CN201479144U - 一种可信计算平台密钥迁移系统 - Google Patents

一种可信计算平台密钥迁移系统 Download PDF

Info

Publication number
CN201479144U
CN201479144U CN2009202278957U CN200920227895U CN201479144U CN 201479144 U CN201479144 U CN 201479144U CN 2009202278957 U CN2009202278957 U CN 2009202278957U CN 200920227895 U CN200920227895 U CN 200920227895U CN 201479144 U CN201479144 U CN 201479144U
Authority
CN
China
Prior art keywords
platform
key
credible
source
target
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN2009202278957U
Other languages
English (en)
Inventor
刘毅
余发江
韩勇桥
张大鹏
胡晓
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
JETWAY INFORMATION SECURITY INDUSTRY Co Ltd
Original Assignee
JETWAY INFORMATION SECURITY INDUSTRY Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by JETWAY INFORMATION SECURITY INDUSTRY Co Ltd filed Critical JETWAY INFORMATION SECURITY INDUSTRY Co Ltd
Priority to CN2009202278957U priority Critical patent/CN201479144U/zh
Application granted granted Critical
Publication of CN201479144U publication Critical patent/CN201479144U/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Landscapes

  • Storage Device Security (AREA)

Abstract

本实用新型涉及一种可信计算平台密钥迁移系统，它由两个可信计算平台构成，其中一个是需要迁移密钥的源平台，另一个是迁移密钥的目标平台；源平台中包括可信计算模块(TPMA)，该可信计算模块(TPMA)的存储器中存放有待迁移密钥(migratedKey)、过程密钥(SymKey)和源平台的平台身份密钥(PIKa)；目标平台包括可信计算模块(TPMB)，该可信计算模块(TPMB)的存储器中存放有迁移加密密钥(MEK)和目标平台的平台身份密钥(PIKb)；源平台与目标平台之间通过安全信道连接。本实用新型优点在于：不仅保证待迁移密钥的机密性和完整性，提高了迁移加解密的速度，并且可实现可信的第三方对可信计算实行安全监管。

Description

一种可信计算平台密钥迁移系统
技术领域
本实用新型涉及一种可信计算平台密钥迁移系统，属于计算机信息安全技术领域，特别适合于可信计算平台使用。
背景技术
可信计算平台在普通计算平台上嵌入了一个单独的安全模块，能向该平台的访问者提供平台身份证明和完整性数据。该单独的安全模块称之为可信密码模块，原普通计算平台称之为可信计算平台主机。可信密码模块具有独立的处理器和存储器，能提供加解密及秘密数据存储等功能支撑。相对于可信密码模块而言，可信计算平台主机上的驱动程序、操作系统或应用程序及操作系统或应用程序的用户等称之为外部实体。
如果可信计算平台发生灾难性事件，比如可信密码模块被物理毁坏，那么存储其中的敏感数据，如密钥、授权数据必然会丢失，导致平台崩溃。为了预防这种情况的出现，确保在发生灾难性事件的时候能正常恢复存储于平台内的受保护的密钥数据并且保证应用的正常使用，需要预先把相应的密钥予以迁移备份。
迁移不仅需要保证密钥的机密性和完整性，并要求确保迁移的目标平台也是一个可信计算平台。为此，可信计算组织(TCG)采用如下安全措施：用目标平台的身份证明密钥AIK密钥对加解密待迁移密钥，encmigratedKey＝AsymEnc(migratedKey，pubAIK)，migratedKey＝UAsymEnc(encmigratedKey，priAIK)，实现密钥的保密传输。由于AIK属于高密级的签名密钥，一般不能对其进行备份；故若将其运用于加解密场合时，无法进行第三方监管，不符合有关密码管理规定。
发明内容
本实用新型的目的在于，克服现有技术的缺点，提供一种首先确保迁移的目标平台是一个可信计算平台；然后利用专用的非对称的平台迁移密钥PEK对过程密钥进行加解密，采用公开密钥和对称密钥相结合的方式进行密钥迁移，不仅保证待迁移密钥的机密性和完整性，提高了迁移加解密的速度，并且可实现可信的第三方(如政府)对可信计算实行安全监管。
本实用新型的一种可信计算平台密钥迁移系统的技术方案是：它由两个可信计算平台构成，其中一个是需要迁移密钥的源平台，另一个是迁移密钥的目标平台；源平台中包括可信计算模块TPMA，该可信计算模块TPMA的存储器中存放有待迁移密钥migratedKey、过程密钥SymKey和源平台的平台身份密钥PIKa；目标平台包括可信计算模块TPMB，该可信计算模块TPMB的存储器中存放有迁移加密密钥MEK和目标平台的平台身份密钥PIKb；源平台与目标平台之间通过安全信道连接。
所述的两个可信计算平台各自独立：每个可信计算平台包括依次连接的CPU、图形与存储集中控制器(简称北桥)及周边设备集成集中控制器(简称南桥)；还有显示器及内存分别与图形与存储集中控制器(北桥)连接；还有键盘、硬盘、BIOS ROM及可信密码模块分别与周边设备集成集中控制器(简称南桥)连接。
本实用新型的技术效果是：不仅保证待迁移密钥的机密性和完整性，提高了迁移加解密的速度，并且可实现可信的第三方(如政府)对可信计算实行安全监管，所以，本实用新型实际运用于可信计算平台中，具有显著的安全效果。当可信计算平台发生灾难性事件，如可信密码模块被物理毁坏，那么存储其中的敏感数据，如密钥、授权数据都不会丢失，不会导致平台崩溃。
附图说明
结合附图和实施例对本实用新型作进一步说明如下：
图1为本实用新型的一种可信计算平台密钥迁移系统的的结构示意图。
图2为单个独立的可信计算平台结构示意图。
图3为生成平台身份密钥PIK和生成、激活平台身份证书的程序示意图。
具体实施方式
如图1所示：一种可信计算平台密钥迁移系统，它由两个可信计算平台构成，其中一个是需要迁移密钥的源平台100，另一个是迁移密钥的目标平台115；源平台100中包括可信计算模块TPMA 105，该可信计算模块TPMA 105的存储器中存放有待迁移密钥migratedKey、过程密钥SymKey和源平台100的平台身份密钥PIKa 110；目标平台115包括可信计算模块TPMB 120，该可信计算模块TPMB 120的存储器中存放有迁移加密密钥MEK和目标平台115的平台身份密钥PIKb 125；源平台100与目标平台115之间通过安全信道130连接。如图2所示：所述的两个可信计算平台各自独立：每个可信计算平台包括依次连接的CPU 000、图形与存储集中控制器(简称北桥)010及周边设备集成集中控制器(简称南桥)025；还有显示器005及内存015分别与图形与存储集中控制器(北桥)010连接；还有键盘020、硬盘040、BIOSROM 030及可信密码模块035分别与周边设备集成集中控制器(简称南桥)025连接。
图3说明分别生成源平台100和目标平台115的身份密钥PIK，以及分别生成、激活源平台100和目标平台115的身份证书过程。
开始，可信密码模块被载入密码模块密钥EK的私钥PRIEK 200，该过程可以由可信密码模块的制造商在生产阶段完成。可信密码模块将PRIEK保存在受保护存储区域内，应保证PRIEK不会泄露到可信密码模块之外，而PRIEK对应的公钥PUBEK则予以公开。
用户使用可信计算平台的第一步是可信密码模块初始化205。可信密码模块接受到用户的模块初始化请求后，生成一个存储主密钥SMK。SMK是一个对称密钥，其长度由可信密码模块所支持的对称密码算法决定。可信密码模块将SMK保存在受保护存储区域内，应保证SMK不会泄露到可信密码模块之外。
在可信密码模块生成平台身份密钥PIK之前，需要首先验证平台所有者和存储主密钥的授权210、215。外部实体输入所有者口令OwnerPIN，并用哈希算法SCH计算其哈希值OwnerAuthData＝SCH(OwnerPIN)，即为平台所有者的授权数据；再使用密码模块密钥的公钥对授权数据进行加密并植入到可信密码模块中EncOwnerAuthData＝ECC_Encrypt(PUBEK，OwnerAuthData)。可信密码模块使用密码模块密钥的私钥，对加密的授权数据进行解密得到授权数据的明文OwnerAuthData＝ECC_Decrypt(PRIEK，EncOwnerAuthData)，并与存放在模块内部的平台所有者授权数据的明文进行比较，如相同，则通过平台所有者授权验证；如不同，则返回错误码。验证存储主密钥的授权过程类似，只是外部实体输入的是存储主密钥口令SMKPIN。
另外，可信密码模块还需要设置PIK的授权数据220。外部实体输入PIK口令PIKPIN，并用哈希算法SCH计算其哈希值PIKAuthData＝SCH(PIKPIN)，即为PIK的授权数据；再使用密码模块密钥的公钥对授权数据进行加密并植入到可信密码模块中EncPIKAuthData＝ECC_Encrypt(PUBEK，PIKAuthData)。可信密码模块使用密码模块密钥的私钥，对加密的授权数据进行解密得到PIK授权数据的明文PIKAuthData＝ECC_Decrypt(PRIEK，EncPIKAuthData)，并存储于可信密码模块内部。
接下来，可信密码模块内部执行ECC密钥生成算法，生成PIK密钥对PIK＝ECC_GetKeyPair(void)225并存储。
可信方是一个第三方可信的平台，用来给可信密码模块颁发平台身份证书。可信密码模块使用PIK的私钥，采用ECC签名算法对可信方信息和PIK的公钥进行签名PIKSignature＝ECC_Sign(PRIPIK，(TPInfo||PUBPIK)，其中TPInfo是可信方的公钥的哈希值。可信密码模块再将PIK公钥，EK公钥和PIK签名发送给可信方230。可信方验证PIK的签名，使用ECC签名算法签署PIK证书PIKCredential。随机生成对称加密密钥SessionKey，并采用对称加密算法加密PIK证书。使用杂凑算法计算PIK公钥的哈希值idDigest＝SCH(PUBPIK)；使用密码模块密钥的公钥，采用ECC加密算法加密idDigest和SessionKey，EncTPContents＝ECC_Encrypt(PUBEK，(idDigest||SessionKey))，将加密的PIK证书和EncTPContents发送给平台235。可信密码模块使用密码模块密钥的私钥PRIEK，采用ECC解密算法解密EncTPContents，判断idDigest是否与PIK公钥的杂凑值相同。验证通过后，根据解密得到的SessionKey解密PIK证书PIKCredential＝SMS4_Decrypt(SessionKey，EncPIKCredential)从而激活PIK证书240。

Claims (2)

1.一种可信计算平台密钥迁移系统，其特征在于，它由两个可信计算平台构成，其中一个是需要迁移密钥的源平台(100)，另一个是迁移密钥的目标平台(115)；源平台(100)中包括可信计算模块(TPMA)(105)，该可信计算模块(TPMA)(105)的存储器中存放有待迁移密钥(migratedKey)、过程密钥(SymKey)和源平台(100)的平台身份密钥(PIKa)(110)；目标平台(115)包括可信计算模块(TPMB)(120)，该可信计算模块(TPMB)(120)的存储器中存放有迁移加密密钥(MEK)和目标平台(115)的平台身份密钥(PIKb)(125)；源平台(100)与目标平台(115)之间通过安全信道(130)连接。
2.按权利要求1所述的可信计算平台密钥迁移系统，其特征在于，所述的两个可信计算平台各自独立：每个可信计算平台包括依次连接的CPU(000)、图形与存储集中控制器(010)及周边设备集成集中控制器(025)；还有显示器(005)及内存(015)分别与图形与存储集中控制器(010)连接；还有键盘(020)、硬盘(040)、BIOS ROM(030)及可信密码模块(035)分别与周边设备集成集中控制器(025)连接。
CN2009202278957U 2009-09-04 2009-09-04 一种可信计算平台密钥迁移系统 Expired - Fee Related CN201479144U (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN2009202278957U CN201479144U (zh) 2009-09-04 2009-09-04 一种可信计算平台密钥迁移系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN2009202278957U CN201479144U (zh) 2009-09-04 2009-09-04 一种可信计算平台密钥迁移系统

Publications (1)

Publication Number Publication Date
CN201479144U true CN201479144U (zh) 2010-05-19

Family

ID=42415399

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2009202278957U Expired - Fee Related CN201479144U (zh) 2009-09-04 2009-09-04 一种可信计算平台密钥迁移系统

Country Status (1)

Country Link
CN (1) CN201479144U (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101651543B (zh) * 2009-09-04 2012-02-01 瑞达信息安全产业股份有限公司 一种可信计算平台密钥迁移系统及其密钥迁移方法
CN104052592A (zh) * 2011-07-21 2014-09-17 华为技术有限公司 一种基于可信计算的密钥备份和迁移方法及系统
CN107294710A (zh) * 2017-06-30 2017-10-24 浪潮(北京)电子信息产业有限公司 一种vTPM2.0的密钥迁移方法及装置

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101651543B (zh) * 2009-09-04 2012-02-01 瑞达信息安全产业股份有限公司 一种可信计算平台密钥迁移系统及其密钥迁移方法
CN104052592A (zh) * 2011-07-21 2014-09-17 华为技术有限公司 一种基于可信计算的密钥备份和迁移方法及系统
CN107294710A (zh) * 2017-06-30 2017-10-24 浪潮(北京)电子信息产业有限公司 一种vTPM2.0的密钥迁移方法及装置

Similar Documents

Publication Publication Date Title
CN101651543B (zh) 一种可信计算平台密钥迁移系统及其密钥迁移方法
CN102271037B (zh) 基于在线密钥的密钥保护装置
US9673975B1 (en) Cryptographic key splitting for offline and online data protection
CN102014133B (zh) 在云存储环境下一种安全存储系统的实现方法
CN107408175B (zh) 用于自加密驱动的挑战响应认证
CN101430747B (zh) 基于可信嵌入式平台的移动设备及其安全存储方法
CN103580855B (zh) 一种基于共享技术的UsbKey密钥管理方法
JP2017139811A5 (zh)
CN106027503A (zh) 一种基于tpm的云存储数据加密方法
AU2020244511B2 (en) Balancing public and personal security needs
CN105450620A (zh) 一种信息处理方法及装置
CN107908574A (zh) 固态盘数据存储的安全保护方法
US9280687B2 (en) Pre-boot authentication using a cryptographic processor
CN105468940B (zh) 软件保护方法及装置
CN105678173A (zh) 基于硬件事务内存的vTPM安全保护方法
CN101951315A (zh) 密钥处理方法及装置
US20230388121A1 (en) Method for encrypting and decrypting data across domains based on privacy computing
KR20230175184A (ko) 컴퓨터 파일 안전 암호화 방법, 암호 해독 방법과 판독 가능한 저장 매체
KR101639714B1 (ko) 스마트 그리드 기기 인증 방법
CN105850072A (zh) 数据处理系统、加密装置、解密装置以及程序
CN201479144U (zh) 一种可信计算平台密钥迁移系统
JPWO2020251795A5 (zh)
CN101651538A (zh) 一种基于可信密码模块的数据安全传输方法
CN201498001U (zh) 一种基于对称密钥密码的可信计算平台
CN110855429A (zh) 一种基于tpm的软件密钥保护方法

Legal Events

Date Code Title Description
C14 Grant of patent or utility model
GR01 Patent grant
PE01 Entry into force of the registration of the contract for pledge of patent right

Denomination of utility model: Creditable calculation platform key migration system and key migration method thereof

Effective date of registration: 20111228

Granted publication date: 20100519

Pledgee: Guangdong Development Bank, Limited by Share Ltd, Wuhan, East Lake branch

Pledgor: Ruida information security industry, Limited by Share Ltd|Shanghai Ruida safety integrated circuit Co., Ltd.

Registration number: 2011990000522

PC01 Cancellation of the registration of the contract for pledge of patent right

Date of cancellation: 20140304

Granted publication date: 20100519

Pledgee: Guangdong Development Bank, Limited by Share Ltd, Wuhan, East Lake branch

Pledgor: Ruida information security industry, Limited by Share Ltd|Shanghai Ruida safety integrated circuit Co., Ltd.

Registration number: 2011990000522

PE01 Entry into force of the registration of the contract for pledge of patent right

Denomination of utility model: Creditable calculation platform key migration system and key migration method thereof

Effective date of registration: 20140304

Granted publication date: 20100519

Pledgee: Guangdong Development Bank, Limited by Share Ltd, Wuhan, Wuchang branch

Pledgor: JETWAY Information Security Industry Co., Ltd.

Registration number: 2014990000132

PLDC Enforcement, change and cancellation of contracts on pledge of patent right or utility model
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20100519

Termination date: 20180904