專利名稱：一種基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計(jì)算機(jī)領(lǐng)域，尤其涉及一種基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法。
背景技術(shù)：
信息時(shí)代的重要特征之一就是大量的數(shù)據(jù)都以電子化的形式存儲(chǔ)在各種媒質(zhì)上， 數(shù)據(jù)的安全保護(hù)逐漸成為備受關(guān)注的問題。磁盤數(shù)據(jù)的安全保護(hù)可以從硬件和軟件兩個(gè)方面進(jìn)行。硬件保護(hù)是指借助于額外的硬件單元或部件對(duì)磁盤數(shù)據(jù)進(jìn)行保護(hù)；軟件保護(hù)是指依賴于硬件上層的操作系統(tǒng)或文件系統(tǒng)，從應(yīng)用程序級(jí)、文件系統(tǒng)級(jí)或操作系統(tǒng)級(jí)對(duì)磁盤的讀/寫、訪問等進(jìn)行安全保護(hù)，現(xiàn)有的數(shù)據(jù)保護(hù)方案包括如下幾種1)硬盤數(shù)據(jù)加密硬盤數(shù)據(jù)加密是用磁盤中自帶的加密芯片實(shí)時(shí)的加密或者解密磁盤中的數(shù)據(jù)。其基本原理是在傳統(tǒng)硬盤的基礎(chǔ)上增加獨(dú)立的硬件加密芯片以及相應(yīng)的控制芯片，在數(shù)據(jù)讀寫過程中對(duì)數(shù)據(jù)進(jìn)行加密，加密、解密過程對(duì)操作系統(tǒng)透明，可以對(duì)整塊硬盤、或者邏輯分區(qū)進(jìn)行加密。硬盤數(shù)據(jù)加密僅具有對(duì)數(shù)據(jù)的加解密功能，沒有提供完整的基于等級(jí)保護(hù)的密鑰管理機(jī)制和用戶身份認(rèn)證機(jī)制，只能夠單機(jī)部署，無法適應(yīng)企業(yè)級(jí)部署的需求。2)文件系統(tǒng)加密文件系統(tǒng)加密是在操作系統(tǒng)文件系統(tǒng)層對(duì)數(shù)據(jù)進(jìn)行加密、解密操作。其基本原理是基于驅(qū)動(dòng)分層架構(gòu)，增加一層完成數(shù)據(jù)加密、解密的過濾驅(qū)動(dòng)層，在應(yīng)用程序讀寫過程實(shí)時(shí)的對(duì)數(shù)據(jù)進(jìn)行加解密。Windows的EFS (EncryptingFile System，加密文件系統(tǒng))文件加密以及某些廠商的文件加密系統(tǒng)均屬于此類數(shù)據(jù)保護(hù)方式。文件系統(tǒng)加密是純軟件的加密技術(shù)，而且加解密過程中密鑰的明文會(huì)暴露在內(nèi)存之中，容易被木馬攻擊；同時(shí)數(shù)據(jù)與密鑰均存在于系統(tǒng)磁盤上，降低了抵抗暴力破解的能力；文件系統(tǒng)加密也沒有安全的密鑰管理及用戶身份認(rèn)證機(jī)制，用戶與被保護(hù)的數(shù)據(jù)沒有任何的綁定關(guān)系。3)硬件加密卡硬件加密卡多為安全廠商基于PCI (Peripheral Componentlnterconnect，夕卜設(shè)部件互連標(biāo)準(zhǔn))、USB (Universal Serial BUS，通用串行總線)接口開發(fā)的專業(yè)加密板卡，其原理也是基于獨(dú)立的加密芯片對(duì)數(shù)據(jù)進(jìn)行加密，以支持移動(dòng)存儲(chǔ)設(shè)備的數(shù)據(jù)保護(hù)。硬件加密卡同樣沒有密鑰管理體制和用戶身份認(rèn)證體系，同時(shí)硬件加密卡一般是可插拔的，任何平臺(tái)均可以使用，不具備平臺(tái)綁定性，一旦丟失或者被盜都會(huì)造成很大的安 ^^^ 係急 O總的來說，現(xiàn)有數(shù)據(jù)保護(hù)方案的不足之處可以歸結(jié)為三個(gè)方面(1)缺乏完整的密鑰管理機(jī)制；(2)缺乏安全的用戶身份認(rèn)證機(jī)制；
(3)缺乏用戶身份與用戶密鑰綁定機(jī)制。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題是提供一種基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，提高計(jì)算機(jī)數(shù)據(jù)保護(hù)的安全性。為解決上述技術(shù)問題，本發(fā)明提出了一種基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，應(yīng)用于配置有可信計(jì)算密碼支撐平臺(tái)的計(jì)算機(jī)，所述可信計(jì)算密碼支撐平臺(tái)包括可信密碼模塊TCM和可信密碼服務(wù)模塊TSM，包括如下步驟步驟a，通過可信計(jì)算密碼支撐平臺(tái)為每個(gè)用戶創(chuàng)建一個(gè)平臺(tái)身份密鑰標(biāo)識(shí)，所述平臺(tái)身份密鑰標(biāo)識(shí)與用戶一一對(duì)應(yīng)；步驟b，將所述平臺(tái)身份密鑰標(biāo)識(shí)作為一個(gè)輸入?yún)?shù)，利用可信計(jì)算密碼支撐平臺(tái)生成隨機(jī)數(shù)m;步驟C，通過可信計(jì)算密碼支撐平臺(tái)生成用戶的多級(jí)密鑰，在生成所述多級(jí)密鑰的任意一級(jí)或多級(jí)密鑰時(shí)使用所述隨機(jī)數(shù)m作為參數(shù)之一，所述多級(jí)密鑰從底部向上依次包括TCM密碼模塊密鑰EK、TCM存儲(chǔ)主密鑰SMK和用戶存儲(chǔ)密鑰SK ；步驟d，在計(jì)算機(jī)的磁盤中為每個(gè)用戶建立一塊數(shù)據(jù)保護(hù)空間，存儲(chǔ)該用戶的受保護(hù)數(shù)據(jù)，用所述多級(jí)密鑰的最終密鑰加密所述數(shù)據(jù)保護(hù)空間中的數(shù)據(jù)。進(jìn)一步地，上述方法還可具有以下特點(diǎn)，所述步驟a包括步驟al，獲取認(rèn)證中心CA公鑰；步驟a2，調(diào)用可信計(jì)算密碼支撐平臺(tái)的接口函數(shù)Tspi_TCM_ CollateIdentityRequest生成平臺(tái)身份密鑰；步驟a3，向認(rèn)證中心CA發(fā)送所述平臺(tái)身份密鑰的認(rèn)證請(qǐng)求；步驟a4，認(rèn)證中心CA對(duì)所述認(rèn)證請(qǐng)求進(jìn)行認(rèn)證，認(rèn)證通過后為所述平臺(tái)身份密鑰頒發(fā)認(rèn)證證書；步驟a5，調(diào)用可信計(jì)算密碼支撐平臺(tái)的接口函數(shù)Tspi_TCM_ActivateIdentity激活所述平臺(tái)身份密鑰作為用戶的平臺(tái)身份密鑰標(biāo)識(shí)。進(jìn)一步地，上述方法還可具有以下特點(diǎn)，所述步驟b包括步驟bl，調(diào)用接口函數(shù)TCM_L0adKey加載所述平臺(tái)身份密鑰到TCM中；步驟b2，調(diào)用接口函數(shù) TCM_SCHStart、TCM_SCHUpdate 和 TCM_SCHComplete 計(jì)算所述平臺(tái)身份密鑰的雜湊值h ；步驟b3，將所述雜湊值h作為隨機(jī)數(shù)m。進(jìn)一步地，上述方法還可具有以下特點(diǎn)，所述步驟c中，TCM EK,TCM SMK的生成過程為步驟cl 1，調(diào)用接口 函數(shù) TCM_CreateEK 生成 TCM EK ；步驟c21，調(diào)用接口 函數(shù) TCMJakeOwnership 生成 TCM SMK。進(jìn)一步地，上述方法還可具有以下特點(diǎn)，所述步驟c中，用戶SK的生成過程包括步驟c31，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ；步驟c32，調(diào)用接口函數(shù)TCM_CreateWrapKey創(chuàng)建用戶SK。進(jìn)一步地，上述方法還可具有以下特點(diǎn)，所述步驟c中，所述多級(jí)密鑰還包括以用戶SK為父密鑰的加密密鑰，所述加密密鑰的生成過程包括步驟c41，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ；步驟c42，調(diào)用接口函數(shù)TCM_L0adKey加載用戶SK ；步驟c43，調(diào)用接口函數(shù)TCM_CreatefeapKey創(chuàng)建加密密鑰。進(jìn)一步地，上述方法還可具有以下特點(diǎn)，所述步驟c中，所述多級(jí)密鑰進(jìn)一步包括以加密密鑰為父密鑰的對(duì)稱密鑰，所述對(duì)稱密鑰的生成過程包括步驟c51，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ；步驟c52，調(diào)用接口函數(shù)TCM_L0adKey加載用戶SK ；步驟c53，調(diào)用接口函數(shù)TCM_L0adKey加載加密密鑰；步驟c54，調(diào)用接口 函數(shù) TCM_CreateWrapKey 創(chuàng)建 FEK。進(jìn)一步地，上述方法還可具有以下特點(diǎn)，所述步驟d中，所述計(jì)算機(jī)的磁盤包括計(jì)算機(jī)的硬盤和與計(jì)算機(jī)相連的移動(dòng)存儲(chǔ)設(shè)備。本發(fā)明的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法提高了計(jì)算機(jī)數(shù)據(jù)保護(hù)的安全性。


圖1為本發(fā)明實(shí)施例中平臺(tái)身份密鑰PIK的創(chuàng)建流程圖
圖2為本發(fā)明實(shí)施例中隨機(jī)數(shù)m的創(chuàng)建流程圖3為本發(fā)明實(shí)施例中密鑰體系的結(jié)構(gòu)圖4為TCM EK和TCM SMK的生成過程圖5為用戶SK的生成過程圖6為加密密鑰的生成過程圖7為對(duì)稱密鑰FEK的生成過程圖8為本發(fā)明實(shí)施例中的加密流程圖9為本發(fā)明實(shí)施例中的解密流程圖。
具體實(shí)施例方式可信計(jì)算技術(shù)主要是以TCM(Trusted Cryptography Module，可信密碼模塊)為基礎(chǔ)，通過TSM(TCM Service Module，可信密碼服務(wù)模塊)建立一個(gè)安全可信的系統(tǒng)，為應(yīng)用提供一個(gè)可信的支撐平臺(tái)?？尚庞?jì)算密碼支撐平臺(tái)是由可信密碼模塊TCM和可信密碼服務(wù)模塊TSM組成的軟硬件系統(tǒng)，其功能包括密碼算法、密鑰管理、證書管理、密碼協(xié)議、密碼服務(wù)等。可信密碼模塊TCM是可信計(jì)算密碼支撐平臺(tái)的硬件模塊，為可信計(jì)算平臺(tái)提供平臺(tái)度量、平臺(tái)身份認(rèn)證以及密碼運(yùn)算等功能，TCM芯片具有受保護(hù)的存儲(chǔ)空間?？尚琶艽a服務(wù)模塊TSM、可信密碼模塊TCM的技術(shù)規(guī)范文檔定義了一個(gè)具有存儲(chǔ)保護(hù)和執(zhí)行保護(hù)的子系統(tǒng)，該子系統(tǒng)將為計(jì)算平臺(tái)建立信任根基，并且其獨(dú)立計(jì)算資源將建立嚴(yán)格的安全保護(hù)機(jī)制受限，為防止TCM成為計(jì)算平臺(tái)的性能瓶頸，須將子系統(tǒng)中需執(zhí)行保護(hù)的函數(shù)與無需執(zhí)行保護(hù)的函數(shù)劃分開，將無需執(zhí)行保護(hù)的功能函數(shù)由計(jì)算平臺(tái)主處理器執(zhí)行，而這些支持函數(shù)構(gòu)成了可信密碼服務(wù)模塊TSM。本發(fā)明的主要構(gòu)思是，利用可信計(jì)算密碼支撐平臺(tái)提供的密碼算法、密鑰管理、證書管理、密碼協(xié)議等技術(shù)，提出完整的密鑰體系、可信的用戶身份認(rèn)證體系，以及將用戶身份與用戶密鑰綁定的機(jī)制，形成一個(gè)基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方案。以下結(jié)合附圖和實(shí)施例對(duì)本發(fā)明的原理和特征進(jìn)行描述，所舉實(shí)例只用于解釋本發(fā)明，并非用于限定本發(fā)明的范圍。本發(fā)明的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，應(yīng)用于配置有可信計(jì)算密碼支撐平臺(tái)的計(jì)算機(jī)，其中，可信計(jì)算密碼支撐平臺(tái)包括可信密碼模塊TCM和可信密碼服務(wù)模塊TSM，本發(fā)明包括如下步驟步驟a，通過可信計(jì)算密碼支撐平臺(tái)為每個(gè)用戶創(chuàng)建一個(gè)PIK (PlatformIdentity Key，平臺(tái)身份密鑰)標(biāo)識(shí)，該平臺(tái)身份密鑰標(biāo)識(shí)與用戶一一對(duì)應(yīng)；其中，平臺(tái)身份密鑰PIK通過可信計(jì)算密碼支撐平臺(tái)提供的接口創(chuàng)建。圖1為本發(fā)明實(shí)施例中平臺(tái)身份密鑰PIK的創(chuàng)建流程圖。如圖1所示，平臺(tái)身份密鑰PIK的創(chuàng)建過程包括步驟al，獲取 CA (Certificate Authority，認(rèn)證中心)公鑰；步驟a2，調(diào)用可信計(jì)算密碼支撐平臺(tái)的接口函數(shù)Tspi_TCM_ CollateIdentityRequest 生成平臺(tái)身份密鑰 PIK ；步驟a3，向認(rèn)證中心CA發(fā)送平臺(tái)身份密鑰PIK的認(rèn)證請(qǐng)求，即向CA為新生成的 PIK申請(qǐng)證書；步驟a4，認(rèn)證中心CA對(duì)步驟a3中的認(rèn)證請(qǐng)求進(jìn)行認(rèn)證，認(rèn)證通過后為平臺(tái)身份密鑰PIK頒發(fā)認(rèn)證證書，即CA驗(yàn)證請(qǐng)求的合法性，生成PIK證書發(fā)給應(yīng)用程序；步驟a5，調(diào)用可信計(jì)算密碼支撐平臺(tái)的接口函數(shù)Tspi_TCM_ActivateIdentity激活平臺(tái)身份密鑰PIK作為用戶的平臺(tái)身份密鑰標(biāo)識(shí)。步驟b，將平臺(tái)身份密鑰PIK標(biāo)識(shí)作為一個(gè)輸入?yún)?shù)，利用可信計(jì)算密碼支撐平臺(tái)生成隨機(jī)數(shù)m;圖2為本發(fā)明實(shí)施例中隨機(jī)數(shù)m的創(chuàng)建流程圖，如圖2所示，本實(shí)施例中，隨機(jī)數(shù) m的創(chuàng)建過程包括步驟bl，調(diào)用接口函數(shù)TCM_L0adKey加載平臺(tái)身份密鑰PIK到TCM中；步驟b2，調(diào)用接口函數(shù) TCM_SCHStart、TCM_SCHUpdate 和 TCM_SCHComplete 計(jì)算平臺(tái)身份密鑰PIK的雜湊值h，雜湊值h也稱為PIK的哈希值；步驟b3，將雜湊值h作為隨機(jī)數(shù)m。步驟c，通過可信計(jì)算密碼支撐平臺(tái)生成用戶的多級(jí)密鑰，在生成該多級(jí)密鑰的任意一級(jí)或多級(jí)密鑰時(shí)使用步驟b生成的隨機(jī)數(shù)m作為參數(shù)之一，該多級(jí)密鑰從底部向上依次包括 TCM EK (Endorsemnet Key，密碼模塊密鑰)、TCM SMK (Storage Master Key，存儲(chǔ)主密鑰)和用戶SK (Storage Key，存儲(chǔ)密鑰)；生成多級(jí)密鑰的任意一級(jí)或多級(jí)密鑰時(shí)使用步驟b生成的隨機(jī)數(shù)m作為參數(shù)之一，達(dá)到了將用戶身份標(biāo)識(shí)與密鑰綁定的目的，并由此完成用戶身份與用戶數(shù)據(jù)的綁定，用戶使用過程中必須提供正確的PIK才能夠獲取自己的數(shù)據(jù)，否則無法訪問。此處，我們以一個(gè)具有五級(jí)密鑰的密鑰體系為例，說明本發(fā)明的多級(jí)密鑰，在該實(shí)例中，這五級(jí)密鑰分別為TCM EK:是平臺(tái)密鑰，它是所有密鑰的父密鑰，存儲(chǔ)在TCM芯片內(nèi)部；
7
TCM SMK 在平臺(tái)所有者初始化時(shí)生成，存儲(chǔ)在TCM芯片內(nèi)部；用戶SK 是用戶根密鑰，存儲(chǔ)在TCM芯片內(nèi)部；加密密鑰為用戶應(yīng)用密鑰(可以創(chuàng)建多個(gè))，用于加密FEK(FileEnCrypti0n Key,文件加密密鑰)，存儲(chǔ)在TCM芯片內(nèi)部；FEK 是對(duì)稱密鑰，存儲(chǔ)在芯片內(nèi)部；以FEK加密用戶指定的數(shù)據(jù)。本例中五級(jí)密鑰組成的密鑰體系的結(jié)構(gòu)如圖3所示。圖3為本發(fā)明實(shí)施例中密鑰體系的結(jié)構(gòu)圖。圖3中，用戶DPS為用戶的數(shù)據(jù)保護(hù)空間，我們將在后面介紹。接著，我們來介紹這五級(jí)密鑰的生成方法及過程(1)生成 TCM EK 和 TCM SMKTCM EK、SMK均為TCM芯片的初始密鑰，TCM EK是在芯片出廠時(shí)生成，SMK是在平臺(tái)初始化時(shí)生成的，均存儲(chǔ)于TCM芯片內(nèi)部。圖4為TCM EK和TCMSMK的生成過程圖。由圖4可知，TCM EK和TCM SMK分別通過下面的步驟生成步驟cl 1，調(diào)用接口 函數(shù) TCM_CreateEK 生成 TCM EK ；步驟c21，調(diào)用接口 函數(shù) TCMJakeOwnership 生成 TCM SMK。(2)生成用戶SK用戶SK以TCM SMK為父密鑰進(jìn)行創(chuàng)建，存儲(chǔ)于TCM芯片內(nèi)部。圖5為用戶SK的生成過程圖。如圖5所示，用戶SK的生成過程包括步驟c31，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ；步驟c32，調(diào)用接口函數(shù)TCM_CreateWrapKey創(chuàng)建用戶SK。(3)生成加密密鑰加密密鑰以用戶SK為父密鑰，存儲(chǔ)在芯片內(nèi)部。圖6為加密密鑰的生成過程圖。 如圖6所示，加密密鑰的生成過程包括步驟c41，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ；步驟c42，調(diào)用接口函數(shù)TCM_L0adKey加載用戶SK ；步驟c43，調(diào)用接口函數(shù)TCM_CreatefeapKey創(chuàng)建加密密鑰。(4)生成對(duì)稱密鑰FEK加密密鑰以用戶加密密鑰為父密鑰，存儲(chǔ)在TCM芯片內(nèi)部。圖7為對(duì)稱密鑰FEK 的生成過程圖。如圖7所示，對(duì)稱密鑰FEK的生成過程包括步驟c51，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ；步驟c52，調(diào)用接口函數(shù)TCM_L0adKey加載用戶SK ；步驟c53，調(diào)用接口函數(shù)TCM_L0adKey加載加密密鑰；步驟c54，調(diào)用接口 函數(shù) TCM_CreateWrapKey 創(chuàng)建 FEK。本例中，密鑰保護(hù)關(guān)系和密鑰保護(hù)方法為密鑰保護(hù)采用基于TCM芯片的父密鑰保護(hù)子密鑰的鏈?zhǔn)奖Ｗo(hù)機(jī)制TCM EK保護(hù)TCM SMK ；TCM SMK保護(hù)用戶SK ；用戶SK保護(hù)加密密鑰；加密密鑰保護(hù)文件加密密鑰FEK ；文件加密密鑰FEK保護(hù)數(shù)據(jù)，具體如下1)采用信任鏈的方式，以父密鑰保護(hù)子密鑰；2)每個(gè)密鑰具有自己的授權(quán)數(shù)據(jù)，密鑰使用前必須提供正確的授權(quán)數(shù)據(jù)；3)密鑰存儲(chǔ)于TCM內(nèi)部，密鑰整個(gè)生命周期(創(chuàng)建、使用、銷毀)都在TCM芯片內(nèi)部；
4)子密鑰的密鑰數(shù)據(jù)均使用其父密鑰加密；5)任何層次上的密鑰在能夠使用前，必須先將其父密鑰加載到TCM芯片內(nèi)部。下面說明使用本例中密鑰體系的加密和解密流程。圖8為本發(fā)明實(shí)施例中的加密流程圖。如圖8所示，本發(fā)明實(shí)施例中的加密流程包括(1)依次加載密鑰樹上的密鑰；(2)調(diào)用接口函數(shù)TCM_SMS4Encrypt加密數(shù)據(jù)。圖9為本發(fā)明實(shí)施例中的解密流程圖。如圖9所示，本發(fā)明實(shí)施例中的解密流程包括(1)依次加載密鑰樹上的密鑰；(2)調(diào)用接口函數(shù)TCM_SMS4Decrypt解密數(shù)據(jù)。在本發(fā)明的其他實(shí)施例中，可以在TCM EK、TCM SMK和用戶SK這三級(jí)基礎(chǔ)密鑰的基礎(chǔ)上任意增加一級(jí)或多級(jí)密鑰來構(gòu)成新的密鑰體系，當(dāng)然也可以使用只由這三級(jí)基礎(chǔ)密鑰構(gòu)成的密鑰體系。步驟d，在計(jì)算機(jī)的磁盤中為每個(gè)用戶建立一塊數(shù)據(jù)保護(hù)空間DPS (DataProtect Space)，存儲(chǔ)該用戶的受保護(hù)數(shù)據(jù)，用步驟c中生成的多級(jí)密鑰的最終密鑰加密數(shù)據(jù)保護(hù)空間中的數(shù)據(jù)。此處，計(jì)算機(jī)的磁盤包括計(jì)算機(jī)的硬盤和與計(jì)算機(jī)相連的移動(dòng)存儲(chǔ)設(shè)備，例如U
舟絕
ΓΤΠ 寸 οDSP可以是一個(gè)邏輯分區(qū)，整塊磁盤甚至是一個(gè)虛擬分區(qū)，目的是為用戶的敏感數(shù)據(jù)提供一個(gè)受TCM芯片保護(hù)的存儲(chǔ)區(qū)域。用戶可以在數(shù)據(jù)保護(hù)空間上創(chuàng)建文件、文件夾，其操作習(xí)慣與其它傳統(tǒng)磁盤沒有任何區(qū)別，而且用戶可以自由選擇文件系統(tǒng)格式(FAT、FAT32 或NTFQ而不影響加密的效果。數(shù)據(jù)保護(hù)空間DPS的數(shù)據(jù)通過TCM芯片加密進(jìn)行保護(hù)，該操作在TCM芯片內(nèi)部完成，訪問數(shù)據(jù)保護(hù)空間DPS中的數(shù)據(jù)前，用戶必須首先登錄TCM，獲得TCM密鑰的使用權(quán)，才能夠訪問DPS中的數(shù)據(jù)。用戶可以在數(shù)據(jù)保護(hù)空間DPS上創(chuàng)建任何類型的文件，或者將文件和文件夾從普通磁盤上拷貝到數(shù)據(jù)保護(hù)空間上，無論采用哪種方式，數(shù)據(jù)保護(hù)空間DPS內(nèi)的文件都被自動(dòng)的加密。同樣，如果用戶訪問數(shù)據(jù)保護(hù)空間DPS上的文件，這些文件即被自動(dòng)解密。用戶無需執(zhí)行任何特殊的步驟就可以完成對(duì)文件數(shù)據(jù)的保護(hù)，所有的加密和解密都是有TCM芯片自動(dòng)完成，對(duì)用戶是透明的；同時(shí)本人的數(shù)據(jù)保護(hù)空間DSP上的數(shù)據(jù)對(duì)于同一主機(jī)的其他用戶是不可見的，每個(gè)用戶只能夠訪問自己的DPS空間，無法訪問別人的DPS空間。本發(fā)明基于可信計(jì)算密碼支撐平臺(tái)提供的基礎(chǔ)服務(wù)，解決了傳統(tǒng)數(shù)據(jù)保護(hù)方案中沒有完整密鑰管理機(jī)制的問題，解決了沒有安全身份認(rèn)證的問題，解決了用戶身份與用戶數(shù)據(jù)綁定的問題，提供了安全性、完整性較高的數(shù)據(jù)加密方案。相對(duì)于文件系統(tǒng)加密，本發(fā)明的加密、解密完全在TCM芯片內(nèi)部完成，避免了加密密鑰明文暴露于主機(jī)內(nèi)存，抵抗了木馬攻擊；本發(fā)明密鑰完全存儲(chǔ)于TCM芯片內(nèi)部，與用戶數(shù)據(jù)分離存儲(chǔ)，提高了抵抗暴力破解的能力；本發(fā)明的用戶身份與用戶數(shù)據(jù)綁定，解決了文件系統(tǒng)沒有身份認(rèn)證的問題，限制每個(gè)用戶只能訪問自己的數(shù)據(jù)，提高了安全性。
相對(duì)于磁盤加密與硬件加密卡方案，本發(fā)明的基于可信計(jì)算密鑰支撐平臺(tái)的密鑰管理體系提供了多級(jí)的密鑰體系，不但提高了安全性，而且提供了分級(jí)控制功能，使得企業(yè)級(jí)部署變的更加容易；同時(shí)基于可信密碼支撐平臺(tái)的用戶身份與用戶數(shù)據(jù)綁定，可以解決由于硬件加密卡丟失、被盜等帶來的安全隱患。綜上所述，本發(fā)明的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法提高了計(jì)算機(jī)數(shù)據(jù)保護(hù)的安全性。以上所述僅為本發(fā)明的較佳實(shí)施例，并不用以限制本發(fā)明，凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
1.一種基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，應(yīng)用于配置有可信計(jì)算密碼支撐平臺(tái)的計(jì)算機(jī)，所述可信計(jì)算密碼支撐平臺(tái)包括可信密碼模塊TCM和可信密碼服務(wù)模塊 TSM，其特征在于，包括如下步驟步驟a，通過可信計(jì)算密碼支撐平臺(tái)為每個(gè)用戶創(chuàng)建一個(gè)平臺(tái)身份密鑰標(biāo)識(shí)，所述平臺(tái)身份密鑰標(biāo)識(shí)與用戶一一對(duì)應(yīng)；步驟b，將所述平臺(tái)身份密鑰標(biāo)識(shí)作為一個(gè)輸入?yún)?shù)，利用可信計(jì)算密碼支撐平臺(tái)生成隨機(jī)數(shù)m;步驟c，通過可信計(jì)算密碼支撐平臺(tái)生成用戶的多級(jí)密鑰，在生成所述多級(jí)密鑰的任意一級(jí)或多級(jí)密鑰時(shí)使用所述隨機(jī)數(shù)m作為參數(shù)之一，所述多級(jí)密鑰從底部向上依次包括 TCM密碼模塊密鑰EK、TCM存儲(chǔ)主密鑰SMK和用戶存儲(chǔ)密鑰SK ；步驟d，在計(jì)算機(jī)的磁盤中為每個(gè)用戶建立一塊數(shù)據(jù)保護(hù)空間，存儲(chǔ)該用戶的受保護(hù)數(shù)據(jù)，用所述多級(jí)密鑰的最終密鑰加密所述數(shù)據(jù)保護(hù)空間中的數(shù)據(jù)。
2.根據(jù)權(quán)利要求1所述的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，其特征在于， 所述步驟a包括步驟al，獲取認(rèn)證中心CA公鑰；步驟a2，調(diào)用可信計(jì)算密碼支撐平臺(tái)的接口函數(shù)Tspi_TCM_ColIateIdentityRequest 生成平臺(tái)身份密鑰；步驟a3，向認(rèn)證中心CA發(fā)送所述平臺(tái)身份密鑰的認(rèn)證請(qǐng)求；步驟a4，認(rèn)證中心CA對(duì)所述認(rèn)證請(qǐng)求進(jìn)行認(rèn)證，認(rèn)證通過后為所述平臺(tái)身份密鑰頒發(fā)認(rèn)證證書；步驟a5，調(diào)用可信計(jì)算密碼支撐平臺(tái)的接口函數(shù)TspijCiLActivateldentity激活所述平臺(tái)身份密鑰作為用戶的平臺(tái)身份密鑰標(biāo)識(shí)。
3.根據(jù)權(quán)利要求1所述的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，其特征在于， 所述步驟b包括步驟bl，調(diào)用接口函數(shù)TCM_L0adKey加載所述平臺(tái)身份密鑰到TCM中； 步驟 b2，調(diào)用接口 函數(shù) TCM_SCHStart、TCM_SCHUpdate 和 TCM_SCHComplete 計(jì)算所述平臺(tái)身份密鑰的雜湊值h;步驟b3，將所述雜湊值h作為隨機(jī)數(shù)m。
4.根據(jù)權(quán)利要求1所述的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，其特征在于， 所述步驟c中，TCM EK、TCM SMK的生成過程為步驟cll，調(diào)用接口函數(shù)TCM_CreateEK生成TCM EK ； 步驟 c21，調(diào)用接口 函數(shù) TCM_TakeOwnership 生成 TCM SMK。
5.根據(jù)權(quán)利要求4所述的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，其特征在于， 所述步驟c中，用戶SK的生成過程包括步驟c31，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ； 步驟c32，調(diào)用接口函數(shù)TCM_CreateWrapKey創(chuàng)建用戶SK。
6.根據(jù)權(quán)利要求5所述的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，其特征在于， 所述步驟c中，所述多級(jí)密鑰還包括以用戶SK為父密鑰的加密密鑰，所述加密密鑰的生成過程包括步驟c41，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ； 步驟c42，調(diào)用接口函數(shù)TCM_L0adKey加載用戶SK ； 步驟c43，調(diào)用接口函數(shù)TCM_CreatefeapKey創(chuàng)建加密密鑰。
7.根據(jù)權(quán)利要求6所述的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，其特征在于， 所述步驟c中，所述多級(jí)密鑰進(jìn)一步包括以加密密鑰為父密鑰的對(duì)稱密鑰，所述對(duì)稱密鑰的生成過程包括步驟c51，調(diào)用接口函數(shù)TCM_L0adKey加載父密鑰SMK ； 步驟c52，調(diào)用接口函數(shù)TCM_L0adKey加載用戶SK ； 步驟c53，調(diào)用接口函數(shù)TCM_L0adKey加載加密密鑰； 步驟c54,調(diào)用接口函數(shù)TCM_CreateffrapKey創(chuàng)建FEK。
8.根據(jù)權(quán)利要求1所述的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，其特征在于， 所述步驟d中，所述計(jì)算機(jī)的磁盤包括計(jì)算機(jī)的硬盤和與計(jì)算機(jī)相連的移動(dòng)存儲(chǔ)設(shè)備。
全文摘要
本發(fā)明涉及一種基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法，包括通過可信計(jì)算密碼支撐平臺(tái)為每個(gè)用戶創(chuàng)建一個(gè)平臺(tái)身份密鑰標(biāo)識(shí)，平臺(tái)身份密鑰標(biāo)識(shí)與用戶一一對(duì)應(yīng)；將平臺(tái)身份密鑰標(biāo)識(shí)作為一個(gè)輸入?yún)?shù)，利用可信計(jì)算密碼支撐平臺(tái)生成隨機(jī)數(shù)m；通過可信計(jì)算密碼支撐平臺(tái)生成用戶的多級(jí)密鑰，在生成多級(jí)密鑰的任意一級(jí)或多級(jí)密鑰時(shí)使用隨機(jī)數(shù)m作為參數(shù)之一，多級(jí)密鑰從底部向上依次包括TCM EK、TCM SMK和用戶SK；在計(jì)算機(jī)的磁盤中為每個(gè)用戶建立一塊數(shù)據(jù)保護(hù)空間，存儲(chǔ)該用戶的受保護(hù)數(shù)據(jù)，用多級(jí)密鑰的最終密鑰加密數(shù)據(jù)保護(hù)空間中的數(shù)據(jù)。本發(fā)明的基于可信計(jì)算密碼支撐平臺(tái)的數(shù)據(jù)保護(hù)方法提高了計(jì)算機(jī)數(shù)據(jù)保護(hù)的安全性。
文檔編號(hào)H04L9/32GK102207999SQ20101013450
公開日2011年10月5日 申請(qǐng)日期2010年3月29日 優(yōu)先權(quán)日2010年3月29日
發(fā)明者陳山 申請(qǐng)人:國(guó)民技術(shù)股份有限公司