專利名稱：一種基于對稱密鑰密碼的可信計算平臺的制作方法
技術(shù)領(lǐng)域：
本實用新型涉及一種基于對稱密鑰密碼的可信計算平臺，屬于計算機(jī)信息安全技
術(shù)領(lǐng)域。
背景技術(shù)：
可信計算平臺在普通計算平臺上嵌入了一個單獨的安全模塊，能向該平臺的訪問者提供平臺身份證明和完整性數(shù)據(jù)。該單獨的安全模塊稱之為可信密碼模塊，原普通計算平臺稱之為可信計算平臺主機(jī)。可信密碼模塊具有獨立的處理器和存儲器，能提供加解密及秘密數(shù)據(jù)存儲等功能支撐。相對于可信密碼模塊而言，可信計算平臺主機(jī)上的驅(qū)動程序、操作系統(tǒng)或應(yīng)用程序及操作系統(tǒng)或應(yīng)用程序的用戶等稱之為外部實體。可信計算平臺環(huán)境下的密鑰是加解密和授權(quán)認(rèn)證的核心數(shù)據(jù)，可以實現(xiàn)平臺身份認(rèn)證、平臺完整性報告、平臺間數(shù)據(jù)交換，保證數(shù)據(jù)的機(jī)密性、完整性和不可否認(rèn)性等功能，因此密鑰管理是可信計算平臺的重要組成部分。其中，密鑰的存儲至關(guān)重要，如果措施不當(dāng)，造成密鑰泄漏，平臺會從"可信"變?yōu)?不可信"。 可信計算平臺為網(wǎng)絡(luò)用戶提供了一個更為寬廣的安全環(huán)境，它從安全體系的角度
來處理安全問題，確保用戶的安全執(zhí)行環(huán)境，突破被動防御打補丁方式。 為了解決密鑰的安全存儲問題，可信計算組織(TCG)采用如下安全措施 采用公鑰密碼體制加固各種需要保護(hù)的密鑰用主存儲密鑰的公開密鑰部分對待
保護(hù)密鑰進(jìn)行加密encKey = AsymEnc(Key， pubSMK)，只存儲密鑰被加密后的密文；當(dāng)需要
使用相應(yīng)的密鑰時，再用主存儲密鑰的私有密鑰部分對密文進(jìn)行解密得到密鑰明文Key =
UAsymEnc(encKey， priSMK)。 使用公鑰體制加密各種密鑰并存儲，由于公鑰算法的特點，算法速度比較慢，難以滿足大型可信計算平臺多密鑰的加解密速度要求；由于私有密鑰完全由公鑰持有者個人私有，不符合使用密鑰加密敏感信息的密碼政策，不利于實現(xiàn)第三方監(jiān)管。

發(fā)明內(nèi)容本實用新型的目的在于，克服現(xiàn)有技術(shù)的缺點，提供一種基于對稱密鑰密碼的可信計算平臺，使密鑰存儲保護(hù)速度快，可靠性高，既節(jié)省了有限的平臺內(nèi)部資源，又避免了敏感密鑰暴露在可信平臺外。 本實用新型的技術(shù)方案是一種基于對稱密鑰密碼的可信計算平臺，包括依次連接的CPU、屬于圖形與存儲集中控制器的北橋及屬于周邊設(shè)備集成集中控制器的南橋；顯示器及內(nèi)存分別與北橋連接；鍵盤、硬盤、BI0S ROM及可信密碼模塊分別與南橋連接。[0009] 所述的可信密碼模塊包括輸入/輸出I/O接口 、處理器、存儲器、隨機(jī)數(shù)生成器和密碼協(xié)處理器。 所述的可信密碼模塊為非易失性存儲器，其內(nèi)部存儲有需要存儲的密鑰，包括存儲主密鑰SMK、身份密鑰PIK、加密密鑰PEK。
3[0011] 所述的存儲主密鑰SMK與身份密鑰PIK及加密密鑰PEK、用戶密鑰區(qū)之間為根密鑰對下層密鑰的雙層密鑰管理結(jié)構(gòu)。 所述的身份密鑰PIK及加密密鑰PEK以明文存儲于可信密碼模塊內(nèi)物理保護(hù)區(qū)域，或用存儲主密鑰SMK加密后以密文存儲于可信密碼模塊外部實體；用戶密鑰UK用存儲主密鑰SMK加密后以密文存儲于可信密碼模塊外部。 本實用新型的技術(shù)效果是利用對稱密鑰密碼進(jìn)行密鑰存儲保護(hù)，速度快，可靠性高，既節(jié)省了有限的平臺內(nèi)部資源，又避免了敏感密鑰暴露在可信平臺外；當(dāng)高密級密鑰選擇明文存儲于可信密碼模塊內(nèi)的物理保護(hù)區(qū)域或加密存儲于外部實體時，靈活安全；采用對稱密碼實現(xiàn)加密存儲，符合有關(guān)密碼監(jiān)管政策。

圖1為可信計算平臺結(jié)構(gòu)示意圖；。
圖2為可信密碼模塊結(jié)構(gòu)示意圖。
圖3為可信計算平臺密鑰管理結(jié)構(gòu)示意圖。
具體實施方式結(jié)合附圖和實施例對本實用新型作進(jìn)一步說明如下 如圖1、2、3所示，一種基于對稱密鑰密碼的可信計算平臺，它由依次連接的CPU200、屬于圖形與存儲集中控制器的北橋210及屬于周邊設(shè)備集成集中控制器的南橋225組成；顯示器205及內(nèi)存215分別與北橋210連接；鍵盤220、硬盤240、BI0S ROM 230及可信密碼模塊235分別與南橋225連接?？尚琶艽a模塊235包含有輸入/輸出I/O接口 300、處理器305、包括易失性和非易失性的存儲器310、隨機(jī)數(shù)生成器330和密碼協(xié)處理器335。本實施例所述的可信密碼模塊235為非易失性存儲器，其內(nèi)部存儲有需要存儲的密鑰，包括存儲主密鑰SMK 315、身份密鑰PIK 320、加密密鑰PEK 325。存儲主密鑰SMK 315與身份密鑰PIK320及加密密鑰PEK 325、用戶密鑰UK 326之間為根密鑰對下層密鑰的雙層密鑰管理結(jié)構(gòu)。身份密鑰PIK 320及加密密鑰PEK 325以明文存儲于可信密碼模塊235內(nèi)物理保護(hù)區(qū)域，也可以用存儲主密鑰SMK 315加密后以密文存儲于可信密碼模塊235外部實體；用戶密鑰區(qū)326用存儲主密鑰SMK 315加密后以密文存儲于可信密碼模塊235外部。[0019] 應(yīng)用本實用新型一種基于對稱密鑰密碼的可信計算平臺進(jìn)行密鑰存儲步驟為A、對可信密碼模塊235載入密碼模塊密鑰EK的私鑰PRIEK，并對可信密碼模塊初始化；B、檢驗平臺所有者授權(quán)；C、驗證存儲主密鑰SMK 315授權(quán)；D、設(shè)置身份密鑰PIK 320授權(quán)數(shù)據(jù)；E、通過可信密碼模塊235執(zhí)行ECC密鑰生成算法，生成身份密鑰PIK 320密鑰對，所述密鑰對為密文存儲和明文存儲；F、使用身份密鑰PIK 320 ;所述的密文存儲是用存儲主密鑰SMK315的加密身份密鑰PIK 320私鑰及其授權(quán)數(shù)據(jù)和身份密鑰PIK 320公鑰一起導(dǎo)出存儲到外部實體，然后將加密的私鑰和授權(quán)數(shù)據(jù)傳送給密碼模塊，通過該模塊用存儲主密鑰SMK315解密身份密鑰PIK 320和私鑰及其授權(quán)數(shù)據(jù)的密文。所述的明文存儲是身份密鑰PIK320以明文存儲于可信密碼模塊235內(nèi)非易失性物理保護(hù)區(qū)域，并直接處于身份密鑰PIK320使用狀態(tài)而直接使用。所述的存儲主密鑰SMK 315是以明文存儲于可信密碼模塊235內(nèi)非易失性物理保護(hù)區(qū)域。
權(quán)利要求一種基于對稱密鑰密碼的可信計算平臺，其特征在于，該平臺包括依次連接的CPU(200)、屬于圖形與存儲集中控制器的北橋(210)及屬于周邊設(shè)備集成集中控制器的南橋(225)；顯示器(205)及內(nèi)存(215)分別與北橋(210)連接；鍵盤(220)、硬盤(240)、BIOS ROM(230)及可信密碼模塊(235)分別與南橋(225)連接。
2. 根據(jù)權(quán)利要求1所述基于對稱密鑰密碼的可信計算平臺，其特征在于，所述的可信 密碼模塊(235)包括輸入/輸出1/0接口 (300)、處理器(305)、存儲器(310)、隨機(jī)數(shù)生成 器(330)和密碼協(xié)處理器(335)。
3. 根據(jù)權(quán)利要求2所述基于對稱密鑰密碼的可信計算平臺，其特征在于，所述的可 信密碼模塊(235)為非易失性存儲器，其內(nèi)部存儲有需要存儲的密鑰，包括存儲主密鑰 SMK(315)、身份密鑰PIK(320)、加密密鑰PEK(325)。
4. 根據(jù)權(quán)利要求2所述基于對稱密鑰密碼的可信計算平臺，其特征在于，所述的存儲 主密鑰SMK(315)與身份密鑰PIK(320)及加密密鑰PEK(325)、用戶密鑰UK(326)之間為根 密鑰對下層密鑰的雙層密鑰管理結(jié)構(gòu)。
5. 根據(jù)權(quán)利要求3或4所述基于對稱密鑰密碼的可信計算平臺，其特征在于，所述的 身份密鑰PIK(320)及加密密鑰PEK(325)以明文存儲于可信密碼模塊(235)內(nèi)物理保護(hù)區(qū) 域，或用存儲主密鑰SMK(315)加密后以密文存儲于可信密碼模塊(235)外部實體；用戶密 鑰UK(326)用存儲主密鑰SMK(315)加密后以密文存儲于可信密碼模塊(235)外部。
專利摘要本實用新型涉及一種基于對稱密鑰密碼的可信計算平臺，屬于計算機(jī)信息安全技術(shù)領(lǐng)域。該平臺包括依次連接的CPU、屬于圖形與存儲集中控制器的北橋及屬于周邊設(shè)備集成集中控制器的南橋；顯示器及內(nèi)存分別與北橋連接；鍵盤、硬盤、BIOS ROM及可信密碼模塊分別與南橋連接。本實用新型優(yōu)點是使密鑰存儲保護(hù)速度快，可靠性高，既節(jié)省了有限的平臺內(nèi)部資源，又避免了敏感密鑰暴露在可信平臺外。
文檔編號G06F21/00GK201498001SQ20092022789
公開日2010年6月2日 申請日期2009年9月4日 優(yōu)先權(quán)日2009年9月4日
發(fā)明者余發(fā)江, 劉毅, 張大鵬, 胡曉, 韓勇橋 申請人:瑞達(dá)信息安全產(chǎn)業(yè)股份有限公司