[发明专利]一种vTPM2.0的密钥迁移方法及装置

说明书

本发明实施例公开了一种vTPM2.0的密钥迁移方法及装置。其中，方法包括将待迁移vTPM2.0的虚拟存储密钥发送至目标物理平台；在将待迁移vTPM2.0的虚拟存储密钥发送至目标物理平台的同时，在目标物理平台生成虚拟平台密钥及虚拟背书密钥；并将所述虚拟平台密钥的公钥、所述虚拟背书密钥的公钥、与物理TPM芯片的平台密钥证书及背书密钥证书发送至证书管理中心，以申请vTPM的虚拟背书密钥证书及虚拟平台密钥证书，用于生成证书链，最后将生成的证书链保存。提高了vTPM2.0的迁移效率，有效的解决了虚拟平台密钥及虚拟背书密钥无法与物理TPM绑定的问题，提高了vTPM的可信性，以及可信报告的可追溯性。

技术领域

本发明实施例涉及可信计算技术领域，特别是涉及一种vTPM2.0的密钥迁移方法及装置。

背景技术

随着越来越多的木马程序以及骇客的入侵，保密资料(敏感数据)的外泄风险越来越高。为了提高保密资料的安全性，避免用户遭受损失，一系列加强防止资料外泄的机制应用而生。

TCG(Trusted Computing Group，可信计算组织)基于跨平台和操作环境制定了可信计算相关标准和规范，并提出TPM(Trusted Platform Module，可信平台模块)规范。TPM芯片即为符合TPM规范的安全芯片，内置了密码学功能，具有产生加解密密钥的功能、能够高速的对资料进行加密和解密、以及充当保护BIOS和操作系统不被修改的辅助处理器，可有效地防止对BIOS和系统的非法篡改。TPM芯片的密钥体系中包括PK(Platform Key，平台密钥)、EK(Endorsement Key，背书密钥)、SK(Storage Key，存储密钥)三种根密钥，PK、EK属于公钥密码体制，用于远程可信证明，SK属于对称密码体制，用于可信存储。可信证明是指使用PK或EK对可信度量结果进行签名，提交给求证者，可信存储是指为虚拟机提供安全加解密功能。

在云计算时代，虚拟技术迅猛发展。通常多个虚拟机运行在同一物理平台上，需虚拟化实现TPM，向虚拟机提供与物理TPM芯片无差别的可信服务。由于多种因素的影响，虚拟机存在向不同物理平台迁移的需求，此时，与之绑定的vTPM(virtualizing TPM，虚拟TPM)应一起迁移至目标物理平台，实现可信服务的不间断。

现有技术中的vTPM在迁移时，通常将vTPM的密钥整体迁移到目标物理平台上，即将vPK(virtualizing Platform Key，虚拟平台密钥)、vEK(virtualizing EndorsementKey，虚拟背书密钥)及vSK(virtulizing Storage Key，虚拟存储密钥)迁移到目标物理平台。但是，如果由于vPK与vEK需要迁移，便不能与物理TPM芯片进行绑定，所以其自身可信性缺少保障；另外，由于vPK与vEK属于公钥密码体系，需与证书配套使用，未与物理TPM芯片的证书绑定的vPK与vEK无法形成证书链，可信报告不具备可追溯性。

发明内容

本发明实施例的目的是提供一种vTPM2.0的密钥迁移方法及装置，以提高vTPM2.0的密钥迁移的效率与可信性。

为解决上述技术问题，本发明实施例提供以下技术方案：

本发明实施例一方面提供了一种vTPM2.0的密钥迁移方法，包括：

将待迁移vTPM2.0的虚拟存储密钥发送至目标物理平台；

当检测到将待迁移vTPM2.0的虚拟存储密钥发送至目标物理平台的指令时，在所述目标物理平台生成虚拟平台密钥及虚拟背书密钥；

将所述虚拟平台密钥的公钥、所述虚拟背书密钥的公钥、物理TPM芯片的平台密钥证书及背书密钥证书发送至证书管理中心，以申请所述vTPM的虚拟背书密钥证书及虚拟平台密钥证书，用于生成所述目标物理平台的证书链，并保存生成的证书链。

可选的，在所述将待迁移vTPM2.0的虚拟存储密钥发送至目标物理平台之后，还包括：