一种基于硬件可信根的角色分离的分布式认证授权方法技术

一种基于硬件可信根的角色分离的分布式认证授权方法属于安全技术领域。本发明专利技术是一种基于可信密码模块的设备认证方、设备、授权者、申请授权者分离的认证授权方法，在设备、设备认证方、授权者、申请授权者分离的情况下，基于可信密码模块实现一种分布式授权方法，使授权者可以在不与设备交互的情况下向申请授权者提供设备的授权令牌，申请授权者使用授权令牌在设备上获取授权，且授权令牌发布和授权获取行为均可以由设备认证方进行验证，止授权方或申请授权方否认其行为。

A distributed authentication and authorization method based on role separation of hardware trusted root

【技术实现步骤摘要】
一种基于硬件可信根的角色分离的分布式认证授权方法
本专利技术属于安全
，涉及一种可信计算环境中的分布式授权方法。
技术介绍
随着信息技术和网络通讯技术的高速发展，下一代互联网技术的发展以及下一代骨干网络的部署,同时电子商务、电子政务应用的不断深入,信息安全也显得越来越重要。认证与授权理论和技术是信息安全领域的一个重要分支，授权认证技术确保系统内资源能够且仅能够被合法用户使用，是信息安全领域的重要组成部分。目前现有的大多数认证授权方法均是基于受信任中心的认证授权方法，即申请者-受信任中心-资源模式，此模式下，安全性大部分取决于受信任中心，一旦受信任中心被攻破黑客立刻获得所有资源，系统鲁棒性差，并且受信任中心在每次认证授权过程中都要承担主要过程，资源开销大，对突发高并发情景缺乏应对能力，在某种程度上限制了规模的扩大。因此，分布式授权认证技术成为新一代认证授权技术的发展方向。但是分布式授权认证技术存在缺少信任根，秘密信息被篡改难以发现等诸多问题，阻碍了分布式授权认证技术的实用化。伴随可信计算技术的发展，可信密码模块的出现为分布式认证授权技术的实现提供了保障。可信密码模块基于硬件保护，无法被恶意程序所篡改。在可信计算体系内，以可信根建立信任根，以密码算法与密钥证明建立可信链，再将其传递到系统内部的各过程中，建立全系统的信任链条。应用可信计算技术可以弥补分布式授权认证技术的不足，保障分布式授权认证技术安全有效。
技术实现思路
本专利技术要解决的技术问题是，在角色分离的情况下，如何基于可信密码模块实现一种分布式授权方法，角色分为：设备、授权者、申请授权者、设备认证方。使授权者可以在不与设备交互的情况下向申请授权者提供设备的授权令牌，申请授权者使用授权令牌在设备上获取授权，且授权令牌发布和授权获取行为均可以由设备认证方进行验证，防止授权方或申请授权方否认其行为。为解决上述问题，本专利技术采用如下的技术方案：1.一种基于硬件可信根的角色分离的认证授权方法，其特征在于：a.角色划分为：设备认证方，设备、授权者、申请授权者，其中设备认证方架设带有硬件可信根的服务器，授权者与申请授权者持有具有硬件可信根的智能终端；b.全过程分为三大阶段，初始化、授权关系建立，授权及审计验证；其中授权及审计验证阶段分为授权过程、获得权限过程、审计过程；c.设备认证方服务器以非对称密钥的私钥为私有信息，其公钥以防篡改方式公开，设备、授权者和申请授权者的智能终端均有可信密码模块；d.初始化阶段，设备认证方拥有授权设备、授权者和申请者智能终端可信密码模块的背书密钥，设备、授权者智能终端和申请授权者智能终端初始化时生成携带设备编号和在设备认证方的认证下生成用户设备的鉴别密钥及密钥证明，再由用户设备的鉴别密钥生成用户身份的签名密钥与绑定密钥及其密钥证明；e.设备认证方只在其他设备初始化阶段时与其他设备连接；f.设备和授权者智能终端在授权者对设备进行初始化和进行授权审计时使用受保护的点对点连接方式，授权者和申请者的授权管理设备在授权时通过公共连接，申请授权者在验证授权时与设备间使用受保护的点对点连接方式设备；g.授权关系建立阶段申请授权者和授权者交换PIK、签名密钥和绑定密钥，以及鉴别密钥证书和签名/绑定密钥的密钥证明，并进行验证；h.授权过程，通过申请授权者提出由自己签名密钥签名的授权申请，使用授权者绑定密钥加密传送，授权者如同意授权，则生成由授权者签名密钥签名的包含授权申请和授权信息的授权令牌，用申请授权者绑定密钥公钥加密传送；i.获取权限过程，申请授权者将令牌发送给设备，设备使用授权者签名密钥验证令牌，确认令牌合法性后生成带有授权令牌与随机因子的审计记录，发送给申请授权者，申请授权者使用签名密钥签名审计记录，发送回设备，验证后存储，设备接受授权开放权限；授权令牌及审计记录可作为审计信息由第三方验证授权过程；初始化阶段、授权关系建立阶段，与授权及审计验证阶段中的授权过程、获得权限过程、审计过程之间可以不连续进行，只要密钥证明和授权令牌处在有效期内即可随时按顺序进行。更具体的，一种基于硬件可信根的角色分离的认证授权方法包括以下步骤：一初始化阶段S1设备生产时，设备认证方为设备设置唯一的UUID号，并提供一个与设备绑定的可信密码模块。授权者、申请授权者均有自己的具备可信密码模块的授权管理平台。S2设备认证方存储所有设备和授权管理平台的UUID及其可信密码模块背书密钥(EK)的公钥，并存储认证规则(特定UUID编号产品对应的所属用户的限制)。设备认证方应有自己的一个非对称密钥对作为CA密钥，其中CA私钥应安全保存在认证方，CA公钥则公开发布。S3授权者/申请授权者应通过可靠途径获取设备认证方的CA公钥并存储在自己的授权管理平台上。获取CA公钥后，授权者/申请授权者应以自己的用户名、授权管理平台号作为授权管理平台的平台身份密钥(PIK)申请信息，通过可信密码模块的PIK申请机制向CA提出申请，获取PIK密钥作为验证密钥，并获取PIK证书以验证PIK身份(CA由设备认证方提供，PIK证书内包含由CA私钥签名的PIK公钥和个人信息摘要签名数据、个人信息摘要和PIK公钥摘要，申请机制需要TCM，签发机制不需要TCM)。S4设备划拨到授权者手中后，授权者为设备提供安全可靠的对外连接，通过可靠途径获取CA,以设备名、设备号作为PIK申请信息，通过可信密码模块的PIK申请机制向CA提出申请，获取PIK密钥作为验证密钥，获取PIK证书以验证PIK身份，并将PIK密钥和证书提交给设备。S5设备以及授权者/申请授权者所属的授权管理平台基于可信密码模块生成签名密钥和绑定密钥，为签名密钥和绑定密钥生成密钥证明(调用可信密码模块的KeyCertify功能实现)，设备与授权者的授权管理平台互换签名密钥和绑定密钥的公钥和密钥证明。设备及授权者的授权管理平台验证密钥证明，验证成功后存储设备的PIK公钥、PIK证书、签名密钥和绑定密钥公钥及相应的密钥证明。二授权关系建立阶段S6申请授权者获取授权者的PIK公钥与PIK证书，使用CA公钥验证，确认授权者的身份和PIK。S7申请授权者向授权者提出申请，授权者通过网络搜寻或直接从申请授权者获取PIK及PIK证书，用CA验证，确认申请授权者的身份和PIK。S8授权者向申请授权者索取绑定密钥公钥、签名密钥公钥及公钥证明(调用可信密码模块的KeyCertify功能实现)授权者用申请授权者PIK公钥验证，以确定绑定密钥、授权密钥可信。S9授权者向申请授权者提供签名密钥公钥及公钥证明(调用可信密码模块的KeyCertify功能实现)，申请授权者用授权者PIK公钥验证，以确定签名密钥可信。三授权与审计阶段S10申请授权者提出授权申请，用自己的签名密钥签名，使用授权者绑定密钥加密，发送给授权者，授权者接收并解密授权申请，如同意授权，则生成包含授权申请和授权信息的授权令牌，并使用自本文档来自技高网...

【技术保护点】
1.一种基于硬件可信根的角色分离的认证授权方法，其特征在于：/na.角色划分为：设备认证方，设备、授权者、申请授权者，其中设备认证方架设带有硬件可信根的服务器，授权者与申请授权者持有具有硬件可信根的智能终端；/nb.全过程分为三大阶段，初始化、授权关系建立，授权及审计验证；其中授权及审计验证阶段分为授权过程、获得权限过程、审计过程；/nc.设备认证方服务器以非对称密钥的私钥为私有信息，其公钥以防篡改方式公开，设备、授权者和申请授权者的智能终端均有可信密码模块；/nd.初始化阶段，设备认证方拥有授权设备、授权者和申请者智能终端可信密码模块的背书密钥，设备、授权者智能终端和申请授权者智能终端初始化时生成携带设备编号和在设备认证方的认证下生成用户设备的鉴别密钥及密钥证明，再由用户设备的鉴别密钥生成用户身份的签名密钥与绑定密钥及其密钥证明；/ne.设备认证方只在其他设备初始化阶段时与其他设备连接；/nf.设备和授权者智能终端在授权者对设备进行初始化和进行授权审计时使用受保护的点对点连接方式，授权者和申请者的授权管理设备在授权时通过公共连接，申请授权者在验证授权时与设备间使用受保护的点对点连接方式设备；/ng.授权关系建立阶段申请授权者和授权者交换PIK、签名密钥和绑定密钥，以及鉴别密钥证书和签名/绑定密钥的密钥证明，并进行验证；/nh.授权过程，通过申请授权者提出由自己签名密钥签名的授权申请，使用授权者绑定密钥加密传送，授权者如同意授权，则生成由授权者签名密钥签名的包含授权申请和授权信息的授权令牌，用申请授权者绑定密钥公钥加密传送；/ni.获取权限过程，申请授权者将令牌发送给设备，设备使用授权者签名密钥验证令牌，确认令牌合法性后生成带有授权令牌与随机因子的审计记录，发送给申请授权者，申请授权者使用签名密钥签名审计记录，发送回设备，验证后存储，设备接受授权开放权限；授权令牌及审计记录可作为审计信息由第三方验证授权过程；/n初始化阶段、授权关系建立阶段，与授权及审计验证阶段中的授权过程、获得权限过程、审计过程之间可以不连续进行，只要密钥证明和授权令牌处在有效期内即可随时按顺序进行。/n...

【技术特征摘要】
1.一种基于硬件可信根的角色分离的认证授权方法，其特征在于：
a.角色划分为：设备认证方，设备、授权者、申请授权者，其中设备认证方架设带有硬件可信根的服务器，授权者与申请授权者持有具有硬件可信根的智能终端；
b.全过程分为三大阶段，初始化、授权关系建立，授权及审计验证；其中授权及审计验证阶段分为授权过程、获得权限过程、审计过程；
c.设备认证方服务器以非对称密钥的私钥为私有信息，其公钥以防篡改方式公开，设备、授权者和申请授权者的智能终端均有可信密码模块；
d.初始化阶段，设备认证方拥有授权设备、授权者和申请者智能终端可信密码模块的背书密钥，设备、授权者智能终端和申请授权者智能终端初始化时生成携带设备编号和在设备认证方的认证下生成用户设备的鉴别密钥及密钥证明，再由用户设备的鉴别密钥生成用户身份的签名密钥与绑定密钥及其密钥证明；
e.设备认证方只在其他设备初始化阶段时与其他设备连接；
f.设备和授权者智能终端在授权者对设备进行初始化和进行授权审计时使用受保护的点对点连接方式，...

【专利技术属性】
技术研发人员：胡俊，赵宇澄，孙凯丽，王迪，刘宇鹏，王元铭，
申请(专利权)人：北京工业大学，
类型：发明
国别省市：北京;11