用于服务器的平台证明和注册制造技术

实施例包括系统、方法、计算机可读介质和设备，其被配置为：针对平台的第一处理器生成平台根密钥；创建数据结构以封装平台根密钥，数据结构包括平台供应密钥和注册服务的标识；以及在安全连接上将数据结构发送到注册服务，以为平台的第一处理器注册平台根密钥。实施例包括系统、方法、计算机可读介质和设备，其被配置为：存储从密钥生成设施接收的设备证书；从平台接收清单，清单包括与平台相关联的处理器的标识；以及使用存储的设备证书来验证处理器。器。器。

【技术实现步骤摘要】
用于服务器的平台证明和注册
[0001]本申请是2017年5月30日提交的申请号为201780029277.9的同名专利申请的分案申请。
[0002]相关申请的交叉引用
[0003]本申请要求享有于2016年7月2日提交的序列号为15/201,400的美国专利申请的优先权，所 述申请根据美国专利法第119(e)条要求于2016年6月18日提交的美国临时专利申请第62/351,956 号的利益。前述申请通过引用的方式全部并入本文。


[0004]概括而言，本公开内容涉及计算机安全领域，而更具体而言，涉及用于服务器的平台证明和 注册。

技术介绍

[0005]可以在因特网上部署软件和服务。当服务提供者在线或空中上供应具有敏感内容的应用时， 服务提供者将想要确信他们的秘密得到恰当保护。为此，服务提供者必须能够确切地知道什么软件 正在远程平台上运行以及其正在什么环境中执行。
附图说明
[0006]图1是根据一个实施例的包括证明系统的示例性系统的简化示意图。
[0007]图2是根据一个实施例的包括支持安全飞地的示例性平台的示例性系统的简化框图。
[0008]图3是根据一个实施例的表示应用证明的简化框图；
[0009]图4是根据一个实施例的表示支持证明的系统的第一实施方式的简化框图。
[0010]图5是根据一个实施例的表示支持证明的系统的第二实施方式的简化框图。
[0011]图6是根据一个实施例的表示支持证明的系统的第三实施方式的简化框图。
[0012]图7是根据本公开内容的实施例的多包环境的示意性框图。
[0013]图8是根据本公开内容的实施例的平台实例的建立的示意图。
[0014]图9是根据本公开内容的实施例的注册和供应多包平台的示意图。
[0015]图10是根据本公开内容的实施例的用于替换建立的平台上的包的示意性框图。
[0016]图11是根据本公开内容的实施例的用于形成平台清单的过程流图。
[0017]图12是根据实施例的处理器的示例性说明。
[0018]图13是示例性移动设备的框图。
[0019]图14示出了根据实施例的以点对点(PtP)配置布置的计算系统。
[0020]各附图中同样的附图标记和名称指示同样的元素。
具体实施方式
[0021]本公开内容涉及用于服务器的证明和注册。本公开内容描述了可以构成服务器环
境的多于一 个包之间的证明和注册。
[0022]图1是示出包括示例性证明系统105的计算环境100的示例性实施例的简化框图。证明系统 105可以接收由在主机系统(例如，110、115、120、125)上运行的安全逻辑组件或飞地(enclave) 生成的数据或“引用”，以证明主机的另一应用或飞地的真实性(authenticity)和安全性(以及其他 特性)，并基于接收的引用来确认证明。引用可以是签名的，或者包括已由加密密钥、密码或其他元 素(本文中统称为“密钥”)签名的数据，证明系统可以根据密钥来认证或确认引用(从而也认证或 确认了由引用证明的应用或飞地)的可信赖性。这样的密钥可以被称为证明密钥。供应系统120可 以用于在各种主机设备110、115、120、125上安全地提供这样的证明密钥。
[0023]在一些情况下，可以结合在主机系统上托管的应用(例如，110、115、120、125)和由远程后 端系统(例如，140、145)托管的后端服务之间的客户端
‑
服务器或前端
‑
后端交互(例如，在一个或 多个网络125上)来执行证明。敏感数据和交易可以在这样的交互中发生，并且应用可以使用证明 系统(例如，105)来证明其对后端系统的可信赖性和安全性(反之亦然)。在一些实施方式中，证 明系统本身可以托管在后端系统上。在其他情况下，后端系统(例如，140)(或者甚至对等证明中 的另一主机设备)可以消费单独的证明系统(例如，105)的证明服务。
[0024]供应系统可以维护映射到配备有用于实现可信执行环境或安全飞地的硬件和软件的各种主机 设备(例如，110、115、120、125)的证书的数据库。每个证书可以从密钥导出，所述密钥本身基 于在制造期间在主机设备(例如，110、115、120、125)上供应的持久维护的安全的秘密。秘密对 于主机设备保密，并且可以被实现为熔丝(fuse)、安全持久存储器中的代码以及其他实施方式。密 钥可以是秘密本身或从秘密导出的密钥。证书可能无法识别密钥，并且密钥可以是不可从证书导出 的，然而，由密钥产生的签名可以被识别为源自主机设备中的特定一个，针对其基于相应证书来维 护证书。以该方式，主机设备(例如，110、115、120、125)可以向供应系统120进行认证，并且 (由供应系统120)提供与主机设备安全地相关联的证明密钥。然后，这些证明密钥可以由对应的 主机设备(例如，110、115、120、125)上的安全飞地使用，以证明主机设备上存在的一个或多个 应用或飞地。
[0025]在一些实施方式中，网络125可以包括局域网和广域网、无线网和有线网、公共网和私人网 以及实现系统之间的通信的任何其他通信网络。
[0026]通常，“服务器”、“设备”、“计算设备”、“主机设备”、“用户设备”、“客户端”、“服务器”、“计 算机”、“平台”、“环境”、“系统”等(例如，105、110、115、120、125、120、140、145等)可以 包括可操作以接收、发送、处理、存储或管理与计算环境100相关联的数据和信息的电子计算设备。 如本文档中使用的，术语“计算机”、“计算设备”、“处理器”或“处理设备”旨在涵盖适于执行与 计算机可读指令的执行一致的计算任务的任何合适的处理设备。另外，任何、所有或一些计算设备 可以适于执行任何操作系统，包括Linux、UNIX、Windows Server等，以及适于虚拟化特定操作系 统的执行的虚拟机，所述特定操作系统包括定制的和专有的操作系统。计算设备还可以配备有通信 模块，以促进在一个或多个网络(例如，125)上与其他计算设备的通信。这样的网络125可以包括 局域网和广域网、无线网和有线网、公共网和私人网以及实现系统之间的通信的任何其他通信网络。
[0027]主机设备(例如，110、115、120、125)还可以是被实现为一个或多个本地和/或远程
客户端 或终端用户设备的计算设备，例如应用服务器、个人计算机、膝上型计算机、智能手机、平板计算 机、个人数字助理、媒体客户端、支持网络的电视、远程呈现系统、游戏系统、多媒体服务器、机 顶盒、智能家电、车内计算系统以及适于接收、查看、撰写、发送或以其他方式与之交互、访问、 操纵、消费或以其他方式使用通过相应设备(或环境100)内或外部的服务器服务或提供的应用、 程序和服务的其他设备。主机设备可以包括可操作以使用有线或无线连接至少与服务器、其他主机 设备、网络和/或其他设备连接或通信的任何计算设备。本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种非暂时性计算机可读存储介质，包括指令，所述指令在被执行时，使一个或多个处理器至少：经由前端服务从第一远程设备获取签名的数据；基于所述签名的数据，确认所述第一远程设备的软件是真实的；生成用于使得能够在所述第一远程设备和第二远程设备之间进行通信的证书；以及使所述前端服务将所述证书传输到所述第一远程设备。2.如权利要求1所述的非暂时性计算机可读存储介质，其中，所述签名的数据是基于所述第一远程设备的硬件的。3.如权利要求1所述的非暂时性计算机可读存储介质，其中，所述签名的数据是基于所述第一远程设备的根密钥的。4.如权利要求1所述的非暂时性计算机可读存储介质，其中，当所述第一远程设备的所述软件是可信赖的时，所述软件是真实的。5.如权利要求1所述的非暂时性计算机可读存储介质，其中，所述第一远程设备使用所述证书连接到所述第二远程设备。6.如权利要求1所述的非暂时性计算机可读存储介质，其中，所述指令使所述一个或多个处理器：使所述前端服务将所述证书传输到所述第二远程设备。7.如权利要求1所述的非暂时性计算机可读存储介质，其中，所述签名的数据证明所述第一远程设备的所述软件的真实性。8.一种装置，包括：存储器；以及处理器，其用于：经由前端服务从第一远程设备获取签名的数据；基于所述签名的数据，确认所述第一远程设备的软件是真实的；生成用于使得能够在所述第一远程设备和第二远程设备之间进行通信的证书；以及使所述前端服务将所述证书传输到所述第一远程设备。9.如权利要求8所述的装置，其中，所述签名的数据是基于所述第一远程设备的硬件的。10.如权利要求8所述的装置，其中，所述签名的数据是基于所...

【专利技术属性】
技术研发人员：V，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：