CN117914490A - 多节点可信执行环境构建方法及装置 - Google Patents

多节点可信执行环境构建方法及装置 Download PDF

Info

Publication number
CN117914490A
CN117914490A CN202410154839.4A CN202410154839A CN117914490A CN 117914490 A CN117914490 A CN 117914490A CN 202410154839 A CN202410154839 A CN 202410154839A CN 117914490 A CN117914490 A CN 117914490A
Authority
CN
China
Prior art keywords
node
authentication
execution environment
trusted execution
public key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202410154839.4A
Other languages
English (en)
Inventor
李翔
齐洁
翟骏
隋毅
邓亚军
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Telecom Corp Ltd
Original Assignee
China Telecom Corp Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Telecom Corp Ltd filed Critical China Telecom Corp Ltd
Priority to CN202410154839.4A priority Critical patent/CN117914490A/zh
Publication of CN117914490A publication Critical patent/CN117914490A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H04L2209/127—Trusted platform modules [TPM]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请公开了一种多节点可信执行环境构建方法及装置。其中，该方法包括：从远端的配置中心获取认证信息；至少根据认证信息进行可信执行环境认证，并在认证结果指示通过之后，从配置中心中获取对端节点预先注册的第一公钥，其中，对端节点为可信执行环境节点；从对端节点接收第二公钥，在第一公钥和第二公钥相同的情况下，与对端节点建立加密通信通道。本申请解决了相关技术中不同设备之间进行数据交互存在安全性较低的技术问题。

Description

多节点可信执行环境构建方法及装置
技术领域
本申请涉及计算机技术领域，具体而言，涉及一种多节点可信执行环境构建方法及装置。
背景技术
随着云计算、大数据、人工智能等技术的发展,对数据的利用需求日益增长。但是大量用户敏感数据的利用也引发了巨大的隐私泄露风险。为解决这个问题,隐私计算技术应运而生。隐私计算让多个实体可以在不泄露隐私的前提下共享和计算数据。目前业界常见的隐私计算技术主要有可信执行环境、联邦学习、安全多方计算、同态加密等。这些技术可以在密文域内进行计算,避免泄露实际数据。但由于计算和通信开销大,这类技术仍面临效率较低的问题。与此同时,分布式计算技术也得到长足发展。通过将计算任务分配到多台设备上协同执行,可以提供强大的计算能力。但是不同设备之间数据的交互还存在安全性较低的问题。
针对上述的问题，目前尚未提出有效的解决方案。
发明内容
本申请实施例提供了一种多节点可信执行环境构建方法及装置，以至少解决相关技术中不同设备之间进行数据交互存在安全性较低的技术问题。
根据本申请实施例的一个方面，提供了一种多节点可信执行环境构建方法，包括：从远端的配置中心获取认证信息；至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
可选地，至少根据所述认证信息完成可信执行环境认证，包括：对本地节点中多个设备组件执行自检操作；通过多种方式进行可信执行环境认证，其中，所述多种方式至少包括：对所述本地节点中设备的证书链进行认证和对所述本地节点中设备的配置信息进行认证。
可选地，对本地节点中多个设备组件执行自检操作，包括：获取所述多个设备组件对应的散列值；获取所述多个设备组件对应的散列值的目标值，在所述目标值与所述多个设备组件对应的散列值相等的情况下，确定完成所述本地节点中多个设备组件的自检。
可选地，通过多种方式进行可信执行环境认证，包括：从所述认证信息中获取所述本地节点中设备的证书链；从所述证书链的根证书开始验证直到所述证书链中的所有证书完成验证；对所述本地节点中设备的配置信息进行认证，以完成所述本地节点的可信执行环境认证。
可选地，对所述本地节点中设备的配置信息进行认证，包括：获取所述本地节点的设备认证报告，所述设备认证报告中包含所述本地节点中多个设备的配置信息；从所述认证信息中提取所述本地节点的期望配置信息，将所述本地节点中多个设备的配置信息与所述期望配置信息进行对比，在所述对比结果指示所述期望配置信息与述本地节点中多个设备的配置信息一致的情况下，确定所述本地节点中设备的配置信息认证通过。
可选地，在确定所述对端节点中设备的配置信息认证完成之后，所述方法还包括：获取所述本地节点中内存配置信息；根据所述内存配置信息确定所述本地节点中内存是否按照预设规则进行配置。
可选地，与所述对端节点建立加密通信通道，包括：接收所述对端节点的可信度指标，并从所述配置中心获取所述可信度指标的期望值；在所述对端节点的可信度指标与所述可信度指标的期望值一致的情况下，通过隧道服务器与所述对端节点加密通信通道。
根据本申请实施例的另一方面，还提供了一种多节点可信执行环境构建装置，包括：获取模块，用于从远端的配置中心获取认证信息；认证模块，用于至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；构建模块，用于从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
根据本申请实施例的又一方面，还提供了一种电子设备，包括：存储器，用于存储程序指令；处理器，与存储器连接，用于执行以下功能的程序指令：从远端的配置中心获取认证信息；至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
根据本申请实施例的又一方面，还提供了一种非易失性存储介质，非易失性存储介质包括存储的计算机程序，其中，非易失性存储介质所在设备通过运行计算机程序执行上述的多节点可信执行环境构建方法。
在本申请实施例中，采用从远端的配置中心获取认证信息；至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道的方式，通过多个可信执行环境节点认证之后通过互换密钥，建立加密通信通道的方式，达到了将多个可信执行环境节点通过加密通信通道连接起来目的，从而实现了提高不同可信执行环境节点之间进行数据交互的安全性的技术效果，进而解决了相关技术中不同设备之间进行数据交互存在安全性较低的技术问题。
附图说明
此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：
图1是根据本申请实施例的一种用于实现多节点可信执行环境构建方法的计算机终端的硬件结构框图；
图2是根据本申请实施例的一种多节点可信执行环境构建方法的流程图；
图3是根据本申请实施例的一种多节点之间的可信认证的方法流程图；
图4是根据本申请实施例的一种多节点可信执行环境系统的结构示意图；
图5是根据本申请实施例的一种多节点可信执行环境装置的结构图。
具体实施方式
为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。
需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
本申请实施例所提供的多节点可信执行环境构建方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。图1示出了一种用于实现三维重建方法的计算机终端的硬件结构框图。如图1所示，计算机终端10可以包括一个或多个(图中采用102a、102b，……，102n来示出)处理器(处理器可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器104、以及用于通信功能的传输模块106。除此以外，还可以包括：显示器、键盘、光标控制设备、输入/输出接口(I/O接口)、通用串行总线(USB)端口(可以作为I/O接口的端口中的一个端口)、网络接口、BUS总线。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端10还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。
应当注意到的是上述一个或多个处理器和/或其他数据处理电路在本文中通常可以被称为“数据处理电路”。该数据处理电路可以全部或部分的体现为软件、硬件、固件或其他任意组合。此外，数据处理电路可为单个独立的处理模块，或全部或部分的结合到计算机终端10中的其他元件中的任意一个内。如本申请实施例中所涉及到的，该数据处理电路作为一种处理器控制(例如与接口连接的可变电阻终端路径的选择)。
存储器104可用于存储应用软件的软件程序以及模块，如本申请实施例中的多节点可信执行环境构建方法对应的程序指令/数据存储装置，处理器通过运行存储在存储器104内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的多节点可信执行环境构建方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
传输模块106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端10的通信供应商提供的无线网络。在一个实例中，传输模块106包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输模块106可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。
显示器可以例如触摸屏式的液晶显示器(LCD)，该液晶显示器可使得用户能够与计算机终端10的用户界面进行交互。
此处需要说明的是，在一些可选实施例中，上述图1所示的计算机设备可以包括硬件元件(包括电路)、软件元件(包括存储在计算机可读介质上的计算机代码)、或硬件元件和软件元件两者的结合。应当指出的是，图1仅为特定具体实例的一个实例，并且旨在示出可存在于上述计算机设备中的部件的类型。
在上述运行环境下，本申请实施例提供了一种多节点可信执行环境构建方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
图2是根据本申请实施例的一种多节点可信执行环境构建方法的流程图，如图2所示，该方法包括如下步骤：
步骤S202，从远端的配置中心获取认证信息；
在上述步骤S202中，认证信息中至少包括可信执行环境节点中多个设备的身份证书和期望认证信息(认证信息的目标值)等。
步骤S204，至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；
在上述步骤S204中，第一公钥为对端节点在配置中心中预先注册的公钥，第二公钥为对端节点通过可信执行环境认证后发送给本地节点的公钥。
步骤S206，从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
上述步骤S206中，加密通信通道用于多个可信执行环境节点之间进行数据交互。
通过上述步骤S202至步骤S206中的多节点可信执行环境构建方法，采用从远端的配置中心获取认证信息；至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道的方式，通过多个可信执行环境节点认证之后通过互换密钥，建立加密通信通道的方式，达到了将多个可信执行环境节点通过加密通信通道连接起来目的，从而实现了提高不同可信执行环境节点之间进行数据交互的安全性的技术效果，进而解决了相关技术中不同设备之间进行数据交互存在安全性较低的技术问题。以下详细说明。
可以理解的是，上述方法的执行主体为本地节点。
在一种可选的方式中，至少根据所述认证信息完成可信执行环境认证的步骤如下：对本地节点中多个设备组件执行自检操作；通过多种方式进行可信执行环境认证，其中，所述多种方式至少包括：对所述本地节点中设备的证书链进行认证和对所述本地节点中设备的配置信息进行认证。
可以理解的是，可以通过以下三个步骤：可信启动、配置获取以及节点认证实现多节点可信执行环境的构建。在系统启动时,执行自检流程对固件、软件组件进行完整性校验,可以防止进入被篡改的不可信状态。获取可信的配置数据,而非依赖可能存在风险的外部输入,可以保证系统启动的参数正确可靠。节点间在通信和协作前,需要进行强认证,确保对方身份的合法性。这可以有效防止中间人攻击和对等节点的伪装欺骗。
其中，执行自检操作的过程包括：获取所述多个设备组件对应的散列值；获取所述多个设备组件对应的散列值的目标值，在所述目标值与所述多个设备组件对应的散列值相等的情况下，确定完成所述本地节点中多个设备组件的自检。
在实际的应用场景中，在各个节点启动阶段，需要进行启动自检，自检操作的具体流程如下所示：系统加电自检:确保硬件组件正常；测量可靠性:量测软硬件关键组件的散列值,并上报TPM(Trusted Platform Module，可信平台模块)；TPM验证可靠性:TPM使用PCR(Platform Configuration Register，平台配置寄存器)寄存器存储目标值,与测量值比较,如果不一致则中止启动；执行安全启动:TPM解密密钥,校验和启动相关组件,启动操作系统；操作系统验证:操作系统再次对关键组件进行校验；执行安全操作系统启动:操作系统完成启动,进入正常运行状态；完整性监控:启动后TPM持续监控和记录软硬件变更；重启自检:每次重启时重复上述步骤,保证持续可信。
完成以上自检流程后，各个节点需要访问远程可信/权威的配置信息同步中心获取本次跨主机可信执行环境各个主机与相关设备期望的认证信息，以便进行后续设备与节点认证。
在本地节点配置IOMMU(Memory-mapped I/O，内存映射I/O)允许异构设备访问其私有内存之前，本地节点和对端节点还需要完成自身多个设备的身份认证和配置信息的可信认证。
可以理解的是，本地节点与对端节点互相异构，本地节点和对端节点可以通过IOMMU访问对方的私有内存。
对节点中多个设备进行身份认证的方式包括：从所述认证信息中获取所述本地节点中设备的证书链；从所述证书链的根证书开始验证直到所述证书链中的所有证书完成验证；对所述本地节点中设备的配置信息进行认证，以完成所述本地节点的可信执行环境认证。
需要进行说明的是，设备的证书链由一个或多个称为证书的文件组成，其中包含一个公钥和关于公钥所有者的元数据。证书链中的每一个密钥都会签署证书链中下一个密钥的证书，从而获得信任。证书链中的第一个证书，即根证书，代表根证书颁发机构(CA)的身份。当本机认证模块验证证书链时，从根CA的证书开始。如果本机认证模块信任根CA，那么本机认证模块将验证链上每个证书的签名是否有效，可以理解的是，本申请中设备的证书链由配置中心下发。
在一种可选的方式中，可以获取所述本地节点的设备认证报告，所述设备认证报告中包含所述本地节点中多个设备的配置信息；从所述认证信息中提取所述本地节点的期望配置信息，将所述本地节点中多个设备的配置信息与所述期望配置信息进行对比，在所述对比结果指示所述期望配置信息与述本地节点中多个设备的配置信息一致的情况下，确定所述本地节点中设备的配置信息认证通过。
具体地，验证报告中包含的度量结果可能包括当前加载固件的加密摘要和配置数据的清单，可以将加密摘要和配置数据与从配置中心中获取的期望认证信息中的数据进行对比，在对比结果一致的情况下，确定节点中设备的配置信息认证通过。
在确定所述对端节点中设备的配置信息认证完成之后，获取所述本地节点中内存配置信息；根据所述内存配置信息确定所述本地节点中内存是否按照预设规则进行配置，例如：MMIO映射信息、MMIO范围的安全属性，以及可选的设备特定信息。从而经认证的各个设备可以基于共享内存实现敏感数据的加密存储与共享计算使用。
在实现多个可信执行环境节点相互连接之前，接收所述对端节点的可信度指标，并从所述配置中心获取所述可信度指标的期望值；在所述对端节点的可信度指标与所述可信度指标的期望值一致的情况下，通过隧道服务器与所述对端节点加密通信通道。
具体的，本地节点和对端节点相互认证度量信息，例如：可信度指标和配置数据，包括：硬件PCR值和软件散列值，在可信度指标与从配置中心获取的期望值(目标值)相同的情况下，构建加密通信通道，如图3所示，节点1获取自身的度量信息和节点2的度量信息，并从配置中心获取节点1和节点2的期望度量信息(目标值)，检查对端度量信息与期望值一致的情况下，建立连接。
在实际的应用场景中，在系统启动时,每个节点需要注册其公钥和设备特征。此后节点间进行安全通道建立时,首先互换公钥,并对比预先注册的公钥,完成数字签名的验证,以防中间人攻击。接下来,节点需要交换TPM生成的EK证书,并上报可信度指标,包括硬件PCR值和软件散列等,以完成完整的硬件平台认证。之后,可启用隧道服务器,创建加密通道,单向或双向认证密钥,完成安全可靠的TLS(Transport Layer Secur ity，传输层安全连接)通信联结。在后续通信中,继续对完整性进行持续检测,并定期更新和轮换密钥。
通过上述步骤严谨的跨主机节点认证流程,不同主机可以构建起可信的执行环境,安全分布式地完成计算任务,而不会泄露敏感数据。
图4示出了一种多节点可信执行环境系统，如图4所示，包含N个可信节点，系统整体有配置信息同步中心与可信节点组成，其中可信节点包含启动自检与初始化模块、支持可信执行环境能力的CPU、支持安全配置的GPU与其他设备、可信通信网关等模块组成。配置信息同步中心管理本跨主机可信执行环境各个节点与相关设备的期望认证信息、逻辑度量期望值以及相关身份证书。
可信节点主要由自检与初始化模块、支持可信执行环境能力的CPU、支持安全配置的GPU与其他设备、可信通信网关等模块组成：
可信节点主要由自检与初始化模块主要实现各个节点启动自检、配置获取、设备认证。
可信执行环境能力的CPU从CPU层面的可信执行环境构建。
安全配置的GPU与其他设备通过安全配置设置自己的安全状态，同时提供认证接口供外部进行其状态检查，同时经过验证的设备可以通过MMIO方式与CPU端可信执行环境共享加密内存。
可信通信网关实现节点之间的节点认证与可信通信道的构建，实现跨节点之间数据隐私安全的传输。
图5是根据本申请实施例的一种多节点可信执行环境构建装置的结构图，如图5，所示，该装置包括：
获取模块50，用于从远端的配置中心获取认证信息；
认证模块52，用于至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；
构建模块54，用于从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
在上述多节点可信执行环境构建装置的认证模块52中，包括：认证子模块，用于对本地节点中多个设备组件执行自检操作；通过多种方式进行可信执行环境认证，其中，所述多种方式至少包括：对所述本地节点中设备的证书链进行认证和对所述本地节点中设备的配置信息进行认证。
认证子模块中包括：自检单元和认证单元，自检单元，用于获取所述多个设备组件对应的散列值；获取所述多个设备组件对应的散列值的目标值，在所述目标值与所述多个设备组件对应的散列值相等的情况下，确定完成所述本地节点中多个设备组件的自检。
认证单元，用于从所述认证信息中获取所述本地节点中设备的证书链；从所述证书链的根证书开始验证直到所述证书链中的所有证书完成验证；对所述本地节点中设备的配置信息进行认证，以完成所述本地节点的可信执行环境认证。
认证单元中，还包括：认证子单元和确定子单元，认证子单元，用于获取所述本地节点的设备认证报告，所述设备认证报告中包含所述本地节点中多个设备的配置信息；从所述认证信息中提取所述本地节点的期望配置信息，将所述本地节点中多个设备的配置信息与所述期望配置信息进行对比，在所述对比结果指示所述期望配置信息与述本地节点中多个设备的配置信息一致的情况下，确定所述本地节点中设备的配置信息认证通过。
确定子单元，用于获取所述本地节点中内存配置信息；根据所述内存配置信息确定所述本地节点中内存是否按照预设规则进行配置。
构建模块54，包括：构建子模块，用于接收所述对端节点的可信度指标，并从所述配置中心获取所述可信度指标的期望值；在所述对端节点的可信度指标与所述可信度指标的期望值一致的情况下，通过隧道服务器与所述对端节点加密通信通道。
需要说明的是，图5所示的多节点可信执行环境构建装置用于执行图2所示的多节点可信执行环境构建方法，因此上述多节点可信执行环境构建方法中的相关解释说明也适用于该种多节点可信执行环境构建装置，此处不再赘述。
本申请实施例还提供了一种电子设备，包括：存储器，用于存储程序指令；处理器，与存储器连接，用于执行以下功能的程序指令：从远端的配置中心获取认证信息；至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
需要说明的是，上述电子设备用于执行图2所示的多节点可信执行环境构建方法，因此上述多节点可信执行环境构建方法中的相关解释说明也适用于该电子设备，此处不再赘述。
本申请实施例还提供了一种非易失性存储介质，该非易失性存储介质包括存储的计算机程序，其中，该非易失性存储介质所在设备通过运行计算机程序执行以下多节点可信执行环境构建方法：从远端的配置中心获取认证信息；至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
需要说明的是，上述非易失性存储介质用于执行图2所示的多节点可信执行环境构建方法，因此上述多节点可信执行环境构建方法中的相关解释说明也适用于该非易失性存储介质，此处不再赘述。
上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。
在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。
在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。
作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
以上仅是本申请的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (10)

1.一种多节点可信执行环境构建方法，其特征在于，包括：
从远端的配置中心获取认证信息；
至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；
从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
2.根据权利要求1所述的方法，其特征在于，至少根据所述认证信息完成可信执行环境认证，包括：
对本地节点中多个设备组件执行自检操作；
通过多种方式进行可信执行环境认证，其中，所述多种方式至少包括：对所述本地节点中设备的证书链进行认证和对所述本地节点中设备的配置信息进行认证。
3.根据权利要求2所述的方法，其特征在于，对本地节点中多个设备组件执行自检操作，包括：
获取所述多个设备组件对应的散列值；
获取所述多个设备组件对应的散列值的目标值，在所述目标值与所述多个设备组件对应的散列值相等的情况下，确定完成所述本地节点中多个设备组件的自检。
4.根据权利要求2所述的方法，其特征在于，通过多种方式进行可信执行环境认证，包括：
从所述认证信息中获取所述本地节点中设备的证书链；
从所述证书链的根证书开始验证直到所述证书链中的所有证书完成验证；
对所述本地节点中设备的配置信息进行认证，以完成所述本地节点的可信执行环境认证。
5.根据权利要求4所述的方法，其特征在于，对所述本地节点中设备的配置信息进行认证，包括：
获取所述本地节点的设备认证报告，所述设备认证报告中包含所述本地节点中多个设备的配置信息；
从所述认证信息中提取所述本地节点的期望配置信息，将所述本地节点中多个设备的配置信息与所述期望配置信息进行对比，在对比结果指示所述期望配置信息与述本地节点中多个设备的配置信息一致的情况下，确定所述本地节点中设备的配置信息认证通过。
6.根据权利要求5所述的方法，其特征在于，在确定所述对端节点中设备的配置信息认证完成之后，所述方法还包括：
获取所述本地节点中内存配置信息；
根据所述内存配置信息确定所述本地节点中内存是否按照预设规则进行配置。
7.根据权利要求1所述的方法，其特征在于，与所述对端节点建立加密通信通道，包括：
接收所述对端节点的可信度指标，并从所述配置中心获取所述可信度指标的期望值；
在所述对端节点的可信度指标与所述可信度指标的期望值一致的情况下，通过隧道服务器与所述对端节点加密通信通道。
8.一种多节点可信执行环境构建装置，其特征在于，包括：
获取模块，用于从远端的配置中心获取认证信息；
认证模块，用于至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；
构建模块，用于从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
9.一种电子设备，其特征在于，包括：
存储器，用于存储程序指令；
处理器，与所述存储器连接，用于执行以下功能的程序指令：
从远端的配置中心获取认证信息；至少根据所述认证信息进行可信执行环境认证，并在认证结果指示通过之后，从所述配置中心中获取对端节点预先注册的第一公钥，其中，所述对端节点为可信执行环境节点；
从所述对端节点接收第二公钥，在所述第一公钥和所述第二公钥相同的情况下，与所述对端节点建立加密通信通道。
10.一种非易失性存储介质，其特征在于，所述非易失性存储介质包括存储的计算机程序，其中，所述非易失性存储介质所在设备通过运行所述计算机程序执行权利要求1至7中任意一项所述的多节点可信执行环境构建方法。
CN202410154839.4A 2024-02-02 2024-02-02 多节点可信执行环境构建方法及装置 Pending CN117914490A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202410154839.4A CN117914490A (zh) 2024-02-02 2024-02-02 多节点可信执行环境构建方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202410154839.4A CN117914490A (zh) 2024-02-02 2024-02-02 多节点可信执行环境构建方法及装置

Publications (1)

Publication Number Publication Date
CN117914490A true CN117914490A (zh) 2024-04-19

Family

ID=90696752

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202410154839.4A Pending CN117914490A (zh) 2024-02-02 2024-02-02 多节点可信执行环境构建方法及装置

Country Status (1)

Country Link
CN (1) CN117914490A (zh)

Similar Documents

Publication Publication Date Title
CN107959656B (zh) 数据安全保障系统及方法、装置
US10831894B2 (en) Decentralized root-of-trust framework for heterogeneous networks
CN110874494B (zh) 密码运算处理方法、装置、系统及度量信任链构建方法
CN109196816B (zh) 使用区块链的公钥基础结构
CN109714168B (zh) 可信远程证明方法、装置和系统
CN107085675B (zh) 受控安全代码验证
CN110336774B (zh) 混合加密解密方法、设备及系统
US20200092284A1 (en) Authentication method and system
EP3362936B1 (en) Trusted platforms using minimal hardware resources
CN108234115B (zh) 信息安全的验证方法、装置和系统
CN108737106B (zh) 区块链系统上用户验证方法、装置、终端设备及存储介质
CN110874478B (zh) 密钥处理方法及装置、存储介质和处理器
US20180096137A1 (en) Using a second device to enroll a secure application enclave
US10482255B2 (en) Controlled secure code authentication
CN110268679B (zh) 基于区块链的认证方法和系统
CN110795742B (zh) 高速密码运算的度量处理方法、装置、存储介质及处理器
Zerrouki et al. PUF-based mutual authentication and session key establishment protocol for IoT devices
CN111901304B (zh) 移动安全设备的注册方法和装置、存储介质、电子装置
CN113411187A (zh) 身份认证方法和系统、存储介质及处理器
CN111371726A (zh) 安全代码空间的认证方法、装置、存储介质及处理器
CN107026729B (zh) 用于传输软件的方法和装置
CN104333451A (zh) 一种可信自助服务系统
CN117914490A (zh) 多节点可信执行环境构建方法及装置
CN107846390B (zh) 应用程序的认证方法及装置
CN112000935B (zh) 远程认证方法、装置、系统、存储介质及计算机设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination