[发明专利]一种可信网络的证书签发、认证方法及相应的设备

说明书

技术领域

本申请涉及可信计算技术，更具体地，涉及一种可信网络的证书签发、认证方法及相应的设备。

背景技术

随着计算机技术和网络的迅猛发展，信息安全问题日趋复杂，系统安全问题，特别是计算机平台的开放框架所带来的威胁层出不穷。传统信息安全系统是以防外为重点，即以防御网络攻击(如：未知密钥共享，交错攻击，DoS攻击，重放攻击等)为主，这与目前信息安全主要威胁源自内部的实际状况不相符合。另外，从组成信息系统的服务器、网络、终端三个层面上来看，现有的保护手段是逐层递减的。人们往往把过多的注意力放在对服务器和网络设备的保护上，而忽略了对终端的保护。随着安全研究的不断深入，人们认识到针对计算实体内部的攻击是一种重要的安全威胁，因此越来越重视这些攻击所造成的危害。

为此，研究人员提出了可信计算的概念。可信计算的本质主要是通过增强现有的终端体系结构的安全性来保证整个系统的安全。其主要思路是在包括台式机、笔记本及智能手机等多种设备中，以所嵌入的可信平台模块(Trusted Platform Module，TPM)为核心为用户和平台提供安全保障。TPM通过存储、度量、报告等一系列手段来建立一个可信的计算环境，解决了部分针对内部攻击的问题。TPM具有远程证明的能力，能够响应远程认证方的请求，证明平台身份和平台完整性等可信属性。可信计算组织(Trusted Computing Group，TCG)要求在远程证明过程中，有效的保护平台身份信息的隐私性，即TPM向认证方进行远程证明时不能暴露身份信息。

为了解决远程证明时平台隐私信息的保护问题，TCG先后采用PCA方法和DAA方法。

TCG在其TPM v1.1b规范中提出了隐私证书权威(Privacy Certificate Authority，PrivacyCA)匿名认证系统，它采用PrivacyCA作为可信第三方为客户平台的EK证书签发别名证书来保证匿名性，并通过一次一密的方法保证平台的多次认证间的不可关联。

针对密钥的不同用途，TCG定义了七种类型的密钥，其中与平台身份认证有关的主要密钥有：

签署密钥(EK，Endorsement Key)：用于唯一标识平台身份的密钥，一般由TPM生产商在制造TPM时生成。EK影响到整个系统的安全性，它只用于两个操作：一是在确定平台属主时，解密属主的授权数据；二是生成AIK密钥并创建平台身份的别名证书。

身份证明密钥(AIK，Attestation Identity Key)：专用于对TPM产生的数据(如PCRs值等)进行签名，证明平台身份的合法性及平台环境的可信性。

为了实现密钥的应用、管理及平台的可信证明，TCG定义了五类证书，每类都被用于为特定操作提供必要的信息，包括：

签署证书(Endorsement Credential)：又称EK证书，一般由生成EK的厂商发布，包含TPM制造者名、TPM型号、TPM版本号和EK公钥等信息。

身份证明证书(AIK Credential)：又称AIK证书，用于鉴定对PCR值进行签名的AIK私钥，它包括AIK公钥和其它签发者认为有用的信息。AIK证书是由一个可信的、能够校验各种证书和保护用户隐私的服务方签发。通过签发证书，服务方可以证明提供TPM信息的TPM是真实的。

其他的还有一致性证书(Conformance Credential)、平台证书(Platform Endorsement Credential)和确认证书(Validation Credential)。