[发明专利]硬件安全单元间协作方法、系统及其应用设备

说明书

技术领域

本发明涉及一种硬件安全系统，尤指一种固定硬件安全单元及移动硬件安全单元的协作方法及系统，以及应用固定硬件安全单元的计算机设备。 

背景技术

现有计算机和其他设备为了保证自身设备的安全，均在其内部设置安全芯片，在安全芯片内部载入平台证书，平台证书对外用于提供平台身份标识。当计算机或其他设备与第三方设备相通信时，安全芯片内部的平台证书可以为第三方设备提供计算机或其他设备自身的身份标识。 

现有的基于计算机和其他设备的硬件安全芯片方案可以保证平台的安全性，但由于安全芯片本身固化在PC或其他设备上，不方便移动，这导致基于计算机和其他设备的硬件安全芯片的解决方案只能指定某台机器实现，不方便用户或者使用者移动使用。 

现有USBKey和智能卡的证书、密钥放置在USBKey和智能卡的安全芯片内，该安全芯片作为一个黑匣子，该安全芯片对外提供身份认证和密码学服务功能。在典型的网银应用里，USBKey、智能卡是作为使用者的身份标识使用。USBKey里存在一个安全芯片，且该安全芯片需要得到银行或服务器的认证。服务器发行的电子证书被安全的下载至USBKey，电子证书中含有签章使用的密钥。使用者与银行或服务器连接的阶段，要通过口令或其他认证手段如指纹等确认USBKey的使用者身份，获得密钥的使用权力。在使用者向服务器提交数据时，例如“转帐到XX帐户XX元”，该信息要被USBKey的电子证书签章，作为确认使用者操作的重要依据。同时，USBKey里的安全芯片，还可以产生使用者密钥，用该密钥加密的数据，只能被使用者授权的该密钥解密。 

现有USBKey、智能卡方案标识使用者身份存在以下两种缺陷。 

1、USBKey、智能卡方案只能对使用者身份负责，并不能对整个运行的环境的安全性负责。从本质上，其不能避免，计算机上运行的黑客程序窃取USBKey、智能卡的口令。在USBKey、智能卡丢失，或者口令被窃取后，不能保证使用者身份的安全性。 

2、USBKey、智能卡方案使用通常是几位的可输入字符的口令，确认使用人的身份，这在整个安全体系里，是最弱的安全因子，有可能被暴力攻击破解。 

发明内容

本发明的目的是提供一种固定硬件安全单元及移动硬件安全单元的协作方法及系统，以及应用固定硬件安全单元的计算机设备，用于满足固定硬件安全单元的安全方案能够与保证使用者身份安全的移动硬件安全单元结合。 

本发明提供一种固定硬件安全单元及移动硬件安全单元的协作方法，所述方法包括： 

设置表征使用者身份的移动硬件安全单元； 

设置表征平台身份的基于计算机或其他设备的固定硬件安全单元； 

所述移动硬件安全单元和固定硬件安全单元创建双向通信管道； 

所述移动硬件安全单元和固定硬件安全单元通过唯一识别信息的交互，实现互相绑定。 

优选地，所述双向通信管道是通过所述移动硬件安全单元和固定硬件安全单元过密钥协商或者公钥交换的手段创建。 

优选地，所述通信管道由所述移动硬件安全单元和/或固定硬件安全单元更新或者废除； 

或，由所述通信管道根据所述移动硬件安全单元和/或固定硬件安全单元设定的条件进行更新或者废除。 

优选地，所述唯一识别信息的交互具体为所述移动硬件安全单元唯一识别信息发送到所述固定硬件安全单元，所述固定硬件安全单元识别和记录所述移动硬件安全单元唯一识别信息； 

所述固定硬件安全单元唯一识别信息发送到所述移动硬件安全单元，所述移动硬件安全单元识别和记录所述固定硬件安全单元唯一识别信息。 

优选地，所述移动硬件安全单元唯一识别信息和/或所述固定硬件安全单元唯一识别信息通过密码学的方法处理后，再进行交互。 

优选地，所述移动硬件安全单元和固定硬件安全单元对需要发送的信息进行二次加密。 

优选地，所述移动硬件安全单元和固定硬件安全单元对需要发送的明文 进行所述移动硬件安全单元和固定硬件安全单元的二次加密； 

所述移动硬件安全单元和固定硬件安全单元对向需要发送的表征身份信息的签名进行所述移动硬件安全单元和固定硬件安全单元的二次签名。 

优选地，所述移动硬件安全单元和固定硬件安全单元通过唯一识别信息的交互，实现互相绑定之后，进一步包括：