用于根据智能密钥设备建立信任框架的方法和系统技术方案

提供一种机制，用于在主机系统内保护密码功能，以使得当系统管理员通过硬件安全令牌从物理上对其允许时才可以使用它。此外，将硬件安全单元集成到数据处理系统中，并且硬件安全单元充当硬件证书管理机构。可以将硬件安全单元看作对分布式数据处理系统内的信任体系或者信任框架进行支持。硬件安全单元可以对在包括硬件安全单元的机器上所安装的软件进行签名。使用在机器上运行的签名的软件的服务器过程可以与硬件安全单元并且根据硬件安全单元的、它们的公共信任在其他服务器过程之间建立相互信任关系。

【技术实现步骤摘要】
【国外来华专利技术】
本专利技术涉及改进的数据处理系统，更具体地说，涉及用于使用密码系统进行数据存储保护的方法和设备。
技术介绍
实际上，在每个网络系统中，管理系统通过限制对资源的访问来保护资源。在企业中的网络可以具有许多种类的可以被访问的资源诸如客户机器之类的物理资源；和诸如计算程序之类的逻辑资源。不同资源可以具有不同的验证方案。当实体想要访问受限制的资源时，需要实体将自己对代表所请求的服务进行工作的验证服务或者所请求的服务进行验证。对关于授权实体的信息进行管理以支持这些验证方案产生大量的费用和管理工作。因此，最好具有一种机制用来管理在由数据处理系统内的硬件实体所提供的信任之上建立的数据处理系统中的实体之间的信任关系。
技术实现思路
提供一种机制，用于在主机系统内保护密码功能，以使得当系统管理员经由硬件安全令牌物理地允许它时才可以对它进行使用。此外，将硬件安全单元集成到数据处理系统，并且硬件安全单元充当硬件证书管理机构(authority)。可以将硬件安全单元看作是对分布式数据处理系统内的依赖网络或者信任体系进行支持。硬件安全单元可以签署在包含硬件安全单元的机器上所安装的软件。使用在机器上运行的所签署的软件的服务器过程可以根据它们共同的硬件安全单元的信任，与硬件安全单元并且在其他服务器过程之间建立相互信任关系。例如，数据处理系统接受可拆卸硬件设备，在可拆卸硬件设备和硬件安全单元相互验证它们自己以后，可拆卸硬件设备变为与数据处理系统内的系统单元电连接，以使得允许硬件安全单元内的特定功能。当可拆卸硬件设备保持与系统单元的电连接时，硬件安全单元可以充当证书管理机构来发放用于软件模块的数字证书。当可拆卸硬件设备保持与系统单元的电连接时，硬件安全单元还可以接收和存储与不包括在系统单元中的第二硬件安全单元所拥有的私钥对应的数字证书。之后，软件模块可以根据在硬件安全单元内所存储的数字证书进行相互验证。附图说明在所附权利要求中阐明了本专利技术的确信具有特征的新颖特点。当结合附图进行阅读时，通过参照下面详细描述将可以更好的理解本专利技术自身、进一步的目的和其优点，其中图1A示出了数据处理系统的典型网络，其每一个都可以实施本专利技术；图1B示出了在其中实施本专利技术的数据处理系统中可以使用的典型计算机架构；图2示出了其中个人获得数字证书的典型方式的框图；图3示出了其中实体可以使用要对数据处理系统被验证的数字证书的典型方式的框图；图4示出了接收可拆卸硬件设备以允许数据处理系统内的硬件安全单元中的密码功能的数据处理系统的一部分的框图；图5示出了包含内部智能密钥设备、并且使用外部智能密钥设备来允许内部智能密钥设备中的密码功能的系统单元的框图；图6示出了用于允许主机系统的内部智能密钥的密码功能的过程的概况的流程图；图7示出了用于允许主机系统的内部智能密钥设备的密码功能由具体软件智能密钥单元进行使用的过程的概况的流程图；图8示出了用于禁止主机系统的内部智能密钥设备的密码功能的过程的流程图；图9A-9B示出了对图6的步骤604中所示的相互验证过程进行进一步详细描述的一对流程图；图10A-10B示出了对图7的步骤704中所示的相互验证过程进行进一步详细描述的一对流程图；图11A示出了在其中根据外部智能密钥设备的存在对操作进行允许和禁止的软件智能密钥单元请求时用于执行操作的内部智能密钥设备中的过程的流程图；图11B示出了在其中不需要由外部智能密钥设备的存在来允许操作的软件智能密钥单元请求时用于执行操作的内部智能密钥设备中的过程的流程图；图12示出了用于保护主秘密的本专利技术的实施方式的框图；图13-15示出了多个外部智能密钥设备和多个内部智能密钥设备之间的不同关系的框图；图16A-16C示出一组典型的信任关系的框图；图17示出了根据由内部智能密钥设备所提供的信任的信任关系所构成的信任模型的例子的框图；图18示出了用于产生操作系统文件的数据处理系统的框图，在所述操作系统文件中在操作系统中的每个程序实体包括根据内部智能密钥设备在信任体系中建立信任关系的功能；图19示出了用于产生操作系统模块的过程的流程图，该操作系统模块包含软件智能密钥单元，以使得其能够执行彼此的验证操作；图20示出了用于产生项目代码的数据处理系统的框图，其中每个程序实体包括根据内部智能密钥设备在信任体系中建立信任关系的功能；图21示出了用于对内部智能密钥设备的证书链进行扩展的过程的流程图；图22示出了信任关系所构成的信任模型的例子的框图，该信任关系基于由单个本地内部智能密钥设备所提供的信任，所述单个本地内部智能密钥设备保持包括用于涉外内部智能密钥设备的多个根证书的证书链；图23示出了用于获得由本地内部智能密钥设备所保持的当前根证书链的过程的流程图；图24示出了用于对来自涉外内部智能密钥设备的数字证书是否为可信进行确定的过程的流程图；图25示出了在可以被用于确保软件模块的真实性(integrity)的硬件辅助信任模型内的实体的数据流示意图；和图26示出了用于确保软件模块的真实性的过程的流程图。具体实施例方式总的来说，可以包括或者涉及本专利技术的设备包括许多数据处理技术。因此，作为背景说明，在对本专利技术进行更加详细的描述之前对分布式数据处理系统内的硬件和软件部件的典型组织进行描述。现在参照附图，图1A示出了数据处理系统的典型网络，其每一个都可以实施本专利技术的一部分。分布式数据处理系统100包括网络101，其可以是用于提供在分布式数据处理系统100内连接在一起的各种设备和计算机之间的通信链路的介质。网络101可以包括诸如电线或者光纤之类的永久连接，或通过电话或者无线通信进行的临时连接。在所示的例子中，将服务器102和服务器103与存储单元104一同连接到网络101。此外，还将客户端105-107连接到网络101。可以由诸如大型机、个人计算机、个人数字助理(PDA)之类的各种计算设备来代表客户端105-107和服务器102-103。分布式数据处理系统100可以包括额外的未示出的服务器、客户端、路由器、其他设备和对等架构。在所述例子中，分布式数据处理系统100可以包括带有表示世界范围的网络集合的网络101的因特网，和使用诸如轻量级目录存取协议(LDAP)、传输控制协议/网际协议(TCP/IP)、超文本传输协议(HTTP)、无线应用协议(WAP)之类的协议进行彼此通信的网关。当然，分布式数据处理系统100还可以包括许多不同类型的网络，例如内部网络、局域网(LAN)或者广域网(WAN)。例如，服务器102直接支持客户端109和网络110，其合并了无线通信链路。网络允许(network-enabled)的电话110通过无线链路112连接到网络110，而PD 113也通过无线链路114连接到网络110。电话111和PDA 113还使用诸如蓝牙(BluetoothTM)之类的适合技术，通过无线链路115在它们之间直接传送数据以创建所谓的个人域网络(PAN)或者个人专门网络。以类似的方式，PDA 113可以经由无线通信链路116传送数据到PAD 107。可以在各种硬件平台上实施本专利技术。图1A试图作为异种计算环境的例子但是并不是对本专利技术的架构限制。现在参照图1B，其示出了诸如图1A种所示出的那些之类的、其中可以实施本专利技术的数据处理系统本文档来自技高网...

【技术保护点】
一种数据处理系统，包括：系统单元，包括：处理器，用于执行软件模块中的指令；和第一硬件安全单元，包括：用于存储第一非对称密码密钥对的私钥和第二非对称密码密钥对的公钥的装置；验证软件模块的装置；和用于充当证书管理机构以发放数字证书给软件模块的装置；和第一软件模块，其可以在系统单元上执行，包括：用于存储第二非对称密码密钥对的私钥和第一非对称密码密钥对的公钥的装置；和用于验证硬件安全单元的装置。

【技术特征摘要】
【国外来华专利技术】US 2004-1-8 10/753,8201.一种数据处理系统，包括系统单元，包括处理器，用于执行软件模块中的指令；和第一硬件安全单元，包括用于存储第一非对称密码密钥对的私钥和第二非对称密码密钥对的公钥的装置；验证软件模块的装置；和用于充当证书管理机构以发放数字证书给软件模块的装置；和第一软件模块，其可以在系统单元上执行，包括用于存储第二非对称密码密钥对的私钥和第一非对称密码密钥对的公钥的装置；和用于验证硬件安全单元的装置。2.根据权利要求1所述的数据处理系统，其中硬件安全单元还包括用于接收与不包括在系统单元中的第二硬件安全单元所拥有的私钥对应的数字证书的装置；和用于存储所接收到的数字证书的装置。3.根据权利要求1或者2所述的数据处理系统，还包括可拆卸硬件设备，包括用于存储第三非对称密码密钥对的私钥和第一非对称密码密钥对的公钥的装置；第一硬件接口，用于与系统单元电连接；和用于验证硬件安全单元的装置；和系统单元还包括第二硬件接口，用于电连接可拆卸硬件设备。4.根据权利要求3所述的数据处理系统，其中硬件安全单元还包括用于允许硬件安全单元充当证书管理机构在可拆卸硬件设备和硬件安全单元已经相互验证之后、根据可拆卸硬件设备是否保持与系统单元的电连接来发放数字证书给软件模块的装置。5.根据前面任何一个权利要求所述的数据处理系统，其中第一软件模块还包括用于对在数据处理系统中正在执行的第二软件模块进行验证的装置。6.根据权利要求5所述的数据处理系统，还包括用于接收第二软件模块的数字证书的装置；和用于检验所接收到的数字证书为已经由硬件安全单元所发放的数字证书的装置。7.根据权利要求5所述的数据处理系统，还包括用于接收第二软件模块的数字证书的装置；用于从硬件安全单元检索一组数字证书的装置；和用于根据来自硬件安全单元的一组数字证书中的证书来检验用于第二软件模块的数字证书的装置。8.根据前面任何一个权利要求所述的数据处理系统，还包括用于在执行软件模块之前要求在系统单元上可执行的软件模块已经被第一硬件安全单元签名的装置。9.根据前面任何一个权利要求所述的数据处理系统，还包括用于在执行之前要求在系统单元上可执行的所有软件模块都已经被第一硬件安全单元签名的装置。10.根据前面任何一个权利要求所述的数据处理器系统，还包括用于在执行之前要求在系统单元上可执行的所有软件模块都能够对第一硬件安全单元进行验证的装置。11.根据前面任何一个权利要求所述的数据处理器系统，还包括软件智能密钥模块，由第一硬件安全单元对其进行签名，其中第一硬件安全单元包括用于充当证书管理机构的装置。12.根据权利要求11所述的数据处理系统，还包括用于在执行之前要求在系统单元上可执行的软件模块已经由软件智能密钥模块或第一硬件安全单元签名的装置。13.根据权利要求11所述的数据处理系统，还包括用于在执行之前要求在系统单元上可执行的所有软件模块都能够对软件智能密钥模块或者对第一硬件安全单元进行验证的装置。14.根据权利要求11所述的数据处理系统，还包括用于辅助软件证书管理机构以信任体系的倒金字塔形式从第一硬件安全单元中导出信任管理权的装置。15.根据权利要求11所述的数据处理系统，还包括用于允许软件证书管理机构模块对从属软件证书管理机构模块进行签名的装置。16.根据权利要求1所述的数据处理系统，还包括用于要求在系统单元上安装的所有交互软件应用程序都能够相互对彼此验证的装置。17.根据权利要求16所述的数据处理系统，还包括用于允许交互软件应用程序彼此检验为由信任的软件证书管理机构或者由第一硬件安全单元进行签名的软件应用程序的装置。18.根据前面任何一个权利要求所述的数据处理器系统，还包括用于将不同系统单元上的硬件安全单元的数字证书断言到第一硬件安全单元中的信任的证书管理机构列表的装置。19.根据前面任何一个权利要求所述的数据处理器系统，还包括用于将在不同的数据处理系统上所信任的软件证书管理机构的数字证书断言到第一硬件安全单元中的信任的证书管理机构列表的装置。20.一种在数据处理系统中执行密码功能的方法，该方法包括在包括硬件安全单元的系统单元上执行软件模块，其中硬件安全单元包括第一非对称密码密钥对的私钥和第二非对称密码密钥对的公钥；在硬件安全单元和软件模块之间执行相互验证操作，其中软件模块包括第二非对称密码密钥对的私钥和第一非对称密码密钥对的公钥；和硬件安全单元发放数字证书给软件模块。2...

【专利技术属性】
技术研发人员：赵青云，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：US[美国]