[发明专利]在一个往返行程中的密钥认证

权利要求书

1.一种用于请求第一密钥（704）的证书（138）的方法，该方法包括：

创建（204）证书请求（118），以使得所述第一密钥（704）被认证；

向可信平台模块（104）请求（208）被绑定到所述证书请求（118）的证明身份密钥；

从所述可信平台模块（104）接收（210）将所述证明身份密钥绑定到所述证书请求（118）的身份绑定（120）；

请求（214）所述可信平台模块（104）利用所述证明身份密钥来签署所述第一密钥（704）；

从所述可信平台模块（104）接收（216）包含所述第一密钥（704）并利用所述证明身份密钥签署的密钥认证结构（124）；

向证书颁发机构（126）发送（218）包括所述证书请求（118）、所述身份绑定（120）、所述密钥认证结构（124）和所述可信平台模块（104）的公用签注密钥（108）的第一证书（128）的信息；以及

从所述证书颁发机构（126）接收（248）所述第一密钥（704）的第二证书（138），所述第二证书（138）采用仅在由所述可信平台模块（104）采取行动之后才是可用的形式。

2.权利要求1的方法，进一步包括：

计算所述证书请求的摘要；

其中通过将所述证明身份密钥绑定到所述摘要，将所述证明身份密钥绑定到所述证书请求。

3.权利要求1的方法，其中所述第一证书包括所述证书颁发机构的签名，所述签名是仅利用使用所述可信平台模块的专用签注密钥的处理才可解密的，其中所述行动包括使用所述可信平台模块的专用签注密钥。

4.权利要求3的方法，进一步包括：

从所述证书颁发机构接收利用所述可信平台模块的公用签注密钥加密的对称密钥；

其中所述第二证书以利用所述对称密钥加密的形式包含所述签名，并且其中使用所述可信平台模块的专用签注密钥的所述处理包括：

使用所述可信平台模块的专用签注密钥来解密所述对称密钥；和

使用所述对称密钥来解密所述签名。

5.权利要求1的方法，其中所述第二证书包括以加密形式接收的签名，并且其中所述行动进一步包括：

利用采用明文形式的签名来替换采用所述加密形式的所述签名。

6.权利要求1的方法，其中所述第一密钥是不可迁移的，并且其中所述密钥认证结构包括所述第一密钥是不可迁移的声明。

7.权利要求1的方法，其中所述第一密钥被用作在所述可信平台模块位于其上的机器上签署数据的处理的一部分。

8.一种计算机可读介质，其具有计算机可执行指令来执行权利要求1-7之中任一权利要求的方法。

9.一种对请求起作用以认证第一密钥的方法，该方法包括：

从客户端（112）接收（218）包括以下的信息：

认证第一密钥（704）的证书请求（118）；

由所述客户端（112）在其上面运行的机器（102）上的可信平台模块（104）创建的证明身份密钥的身份绑定（120）；

使用所述证明身份密钥来证明所述第一密钥（704）的特征的密钥认证结构（124）； 和

所述可信平台模块（104）的公用签注密钥（108）的第一证书（128）；

基于所述公用签注密钥（108），验证（222）所述可信平台模块（104）被执行所述行动的证书颁发机构（126）信任；

验证（228）所述身份绑定（120）将所述证明身份密钥绑定到所述证书请求（118）；

由所述证明身份密钥的专用部分的持有者验证（232）所述密钥认证结构（124）代表所述第一密钥（704）具有所述特征的声明（702）；和

发送（246）所述第一密钥（704）的第二证书（138）到所述客户端（112），其中所述第二证书（704）的使用以所述可信平台模块（104）的存在为条件。

10.权利要求9的方法，其中通过使得所述证书仅在所述可信平台模块的专用签注密钥的使用之后才是可用的，使得所述第二证书的使用以所述可信平台模块的存在为条件。

11.权利要求9的方法，其中所述第二证书包括所述证书颁发机构的签名，所述签名采用仅使用所述可信平台模块的专用签注密钥才可解密的形式。