用于建立虚拟认证凭证的方法与装置制造方法及图纸

公开了一种在数据处理系统中用于建立虚拟认证凭证的方法、装置和计算机程序产品。所述数据处理系统包括硬件可信平台模块（ＴＰＭ）。在该系统中生成了逻辑分区。生成不同的虚拟ＴＰＭ用于逻辑分区中的每一个。对于逻辑分区中的每一个，所生成的用于该逻辑分区的虚拟ＴＰＭ随后动态生成由包括该虚拟ＴＰＭ的逻辑分区所使用的虚拟认证凭证。虚拟认证凭证是在所述数据处理系统内生成的，无需所述数据处理系统或其设备访问所述数据处理系统外部的可信第三方。

【技术实现步骤摘要】

本专利技术涉及数据处理系统，更具体地说，本专利技术涉及用于建立用于动态生成的虚拟认证密钥的虚拟认证凭证的方法、装置和产品，所述虚拟认证密钥被生成用于可信计算平台中的多个逻辑分区。
技术介绍
大多数数据处理系统含有需要受到保护的敏感操作和敏感数据。例如，配置信息的完整性需要受到保护以免被非法修改。而诸如口令文件的其它信息需要受到保护以免被非法泄漏。作为另一示例，数据处理系统需要能够可靠地识别自身和其它数据处理系统。给定数据处理系统的操作者可以采用多种不同类型的安全机制来保护该数据处理系统。例如，数据处理系统上的操作系统可以提供各种软件机制来保护敏感数据，例如各种验证和授权方案，而某些硬件设备和软件应用可以依赖于硬件机制来保护敏感数据，例如硬件安全令牌和生物测定传感器设备。然而，数据处理系统的数据及其操作的完整性集中于信任的问题。如果另一实体具有某种用于与数据处理系统关于特定数据项或特定操作建立信任的手段，则该数据处理系统的数据和操作能够被该实体验证或接受。因此，保护数据处理系统的能力受到在数据处理系统内部创建或确立信任的手段所限制。为了解决保护数据处理系统的问题，众多公司已经形成了可信计算组织(TCG)来开发并发布用于可信计算的开放标准与规范。根据可信计算组织的规范，给定数据处理系统内部的信任或数据处理系统和另一实体之间的信任基于数据处理系统中的硬件组件，该硬件组件被称为可信平台模块(TPM)。可信平台使实体能够确定该平台中的软件环境的状态，并且将数据密封到该平台内的特定软件环境中。实体在与该平台进行事务处理之前推断该平台中的计算环境的状态是否是可接受的。当今的计算系统特别是大规模服务器系统通常包括对运行多虚拟机的支持。该系统可以是在单个硬件平台上执行数百个服务器实例以支持具有不同计算需求的客户的大规模按需服务器系统。在这些系统中的最灵活系统中，多个分区(它们在操作系统和应用组合方面可能不同)同时存在于系统存储器中，并且在每个分区中执行的进程运行于支持它们在客户操作系统上执行的环境中。虚拟机提供了与真实硬件平台足够相似的环境，在该环境中可以运行操作系统而仅有很少的修改或者没有任何修改。管理程序(hypervisor，有时被称为虚拟机监视程序)管理所有虚拟机或分区并提取系统资源，从而每个分区向每个操作系统实例提供类似于机器的环境。为了实现上面的体系结构目标，多个处理模块和其它设备被安装在系统中，并且每个设备一般支持一个或多个上述分区，尽管可以在多个设备之间分享分区上的任务分配。设备组或个体设备可以与特定客户相关联，并且希望保护只有该客户能够访问设备或设备组，包括保护该设备和系统的制造商也不能访问该设备。为了在这样的系统中提供安全性，设备必须被绑定到系统上，从而避免可能通过从设备提取数据或使用设备来“冒充”系统或系统的一部分(数据可以从其中被提取)而发生的移除以及数据挖掘。绑定可以是物理上的，例如，设备被永久性地附接到系统上，或者绑定可以以密码方式实现，从而顾及可移除的设备和连网系统。通过拒绝设备在系统中启动(除非该设备以密码方式绑定到该系统)，上述可移除和连网设备提供了对数据篡改或冒充的保护。与该绑定相关联的信息一般被制造商加密并被存储在设备的非易失性存储设备中。利用上述机制，只有可信系统能够访问与特定设备相关联或存储在特定设备内的数据，从而显著降低了滥用或错用可移除设备的影响。此外，与设备相关联的数据(例如所存储的上述虚拟机之一的语境或“状态”)被加密机制所保护，该加密机制需要被存储在相关联的一个或多个设备中的密钥。两层机制适于特定一个或多个设备的硬件绑定和数据加密在对通过滥用或错用可移除设备而进行的数据挖掘方面提供了高级别的安全性。单个认证密钥(Endorsement Key，EK)对典型地存储在硬件可信平台模块(TPM)中。每个认证密钥对是对存储它的特定硬件TPM唯一的。认证密钥对包括认证公钥及其对应的认证私钥。如果认证公钥被用来加密数据，则只有对应于该公钥的认证私钥才能解密该加密数据。如果认证私钥被用来加密数据，则只有对应于该私钥的认证公钥才能解密该加密数据。在制造TPM时，认证密钥对被TPM的制造商存储在它的TPM中。除了认证密钥之外，在制造TPM时，认证凭证也被TPM的制造商存储在TPM中。认证凭证包括TPM的认证公钥的拷贝。认证密钥和认证凭证被用来向可信第三方标识特定TPM，以便从可信第三方获得证明身份密钥(AIK)证书，其中可信第三方在包括该TPM的系统外部。证明身份密钥被系统用来指示系统包括TPM并且该TPM有效。大多数已知的系统使用单个硬件TPM向整个系统提供信任服务。一个硬件TPM被设计成提供对单个不可分区的计算机系统的支持。从而，现有系统利用单个硬件TPM来提供用于整个单系统的信任。可是，高性能服务器支持可分区的多线程环境，该环境可能需要在多个线程上同时访问可信平台模块。这类环境将物理资源分配或划分给所支持的多个分区中的每个。此外，每个分区可以被认为是单独的逻辑计算机系统，其能够执行自己的操作系统和应用。一个分区所执行的操作系统可以不同于其它分区所执行的操作系统。对于包括单个硬件TPM和多个逻辑分区的系统来说，需要为每个逻辑分区提供唯一的认证密钥对和认证凭证。因此，举例来说，如果系统包括四个逻辑分区，则将需要四个单独且唯一的认证密钥对和相关联的认证凭证。然而，在硬件TPM中生成并存储多个认证密钥对和认证凭证是不现实的，因为包括该TPM的复杂系统允许按需创建并销毁逻辑分区。因此，当制造TPM时，逻辑分区的数目以及进而所需认证密钥对和认证凭证的数目是不可知的。因此，需要一种建立用于动态生成的虚拟认证密钥对的虚拟认证凭证的方法、装置和产品，其中虚拟认证密钥对被生成用于可信计算平台中的多个逻辑分区。
技术实现思路
公开了一种在数据处理系统中用于建立虚拟认证凭证的方法、装置和计算机程序产品。该数据数据处理系统包括硬件可信平台模块(TPM)。在该系统中生成了逻辑分区。生成不同的虚拟TPM用于逻辑分区中的每一个。对于逻辑分区中的每一个，所生成的用于该逻辑分区的虚拟TPM随后动态生成由包括该虚拟TPM的逻辑分区所使用的虚拟认证凭证。虚拟认证凭证是在所述数据处理系统内生成的，无需所述数据处理系统或其设备访问所述数据处理系统外部的可信第三方。在下文的详细文字说明中，本专利技术的上述以及其它目的、特征和优点将变得很清楚。附图说明在所附权利要求中阐述了被认为是本专利技术特性的新颖特征。然而，专利技术本身及其优选实施方式、其它目的和优点将通过参考下面对示例性实施例的详细描述并结合附图而得到最好的理解，在附图中图1A描述了典型的数据处理系统网络，其中每个数据处理系统可以用来实现现有技术；图1B描述了根据现有技术的计算机体系结构；图1C描述了根据现有技术的数据处理系统的框图；图1D是图示出根据本专利技术的包括多个不同逻辑分区的数据处理系统的框图；图2是根据本专利技术的经修改的硬件可信平台体系结构的框图； 图3A描述了图示出根据本专利技术的经修改的硬件可信平台模块(TPM)的框图；图3B图示出根据现有技术存储在可信平台模块(TPM)中的密钥的框图；图4描述了图示出根据本专利技术向可变数量的逻辑分区提供信任的可变硬件TPM的框图；图5本文档来自技高网...

【技术保护点】
一种在数据处理系统中用于建立虚拟认证凭证的方法，所述数据处理系统包括硬件可信平台模块，所述方法包括：在所述系统中生成多个逻辑分区；对于所述多个逻辑分区中的每一个，动态生成用于所述多个逻辑分区之一的不同的虚拟可信平台模块； 由所生成的用于所述多个逻辑分区中的所述一个的所述虚拟可信平台模块生成由所述多个逻辑分区中的所述一个所使用的虚拟认证凭证；以及所述虚拟认证凭证是在所述数据处理系统中生成的，无需访问所述数据处理系统外部的可信第三方。

【技术特征摘要】
US 2005-7-12 11/179,2381.一种在数据处理系统中用于建立虚拟认证凭证的方法，所述数据处理系统包括硬件可信平台模块，所述方法包括在所述系统中生成多个逻辑分区；对于所述多个逻辑分区中的每一个，动态生成用于所述多个逻辑分区之一的不同的虚拟可信平台模块；由所生成的用于所述多个逻辑分区中的所述一个的所述虚拟可信平台模块生成由所述多个逻辑分区中的所述一个所使用的虚拟认证凭证；以及所述虚拟认证凭证是在所述数据处理系统中生成的，无需访问所述数据处理系统外部的可信第三方。2.如权利要求1所述的方法，还包括所述硬件可信平台模块不包括认证密钥对或认证凭证。3.如权利要求1所述的方法，还包括在所述硬件可信平台模块中存储平台签名密钥对，所述平台签名密钥对包括平台签名公钥和平台签名私钥。4.如权利要求3所述的方法，还包括由所生成的用于所述多个逻辑分区中的所述一个的所述虚拟可信平台模块生成由所述多个逻辑分区中的所述一个使用的虚拟认证密钥对，所述虚拟认证密钥对包括虚拟认证公钥和虚拟认证私钥；由所述虚拟可信平台模块使用所述平台签名私钥来签署所述虚拟认证公钥；以及所述经签署的虚拟认证公钥是用于所述多个逻辑分区的所述一个的所述虚拟认证凭证。5.如权利要求4所述的方法，还包括使用所述平台签名密钥对，将所述虚拟认证密钥对绑定到所述硬件可信平台模块。6.如权利要求3所述的方法，还包括由所生成的用于所述多个逻辑分区中的所述一个的所述虚拟可信平台模块生成由所述多个逻辑分区中的所述一个使用的虚拟认证密钥对，所述虚拟认证密钥对包括虚拟认证公钥和虚拟认证私钥；以及使用所述平台签名密钥对，将所述虚拟认证密钥对绑定到所述硬件可信平台模块。7.如权利要求1所述的方法，还包括由所述多个逻辑分区中的所述一个生成证明身份密钥证书请求；发送所述证明身份密钥证书请求到可信第三方；由所述多个逻辑分区中的所述一个从所述可信第三方接收经加密的证明身份密钥证书；由所述多个逻辑分区中的所述一个向所生成的用于所述多个逻辑分区中的所述一个的所述虚拟可信平台模块发送所述经加密的证明身份密钥证书用于进行解密；以及从所述虚拟可信平台模块接收经解密的证明身份密钥证书。8.如权利要求7所述的方法，还包括由所生成的用于所述多个逻辑分区中的所述一个的所述虚拟可信平台模块生成由所述多个逻辑分区中的所述一个使用的虚拟认证密钥对，所述虚拟认证密钥对包括虚拟认证公钥和虚拟认证私钥；由所述虚拟可信平台模块使用所述虚拟认证私钥来尝试解密所述经加密的证明身份密钥证书；响应于利用所述虚拟认证私钥成功解密所述经加密的证明身份密钥证书，从所述虚拟可信平台模块向所述多个逻辑分区中的所述一个发送所述经解密的证明身份密钥证书。9.如权利要求8所述的方法，还包括在发送所述经解密的证明身份密钥证书到所述多个逻辑分区中的所述一个之前识别被包括在所述经解密的证明身份密钥证书中的证明身份密钥；以及由所述虚拟可信平台模块判定所述虚拟可信平台模块是否创建了被包括在所述经解密的证明身份密钥证书中的所述证明身份密钥；以及响应于判定所述虚拟可信平台模块确实创建了被包括在所述经解密的证明身份密钥证书中的所述证明身份密钥，由所述虚拟可信平台模块向所述多个逻辑分区中的所述一个发送所述经解密的证明身份密钥证书；以及响应于判定所述虚拟可信平台模块没有创建被包括在所述经解密的证明身份密钥证书中的所述证明身份密钥，由所述虚拟可信平台模块抑制向所述多个逻辑分区中的所述一个发送所述经解密的证明身份密钥证书，其中所述虚拟可信平台模块仅仅响应于所述虚拟可信平台模块判定所述虚拟可信平台模块确实创建了所述证明身份密钥而发送所述经解密的证明身份密钥证书。10.一种在数据处理系统中用于建立虚拟认证凭证的装置，所述数据...

【专利技术属性】
技术研发人员：SA贝德，JP霍夫，S苏特尔，JP沃德，HH韦伯，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：US[美国]