一种基于可信计算平台验证度量报告的方法及装置制造方法及图纸

本申请公开了一种基于可信计算平台验证度量报告的方法及装置。该方法包括：可信管理中心对接收到的度量报告进行身份验证；如果通过身份验证，则可信管理中心对度量报告进行内容验证，内容验证包括：静态度量的度量过程的可信验证、动态度量的度量过程的可信验证、可信策略的可信验证；如果静态度量的度量过程、动态度量的度量过程以及可信策略均可信，则确定度量报告可信。通过本申请，解决了相关技术中对计算系统进行度量得到的度量结果并未进行针对性的可信度验证，导致度量报告的可信度不高的问题。

A method and device for verifying measurement report based on Trusted Computing Platform

【技术实现步骤摘要】
一种基于可信计算平台验证度量报告的方法及装置
本申请涉及信息防护领域，具体而言，涉及一种基于可信计算平台验证度量报告的方法及装置。
技术介绍
当前的网络空间极其脆弱，震网、Wannacry勒索病毒、Mirai等造成较大影响的网络攻击事件层出不穷，且日益猖獗。究其根源，在于并没有从网络安全风险的实质原因入手解决问题，一味采用以“防火墙”、“病毒查杀”、“入侵检测”等为代表的“封堵查杀”被动防御手段，防不胜防，特别在面对针对目标系统的漏洞发起的攻击时，根本无法有效防御。为解决当前网络空间安全面临的问题，国际上TCG组织提出了可信计算的方法，提出了以TPM和BIOS起始代码为信任根，一级度量一级，进而构建起计算机的信任链，保护计算机重要资源不被非法篡改和破坏，起到了较好的效果。由于TPM仅能实现对计算机的固件和可执行程序等资源的静态度量，故TPM的度量报告中仅有静态度量的度量结果，而且TPM并未对度量结果进行安全保护措施，度量结果可能会存在被篡改的风险，同时，度量结果因为没有做针对性的可信度验证，导致度量报告不可信。针对相关技术中存在的上述问题，目前尚未提出有效的解决方案。
技术实现思路
本申请的主要目的在于提供一种基于可信计算平台验证度量报告的方法及装置，以解决相关技术中，对计算系统进行度量得到的度量结果并未进行针对性的可信度验证，导致度量报告的可信度不高的问题。为了实现上述目的，根据本申请的一个方面，提供了一种基于可信计算平台验证度量报告的方法。此方法用于可信管理中心，其特征在于，可信计算平台包括并行的计算子系统与防护子系统，其中，计算子系统用于完成计算任务，防护子系统用于根据可信策略对计算子系统对计算子系统进行主动度量，并将生成的度量报告发送至可信管理中心，主动度量包括静态度量与动态度量，该方法包括：可信管理中心对接收到的度量报告进行身份验证；如果通过身份验证，则可信管理中心对度量报告进行内容验证，内容验证包括：静态度量的度量过程的可信验证、动态度量的度量过程的可信验证、可信策略的可信验证；如果静态度量的度量过程、动态度量的度量过程以及可信策略均可信，则确定度量报告可信。进一步地，可信管理中心对度量报告进行身份验证包括：可信管理中心根据预设的可信计算平台与身份证书的对应关系，查找与可信计算平台相对应的第一身份证书；可信管理中心检测第一身份证书与度量报告中携带的目标身份证书是否相同，若相同则确定通过身份验证，若不相同则确定未通过身份验证。进一步地，在可信管理中心对接收到的度量报告进行身份验证之前，方法还包括：可信管理中心获取第一基准值，其中，第一基准值为预期的表征度量报告中的静态度量的度量过程可信的数值；可信管理中心获取第二基准值，其中，第二基准值为预期的表征度量报告中的可信策略可信的数值；可信管理中心获取第三基准值，其中，第三基准值为根据防护子系统的可信软件基发送的动态度量的度量记录获得的、表征动态度量的日志可信的数值；可信管理中心获取第四基准值，其中，第四基准值为根据可信软件基发送的动态度量的度量记录获得的、表征计算子系统是否可信的数据。进一步地，度量报告包括:第一目标值、第二目标值、第三目标值、动态度量可信评估值，其中，第一目标值为用于表征静态度量的度量过程可信的数值，第二目标值为用于表征可信策略可信的数值，第三目标值为用于表征动态度量的日志可信的数值，动态度量可信评估值用于表征计算子系统是否可信，可信管理中心对度量报告进行内容验证包括：可信管理中心检测第一基准值与第一目标值是否相同、第二基准值与第二目标值是否相同、第三基准值与第三目标值是否相同、第四基准值与动态度量可信评估值是否相同；在第一基准值与第一目标值相同，第二基准值与第二目标值相同，第三基准值与第三目标值相同，第四基准值与动态度量可信评估值相同的情况下，则确定通过内容验证。为了实现上述目的，根据本申请的一个方面，提供了一种基于可信计算平台验证度量报告的方法。该方法用于验证平台，其特征在于，可信计算平台包括并行的计算子系统与防护子系统，其中，计算子系统用于完成计算任务，防护子系统用于根据可信策略对计算子系统对计算子系统进行主动度量，并将生成的度量报告发送至验证平台，主动度量包括静态度量与动态度量，该方法包括：验证平台对接收到的度量报告进行第一次身份验证；如果通过第一次身份验证，则验证平台将度量报告发送至可信管理中心，由可信管理中心对度量报告进行第二次身份验证，并在通过第二次身份认证时对度量报告进行内容验证，内容验证包括：静态度量的度量过程的可信验证、动态度量的度量过程的可信验证、可信策略的可信验证，其中，如果静态度量的度量过程、动态度量的度量过程以及可信策略均可信，则确定通过内容验证；验证平台根据可信管理中心发送的验证结果通知验证度量报告是否可信，其中，验证结果通知用于表征度量报告是否可信。进一步地，度量报告中携带有第一目标身份证书和第二目标身份证书，其中：验证平台对接收到的度量报告进行第一次身份验证包括：验证平台根据预设的可信计算平台与身份证书的第一对应关系，查找与可信计算平台相对应的第一身份证书；验证平台检测第一身份证书与第一目标身份证书是否相同，若相同则确定通过第一次身份验证，若不相同则确定未通过第一次身份验证；可信管理中心对度量报告进行第二次身份验证包括：可信管理中心根据预设的可信计算平台与身份证书的第二对应关系，查找与可信计算平台相对应的第二身份证书；可信管理中心检测第二身份证书与第二目标身份证书是否相同，若相同则确定通过第二次身份验证，若不相同则确定未通过第二次身份验证。进一步地，在验证平台对接收到的度量报告进行第一次身份验证之前，方法还包括：可信管理中心获取第一基准值，其中，第一基准值为预期的表征度量报告中的静态度量的度量过程可信的数值；可信管理中心获取第二基准值，其中，第二基准值为预期的表征度量报告中的可信策略可信的数值；可信管理中心获取第三基准值，其中，第三基准值为根据防护子系统的可信软件基向可信管理中心发送的动态度量的度量记录获得的、表征动态度量的日志可信的数值；可信管理中心获取第四基准值，其中，第四基准值为根据可信软件基向可信管理中心发送的动态度量的度量记录获得的、表征计算子系统是否可信的数据。进一步地，度量报告包括:第一目标值、第二目标值、第三目标值、动态度量可信评估值，其中，第一目标值为用于表征静态度量的度量过程可信的数值，第二目标值为用于表征可信策略可信的数值，第三目标值为用于表征动态度量的日志可信的数值，动态度量可信评估值用于表征计算子系统是否可信，可信管理中心对度量报告进行内容验证包括：可信管理中心检测第一基准值与第一目标值是否相同、第二基准值与第二目标值是否相同、第三基准值与第三目标值是否相同、第四基准值与动态度量可信评估值是否相同；在第一基准值与第一目标值相同，第二基准值与第二目标值相同，第三基准值与第三目标值相同，第四基准值与动态度量可信评估值相同的情况下，则确定通过内容验证。为了实现上述目的，根据本申请的另一方面，提供了一种基于可信计算平台验证度量报告的装置。该装置用于可信管理中心，其特征在于，可信计算平台包括并行的计算子系统与防护子系统，其中，计算子系统用于完成计算任务，防护子系统用于根本文档来自技高网...

【技术保护点】
1.一种基于可信计算平台验证度量报告的方法，用于可信管理中心，其特征在于，所述可信计算平台包括并行的计算子系统与防护子系统，其中，所述计算子系统用于完成计算任务，所述防护子系统用于根据可信策略对所述计算子系统对所述计算子系统进行主动度量，并将生成的度量报告发送至所述可信管理中心，所述主动度量包括静态度量与动态度量，所述方法包括：所述可信管理中心对接收到的所述度量报告进行身份验证；如果通过所述身份验证，则所述可信管理中心对所述度量报告进行内容验证，所述内容验证包括：所述静态度量的度量过程的可信验证、所述动态度量的度量过程的可信验证、所述可信策略的可信验证；如果所述静态度量的度量过程、所述动态度量的度量过程以及所述可信策略均可信，则确定所述度量报告可信。

【技术特征摘要】
1.一种基于可信计算平台验证度量报告的方法，用于可信管理中心，其特征在于，所述可信计算平台包括并行的计算子系统与防护子系统，其中，所述计算子系统用于完成计算任务，所述防护子系统用于根据可信策略对所述计算子系统对所述计算子系统进行主动度量，并将生成的度量报告发送至所述可信管理中心，所述主动度量包括静态度量与动态度量，所述方法包括：所述可信管理中心对接收到的所述度量报告进行身份验证；如果通过所述身份验证，则所述可信管理中心对所述度量报告进行内容验证，所述内容验证包括：所述静态度量的度量过程的可信验证、所述动态度量的度量过程的可信验证、所述可信策略的可信验证；如果所述静态度量的度量过程、所述动态度量的度量过程以及所述可信策略均可信，则确定所述度量报告可信。2.根据权利要求1所述的方法，其特征在于，所述可信管理中心对所述度量报告进行身份验证包括：所述可信管理中心根据预设的可信计算平台与身份证书的对应关系，查找与所述可信计算平台相对应的第一身份证书；所述可信管理中心检测所述第一身份证书与所述度量报告中携带的目标身份证书是否相同，若相同则确定通过所述身份验证，若不相同则确定未通过所述身份验证。3.根据权利要求1所述的方法，其特征在于，在所述可信管理中心对接收到的所述度量报告进行身份验证之前，所述方法还包括：所述可信管理中心获取第一基准值，其中，所述第一基准值为预期的表征所述度量报告中的所述静态度量的度量过程可信的数值；所述可信管理中心获取第二基准值，其中，所述第二基准值为预期的表征所述度量报告中的所述可信策略可信的数值；所述可信管理中心获取第三基准值，其中，所述第三基准值为根据所述防护子系统的可信软件基发送的所述动态度量的度量记录获得的、表征所述动态度量的日志可信的数值；所述可信管理中心获取第四基准值，其中，所述第四基准值为根据所述可信软件基发送的所述动态度量的度量记录获得的、表征所述计算子系统是否可信的数据。4.根据权利要求3所述的方法，其特征在于，所述度量报告包括:第一目标值、第二目标值、第三目标值、动态度量可信评估值，其中，所述第一目标值为用于表征所述静态度量的度量过程可信的数值，所述第二目标值为用于表征所述可信策略可信的数值，所述第三目标值为用于表征动态度量的日志可信的数值，所述动态度量可信评估值用于表征所述计算子系统是否可信，所述可信管理中心对所述度量报告进行内容验证包括：所述可信管理中心检测所述第一基准值与所述第一目标值是否相同、所述第二基准值与所述第二目标值是否相同、所述第三基准值与所述第三目标值是否相同、所述第四基准值与所述动态度量可信评估值是否相同；在所述第一基准值与所述第一目标值相同，所述第二基准值与所述第二目标值相同，所述第三基准值与所述第三目标值相同，所述第四基准值与所述动态度量可信评估值相同的情况下，则确定通过所述内容验证。5.一种基于可信计算平台验证度量报告的方法，用于验证平台，其特征在于，所述可信计算平台包括并行的计算子系统与防护子系统，其中，所述计算子系统用于完成计算任务，所述防护子系统用于根据可信策略对所述计算子系统对所述计算子系统进行主动度量，并将生成的度量报告发送至所述验证平台，所述主动度量包括静态度量与动态度量，所述方法包括：所述验证平台对接收到的所述度量报告进行第一次身份验证；如果通过所述第一次身份验证，则所述验证平台将所述度量报告发送至可信管理中心，由所述可信管理中心对所述度量报告进行第二次身份验证，并在通过所述第二次身份认证时对所述度量报告进行内容验证，所述内容验证包括：所述静态度量的度量过程的可信验证、所述动态度量的度量过程的可信验证、所述可信策略的可信验证，其中，如果所述静态度量的度量过程、所述动态度量的度量过程以及所述可信策略均可信，则确定通过所述内容验证；所述验证平台根据所述可信管理中心发送的验证结果通知验证所述度量报告是否可信，其中，所述验证结果通知用于表征所述度量报告是否可信。6.根据权利要求5所述的方法，其特征在于，所述度量报告中携带有第一目标身份证书和第二目标身份证书，其中：所述验证平台对接收到的所述度量报告进行第一次身份验证包括：所述验证平台根据预设的可信计算平台与身份证书的第一对应关系，查找与所述可信计算平台相对应的第一身份证书；所述验证...

【专利技术属性】
技术研发人员：孙瑜，王涛，王强，洪宇，
申请(专利权)人：北京可信华泰信息技术有限公司，
类型：发明
国别省市：北京,11