CN117395655A - 一种5g mec可信证书链扩展方法及系统 - Google Patents

Abstract

本发明涉及计算机领域，提供了一种5G MEC可信证书链扩展方法及系统。该方法包括：可信平台模块生成第一身份密钥，向隐私证书颁发机构发送第一身份密钥的第一证书请求；隐私证书颁发机构根据第一证书请求，为第一身份密钥签发第一证书；虚拟可信平台管理模块生成第二身份密钥，向隐私证书颁发机构发送第二身份密钥的第二证书请求；隐私证书颁发机构根据第二证书请求，为第二身份密钥签发第二证书；虚拟可信平台实例模块生成第三身份密钥，向虚拟可信平台管理模块发送第三身份密钥的第三证书请求；虚拟可信平台管理模块根据第三证书请求，为第三身份密钥签发第三证书。通过本发明，减轻隐私证书颁发机构负担，实现可信证书链扩展。

Description

一种5G MEC可信证书链扩展方法及系统

技术领域

本发明涉及计算机领域，尤其涉及一种5G MEC可信证书链扩展方法及系统。

背景技术

每个可信平台模块（Trusted Platform Module，TPM）都拥有唯一的背书密钥（Endorsement Key，EK），在生产TPM时生成，能够代表TPM的真实身份，具有可信性。TPM内部保存着可信第三方颁发的EK证书，然而，在使用EK的过程中可能会暴露与其相关的隐私信息。因此，为了保证平台的安全性和隐私性，对外证明平台身份时，一般使用身份认证密钥（Attestation Identity Key，AIK）来替代EK，AIK是利用EK生成的平台身份证明密钥，由于EK具有可信性，且信任拥有传递性，因此AIK也具有可信性。在基于硬件TPM实现对平台的可信报告时，关键步骤是使用AIK对平台配置寄存器（Platform Configuration Register,PCR进行引证（Quote操作）操作，引证操作的关键步骤是使用AIK对PCR值的摘要进行签名，以证明平台的可信性和完整性。

可计算组织（Trusted Computing Group，TCG）给出了AIK的使用规范：（1）物理TPM的AIK只能在物理TPM芯片内部使用；（2）AIK只能对TPM内部产生的数据进行签名，对于非TPM内部产生的数据，AIK无法对其进行签名。

在5G MEC场景中，有对多接入边缘计算（Multi-Access Edge Computing，MEC）容器进行远程证明的需求，即需要利用虚拟可信平台实例模块（vTPM实例）实现对MEC容器的可信报告，因此vTPM实例需要拥有可信的vAIK。而在vTPM实例中，vAIK的使用要遵守TCG规范，因此虚拟身份认证密钥vAIK只能在vTPM内部使用，对vTPM实例内部产生的数据进行签名。但vTPM实例基于软件实现，没有硬件级的可信保护，因此其不具有可信的vEK，进而无法生成可信的vAIK。因此需要实现从TPM到vTPM实例的可信证书链扩展，将TPM的可信传递到vTPM实例。而现有的关于vTPM的可信证书链扩展方法普遍存在PCA（PrivacyCertification Authority，隐私证书颁发机构）负担重的问题。通常情况下，PCA对域内的所有MEC主机和MEC容器负责，即对所有的vTPM实例提供可信证书链扩展，如果不加以改进，PCA就需要处理大量的证书相关服务，在高负载的情况下可能会遇到计算和存储资源不足的问题，导致服务质量下降或服务中断，影响MEC系统的可用性。

发明内容

为实现可信证书链的扩展，减轻隐私证书颁发机构的负担，本发明提出了一种5GMEC可信证书链扩展方法及系统。

第一方面，本发明提供了一种5G MEC可信证书链扩展方法，应用于5G MEC可信证书链扩展系统，系统包括可信平台模块、虚拟可信平台管理模块、虚拟可信平台实例模块和隐私证书颁发机构，该方法包括：

可信平台模块生成第一身份密钥，并向隐私证书颁发机构发送第一身份密钥的第一证书请求；

隐私证书颁发机构根据第一证书请求，为第一身份密钥签发第一证书；

虚拟可信平台管理模块生成第二身份密钥，并向隐私证书颁发机构发送第二身份密钥的第二证书请求；

隐私证书颁发机构根据第二证书请求向可信平台模块发送证书证据请求，以使可信平台模块根据证书证据请求向隐私证书颁发机构发送证书证据，证书证据包括第一证书；根据证书证据，为第二身份密钥签发第二证书；

虚拟可信平台实例模块生成第三身份密钥，并向虚拟可信平台管理模块发送第三身份密钥的第三证书请求；

虚拟可信平台管理模块根据第三证书请求，通过第二身份密钥为第三身份密钥签发第三证书。

考虑到相关技术中，虚拟可信平台实例模块的可信证书链扩展是通过隐私证书颁发机构负责的，而虚拟可信平台实例模块需要频繁申请或者销毁可信证书，由此带来了隐私证书颁发机构负担过重的问题，通过上述方法，隐私证书颁发机构只负责可信平台模块、虚拟可信平台管理模块的证书生成，不参与虚拟可信平台实例模块的证书生成过程，虚拟可信平台实例模块的证书通过虚拟可信平台管理模块负责，减轻了隐私证书颁发机构的工作负担，提高隐私证书颁发机构的服务质量，进而保障5G MEC系统的可用性。

在一种可选的实施方式中，系统还包括证书代理；

证书代理使用对称密钥对可信平台模块的第一证书请求进行加密，得到加密后的第一证书请求；根据隐私证书颁发机构的公钥对对称密钥进行加密，得到加密后的对称密钥；将加密后的对称密钥和加密后的第一证书请求发送隐私证书颁发机构；

隐私证书颁发机构根据隐私证书颁发机构的私钥对加密后的对称密钥进行解密得到对称密钥；通过对称密钥对加密后的第一证书请求进行解密得到第一证书请求；根据第一证书请求，为第一身份密钥签发第一证书；

虚拟可信平台管理模块通过证书代理，向隐私证书颁发机构发送第二身份密钥的第二证书请求。

在一种可选的实施方式中，证书证据请求中包括隐私证书颁发机构中的随机数和虚拟可信平台管理模块的度量值标识，证书证据还包括摘要值，摘要值是根据随机数和度量值标识对应的度量值生成的，根据证书证据，为第二身份密钥签发第二证书的步骤，包括：

隐私证书颁发机构根据第一证书和摘要值，验证虚拟可信平台管理模块是否可信，在确定虚拟可信平台管理模块可信后，为第二身份密钥签发第二证书。

在一种可选的实施方式中，虚拟可信平台实例模块生成第三身份密钥步骤之前，方法还包括：

虚拟可信平台实例模块生成第四身份密钥；

虚拟可信平台管理模块为第四身份密钥签发第四证书，第四证书用于生成第三证书。

在一种可选的实施方式中，虚拟可信平台管理模块为第四身份密钥签发第四证书，包括：

虚拟可信平台管理模块通过第二身份密钥中的私钥为第四身份密钥中的公钥签发第四证书。

在一种可选的实施方式中，虚拟可信平台实例模块生成第三身份密钥，包括：

虚拟可信平台实例模块使用第四身份密钥，生成第三身份密钥。

在一种可选的实施方式中，第三证书请求中包括第四证书、第三身份密钥中的公钥和第三身份密钥对应的身份绑定信息，虚拟可信平台管理模块根据第三证书请求，通过第二身份密钥为第三身份密钥签发第三证书，包括：

虚拟可信平台管理模块根据第四证书、第三身份密钥中的公钥和第三身份密钥对应的身份绑定信息，判断第三身份密钥和第四身份密钥是否属于同一虚拟可信平台实例模块，当第三身份密钥和第四身份密钥属于同一虚拟可信平台实例模块时，通过第二身份密钥中的私钥为第三身份密钥中的公钥签发第三证书。

第二方面，本发明还提供了一种5G MEC可信证书链扩展系统，该系统包括可信平台模块、虚拟可信平台管理模块、虚拟可信平台实例模块和隐私证书颁发机构，

可信平台模块生成第一身份密钥，并向隐私证书颁发机构发送第一身份密钥的第一证书请求；

隐私证书颁发机构根据第一证书请求，为第一身份密钥签发第一证书；

虚拟可信平台管理模块生成第二身份密钥，并向隐私证书颁发机构发送第二身份密钥的第二证书请求；

隐私证书颁发机构根据第二证书请求向可信平台模块发送证书证据请求，以使可信平台模块根据证书证据请求向隐私证书颁发机构发送证书证据，证书证据包括第一证书；根据证书证据，为第二身份密钥签发第二证书；

虚拟可信平台实例模块生成第三身份密钥，并向虚拟可信平台管理模块发送第三身份密钥的第三证书请求；

虚拟可信平台管理模块根据第三证书请求，通过第二身份密钥为第三身份密钥签发第三证书。

考虑到相关技术中，虚拟可信平台实例模块的可信证书链扩展是通过隐私证书颁发机构负责的，而虚拟可信平台实例模块需要频繁申请或者销毁可信证书，由此带来了隐私证书颁发机构负担过重的问题，通过上述系统，隐私证书颁发机构只负责可信平台模块、虚拟可信平台管理模块的证书生成，不参与虚拟可信平台实例模块的证书生成过程，虚拟可信平台实例模块的证书通过虚拟可信平台管理模块负责，减轻了隐私证书颁发机构的工作负担，提高隐私证书颁发机构的服务质量，进而保障MEC系统的可用性。

第三方面，本发明还提供了一种计算机设备，包括存储器和处理器，存储器和处理器之间互相通信连接，存储器中存储有计算机指令，处理器通过执行计算机指令，从而执行第一方面或第一方面的任一实施方式的5G MEC可信证书链扩展方法的步骤。

第四方面，本发明还提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现第一方面或第一方面的任一实施方式的5G MEC可信证书链扩展方法的步骤。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据一示例性实施例提出的一种5G MEC可信证书链扩展方法的流程图；

图2是在一示例中，5G MEC可信证书链扩展系统的结构框图；

图3是在一示例中，5G MEC系统的整体结构示意图；

图4是在一示例中，第一证书的签发过程图；

图5是在一示例中，第二证书的签发过程图；

图6是在一示例中，第三证书的签发过程图；

图7是根据一示例性实施例提出的一种计算机设备的硬件结构示意图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

此外，下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

为实现可信证书链的扩展，减轻隐私证书颁发机构的负担，本发明提出了一种5GMEC可信证书链扩展方法及系统。

图1是根据一示例性实施例提出的一种5G MEC可信证书链扩展方法的流程图。该方法应用于5G MEC可信证书链扩展系统，系统包括可信平台模块1、虚拟可信平台管理模块2、虚拟可信平台实例模块3和隐私证书颁发机构4，图2为该系统的结构框图。如图1所示，5GMEC可信证书链扩展方法包括如下步骤S101至S106。

步骤S101：可信平台模块1生成第一身份密钥，并向隐私证书颁发机构4发送第一身份密钥的第一证书请求。

在一可选实施例中，第一身份密钥为可信平台模块1中的AIK密钥，第一身份密钥包括AIK密钥的公私钥对，/>为AIK密钥公钥，/>为AIK密钥私钥。

在一可选实施例中，可信平台模块1通过证书代理向隐私证书颁发机构4发送第一证书请求。证书代理可以用于对第一证书请求进行加密，将加密后的第一证书请求发送至隐私证书颁发机构4。

在一可选实施例中，第一证书请求中包括证书请求证据，该证书请求证据中包括第一身份密钥的身份绑定信息、第一身份密钥的公钥以及AIK密钥对应的EK密钥对应的证书。

步骤S102：隐私证书颁发机构4根据第一证书请求，为第一身份密钥签发第一证书。

在一可选实施例中，隐私证书颁发机构4在收到第一证书请求后进行解析，确认是第一身份密钥（AIK密钥）的证书请求后，对第一证书请求中的证书请求证据进行验证，如果验证通过，则为第一身份密钥（AIK密钥）生成第一证书。

在一可选实施例中，第一证书中包括隐私证书颁发机构4使用私钥对第一证书中摘要的签名。

步骤S103：虚拟可信平台管理模块2生成第二身份密钥，并向隐私证书颁发机构4发送第二身份密钥的第二证书请求。

在一可选实施例中，第二身份密钥为虚拟可信平台管理模块2中的EK密钥，第二身份密钥包括虚拟可信平台管理模块2中EK密钥的公私钥对，其中为公钥，/>为私钥。

在一可选实施例中，虚拟可信平台管理模块2生成第二身份密钥的过程被度量且生成度量日志，该过程的度量值被扩展到了平台配置寄存器（Platform ConfigurationRegister，PCR）中。该度量值被包含在可信平台模块发送的证书证据中。

在一可选实施例中，第二证书请求包括第二身份密钥中的公钥。

步骤S104：隐私证书颁发机构4根据第二证书请求向可信平台模块1发送证书证据请求，以使可信平台模块1根据证书证据请求向隐私证书颁发机构4发送证书证据，证书证据包括第一证书；根据证书证据，为第二身份密钥签发第二证书。

在一可选实施例中，证书证据请求包括隐私证书颁发机构4生成的随机数和虚拟可信平台管理模块2的度量值标识。

在一可选实施例中，证书证据包括第一证书和摘要值。摘要值是根据隐私证书颁发机构4生成的随机数和度量值标识对应的度量值生成的。根据第一证书和摘要值，验证虚拟可信平台管理模块2是否可信，当虚拟可信平台管理模块2可信时，为第二身份密钥签发第二证书。

步骤S105：虚拟可信平台实例模块3生成第三身份密钥，并向虚拟可信平台管理模块2发送第三身份密钥的第三证书请求。

在一可选实施例中，第三身份密钥为虚拟可信平台实例模块3的vAIK密钥，第三身份密钥包括vAIK密钥的公私钥对，其中/>为vAIK密钥的公钥，为vAIK密钥的私钥。

在一可选实施例中，第三证书请求包括第三身份密钥的证书请求证据，即，示例性地，证书请求证据可以包括第三身份密钥的身份绑定信息、第三身份密钥的公钥等。

步骤S106：虚拟可信平台管理模块2根据第三证书请求，通过第二身份密钥为第三身份密钥签发第三证书。

在一可选实施例中，虚拟可信平台管理模块2通过第二身份密钥中的私钥为第三身份密钥的公钥签发第三证书。

考虑到相关技术中，虚拟可信平台实例模块3的可信证书链扩展是通过隐私证书颁发机构4负责的，而虚拟可信平台实例模块3需要频繁申请或者销毁可信证书，由此带来了隐私证书颁发机构4负担过重的问题，通过上述方法，隐私证书颁发机构4只负责可信平台模块1、虚拟可信平台管理模块2的证书生成，不参与虚拟可信平台实例模块3的证书生成过程，虚拟可信平台实例模块3的证书由虚拟可信平台管理模块2负责，减轻了隐私证书颁发机构4的工作负担，提高隐私证书颁发机构4的服务质量，进而保障5G MEC系统的可用性。

图3为5G MEC系统的整体结构示意图。5G MEC系统包括MEC主机和MEC管理器。MEC主机分为硬件层、内核层和用户层。其中，硬件层包括TPM芯片（可信平台模块1），内核层包括vTPM管理域（虚拟可信平台管理模块2）和vTPM实例域，vTPM实例域包括多个vTPM实例（虚拟可信平台实例模块3），用户层包括容器管理器、多个容器和证书代理。MEC管理器包括PCA（隐私证书颁发机构4）和TPM芯片。

在图3中，证书代理使用对称密钥对可信平台模块1的第一证书请求进行加密，得到加密后的第一证书请求；根据隐私证书颁发机构4的公钥对对称密钥进行加密，得到加密后的对称密钥；将加密后的对称密钥和加密后的第一证书请求发送隐私证书颁发机构4。

隐私证书颁发机构4根据隐私证书颁发机构4的私钥对加密后的对称密钥进行解密得到对称密钥；通过对称密钥对加密后的第一证书请求进行解密得到第一证书请求；根据第一证书请求，为第一身份密钥签发第一证书。通过使用对称密钥对第一证书请求进行加密，然后使用隐私证书颁发机构4的公钥保护对称密钥，有效地防止了隐私信息的泄露，提高了系统的安全性。

虚拟可信平台管理模块2通过证书代理，向隐私证书颁发机构4发送第二身份密钥的第二证书请求。此时证书代理也可以对第二证书请求进行加密，将加密后的第二证书发送给隐私证书颁发机构4。

图4是第一证书的签发过程图。该过程具体包括如下步骤：

步骤a1：可信平台模块1生成第一身份密钥（AIK密钥），第一身份密钥包括AIK公私钥对，/>为AIK公钥，/>为AIK私钥；同时生成第一证书（AIK证书）请求，第一证书请求包括可信平台模块1的证书请求证据/>，包括AIK密钥的身份绑定信息/>、AIK公钥/>和可信平台模块1的EK证书/>。

步骤a2：证书代理使用可信平台模块1创建的对称密钥对证书请求证据进行加密，得到加密后的/>；使用隐私证书颁发机构4中的公钥加密/>，得到/>；将/>和/>发送至隐私证书颁发机构4。该步骤的过程表示如下：

其中，CAg为证书代理，PCA为隐私证书颁发机构4。

步骤a3：隐私证书颁发机构4收到第一证书请求后进行解析，确认是AIK证书请求后，使用隐私证书颁发机构4的私钥解密，从而得到第一证书请求中的证书请求证据，同时对证据/>进行验证，如果验证通过，则为第一身份密钥生成第一证书（AIK证书）/>，第一证书中包含隐私证书颁发机构4使用私钥对第一证书中摘要的签名。

步骤a4：隐私证书颁发机构4将第一证书发送至证书代理，该过程表示如下：

步骤a5：证书代理使用隐私证书颁发机构4的公钥验证中的签名，确定证书有效后存储第一证书/>。

在一示例中，证书证据请求中包括隐私证书颁发机构4中的随机数和虚拟可信平台管理模块2的度量值标识，证书证据还包括摘要值，摘要值是根据随机数和度量值标识对应的度量值生成的，在上述步骤S104中，通过如下内容签发第二证书：

隐私证书颁发机构4根据第一证书和摘要值，验证虚拟可信平台管理模块2是否可信，在确定虚拟可信平台管理模块2可信后，为第二身份密钥签发第二证书。

在本发明实施例中，在获取第二证书的过程中，加入随机数作为虚拟可信平台管理模块2是否可信的依据，以抵抗重放攻击。

图5为第二证书的签发过程图。该过程包括如下步骤：

步骤b1：虚拟可信平台管理模块2生成第二身份密钥(cEK密钥)，cEK密钥为公私钥对，其中/>为cEK公钥，/>为cEK私钥。同时，生成第二身份密钥的过程被度量且记录生成了度量日志，生成的度量值和度量日志SML被扩展到PCR中的。

步骤b2：证书代理获取cEK公钥，向隐私证书颁发机构4发起第二证书请求（cEK证书请求），第二证书请求中包含cEK公钥/>，该过程可以表示如下：

步骤b3：隐私证书颁发机构4收到第二证书请求后进行解析，确认是cEK证书请求后，向证书代理发送证书证据请求。

证书证据请求包括隐私证书颁发机构4生成的随机数、需要证书代理提供的度量值标识/>、使用隐私证书颁发机构4的私钥对随机数/>和度量值标识签名得到的/>、使用隐私证书颁发机构的私钥对进行签名得到的/>，该过程表示如下：

步骤b4：证书代理对证书证据请求进行验证和解析，根据确认该证据请求属于/>，根据证书证据请求提取随机数/>和度量值标识/>，并确认/>和/>有效后，向可信平台模块1收集申请第二证书（cEK证书）所需的可信证据/>。

可信证据包含度量值/>、使用可信平台模块1对/>和/>进行引证操作（Quote）得到的/>、/>对应的度量日志/>，该过程表示如下：

步骤b5：证书代理通过可信平台模块1创建的对称密钥加密可信证据，得到/>，使用隐私证书颁发机构4的公钥加密/>，得到；将/>、/>，加密后的可信证据/>以及第一证书作为证书证据，发送给隐私证书颁发机构4。该过程表示如下：

步骤b6：隐私证书颁发机构4验证证书证据，确定虚拟可信平台管理模块2可信后，为第二身份密钥中的公钥签发第二证书/>。

在一可选实施例中，隐私证书颁发机构4验证证书证据的过程为：在确定第一证书有效后，使用隐私证书颁发机构4的私钥解密出/>，并使用/>解密出可信证据。随后使用/>解密出/>。随后用/>和/>重新生成摘要值/>，将/>与/>进行比对，判断可信证据的新鲜度，确定为新鲜的可信证据后，根据其中的PCR和SML判断虚拟可信平台管理模块2的运行状态是否可信。

步骤b7：隐私证书颁发机构4将第二证书发送至证书代理，该过程表示如下：

步骤b8：证书代理使用隐私证书颁发机构4的公钥验证第二证书中的签名，确定第二证书/>有效后存储第二证书/>。

在本发明实施例中，在虚拟可信平台管理模块2中引入了第二身份密钥cEK，cEK具有时效性长的特点，且其可信性由度量值保证，不与可信平台模块1的第一身份密钥AIK绑定，即使AIK失效，也不需重新申请cEK。

在一示例中，在上述步骤S105之前，本发明实施例提供的方法还包括如下步骤：

首先，虚拟可信平台实例模块3生成第四身份密钥。

在一可选实施例中，第四身份密钥为虚拟可信平台实例模块3的EK密钥，第四身份密钥包括EK密钥的公私钥对，/>为公钥，/>为私钥。

然后，虚拟可信平台管理模块2为第四身份密钥签发第四证书，第四证书用于生成第三证书。

在一可选实施例中，虚拟可信平台管理模块2通过第二身份密钥中的私钥为第四身份密钥中的公钥签发第四证书。

在一示例中，在上述步骤s105中，虚拟可信平台实例模块3使用第四身份密钥，生成第三身份密钥。

在一示例中，第三证书请求中包括第四证书、第三身份密钥中的公钥和第三身份密钥对应的身份绑定信息。

在上述步骤S105中，虚拟可信平台管理模块2根据第四证书、第三身份密钥中的公钥和第三身份密钥对应的身份绑定信息，判断第三身份密钥和第四身份密钥是否属于同一虚拟可信平台实例模块3，当第三身份密钥和第四身份密钥属于同一虚拟可信平台实例模块3时，通过第二身份密钥中的私钥为第三身份密钥中的公钥签发第三证书。

图6为第三证书的签发过程图。该过程包括如下步骤：

步骤c1：当虚拟可信平台实例模块3进行初始化时，生成第四身份密钥（vEK密钥），第四身份密钥包括EK密钥的公私钥对，/>为公钥，/>为私钥。

虚拟可信平台管理模块2使用第二身份密钥中的cEK私钥为签发证书，然后发送到虚拟可信平台实例模块3。

步骤c2：虚拟可信平台实例模块3使用第四身份密钥vEK生成第三身份密钥，即vAIK公私钥对，并生成vAIK密钥的证书请求证据/>。的内容包括vAIK的身份绑定信息/>，AIK公钥/>，vEK证书，该过程表示如下。

步骤c3：虚拟可信平台实例模块3向虚拟可信平台管理模块2发送第三证书请求，第三证书请求中包括，该过程表示如下。

其中，为虚拟可信平台实例模块3，/>为虚拟可信平台管理模块2。

步骤c4：虚拟可信平台管理模块2验证，确认vAIK与vEK属于同一个虚拟可信平台实例模块3后，使用cEK私钥为/>签发证书/>，该过程可以表示如下。

在本发明实施例中，在虚拟可信平台管理模块2到虚拟可信平台实例模块3的可信证书链扩展过程中，虚拟可信平台管理模块2负责虚拟可信平台实例模块3的证书生成，整个过程中EK只用于生成和证明AIK，AIK只用于引证操作，符合TCG规范中关于AIK的使用规范。而虚拟可信平台管理模块2实质上作为可信的二级隐私证书颁发机构存在，由可信平台模块1保证其安全性和可信性，符合TCG规范中对于隐私证书颁发机构的安全要求。在获得虚拟可信平台管理模块2的第二身份密钥后，虚拟可信平台实例模块3的证书生成不再依赖可信平台模块1，因此也减少了可信平台模块1的负担。

本发明实施例还提供一种5G MEC可信证书链扩展系统，系统包括可信平台模块1、虚拟可信平台管理模块2、虚拟可信平台实例模块3和隐私证书颁发机构4，如图2所示。

可信平台模块1生成第一身份密钥，并向隐私证书颁发机构4发送第一身份密钥的第一证书请求；详细内容参见上述实施例中步骤S101的描述，在此不再赘述。

隐私证书颁发机构4根据第一证书请求，为第一身份密钥签发第一证书；详细内容参见上述实施例中步骤S102的描述，在此不再赘述。

虚拟可信平台管理模块2生成第二身份密钥，并向隐私证书颁发机构4发送第二身份密钥的第二证书请求；详细内容参见上述实施例中步骤S103的描述，在此不再赘述。

隐私证书颁发机构4根据第二证书请求向可信平台模块1发送证书证据请求，以使可信平台模块1根据证书证据请求向隐私证书颁发机构4发送证书证据，证书证据包括第一证书；根据证书证据，为第二身份密钥签发第二证书；详细内容参见上述实施例中步骤S104的描述，在此不再赘述。

虚拟可信平台实例模块3生成第三身份密钥，并向虚拟可信平台管理模块2发送第三身份密钥的第三证书请求；详细内容参见上述实施例中步骤S105的描述，在此不再赘述。

虚拟可信平台管理模块2根据第三证书请求，通过第二身份密钥为第三身份密钥签发第三证书。详细内容参见上述实施例中步骤S106的描述，在此不再赘述。

考虑到相关技术中，虚拟可信平台实例模块3的可信证书链扩展是通过隐私证书颁发机构4负责的，而虚拟可信平台实例模块3需要频繁申请或者销毁可信证书，由此带来了隐私证书颁发机构4负担过重的问题，通过上述系统，隐私证书颁发机构4只负责可信平台模块1、虚拟可信平台管理模块2的证书生成，不参与虚拟可信平台实例模块3的证书生成过程，虚拟可信平台实例模块3的证书通过虚拟可信平台管理模块2负责，减轻了隐私证书颁发机构4的工作负担，提高隐私证书颁发机构4的服务质量，进而保障5G MEC系统的可用性。

上述系统的具体限定以及有益效果可以参见上文中对于5G MEC可信证书链扩展方法的限定，在此不再赘述。上述各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

图7是根据一示例性实施例提出的一种计算机设备的硬件结构示意图。如图7所示，该设备包括一个或多个处理器710以及存储器720，存储器720包括持久内存、易失内存和硬盘，图7中以一个处理器710为例。该设备还可以包括：输入装置730和输出装置740。

处理器710、存储器720、输入装置730和输出装置740可以通过总线或者其他方式连接，图7中以通过总线连接为例。

处理器710可以为中央处理器（Central Processing Unit，CPU）。处理器710还可以为其他通用处理器、数字信号处理器（Digital Signal Processor，DSP）、专用集成电路（Application Specific Integrated Circuit，ASIC）、现场可编程门阵列（Field-Programmable Gate Array，FPGA）或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

存储器720作为一种非暂态计算机可读存储介质，包括持久内存、易失内存和硬盘，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本申请实施例中5GMEC可信证书链扩展方法对应的程序指令/模块。处理器710通过运行存储在存储器720中的非暂态软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述任意一种5G MEC可信证书链扩展方法。

存储器720可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据需要使用的数据等。此外，存储器720可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器720可选包括相对于处理器710远程设置的存储器，这些远程存储器可以通过网络连接至数据处理装置。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

输入装置730可接收输入的数字或字符信息，以及产生与用户设置以及功能控制有关的信号输入。输出装置740可包括显示屏等显示设备。

一个或者多个模块存储在存储器720中，当被一个或者多个处理器710执行时，执行如图1所示的方法。

上述产品可执行本发明实施例所提供的方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，具体可参见如图1所示的实施例中的相关描述。

本发明实施例还提供了一种非暂态计算机存储介质，计算机存储介质存储有计算机可执行指令，该计算机可执行指令可执行上述任意方法实施例中的方法。其中，存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory，ROM）、随机存储记忆体（RandomAccess Memory，RAM）、快闪存储器（Flash Memory）、硬盘（Hard Disk Drive，缩写：HDD）或固态硬盘（Solid-State Drive，SSD)等；存储介质还可以包括上述种类的存储器的组合。

需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上仅是本发明的具体实施方式，使本领域技术人员能够理解或实现本发明。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所申请的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种5G MEC可信证书链扩展方法，其特征在于，应用于5G MEC可信证书链扩展系统，所述系统包括可信平台模块、虚拟可信平台管理模块、虚拟可信平台实例模块和隐私证书颁发机构，所述方法包括：

所述可信平台模块生成第一身份密钥，并向所述隐私证书颁发机构发送所述第一身份密钥的第一证书请求；

所述隐私证书颁发机构根据所述第一证书请求，为所述第一身份密钥签发第一证书；

所述虚拟可信平台管理模块生成第二身份密钥，并向所述隐私证书颁发机构发送所述第二身份密钥的第二证书请求；

所述隐私证书颁发机构根据所述第二证书请求向所述可信平台模块发送证书证据请求，以使所述可信平台模块根据所述证书证据请求向所述隐私证书颁发机构发送证书证据，所述证书证据包括所述第一证书；根据所述证书证据，为所述第二身份密钥签发第二证书；

所述虚拟可信平台实例模块生成第三身份密钥，并向所述虚拟可信平台管理模块发送所述第三身份密钥的第三证书请求；

所述虚拟可信平台管理模块根据所述第三证书请求，通过所述第二身份密钥为所述第三身份密钥签发第三证书。

2.根据权利要求1所述的方法，其特征在于，所述系统还包括证书代理；

所述证书代理使用对称密钥对所述可信平台模块的第一证书请求进行加密，得到加密后的第一证书请求；根据所述隐私证书颁发机构的公钥对所述对称密钥进行加密，得到加密后的对称密钥；将加密后的对称密钥和加密后的第一证书请求发送所述隐私证书颁发机构；

所述隐私证书颁发机构根据所述隐私证书颁发机构的私钥对所述加密后的对称密钥进行解密得到所述对称密钥；通过所述对称密钥对所述加密后的第一证书请求进行解密得到所述第一证书请求；根据所述第一证书请求，为所述第一身份密钥签发第一证书；

所述虚拟可信平台管理模块通过所述证书代理，向所述隐私证书颁发机构发送所述第二身份密钥的第二证书请求。

3.根据权利要求2所述的方法，其特征在于，所述证书证据请求中包括所述隐私证书颁发机构中的随机数和所述虚拟可信平台管理模块的度量值标识，所述证书证据还包括摘要值，所述摘要值是根据所述随机数和所述度量值标识对应的度量值生成的，所述根据所述证书证据，为所述第二身份密钥签发第二证书的步骤，包括：

所述隐私证书颁发机构根据所述第一证书和所述摘要值，验证所述虚拟可信平台管理模块是否可信，在确定所述虚拟可信平台管理模块可信后，为所述第二身份密钥签发第二证书。

4.根据权利要求2所述的方法，其特征在于，所述虚拟可信平台实例模块生成第三身份密钥步骤之前，所述方法还包括：

所述虚拟可信平台实例模块生成第四身份密钥；

所述虚拟可信平台管理模块为所述第四身份密钥签发第四证书，所述第四证书用于生成所述第三证书。

5.根据权利要求4所述的方法，其特征在于，所述虚拟可信平台管理模块为所述第四身份密钥签发第四证书，包括：

所述虚拟可信平台管理模块通过所述第二身份密钥中的私钥为所述第四身份密钥中的公钥签发所述第四证书。

6.根据权利要求5所述的方法，其特征在于，所述虚拟可信平台实例模块生成第三身份密钥，包括：

所述虚拟可信平台实例模块使用所述第四身份密钥，生成所述第三身份密钥。

7.根据权利要求6所述的方法，其特征在于，所述第三证书请求中包括所述第四证书、所述第三身份密钥中的公钥和所述第三身份密钥对应的身份绑定信息，所述虚拟可信平台管理模块根据所述第三证书请求，通过所述第二身份密钥为所述第三身份密钥签发第三证书，包括：

所述虚拟可信平台管理模块根据所述第四证书、所述第三身份密钥中的公钥和所述第三身份密钥对应的身份绑定信息，判断所述第三身份密钥和所述第四身份密钥是否属于同一虚拟可信平台实例模块，当所述第三身份密钥和所述第四身份密钥属于同一虚拟可信平台实例模块时，通过所述第二身份密钥中的私钥为所述第三身份密钥中的公钥签发所述第三证书。

8.一种5G MEC可信证书链扩展系统，其特征在于，所述系统包括可信平台模块、虚拟可信平台管理模块、虚拟可信平台实例模块和隐私证书颁发机构，

所述可信平台模块生成第一身份密钥，并向所述隐私证书颁发机构发送所述第一身份密钥的第一证书请求；

所述隐私证书颁发机构根据所述第一证书请求，为所述第一身份密钥签发第一证书；

所述虚拟可信平台管理模块生成第二身份密钥，并向所述隐私证书颁发机构发送所述第二身份密钥的第二证书请求；

所述隐私证书颁发机构根据所述第二证书请求向所述可信平台模块发送证书证据请求，以使所述可信平台模块根据所述证书证据请求向所述隐私证书颁发机构发送证书证据，所述证书证据包括所述第一证书；根据所述证书证据，为所述第二身份密钥签发第二证书；

所述虚拟可信平台实例模块生成第三身份密钥，并向所述虚拟可信平台管理模块发送所述第三身份密钥的第三证书请求；

所述虚拟可信平台管理模块根据所述第三证书请求，通过所述第二身份密钥为所述第三身份密钥签发第三证书。

9.一种计算机设备，其特征在于，包括存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行权利要求1-7中任一项所述的5G MEC可信证书链扩展方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-7中任一项所述的5G MEC可信证书链扩展方法的步骤。