[发明专利]一种可信验证方法及终端

说明书

本发明公开了一种安全验证方法及终端，包括在安全设备的芯片内部设置多个可信状态寄存器TCR，在所述多个TCR中记录安全设备启动各个阶段的哈希值，从而实现了安全设备可信状态的逐级传递以及可信链的建立，最后利用TCR中存储的哈希值生成凭据文件，并和基准值进行校验来判定安全设备的状态是否可信，本发明的技术方案能够做到设备启动过程中信任链的逐级传递，一旦设备的启动状态有了异常将会被及时发现并做出反应，极大地提升了安全设备的安全性和可信度。

技术领域

本发明涉及安全验证领域，特别涉及一种可信验证方法及终端。

背景技术

Ukey(USBKEY)内置智能卡芯片、有一定的存储空间，可以存储用户的私钥以及数字证书，利用Ukey内置的公钥算法实现对用户身份的认证。由于用户私钥保存在密码芯片中，理论上很难进行破解，故可以保证用户认证的安全性。目前的黑客技术日新月异，很难破解不等于不能破解。

目前市面上常见的TF卡(Trans-flashCard)仅有存储功能而不支持密码算法，常见的TF卡的卖点在于容量和存储速度。个别面对行业用户的安全TF卡有密码功能、可以支持商密算法，可以看作是一种SD接口形式的智能卡安全芯片，由于没有独立的设计可信状态寄存器(TCR，TrustedConditionRegister)故还是不可以做到在设备启动过程中信任链的逐级传递。

发明内容

基于现有技术中存在的上述问题，有必要提出一种设备的安全验证方法，将安全设备启动各个阶段的状态信息进行保存，据此建立信任链以供安全验证以及异常问题的回溯核查，从而提升安全设备的安全性和可信度。

一种安全验证方法，其特征在于，包括：

步骤1：设备上电启动，根据所述设备第一启动阶段的信息计算得到第一哈希值，与所述第一可信状态寄存器内保存的初始哈希值进行运算得到第二哈希值，将所述第二哈希值写入到所述第一可信状态寄存器中以覆盖所述初始哈希值，并将所述第一哈希值存储到所述第二可信状态寄存器可信状态寄存器内；

步骤2：根据所述设备的BOOTLOADER计算得到第三哈希值，与所述第一可信状态寄存器内保存的第二哈希值进行运算得到第四哈希值，将所述第四哈希值写入到所述第一可信状态寄存器中以覆盖所述第二哈希值，并将所述第三哈希值存储到所述第三可信状态寄存器内；

步骤3：根据所述设备的OSKERNAL计算得到第五哈希值，与所述第一可信状态寄存器内保存的第四哈希值进行运算得到第六哈希值，将所述第六哈希值写入到所述第一可信状态寄存器中以覆盖所述第四哈希值，并将所述第五哈希值存储到所述第四可信状态寄存器内；

步骤4：对所述第六哈希值进行数字签名，生成凭据文件并发送给验证方；

步骤5：通过比对所述凭据文件和基准值完成安全设备的可信度校验。

还包括：

所述第一启动阶段的信息为设备的核心代码芯片固件。

还包括：

所述第二启动阶段的信息为设备的引导程序BOOTLOADER。

还包括：

所述第三启动阶段的信息为设备的操作系统内核OSKERNAL。

还包括：

采用MD5算法进行哈希值运算。

还包括：

所述TCR在一个上电周期内不能被重新初始化；

只能通过拓展的方式来变化；

签名密钥在硬件内不能导出；