形成可信计算集群的方法及装置制造方法及图纸

本说明书实施例提供一种形成可信计算集群的方法和装置。根据该方法，在形成可信计算集群的过程中，两个可信计算单元必须首先进行双向的彼此身份认证，在双方认证均通过的情况下，才进行秘钥传输，使得双方拥有相同的秘钥作为集群秘钥，如此确保形成真正可信的计算集群。

Method and Device for Forming Trusted Computing Cluster

【技术实现步骤摘要】
形成可信计算集群的方法及装置
本说明书一个或多个实施例涉及安全计算领域，尤其形成计算集群的方法和装置。
技术介绍
为了计算和数据传输的安全，常常使用可信计算单元进行可信计算和数据处理。其中可信计算单元可以保证其中的代码执行是安全的，外界包括操作系统或驱动等都无法获取内部的运行时内存等秘密。在用户设备与可信计算单元交换要处理的数据之前，通常首先通过协商得到一个共同的加密秘钥，该秘钥除了通信的双方，其他任何人都不可能破解。双方之间的数据发送均通过该协商得出的秘钥来进行加密，如此，我们称为，用户设备与可信计算单元建立了可信通道，可以在该可信通道上安全传输保密数据。在许多情况下，用户设备需要与可信计算平台中的多个可信计算单元进行通信。为此，用户设备往往需要与这些可信计算单元分别进行秘钥协商，分别单独建立可信通道。当可信平台中的可信计算单元数目增多，数量庞大时，用户接入会变得复杂繁琐，成本高昂。因此，希望能有改进的方案，可以对可信计算单元进行整体的管理和用户接入。
技术实现思路
本说明书一个或多个实施例描述了建立和重建可信通道的方法及装置，从而使得用户可以与整个可信计算集群，简单又安全地建立可信通本文档来自技高网...

【技术保护点】
1.一种形成可信计算集群的方法，所述方法通过第一可信计算单元执行，包括：获取第二可信计算单元的第二单元报告，所述第二单元报告由所述第二可信计算单元生成，包括所述第二可信计算单元的签名信息；将所述第二单元报告发送至第三方认证机构，以获得第二认证结果；向所述第二可信计算单元提供第一单元报告，所述第一单元报告包括所述第一可信计算单元的签名信息，以供所述第二可信计算单元获得针对第一可信计算单元的第一认证结果；在所述第一认证结果和第二认证结果均为认证通过时，与所述第二可信计算单元进行秘钥传输通信，以使得所述第一可信计算单元和第二可信计算单元维护共同的集群秘钥。

【技术特征摘要】
1.一种形成可信计算集群的方法，所述方法通过第一可信计算单元执行，包括：获取第二可信计算单元的第二单元报告，所述第二单元报告由所述第二可信计算单元生成，包括所述第二可信计算单元的签名信息；将所述第二单元报告发送至第三方认证机构，以获得第二认证结果；向所述第二可信计算单元提供第一单元报告，所述第一单元报告包括所述第一可信计算单元的签名信息，以供所述第二可信计算单元获得针对第一可信计算单元的第一认证结果；在所述第一认证结果和第二认证结果均为认证通过时，与所述第二可信计算单元进行秘钥传输通信，以使得所述第一可信计算单元和第二可信计算单元维护共同的集群秘钥。2.根据权利要求1所述的方法，其中，所述第一可信计算单元和所述第二可信计算单元均实现为可信围圈enclave。3.根据权利要求1所述的方法，其中，所述第二单元报告还包括，所述第二可信计算单元的硬件和软件信息，以及所述第二可信计算单元的运行时环境信息。4.根据权利要求1所述的方法，其中所述第二可信计算单元的签名信息依赖于所述第二可信计算单元的硬件秘钥。5.根据权利要求1所述的方法，其中所述第一可信计算单元被指定为主单元，所述第二可信计算单元被指定为从单元，所述与所述第二可信计算单元进行秘钥传输通信包括：将所述第一可信计算单元维护的第一秘钥作为所述集群秘钥，传输给所述第二可信计算单元。6.根据权利要求5所述的方法，其中，所述第一秘钥为所述第一可信计算单元生成的初始集群秘钥。7.根据权利要求5所述的方法，其中，所述第一可信计算单元已加入已有可信计算集群，所述第一秘钥为所述已有可信计算集群的集群秘钥。8.根据权利要求5所述的方法，其中，所述第二可信计算单元维护有第二秘钥对，其中包括第二公钥和第二私钥，所述将所述第一可信计算单元维护的第一秘钥作为所述集群秘钥，传输给所述第二可信计算单元，包括：获取所述第二公钥；利用所述第二公钥对所述第一秘钥进行加密，得到加密秘钥；将所述加密秘钥传输给所述第二可信计算单元。9.根据权利要求1所述的方法，其中所述第一可信计算单元被指定为从单元，所述第二可信计算单元被指定为主单元，所述与所述第二可信计算单元进行秘钥传输通信包括：从所述第二可信计算单元获取第二秘钥作为所述集群秘钥。10.根据权利要求9所述的方法，其中，所述第一可信计算单元维护有第一秘钥对，其中包括第一公钥和第一私钥，从所述第二可信计算单元获取第二秘钥作为所述集群秘钥，包括：将所述第一公钥提供给所述第二可信计算单元；从所述第二可信计算单元接收到加密秘钥，该加密秘钥是利用所述第一公钥对第二秘钥加密得到；利用所述第一私钥对所述加密秘钥进行解密，得到所述第二秘钥。11.根据权利要求9或10所述的方法，其中所述第一可信计算单元维护有生成的初始集群秘钥；从所述第二可信计算单元获取第二秘钥作为所述集群秘钥，包括：用获取的所述第二秘钥替换所述初始集群秘钥。12.根据权利要求1所述的方法，其中，所述第一可信计算单元和第二可信计算单元为对等单元，所述与所述第二可信计算单元进行秘钥传输通信，包括：与所述第二可信计算单元进行秘钥协商，将协商的秘钥作为所述集群秘钥。13.根据权利要求12所述的方法，其中，所述第一可信计算单元维护有第一秘钥对，其中包括第一公钥和第一私钥，所述第二可信计算单元维护有第二秘钥对，其中包括第二公钥和第二私钥；所述与所述第二可信计算单元进行秘钥协商包括：从所述第二可信计算单元获取所述第二公钥；基于所述第一公钥，第一私钥和所述第二公钥，生成协商秘钥。14.一种用于形成可信计算集群的装置，所述装置部署在第一可信计算单元中，包括：报告获取模块...

【专利技术属性】
技术研发人员：黄群山，余超凡，刘力源，周爱辉，王磊，
申请(专利权)人：阿里巴巴集团控股有限公司，
类型：发明
国别省市：开曼群岛,KY