[发明专利]通过证书签发提供高可用计算服务的方法、装置及介质

说明书

本说明书实施例提供一种通过签发证书提供高可用服务的方法和装置。根据该方案，可信证书生成器通过代码哈希区分不同计算任务，针对一个代码哈希生成一套证书链和一个私钥，其中证书链中包括公钥证书和对应的根证书，公钥证书与私钥相匹配，构成一个证书对。然后，可信证书生成器将该证书对分发给经过认证的、运行该代码哈希对应计算任务的各个可信计算单元。另一方面，可信证书生成器将上述证书链中的根证书分发给请求该计算任务的用户终端。于是，具有根证书的用户终端，和具有对应证书对的可信计算单元，可以通过TLS协议的方式，进行安全通信。

技术领域

本说明书一个或多个实施例涉及分布式计算和安全计算领域，尤其涉及在分布式系统中提供高可用计算服务的方法和装置。

背景技术

为了计算和数据传输的安全，常常使用可信执行环境TEE(Trusted ExecutionEnvironment)中的可信计算单元进行可信计算和数据处理，其中可信计算单元可以保证其中的代码执行是安全的，外界包括操作系统或驱动等都无法获取内部的运行时内存等秘密。例如，可以利用可信计算单元来运行应用程序，执行计算任务，以保证程序代码的执行安全以及与外界的隔离。

出于可信执行环境的安全需要，在用户终端与可信计算单元交换要处理的数据之前，通常首先通过协商得到一个共同的加密秘钥，该秘钥除了通信的双方，其他任何人都不可能破解。双方之间的数据发送均通过该协商得出的秘钥来进行加密，如此，我们称为，用户终端与可信计算单元建立了可信通道，可以在该可信通道上安全传输保密数据。

在许多情况下，用户终端需要与可信计算平台中的多个可信计算单元进行通信。例如，为了保证服务的高可用性，可以针对同一计算任务或计算服务提供多个副本，多个副本由多个计算单元执行。此时，用户终端可以与提供服务副本的任意计算单元通信，从其获得计算服务。在当前计算单元出现故障的情况下，用户终端可以切换到运行同一计算任务的其他计算单元。或者，某些可信计算平台还支持用户终端同时与多个计算单元通信。在以上情况下，用户终端往往需要与多个可信计算单元分别进行秘钥协商，分别单独建立可信通道。当可信计算单元数目增多，数量庞大时，用户接入或切换会变得复杂繁琐，成本高昂。

因此，希望能有改进的方案，使得用户可以安全快速地获取高可用性的计算服务。

发明内容

本说明书一个或多个实施例描述了提供高可用计算服务的方法及装置，其中通过为运行计算任务的可信计算单元和请求该计算任务的用户终端分发证书链中的对应证书，确保用户终端可以与对应的可信计算单元进行安全通信，获取计算服务。

根据第一方面，提供了一种获取证书以提供计算服务的方法，通过运行第一计算任务的第一计算单元执行，所述第一计算任务的多个副本通过多个计算单元执行，所述第一计算单元为所述多个计算单元中任意的计算单元，所述方法包括：

向可信证书生成器发送第一证书请求，所述第一证书请求包括第一认证信息，所述第一认证信息用于对第一计算单元进行可信认证，所述第一认证信息包括所述第一计算任务的第一代码哈希；

从所述可信证书生成器接收第一证书报告，所述第一证书报告包括，针对所述第一代码哈希生成的第一证书链中的第一公钥证书，以及与该第一公钥证书匹配的第一私钥，所述第一公钥证书和所述第一私钥构成第一证书对；所述第一证书链还包括与第一公钥证书对应的第一根证书；

以所述第一计算单元作为TLS服务端，将所述第一证书对设置为TLS服务端的证书对，用于向具有所述第一根证书的TLS客户端提供所述第一计算任务的计算服务。

在一个具体实施例中，所述第一计算单元实现为可信围圈Enclave。

根据第一方面的一个实施例，在向可信证书生成器发送第一认证请求之前，第一计算单元还执行：

生成第一计算单元的单元报告文件，所述单元报告文件包括所述第一代码哈希，所述第一计算单元的签名信息；