[发明专利]形成可信计算集群的方法及装置

说明书

本说明书实施例提供一种形成可信计算集群的方法和装置。根据该方法，在形成可信计算集群的过程中，两个可信计算单元必须首先进行双向的彼此身份认证，在双方认证均通过的情况下，才进行秘钥传输，使得双方拥有相同的秘钥作为集群秘钥，如此确保形成真正可信的计算集群。

技术领域

本说明书一个或多个实施例涉及安全计算领域，尤其形成计算集群的方法和装置。

背景技术

为了计算和数据传输的安全，常常使用可信计算单元进行可信计算和数据处理。其中可信计算单元可以保证其中的代码执行是安全的，外界包括操作系统或驱动等都无法获取内部的运行时内存等秘密。

在用户设备与可信计算单元交换要处理的数据之前，通常首先通过协商得到一个共同的加密秘钥，该秘钥除了通信的双方，其他任何人都不可能破解。双方之间的数据发送均通过该协商得出的秘钥来进行加密，如此，我们称为，用户设备与可信计算单元建立了可信通道，可以在该可信通道上安全传输保密数据。

在许多情况下，用户设备需要与可信计算平台中的多个可信计算单元进行通信。为此，用户设备往往需要与这些可信计算单元分别进行秘钥协商，分别单独建立可信通道。当可信平台中的可信计算单元数目增多，数量庞大时，用户接入会变得复杂繁琐，成本高昂。

因此，希望能有改进的方案，可以对可信计算单元进行整体的管理和用户接入。

发明内容

本说明书一个或多个实施例描述了建立和重建可信通道的方法及装置，从而使得用户可以与整个可信计算集群，简单又安全地建立可信通道。

根据第一方面，提供了一种形成可信计算集群的方法，所述方法通过第一可信计算单元执行，包括：

获取第二可信计算单元的第二单元报告，所述第二单元报告由所述第二可信计算单元生成，包括所述第二可信计算单元的签名信息；

将所述第二单元报告发送至第三方认证机构，以获得第二认证结果；

向所述第二可信计算单元提供第一单元报告，所述第一单元报告包括所述第一可信计算单元的签名信息，以供所述第二可信计算单元获得针对第一可信计算单元的第一认证结果；

在所述第一认证结果和第二认证结果均为认证通过时，与所述第二可信计算单元进行秘钥传输通信，以使得所述第一可信计算单元和第二可信计算单元维护共同的集群秘钥。

在一个实施例中，第一可信计算单元和第二可信计算单元均实现为可信围圈enclave。

根据一种实施方式，上述第二单元报告还包括，所述第二可信计算单元的硬件和软件信息，以及运行时环境信息。

在一个实施例中，所述第二可信计算单元的签名信息依赖于所述第二可信计算单元的硬件秘钥。

在一种实施方式中，第一可信计算单元被指定为主单元，第二可信计算单元被指定为从单元。在这样的情况下，第一可信计算单元与第二可信计算单元的秘钥传输通信包括，将第一可信计算单元维护的第一秘钥作为集群秘钥，传输给第二可信计算单元。

进一步地，在一个实施例中，在第一可信计算单元未加入已有可信计算集群的情况下，上述第一可信计算单元维护的第一秘钥可以是，第一可信计算单元生成的初始集群秘钥。

在另一实施例中，第一可信计算单元已加入已有可信计算集群，在这样的情况下，上述第一可信计算单元维护的第一秘钥为所述已有可信计算集群的集群秘钥。

根据一个实施例，第二可信计算单元维护有第二秘钥对，其中包括第二公钥和第二私钥；在这样的情况下，第一可信计算单元通过以下方式将其第一秘钥传输给所述第二可信计算单元：

获取所述第二公钥；

利用所述第二公钥对所述第一秘钥进行加密，得到加密秘钥；