一种高效的多节点批量远程证明方法

技术特征：
1.一种高效的多节点批量远程证明方法，其特征在于，包括以下步骤：步骤1：远程证明数据采集：采用核心文件机制，所述核心文件为节点内部更新频率低于预设值的二进制文件，通过部署在被验证节点中的信息采集代理进行数据采集，其中采集的信息包括节点平台配置寄存器值和度量日志；通过核心文件目录，将第一次采集到的信息发送到验证端存储下来作为基准值库信息；步骤2：远程证明数据传输：验证端与被验证节点建立ssl安全传输通道，存储被验证节点的节点id、基准值库信息；被验证节点对度量日志进行抽取，减少证据信息数据量；被验证节点向验证端输证据信息；步骤3：远程证明完整性状态验证：收到证据信息后，验证端使用aik密钥进行解密，解密失败则远程验证失败，解密成功则进行逐条日志的读取，将属于核心文件的日志与基准库值进行对比，如果不等则远程验证失败；根据度量日志重现平台配置寄存器值扩展过程计算出平台配置寄存器值；验证端将计算得出的平台配置寄存器值与收到的平台配置寄存器值进行比对，相等则表示远程验证成功，被验证节点系统二进制文件未被破坏，不相等则表示远程验证失败，被验证节点系统二进制文件已遭到破坏。2.根据权利要求1所述的高效的多节点批量远程证明方法，其特征在于，所述步骤1具体包括：步骤1.1：生成基准值库生成基准值库阶段，将所述二进制文件的路径添加到核心文件目录中；运行核心文件度量程序，计算核心文件的哈希值，作为基准值库；步骤1.2：采集节点证据信息远程证明阶段，信息采集代理根据特定路径采集被验证节点的度量日志文件；使用tpm_tools工具采集被验证节点的平台配置寄存器值。3.根据权利要求1所述的高效的多节点批量远程证明方法，其特征在于，所述步骤2具体包括：步骤2.1：验证端与被验证节点建立连接验证端首先与被验证节点建立ssl安全传输通道；被验证节点将自己的节点id和平台身份认证密钥公钥发往验证端进行身份认证；身份认证完成后，被验证节点将节点相关配置信息发往验证端，包括：节点id、节点ip地址、节点所用哈希算法及模板，验证端收到相关配置信息后，以固定的结构体将配置信息存储到批量证明配置文件中；步骤2.2：验证端向被验证节点发起批量远程证明质询验证端从批量远程证明配置文件中读取多个被验证节点的信息，包括被验证节点的节点id、ip地址、使用哈希值算法类型及基准值库文件路径；根据ip地址，准确的向被验证节点发起远程证明质询；根据哈希值算法，验证端知道被验证节点度量日志以及pcr值所使用的哈希值算法，从而在后续过程中使用对应算法进行完整性验证；根据基准值库文件路径，验证端知道被验证节点的基准值库存储位置，以便后续比较核心文件的完整性；步骤2.3：证据信息数据传输
信息采集代理对被验证节点进行数据采集时，对该节点的度量日志进行提取，原日志中每条度量记录包含pcr寄存器位置、文件模板哈希值、哈希模板类型、文件哈希值以及文件路径5个字段，仅保留文件模板哈希值、文件哈希值以及文件路径进行传输，以减小证据信息数据量，提高传输效率；使用平台身份认证密钥私钥对节点证据信息以及随机数进行签名，并发往验证端。4.根据权利要求3所述的高效的多节点批量远程证明方法，其特征在于，所述步骤2.2中，在被验证节点与验证端建立连接时，验证端会将对应节点的信息存储到node_info数据结构中，包括：node_id：该节点的标识符，用于区分不同节点；node_ip：该节点的ip地址，远程质询请求将发往该ip地址；pcr_loc：该节点完整性度量架构中pcr寄存器扩展位置；baseline_path，该节点的基准值库所在路径；hash_template，该节点所使用的哈希算法以及完整性度量架构所使用的哈希模板。5.根据权利要求3所述的高效的多节点批量远程证明方法，其特征在于，所述步骤3具体包括：步骤3.1：循环读取度量日志，获取每个文件的文件路径、文件哈希值和模板哈希值；步骤3.2：根据文件哈希值，模拟平台配置寄存器值的计算过程，逐步计算平台配置寄存器值；步骤3.3：根据文件路径，对比其是否为核心文件，如果是核心文件则要与基准值库进行对比，确保文件完整性状态未遭到破坏；步骤3.4：重新计算出的平台配置寄存器值与收到平台配置寄存器值进行对比，确保度量日志未遭到破坏；如果上述对比均通过，则说明该节点完整性验证成功，系统二进制文件未被篡改；否则表示完整性验证失败。

技术总结
本发明公开了一种高效的多节点批量远程证明方法，被验证节点内部部署的信息采集代理与验证节点建立连接后，自动传输核心文件度量日志作为基准值库；验证端同时向多个被验证节点发起批量远程证明请求，部署在被验证节点的信息采集代理收到请求后，采集PCR值和度量日志，通过加密通道发送给验证端；验证端根据收到的度量日志模拟PCR值扩展过程，将计算结果与收到的PCR值进行对比，确保度量日志未遭受篡改的同时将度量日志中的核心文件与基准库进行对比，保证核心文件的完整性。本发明减少了人工手动配置传输的复杂性；避免短时间内宿主机信息被多次重复采集、验证导致的效率低下的问题，保障了虚拟机及宿主机运行环境的安全可信和可控。可信和可控。可信和可控。


技术研发人员：陈兴蜀 黄国盛 杨苗苗 桂艳双 王启旭 周明星 顾志峰 祁浩
受保护的技术使用者：四川大学
技术研发日：2022.05.24
技术公布日：2022/9/2