WO2010051742A1 - 一种基于三元对等鉴别(TePA)的可信平台验证方法 - Google Patents

一种基于三元对等鉴别(TePA)的可信平台验证方法 Download PDF

Info

Publication number
WO2010051742A1
WO2010051742A1 PCT/CN2009/074763 CN2009074763W WO2010051742A1 WO 2010051742 A1 WO2010051742 A1 WO 2010051742A1 CN 2009074763 W CN2009074763 W CN 2009074763W WO 2010051742 A1 WO2010051742 A1 WO 2010051742A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
platform
certification
pcrs
certification system
Prior art date
Application number
PCT/CN2009/074763
Other languages
English (en)
French (fr)
Inventor
肖跃雷
曹军
葛莉
赖晓龙
黄振海
Original Assignee
西安西电捷通无线网络通信有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 西安西电捷通无线网络通信有限公司 filed Critical 西安西电捷通无线网络通信有限公司
Priority to EP09824397.5A priority Critical patent/EP2346207A4/en
Priority to JP2011524174A priority patent/JP5196021B2/ja
Priority to KR1020117007896A priority patent/KR101421329B1/ko
Priority to US13/119,909 priority patent/US8533806B2/en
Publication of WO2010051742A1 publication Critical patent/WO2010051742A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/065—Encryption by serially and continuously modifying data stream elements, e.g. stream cipher systems, RC4, SEAL or A5/3
    • H04L9/0656—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher
    • H04L9/0662—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher with particular pseudorandom sequence generator
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • TePA Ternary Peer Identification
  • the invention relates to a trusted platform verification method based on ternary peer-to-peer authentication (TePA).
  • TePA ternary peer-to-peer authentication
  • Trustworthy computing works in the first place, ensuring the security of all terminals, that is, building a larger security system by ensuring secure components. Trusted computing platforms provide higher levels of protection at lower levels, and protection of soft-level attacks with trusted hardware allows users to gain more protection and choice.
  • the challenger (CH, Challenger) needs to evaluate the trusted computing platform using a platform attribute.
  • Challenger CH uses the platform integrity to evaluate the trusted computing platform.
  • the trusted computing platform being evaluated is called the certification system (AS, Attesting System ), the corresponding trusted platform evaluation protocol is as follows, see Figure 1:
  • the system AS After the system AS receives the message 1, it first transmits the random number N CH to the Trusted Computing Module (TPM, Trusted Platform Module) of the certification system AS, and then extracts the certification system AS from the trusted computing module TPM of the certification system AS.
  • the challenger CH After receiving the message 2, the challenger CH first uses the public key of the identity certification key AIK of the certification system AS, the random number N CH and the message 2 to prove the platform configuration register value of the system AS PCRs AS test Certificate signature if the signature is invalid, discarding the message 2, the system AS 2 prove otherwise use the message values platform configuration register PCRs to prove system AS AS 2 verification message platform configuration register value PCRs correct measurement log corresponding to the Log of AS AS If the procedure is incorrect, the protocol process is aborted. Otherwise, according to the message 2, the platform configuration register value of the system AS is verified.
  • the metric log Lo gAS corresponding to the PCRs AS and the reference integrity value of each component in the metric log Lo gAS are used to evaluate the certification system AS. Is it credible?
  • the protocol is only suitable for one-way trusted platform evaluation, and the challenger CH must have the ability to verify the identity certificate key AIK and platform integrity of the system AS, where the challenge CH can verify the identity certificate key AIK of the certification system AS based on Trusted Third Party (TTP), or use the Direct anonymous attestation (DAA) to prove the identity of the system AS. Proof key AIK.
  • TTP Trusted Third Party
  • DAA Direct anonymous attestation
  • the system AS needs to verify each other whether the platform is trusted, if the system AS proves that the system AS does not have the ability to verify the identity certificate key AIK and platform integrity of the other party's certification system AS, the prior art cannot verify the certificate.
  • the identity of the system AS is the authentication key AIK and platform integrity.
  • the present invention solves the above technical problems in the background art, and provides a method for verifying the identity certification key AIK and platform integrity of the certification system AS by using a trusted third party TTP, that is, based on ternary peer authentication. Trusted Platform Verification Method (TePA, Tri-element Peer Authentication).
  • TTP Trusted Platform Verification Method
  • the present invention is a trusted platform verification method based on ternary peer authentication, which is special in that: the method comprises the following steps:
  • the second attestation system sends a first message to the first attestation system, the first message includes a random number N AS2 generated by the second attestation system, and an identity certificate key AIK certificate Cert A iK-AS2 of the second attestation system, And a platform configuration register value PCRs parameter table ParmpcRs-Asi requested by the second certification system to the first certification system;
  • the first attestation system transmits the N AS2 to the trusted computing module TPM of the first attestation system, and then extracts corresponding platform configuration register values PCRs from the trusted computing module TPM according to the PCRs parameter table ParmpcRs-Asi AS1 , and the private certificate of the identity certificate AIK using the first attestation system Keying the signatures [N AS2 , PCRs AS1 ] Slg of the PCRs AS1 and the N AS2 , and extracting the metric log Log AS1 corresponding to the PCRs AS1 from the storage metric log SML of the first attestation system, and to the second attestation system
  • the AS 2 sends a second message, the second message includes a random number NASI generated by the first attestation system, an identity certification key AIK certificate Cert AI] ⁇ AS1 of the first attestation system, and the first attestation system requests the second attestation system Platform configuration register value PCRs parameter table Parm P c Rs- As 2 ;
  • the second certification system utilizes the public key of the identity certification key AIK certificate of the first certification system, and the N AS2 and the PCRs AS1 verify the signature, and if the signature is invalid, discard the second message, if the signature is valid,
  • the N AS1 is transmitted to the trusted computing module TPM of the second attestation system, and then the corresponding platform configuration register value PCRs AS2 is extracted from the trusted computing module TPM of the second attestation system according to the Parmp CRs- AS2 , and the second is used.
  • the trusted third party verifies the validity CertAK-Asi Cert An ⁇ AS2 and generates a verification result Re AI Cert AIK-AS1 to] ⁇ AS1 and Cert AI] ⁇ AS2 verification result Re An ⁇ AS2, then use
  • the correctness of the Log AS1 is determined by the PCRs AS1 , and if not, the message is discarded. If the PCRASAS2 is correct, the correctness of the Log AS 2 is verified. If not, the message is discarded.
  • the second certification system performs signature verification according to the fourth message. If the signature is invalid, the message is discarded. If the signature is valid, the access result of the AS ⁇ AS 2 is generated, and the first certification system AS is sent. Five messages;
  • AS 2 performs signature verification according to the fifth message. If the signature is invalid, the message is discarded. If the signature is valid, the signature in the fourth message is verified. If the signature is invalid, the protocol is aborted. If the signature is valid, it is based on the verification result of Cert An ⁇ AS2 Re An ⁇ AS2 and the second certification system AS 2 The platform integrity verification result Rep CR AS2 and the first certification system AS ⁇ ⁇ the second certification system AS 2 access result Re access performs access control.
  • the platform configuration register PCR list in the above step A) is a list of the platform configuration registers determined in the first certification system or a list of components determined in the first certification system.
  • the platform configuration register PCR list in the above step B) is a list of the platform configuration registers determined in the second certification system, or a list of components determined in the second certification system.
  • the messages interacting between the first attestation system and the second attestation system are transmitted in a secure channel between them.
  • the messages exchanged between the second proof system and the trusted third party are transmitted in a secure channel between them.
  • the second attestation system cannot know the platform configuration information of the first attestation system, the LogAS1 and the platform patching information Rem AS1 of the first attestation system are transmitted in a secure channel between the first attestation system and the trusted third party. If the first proof system and the second proof system verify the authentication key of the certification system based on the direct anonymous proof DAA, the Cert A iK-Asi and the insurance certificate are not included in the fourth message and the fifth message. The result is Re A iK -AS1 , the Cert A iK-AS2 and the risk certificate result Re A iK -AS2 .
  • the trusted platform verification method based on ternary peer authentication of the present invention implements a two-way trusted platform evaluation between the certification systems, and uses a trusted third party TTP to verify the identity authentication key AIK and platform of the certification system AS. Integrity, extending the scope of application;
  • the trusted platform verification method based on ternary peer-to-peer authentication of the present invention uses a security architecture of ternary peer-to-peer authentication, which enhances the security of the trusted platform evaluation protocol.
  • Figure 2 is a schematic illustration of the process of the present invention.
  • the second attestation system AS 2 sends a first message to the first attestation system 8 1 , the first message comprising a random number generated by the second attestation system, an identity attestation key AIK certificate of the second attestation system, and a second The platform configuration register value PCRs parameter table that proves that the system requests the first certification system.
  • the first message (message 1) N AS2
  • N AS2 is the random number generated by the second certification system AS 2
  • Cert A iK-AS2 is the identity certification key AIK certificate of the second certification system AS 2
  • 111 ⁇ 0 ⁇ 1 is a platform configuration register value PCRs parameter table requested by the second certification system AS 2 to the first certification system AS, which may be a PCR configuration list of the platform configuration register determined in the first certification system AS, or may be A list of components identified in the system AS.
  • the first certification system AS transmits the random number to its own trusted computing module TPM, and extracts the platform configuration register value of the corresponding first certification system AS to the TPM according to the platform configuration register value PCRs parameter table.
  • the PCRs AS1 and the signature [N AS2 , PCRs AS1 ] Slg of the PCRs AS o N AS2 using the private key of the AS ⁇ identity verification key AIK, extract the PCRSASI corresponding from the storage metric log SML of the first certification system ASi metric logs log AS1, and a second proof system AS 2 sends a second message, the second message comprising the identity of eight of the random number generator 81, the claimant key AIK certificate the AS, the AS request to the AS 2 platform configuration register Value PCRs parameter table.
  • the second certification system verifies the signature according to the public key of the identity certification key AIK certificate, the random number N AS2 generated by AS 2 and the PCRs AS1 , and discards the second message if the signature is invalid, such as the signature Efficiently, N AS1 is transmitted to the trusted computing module TPM of AS 2 , and according to the platform configuration register value of the AS to the AS 2 configuration register value PCRs parameter table Parm PCRs-AS2 from the trusted computing module of the second certification system AS 2
  • the TPM extracts the platform configuration register value PCRs AS2 of the corresponding AS 2 and signs the PCRs AS2 and N AS i using the private key of the identity authentication key AIK of the AS 2 [N AS1 , PCRs AS2 ] Slg , from the AS SML is stored measurement log 2 is extracted 2 AS platform configuration register value PCRs AS2 metric corresponding log log AS2, and the trusted third party TTP sending a third message, the third message comprises: generating a second proof system AS 2 Identify random numbers
  • the second certification system AS 2 firstly uses the public key of the first certification system ASi to prove the key AIK certificate, and the second certification system AS 2 generates the random number N AS2 and the message 2
  • a platform configuration register value PCRs AS1 of the certification system AS verifies the signature, and if the signature is invalid, the message 2 is discarded, otherwise the random number N AS ⁇ generated by the first certification system AS is sent to the trusted calculation of the second certification system AS 2 module TPM, then proof system according to the first to the second proof system AS AS 2 requests platform configuration register value PCRs parameter table Parmp CRs- AS2 AS proof system from the second system a second proof trusted computing module TPM 2 corresponding to the extracted 2 aS platform configuration register value PCRs AS2, a second proof identification system aS 2 private certification key of the AIK extracted second proof system aS platform configuration register value 2 and the first PCRs AS2 aS generates proof system signature random number N AS1 performed [N AS1, PCRs AS2] Slg ,
  • Trusted third party TTP verifies the validity of CertAiK-Asi and Cert A iK -AS2 , generates Cert A iK -AS1 verification results Re An ⁇ AS1 and Cert AI] ⁇ AS2 verification result Re An ⁇ AS2 , and
  • the PCRs AS i verifies the correctness of the corresponding metric log Log AS 1. If not, the message is discarded. If it is correct, the correctness of the metric log Log AS2 corresponding to the PCRs AS2 is verified by the PCRs AS2 . If not, the correctness is Discard the message, if it is correct, then according to the metric log!
  • the specific process is: after receiving the message 3, the trusted third party TTP first verifies the identity certificate key AIK certificate Cert AI] of the first certification system ASi ⁇ AS1 and the identity certification key AIK certificate Cert AI of the second certification system AS 2 ] ⁇ AS2 validity, generate a first proof of identity certification key systems ASi, CertAiK-Asi AIK certificate verification result Re An ⁇ AS1 and second proof identification system AS 2 certification key AIK certificate Cert AI] ⁇ AS2 of Verify the result Re AI] ⁇ AS2 , and then use the platform configuration register value of the first proof system AS in the message 3 PCRs AS1 3
  • the trusted third party TTP uses the private key to calculate the authentication random number N AS generated by the second certification system AS 2 2 j T p, first proof system AS identity certificate key AIK certificate Cert AI] ⁇ AS1 , first certification system AS identity certificate key AIK certificate Cert AI] ⁇ AS1 verification result Re AI] ⁇ AS1 , A platform configuration register value PCRs AS1 of the certification system AS, a first certification system AS ⁇ platform integrity verification result Re PCR AS1 , a platform repair information Rem AS1 of the first certification system AS, a random number N AS1 generated by the first certification system AS , the second certification system AS 2 identity certification key AIK certificate Cert An ⁇ AS2 , the second certification system AS 2 identity certification key AIK certificate Cert AI] ⁇ AS2 verification result Re AI] ⁇ AS2 , the second certification system 2 AS platform configuration register value PCRs AS2, a second proof system AS platform integrity verification result RepcR SA s2 and second proof system AS 2
  • the AS 2 performs signature verification according to the fourth message. If the signature is invalid, the message is discarded. If the signature is valid, the access result of AS ⁇ AS 2 is generated, and the fifth certificate system 8 1 is sent to the fifth certificate. Message.
  • the second certification system AS 2 After receiving the message 4, the second certification system AS 2 firstly verifies the signature by using the public key of the trusted third party TTP [N A s2-TTp
  • TTP N A s2-TTp
  • the AS 2 performs signature verification according to the fifth message. If the signature is invalid, the message is discarded. If the signature is valid, the signature in the fourth message is verified. If the signature is invalid, the protocol is aborted. If the signature is valid, it is based on the verification result of Cert An ⁇ AS2 Re An ⁇ AS2 , the platform integrity verification result of the second certification system AS 2 Rep CR AS2 and the first certification system AS ⁇ ⁇ the access result of the second certification system AS 2 Re Access performs access control.
  • the first certification system AS After receiving the fifth message (message 5), the first certification system AS first uses the second certification system AS 2 identity verification key AIK certificate Cert AI] ⁇ AS2 public key verification signature [N AS1
  • the messages exchanged between the first attestation system AS and the second attestation system AS 2 are transmitted in a secure channel between them; the second attestation system
  • the message of interaction between the AS 2 and the trusted third party TTP is transmitted in a secure channel between them; if the first attestation system AS does not want the second attestation system AS 2 to know the platform configuration information of the first attestation system ASi, the first proof system AS1 AS platform configuration register value corresponding to a measure of the Log PCRs Chi said platform and a first proof system AS1 AS Rem AS1 patch information is secure channel between the first proof system AS and the trusted third party TTP If the first certification system AS and the second certification system AS 2 are used to verify the identity certification key AIK of the certification system AS based on the direct anonymous certification DAA, the first certification system ASi is not included in the message 4 and the message 5.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

一种基于三元对等鉴别 Te PA的可信平台验证方法。该方法包括以下步骤：A）第二证明系统向第一证明系统发送第一消息；B）第一证明系统收到第一消息后，向第二证明系统发送第二消息；C）第二证明系统收到第二消息后，向可信第三方 TTP发送第三消息；D）可信第三方 TTP收到第三消息后，向 第二证明系统发送第四消息；E）第二证明系统收到第四消息后，向第一证明系统发送第五消息；F）第一证明系统收到第五消息后，执行访问控制。本发明的基于三元对等鉴别的可信平台验证方法，采用了三元对等鉴别的安全架构，增强了可信平台评估协议的安全性，实现了证明系统之间的双向可信平台评估，扩展了应用范围。

Description

一种基于三元对等鉴别 (TePA)的可信平台验证方法
本申请要求于 2008 年 11 月 4 日提交中国专利局、 申请号为 200810232093.5、发明名称为"一种基于三元对等鉴别（TePA)的可信平台验证方 法"的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及一种基于三元对等鉴别 (TePA)的可信平台验证方法。
背景技术
随着计算机网络的逐渐发展， 网络安全问题面临严峻的考验。 目前业内的 安全解决方案往往侧重于先防外后防内， 即先防服务设施后防终端设施。 而可 信计算则逆其道而行之， 首先保证所有终端的安全性，也即透过确保安全的组 件来组建更大的安全系统。可信计算平台在更底层进行更高级别防护， 通过可 信赖的硬件对软层次的攻击进行保护可以使用户获得更强的保护空间和选择 空间。
为了验证可信计算平台是否可信， 挑战者（CH, Challenger )需要利用某 种平台属性对可信计算平台进行评估。 在国际可信计算组织 （TCG, Trusted Computing Group )制定的可信计算规范中挑战者 CH利用平台完整性对可信 计算平台进行评估， 其中被评估的可信计算平台称为证明系统（AS, Attesting System ), 对应的可信平台评估协议如下， 见图 1 :
1 ) 挑战者 CH产生随机数 NCH, 然后向证明系统 AS发送消息 1=NCH。
2 )证明系统 AS收到消息 1后， 首先将随机数 NCH传送给证明系统 AS 的可信计算模块（ TPM, Trusted Platform Module ), 然后从证明系统 AS的可 信计算模块 TPM提取证明系统 AS的平台配置寄存器值 PCRsAS、 使用证明系 统 AS的身份证明密钥 （AIK, Attesting Identity Key ) 的私钥对证明系统 AS 的平台配置寄存器值 PCRsAS和随机数 NCH进行的签名 [PCRsAS,NCH]Slg ,从证明 系统 AS的存储度量日志 （ SML, Store Measurement Log )提取证明系统 AS 的平台配置寄存器值 PCRsAS对应的度量日志 LogAS,最后向挑战者 CH发送消 息 2=PCRsAS||LogAS||[PCRsAS,NCH]Slg, 其中 ||表示字符串的连接。
3 )挑战者 CH收到消息 2后，首先利用证明系统 AS的身份证明密钥 AIK 的公钥， 随机数 NCH和消息 2中证明系统 AS的平台配置寄存器值 PCRsAS验 证签名， 若签名无效， 则丟弃消息 2, 否则利用消息 2中证明系统 AS的平台 配置寄存器值 PCRsAS验证消息 2中证明系统 AS的平台配置寄存器值 PCRsAS 对应的度量日志 LogAS的正确性， 若不正确， 则中止该协议过程， 否则根据消 息 2中证明系统 AS的平台配置寄存器值 PCRsAS对应的度量日志 LogAS和度 量日志 LogAS中各组件的基准完整性值评估证明系统 AS是否可信。
在上述的可信平台评估协议中， 证明系统 AS和挑战者 CH之间交互的消 息是在安全通道中传输的。从图 1所示的可信平台评估协议可知： 该协议仅适 合于单向可信平台评估， 且挑战者 CH必须具有验证证明系统 AS的身份证明 密钥 AIK和平台完整性的能力， 其中挑战者 CH可以基于可信第三方 （TTP, Trusted Third Party )来验证证明系统 AS的身份证明密钥 AIK , 也可以利用基 于直接匿名证明 （ DAA, Direct anonymous attestation )来马全证证明系统 AS的 身份证明密钥 AIK。 但是， 当证明系统 AS之间需要互相验证对方平台是否可 信时，若证明系统 AS不具有验证对方证明系统 AS的身份证明密钥 AIK和平 台完整性的能力，则现有技术就无法验证证明系统 AS的身份证明密钥 AIK和 平台完整性。
发明内容
本发明为解决背景技术中存在的上述技术问题 ,而提供一种利用一个可信 第三方 TTP来验证证明系统 AS的身份证明密钥 AIK和平台完整性的方法， 即是基于三元对等鉴别（ TePA, Tri-element Peer Authentication )的可信平台验 证方法。
本发明的技术解决方案：本发明为一种基于三元对等鉴别的可信平台验证 方法， 其特殊之处在于： 该方法包括以下步骤：
A )第二证明系统向第一证明系统发送第一消息， 所述第一消息包括第二 证明系统产生的随机数 NAS2 , 第二证明系统的身份证明密钥 AIK 证书 CertAiK-AS2 , 以及第二证明系统向第一证明系统请求的平台配置寄存器值 PCRs 参数表 ParmpcRs-Asi ;
B )第一证明系统将所述 NAS2传送给第一证明系统的可信计算模块 TPM, 然后依据所述 PCRs参数表 ParmpcRs-Asi从所述可信计算模块 TPM提取对应的 平台配置寄存器值 PCRsAS1 ,以及使用第一证明系统的身份证明密钥 AIK的私 钥对所述 PCRsAS1和所述 NAS2进行的签名 [NAS2, PCRsAS1]Slg, 并从第一证明系 统的存储度量日志 SML提取 PCRsAS1对应的度量日志 LogAS1 , 并向第二证明 系统 AS2发送第二消息， 所述第二消息包括第一证明系统产生的随机数 NASI , 第一证明系统的身份证明密钥 AIK证书 CertAI]^AS1 , 第一证明系统向第二证明 系统请求的平台配置寄存器值 PCRs参数表 ParmPcRs-As2;
C )第二证明系统利用第一证明系统的身份证明密钥 AIK证书的公钥， 所 述 NAS2和 PCRsAS1验证签名，若签名无效，则丟弃所述第二消息，如签名有效， 将所述 NAS1传送给第二证明系统的可信计算模块 TPM , 然后依据所述 ParmpCRs-AS2从第二证明系统的可信计算模块 TPM提取对应的平台配置寄存器 值 PCRsAS2, 并使用第二证明系统的身份证明密钥 AIK的私钥对所述 PCRsAS2 和 NAS1进行的签名 [NAS1, PCRsAS2]Slg, 从第二证明系统的存储度量日志 SML 提取平台配置寄存器值 PCRsAS2对应的度量日志 LogAS2,并向可信第三方发送 第三消息， 所述第三消息包括第二证明系统产生的鉴别随机数 NAS2jTp;
D )可信第三方验证所述 CertAK-Asi和 CertAn^AS2的有效性，生成 CertAIK-AS1 的验证结果 ReAI]^AS1和 CertAI]^AS2的验证结果 ReAn^AS2,然后利用所述 PCRsAS1 马全证所述 LogAS1的正确性， 若不正确， 则丟弃该消息， 如果正确， 利用所述 PCRSAS2验证 LogAS2的正确性，若不正确，则丟弃该消息，如果正确，根据 LogAS1 和 LogAS1中各组件的基准完整性值评估第一证明系统是否可信， 以及根据所 述 LogAS2和 LogAS2中各组件的基准完整性值评估第二证明系统是否可信， 生 成第一证明系统的平台完整性验证结果 RepCR AS1和平台修补信息 RemAS1、 以 及第二证明系统的平台完整性验证结果 RepCR AS2和平台修补信息 RemAS2, 并 利用私钥计算第一证明系统 AS 和第二证明系统 AS2的相关参数，并将包括所 述相关参数的第四消息发送至 AS2;
E )第二证明系统根据所述第四消息进行签名验证， 如签名无效， 则丟弃 该消息， 若签名有效， 则生成 AS^† AS2的访问结果， 并向第一证明系统 AS 发送第五消息；
F ) AS2根据所述第五消息进行签名验证， 如签名无效， 则丟弃该消息， 若签名有效， 则验证所述第四消息中的签名， 如果签名无效， 则中止该协议过 程，如果签名有效，则依据 CertAn^AS2的验证结果 ReAn^AS2、第二证明系统 AS2 的平台完整性验证结果 RepCR AS2和第一证明系统 AS^†第二证明系统 AS2的 访问结果 Reaccess执行访问控制。
上述步骤 A ) 中的平台配置寄存器 PCR列表是第一证明系统中确定的平 台配置寄存器 PCR列表或者是第一证明系统中确定的组件列表。
上述步骤 B ) 中的平台配置寄存器 PCR列表是第二证明系统中确定的平 台配置寄存器 PCR列表， 或者是第二证明系统中确定的组件列表。
上述第一证明系统和第二证明系统之间交互的消息是在它们之间的安全 通道中传输的。
上述第二证明系统和可信第三方之间交互的消息是在它们之间的安全通 道中传输的。
若第二证明系统不能知道第一证明系统的平台配置信息， 则所述 LogAS1 和第一证明系统的平台修补信息 RemAS1是在第一证明系统和可信第三方之间 的安全通道中传输的；若第一证明系统和第二证明系统之间基于直接匿名证明 DAA来验证证明系统的身份证明密钥， 则第四消息和第五消息中不包含所述 CertAiK-Asi及险证结果 ReAiK-AS1、 所述 CertAiK-AS2及险证结果 ReAiK-AS2。
本发明具有以下优点：
1 )本发明的基于三元对等鉴别的可信平台验证方法实现了证明系统之间 的双向可信平台评估，利用一个可信第三方 TTP来验证证明系统 AS的身份证 明密钥 AIK和平台完整性， 扩展了应用范围；
2 )本发明的基于三元对等鉴别的可信平台验证方法釆用了三元对等鉴别 的安全架构， 增强了可信平台评估协议的安全性。
附图说明
图 1是背景技术中的 TCG体系中的可信平台验证方法；
图 2 是本发明的方法示意图。
具体实施方式
参见图 2, 本发明的具体步骤如下：
1 )第二证明系统 AS2向第一证明系统 81发送第一消息， 所述第一消息 包括第二证明系统产生的随机数， 第二证明系统的身份证明密钥 AIK证书， 以及第二证明系统向第一证明系统请求的平台配置寄存器值 PCRs参数表。 其中， 第一消息 （消息 1 ) = NAS2|| CertAiK-AS2| | ParmPCRs-AS1。 其中 NAS2为 第二证明系统 AS2产生的随机数， CertAiK-AS2为第二证明系统 AS2的身份证明 密钥 AIK证书， ？ 111^0^^1为第二证明系统 AS2向第一证明系统 AS请求的 平台配置寄存器值 PCRs参数表， 它可以是第一证明系统 AS 中确定的平台配 置寄存器 PCR列表， 也可以是第一证明系统 AS 中确定的组件列表。
2 )第一证明系统 AS将所述随机数传送给自身的可信计算模块 TPM, 并 依据所述平台配置寄存器值 PCRs参数表向所述 TPM提取对应的第一证明系 统 AS 的平台配置寄存器值 PCRsAS1 ,以及使用 AS 々身份证明密钥 AIK的私 钥对所述 PCRsAS o NAS2进行的签名 [NAS2, PCRsAS1]Slg, 从第一证明系统 ASi 的存储度量日志 SML提取 PCRSASI对应的度量日志 LogAS1 , 并向第二证明系 统 AS2发送第二消息， 所述第二消息包括八81产生的随机数， AS 的身份证明 密钥 AIK证书， AS 向 AS2请求的平台配置寄存器值 PCRs参数表。
具体的， 第一证明系统 AS^t到消息 1后， 首先将第二证明系统 AS2产生 的随机数 NAS2传送给第一证明系统 AS 的可信计算模块 TPM, 然后依据第二 证明系统 AS2向第一证明系统 AS 请求的平台配置寄存器值 PCRs 参数表 ParmpcRs-Asi从第一证明系统 AS 的可信计算模块 TPM提取对应的第一证明系 统 AS 的平台配置寄存器值 PCRsAS1、 使用第一证明系统 AS 的身份证明密钥 AIK的私钥对所提取的第一证明系统 AS 的平台配置寄存器值 PCRsAS1和第二 证明系统 AS2产生的随机数 NAS2进行的签名 [NAS2, PCRsAS1]Slg, 从第一证明系 统 AS 的存储度量日志 SML提取该第一证明系统 AS 的平台配置寄存器值
Figure imgf000007_0001
日志 LogAS1 , 最后向第二证明系统 AS2发送第二消息 （消 息 2 ) , 该消息 2=PCRsAS1||LogAS1||[NAS2, PCRsAS1]Slg|| NAS1|| CertAIK-AS1|| ParmpCRs-AS2 , 其中 NASi为第一证明系统 AS产生的随机数，
Figure imgf000007_0002
为第一 证明系统 AS 々身份证明密钥 AIK证书， ParmpCR AS2为第一证明系统 AS 向 第二证明系统 AS2请求的平台配置寄存器值 PCRs参数表， 它可以是第二证明 系统 AS2中确定的平台配置寄存器 PCR列表， 也可以是第二证明系统 AS2中 确定的组件列表。
3 )第二证明系统依据所述身份证明密钥 AIK证书的公钥， AS2产生的随 机数 NAS2和 PCRsAS1验证签名， 若签名无效， 则丟弃所述第二消息， 如签名有 效， 则将 NAS1传送给 AS2的可信计算模块 TPM, 并依据所述 AS 向 AS2请求 的平台配置寄存器值 PCRs参数表 ParmPCRs-AS2从第二证明系统 AS2的可信计 算模块 TPM提取对应的 AS2的平台配置寄存器值 PCRsAS2, 并使用 AS2的身 份证明密钥 AIK的私钥对所述 PCRsAS2和 NASi进行的签名 [NAS1, PCRsAS2]Slg, 从 AS2的存储度量日志 SML提取 AS2的的平台配置寄存器值 PCRsAS2对应的 度量日志 LogAS2， 并向可信第三方 TTP发送第三消息， 所述第三消息包括： 第二证明系统 AS2产生的鉴别随机数。
具体的， 第二证明系统 AS2收到消息 2后， 首先利用第一证明系统 ASi 的身份证明密钥 AIK证书的公钥， 第二证明系统 AS2产生的随机数 NAS2和消 息 2中第一证明系统 AS 的平台配置寄存器值 PCRsAS1验证签名，若签名无效， 则丟弃消息 2 ,否则将第一证明系统 AS 产生的随机数 NAS^ 送给第二证明系 统 AS2的可信计算模块 TPM,然后依据第一证明系统 AS 向第二证明系统 AS2 请求的平台配置寄存器值 PCRs参数表 ParmpCRs-AS2从第二证明系统 AS2的可 信计算模块 TPM提取对应的第二证明系统 AS2的平台配置寄存器值 PCRsAS2、 使用第二证明系统 AS2的身份证明密钥 AIK的私钥对所提取的第二证明系统 AS2的平台配置寄存器值 PCRsAS2和第一证明系统 AS产生的随机数 NAS1进行 的签名 [NAS1, PCRsAS2]Slg,从第二证明系统 AS2的存储度量日志 SML提取该笫 二证明系统 AS2的的平台配置寄存器值 PCRsAS2对应的度量日志 LogAS2,最后 向可信第三方 TTP 发送第三消息 （ 消息 3 ) , 其中 ， 消息 3= NAs2-TTp||NAsi||CertAiK-Asi||CertAiK-AS2||PCRsAsi||LogAsi||PCRsAS2||LogAS2 ， 其 中 NAS2jTP为第二证明系统 AS2产生的鉴别随机数。
4 )可信第三方 TTP验证 CertAiK-Asi和 CertAiK-AS2的有效性，生成 CertAiK-AS1 的验证结果 ReAn^AS1和 CertAI]^AS2的验证结果 ReAn^AS2, 并依据 PCRsASi验证 对应的度量日志 LogAS 1的正确性， 若不正确， 则丟弃该消息， 如果正确， 则 利用 PCRsAS2验证 PCRsAS2对应的度量日志 LogAS2的正确性， 若不正确， 则丟 弃该消息， 如果正确， 则依据度量日志！^^^ 和 LogAS1中各组件的基准完整 性值评估第一证明系统 AS是否可信， 以及根据度量日志 LogAS2和 LogAS2中 各组件的基准完整性值评估第二证明系统 AS2是否可信， 生成第一证明系统 ASi的平台完整性验证结果 RepCRs-AS p平台修补信息 RemAS1、 以及第二证明 系统 AS2的平台完整性验证结果 RePCR AS2和平台修补信息 RemAS2 , 并利用私 钥计算第一证明系统 AS 和第二证明系统 AS2的相关参数，并将包括所述相关 参数的第四消息发送至 AS2。
具体过程为：可信第三方 TTP收到消息 3后，首先验证第一证明系统 ASi 的身份证明密钥 AIK证书 CertAI]^AS1和第二证明系统 AS2的身份证明密钥 AIK 证书 CertAI]^AS2的有效性， 生成第一证明系统 ASi的身份证明密钥 AIK证书 CertAiK-Asi的验证结果 ReAn^AS1和第二证明系统 AS2的身份证明密钥 AIK证书 CertAI]^AS2的验证结果 ReAI]^AS2 , 然后利用消息 3中第一证明系统 AS 的平台 配置寄存器值 PCRsAS1 3 证消息 3 中第一证明系统 AS 的平台配置寄存器值
Figure imgf000009_0001
日志 LogAS1的正确性， 若不正确， 则丟弃该消息， 否则利 用消息 3中第二证明系统 AS2的平台配置寄存器值 PCRsAS2验证消息 3中第二 证明系统 AS2的平台配置寄存器值 PCRsAS2对应的度量日志 LogAS2的正确性， 若不正确， 则丟弃该消息， 否则根据消息 3中第一证明系统 AS 的平台配置寄 存器值 PCRsAS1对应的度量日志 LogAS1和度量日志 LogAS1中各组件的基准完 整性值评估第一证明系统 AS是否可信， 以及根据消息 3中第二证明系统 AS2 的平台配置寄存器值 PCRsAS2对应的度量日志 LogAS2和度量日志 LogAS2中各 组件的基准完整性值评估第二证明系统 AS2是否可信，生成第一证明系统 AS 的平台完整性验证结果 RepCR AS1和平台修补信息 RemAS1、 以及第二证明系统 AS2的平台完整性验证结果 RepCR AS2和平台修补信息 RemAS2 , 接着可信第三 方 TTP利用私钥计算第二证明系统 AS2产生的鉴别随机数 NAS2jTp、 第一证明 系统 AS 的身份证明密钥 AIK证书 CertAI]^AS1、 第一证明系统 AS 的身份证明 密钥 AIK证书 CertAI]^AS1的验证结果 ReAI]^AS1、 第一证明系统 AS 的平台配置 寄存器值 PCRsAS1、 第一证明系统 AS 々平台完整性验证结果 RePCR AS1、 第一 证明系统 AS 的平台修补信息 RemAS1、第一证明系统 AS 产生的随机数 NAS1、 第二证明系统 AS2的身份证明密钥 AIK证书 CertAn^AS2、 第二证明系统 AS2的 身份证明密钥 AIK证书 CertAI]^AS2的验证结果 ReAI]^AS2、 第二证明系统 AS2的 平台配置寄存器值 PCRsAS2、 第二证明系统 AS2的平台完整性验证结果 RepcRS-As2 和第二证明 系统 AS2 的平 台修补信息 RemAS2 的签名 [NAs2-TTp||CertAiK-Asi I |ReAiK-Asi I |PCRsASi I |RePC S-Asi I |RemASi I |NAS1 ||CertAiK-AS2| | ReAiK-AS2||PCRsAS2|| RePcRs-As2| | RemAS2]Slg, 最后向第二证明系统 AS2发送消息 4= ReAiK-Asi I |RePC s-Asi I |RemASi I |ReAiK-AS2| |RePCRS-AS2| |RemAS2| | [NAS2-TTP| |CertAIK-AS111 ReAiK-Asi I |PCRSASI I |RePC S-Asi I |RemASi I |NAS11 |CertAiK-AS2| |ReAK-AS2| |PCRsAS2| |
RSpC s-AS2| | ReHlAS2]Sig。
5 ) AS2根据所述第四消息进行签名验证， 如签名无效， 则丟弃该消息， 若签名有效， 则生成 AS^† AS2的访问结果， 并向第一证明系统 81发送第五 消息。
其中， 具体过程为： 第二证明系统 AS2收到消息 4后， 首先利用可信第三 方 TTP 的 公 钥 验 证 签 名 [NAs2-TTp||CertAiK-Asi I |ReAiK-Asi I |PCRsASi I |RePC S-Asi I |RemASi I |NAS1 ||CertAiK-AS2| |
ReAiK-AS2||PCRsAS2|| RePcRs-As2| | RemAS2]Slg, 若签名无效， 则丟弃该消息， 否则根 据消息 4中第一证明系统 AS 的身份证明密钥 AIK证书 CertAn^AS1的验证结果 ReAiK-Asi和第一证明系统 AS 的平台完整性验证结果 RepCR AS1生成第一证明 系统 AS †第二证明系统 AS2的访问结果 Reaccess, 值为允许 /禁止 /隔离， 然后 向第一证明系统 AS 发送消息 5= NAS2-TTP||PCRsAS2||[NAS1||PCRsAS2]Slg||Reaccess|| 消息 4。
6 ) AS2根据所述第五消息进行签名验证， 如签名无效， 则丟弃该消息， 若签名有效， 则验证所述第四消息中的签名， 如果签名无效， 则中止该协议过 程，如果签名有效，则依据 CertAn^AS2的验证结果 ReAn^AS2、第二证明系统 AS2 的平台完整性验证结果 RepCR AS2和第一证明系统 AS^†第二证明系统 AS2的 访问结果 Reaccess执行访问控制。
其中， 具体过程为： 第一证明系统 AS 收到第五消息（消息 5 )后， 首先 利用第二证明系统 AS2的身份证明密钥 AIK证书 CertAI]^AS2的公钥验证签名 [NAS1||PCRsAS2]Slg, 若签名无效， 则丟弃该消息， 否则验证消息 4 中的签名 [NAs2-TTp||CertAiK-Asi I |ReAiK-Asi I |PCRsASi I |RePC S-Asi I |RemASi I |NAS1 ||CertAiK-AS2| |
ReAiK-AS2||PCRsAS2|| RePcRs-As2| | RemAs2]Slg , 若签名无效， 则中止该协议过程， 否 则根据消息 4中第二证明系统 AS2的身份证明密钥 AIK证书 CertAI]^AS2的验证 结果 ReAn^AS2、 第二证明系统 AS2的平台完整性验证结果 RepCR AS2和第一证 明系统 AS对第二证明系统 AS2的访问结果 Reaccess执行访问控制。 在上述的基于三元对等鉴别的可信平台评估协议中， 第一证明系统 AS 和第二证明系统 AS2之间交互的消息是在它们之间的安全通道中传输的；第二 证明系统 AS2和可信第三方 TTP之间交互的消息是在它们之间的安全通道中 传输的； 若第一证明系统 AS 不希望第二证明系统 AS2知道第一证明系统 ASi 的平台配置信息， 则第一证明系统 AS 的平台配置寄存器值 PCRsAS1对应的度 量曰志 LogAS1和第一证明系统 AS 的平台修补信息 RemAS1是在第一证明系统 AS 和可信第三方 TTP之间的安全通道中传输的；若第一证明系统 AS 和第二 证明系统 AS2之间基于直接匿名证明 DAA来验证证明系统 AS的身份证明密 钥 AIK, 则消息 4和消息 5中不包含第一证明系统 ASi的身份证明密钥 AIK 证书 CertAIK_AS1及验证结果 ReAI]^AS1、 第二证明系统 AS2的身份证明密钥 AIK 证书 CertAiK-AS2及 3全证结果 ReAiK-AS2。

Claims

权 利 要 求
1、 一种基于三元对等鉴别的可信平台验证方法， 其特征在于： 该方法包 括以下步骤：
A )第二证明系统向第一证明系统发送第一消息， 所述第一消息包括第二 证明系统产生的随机数 NAS2 , 第二证明系统的身份证明密钥 AIK 证书 CertAiK-AS2 , 以及第二证明系统向第一证明系统请求的平台配置寄存器值 PCRs 参数表 ParmpcRs-Asi ;
B )第一证明系统将所述 NAS2传送给第一证明系统的可信计算模块 TPM, 然后依据所述 PCRs参数表 ParmpcRs-Asi从所述可信计算模块 TPM提取对应的 平台配置寄存器值 PCRsAS1 ,以及使用第一证明系统的身份证明密钥 AIK的私 钥对所述 PCRsAS1和所述 NAS2进行的签名 [NAS2, PCRsAS1]Slg, 并从第一证明系 统的存储度量日志 SML提取 PCRsAS1对应的度量日志 LogAS1 , 并向第二证明 系统 AS2发送第二消息， 所述第二消息包括第一证明系统产生的随机数 NASI , 第一证明系统的身份证明密钥 AIK证书 CertAI]^AS1 , 第一证明系统向第二证明 系统请求的平台配置寄存器值 PCRs参数表 ParmPcRs-As2;
C )第二证明系统利用第一证明系统的身份证明密钥 AIK证书的公钥， 所 述 NAS2和 PCRsAS1验证签名，若签名无效，则丟弃所述第二消息，如签名有效， 将所述 NAS1传送给第二证明系统的可信计算模块 TPM , 然后依据所述 ParmpCRS-AS2从第二证明系统的可信计算模块 TPM提取对应的平台配置寄存器 值 PCRsAS2, 并使用第二证明系统的身份证明密钥 AIK的私钥对所述 PCRsAS2 和 NAS1进行的签名 [NAS1, PCRsAS2]Slg, 从第二证明系统的存储度量日志 SML 提取平台配置寄存器值 PCRsAS2对应的度量日志 LogAS2,并向可信第三方发送 第三消息， 所述第三消息包括第二证明系统产生的鉴别随机数 NAS2jTp;
D )可信第三方验证所述 CertAK-Asi和 CertAn^AS2的有效性，生成 CertAIK-AS1 的验证结果 ReAI]^AS1和 CertAI]^AS2的验证结果 ReAn^AS2,然后利用所述 PCRsAS1 马全证所述 LogAS1的正确性， 若不正确， 则丟弃该消息， 如果正确， 利用所述 PCRSAS2验证 LogAS2的正确性，若不正确，则丟弃该消息，如果正确，根据 LogAS1 和 LogAS1中各组件的基准完整性值评估第一证明系统是否可信， 以及根据所 述 LogAS2和 LogAS2中各组件的基准完整性值评估第二证明系统是否可信， 生 成第一证明系统的平台完整性验证结果 RepCR AS1和平台修补信息 RemAS1、 以 及第二证明系统的平台完整性验证结果 RepCR AS2和平台修补信息 RemAS2, 并 利用私钥计算第一证明系统 AS 和第二证明系统 AS2的相关参数，并将包括所 述相关参数的第四消息发送至 AS2;
E )第二证明系统根据所述第四消息进行签名验证， 如签名无效， 则丟弃 该消息， 若签名有效， 则生成 AS^† AS2的访问结果， 并向第一证明系统 AS 发送第五消息；
F ) AS2根据所述第五消息进行签名验证， 如签名无效， 则丟弃该消息， 若签名有效， 则验证所述第四消息中的签名， 如果签名无效， 则中止该协议过 程，如果签名有效，则依据 CertAiK-AS2的验证结果 ReAn^AS2、第二证明系统 AS2 的平台完整性验证结果 RepCR AS2和第一证明系统 AS^†第二证明系统 AS2的 访问结果 Reaccess执行访问控制。
2、 根据权利要求 1所述的基于三元对等鉴别的可信平台验证方法， 其特 征在于： 所述步骤 A ) 中的平台配置寄存器 PCR列表是第一证明系统中确定 的平台配置寄存器 PCR列表， 或者是第一证明系统中确定的组件列表。
3、 根据权利要求 1所述的基于三元对等鉴别的可信平台验证方法， 其特 征在于： 所述步骤 B ) 中的平台配置寄存器 PCR列表是第二证明系统中确定 的平台配置寄存器 PCR列表， 或者是第二证明系统中确定的组件列表。
4、 根据权利要求 1所述的基于三元对等鉴别的可信平台验证方法， 其特 征在于：所述第一证明系统和第二证明系统之间交互的消息是在它们之间的安 全通道中传输的。
5、 根据权利要求 4所述的基于三元对等鉴别的可信平台验证方法， 其特 征在于：所述第二证明系统和可信第三方之间交互的消息是在它们之间的安全 通道中传输的。
6、 根据权利要求 1-5任一项所述的基于三元对等鉴别的可信平台验证方 法， 其特征在于： 若第二证明系统不能知道第一证明系统的平台配置信息， 则 所述 LogAS1和第一证明系统的平台修补信息 RemAS1是在第一证明系统和可信 第三方之间的安全通道中传输的；若第一证明系统和第二证明系统之间基于直 接匿名证明 DAA来验证证明系统的身份证明密钥， 则第四消息和第五消息中 不包含所述 CertAI]^AS1及验证结果 ReAI]^AS1、 所述 CertAI]^AS2及验证结果
RSAIK-AS2 O
7、根据权利要求 1所述的基于三元对等鉴别的可信平台验证方法， 所述第 一证明系统 AS 和第二证明系统 AS2的相关参数， 具体包括：
第二证明系统产生的鉴别随机数 NAS2jTp、 第一证明系统的身份证明密钥 AIK证书
Figure imgf000014_0001
的验 证结果 ReAn^AS1、 第一证明系统的平台配置寄存器值 PCRsAS1、 第一证明系统 的平台完整性验证结果 RePCR AS1、 第一证明系统的平台修补信息 RemAS1、 第 一证明系统产生的随机数 NAS1、 第二证明系统的身份证明密钥 AIK 证书 CertAiK-AS2 ^ 第二证明系统的身份证明密钥 AIK证书 CertAI]^AS2的验证结果 ReAiK-AS2 ^ 第二证明系统的平台配置寄存器值 PCRsAS2、 第二证明系统的平台 完整性验证结果 RePCR AS2和第二证明系统的平台修补信息 RemAS2的签名。
PCT/CN2009/074763 2008-11-04 2009-11-03 一种基于三元对等鉴别(TePA)的可信平台验证方法 WO2010051742A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP09824397.5A EP2346207A4 (en) 2008-11-04 2009-11-03 METHOD OF AUTHENTICATING A TRUST PLATFORM BASED ON THREE-PART ELEMENTS HOMOLOGOUS AUTHENTICATION (TEPA)
JP2011524174A JP5196021B2 (ja) 2008-11-04 2009-11-03 三要素のピア認証（ＴｅＰＡ）に基づくトラステッドプラットフォームの検証方法
KR1020117007896A KR101421329B1 (ko) 2008-11-04 2009-11-03 3 개의 피어 인증（ｔｅｐａ）에 기반한 신뢰할만한 플랫폼을 인증하는 방법
US13/119,909 US8533806B2 (en) 2008-11-04 2009-11-03 Method for authenticating a trusted platform based on the tri-element peer authentication(TEPA)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810232093.5A CN100581107C (zh) 2008-11-04 2008-11-04 一种基于三元对等鉴别(TePA)的可信平台验证方法
CN200810232093.5 2008-11-04

Publications (1)

Publication Number Publication Date
WO2010051742A1 true WO2010051742A1 (zh) 2010-05-14

Family

ID=40494381

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/074763 WO2010051742A1 (zh) 2008-11-04 2009-11-03 一种基于三元对等鉴别(TePA)的可信平台验证方法

Country Status (6)

Country Link
US (1) US8533806B2 (zh)
EP (1) EP2346207A4 (zh)
JP (1) JP5196021B2 (zh)
KR (1) KR101421329B1 (zh)
CN (1) CN100581107C (zh)
WO (1) WO2010051742A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013544052A (ja) * 2010-11-12 2013-12-09 西安西▲電▼捷通▲無▼綫▲網▼絡通信股▲分▼有限公司 匿名エンティティ認証方法および装置本出願は、２０１０年１１月１２日に中国特許局に提出し、出願番号が２０１０１０５４６３３９．３であり、発明名称が「匿名エンティティ認証方法およびシステム」との中国特許出願を基礎とする優先権を主張し、その開示の総てをここに取り込む。

Families Citing this family (54)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101345660B (zh) * 2008-08-21 2010-06-09 西安西电捷通无线网络通信有限公司 一种基于tcpa/tcg可信网络连接的可信网络管理方法
CN100581170C (zh) 2008-08-21 2010-01-13 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别可信网络连接的可信网络管理方法
US8161285B2 (en) * 2008-09-26 2012-04-17 Microsoft Corporation Protocol-Independent remote attestation and sealing
CN100581107C (zh) * 2008-11-04 2010-01-13 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别(TePA)的可信平台验证方法
CN101527718B (zh) 2009-04-16 2011-02-16 西安西电捷通无线网络通信股份有限公司 一种建立三元对等鉴别可信网络连接架构的方法
CN101540676B (zh) * 2009-04-28 2012-05-23 西安西电捷通无线网络通信股份有限公司 一种适合三元对等鉴别可信网络连接架构的平台鉴别方法
CN101572706B (zh) * 2009-06-08 2011-06-01 西安西电捷通无线网络通信股份有限公司 一种适合三元对等鉴别可信网络连接架构的平台鉴别消息管理方法
CN101656719B (zh) * 2009-09-22 2011-11-02 西安西电捷通无线网络通信股份有限公司 一种可实现平台配置保护的双向平台鉴别方法
CN101674182B (zh) 2009-09-30 2011-07-06 西安西电捷通无线网络通信股份有限公司 引入在线可信第三方的实体公钥获取、证书验证及鉴别的方法及系统
WO2011081589A1 (en) * 2010-01-04 2011-07-07 Dts Steering Group Ab Secure digital communications
US11314854B2 (en) 2011-12-30 2022-04-26 Bedrock Automation Platforms Inc. Image capture devices for a secure industrial control system
US11967839B2 (en) 2011-12-30 2024-04-23 Analog Devices, Inc. Electromagnetic connector for an industrial control system
US10834094B2 (en) 2013-08-06 2020-11-10 Bedrock Automation Platforms Inc. Operator action authentication in an industrial control system
US8868813B2 (en) 2011-12-30 2014-10-21 Bedrock Automation Platforms Inc. Communications control system with a serial communications interface and a parallel communications interface
US9467297B2 (en) * 2013-08-06 2016-10-11 Bedrock Automation Platforms Inc. Industrial control system redundant communications/control modules authentication
US12061685B2 (en) 2011-12-30 2024-08-13 Analog Devices, Inc. Image capture devices for a secure industrial control system
US9727511B2 (en) 2011-12-30 2017-08-08 Bedrock Automation Platforms Inc. Input/output module with multi-channel switching capability
US9600434B1 (en) 2011-12-30 2017-03-21 Bedrock Automation Platforms, Inc. Switch fabric having a serial communications interface and a parallel communications interface
US11144630B2 (en) 2011-12-30 2021-10-12 Bedrock Automation Platforms Inc. Image capture devices for a secure industrial control system
US8862802B2 (en) 2011-12-30 2014-10-14 Bedrock Automation Platforms Inc. Switch fabric having a serial communications interface and a parallel communications interface
US10834820B2 (en) 2013-08-06 2020-11-10 Bedrock Automation Platforms Inc. Industrial control system cable
US9191203B2 (en) 2013-08-06 2015-11-17 Bedrock Automation Platforms Inc. Secure industrial control system
US9437967B2 (en) 2011-12-30 2016-09-06 Bedrock Automation Platforms, Inc. Electromagnetic connector for an industrial control system
US8971072B2 (en) 2011-12-30 2015-03-03 Bedrock Automation Platforms Inc. Electromagnetic connector for an industrial control system
JP5990433B2 (ja) * 2012-08-31 2016-09-14 株式会社富士通エフサス ネットワーク接続方法および電子機器
US9202056B2 (en) * 2013-03-15 2015-12-01 Intel Corporation Inter-processor attestation hardware
US10270748B2 (en) 2013-03-22 2019-04-23 Nok Nok Labs, Inc. Advanced authentication techniques and applications
US9887983B2 (en) 2013-10-29 2018-02-06 Nok Nok Labs, Inc. Apparatus and method for implementing composite authenticators
US9396320B2 (en) 2013-03-22 2016-07-19 Nok Nok Labs, Inc. System and method for non-intrusive, privacy-preserving authentication
US9961077B2 (en) 2013-05-30 2018-05-01 Nok Nok Labs, Inc. System and method for biometric authentication with device attestation
US10613567B2 (en) 2013-08-06 2020-04-07 Bedrock Automation Platforms Inc. Secure power supply for an industrial control system
CN104618308B (zh) * 2013-11-04 2019-09-13 腾讯科技（武汉）有限公司 协议请求处理方法及装置
US9654469B1 (en) 2014-05-02 2017-05-16 Nok Nok Labs, Inc. Web-based user authentication techniques and applications
CN104092733B (zh) * 2014-06-20 2018-09-14 华南理工大学 一种基于hdfs的可信分布式文件系统
US10148630B2 (en) 2014-07-31 2018-12-04 Nok Nok Labs, Inc. System and method for implementing a hosted authentication service
US9608825B2 (en) 2014-11-14 2017-03-28 Intel Corporation Trusted platform module certification and attestation utilizing an anonymous key system
US9768966B2 (en) * 2015-08-07 2017-09-19 Google Inc. Peer to peer attestation
CN106572064B (zh) * 2015-10-10 2019-10-29 西安西电捷通无线网络通信股份有限公司 一种多ttp参与的实体身份有效性验证方法及装置
US10769635B2 (en) 2016-08-05 2020-09-08 Nok Nok Labs, Inc. Authentication techniques including speech and/or lip movement analysis
US10637853B2 (en) 2016-08-05 2020-04-28 Nok Nok Labs, Inc. Authentication techniques including speech and/or lip movement analysis
US10482034B2 (en) * 2016-11-29 2019-11-19 Microsoft Technology Licensing, Llc Remote attestation model for secure memory applications
US10091195B2 (en) 2016-12-31 2018-10-02 Nok Nok Labs, Inc. System and method for bootstrapping a user binding
US10237070B2 (en) 2016-12-31 2019-03-19 Nok Nok Labs, Inc. System and method for sharing keys across authenticators
US10666658B2 (en) * 2017-01-30 2020-05-26 Ncr Corporation Trusted network entity secure connectivity
US11604879B2 (en) * 2017-07-12 2023-03-14 Nec Corporation Attestation system, attestation method, and attestation program
US11868995B2 (en) 2017-11-27 2024-01-09 Nok Nok Labs, Inc. Extending a secure key storage for transaction confirmation and cryptocurrency
US11831409B2 (en) 2018-01-12 2023-11-28 Nok Nok Labs, Inc. System and method for binding verifiable claims
US10924282B2 (en) * 2018-05-24 2021-02-16 Cyber Pack Ventures, Inc. System and method for measuring and reporting IoT boot integrity
US12041039B2 (en) 2019-02-28 2024-07-16 Nok Nok Labs, Inc. System and method for endorsing a new authenticator
US11792024B2 (en) 2019-03-29 2023-10-17 Nok Nok Labs, Inc. System and method for efficient challenge-response authentication
CN114884689A (zh) * 2019-07-12 2022-08-09 华为技术有限公司 一种远程证明方法及装置
US11290471B2 (en) * 2019-08-27 2022-03-29 Hewlett Packard Enterprise Development Lp Cross-attestation of electronic devices
CN113794685B (zh) * 2021-08-16 2023-09-29 德威可信(北京)科技有限公司 一种基于可信评估的数据传输方法及装置
CN113783846B (zh) * 2021-08-16 2023-09-19 德威可信(北京)科技有限公司 一种可信数据传输系统及方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101136928A (zh) * 2007-10-19 2008-03-05 北京工业大学 一种可信网络接入框架
CN101159660A (zh) * 2007-11-16 2008-04-09 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制方法
CN101242266A (zh) * 2007-08-01 2008-08-13 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络连接方法
CN101394283A (zh) * 2008-11-04 2009-03-25 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别(TePA)的可信平台验证方法

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7293284B1 (en) 2002-12-31 2007-11-06 Colligo Networks, Inc. Codeword-enhanced peer-to-peer authentication
JP4599852B2 (ja) * 2004-02-23 2010-12-15 ソニー株式会社 データ通信装置および方法、並びにプログラム
JP4144880B2 (ja) 2004-04-09 2008-09-03 インターナショナル・ビジネス・マシーンズ・コーポレーション プラットフォーム構成測定装置、プログラム及び方法、プラットフォーム構成認証装置、プログラム及び方法、プラットフォーム構成証明装置、プログラム及び方法、並びに、プラットフォーム構成開示装置、プログラム及び方法
WO2006100522A1 (en) 2005-03-22 2006-09-28 Hewlett-Packard Development Company, L.P. Methods, devices and data structures for trusted data
JP2010503252A (ja) 2006-08-31 2010-01-28 インターナショナル・ビジネス・マシーンズ・コーポレーション コンピューティング・プラットフォームの証明
GB0707150D0 (en) 2007-04-13 2007-05-23 Hewlett Packard Development Co Dynamic trust management
KR100917601B1 (ko) * 2007-07-03 2009-09-17 한국전자통신연구원 인증 재전송 공격 방지 방법 및 인증 시스템
CN101286840B (zh) 2008-05-29 2014-07-30 西安西电捷通无线网络通信股份有限公司 一种利用公钥密码技术的密钥分配方法及其系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101242266A (zh) * 2007-08-01 2008-08-13 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络连接方法
CN101136928A (zh) * 2007-10-19 2008-03-05 北京工业大学 一种可信网络接入框架
CN101159660A (zh) * 2007-11-16 2008-04-09 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制方法
CN101394283A (zh) * 2008-11-04 2009-03-25 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别(TePA)的可信平台验证方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013544052A (ja) * 2010-11-12 2013-12-09 西安西▲電▼捷通▲無▼綫▲網▼絡通信股▲分▼有限公司 匿名エンティティ認証方法および装置本出願は、２０１０年１１月１２日に中国特許局に提出し、出願番号が２０１０１０５４６３３９．３であり、発明名称が「匿名エンティティ認証方法およびシステム」との中国特許出願を基礎とする優先権を主張し、その開示の総てをここに取り込む。

Also Published As

Publication number Publication date
EP2346207A1 (en) 2011-07-20
CN100581107C (zh) 2010-01-13
JP5196021B2 (ja) 2013-05-15
EP2346207A4 (en) 2013-04-24
KR101421329B1 (ko) 2014-07-18
US20110202992A1 (en) 2011-08-18
JP2012501120A (ja) 2012-01-12
US8533806B2 (en) 2013-09-10
KR20110051281A (ko) 2011-05-17
CN101394283A (zh) 2009-03-25

Similar Documents

Publication Publication Date Title
WO2010051742A1 (zh) 一种基于三元对等鉴别(TePA)的可信平台验证方法
JP6684930B2 (ja) ブロックチェーンに基づくアイデンティティ認証方法、装置、ノード及びシステム
KR101104486B1 (ko) 보안 향상을 위한 안전 네트워크 연결 방법
JP5759010B2 (ja) 匿名エンティティ認証方法および装置
EP2426853B1 (en) Platform authentication method suitable for trusted network connect architecture based on tri-element peer authentication
US20100262832A1 (en) Entity bidirectional authentication method and system
JP5759009B2 (ja) 匿名エンティティ認証方法および装置
WO2009015581A1 (fr) Procédé visant à obtenir une connexion de réseau fiable, reposant sur une authentification d'homologues impliquant trois éléments
KR20130084315A (ko) 신뢰성 있는 제 3자를 기반으로 한 양방향 엔티티 인증 방법
WO2011022918A1 (zh) 一种引入在线第三方的实体双向鉴别方法
WO2011038559A1 (zh) 引入在线可信第三方的实体公钥获取、证书验证及鉴别的方法及系统
CN103237038A (zh) 一种基于数字证书的双向入网认证方法
WO2010066187A1 (zh) 一种基于三元对等鉴别的可信网络连接握手方法
CN110838920B (zh) web系统中无需存储口令相关信息的口令认证与密钥协商协议
WO2010066169A1 (zh) 一种基于三元对等鉴别的可信网络连接实现方法
JP2010508567A (ja) コンピューティングデバイスにおけるマルウェアの無効化
KR101679771B1 (ko) 아이덴티티 인증을 위한 방법, 디바이스 및 시스템
WO2011022919A1 (zh) 一种引入在线第三方的实体鉴别方法
WO2011109959A1 (zh) 一种适合可信连接架构的平台鉴别实现方法及系统
US20120167212A1 (en) Methods for inspecting security certificates by network security devices to detect and prevent the use of invalid certificates
CN116506118A (zh) 一种pki证书透明化服务中身份隐私性保护方法
Diaz et al. On securing online registration protocols: Formal verification of a new proposal
Addas et al. Formal security analysis and performance evaluation of the linkable anonymous access protocol
Feng et al. A new method of formalizing anonymity based on protocol composition logic
CN118316611A (zh) 一种分布式信任的公开可链接匿名声望评价方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09824397

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2011524174

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 13119909

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2009824397

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 20117007896

Country of ref document: KR

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE