台发送背书密钥；接收可信管理平台发送的用户实例登录成功信息；基于与可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书；接收可信管理平台发送的可信证明请求和度量策略；校验可信证明请求以及分析度量策略，并获取平台身份密钥和平台身份密钥证书；基于度量策略生成应用进程和数据资源的可信信息，基于可信信息和平台身份密钥生成平台配置寄存器摘要报告，以及基于平台身份密钥证书和可信信息生成可信报告；将平台配置寄存器摘要报告和可信报告发送至可信管理平台进行报告验证。本发明用以证明远程计算平台的安全可信。

Description

可信证明方法、装置和电子设备

技术领域

本发明涉及物联网技术领域，尤其涉及一种可信证明方法、装置和电子设备。

背景技术

伴随着物联网技术的飞速发展，人类社会已经开始逐渐步入万物互联的时代。物联网通过信息传感设备，按约定的协议，把任何物品与互联网相连接，进行信息交换和通信，以实现智能化识别、定位、跟踪、监控和管理的一种网络。

随着社会数据化转型的不断加速，多样的设备和异构的应用系统让物联网设备处在复杂的多域环境下，数据跨节点之间流通变为数据资源共享的常态，这打破了各自资源节点的安全边界，物联网跨节点资源访问成为攻击的重灾区，因此，亟需在完成物联网设备的可信接入基础上，证明远程计算平台的安全可信。

发明内容

本发明提供一种可信证明方法、装置和电子设备，用以实现在完成物联网设备的可信接入基础上，证明远程计算平台的安全可信。

本发明提供一种可信证明方法，应用于可信计算平台，所述方法包括：

响应于用户的登录指令，向所述可信管理平台发送背书密钥；

接收所述可信管理平台发送的用户实例登录成功信息；所述用户实例登录成功信息是所述可信管理平台基于背书密钥生成的；

基于所述用户实例登录成功信息进行密钥检查；

基于与所述可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书；

接收可信管理平台发送的可信证明请求和度量策略；所述可信证明请求是远程计算平台发送的；

校验所述可信证明请求以及分析所述度量策略，并获取所述平台身份密钥和所述平台身份密钥证书；

基于所述度量策略生成应用进程和数据资源的可信信息，基于所述可信信息和所述平台身份密钥生成平台配置寄存器摘要报告，以及基于所述平台身份密钥证书和所述可信信息生成可信报告；

将所述平台配置寄存器摘要报告和所述可信报告发送至可信管理平台进行报告验证。

本发明还提供一种可信证明方法，应用于可信管理平台，所述方法包括：

接收可信计算平台发送的背书密钥；

确认所述背书密钥合法，生成所述背书密钥对应的用户实例，并将所述用户实例和所述背书密钥进行联合存储；

确定联合存储完成则生成用户实例登录成功信息，发送所述用户实例登录成功信息至可信计算平台；

基于与所述可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台；

接收远程计算平台发送的可信证明请求，基于所述可信证明请求生成度量策略，将所述可信证明请求和所述度量策略发送至可信管理平台；

接收所述可信计算平台发送的平台配置寄存器摘要报告和可信报告；所述平台配置寄存器摘要报告和所述可信报告是所述可信计算平台基于所述可信证明请求生成的；

基于所述平台身份密钥证书对所述平台配置寄存器摘要报告进

行签名验证，生成第一评估值，基于所述平台身份密钥证书对所述可5信报告进行签名验证，生成第二评估值；

基于所述第一评估值和所述第二评估值生成可信证明报告，发送所述可信证明报告至远程计算平台；所述可信证明报告表征所述可信证明请求具有可信属性。

本发明还提供一种可信证明装置，包括：0第一发送模块，响应于用户的登录指令，向所述可信管理平台发

送背书密钥；

登录成功信息接收模块，用于接收所述可信管理平台发送的用户实例登录成功信息；所述用户实例登录成功信息是所述可信管理平台

基于背书密钥生成的；

5密钥检查模块，用于基于所述用户实例登录成功信息进行密钥检查；

平台身份密钥证书获取模块，用于基于与所述可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书；

可信证明请求接收模块，用于接收可信管理平台发送的可信证明0请求和度量策略；所述可信证明请求是远程计算平台发送的；

平台身份密钥证书确定模块，用于校验所述可信证明请求以及分析所述度量策略，并获取所述平台身份密钥和所述平台身份密钥证书；

报告生成模块，用于基于所述度量策略生成应用进程和数据资源

的可信信息，基于所述可信信息和所述平台身份密钥生成平台配置寄5存器摘要报告，以及基于所述平台身份密钥证书和所述可信信息生成

可信报告；

报告发送模块，用于将所述平台配置寄存器摘要报告和所述可信报告发送至可信管理平台进行报告验证。

本发明还提供一种可信证明装置，包括：

第一接收模块，用于接收可信计算平台发送的背书密钥；

联合存储模块，用于确认所述背书密钥合法，生成所述背书密钥对应的用户实例，并将所述用户实例和所述背书密钥进行联合存储；

登录成功信息发送模块，用于确定联合存储完成则生成用户实例登录成功信息，发送所述用户实例登录成功信息至可信计算平台；

平台身份密钥证书发送模块，用于基于与所述可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台；

可信证明请求发送模块，用于接收远程计算平台发送的可信证明请求，基于所述可信证明请求生成度量策略，将所述可信证明请求和所述度量策略发送至可信管理平台；

报告接收模块，用于接收所述可信计算平台发送的平台配置寄存器摘要报告和可信报告；所述平台配置寄存器摘要报告和所述可信报告是所述可信计算平台基于所述可信证明请求生成的；

评估值生成模块，用于基于所述平台身份密钥证书对所述平台配置寄存器摘要报告进行签名验证，生成第一评估值，基于所述平台身份密钥证书对所述可信报告进行签名验证，生成第二评估值；

可信证明报告发送模块，用于基于所述第一评估值和第二评估值生成可信证明报告，发送所述可信证明报告至远程计算平台；所述可信证明报告表征所述可信证明请求具有可信属性。

本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述可信证明方法。

本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述可信证明方法。

本发明还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上述任一种所述可信证明方法。

本发明提供的可信证明方法、装置和电子设备，通过接收可信管理平台发送的用户实例登录成功信息，实现对用户的身份绑定；通过与所述可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书，实现对可信计算平台的平台认证。通过远程计算平台发送的可信证明请求，生成平台配置寄存器摘要报告和所述可信报告供可信管理平台进行验证，实现对远程计算平台发送的可信证明请求生成度量报告以及进行度量报告验证。从而本发明实施例基于平台认证、身份绑定、生成度量报告、度量报告验证的一系列过程，实现在完成物联网设备的可信接入基础上，证明远程计算平台的安全可信。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明提供的可信证明方法的流程示意图之一；

图2是本发明提供的可信证明方法的流程示意图之二；

图3是本发明提供的可信证明方法的流程示意图之三；

图4是本发明提供的可信证明方法的流程示意图之四；

图5是本发明提供的可信证明装置的结构示意图之一；

图6是本发明提供的可信证明装置的结构示意图之二；

图7是本发明提供的电子设备的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面结合图1-图4描述本发明的可信证明方法。请参照图1，本发明实施例的可信证明方法，应用于可信计算平台，包括：

步骤100、响应于用户的登录指令，向可信管理平台发送背书密钥。

可信计算平台响应于用户的登录指令，向可信管理平台发送背书密钥。需要说明的是，本发明实施例的可信计算平台逻辑上分为计算部件和安全防护部件。其中计算部件包含了用户模块、应用进程、数据资源等，安全防护部件包含可信密码服务模块等。其中用户登录模块包含用户的一系列操作；可信密码服务模块表示密码支撑机制，其中各个主要功能为密码功能的执行模块，可信密码服务模块是需要证明本身可信的模块。

请参照图2，本发明实施例中用户登录操作伴随平台身份密钥生成以及本地密钥集生成过程。在可信计算平台中，用户登录采用的是挑战-应答机制，由计算部件中的用户模块中监听用户行为，用户登录伴随可信计算平台的初始化，可信计算平台触发可信密码服务事件，向可信管理平台发送背书密钥，从而确认背书密钥与可信计算平台的绑定关系。

步骤200、接收可信管理平台发送的用户实例登录成功信息。

可信计算平台接收可信管理平台发送的用户实例登录成功信息。需要说明的是，可信管理平台通过确认背书密钥合法后，生成对应的用户实例，将背书密钥与用户实例信息联合存储，完成设备绑定，生成用户实例登录成功信息。可信计算平台接收到用户实例登录成功信息，即说明完成对用户的身份绑定。

步骤300、基于用户实例登录成功信息进行密钥检查。

请参照图2，可信计算平台基于用户实例登录成功信息进行密钥检查。具体的，用户模块监听到用户实例登录成功信息生成可信密码服务的启动信息，启动信息通过通过密钥管理模块发送到可信密码服务模块，可信密码服务模块中密钥集合检查模块检查密钥集合是否已存在，未存在则启动密钥集生成操作。

步骤400、基于与可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书。

请参照图2，可信计算平台基于与可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书。具体的，可信计算平台向可信管理平台发送平台身份密钥申请。可信管理平台基于平台身份密钥申请进行校验，实现平台身份密钥的签发与验证，可信管理平台发送平台身份密钥证书至可信计算平台，可信计算平台存储平台身份密钥证书。从而实现对可信计算平台的平台认证。

步骤500、接收可信管理平台发送的可信证明请求和度量策略。

请参照图3，可信计算平台接收可信管理平台发送的可信证明请求和度量策略；可信证明请求是远程计算平台发送的。需要说明的是，远程计算平台可以是用户实例或者是平台方需要请求可信计算平台证明可信。远程计算平台先发送可信证明请求至可信管理平台，可信管理平台接收远程计算平台的请求后，通过可信证明管理模块向可信计算平台发送可信证明请求，并发送度量策略。

步骤600、校验可信证明请求以及分析度量策略，并获取平台身份密钥和平台身份密钥证书。

请参照图3，可信计算平台接收到可信管理平台的可信证明消息请求和度量策略后，由安全防护部件中的本地可信证明管理模块接收。本地可信证明管理模块校验可信证明请求，分析度量策略，根据度量策略启动本地可信度量。并请求可信计算平台的证书存储模块返回平台密钥证书。

步骤700、基于度量策略生成应用进程和数据资源的可信信息，基于可信信息和平台身份密钥生成平台配置寄存器摘要报告，以及基于平台身份密钥证书和可信信息生成可信报告。

请参照图3，具体的，可信计算平台基于度量策略启动本地可信度量，对计算部件包含的应用进程和数据资源进行度量，收集他们包含的行为类型、发生时间、以及用户行为组成的可信信息。并基于可信信息和平台身份密钥生成平台配置寄存器摘要报告，以及基于平台身份密钥证书和可信信息生成可信报告。实现对远程计算平台发送的可信证明请求基于平台身份密钥证书生成度量报告以及进行度量报告验证。

步骤800、将平台配置寄存器摘要报告和可信报告发送至可信管理平台进行报告验证。

请参照图3，可信计算平台将平台配置寄存器摘要报告和可信报告发送至可信管理平台进行报告验证。具体的，文件安全处理模块将处理后的平台配置寄存器摘要报告和可信报告返回给可信计算平台的可信计算平台报告管理模块，可信计算平台报告管理模块接收到平台配置寄存器摘要报告和可信报告后，分别转发到对应的报告验证模块进行验证。从而实现对远程计算平台发送的可信证明请求生成度量报告以及进行度量报告验证。

需要说明的是，在文件安全处理模块中，通过封装可信密码模块的基本功能，实现了对系统实体的可信所需的基础组件，这些组件从完成认证到生成度量报告形成审计信息的完整流程。

本发明实施例通过接收可信管理平台发送的用户实例登录成功信息，实现对用户的身份绑定；通过与可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书，实现对可信计算平台的平台认证。通过远程计算平台发送的可信证明请求，生成平台配置寄存器摘要报告和可信报告供可信管理平台进行验证，实现对远程计算平台发送的可信证明请求生成度量报告以及进行度量报告验证。从而本发明实施例基于平台认证、身份绑定、生成度量报告、度量报告验证的一系列过程，实现在完成物联网设备的可信接入基础上，证明远程计算平台的安全可信。

另外，本发明实施例对用户来说，接口简单，大大简化可信证明的接口，具有远程用户与服务(服务包含用户或者平台)可信性化证明、支持用户与节点自动绑定建立关联关系、支持去中心化增强抗干扰防篡改能力、多用户动态并发的特点，自动实现，便于扩展。

在本发明实施例的其他方面，步骤300、基于用户实例登录成功信息进行密钥检查，包括：

步骤310、基于用户实例登录成功信息生成可信密码服务的启动信息。

步骤320、基于启动信息生成平台身份密钥申请消息格式。

请参照图2，具体的，用户模块监听到返回的信息生成可信密码服务的启动信息，将启动信息与用户信息发送到密钥管理模块，确定其所激活的密钥操作行为。密钥管理模块接收到密钥操作的启动信息，生成启动本地密钥生成操作所需的消息格式,由密钥管理模块根据发送的启动信息格式向安全防护部件中的可信密码服务模块发送信息,启动本地密钥生成操作。密钥集合检查模块根据输入的启动信息，确定激活的平台身份密钥证书申请操作。其中平台身份密钥证书申请操作即确认用户与平台的绑定关系。将平台身份密钥申请消息格式发送到平台身份密钥申请端模块。从而基于用户实例登录成功信息，可信计算平台生成平台身份密钥申请消息格式，便于平台身份密钥申请端模块基于平台身份密钥申请消息格式生成平台身份密钥证书申请。

在本发明实施例的其他方面，步骤400、基于与可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书，包括：

步骤410、获取平台身份密钥申请消息格式；

步骤420、基于平台身份密钥申请消息格式和用户信息生成平台身份密钥申请；

步骤430、发送平台身份密钥证书申请至可信管理平台；

步骤440、接收并存储可信管理平台发送的平台身份密钥证书，平台身份密钥证书是可信管理平台基于平台身份密钥证书申请进行平台身份密钥的签发和验证得到的。

平台身份密钥申请端模块根据用户信息和平台身份密钥申请消息格式生成平台身份密钥证书申请，即基于平台身份密钥申请消息格式填写用户信息，生成平台身份密钥证书申请，并将平台身份密钥证书申请发送到可信管理平台。

请参照图3，可信计算平台的平台身份密钥申请端，根据可信管理平台返回的平台身份密钥证书签发包激活平台身份密钥，并将解密的平台身份密钥证书的结构发送到证书验证模块。证书验证模块验证平台身份密钥证书，验证成功后发送到证书存储模块。平台身份密钥证书经过证书存储模块完成证书存储后，生成缺项的密钥生成记录转给本地密钥集验证生成模块，本地密钥集验证生成模块根据本地密钥集合的当前状况，在需要生成密钥时产生密钥生成请求，并与其他模块互动，填充本地密钥集缺失的密码项。可信计算平台通过拥有绑定的平台身份密钥证书，其就可以在分布式场景的任何一个节点中，无障碍地进行认证、授权，从而确保自身在可信的执行环境中完成任务。

其中本地密钥集验证生成模块主要采用国密算法，该组件通过使用TCM(英文全称Trusted Cryptography Module，译为可信密码模块)中随机数产生器、非对称密钥算法引擎(SM2)、对称密钥算法引擎(SM4)和哈希算法引擎(SM3)，生成可信密码服务所需的非对称密钥对(背书密钥、平台身份密钥等)、对称密钥对(存储根密钥SMK等)和各种哈希对象。

在本发明实施例的其他方面，步骤700、并基于可信信息和平台身份密钥生成平台配置寄存器摘要报告，基于平台身份密钥证书和可信信息生成可信报告。包括：将可信信息分别与本地可信基准库和平台配置寄存器比对，并基于平台身份密钥对比对结果执行签名操作，得到平台配置寄存器摘要报告。基于平台身份密钥证书对可信信息进行签名，得到可信报告。

需要说明的是，可信基准库是一个策略库，为可信计算平台中的一些安全机制和安全策略提供可信基准值，在可信计算平台度量本地节点和远程节点时，能够提供可信依据，以此来保证整个机制的可信运行。平台配置寄存器(英文全称Platform ConfigurationRegister，简称PCR)是可信存储根上的一块可以存储数据的硬件模块，主要用途是提供一种密码学记录(度量)软件状态的方法。它主要用例是表示平台软件状态，记录着到现在为止，在平台上运行的关键软件和配置的历史状态。

请参照图3，具体的，计算部件度量模块接收到可信证明请求后，根据度量策略启动本地可信度量，对计算部件包含的应用进程和数据资源进行度量，收集它们包含的行为类型、发生时间、以及用户行为组成的可信信息。计算部件度量模块将收集到的可信信息发到度量验证模块，由度量验证模块后生成本地度量可信信息。证书存储模块接收到可信证明管理模块的请求后，获得本地的平台身份密钥，将平台身份密钥证书发送到签名模块。度量验证模块根据度量记录和可信信息关键值与本地可信基准库进行对比，同时计算可信信息关键信息的摘要值，与本地寄存器(平台配置寄存器)进行对比，对比结果验证成功后通过平台配置寄存器摘要生成与扩展模块扩展到平台配置寄存器中，生成平台配置寄存器摘要报告。同时由签名模块提供的平台身份密钥证书对平台配置寄存器摘要报告进行签名。可信报告生成模

块对本地度量可信信息进行平台身份密钥签名生成可信报告。通过可5信管理平台发送部分度量策略对计算部件的应用进程和数据资源进

行检测，可以有效的实现远程证明。

请参照图4，本发明实施例还提供一种可信证明方法，应用于可信管理平台，方法包括：

步骤900、接收可信计算平台发送的背书密钥。

0步骤1000、确认背书密钥合法，生成背书密钥对应的用户实例，

并将用户实例和背书密钥进行联合存储。

步骤1100、确定联合存储完成则生成用户实例登录成功信息，发送用户实例登录成功信息至可信计算平台。

请参照图2，具体的，可信管理平台接收可信计算平台发送的背5书密钥。通过可信管理平台的可信密码服务模块确认背书密钥合法后，

生成对应的用户实例。将背书密钥与用户实例联合存储到可信管理平台数据库中。确定联合存储成功后，可信管理平台发送用户实例登录成功信息至可信计算平台，可信计算平台基于用户实例登录成功信息确认完成用户身份的绑定。

0步骤1200、基于与可信计算平台的交互信息实现平台身份密钥

的签发与验证，发送平台身份密钥证书至可信计算平台。

请参照图2，可信管理平台基于与可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台。

具体的，可信管理平台接收可信计算平台发送的平台身份密钥申请。5可信管理平台基于平台身份密钥申请进行校验，实现平台身份密钥的签发与验证，可信管理平台发送平台身份密钥证书至可信计算平台，可信计算平台存储平台身份密钥证书。从而实现对可信计算平台的平台认证。

步骤1300、接收远程计算平台发送的可信证明请求，基于可信证明请求生成度量策略，将可信证明请求和度量策略发送至可信管理平台。

请参照图3，可信管理平台接收远程计算平台发送的可信证明请求，基于可信证明请求生成度量策略，将可信证明请求和度量策略发送至可信管理平台。需要说明的是，远程计算平台可以是用户实例或者是平台方需要请求可信计算平台证明可信。远程计算平台先发送可信证明请求至可信管理平台，可信管理平台接收远程计算平台的请求后，通过可信证明管理模块向可信计算平台发送可信证明请求，并发送度量策略。其中，度量策略可以是请求本地用户实例采集关于应用进程(主体)和数据资源(客体)的行为类型、发生时间、以及用户组成的行为信息等可信信息。并通过平台配置寄存器计算摘要值生成度量策略报告，返回完整性可信报告。

步骤1400、接收可信计算平台发送的平台配置寄存器摘要报告和可信报告。

可信管理平台接收可信计算平台发送的平台配置寄存器摘要报告和可信报告。平台配置寄存器摘要报告和可信报告是可信计算平台基于可信证明请求生成的。可信计算平台对远程计算平台发送的可信证明请求基于平台身份密钥证书生成度量报告以及进行度量报告验证。可信管理平台接收平台配置寄存器摘要报告和可信报告以便进行校验。

步骤1500、基于平台身份密钥证书对平台配置寄存器摘要报告进行签名验证，生成第一评估值，基于平台身份密钥证书对可信报告进行签名验证，生成第二评估值。

请参照图3，具体的，平台配置寄存器摘要报告验证模块获取到可信管理平台的平台身份密钥，对签名的平台配置寄存器摘要报告进行校验。平台配置寄存器摘要报告验证模块验证平台配置寄存器摘要报告对应的可信计算平台是否为可信管理平台授权过的计算平台，生成第一评估值。可信报告验证模块同样获取到可信管理平台的平台身份密钥，对可信报告通过对应的度量策略进行校验，生成第二评估值。

步骤1600、基于第一评估值和第二评估值生成可信证明报告，发送可信证明报告至远程计算平台；可信证明报告表征可信证明请求具有可信属性。

请参照图3，可信管理平台基于第一评估值和第二评估值进行验证，两项评估值验证通过后，由可信证明报告生成模块生成可信证明报告。说明远程计算平台的可信证明请求已具有可信的属性。若验证不通过，说明不可信。可信管理平台将可信证明报告发送到文件安全处理模块进行处理。处理结束后，可信管理平台发送可信证明报告至远程计算平台。需要说明的是，可信管理平台还可以发送平台配置寄存器摘要报告和可信报告至远程计算平台。文件处理模块返回远程计算平台时，也会将可信证明报告存储到本地的状态存储与验证模块，方便后期其他模块快速校验。

通过发送用户实例登录成功信息至可信计算平台，实现对用户的身份绑定；通过与可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台，实现对可信计算平台的平台认证。通过将远程计算平台发送的可信证明请求转发至可信计算平台。接收可信计算平台发送的平台配置寄存器摘要报告和可信报告，以便可信管理平台进行验证，实现对远程计算平台发送的可信证明请求生成度量报告以及进行度量报告验证。从而本发明实施例基于平台认证、身份绑定、生成度量报告、度量报告验证的一系列过程，实现在完成物联网设备的可信接入基础上，证明远程计算平台的安全可信。

在本发明实施例的其他方面，步骤1200、基于与可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台；

步骤1210、接收可信计算平台发送的平台身份密钥证书申请。

步骤1220、基于平台身份密钥证书申请进行校验。

步骤1230、获取可信计算平台对应的用户实例，确定用户实例满足预设权限条件，执行平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台。

请参照图3，具体的，可信管理平台接收到平台身份密钥证书申请后，由申请校验模块进行校验。校验完成后，向管理平台数据库申请计算平台的用户实例。管理平台数据库获取到计算平台的用户实例，返回到签发平台身份密钥模块。签发平台身份密钥模块通过收到的用户实例以及标签等信息，满足预设权限条件下，发出授权信息，确认授权规则，生成平台身份密钥并进行签名操作。返回给可信计算平台加密的平台身份密钥证书结构。可信管理平台并将平台身份密钥证书存储到管理平台数据库中。

通过可信管理平台基于平台身份密钥申请进行校验，实现平台身份密钥的签发与验证，可信管理平台发送平台身份密钥证书至可信计算平台，可信计算平台存储平台身份密钥证书。从而实现对可信计算平台的平台认证。

在本发明实施例的其他方面，步骤1500、基于平台身份密钥证书对平台配置寄存器摘要报告进行签名验证，生成第一评估值，基于平台身份密钥证书对可信报告进行签名验证，生成第二评估值，包括：

步骤1510、基于平台身份密钥证书验证平台配置寄存器摘要报告对应的可信计算平台经过授权，得到来源验证报告。

步骤1520、基于来源验证报告生成第一评估值。

具体的，平台配置寄存器摘要报告验证模块获取到可信管理平台的平台身份密钥，对签名的平台配置寄存器摘要报告进行校验。验证是否为可信管理平台授权过的可信计算平台。生成来源验证报告，证明对应平台具有授权过的权限，并具有合法的身份，最后生成平台配置寄存器摘要报告的第一评估值，发送到可信管理平台的可信证明报告生成模块。

步骤1530、基于平台身份密钥证书验证可信报告对应的可信计算平台经过授权，基于可信报告对应的度量策略对可信报告进行校验，得到报告校验值。

步骤1540、确定报告校验值与预设校验值相同，则生成表明可信报告完整性未收到破坏的第二评估值。

可信报告验证模块同样获取到可信管理平台的平台身份密钥，基于平台身份密钥证书验证可信报告对应的可信计算平台经过授权，对可信报告通过对应的度量策略进行校验，得到报告校验值。通过报告校验值与预设校验值对比，证明完整性未收到破坏，生成可信报告的第二评估值。可信管理平台发送第二评估值至可信证明报告生成模块。

步骤1600、基于第一评估值和第二评估值生成可信证明报告，包括：确定第一评估值与第一预设评估值相同，且确定第二评估值与第二预设评估值相同，生成可信证明报告。

具体的，可信管理平台预设有检验平台配置寄存器摘要报告对应的可信计算平台是否经过授权的第一预设评估值。以及可信管理平台预设有证明完整性未收到破坏的第二预设评估值。确定第一评估值与第一预设评估值相同，且确定第二评估值与第二预设评估值相同，生成可信证明报告，则证明远程计算平台的可信证明请求具有可信的属性。实现在完成物联网设备的可信接入基础上，证明远程计算平台的安全可信。

下面对本发明提供的可信证明装置进行描述，下文描述的可信证明装置与上文描述的可信证明方法可相互对应参照。

请参照图5，一种可信证明装置，包括：

第一发送模块201，响应于用户的登录指令，向可信管理平台发送背书密钥；

登录成功信息接收模块202，用于接收可信管理平台发送的用户实例登录成功信息；用户实例登录成功信息是可信管理平台基于背书密钥生成的；

密钥检查模块203，用于基于用户实例登录成功信息进行密钥检查；

平台身份密钥证书获取模块204，用于基于与可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书；

可信证明请求接收模块205，用于接收可信管理平台发送的可信证明请求和度量策略；可信证明请求是远程计算平台发送的；

平台身份密钥证书确定模块206，用于校验可信证明请求以及分析度量策略，并获取平台身份密钥和平台身份密钥证书；

报告生成模块207，用于基于度量策略生成应用进程和数据资源的可信信息，基于可信信息和平台身份密钥生成平台配置寄存器摘要报告，以及基于平台身份密钥证书和可信信息生成可信报告；

报告发送模块208，用于将平台配置寄存器摘要报告和可信报告发送至可信管理平台进行报告验证。

在一个实施例中，密钥检查模块203包括：

启动信息生成模块，用于基于用户实例登录成功信息生成可信密码服务的启动信息；

平台身份密钥申请消息格式生成模块，用于基于启动信息生成平台身份密钥申请消息格式。

在一个实施例中，平台身份密钥证书获取模块204包括：

平台身份密钥申请消息格式获取模块，用于获取平台身份密钥申请消息格式；

平台身份密钥申请生成模块，用于基于平台身份密钥申请消息格式和用户信息生成平台身份密钥申请；

平台身份密钥证书申请发送模块，用于发送平台身份密钥证书申请至可信管理平台；

接收及存储模块，用于接收并存储可信管理平台发送的平台身份密钥证书，平台身份密钥证书是可信管理平台基于平台身份密钥证书申请进行平台身份密钥的签发和验证得到的。

在一个实施例中，报告生成模块207包括：

第一报告生成模块，用于将可信信息分别与本地可信基准库和平台配置寄存器比对，并基于平台身份密钥对比对结果执行签名操作，得到平台配置寄存器摘要报告；

第二报告生成模块，用于基于平台身份密钥证书对可信信息进行签名，得到可信报告。

下面对本发明又提供的一种可信证明装置进行描述，下文描述的可信证明装置与上文描述的可信证明方法可相互对应参照。

请参照图6，一种可信证明装置，包括：

第一接收模块209，用于接收可信计算平台发送的背书密钥；

联合存储模块210，用于确认背书密钥合法，生成背书密钥对应的用户实例，并将用户实例和背书密钥进行联合存储；

登录成功信息发送模块211，用于确定联合存储完成则生成用户实例登录成功信息，发送用户实例登录成功信息至可信计算平台；

平台身份密钥证书发送模块212，用于基于与可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台；

可信证明请求发送模块213，用于接收远程计算平台发送的可信证明请求，基于可信证明请求生成度量策略，将可信证明请求和度量策略发送至可信管理平台；

报告接收模块214，用于接收可信计算平台发送的平台配置寄存器摘要报告和可信报告；平台配置寄存器摘要报告和可信报告是可信计算平台基于可信证明请求生成的；

评估值生成模块215，用于基于平台身份密钥证书对平台配置寄存器摘要报告进行签名验证，生成第一评估值，基于平台身份密钥证书对可信报告进行签名验证，生成第二评估值；

可信证明报告发送模块216，用于基于第一评估值和第二评估值生成可信证明报告，发送可信证明报告至远程计算平台；可信证明报告表征可信证明请求具有可信属性。

在一个实施例中，平台身份密钥证书发送模块212包括：

平台身份密钥证书申请接收模块，用于接收可信计算平台发送的平台身份密钥证书申请；

校验模块，用于基于平台身份密钥证书申请进行校验；

最终发送模块，用于获取可信计算平台对应的用户实例，确定用户实例满足预设权限条件，执行平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台。

在一个实施例中，评估值生成模块215包括：

来源验证报告确定模块，用于基于平台身份密钥证书验证平台配置寄存器摘要报告对应的可信计算平台经过授权，得到来源验证报告；

第一评估值生成模块，用于基于来源验证报告生成第一评估值；

报告校验值确定模块，用于基于平台身份密钥证书验证可信报告对应的可信计算平台经过授权，基于可信报告对应的度量策略对可信报告进行校验，得到报告校验值；

第二评估值生成模块，用于确定报告校验值与预设校验值相同，则生成表明可信报告完整性未收到破坏的第二评估值；

在一个实施例中，可信证明报告发送模块216，具体用于确定第一评估值与第一预设评估值相同，且确定第二评估值与第二预设评估值相同，生成可信证明报告。

图7示例了一种电子设备的实体结构示意图，如图7所示，该电子设备可以包括：处理器(processor)710、通信接口(Communications Interface)720、存储器(memory)730和通信总线740，其中，处理器710，通信接口720，存储器730通过通信总线740完成相互间的通信。处理器710可以调用存储器730中的逻辑指令，以执行可信证明方法，该方法包括：响应于用户的登录指令，向可信管理平台发送背书密钥；接收可信管理平台发送的用户实例登录成功信息；用户实例登录成功信息是可信管理平台基于背书密钥生成的；基于用户实例登录成功信息进行密钥检查；基于与可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书；接收可信管理平台发送的可信证明请求和度量策略；可信证明请求是远程计算平台发送的；校验可信证明请求以及分析度量策略，并获取平台身份密钥和平台身份密钥证书；基于度量策略生成应用进程和数据资源的可信信息，基于可信信息和平台身份密钥生成平台配置寄存器摘要报告，以及基于平台身份密钥证书和可信信息生成可信报告；将平台配置寄存器摘要报告和可信报告发送至可信管理平台进行报告验证。

或者；接收可信计算平台发送的背书密钥；确认背书密钥合法，生成背书密钥对应的用户实例，并将用户实例和背书密钥进行联合存储；确定联合存储完成则生成用户实例登录成功信息，发送用户实例登录成功信息至可信计算平台；基于与可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台；接收远程计算平台发送的可信证明请求，基于可信证明请求生成度量策略，将可信证明请求和度量策略发送至可信管理平台；接收可信计算平台发送的平台配置寄存器摘要报告和可信报告；平台配置寄存器摘要报告和可信报告是可信计算平台基于可信证明请求生成的；基于平台身份密钥证书对平台配置寄存器摘要报告进行签名验证，生成第一评估值，基于平台身份密钥证书对可信报告进行签名验证，生成第二评估值；基于第一评估值和第二评估值生成可信证明报告，发送可信证明报告至远程计算平台；可信证明报告表征可信证明请求具有可信属性。

此外，上述的存储器730中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

另一方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述步骤100至步骤800的可信证明方法，或者实现如上述步骤900至步骤1600的可信证明方法。

又一方面，本发明还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上述步骤100至步骤800的可信证明方法，或者实现如上述步骤900至步骤1600的可信证明方法。

以上所描述的装置实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种可信证明方法，其特征在于，应用于可信计算平台，所述方法包括：

响应于用户的登录指令，向所述可信管理平台发送背书密钥；

接收所述可信管理平台发送的用户实例登录成功信息；所述用户实例登录成功信息是所述可信管理平台基于背书密钥生成的；

基于所述用户实例登录成功信息进行密钥检查；

基于与所述可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书；

接收可信管理平台发送的可信证明请求和度量策略；所述可信证明请求是远程计算平台发送的；

校验所述可信证明请求以及分析所述度量策略，并获取所述平台身份密钥和所述平台身份密钥证书；

基于所述度量策略生成应用进程和数据资源的可信信息，基于所述可信信息和所述平台身份密钥生成平台配置寄存器摘要报告，以及基于所述平台身份密钥证书和所述可信信息生成可信报告；

将所述平台配置寄存器摘要报告和所述可信报告发送至可信管理平台进行报告验证。

2.根据权利要求1所述的可信证明方法，其特征在于，所述基于所述用户实例登录成功信息进行密钥检查，包括：

基于所述用户实例登录成功信息生成可信密码服务的启动信息；

基于所述启动信息生成平台身份密钥申请消息格式。

3.根据权利要求2所述的可信证明方法，其特征在于，所述基于与所述可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书，包括：

获取所述平台身份密钥申请消息格式；

基于所述平台身份密钥申请消息格式和用户信息生成平台身份密钥申请；

发送所述平台身份密钥证书申请至可信管理平台；

接收并存储所述可信管理平台发送的平台身份密钥证书，所述平台身份密钥证书是所述可信管理平台基于所述平台身份密钥证书申请进行平台身份密钥的签发和验证得到的。

4.根据权利要求1所述的可信证明方法，其特征在于，所述基于所述可信信息和所述平台身份密钥生成平台配置寄存器摘要报告，包括：

将所述可信信息分别与本地可信基准库和平台配置寄存器比对，并基于所述平台身份密钥对比对结果执行签名操作，得到平台配置寄存器摘要报告；

所述基于所述平台身份密钥证书和所述可信信息生成可信报告，包括：

基于所述平台身份密钥证书对所述可信信息进行签名，得到所述可信报告。

5.一种可信证明方法，其特征在于，应用于可信管理平台，所述方法包括：

接收可信计算平台发送的背书密钥；

确认所述背书密钥合法，生成所述背书密钥对应的用户实例，并将所述用户实例和所述背书密钥进行联合存储；

确定联合存储完成则生成用户实例登录成功信息，发送所述用户实例登录成功信息至可信计算平台；

基于与所述可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台；

接收远程计算平台发送的可信证明请求，基于所述可信证明请求生成度量策略，将所述可信证明请求和所述度量策略发送至可信管理平台；

接收所述可信计算平台发送的平台配置寄存器摘要报告和可信报告；所述平台配置寄存器摘要报告和所述可信报告是所述可信计算平台基于所述可信证明请求生成的；

基于所述平台身份密钥证书对所述平台配置寄存器摘要报告进行签名验证，生成第一评估值，基于所述平台身份密钥证书对所述可信报告进行签名验证，生成第二评估值；

基于所述第一评估值和所述第二评估值生成可信证明报告，发送所述可信证明报告至远程计算平台；所述可信证明报告表征所述可信证明请求具有可信属性。

6.根据权利要求5所述的可信证明方法，其特征在于，所述基于与所述可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台，包括：

接收可信计算平台发送的平台身份密钥证书申请；

基于所述平台身份密钥证书申请进行校验；

获取所述可信计算平台对应的用户实例，确定所述用户实例满足预设权限条件，执行平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台。

7.根据权利要求5所述的可信证明方法，其特征在于，所述基于所述平台身份密钥证书对所述平台配置寄存器摘要报告进行签名验证，生成第一评估值，包括：

基于所述平台身份密钥证书验证所述平台配置寄存器摘要报告对应的可信计算平台经过授权，得到来源验证报告；

基于所述来源验证报告生成第一评估值；

所述基于所述平台身份密钥证书对所述可信报告进行签名验证，生成第二评估值，包括：

基于所述平台身份密钥证书验证所述可信报告对应的可信计算平台经过授权，基于所述可信报告对应的度量策略对所述可信报告进行校验，得到报告校验值；

确定所述报告校验值与预设校验值相同，则生成表明所述可信报告完整性未收到破坏的第二评估值；

所述基于所述第一评估值和所述第二评估值生成可信证明报告，5包括：

确定所述第一评估值与第一预设评估值相同，且确定所述第二评估值与第二预设评估值相同，生成所述可信证明报告。

8.一种可信证明装置，其特征在于，包括：

第一发送模块，响应于用户的登录指令，向所述可信管理平台发0送背书密钥；

登录成功信息接收模块，用于接收所述可信管理平台发送的用户实例登录成功信息；所述用户实例登录成功信息是所述可信管理平台基于背书密钥生成的；

密钥检查模块，用于基于所述用户实例登录成功信息进行密钥检5查；

平台身份密钥证书获取模块，用于基于与所述可信管理平台的交互信息实现平台身份密钥的签发与验证，存储平台身份密钥证书；

可信证明请求接收模块，用于接收可信管理平台发送的可信证明请求和度量策略；所述可信证明请求是远程计算平台发送的；

0平台身份密钥证书确定模块，用于校验所述可信证明请求以及分析所述度量策略，并获取所述平台身份密钥和所述平台身份密钥证书；

报告生成模块，用于基于所述度量策略生成应用进程和数据资源的可信信息，基于所述可信信息和所述平台身份密钥生成平台配置寄存器摘要报告，以及基于所述平台身份密钥证书和所述可信信息生成5可信报告；

报告发送模块，用于将所述平台配置寄存器摘要报告和所述可信报告发送至可信管理平台进行报告验证。

9.一种可信证明装置，其特征在于，包括：

第一接收模块，用于接收可信计算平台发送的背书密钥；

联合存储模块，用于确认所述背书密钥合法，生成所述背书密钥对应的用户实例，并将所述用户实例和所述背书密钥进行联合存储；

登录成功信息发送模块，用于确定联合存储完成则生成用户实例登录成功信息，发送所述用户实例登录成功信息至可信计算平台；

平台身份密钥证书发送模块，用于基于与所述可信计算平台的交互信息实现平台身份密钥的签发与验证，发送平台身份密钥证书至可信计算平台；

可信证明请求发送模块，用于接收远程计算平台发送的可信证明请求，基于所述可信证明请求生成度量策略，将所述可信证明请求和所述度量策略发送至可信管理平台；

报告接收模块，用于接收所述可信计算平台发送的平台配置寄存器摘要报告和可信报告；所述平台配置寄存器摘要报告和所述可信报告是所述可信计算平台基于所述可信证明请求生成的；

评估值生成模块，用于基于所述平台身份密钥证书对所述平台配置寄存器摘要报告进行签名验证，生成第一评估值，基于所述平台身份密钥证书对所述可信报告进行签名验证，生成第二评估值；

可信证明报告发送模块，用于基于所述第一评估值和第二评估值生成可信证明报告，发送所述可信证明报告至远程计算平台；所述可信证明报告表征所述可信证明请求具有可信属性。

10.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至4，或者权利要求5至7任一项所述可信证明方法。

Images