[发明专利]一种面向工控可信计算平台的高效远程证明方法

说明书

技术领域

本发明涉及信息安全领域，特别是涉及一种面向工控可信计算平台的高效远程证明方法。

背景技术

随着互联网技术、物联网技术的快速发展以及中国制造2025、工业4.0革命的到来，工业控制系统连接到信息网络的需求日益增加，随之产生的工控系统的信息安全问题变得日益突出。而早期孤岛式的工控系统在通讯协议、操作系统、安管策略与管理流程、应用软件等方面埋下的安全隐患使得工控系统信息安全漏洞百出，从2010年伊朗的“震网(Stuxnet)”病毒的爆发到2016年德国贡德雷明根核电站发现“W32.Ramnit”病毒，引发了各国对工控系统信息安全的广泛关注。为确保计算终端安全性可信计算组织(Trusted Computing Group，TCG)提出了可信计算的概念，并制定了相关的标准用于保障计算平台的安全性。

在可信计算标准中为证明平台可信性，TCG提出了两种远程证明方法，一是直接匿名认证方法，但该方法基于多种密码学原型且较为复杂不易部署实现；二是基于隐私CA(Privacy Certification Authority)的认证，该方案沿用了PKI(Public KeyInfrastructure)体系架构，但目前仍未有可用的商业模型且整体架构存在性能问题。上述两种方法均为确保平台用户的隐私性，因此在性能方面较为低下且体系结构复杂，无法满足工业控制领域所要求的实时性和可用性，尤其是，在工业控制场景下，无需对工控计算平台用户进行隐私保护。

发明内容

本发明就是针对现有技术存在的缺陷，提供面向工控可信计算平台的高效远程证明方法，其能够解决工业控制环境下可信计算平台远程证明方法部署难度大和实时性低等问题。在实现远程证明基础上能够确保工业控制环境下证明方法的易部署性和实时性。

为实现上述目的，本发明采用如下技术方案；包括：

可信平台客户端、远程验证服务器及私钥颁发中心。

所述可信平台客户端包括可信平台模块TPM(Trusted Platform Module)及远程证明模块。

所述的远程验证服务器用于验证可信平台客户端所生成的签名值，为通过验证的可信平台客户端提供服务。

所述的私钥颁发中心用于根据TPM唯一ID为可信平台客户端颁发签名私钥，负责TPM唯一ID值的管理(包括查找及撤销)。

所述的可信平台模块TPM不直接与外界实体进行交互，由远程证明模块实现与外界实体间的交互；所述的远程证明模块协助可信平台模块TPM向私钥颁发中心获取根据其唯一ID生成的签名私钥，利用获得的签名私钥向远程验证服务器证明客户端所在的平台为可信平台。

进一步地，所述的可信平台客户端为：在工业控制环境下，用于工控的计算平台客户端均嵌入可信平台模块TPM，且(所有设备的软硬件)须遵循可信计算组织提出的标准。

进一步地，所述的唯一ID，是在可信平台模块安全芯片出厂时由生产厂家所制定的全球唯一ID值。

进一步地，所述的签名私钥由私钥颁发中心为可信平台模块TPM颁发，存储在TPM安全芯片内部；可信平台客户端可以使用该私钥生成签名值向远程验证服务器证明其平台的可信性，该签名私钥可以让可信平台客户端向远程验证服务器证明其拥有可信平台模块TPM，平台的可信性由可信平台模块TPM及客户端平台配置信息来保证。

一种面向工控可信计算平台的高效远程证明方法；包括以下步骤：

步骤1：私钥颁发中心生成远程证明相关密码学参数；包括以下步骤：

步骤1-1：基于在椭圆曲线上的双线性配对，选择阶为素数p的乘法循环群G，令g为循环群的生成元，且有e：G×G→G_T成立，其中e为双线性映射，G_T为映射群。

步骤1-2：随机选择一个主密钥其中为阶p整数域，并计算公钥pk＝g^mk。

步骤1-3：选择两个哈希函数：Hash₂：{0，1}^*→G，其中{0，1}^*表示任意长度二进制流，表示乘法群。

通过上述步骤，私钥颁发中心生成的公开参数为(g，pk，Hash₁，Hash₂)，私有参数为主密钥mk。

步骤2：私钥颁发中心向可信平台模块TPM颁发签名私钥，包含以下步骤：