RU2019126623A - Запечатывание данных с помощью анклава запечатывания - Google Patents

Запечатывание данных с помощью анклава запечатывания Download PDF

Info

Publication number
RU2019126623A
RU2019126623A RU2019126623A RU2019126623A RU2019126623A RU 2019126623 A RU2019126623 A RU 2019126623A RU 2019126623 A RU2019126623 A RU 2019126623A RU 2019126623 A RU2019126623 A RU 2019126623A RU 2019126623 A RU2019126623 A RU 2019126623A
Authority
RU
Russia
Prior art keywords
enclave
data
source
list
sealing
Prior art date
Application number
RU2019126623A
Other languages
English (en)
Other versions
RU2759329C2 (ru
RU2019126623A3 (ru
Inventor
Мануэль КОСТА
Original Assignee
МАЙКРОСОФТ ТЕКНОЛОДЖИ ЛАЙСЕНСИНГ, ЭлЭлСи
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by МАЙКРОСОФТ ТЕКНОЛОДЖИ ЛАЙСЕНСИНГ, ЭлЭлСи filed Critical МАЙКРОСОФТ ТЕКНОЛОДЖИ ЛАЙСЕНСИНГ, ЭлЭлСи
Publication of RU2019126623A publication Critical patent/RU2019126623A/ru
Publication of RU2019126623A3 publication Critical patent/RU2019126623A3/ru
Application granted granted Critical
Publication of RU2759329C2 publication Critical patent/RU2759329C2/ru

Links

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/62Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14Protection against unauthorised use of memory or access to memory
    • G06F12/1408Protection against unauthorised use of memory or access to memory by using cryptography
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/602Providing cryptographic facilities or services
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00Network architectures or network communication protocols for network security
    • H04L63/06Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F2212/00Indexing scheme relating to accessing, addressing or allocation within memory systems or architectures
    • G06F2212/10Providing a specific technical effect
    • G06F2212/1052Security improvement

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Medicines Containing Antibodies Or Antigens For Use As Internal Diagnostic Agents (AREA)
  • Packaging For Recording Disks (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Bag Frames (AREA)
  • Computer And Data Communications (AREA)
  • Buffer Packaging (AREA)

Claims (45)

1. Способ запечатывания данных анклава, содержащий этапы, на которых:
отправляют в анклав–источник, размещенный в первой нативной платформе анклава, первый отчет аттестации для анклава запечатывания, размещенного во второй нативной платформе анклава;
принимают разрешенный список и ассоциированные данные анклава от анклава–источника, при этом разрешенный список включает в себя список из одного или более идентификаторов анклава, которым разрешено распечатывать данные анклава;
безопасно сохраняют данные анклава и разрешенный список; и
ограничивают доступ к данным анклава для анклавов с аутентифицированными идентификаторами, которые разрешены в соответствии разрешенным списком.
2. Способ по п.1, в котором первая нативная платформа анклава находится на первом компьютере, а вторая нативная платформа анклава размещается на втором компьютере.
3. Способ по п.1, в котором разрешенный список является списком абстрактных типов идентификатора; при этом способ дополнительно содержит этапы, на которых:
принимают отчет аттестации источника для анклава–источника; и
извлекают разрешенное значение идентификатора из отчета аттестации источника и абстрактный тип идентификатора в разрешенном списке.
4. Способ по п.1, в котором принятые данные анклава являются зашифрованными, при этом способ дополнительно содержит этапы, на которых:
осуществляют процесс аттестации между анклавом–источником и анклавом запечатывания; и
дешифруют зашифрованные данные анклава с помощью ключа, сформированного во время процесса аттестации.
5. Способ по п.1, в котором этап безопасного сохранения данных анклава включает в себя этапы, на которых:
зашифровывают данные анклава с помощью ключа, ассоциированного с анклавом запечатывания, чтобы создать запечатанные данные анклава;
сохраняют запечатанные данные анклава в постоянном хранилище; и
после определения того, что доступ разрешен аутентифицированному идентификатору, дешифруют запечатанные данные анклава.
6. Система, содержащая, по меньшей мере, процессор и память, в которой сохранены инструкции, которые при их исполнении системой предписывают, по меньшей мере:
отправлять в анклав–источник, размещенный в первой нативной платформе анклава, первый отчет аттестации для анклава запечатывания, размещенного во второй нативной платформе анклава;
принимать разрешенный список и ассоциированные данные анклава от анклава–источника, при этом разрешенный список включает в себя список из одного или более идентификаторов анклава, которым разрешено распечатывать данные анклава;
безопасно сохранять данные анклава и разрешенный список; и
ограничивать доступ к данным анклава для анклавов с аутентифицированными идентификаторами, которые разрешены в соответствии разрешенным списком.
7. Система по п.6, при этом первая нативная платформа анклава находится на первом компьютере, а вторая нативная платформа анклава размещается на втором компьютере.
8. Система по п.6, при этом разрешенный список является списком абстрактных типов идентификатора, и инструкции дополнительно предписывают, по меньшей мере:
принимать отчет аттестации источника для анклава–источника; и
извлекать разрешенные значения идентификатора из отчета аттестации источника и абстрактный тип идентификатора в разрешенном списке.
9. Система по п.6, при этом принятые данные анклава являются зашифрованными, и инструкции дополнительно предписывают, по меньшей мере:
осуществлять процесс аттестации между анклавом–источником и анклавом запечатывания; и
дешифровать зашифрованные данные анклава с помощью ключа, сформированного во время процесса аттестации.
10. Система по п.6, в которой безопасное сохранение данных анклава включает в себя:
шифрование данных анклава с помощью ключа, ассоциированного с анклавом запечатывания, чтобы создать запечатанные данные анклава;
сохранение запечатанных данных анклава в постоянном хранилище; и
после определения того, что доступ разрешен аутентифицированному идентификатору, дешифрование запечатанных данных анклава.
11. Система, содержащая, по меньшей мере, процессор и память, в которой сохранены инструкции, которые при их исполнении системой предписывают, по меньшей мере:
принимать в анклаве–источнике, размещенном в первой нативной платформе анклава, первый отчет аттестации для анклава запечатывания, размещенного во второй нативной платформе анклава;
верифицировать доверие к анклаву запечатывания; и
отправлять разрешенный список и ассоциированные данные анклава в анклав запечатывания, при этом разрешенный список включает в себя список из одного или более идентификаторов анклава, которым разрешено распечатывать данные анклава.
12. Система по п.11, в которой инструкции дополнительно предписывают, по меньшей мере:
осуществлять процесс аттестации между анклавом запечатывания и анклавом–источником;
формировать зашифрованные данные анклава посредством шифрования данных анклава с помощью ключа, сформированного во время процесса аттестации; и
при этом данные анклава, отправляемые в анклав запечатывания, являются зашифрованными данными анклава.
13. Система по п.11, при этом первая нативная платформа анклава находится на первом компьютере, а вторая нативная платформа анклава размещается на втором компьютере.
14. Система по п.11, при этом разрешенный список является списком абстрактных типов идентификатора; причем инструкции дополнительно предписывают, по меньшей мере, отправлять отчет аттестации источника для анклава–источника в анклав запечатывания, при этом отчет аттестации источника включает в себя по меньшей мере одно значение идентификатора анклава–источника, соответствующее абстрактному типу идентификатора в разрешенном списке.
15. Система по п.11, в которой инструкции дополнительно предписывают, по меньшей мере:
частично выполнять безопасную операцию обработки в анклаве–источнике; и
при этом данные анклава включают в себя данные состояния анклава–источника, достаточные, чтобы разрешить другому экземпляру анклава продолжить частично выполненную безопасную операцию обработки.
RU2019126623A 2017-01-24 2017-12-20 Запечатывание данных с помощью анклава запечатывания RU2759329C2 (ru)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US15/414,492 2017-01-24
US15/414,492 US10931652B2 (en) 2017-01-24 2017-01-24 Data sealing with a sealing enclave
PCT/US2017/067455 WO2018140164A1 (en) 2017-01-24 2017-12-20 Data sealing with a sealing enclave

Publications (3)

Publication Number Publication Date
RU2019126623A true RU2019126623A (ru) 2021-02-26
RU2019126623A3 RU2019126623A3 (ru) 2021-04-16
RU2759329C2 RU2759329C2 (ru) 2021-11-11

Family

ID=60972452

Family Applications (1)

Application Number Title Priority Date Filing Date
RU2019126623A RU2759329C2 (ru) 2017-01-24 2017-12-20 Запечатывание данных с помощью анклава запечатывания

Country Status (19)

Country Link
US (1) US10931652B2 (ru)
EP (2) EP3798889B1 (ru)
JP (1) JP7089529B2 (ru)
KR (1) KR102510273B1 (ru)
CN (1) CN110199286B (ru)
AU (1) AU2017395734B2 (ru)
BR (1) BR112019013586A2 (ru)
CA (1) CA3048407A1 (ru)
CL (1) CL2019002009A1 (ru)
CO (1) CO2019007656A2 (ru)
IL (1) IL267948B (ru)
MX (1) MX2019008692A (ru)
MY (1) MY202282A (ru)
NZ (1) NZ754523A (ru)
PH (1) PH12019550115A1 (ru)
RU (1) RU2759329C2 (ru)
SG (1) SG11201905461VA (ru)
WO (1) WO2018140164A1 (ru)
ZA (1) ZA201903704B (ru)

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11443033B2 (en) 2017-01-24 2022-09-13 Microsoft Technology Licensing, Llc Abstract enclave identity
US10911451B2 (en) 2017-01-24 2021-02-02 Microsoft Technology Licensing, Llc Cross-platform enclave data sealing
CN111954879B (zh) * 2018-04-11 2024-04-30 谷歌有限责任公司 互不信任的飞地
US10691621B2 (en) * 2018-04-12 2020-06-23 Sony Interactive Entertainment Inc. Data cache segregation for spectre mitigation
US11934540B2 (en) 2018-05-28 2024-03-19 Royal Bank Of Canada System and method for multiparty secure computing platform
US20210406386A1 (en) * 2018-05-28 2021-12-30 Royal Bank Of Canada System and method for multiparty secure computing platform
US11443072B2 (en) 2018-06-29 2022-09-13 Microsoft Technology Licensing, Llc Peripheral device with resource isolation
US11126757B2 (en) * 2018-10-19 2021-09-21 Microsoft Technology Licensing, Llc Peripheral device
US11741196B2 (en) 2018-11-15 2023-08-29 The Research Foundation For The State University Of New York Detecting and preventing exploits of software vulnerability using instruction tags
US11416633B2 (en) 2019-02-15 2022-08-16 International Business Machines Corporation Secure, multi-level access to obfuscated data for analytics
US11316687B2 (en) * 2019-03-04 2022-04-26 Cypress Semiconductor Corporation Encrypted gang programming
EP3948610A1 (en) * 2019-04-01 2022-02-09 Telefonaktiebolaget LM Ericsson (publ) Attestation of trusted execution environments
US11356367B2 (en) * 2019-11-22 2022-06-07 Red Hat, Inc. Secure preloading of serverless function sequences
CN113139175A (zh) * 2020-01-19 2021-07-20 阿里巴巴集团控股有限公司 处理单元、电子设备以及安全控制方法
US11627116B2 (en) * 2020-03-02 2023-04-11 Fortanix, Inc. Secure computation of multiparty data
US11700125B2 (en) 2020-10-05 2023-07-11 Redcom Laboratories, Inc. zkMFA: zero-knowledge based multi-factor authentication system
US20240152641A1 (en) * 2021-03-02 2024-05-09 Roche Diagnostics Operations, Inc. Secure collaborative laboratory data analytics system
US20230131060A1 (en) * 2021-10-22 2023-04-27 Microsoft Technology Licensing, Llc Secure authentication using attestation tokens and inviolable quotes to validate request origins
US20220222358A1 (en) * 2022-03-31 2022-07-14 Intel Corporation Scalable cloning and replication for trusted execution environments

Family Cites Families (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8839450B2 (en) 2007-08-02 2014-09-16 Intel Corporation Secure vault service for software components within an execution environment
US7712143B2 (en) * 2006-09-27 2010-05-04 Blue Ridge Networks, Inc. Trusted enclave for a computer system
US8208637B2 (en) 2007-12-17 2012-06-26 Microsoft Corporation Migration of computer secrets
US8549625B2 (en) * 2008-12-12 2013-10-01 International Business Machines Corporation Classification of unwanted or malicious software through the identification of encrypted data communication
KR20110035573A (ko) * 2009-09-30 2011-04-06 주식회사 케이티 클라우드 컴퓨팅 환경에서 안전한 가상 머신 설치를 제공하는 방법
US8972746B2 (en) * 2010-12-17 2015-03-03 Intel Corporation Technique for supporting multiple secure enclaves
US9009475B2 (en) * 2011-04-05 2015-04-14 Apple Inc. Apparatus and methods for storing electronic access clients
US8875240B2 (en) 2011-04-18 2014-10-28 Bank Of America Corporation Tenant data center for establishing a virtual machine in a cloud environment
US8176283B1 (en) 2011-09-26 2012-05-08 Google Inc. Permissions of objects in hosted storage
WO2013172958A1 (en) * 2012-05-16 2013-11-21 Spydrsafe Mobile Security, Inc. Systems and methods for providing and managing distributed enclaves
US8438631B1 (en) * 2013-01-24 2013-05-07 Sideband Networks, Inc. Security enclave device to extend a virtual secure processing environment to a client device
US20150304736A1 (en) * 2013-06-04 2015-10-22 Reshma Lal Technologies for hardening the security of digital information on client platforms
US9276750B2 (en) * 2013-07-23 2016-03-01 Intel Corporation Secure processing environment measurement and attestation
CN105981027A (zh) * 2013-08-12 2016-09-28 哥莱菲特软件公司 安全认证并切换至加密域
US9430642B2 (en) * 2013-09-17 2016-08-30 Microsoft Technology Licensing, Llc Providing virtual secure mode with different virtual trust levels each having separate memory access protections, interrupt subsystems and private processor states
WO2015060858A1 (en) * 2013-10-24 2015-04-30 Intel Corporation Methods and apparatus for protecting software from unauthorized copying
CN105745661B (zh) * 2013-12-19 2020-05-05 英特尔公司 对权限管理的内容的基于策略的受信任的检测
US9355262B2 (en) * 2013-12-27 2016-05-31 Intel Corporation Modifying memory permissions in a secure processing environment
US9462001B2 (en) * 2014-01-15 2016-10-04 Cisco Technology, Inc. Computer network access control
US9792427B2 (en) * 2014-02-07 2017-10-17 Microsoft Technology Licensing, Llc Trusted execution within a distributed computing system
US9584517B1 (en) * 2014-09-03 2017-02-28 Amazon Technologies, Inc. Transforms within secure execution environments
US9461994B2 (en) * 2014-11-26 2016-10-04 Intel Corporation Trusted computing base evidence binding for a migratable virtual machine
US9940456B2 (en) 2014-12-16 2018-04-10 Intel Corporation Using trusted execution environments for security of code and data
US9904803B2 (en) * 2015-03-25 2018-02-27 Intel Corporation Technologies for hardening data encryption with secure enclaves
US20160335453A1 (en) * 2015-05-15 2016-11-17 Gina Kounga Managing Data
US9954950B2 (en) * 2015-12-23 2018-04-24 Intel Corporation Attestable information flow control in computer systems
US10565370B2 (en) * 2015-12-24 2020-02-18 Intel Corporation System and method for enabling secure memory transactions using enclaves
CN105991647B (zh) * 2016-01-21 2019-06-28 李明 一种数据传输的方法
US10469265B2 (en) * 2016-03-31 2019-11-05 Intel Corporation Technologies for secure inter-enclave communications
US10437985B2 (en) * 2016-10-01 2019-10-08 Intel Corporation Using a second device to enroll a secure application enclave
US10338957B2 (en) 2016-12-27 2019-07-02 Intel Corporation Provisioning keys for virtual machine secure enclaves
US10372945B2 (en) 2017-01-24 2019-08-06 Microsoft Technology Licensing, Llc Cross-platform enclave identity
US10530777B2 (en) 2017-01-24 2020-01-07 Microsoft Technology Licensing, Llc Data unsealing with a sealing enclave

Also Published As

Publication number Publication date
EP3798889A1 (en) 2021-03-31
RU2759329C2 (ru) 2021-11-11
EP3574439A1 (en) 2019-12-04
ZA201903704B (en) 2020-10-28
AU2017395734A1 (en) 2019-07-04
US10931652B2 (en) 2021-02-23
SG11201905461VA (en) 2019-08-27
CA3048407A1 (en) 2018-08-02
AU2017395734B2 (en) 2021-11-18
CL2019002009A1 (es) 2019-12-13
IL267948A (en) 2019-09-26
CO2019007656A2 (es) 2019-07-31
EP3574439B1 (en) 2021-01-20
IL267948B (en) 2022-01-01
EP3798889B1 (en) 2022-09-28
BR112019013586A2 (pt) 2020-01-07
JP7089529B2 (ja) 2022-06-22
PH12019550115A1 (en) 2019-12-02
MX2019008692A (es) 2019-09-11
CN110199286B (zh) 2023-04-14
JP2020505700A (ja) 2020-02-20
CN110199286A (zh) 2019-09-03
KR20190108575A (ko) 2019-09-24
MY202282A (en) 2024-04-22
US20180212939A1 (en) 2018-07-26
NZ754523A (en) 2023-03-31
RU2019126623A3 (ru) 2021-04-16
KR102510273B1 (ko) 2023-03-14
WO2018140164A1 (en) 2018-08-02

Similar Documents

Publication Publication Date Title
RU2019126623A (ru) Запечатывание данных с помощью анклава запечатывания
RU2019126645A (ru) Распечатывание данных с запечатывающим анклавом
CN109510703B (zh) 一种数据加解密方法及装置
CN108140093B (zh) 使用用于设备的硬件信任根来迁移秘密
CN105577379B (zh) 一种信息处理方法及装置
US8281115B2 (en) Security method using self-generated encryption key, and security apparatus using the same
US11146554B2 (en) System, method, and apparatus for secure identity authentication
JP2017139811A5 (ru)
US20180287789A1 (en) Encryption using multi-level encryption key derivation
US20130290733A1 (en) Systems and methods for caching security information
US20130290734A1 (en) Systems and methods for caching security information
US20130290731A1 (en) Systems and methods for storing and verifying security information
CN102509047A (zh) 校验机顶盒中程序代码的方法和系统
RU2018141237A (ru) Использование аппаратно-обеспечиваемой защищенной изолированной области для предотвращения пиратства и мошенничества в электронных устройствах
US11329835B2 (en) Apparatus and method for authenticating IoT device based on PUF using white-box cryptography
WO2017000726A1 (zh) 一种密钥变换方法、装置及终端
US20200344075A1 (en) Secure provisioning of keys
US20230325516A1 (en) Method for file encryption, terminal, electronic device and computer-readable storage medium
CN108134673B (zh) 一种生成白盒库文件的方法及装置
GB2587957A (en) Method for provisioning device certificates for electronic processors in untrusted environments
CN108111622B (zh) 一种下载白盒库文件的方法、装置及系统
WO2019165667A1 (zh) 一种账户迁移的方法、装置、终端设备及存储介质
US11516194B2 (en) Apparatus and method for in-vehicle network communication
EP3739489B1 (en) Devices and methods of managing data
CN115442032A (zh) 一种数据处理方法、片上系统及可读存储介质