JP7113123B2 - デバイス、及び方法 - Google Patents

デバイス、及び方法 Download PDF

Info

Publication number
JP7113123B2
JP7113123B2 JP2021125182A JP2021125182A JP7113123B2 JP 7113123 B2 JP7113123 B2 JP 7113123B2 JP 2021125182 A JP2021125182 A JP 2021125182A JP 2021125182 A JP2021125182 A JP 2021125182A JP 7113123 B2 JP7113123 B2 JP 7113123B2
Authority
JP
Japan
Prior art keywords
key
layer
nonce
authentication
authenticator
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2021125182A
Other languages
English (en)
Other versions
JP2022028632A (ja
Inventor
ハーシュマン,ジヴ
モラヴ,ダン
Original Assignee
新唐科技股▲ふん▼有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 新唐科技股▲ふん▼有限公司 filed Critical 新唐科技股▲ふん▼有限公司
Publication of JP2022028632A publication Critical patent/JP2022028632A/ja
Application granted granted Critical
Publication of JP7113123B2 publication Critical patent/JP7113123B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44Program or device authentication
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45Structures or tools for the administration of authentication
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/602Providing cryptographic facilities or services
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3265Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate chains, trees or paths; Hierarchical trust model

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Electrotherapy Devices (AREA)

Description

本発明は、セキュアコンピューティングに関するものであって、特に、レイヤードソフトウェアを動作するデバイスの認証(attestation)に用いる方法、および、システムに関するものである。
様々なセキュアコンピューティング環境において、コンピューティングデバイスは、認証器(verifier)として知られるエンティティに、その状態、および、身分を証明(prove)、あるいは、認証(attest)することが要求される。デバイス認証の方法は、従来の技術である。たとえば、トラステッドコンピューティンググループ(Trusted Computing Group、TCG)は、デバイス識別子コンポジションエンジン(DICE)を定義するとともに、DICEに基づいたデバイス認証アーキテクチャを開発している。DICEベースの認証スキームは、対称キー、あるいは、非対称キー暗号化を採用する。DICEベースの仕様は、本明細書で引用されるいくつかの参照文献で記述されている。
DICEのハードウェア要件は、2018年3月22の“Hardware Requirements for a Device Identifier Composition Engine,” Family “2.0” Level 00, Revision 78等の文献で記述されている。
非対称キー暗号化を用いたDICEベースの認証スキームは、2018年3月5日の“Implicit Identity Based Device Attestation,” Version 1.0, Revision 0.93等の文献を参照する。
対称キー暗号化を用いたDICEベースの認証スキームは、2020年1月7日の“Symmetric Identity Based Device Attestation,” Version 1.0, Revision 0.95等の文献を参照する。
DICEレイヤードアーキテクチャは、2020年3月19日の“DICE Layering Architecture,” Version 1.0, Revision 0.19等の文献を参照する。
DICE認証プロファイルは、2020年3月10日の“DICE Certificate Profiles,” Version 1.0, Revision 0.01 等の文献を参照する。
本発明は、ブート事象後の認証キー修正を含む、改善されたデバイス認証方法、および、システムを提供する。デバイスは、ネットワークインターフェース、メモリ、および、プロセッサを有する。ネットワークインターフェースは、通信ネットワークを介して認証器と通信する。メモリは、多層の可変コードを保存し、各層は、個別の測定値により識別される。プロセッサは、所定のブートサイクル内で、所定のブートサイクルだけと関連するノンス(nonce)を生成し、認証器からチャレンジを受け取って、可変コードの所定層を認証し、(i)デバイス中に安全に保存される一意のデバイスシークレット(Unique Device Secret、USD)、(ii)所定層が別の層により測定される測定値、および、(iii)所定のブートサイクル中に生成されるノンス、から、認証キーを引き出して、認証を計算し、認証キーを用いてチャレンジに署名することにより、チャレンジに対しレスポンスを計算するとともに、レスポンスを、認証器に送信して、所定層を検証(verify)する。
いくつかの実施形態において、プロセッサは、ノンスに基づいて、認証キーを計算し、所定のブートサイクルの前に、認証のために、プロセッサにより用いられた認証キーは、所定のブートサイクル中に無効になり、認証できない。別の実施形態において、プロセッサは、所定層、および、所定層の前に実行される各層の可変コードが、所定のブートサイクルで完全なまま保持されているときでも、認証キーを、所定のブートサイクルの前に、認証のために、プロセッサにより用いられた認証キーと異なるように設定する。さらに別の実施形態において、認証キーは、ノンスに基づいた対称キーを有すると共に、プロセッサは、対称キーを用いて、少なくともチャレンジに署名することによりレスポンスを計算するとともに、レスポンスとノンス両方を認証器に送信する。
一実施形態において、認証キーは、ノンスに基づいた非対称キーを有し、且つ、プロセッサは、非対称キーのプライベートキーを用いて、チャレンジに署名することによりレスポンスを計算するとともに、レスポンスを、ノンスではなく、認証器に送信する。別の実施形態において、プロセッサは、認証キーを有する各層に対し、非対称キーを生成し、各非対称キーは、皆、個別のプライベートキー、および、パブリックキーを有し、認証のチェーン(chain of certificates)を生成し、所定層中の認証は、後続の一層中で生成されるパブリックキーを認証(certify)し、且つ、所定層で生成されるプライベートキーを用いて署名するとともに、認証のチェーンを認証器に送信して、認証キーの認証済みのパブリックキーを用いて、検証を実行する。さらに別の実施形態において、認証のチェーンは、ノンスから独立して生成された認証を有するとともに、デバイスが、特定の製造業者により製造されたことを証明する。
いくつかの実施形態において、プロセッサは、所定層の前に実行されるトラスト層中にノンスを生成して、トラスト層中で、ノンスに基づいて、シークレットを計算するとともに、シークレットに基づいて、認証キーを計算する。別の実施形態において、プロセッサは、所定順序で、多層のコードを実行するとともに、選択された層が、認証器により既に検証されたときだけ、所定順序にしたがって、選択された一層から後続の一層に進む。さらに別の実施形態において、プロセッサは、ノンスに基づいて、認証キーを計算し、ゼロデイ攻撃(zero-day attack)を軽減する。
本発明の一実施形態は、さらに、一方法を提供する。通信ネットワークを介して、認証器と通信するデバイスにおいて、デバイスのメモリ中に、多層の可変コードを保存し、各層は、個別の測定値により識別される。所定のブートサイクル中、所定のブートサイクルだけと関連するノンスが生成される。チャレンジは、認証器から受信されて、可変コードの所定層を認証する。認証キーは、(i)デバイス中に安全に保存される一意のデバイスシークレット(USD)、(ii)所定層が別の層により測定される測定値、および、(iii)所定のブートサイクルに生成されるノンスから、認証キーを引き出すことにより計算される。チャレンジに対するレスポンスは、認証キーを用いてチャレンジに署名することにより計算される。このレスポンスは認証器に送信されて、所定層を検証する。
本発明の一実施形態は、さらに、認証器を提供し、認証器は、ネットワークインターフェース、および、プロセッサを有する。ネットワークインターフェースは、通信ネットワークによりデバイスと通信し、デバイスは、多層の可変コードを有するとともに、所定のブートサイクルだけと関連するノンスを生成する。プロセッサは、チャレンジをデバイスに送信して、可変コードの所定層を検証して、デバイスから、デバイスがチャレンジにレスポンスして生成されるレスポンス情報を受信し、レスポンス情報は、所定のブートサイクルに関連するノンスに基づくとともに、レスポンス情報を用いて、可変コードの所定層を検証する。
いくつかの実施形態において、レスポンス情報は、少なくとも、ノンスに基づいた認証キーにより署名されるチャレンジを有し、且つ、プロセッサは、チャレンジを送信する前、認証器のメモリ中に安全に保存し、デバイス情報はノンスと併せると、認証キーをリカバーするのに十分であり、デバイスからノンスを受信して、デバイス情報、および、受信されたノンスを用いて、認証キーをリカバーするとともに、リカバーされた認証キーを用いて、可変コードの所定層を検証する。別の実施形態において、レスポンス情報は、(i)非対称認証キーのプライベートキーを用いて署名されたチャレンジのデジタル署名、および、(ii)所定層に関連するパブリックキーの認証、を有し、且つ、プロセッサは、パブリックキーに適合するプライベートキーを用いて署名された認証中で認証されたパブリックキーを検証するとともに、その後、検証済みのパブリックキーを用いて、デジタル署名を検証する。
本発明の一実施形態は、さらに、デバイス検証方法を提供する。本方法において、通信ネットワークにより、デバイスと通信するサーバにおいて、デバイスは、多層の可変コードを有するとともに、所定のブートサイクルだけと関連するノンスを生成し、チャレンジをデバイスに送信して、可変コードの所定層を検証する。チャレンジにレスポンスするため、デバイスにより生成されるレスポンス情報は、デバイスから受信され、レスポンス情報は、所定のブートサイクルに関連するノンスに基づく。可変コードの所定層は、レスポンス情報を用いて検証される。
これら、および、その他の実施形態は、以下の詳細な記述と、図面と併せて参照することによりさらに完全に理解することができる。
本発明の認証スキームは、ゼロデイ攻撃等の危害を軽減することができる。この認証スキームは、対称な認証キー、および、非対称認証キー両方に対し適用可能である。
本発明の一実施形態によるセキュアデバイス認証をサポートするコンピューティングシステムのブロック図である。 本発明の一実施形態による対称キー認証に用いられるデバイスレイヤードスキームを示す図である。 ここで開示されるいくつかの実施形態による対称キー暗号化を用いたデバイス認証と検証の方法を図式化して説明するフローチャートである。 本発明の一実施形態による非対称キー認証に用いるデバイスレイヤードスキームを図式化して説明する図である。 本発明のいくつかの実施形態による非対称キー暗号化を用いたデバイス認証と検証に用いる方法を図式的に説明するフローチャートである。
本発明の実施形態は、ブート事象後の認証キー修正を含む、改善されたデバイス認証方法、および、システムを提供する。
クラウド、および、その他のコンピュータ環境、たとえば、インターネットオブシングス(IoT)ネットワーキングにおいて、コンピューティングデバイスは、多層のコードを含むソフトウェアを動作する。各層のコードは、時々、修正される(たとえば、バグ修正)、あるいは、アップグレード版をダウンロードする。可変コードはハッカーに攻撃されやすいので、安全要求は、コンピューティングデバイスの身分とソフトウェア状態を検証する必要がある。
いくつかの実施形態において、外部認証器は、チャレンジ・レスポンスプロトコル(challenge-response protocol)を用いて、コンピューティングデバイス(たとえば、所定のコード層)を検証する。認証器は、チャレンジをデバイスに送信し、デバイスは、認証レスポンスを認証器に送り返して、コンピューティングデバイスの身分とインテグリティを検証する。デバイスは、通常、チャレンジに対し、適当な暗号化操作を適用することにより、レスポンスを計算し、たとえば、シークレット認証キーを用いて、デジタル署名を生成する。
以下の記述、および、請求項において、用語“認証(attestation)”は、要求されるデバイスにより実行され、その状態を認証する操作のことを意味し、用語“検証(verification)”は、外部認証器により実行され、デバイスをトリガーして、認証を実行するとともに、デバイス状態を検証する操作のことを意味する。認証器、および、認証器からの認証要求にレスポンスするデバイスの、両方を有するスキームは、ここで、“認証スキーム(attestation scheme)”と称される。
いくつかの実施形態において、認証キーは、コード層により生成されるシークレットから引き出され、デバイスの身分とコード層の測定値に基づく。所定のコード層の測定値は、安全なハッシュ関数を、下層コード、あるいは、ファームウェアに適用した結果を有する。認可されていない人が、一つ以上のコード層を修正するが、適合する認証キーへのアクセス権がないとき、検証は失敗する。
ある種の攻撃において、デバイスシークレットキーは漏れる可能性があるとともに、認可されていない攻撃者により用いられて、認証を実行し、そのデバイスに成りすます。秘密漏れを検出するとき、デバイス所有者は、デバイスに、アップデートされたソフトウェア、あるいは、ファームウェアバージョンをダウンロードして、漏れの源を断つ。しかし、リークの修復、ならびに、フィールド内での大量のデバイスの更新は、長い時間を費やし、これらの時間中に、攻撃者は、重大な被害を与える。
注意すべきことは、リブート後、デバイスがアップデートされる前、デバイスは同じ認証キーを生成し、これは、攻撃者により既に知られているので、攻撃が成功する恐れがある。この種の攻撃の一例は、“ゼロデイ攻撃(zero-day attack)”と称される。
開示される実施形態において、デバイスは、各ブート事象の後、異なる認証キーを生成する。その結果、リブート前の認証キーの値は、リブート後の認証に対して無効になる。このメカニズムは、ゼロデイ攻撃を含む各種攻撃に対する認証-検証スキームの安全性を増加させる。
ネットワークインターフェース、メモリ、および、プロセッサを有するデバイスを考察する。ネットワークインターフェースは、通信ネットワークを介して認証器と通信する。メモリは、多層の可変コードを保存し、各層は、個別の測定値により識別可能である。プロセッサは、所定のブートサイクルにおいて、所定のブートサイクルだけと関連するノンスを生成する。プロセッサは、認証器からチャレンジを受信して、可変コードの所定層を認証するとともに認証キーを計算し、(i)デバイス中に安全に保存される一意のデバイスシークレット(USD)、(ii)所定層が別の層により測定される測定値、および、(iii)所定のブートサイクルに生成されるノンス、から認証キーを引き出す。プロセッサは、認証キーを用いてチャレンジに署名することにより、チャレンジにレスポンスを計算するとともに、レスポンスを認証器に送信して、所定層の識別とインテグリティを検証する。以下の記述、および、請求項において、“所定因子から認証キーを引き出す”というのは、この因子を修正すると、認証キーの修正が生じることを意味する。しかし、認証キーは、その因子から、直接、あるいは、間接的に引き出される恐れがある。
開示される実施形態において、プロセッサは、各層に沿って、シークレットチェーンを生成し、信頼できるハードウェア層で開始され、この層は、デバイス識別子コンポジションエンジン(DICE)層と称される。上で引用されるDICE基準によると、DICE層は、一意のデバイスシークレット(USD)を安全に保存する。このUDSは、DICE層とその他の層を含む信頼のチェーンの信頼の基点(Root of Trust、RoT)となる。
ブート時、プロセッサは、無条件に、DICE層を実行し、DICE層は、第一可変層の測定を実行する。UDSと測定に基づいて、DICE層は、第一可変層に対して、コンパウンド識別(CDI)で示されるシークレットを生成する。類似する方式で、各可変層は、前の層で生成されるシークレット、および、次の層の測定から、次の層にシークレットを生成する。プロセッサは、前の層により生成されたその層のシークレットから、所定層に対し、認証キーを引き出す。
いくつかの実施形態において、プロセッサは、ノンスに基づいて、認証キーを計算し、所定のブートサイクルの前に、認証のために、プロセッサにより用いられた認証キーは、所定のブートサイクル中に無効になり、認証できない。プロセッサは、所定層、および、所定層の前に実行される各層の可変コードが、所定のブートサイクルで完全なまま保持されているときでも、認証キーを、所定のブートサイクルの前に、認証に用いられる認証キーと異なるように設定する。
一実施形態において、認証キーは、ノンスに基づいた対称キーを有し、且つ、プロセッサは、対称キーを用いて、少なくともチャレンジに署名することにより、レスポンスを計算するとともに、レスポンスとノンス両方を認証器に送信する。
別の実施形態において、認証キーは、ノンスに基づいた非対称キーペアを有し、且つ、プロセッサは、非対称キーペアのプライベートキーを用いて、チャレンジを署名することによりレスポンスを計算するとともに、レスポンスを、ノンスではなく、認証器に送信する。この場合、プロセッサは、認証キーを有する各層に、非対称キーを生成し、各非対称キーペアは、皆、個別のプライベートキー、および、パブリックキーを有する。プロセッサは、認証のチェーンを生成し、所定層中の認証は、後続の一層中で生成されるパブリックキーを認証し、且つ、所定層で生成されるプライベートキーを用いて署名される。プロセッサは、認証のチェーンを認証器に送信して、認証キーの認証済みのパブリックキーを用いて、検証を実行する。
一実施形態において、認証のチェーンは、ノンスから独立して生成された認証を有し、この認証は、デバイスが、特定の製造業者により製造されていることを証明する。この認証は、認証のチェーンを開始するとともに、外部認証機関(certification authority)により生成される。
いくつかの実施形態において、プロセッサは、所定層の前に実施されるトラスト層(検証される層)中にノンスを生成して、トラスト層中で、ノンスに基づいて、シークレットを計算するとともに、シークレットに基づいて、認証キーを計算する。
プロセッサは、通常、所定順序で、多層のコードを実行する。一実施形態において、プロセッサは、順序にしたがって、全層を実行するとともに、最後の層を認証する。別の実施形態において、プロセッサは、選択された層が、認証器により既に検証されているときのみ、所定順序にしたがって、選択された一層から後続の一層に進む。
開示される技術において、認証スキームが記述され、その中のデバイスは、ブートサイクルと関連するランダムなノンスを生成すると共に、間接的に、そのノンスに基づいて、認証キーを計算する。このスキームにおいて、前のブートサイクルで用いられた認証キーは、リブート後、無効になって、認証できない。開示される認証スキームは、デバイスが、たとえば、ゼロデイ攻撃等の危害を軽減することができるようにする。開示される認証スキームは、対称な認証キー、および、非対称認証キー両方に対し適用可能である。
システム記述
図1は、本発明の一実施形態による安全なデバイス認証をサポートするコンピューティングシステム20を図式的に説明するブロック図である。
コンピューティングシステム20は、通信ネットワーク32を介して、管理サーバ28により制御される複数のコンピューティングデバイス24を有する。通信ネットワーク32は、任意の適当なパケットネットワークを有し、任意の適当な通信プロトコル、たとえば、イーサネット(Ethernet network)、あるいは、IPネットワーク、たとえば、インターネットを用いて操作される。通信ネットワーク32は、ローカルエリアネットワーク(LAN)、広域ネットワーク(WAN)、ワイヤレスネットワーク、あるいは、いくつかのタイプのパケットネットワークの組み合わせを有する。
コンピューティングシステム20は、たとえば、低コストのデバイス、たとえば、インターネットオブシングス(IoT)デバイス(24)の検証に用いられてもよい。代替的に、あるいは、追加的に、別のタイプのコンピューティングデバイス、たとえば、サーバは、さらに、開示される認証、および、検証技術を使用してもよい。
コンピューティングデバイス24(簡潔に、“デバイス”とも称する)は、プロセッサ40を有し、バス52、たとえば、ペリフェラルコンポーネントインターコネクトエクスプレスバス(PCIe)、あるいは、その他の任意の適切なバスにより、書き換え可能メモリ44、および、リードオンリメモリ(ROM)48に結合される。コンピューティングデバイス24は、ネットワークインターフェース54、たとえば、ネットワークインターフェースコントローラー(NIC)を用いて、通信ネットワーク32にアクセスする。
プロセッサ40は、通常、一つ以上の応用プログラムを動作する。このような応用プログラムは、通信ネットワーク32を介して、別のデバイスやサーバと相互作用し、これらの相互作用は、デバイスが、セキュリティ攻撃を受けやすくする。各種タスク中で、プロセッサ40は、認証関数56を実行して、その状態と身分を証明し、以下で詳細に記述される。注意すべきことは、はっきりとさせるために、認証関数56は、図面中では、プロセッサにより実施されるとして示されている。しかし、認証関数のコードは、通常、メモリ44中に保存される(あるいは、プロセッサによりアクセス可能な任意のその他の適当なメモリ中-図示されない)。
ROM48はブートコード58を保存し、このブートコードは、リセット、あるいは、電源がオンの時、プロセッサ40により無条件に実行される。メモリ44は、複数のソフトウェア層60を保存し、ソフトウェア層60は、必要時に修正され、たとえば、機能的なバグを修正する、あるいは、セキュリティ上の弱点を解決する。図1の例において、前の三層60は、L0、L1、および、L2で示される。ブートコード58は“DICE層”とも称される。このDICE層は、不変、且つ、安全性が高く、これにより、トラスト層であると見なされる。
各層は、後続の、あるいは、前の一層と秘密情報を安全に交換し、よって、DICE層から開始される信頼のチェーンを構築する。たとえば、いくつかの実施形態において、UDS(たとえば、層L0…Lnから)へのアクセスは、DICE層が制御信号を層0に伝達する前はブロックされる。一般的に、各層Liは、制御信号を次の層Li+1に送信する前、そのシークレットSi、および、その他のシークレット情報にアクセスするのを防止する。アクセスの防止は、たとえば、アクセスをブロックすることにより、あるいは、メモリから、層Li中のシークレット情報を消去することにより実行される。
以下の記述において、ある操作を実行する一層に言及した場合、プロセッサ40が、層中のコードにより実行されるタスクを実行することを意味する。
ブートシーケンスは、プロセッサ40が、ブートコード58を実行することから開始され、続いて、下層操作システム、および、アプリケーションがオンになって、動作するまで、ソフトウェア層60を順次に実行する。これらの層の順次的な実行は、信頼のチェーンを形成し、各トラスト層は、シークレットを後続の一層に提供する。信頼できるソフトウェア層は、信頼されて、ある属性を有することができる。たとえば、トラスト層は信頼されて、前のトラスト層により生成されるシークレットを保有することができる。
コンピューティングデバイス24は、認証の信頼の基点となる一意のデバイスシークレット(USD)62を有する。いくつかの実施形態において、UDS62は不変であり、且つ、ハードウェア中に安全に組み込まれる。たとえば、UDSは、ワンタイムプログラマブル(OTP)メモリ中で、あるいは、物理複製困難関数(PUF)として実行されてもよい。あるいは、UDSは、ROM48で焼かれる。あるいは、ハードウェア中にUSD62を安全に組み込むその他の任意の適切な方法を用いることもでき、たとえば、OTP、PUF、および、ROMのいくつか、あるいは、全部の組み合わせを使用してもよい。
UDSは、DICE層だけによりアクセス可能であると推定される。デバイスのブート時、DICE層は、UDS62からシークレットを生成し、このシークレットは、TGC仕様中で、複合デバイス識別子(CDI)66と称される。DICE層は、安全な方式で、CDIを層L0に提供する。
コンピューティングデバイス24は、暗号エンジン70を有し、各種暗号化操作、たとえば、暗号化、復号、ハッシュ、デジタル署名の生成と検証、乱数の生成等をサポートする。いくつかの実施形態において、暗号エンジン70は、プロセッサ40の代わりに、デバイス認証に必要な暗号化計算を実行する。
暗号エンジン70は、乱数発生器(Random Number Generator、RNG)72を有して、ランダム、あるいは、疑似乱数暗号ノンス74を生成して、プロセッサ40がそれを認証に用いる。以下で記述されるように、暗号ノンス74は、暗黙に、認証キーを修正して、ブート事象前の認証キーの値は、ブート事象後、無効になり、認証できない。
暗号ノンス74は、ランダム、あるいは、疑似乱数を有するとともに、十分なビット数を有して、重複するノンス値がほぼ生成されないように確保する。開示される認証スキームにおいて、暗号ノンス74は、ブートサイクルと関連して生成され(たとえば、ブートサイクル事に一回)、以下で詳細に記述される。
管理サーバ28は、ホストプロセッサ76、および、メモリ80を有する。管理サーバ28は、ネットワークインターフェース84を用いて、通信ネットワーク32を介して、コンピューティングデバイス24と通信する。いくつかの実施形態において、メモリ80は、そのコントロール下にあるコンピューティングデバイス24のデータベース(DB)88、および、ポリシー90を保存する。メモリ80は、たとえば、ランダムアクセスメモリ、不揮発性メモリ、あるいは、その他の任意の適当なタイプのストレージを有する。管理サーバ28は、各種目的、たとえば、ソフトウェアプロビジョ二ングで、コンピューティングデバイス24と通信し、デバイス24に命令を送信して、関連のあるタスクを実行するとともに、デバイスからの報告を受信する。管理サーバ28は、認証器プログラム86を用いて、デバイス24の身分と状態を検証する。簡潔にするため、ここでは、認証器プログラム86は、簡潔に、“認証器”と称する。認証器(および、デバイス24)は、適当なチャレンジ・レスポンス方法を実行することができ、以下で詳細に記述される。
ポリシー90は、ホストプロセッサ76に、デバイス24に適用する安全ポリシーを指定する。所定ポリシーは、デバイス検証を実行するスケジュール、各デバイス中のどの層が、検証を必要としているか、デバイスが検証を失敗するとき、どのような動作を採取するか、認可されたファームウェアバージョン等を指定する。
図1に示されるコンピューティングシステム20、コンピューティングデバイス24、および、管理サーバ28の設定は例示的な設定であり、単に、概念を明確にする目的のために描かれている。代替的な実施形態において、その他の任意の適切なコンピューティングシステム、コンピューティングデバイス、および、管理サーバを使用することができる。開示される技術の理解のために必須ではない素子は、簡潔にする目的のために、図面から省略される。
各種実施形態において、コンピューティングシステム20の異なる素子(たとえば、コンピューティングデバイス24)は、任意の適当なハードウェア、たとえば、一つ以上の個別部品、一つ以上の特定用途向け集積回路(ASIC)、および/あるいは、一つ以上のフィールドプログラマブルゲートアレイ(FPGA)を用いて実行されてもよい。あるコンピュータシステム素子は、ソフトウェアで実行される、あるいは、ソフトウェア、および、ハードウェア素子の組み合わせを用いて実行される。
いくつかの実施形態において、プロセッサ40、および、ホストプロセッサ76はそれぞれ、汎用プログラマブルプロセッサを有し、ソフトウェアでプログラムされて、ここで開示される機能を実行する。ソフトウェアは、ネットワークにより、電子形式で、関連のあるプロセッサにダウンロードされる、および/あるいは、非一時的な有形的表現媒体、たとえば、磁気、光学、電子メモリに保存されてもよい。
対称キー暗号化を用いた認証スキーム
図2は、本発明の一実施形態による対称キー認証に用いられるデバイス分層スキームを図式的に説明する図である。
図2において、コンピューティングデバイス100は、認証器104を動作する管理サーバ102を用いて検証される。コンピューティングデバイス100、管理サーバ102、および、認証器104は、図1のコンピューティングデバイス24、管理サーバ28、および、認証器プログラム86を実行するのに用いられてもよい。
デバイス100は、多層コードを動作し、簡潔にするために、“層”と称する。第一層は“DICE層”112で示され、この層は、通常、不変コードを有する。可変コードを動作するその他の層は、L0…Lnとして示される。図2において、簡潔にするため、層L0114、および、Ln116だけが示される。DICE層は、信頼の基点層として作用するとともに、通常、デバイスブート時に、無条件に実行される。層L0…Lnは、通常、DICE層の後に、所定順序(たとえば、連続的に)で実行される。コンピューティングデバイス100により実行される各種タスクは、層L0…Ln、および、認証タスクを有し、プロセッサ40により実行される。
デバイス100は、秘密鍵生成(Secret Chain Generation、SCG)106モジュール、および、認証モジュール108を有する。SCG106中の層は、S0…Snで示されるシークレットのシーケンスを生成する。DICE層は、層L0中で用いられる第一シークレットS0を生成し、層L0は、層L1中で用いられるシークレットS1を生成し、以下同様である。本例において、認証モジュール108は、最後の層Lnに結合される。信頼のチェーンに基づいて、この場合の認証は、DICE層、および、可変層L0…Lnをカバーする。あるいは、認証モジュール108は、層L0…Ln-1から選択される中間層Liに結合され、この時、認証は、DICE層、および、各層L0…Liをカバーする。
図2において、DICE層、および、各層L0…Ln-1は、一方向性関数(One-Way Function、OWF)120を有し、L1…Ln間で、対応する次の層に、シークレットを生成する。特に、DICE層112のOWFは、L0に、シークレットS0を生成し、層L0のOWFは、L1に、シークレットS1を生成し、以下同様である。
L0…Lnの各層は、対応する測定値(128)M0…Mnにより識別可能である。一層の測定値は、たとえば、層のコードにより計算される暗号化ハッシュ関数(cryptographic hash function)、ソフトウェアイメージ、データ、および/あるいは、ファームウェア、あるいは、上記の二個以上の組み合わせを有する。いくつかの実施形態において、所定層Liにより生成されるシークレットSi+1は、所定層が、次の層に(層順に従って)測定を実行して得られる測定値Mi+1、および、前の層Li-1により生成されるシークレットSiに基づいて生成される。いくつかの実施形態において、上記のスキームを用いることにより、各層は、信頼できると推定される、あるいは、前にすでに信頼できるとして検証された一層により測定される。
OWF120は、逆演算するのが困難な特性を有するべきで、OWFの出力シークレット(Si+1)、および、入力測定値Miから、OWFの入力シークレット(たとえば、シークレットSi)を推定するのは困難である。例示的実施形態において、OWF120は、暗号化が安全なハッシュ関数を有する。例のOWF120関数は、これらに制限されないが、メッセージ確認コード(MAC)、ハッシュベースMAC(HMAC)、暗号ベースMAC(CMAC)、および、SHA-3ベース関数Keccak MAC(KMAC)を有する。
本明細書で開示されるいくつかの実施形態において、HMAC関数をOWF120の例としている。この方法は、1997年2月の世界に公開されているインターネットの各種の規約(Request for Comments、RFC)2104、“HMAC: Keyed-Hashing for Message Authentication”というタイトルの文献中ですでに説明されている。
シークレットS0を生成するため、DICE層は、一層L0の測定値128Aを生成する。DICE層は上の一層がなく、安全に組み込まれた一意のデバイスシークレット(USD)124を有する。UDSは、DICE層、および、認証器だけに知られている。実施方式の差異に基づき、UDSは、また、デバイス製造業者に知られていることがある。一実施形態において、DICE層は、HMAC関数を用いて、S0=HMAC(M0、UDS)を計算することにより、シークレットS0を生成し、UDSはHMACキーとなる。TPG専門用語において、DICE層により生成されるシークレットS0は、複合デバイス識別子(CDI)とも称される。
シークレットS1を生成するため、層L0は、層L1の測定値128B(M1で表示)を生成するとともに、DICE層からシークレットS0を受信する。本例において、層L0は、乱数発生器(RNG)132を有して、デバイスのブート後に、“Na”で表示されるノンスを生成する。いくつかの実施形態において、層L0のOWFは、(i)層L1の測定値M1、(ii)DICE層からのシークレットS0、および、(iii)RNG132を用いて生成されるノンスNa、を入力として受信する。層L0のOWFは、S1=HMAC([M1|Na],S0)を計算することにより、シークレットS1を生成し、S0はHMACキーを有し、連結データ[M1|Na]は、HMAC関数へのデータ入力である。その他の層において、シークレットSi+1は、Si+1=HMAC([Mi+1],Si)により計算される。
図2の例において、ノンスNaは、層L0のOWFの入力であり、このノンスは、通常、最小コードで実施され、この最小コードは、バグが発生しないことが予期され、アップデートが不要であり(あるいは、ごくまれに一回アップデート)、これにより、L0は、トラスト層であると見なされる。しかし、一般的に、ノンスNaは、L1…Ln等のその他の層中の任意の信頼できると見なされるOWFの入力である。
いくつかの実施形態において、L0…Ln中の一つ以上の層は、各自ファームウェアセキュリティ記述子(Firmware Security Descriptor、FSD)136を有する。FSDは、一層が有する、あるいは、自身で計算するセルフ測定値を有する。図2において、たとえば、層L0はFSD136Aを有し、層Lnは、FSD136Bを有する。層L0…Ln-1の各層中、FSDは、OWFにより計算されるシークレットを組み込む。たとえば、図2の層L0中、FSD136Aが、層L0のOWFに提供される。この時、OWFは、S1=HMAC([M1|FSD|Na],S0)で、S1を計算する。この時、シークレットS1は、L0とL1両方により測定される測定値M1に基づく。
図2の例において、最後の層(Ln116)は、認証モジュール108を用いて、デバイス認証プトロコルを実行する。この認証プトロコルは、記述されるように、通常、デバイス側で実行され、(i)認証器104からチャレンジを受信する、(ii)認証キーを用いてチャレンジに署名して、レスポンスを生成する、および、(iii)レスポンスを認証器に送信して検証する。
層Lnは、鍵導出関数(KDF)140を用いて、シークレットSnから、認証に用いられるSKnで示される一個の対称キー144を生成する。疑似ランダム関数を用いた鍵導出関数のいくつかの族は、たとえば、2009年10月のLily Chenによる NIST special publication 800-108、 “Recommendation for Key Derivation Using Pseudorandom Functions (Revised)”というタイトルの文献ですでに記述されている。認証モジュール108は、認証器(通常、Cは一個のランダム、あるいは、疑似乱数を有する)により生成される“C”により示されるチャレンジ、および、RNG160により、チャレンジにレスポンスして生成される“Nd”で示されるデバイスノンスを受信する。認証モジュール108は、SKn144を用いることにより、[C|Nd]に署名することにより、“R”で示されるレスポンスを生成する。
認証器は、デバイスからレスポンスRを受信するとともに、さらに、NaとNdを受信し、且つ、SKnと同じキー値を用いて、[C|Nd]に署名することにより、局部的にR’を計算する。いくつかの実施形態において、認証器は、UDS、および、測定値Miに基づいて、デバイスが、局部的にそのSKnを計算するのと同じアーキテクチャ、OWF、および、KDF関数を用いて、SKn自体を計算する。RとR’が等しいとき、デバイスは、検証に成功する。デバイスのブート後、ノンスNaが再生成され、このノンスNaは、ブート前のその値に比べて、間接的に、認証キーSKnの値に変更をもたらす。その結果、ブート前にSKnの値を抽出する攻撃者は、ブート後に、それを認証に用いることができない。
図3(A)および(B)は、ここで開示されるいくつかの実施形態による対称キー暗号化を用いるデバイス認証と検証の方法を図式的に説明するフローチャートである。
認証スキームは、図1のデバイス24、および、認証器プログラム86により実行される。デバイス24は、図2で示されるレイヤードスキームを実行すると推定される。認証プトロコルの実行において、デバイスと認証器は、たとえば、通信ネットワーク32を介して、互いに通信する。
図3(A)(デバイス部分)の方法は、ブート工程200から開始され、デバイス24のプロセッサ40は、ブートサイクルを開始する。ブートの実行において、プロセッサ40は、DICE層112の実行を開始する。ノンス生成工程204において、プロセッサは、現在のブートサイクルだけと関連するノンスNaを生成する(RNG132を用いる)とともに、Naを認証器に送信する。あるいは、プロセッサは、ノンスNaを、L1…Ln中の少なくともいくつかの層を越えて安全に送信するとともに、L0以外の一層、たとえば、Lnにより、Naを認証器に送信する。一実施形態において、プロセッサは、ノンスNaと以下の工程220中のレスポンスを一緒に送信する。
キー生成工程212において、プロセッサは、層Ln中で、“SKn”で示される対称な認証キーを生成する。たとえば、プロセッサは、関数OWF120を、層LnのシークレットSnに適用することにより、SKnを生成する。認証キーSKnは、ある層で開始されるシークレットチェーンにより、ノンスNaに基づいて決定され、Naは層のOWFの入力値である。
チャレンジ受信工程216において、プロセッサは、認証器から、チャレンジCを受信して、最後の一層Lnを検証する。あるいは、プロセッサはチャレンジを受信して、L0…Ln-1中の別の層を検証する。
レスポンス計算工程220において、プロセッサは、チャレンジにレスポンスして、認証キーSKnを用いて、チャレンジCに署名することにより(たとえば、署名関数148を用いる)、Rで示されるレスポンスを生成する。たとえば、プロセッサは、R=MAC(C,SKn)で、レスポンスを計算する。いくつかの実施形態において、プロセッサは、Cに対し、Ndで示されるデバイスノンスを生成する(たとえば、RNG160を用いる)とともに、R=MAC([C|Nd]、SKn)で、レスポンスを計算する。ノンスNdをレスポンスRに組み込むのは、複数の選択されたチャレンジ値を、デバイスに送信することにより、SKnを推定することを試みる攻撃を克服する手助けをする。さらに、工程220において、プロセッサ40は、レスポンスRを認証器に送信する。上記のように、いくつかの実施形態において、工程220で、プロセッサは、レスポンスR、および、ノンスNaを認証器に送信する。
ブートクエリー工程228において、プロセッサは、リブートが必要か、あるいは、今発生しているかをチェックし、そうでない場合、工程216に戻って、同じブートサイクル内で、次のチャレンジを受信して、同一、あるいは、別の層を検証する。そうでなければ、プロセッサは工程200に戻って、後続のブートサイクルを開始するとともに、前のブートサイクルで用いられるNa値と異なる値を有するノンスNaを再生成する。
図3(A)の実施形態において、プロセッサは、一ブートサイクル毎に、一回、SKnを生成する。別の実施形態において、プロセッサは、チャレンジCを受信することに対応して、SKnを生成する。この実施形態において、図3(A)の工程212は、工程216の後、工程220の前に実施されてもよい。
図3(B)の方法(認証器部分)は、通常、図3(A)の方法と並行して実行される。図3(B)の方法は、ストレージ工程250から開始され、ホストプロセッサ76は、デバイス情報を認証器のデータベース(たとえば、DB88)に保存する。デバイス情報は、所定のチャレンジに対してレスポンスを生成するとき、デバイスにより用いられる対称な認証キーSKnをリカバーするのに用いられる。この目的で、ホストプロセッサは、各デバイスに対し、デバイス情報を保存し、少なくともデバイスのDICE層UDS(62)、デバイスにより用いられる層設定、および、各層と関連した測定値を含む。認証器は、デバイス情報(および、ノンスNa)を用いて、認可されたデバイスにより計算されるのと同じSKn値を局部的に計算し、以下で記述される。
ノンス受信工程254において、認証器はノンスNaを受信し、これは、現在のブートサイクルと関連するデバイスにより生成される。通常、デバイスは、Naを、一ブートサイクル毎に、一度、認証器に提供する。あるいは、デバイスは、同じブートサイクル中に、Naを何回も生成するとともに、毎回アップデートされたNaを認証器に報告してもよい。いくつかの実施形態において、認証器は、工程254でノンスNaを受信するのではなく、以下の工程262で記述されるように、Naとレスポンスを一緒に受信する。
チャレンジ送信工程258において、認証器は、チャレンジCを生成して、デバイスの層Lnを検証すると共に、チャレンジをデバイスに送信する。認証器は、通常、乱数、あるいは、疑似乱数としてチャレンジを生成する。認証器は、毎回、異なるチャレンジを発するので、前のレスポンスの知識は、全く役に立たない。異なるチャレンジの使用は、たとえば、リプレーアタック(replay attack)の軽減に有用である。認証器は、任意の適当な時間で、たとえば、デバイスからの要求への応答時、管理者の要求による制御、あるいは、定期的にチャレンジを生成、および、送信してもよい、。
レスポンス受信工程262において、認証器は、デバイスから、工程258で、前に送信されるチャレンジCに対応するデバイスレスポンスRを受信する。キーリカバリー工程266において、認証器は、工程250で保存されたデバイス情報、および、工程254で受信されたノンスNaを用いて、対称な認証キーSKnの複製SKn’を局部的に再生成する。
検証工程270において、認証器は、レスポンスR、および、リカバーされた認証キーSKn’を用いて、デバイスの層Lnを検証する。デバイス中の信頼のチェーンのために、層Lnを検証することにより、DICE層と層L0…Ln-1は同時に検証される。上述のように、認証キーSKnはノンスNaに基づくので、攻撃者が、認証キーSKnを取得したとしても、Na値はすでに変化しているので、リブート後、認証に失敗する。
工程270の後、認証器は、工程250、工程254、および、工程258に戻る。特に、認証器は、デバイスがすでにアップデートされた後で(たとえば、ソフトウェア、あるいは、ファームウェアバージョンがアップデート)、工程250に戻る。あるいは、認証器は、デバイスがすでにブートされた後、工程254に戻り、現在のブートサイクルと関連するNaを受信する。あるいは、認証器は後続の異なるチャレンジをデバイスに送信するため、工程258に戻る。
非対称キー暗号化を用いた認証スキーム
図4は、本発明の一実施形態による非対称キー認証に用いられるデバイスレイヤードスキームを図式的に説明する図である。
図4において、コンピューティングデバイス300は、認証器304を動作する管理サーバ302を用いて検証される。コンピューティングデバイス300、管理サーバ302、および、認証器304は、図1のコンピューティングデバイス24、管理サーバ28、および、認証器プログラム86を実行するのに用いられる。
図1のデバイス100と同様に、デバイス300は多層コードを動作し、“DICE層”312、および、L0…Lnで示される可変コードの各層を有する。図4において、はっきりとさせるため、層L0314、層L1316、層Ln318だけが示されている。一実施形態において、DICE層は、信頼の基点層となり、且つ、デバイスブート時に、無条件に実行される。層L0…Lnは、DICE層の後に、所定順序、たとえば、連続的に実行される。デバイス300中の層、および、キー生成スキームは、通常、デバイス100中で記述されたスキームと類似する。
デバイス300は、秘密鍵生成(SCG)モジュール306、認証モジュール308、および、証明モジュール310を有する。図2のSCG106と同様に、SCG306は、OWF320を用いて、S0…Snで示されるシークレットのシーケンスを生成する。DICE層のOWFは、UDS324、および、層L0の測定値MO(328A)に基づいて、層L0中に用いられるシークレットS0を生成する。L0のOWFは、層L1中に用いられるシークレットS1を生成し、以下同様である。所定層LiのOWFは、層順序にしたがって、前の層Li-1により生成されるシークレットSi、および、次の層の測定値Mi+1に基づいて、シークレットSi+1を生成する。
本例において、認証モジュール308は最後のLnに結合され、これにより、デバイスは、DICE層、および、可変層L0…Lnを認証する。あるいは、認証モジュール308は、L0…Ln-1中の中間層に結合され、且つ、中間層と以下の各層を認証する。
本例において、(上記のデバイス100に類似する)層L0は、乱数発生器(RNG)332を有し、デバイスブート後に、ノンスNaを生成する。いくつかの実施形態において、層L0のOWFは、(i)層L1の測定M1(328B)、(ii)DICE層からのシークレットS0、および、(iii)RNG332を用いて生成されるノンスNaを入力として受信する。層L0のOWFは、たとえば、S1=HMAC([M1|Na],S0)を計算することにより、シークレットS1を層L1に生成し、S0はHMACキーを有し、且つ、連結データ[M1|Na]は、HMAC関数に入力されるデータである。その他の層中、シークレットSi+1は、Si+1=HMAC([Mi+1],Si)により計算される。
証明モジュール310は、対応する層L0…Lnと関連するCERT0…CERTnで示される認証のチェーンを生成する。認証プロセスは、対応する層L0…Ln中で生成されるAK0…AKnで示される非対称キーの使用を含む。層Liにおいて、プロセッサ40は、適当な鍵導出関数(KDF)340をシークレットSiに適用することにより、“AKi”で示される非対称キーを導出する。KDF340は、上記のKDF140と同じ(あるいは、類似する)である。各非対称キーAKiは、パブリックキー“PKi”、および、対応するプライベートキー“PRi”を有する。本例において、各層L0…Ln-1は、埋め込まれた認証権限付与(ECA)342を有する。層L0のECA0は、認証CERT1を生成し、層L1のECA1は認証CERT2を生成し、以下同様である。
図2の例において、層Li中のECAiは、同じ層Li中で生成されるプライベートキーPRi、および、次の層Li+1で生成されることが予期される非対称キーAKi+1のPKi+1に等しいパブリックキーPKi+1’(Liで生成される)を受信する。いくつかの実施形態において、ECAiは、プライベートキーPRiを用いて、パブリックキーPKi+1に署名することにより、認証CERTi+1を生成する。よって、認証CERTi+1は、それが、層LiのシークレットプライベートキーPRiを用いて署名されたことの証明を提供する。注意すべきことは、CERTi+1は、シークレットSi、LiのKDF、AKiとECAiにより、層Li-1により測定される測定値Miを暗黙に認証することである。
いくつかの実施形態において、デバイス300は、“CERT0”で示される認証を、デバイスの層L0に提供する外部認証機関(Certification Authority、CA)350を用いて、層L0のパブリックPK0を認証する。CERT0は、“DeviceID”とも称されるPKOを認証する。製造業者が、CA350をデバイスの認証機関として委任するとき、CERT0は、デバイスが、関連のある製造業者により製造されたことを証明する。このほか、CERT0は、相手先商標製品の製造会社(OEM)によりデバイスに提供されてもよい。代替的な実施形態において、層L0は、任意の適当なセルフ認証方法を用いて、PKOを認証する。一実施形態において、デバイスの層Li中、AKi-1のパブリックキーPKi-1が用いられて、認証CERTiの署名を有効にする。
認証モジュール308は、層LnのシークレットSnを受信するとともに、KDF340を用いて、シークレットSnから、非対称キーAKnを生成し、プライベートキーPRnは認証に用いられる。認証モジュール308は、認証器304から、チャレンジNvを受信するとともに、プライベートキーPRnを用いて、署名関数354をチャレンジNvに適用することにより、デジタル署名DSを生成する。関数354を実行して署名を行う(および、認証器中で検証を実行する)のに適する例示的な署名生成、および、検証方法は、たとえば、2013年7月、連邦情報処理標準(Federal Information Processing Standard Publication) (FIPS PUB) 186-4、“デジタル署名規格(DSS)”ですでに説明されている。認証モジュール308はさらに、層L0…Lnに沿って積み重ねられた認証CERT0…CERTnのチェーンを受信する。認証スキームで実行される認証器の部分は以下で詳細に記述される。
図5(A)および(B)は、ここで開示されるいくつかの実施形態による非対称キー暗号化を用いたデバイス認証と検証の方法を説明するフローチャートである。
認証スキームは、図1のデバイス24、および、認証器プログラム86により実行されてもよい。デバイス24は、図4で示されるレイヤードスキームを実行すると推定される。認証プトロコルの実行において、デバイスと認証器は、たとえば、通信ネットワーク32を介して、互いに通信する。
図5(A)(デバイス部分)の方法は、デバイス24のプロセッサ40から開始され、ブート工程400で、ブートサイクルを開始する。ブートの実行時、プロセッサ40は、DICE層312の実行を開始する。ノンス生成工程404において、プロセッサは、ノンスNaを生成し(たとえば、RNG332を用いる)、ノンスNaは、現在のブートサイクルだけと関連する。あるいは、プロセッサは、(たとえば、安全に)層L1…Lnの少なくともいくつかを越えて、ノンスNaを送信するとともに、Naを、層L0以外の一層、たとえば、Lnにより、認証器に送信する。
認証生成工程408において、プロセッサは、所定順序(たとえば、連続的に)に従って、層L0…Lnを実行すると共に、各層Liで、層Li-1で生成されたシークレットSiに基づいて、非対称キーAKiを生成する。さらに、プロセッサは、層Li中で(ECAiを用いて)、層Li+1中のAKi+1のパブリックキーPKi+1を生成するとともに、AKiのプライベートキーPRiにより署名される。
チャレンジ受信工程412において、プロセッサは、認証器から、チャレンジNvを受信する。レスポンス計算工程420において、プロセッサは、チャレンジにレスポンスして、非対称キーAKnのプライベートキーPRnを用いて、チャレンジNvに署名することにより(たとえば、署名関数354を用いる)、デジタル署名DSを計算する。
レスポンス送信工程424において、プロセッサは、通信ネットワーク32を介して、デジタル署名DS、および、認証CERT0…CERTnを認証器に送信する。
ブートクエリー工程428において、プロセッサは、リブートが必要か、あるいは、今発生しているかをチェックし、必要ない、発生していない場合、工程412に戻り、認証器から、後続の調整を受信する。そうでなければ、プロセッサは、工程400に戻り、後続のブートサイクルを開始するとともに、前のブートサイクルで用いられるNa値と比較して、異なる値を有するノンスNaを生成する。
図5(B)(認証器部分)の方法は、通常、図5(A)の方法と並行して実行される。図5(B)の方法は、認証器プログラム86が、チャレンジ送信工程458において、チャレンジNvを生成、および、デバイス24に送信して、層Ln、および、以下の各層を検証することから開始される。認証器は、任意の適当な時間、たとえば、デバイスからのサービス要求、管理人の要求へのレスポンス時、あるいは、定期的に、チャレンジを生成、および、送信してもよい。
レスポンス受信工程462において、ホストは、デバイスから、工程458で送信されるチャレンジNvに対応するデジタル署名DSを受信する。検証操作は、主に、記述されるように、二段階で、(i)認証を検証、および、(ii)デジタル署名を検証、を有する。
認証検証工程466において、ホストは、工程424でデバイスにより送信されたCERT0…CERTnを検証する。認証器は、製造業者CA350のルート認証を所有する、あるいは、認証器は、CERT0認証中の機関情報アクセス(Authority Information Access、AIA)フィールドにより、ルート認証にアクセスできると推定される。認証器は、ルート認証を用いて、CERT0を検証する。認証器はさらに、PKnを認証するCERTnを検証するまで、CERT0から、パブリックPK0(DeviceID)を用いて、CERT1を検証する。検証の認証終了後、PKnは、信頼できるとみなされる。
デジタル署名検証工程470において、認証器は、PKnを用いて、デジタル署名DSを検証する。工程470中のDS検証関数は、デバイス側で用いられる署名生成関数354と適合する。この検証段階は、DICE層、および、層L0…Lnの身分と状態を検証する。
工程470の後で、必要に応じて、方法は、工程458に戻り、後続の異なるチャレンジNvをデバイスに送信する。
いくつかの実施形態において、デバイスのブート事象後、認証器は、デバイスが、工程400、工程404、および、工程408を実行するのを待ち、認証器に、デバイスが、後続のチャレンジを受信する準備をしたことを示す。
上記の実施形態は、範例として与えられ、その他の適当な実施形態を使用することもできる。たとえば、上述の実施形態において、信頼のチェーンはDICE層を信頼の基点としているが、代替的な実施形態において、その他の実施形態において、その他の種類の素子を信頼の基点とすることもできる。
ここで開示される実施形態は主に、ワイヤレス、あるいは、ランドネットワークに接続されるデバイスの認証スキームに取り組んでいるが、ここで開示される方法、および、システムは、その他のアプリケーション、たとえば、デバイスが、適当なバスにより(たとえば、マザーボード上の)、あるいは、配線を用いて、 (たとえば、車輛内で)認証器に接続される。
本発明では好ましい実施例を前述の通り開示したが、これらは決して本発明に限定するものではなく、当該技術を熟知する者なら誰でも、本発明の思想を脱しない範囲内で各種の変形を加えることができる。
20…コンピューティングシステム
24、100、300…コンピューティングデバイス
28、102、302…管理サーバ
32…通信ネットワーク
40…プロセッサ
44…メモリ
48…ROM
52…ペリフェラルコンポーネントインターコネクトエクスプレスバス
54…ネットワークインターフェース
56…認証関数
58…ブートコード(DICE層)
60…ソフトウェア層
62、124、324…一意のデバイスシークレット(UDS)
66…複合デバイス識別子(CDI)
70…暗号エンジン
72、132、160…乱数発生器(RNG)
74…暗号ノンス
76…主機プロセッサ
80…メモリ
84…ネットワークインターフェース
86、104、304…認証器プログラム
88…データベース
90…ポリシー
106、306…秘密鍵生成(SCG)
108、308…認証モジュール
112、312…DICE層
114、314…L0
116、318…Ln
120、320…一方向性関数
128A、328A…M0
128B、328B…M1
136A、136B…ファームウェアセキュリティ記述子(FSD)
140、340、344…鍵導出関数(KDF)
144…SKn
148、354…署名関数
200、400…ブート
204、212、216、220、228、250、254、258、262、266、270…工程
310…照明モジュール
316…L1
328C…M2
342…ECA0、ECA1
350…外部認証機関(CA)
404、408、412、420、424、428、458、462、466、470…工程

Claims (26)

  1. デバイスであって、
    通信ネットワークを介し、認証器と通信するネットワークインターフェースと、
    多層の可変コードを保存し、前記層が、個別の測定値により識別されるメモリ、および、
    プロセッサ、を有し、前記プロセッサは、
    所定のブートサイクル中、前記所定のブートサイクルだけと関連するノンスを生成し、
    前記認証器からのチャレンジを受信し、前記可変コードの所定層を認証し、
    (i)前記デバイス中に安全に保存される一意のデバイスシークレット(USD)、(ii)前記所定層が別の層により測定される測定値、および、(iii)前記所定のブートサイクルに生成される前記ノンス、から、認証キーを引き出すことにより、前記認証キーを計算し、
    前記認証キーを用いて前記チャレンジに署名することにより、前記チャレンジに対し、レスポンスを計算し、および、
    前記レスポンスを、前記認証器に送信して、前記所定層を検証する、
    ことを特徴とするデバイス。
  2. 前記プロセッサは、前記ノンスに基づいて、前記認証キーを計算し、前記所定のブートサイクルの前に、認証のために、前記プロセッサにより用いられた認証キーは、前記所定のブートサイクル中に無効になり、認証できないことを特徴とする請求項1に記載のデバイス。
  3. 前記プロセッサは、前記所定層、および、前記所定層の前に実行される各層の前記可変コードが、前記所定のブートサイクルで完全なまま保持されているときでも、前記認証キーを、前記所定のブートサイクルの前に、認証のために、前記プロセッサにより用いられた前記認証キーと異なるように設定することを特徴とする請求項2に記載のデバイス。
  4. 前記認証キーは、前記ノンスに基づいた対称キーを有し、且つ、前記プロセッサは、前記対称キーを用いて、少なくとも前記チャレンジに署名することにより、前記レスポンスを計算するとともに、前記レスポンスと前記ノンス両方を前記認証器に送信することを特徴とする請求項1に記載のデバイス。
  5. 前記認証キーは、前記ノンスに基づいた非対称キーを有し、且つ、前記プロセッサは、前記非対称キーのプライベートキーを用いて、前記チャレンジに署名することにより前記レスポンスを計算するとともに、前記レスポンスを、前記ノンスではなく、前記認証器に送信することを特徴とする請求項1に記載のデバイス。
  6. 前記プロセッサは、前記認証キーを有する前記の各層に、非対称キーを生成し、前記各非対称キーは、プライベートキー、および、パブリックキーを有して、認証のチェーンを生成し、所定層中の認証は、後続の層中で生成されるパブリックキーを認証し、且つ、前記所定層中で生成されるプライベートキーを用いて署名するとともに、前記認証のチェーンを前記認証器に送信して、前記認証キーの認証済みのパブリックキーを用いて、検証を実行することを特徴とする請求項5に記載のデバイス。
  7. 前記認証のチェーンは、前記ノンスから独立して生成された認証を有し、前記デバイスが、すでに、特定の製造業者により製造されていることを証明することを特徴とする請求項6に記載のデバイス。
  8. 前記プロセッサは、前記ノンスを、前記所定層の前に実行されるトラスト層中で生成して、前記ノンスに基づいて、前記トラスト層中でシークレットを計算するとともに、前記シークレットに基づいて、前記認証キーを計算することを特徴とする請求項1に記載のデバイス。
  9. 前記プロセッサは、所定順序で、多層の前記コードを実行するとともに、選択された層が、前記認証器により既に検証されているときだけ、前記所定順序にしたがって、前記選択された層から後続の層に進むことを特徴とする請求項1に記載のデバイス。
  10. 前記プロセッサは、前記ノンスに基づいて、前記認証キーを計算し、ゼロデイ攻撃を軽減することを特徴とする請求項1に記載のデバイス。
  11. 方法であって、
    通信ネットワークを介して認証器と通信するデバイス中で、
    前記デバイスのメモリ中に、多層の可変コードを保存し、前記各層は、個別の測定値により識別可能である工程と、
    所定のブートサイクル中に、前記所定のブートサイクルだけと関連するノンスを生成する工程と、
    前記認証器から、チャレンジを受信して、前記可変コードの所定層を認証する工程と、
    (i)前記デバイス中に安全に保存される一意のデバイスシークレット(USD)、(ii)前記所定層が別の層により測定される測定値、および、(iii)前記所定のブートサイクルに生成される前記ノンス、から、認証キーを引き出すことにより、前記認証キーを計算する工程、
    前記認証キーを用いて前記チャレンジに署名することにより、前記チャレンジに対し、レスポンスを計算する工程、および、
    前記レスポンスを前記認証器に送信して、前記所定層を検証する工程、
    を有することを特徴とする方法。
  12. 前記認証キーの計算は、前記ノンスに基づいて、前記認証キーを計算し、前記所定のブートサイクルの前に、認証のために、前記プロセッサにより用いられた認証キーは、前記所定のブートサイクル中に無効になり、認証できない工程を有することを特徴とする請求項11に記載の方法。
  13. 前記認証キーの計算は、前記所定層、および、前記所定層の前に実行される各層の前記可変コードが、前記所定のブートサイクルで完全なまま保持されているときでも、前記認証キーを、前記所定のブートサイクルの前に、認証のために、前記プロセッサにより用いられた前記認証キーと異なるように設定する工程を有することを特徴とする請求項12に記載の方法。
  14. 前記認証キーは、前記ノンスに基づいた対称キーを有し、且つ、前記レスポンスを計算する工程は、前記対称キーを用いて、少なくとも前記チャレンジに署名するとともに、前記レスポンスと前記ノンス両方を前記認証器に送信する工程を有することを特徴とする請求項11に記載の方法。
  15. 前記認証キーは、前記ノンスに基づいた非対称キーを有し、且つ、前記レスポンスを計算する工程は、前記非対称キーのプライベートキーを用いて、前記チャレンジに署名するとともに、前記レスポンスを、前記ノンスではなく、前記認証器に送信する工程を有することを特徴とする請求項11に記載の方法。
  16. 前記認証キーを有する前記の各層に、非対称キーを生成する工程を有し、前記非対称キーは、各々プライベートキー、および、パブリックキーを有し、認証のチェーンを生成し、所定層中の認証は、後続の層中で生成されるパブリックキーを認証し、且つ、前記所定層中で生成されるプライベートキーを用いて署名されるとともに、前記認証のチェーンを前記認証器に送信して、前記認証キーの認証済みのパブリックキーを用いて、検証を実行することを特徴とする請求項15に記載の方法。
  17. 前記認証のチェーンは、前記ノンスから独立して生成された認証を有し、前記デバイスが、すでに、特定の製造業者により製造されていることを証明することを特徴とする請求項16に記載の方法。
  18. 前記ノンスの生成は、前記所定層の前に実行されるトラスト層中に、前記ノンスを生成する工程を有し、且つ、前記認証キーを計算する工程は、前記ノンスに基づいて、前記トラスト層中のシークレットを計算する工程を有し、前記シークレットに基づいて、前記認証キーを計算することを特徴とする請求項11に記載の方法。
  19. 所定順序で、前記多層の前記コードを実行するとともに、選択された層が、前記認証器により既に検証されているときだけ、前記所定順序にしたがって、前記選択された層から後続の層に進む工程を有することを特徴とする請求項11に記載の方法。
  20. 前記認証キーの計算は、前記ノンスに基づいて、前記認証キーを計算して、ゼロデイ攻撃を軽減する工程を有することを特徴とする請求項11に記載の方法。
  21. 認証器であって、
    通信ネットワークを介してデバイスと通信し、前記デバイスは多層の可変コードを有するとともに、所定のブートサイクルだけと関連するノンスを生成するネットワークインターフェース、および、
    プロセッサ、を有し、前記プロセッサは、
    チャレンジを前記デバイスに送信して、前記可変コードの所定層を検証し、
    前記デバイスから、前記デバイスが前記チャレンジにレスポンスすることにより生成されるレスポンス情報を受信し、前記レスポンス情報は、前記所定のブートサイクルに関連する前記ノンスに基づき、および、
    前記レスポンス情報を用いて、前記可変コードの前記所定層を検証することを特徴とする認証器。
  22. 前記レスポンス情報は、少なくとも、前記ノンスに基づいた認証キーにより署名される前記チャレンジを有し、且つ、前記プロセッサは、前記チャレンジを送信する前、前記認証器のメモリ中に、デバイス情報が安全に保存され、前記デバイス情報は前記ノンスと併せると、前記認証キーをリカバーするのに十分であり、前記デバイスから前記ノンスを受信して、前記デバイス情報、および、前記受信されたノンスを用いて、前記認証キーをリカバーするとともに、前記リカバーされた認証キーを用いて、前記可変コードの前記所定層を検証することを特徴とする請求項21に記載の認証器。
  23. 前記レスポンス情報は、(i)非対称認証キーのプライベートキーを用いて署名された前記チャレンジのデジタル署名、および、(ii)前記所定層に関連するパブリックキーの認証を有し、且つ、前記プロセッサは、前記パブリックキーと適合するプライベートキーを用いて署名された認証において認証されたパブリックキーを検証するとともに、その後、前記検証済みのパブリックキーを用いて、前記デジタル署名を検証することを特徴とする請求項21に記載の認証器。
  24. デバイス検証の方法であって、
    通信ネットワークによりデバイスと通信するサーバにおいて、前記デバイスは、多層の可変コードを有するとともに、所定のブートサイクルだけと関連するノンスを生成する工程と、
    チャレンジを前記デバイスに送信して、前記可変コードの所定層を検証する工程と、
    前記デバイスから、前記デバイスが前記チャレンジにレスポンスすることにより生成されるレスポンス情報を受信し、前記レスポンス情報は、前記所定のブートサイクルに関連する前記ノンスに基づく工程、および、
    前記レスポンス情報を用いて、前記可変コードの前記所定層を検証する工程、
    を有することを特徴とする方法。
  25. 前記レスポンス情報は、少なくとも、前記ノンスに基づいた認証キーにより署名される前記チャレンジを有するとともに、前記プロセッサは、前記チャレンジを送信する前、前記認証器のメモリ中に、デバイス情報が安全に保存され、前記デバイス情報は前記ノンスと併せると、前記認証キーをリカバーするのに十分であり、前記デバイスから前記ノンスを受信して、前記デバイス情報、および、前記受信されたノンスを用いて、前記認証キーをリカバーするとともに、前記リカバーされた認証キーを用いて、前記可変コードの前記所定層を検証することを特徴とする請求項24に記載の方法。
  26. 前記レスポンス情報は、(i)非対称認証キーのプライベートキーを用いて署名された前記チャレンジのデジタル署名、および、(ii)前記所定層に関連するパブリックキーの認証を有し、且つ、前記所定層の検証工程は、前記パブリックキーと適合するプライベートキーを用いて署名された認証において認証されたパブリックキーを検証するとともに、前記検証済みのパブリックキーを用いて、前記デジタル署名を検証する工程を有することを特徴とする請求項24に記載の方法。
JP2021125182A 2020-08-03 2021-07-30 デバイス、及び方法 Active JP7113123B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US16/983,360 2020-08-03
US16/983,360 US11601268B2 (en) 2020-08-03 2020-08-03 Device attestation including attestation-key modification following boot event

Publications (2)

Publication Number Publication Date
JP2022028632A JP2022028632A (ja) 2022-02-16
JP7113123B2 true JP7113123B2 (ja) 2022-08-04

Family

ID=80003560

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021125182A Active JP7113123B2 (ja) 2020-08-03 2021-07-30 デバイス、及び方法

Country Status (4)

Country Link
US (1) US11601268B2 (ja)
JP (1) JP7113123B2 (ja)
CN (1) CN114065176A (ja)
TW (1) TWI773199B (ja)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3956792B1 (en) * 2019-04-17 2023-11-22 Nokia Technologies Oy Cryptographic key generation for mobile communications device
US20220222348A1 (en) * 2021-01-13 2022-07-14 Microsoft Technology Licensing, Llc Attesting update of a firmware layer
US11665148B2 (en) * 2021-03-22 2023-05-30 Cisco Technology, Inc. Systems and methods for addressing cryptoprocessor hardware scaling limitations
US20220321361A1 (en) * 2022-03-30 2022-10-06 Intel Corporation Federal information processing standard (fips) compliant device identifier composition engine (dice) certificate chain architecture for embedded systems
WO2023212178A1 (en) * 2022-04-27 2023-11-02 Microchip Technology Incorporated Sram physically unclonable function (puf) memory for generating keys based on device owner
WO2024013554A1 (en) * 2022-07-15 2024-01-18 Telefonaktiebolaget Lm Ericsson (Publ) Hardware-entangled key generation
WO2024061442A1 (en) * 2022-09-20 2024-03-28 Huawei Technologies Co., Ltd. Apparatus and method for layered attestation with additive asymmetric key derivation
EP4357953A1 (en) * 2022-10-20 2024-04-24 Google LLC Securely provisioning secrets in authentication devices
TWI811178B (zh) * 2023-02-04 2023-08-01 長茂科技股份有限公司 基於多方多因子動態強加密認證之資通安全方法與系統

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019122030A (ja) 2018-01-02 2019-07-22 華邦電子股▲ふん▼有限公司Winbond Electronics Corp. コード署名の条件付き規定に基づくセキュアクライアント認証
WO2020038789A1 (en) 2018-08-24 2020-02-27 Nagravision S.A. Sending and receiving messages
US20200119929A1 (en) 2018-10-10 2020-04-16 Hewlett Packard Enterprise Development Lp Securing firmware

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6985583B1 (en) * 1999-05-04 2006-01-10 Rsa Security Inc. System and method for authentication seed distribution
JP6069160B2 (ja) * 2013-10-07 2017-02-01 株式会社日立製作所 制御システム及び認証装置
US9363087B2 (en) * 2014-10-02 2016-06-07 Microsoft Technology Licensing, Inc. End-to-end security for hardware running verified software
US10691807B2 (en) * 2015-06-08 2020-06-23 Nuvoton Technology Corporation Secure system boot monitor
US9953167B2 (en) * 2015-10-12 2018-04-24 Microsoft Technology Licensing, Llc Trusted platforms using minimal hardware resources
US10936722B2 (en) * 2018-04-18 2021-03-02 Nuvoton Technology Corporation Binding of TPM and root device

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019122030A (ja) 2018-01-02 2019-07-22 華邦電子股▲ふん▼有限公司Winbond Electronics Corp. コード署名の条件付き規定に基づくセキュアクライアント認証
WO2020038789A1 (en) 2018-08-24 2020-02-27 Nagravision S.A. Sending and receiving messages
US20200119929A1 (en) 2018-10-10 2020-04-16 Hewlett Packard Enterprise Development Lp Securing firmware

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
DICE Layering Architecture,TRUSTED COMPUTING GROUP SPECIFICATION,Version 1.0 Revision 0.19,[online],2020年07月23日,pp.1-29,<URL:https://trustedcomputinggroup.org/resource/dice-layering-architecture/>

Also Published As

Publication number Publication date
TWI773199B (zh) 2022-08-01
US11601268B2 (en) 2023-03-07
US20220038272A1 (en) 2022-02-03
CN114065176A (zh) 2022-02-18
JP2022028632A (ja) 2022-02-16
TW202207664A (zh) 2022-02-16

Similar Documents

Publication Publication Date Title
JP7113123B2 (ja) デバイス、及び方法
US10885197B2 (en) Merging multiple compute nodes with trusted platform modules utilizing authentication protocol with active trusted platform module provisioning
US10530753B2 (en) System and method for secure cloud computing
JP6684930B2 (ja) ブロックチェーンに基づくアイデンティティ認証方法、装置、ノード及びシステム
US10437985B2 (en) Using a second device to enroll a secure application enclave
CN107085675B (zh) 受控安全代码验证
CN109714168B (zh) 可信远程证明方法、装置和系统
US11095635B2 (en) Server authentication using multiple authentication chains
US10482255B2 (en) Controlled secure code authentication
US10771264B2 (en) Securing firmware
US20080077592A1 (en) method and apparatus for device authentication
Corrigan-Gibbs et al. Ensuring high-quality randomness in cryptographic key generation
US20200265141A1 (en) Secure boot of kernel modules
KR20110035573A (ko) 클라우드 컴퓨팅 환경에서 안전한 가상 머신 설치를 제공하는 방법
CN111340485B (zh) 一种用于联盟区块链的数字证书的配置方法、终端和根证书服务器
CN114049121A (zh) 基于区块链的账户重置方法和设备
US8954728B1 (en) Generation of exfiltration-resilient cryptographic keys
Dave et al. Sracare: Secure remote attestation with code authentication and resilience engine
US11595218B2 (en) Authorization delegation
Ernstberger et al. Origo: Proving provenance of sensitive data with constant communication
Yu et al. How to detect unauthorised usage of a key.
WO2020073314A1 (zh) 密钥生成方法、获取方法、私钥更新方法、芯片和服务器
KR20150089696A (ko) 접근제어와 우선순위기반 무결성 검증 시스템 및 그 방법
CN112000935A (zh) 远程认证方法、装置、系统、存储介质及计算机设备
Uzunay et al. Trust-in-the-middle: towards establishing trustworthiness of authentication proxies using trusted computing

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20210730

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20220630

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20220705

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220725

R150 Certificate of patent or registration of utility model

Ref document number: 7113123

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150