用于两步多安全域云密钥证明的方法和装置与流程

所公开实施例的各方面大体上涉及计算机安全，更具体地，涉及远程证明技术。

背景技术：

1、当今的计算机安全在很大程度上基于密码术。加密确保机密性，签名确保数据完整性，证书确保真实性。但是，只有当密钥受到适当保护时，密码术才是可靠的。

2、远程证明是计算机安全中使用的一种技术，它支持远程实体验证计算装置的硬件和软件配置。密钥证明是一种提供保证的过程，该过程例如通过在硬件支持的安全域中生成和管理密钥，保证加密密钥在远程设备上受到适当保护。

3、传统的密钥证明技术仅在单个安全域内提供证明服务，因此要求密钥的证明只能从管理密钥的安全域中获取。从安全角度来看，这是有意义的，但严重限制了开放生态系统中支持的用例，在开放生态系统中，设备可以具有许多安全域。只有设备/芯片供应商能够在制造期间通过配置设备密钥来提供可信根。由第三方创建或管理的安全域无法访问完全支持密钥证明所需的可信根。

4、传统的密钥证明技术通常性能不佳，因为需要高性能来支持证书颁发机构（certificate authority，ca）运行，并且在制造和证明期间复杂性高且风险大。

5、因此，需要改进的密钥证明技术，以高效地支持跨域的基于云的密钥证明。相应地，希望提供至少部分解决上述问题的方法和装置。

技术实现思路

1、所公开实施例的各方面涉及一种用于提供两步跨安全域的基于云的隐私感知密钥证明的计算装置和方法，其中，所提供的密钥证明支持制造期间配置到根安全域的信任根设备密钥用于在同一计算装置上以高效且可扩展的方式证明在次级安全域中生成的密钥。有利地，根安全域不需要事先知道次级安全域，即可执行所公开的跨安全域密钥证明过程。

2、根据第一方面，通过计算装置获取上述和其它方面和优点，该计算装置用于提供配置有设备密钥的根安全域和次级安全域。计算装置用于：生成密钥签名密钥；执行本地证明；执行云证明。本地证明包括：在次级安全域内生成应用密钥对，其中，应用密钥对包括应用公钥和应用私钥；从次级安全域向根安全域发送本地密钥证明请求，其中，本地密钥证明请求包括应用公钥、质询和应用标识符；在根安全域内生成本地密钥证明，其中，本地密钥证明使用密钥签名密钥进行签名，并且包括应用公钥、质询、次级安全域标识符和应用标识符。云证明包括：在根安全域内接收云密钥证明请求，其中，云密钥证明请求包括本地密钥证明；在根安全域内至少部分地基于密钥签名密钥验证本地密钥证明；在根安全域内生成设备密钥证明，其中，设备密钥证明使用设备密钥进行签名，并且包括应用公钥、质询、次级安全域标识符、应用标识符和时间戳；从根安全域向云密钥证明服务发送设备密钥证明，在根安全域内接收云密钥证明，其中，云密钥证明使用云证明密钥进行签名，并且包括应用公钥、质询、次级安全域标识符、应用标识符和时间戳。装置提供了两步跨安全域的基于云的隐私感知密钥证明，其中，所提供的密钥证明支持制造期间配置到根安全域的信任根设备密钥用于在同一计算装置上以高效且可扩展的方式证明在次级安全域中生成的密钥。

3、在一种可能的实现方式中，计算装置还包括富执行环境，用于执行应用，本地证明还包括：在应用内接收质询；从应用向次级安全域发送质询。从云服务检索质询有助于云服务确保云密钥证明的新鲜度。

4、在一种可能的实现方式中，质询是在应用内可再现地计算的。在应用内可再现地计算质询减少了网络带宽使用，并避免了与联系云服务相关的网络延迟。

5、在一种可能的实现方式中，密钥签名密钥是在计算装置的初始化期间生成的。在初始化期间生成密钥签名密钥在每次设备启动时提供新密钥签名密钥。

6、在一种可能的实现方式中，密钥签名密钥是基于安全策略重新生成的，本地密钥证明还包括用于对本地密钥证明进行签名的密钥签名密钥的标识符。密钥签名密钥的轮换降低了密钥泄露或滥用的风险。

7、在一种可能的实现方式中，本地密钥证明请求通过安全通信信道发送，安全通信信道是物理通信信道和逻辑通信信道中的一种。在次级安全域与根安全域之间使用安全通信信道减少了请求被攻击的机会。

8、在一种可能的实现方式中，安全通信信道是在第二安全域的初始化期间和/或第二安全域可用期间建立的。安全通信信道的早期建立有助于防止攻击。

9、在一种可能的实现方式中，密钥签名密钥是对称密钥和非对称密钥中的一种。密钥签名密钥使用的密钥类型的灵活性扩大了可以应用所公开的密钥证明过程的装置的范围。

10、在一种可能的实现方式中，云证明还包括应用公钥的哈希。公钥的哈希的优点是比公钥小并且大小固定。

11、在一种可能的实现方式中，根安全域配置有设备证书链，并且设备证书链包括用于验证设备密钥的一个或多个证书。设备证书链的配置支持将证书链包括在云密钥证明请求中，从而减少云证明服务所需的工作。

12、在一种可能的实现方式中，设备密钥证明还包括设备证书链。将设备证书链纳入设备密钥证明可以提高对证书链的信任。

13、在一种可能的实现方式中，根安全域用于接收云证书链，云证书链包括一个或多个证书，一个或多个证书用于验证云证明密钥。接收云证书链支持对云密钥证明的验证。

14、在一种可能的实现方式中，云证书链与云密钥证明一起接收或单独下载。与云密钥证明一起接收云证书链简化了云密钥证明的验证。

15、根据第二方面，通过计算装置中的跨安全域密钥证明的方法获取上述和其它方面和优点，其中，计算装置包括配置有设备密钥的根安全域和次级安全域。该方法包括：生成密钥签名密钥；执行本地证明；执行云证明。本地证明包括：在次级安全域内生成应用密钥对，其中，应用密钥对包括应用公钥和应用私钥；从次级安全域向根安全域发送本地密钥证明请求，其中，本地密钥证明请求包括应用公钥、质询和应用标识符；在根安全域内生成本地密钥证明，其中，本地密钥证明使用密钥签名密钥进行签名，并且包括应用公钥、质询、次级安全域标识符和应用标识符。云证明包括：在根安全域内接收云密钥证明请求，其中，云密钥证明请求包括本地密钥证明；在根安全域内至少部分地基于密钥签名密钥验证本地密钥证明；在根安全域内生成设备密钥证明，其中，设备密钥证明使用设备密钥进行签名，并且包括应用公钥、质询、应用标识符、次级安全域标识符和时间戳；从根安全域向云密钥证明服务发送设备密钥证明，在根安全域内接收云密钥证明，其中，云密钥证明使用云证明密钥进行签名，并且包括应用公钥、质询、次级安全域标识符、应用标识符和时间戳；在应用内接收云密钥证明。

16、在一种可能的实现方式中，计算装置还包括用于在富执行环境中执行的应用，本地证明还包括：在应用内接收质询；从应用向次级安全域发送质询。从云服务检索质询有助于云服务确保云密钥证明的新鲜度。

17、在一种可能的实现方式中，质询是在应用内可再现地计算的。在应用内可再现地计算质询减少了网络带宽使用，并避免了与联系云服务相关的网络延迟。

18、在一种可能的实现方式中，密钥签名密钥是在计算装置的初始化期间生成的。在初始化期间生成密钥签名密钥在每次设备启动时提供新密钥。

19、在一种可能的实现方式中，密钥签名密钥是基于安全策略重新生成的，本地密钥证明还包括用于对本地密钥证明进行签名的密钥签名密钥的标识符。密钥签名密钥的轮换降低了密钥泄露或滥用的风险。

20、在一种可能的实现方式中，密钥签名密钥是对称密钥和非对称密钥中的一种。密钥签名密钥类型的灵活性扩大了可以应用所公开的密钥证明过程的装置的范围。

21、在一种可能的实现方式中，云证明还包括应用公钥的哈希。公钥的哈希的优点是比公钥小并且大小固定。

22、根据第三方面，通过用于验证云密钥证明的方法获取上述和进一步的方面和优点，该方法包括：接收云密钥证明，其中，云密钥证明使用云证明密钥进行签名，并且包括应用公钥、质询、次级安全域标识符、应用标识符、时间戳和云密钥证书链；至少部分地基于云密钥证书链验证云密钥证明；接受应用公钥；发送应用公钥接受指示。

23、从这些结合附图描述的实施例中，示例性实施例的这些和其它方面、实现方式和优点显而易见。但应理解，此类描述和附图仅用于说明的目的，而不能作为对所公开发明的限制；对本发明的任何限制，应参考所附权利要求书。本发明的附加方面和优点将在随后的说明书阐述，并且，部分方面和优点在说明书中显而易见，或者可以通过实施本发明而了解。此外，本发明的方面和优点可以通过所附权利要求书中特别指出的手段或结合方式实现和获取。