[发明专利]一种数据可信传输方法

权利要求书

1.一种数据可信传输方法，进行数据传输的客户端与服务器通过SGX进行认证，客户端认证模块向对应的服务器证实其所在的平台与用户的合法性，客户端经过认证之后，建立了与服务器之间的会话，客户端与服务器进行一次性的供应协议，客户端应用的机密数据被密封到应用所在的平台上，其特征在于， 在服务器与客户端之间建立单独的安全通道进行通信连接，每个通道与唯一的客户端对应，服务器向客户端发送的数据在传输过程中进行加密；

受保护的文件在 enclave中加密之后，根据客户端的文件请求，向客户端发送特定的文件，随后分发给已获得认证并授权的应用使用者来查看或者执行其他操作；

经过认证的用户收到了加密的文件，使用运行在客户端平台的 enclave中的安全文件阅读组件来进行文件的查看；同时，客户端的权限检查组件检查用户是否有权限来查看或者修改文件，一旦文件权限检查失败，文件解密组件无需工作；

服务器向客户端发送的数据在传输过程中进行加密包括：

客户端随机生成 RSA 密钥对，将 RSA 密钥对里的公钥提取出来，通过 socket将公钥发送给服务器；

服务器接收到公钥后，将随机密码生成器分配的用于文件加密的密钥进行加密，并且发送到客户端；

客户端收到加密后的数据后，用 RSA 密钥对中的私钥对数据进行解密，从而得到用于加密文件的密钥；

所述随机密码生成器分配用于加密的密钥包括以下步骤：

a. 将固定的字符存储于不可变的序列中；

b. 请求NTP服务，并以获取的时间作为随机数的种子；

c. 利用RRAND指令，根据上述的种子，每次生成一个整数下标，并从不可变的序列中读取下标在步骤a中对应的字符；

d. 将字符组合成16字节的随机密码；

从服务器向客户端以分流的方式发送文件必须从对应的安全通道传输，通信是单方向的并且全部由发送请求的 enclave 主导；

利用共享的代码与数据区，分为Trampoline 和Stub；首先需要在主机普通内存中预留两个内存区域，并将两端内存地址在enclave中注册，使之成为Stub和Trampoline区域。

2.根据权利要求1所述的数据可信传输方法，其特征在于，所述SGX认证为本地认证和远程认证相结合。

3.根据权利要求2所述的数据可信传输方法，其特征在于，所述本地认证包含两个enclave 实体，并且这两个实体需要互相验证，两个实体互为验证者与被验证者，具体验证步骤为：

步骤①，实体 A 与实体 B 建立通信路径后，实体A 获取实体 B 的 MRENCLAVE 的值；

步骤②：实体 A 调用封装的 EREPORT 指令，并使用 实体B 的 MRENCLAVE 的值来生成签名的 REPORT，用以发送回实体 B；

步骤③：实体 B 收到实体 A 发送的 REPORT 后，调用 EGETKEY 指令来获取它的Report Key，用来重新计算REPORT 的 MAC，并且将计算结果与 REPORT 中的 MAC 进行比对；

若两者一致，实体B肯定 实体A 确实是与自己运行在同一平台的 enclave，当 TCB 的固件与硬件组件被检查无误后，实体B 可以检查实体 A 的 REPORT 来核实 TCB 的软件组件，包括反映运行在 enclave 中的软件镜像内容的 MRENCLAVE 以及反映加密者身份的MRSIGNER。

4.根据权利要求3所述的数据可信传输方法，其特征在于，所述远程认证包括：在客户端的平台上创建一个引证Enclave，进行 Quoting Enclave与客户端Enclave之间的本地认证；在本地认证执行结束后，引证Enclave将REPORT 中的 MAC 用一个签名来替换，所述签名使用特定于设备的非对称密钥来完成，引证Enclave保留用于签名的私有密钥。