可信计算平台用户根密钥和用户密钥生成方法和装置制造方法及图纸

本发明专利技术实施例提供可信计算平台用户根密钥和用户密钥生成方法和装置，以增强可信计算组织授权协议的安全性。所述方法包括：可信平台模块所有者接收可信平台模块用户提出的用户根密钥生成请求；可信平台模块通过与可信平台模块所有者交互，生成可信平台模块用户的用户根密钥和用户根密钥的授权数据；可信平台模块所有者将可信平台模块用户的用户根密钥和用户根密钥的授权数据发送至可信平台模块用户。本发明专利技术实施例提供的方法保证了用户根密钥的特殊性、私有性与独立性，用户(包括攻击者)即使知道存储根密钥的授权数据，若无可信平台模块所有者的授权，也无法创建用户根密钥，从而避免可信平台模块的资源被非法占用。

【技术实现步骤摘要】

本专利技术涉及信息安全领域，尤其涉及可信计算平台用户根密钥和用户密钥生成方法和装置。
技术介绍
可信计算组织(Trusted Computing Group,TCG)定义的可信计算技术规范中主要有对象无关授权协议(Object-Independent Authorization Protocol, 0IAP)和对象相关授权协议(Object-Specific Authorization Protocol, OSAP)等认证 / 授权协议。可信计算规范中的授权协议都能够保证会话的完整性，基于授权口令来保护一些关键数据，例如新建密钥的授权数据，封装数据的保护数据等的机密性。授权协议的安全性依赖于授权数据的机密性，如果攻击者知道或者猜测到授权数据，那么授权协议将没有安全性或安全性受到极大威胁。一个可信平台模块(Trusted Platform Module, TPM)只有一个存储根密钥(Storage Root Key, SRK)。为了让多个用户都可以使用SRK，SRK的授权数据经常被假定为一个众所周知的值，如此，任何知道授权数据的用户都可以在SRK下建立一个密钥分支。如前所述，授权协议的安全性依赖于授权数据的机密性。若攻击者知道SRK的授权数据，则可以伪造SRK，从而以伪造的SPL产生子密钥。这样，用户所产生的密钥就在攻击者的控制下，攻击者可以假冒TPM的存储功能。
技术实现思路
本专利技术实施例提供可信计算平台用户根密钥和用户密钥生成方法和装置，以增强可信计算组织授权协议的安全性。本专利技术实施例提供一种可信计算平台用户根密钥生成方法，所述方法包括可信平台模块所有者接收可信平台模块用户提出的用户根密钥生成请求；所述可信平台模块通过与所述可信平台模块所有者交互，生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据；所述可信平台模块所有者将所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据发送至所述可信平台模块用户。可选地，所述可信平台模块通过与所述可信平台模块所有者交互，生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据包括所述可信平台模块所有者向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令，所述命令包括预置用户根密钥的口令；所述可信平台模块验证所述可信平台模块所有者的合法性；若验证所述可信平台模块所有者合法，则根据所述预置用户根密钥的口令生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据并返回至所述可信平台模块所有者。可选地，所述命令还包括存储根密钥授权数据和所述可信平台模块所有者授权数据；所述可信平台模块验证所述可信平台模块所有者的合法性包括所述可信平台模块验证所述存储根密钥授权数据和所述可信平台模块所有者授权数据的合法性。可选地，所述可信平台模块所有者向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令包括所述可信平台模块所有者调用可信计算组织软件栈命令接口向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令。本专利技术实施例提供一种可信计算平台用户密钥生成方法，所述方法包括将可信平台模块用户的用户根密钥私有化；接收用户密钥创建请求，所述用户密钥创建请求包括父密钥的密钥类型；根据所述用户密钥创建请求和所述私有化的用户根密钥，创建所述可信平台模块用户的用户密钥。 可选地，所述将可信平台模块用户的用户根密钥私有化包括可信平台模块接收所述可信平台模块用户发送的更改所述用户根密钥的口令的请求；所述可信平台模块验证所述可信平台模块用户提供的父授权数据和所述用户根密钥的旧有授权数据；所述可信平台模块设置所述可信平台模块用户的用户根密钥的私有化标志。可选地，所述根据所述用户密钥创建请求和私有化的用户根密钥，创建所述可信平台模块用户的用户密钥包括根据父密钥的密钥类型，判断用户密钥创建请求是否是可信平台模块用户发起；若所述用户密钥创建请求是可信平台模块用户发起，则检测所述可信平台模块用户的用户根密钥的私有化标志；若检测通过，则验证所述私有化的用户根密钥的授权数据；若验证通过，则创建所述可信平台模块用户的用户密钥。本专利技术实施例提供一种可信计算平台用户根密钥生成装置，所述装置包括请求模块和可信平台模块，所述请求模块包括接收单元和第一发送单元；所述接收单元，用于可信平台模块所有者接收可信平台模块用户提出的用户根密钥生成请求；所述可信平台模块，用于通过与所述请求模块交互，生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据；所述第一发送单元，用于所述可信平台模块所有者将所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据发送至所述可信平台模块用户。可选地，所述可信平台模块包括验证单元和生成单元，所述请求模块还包括第二发送单元；所述第二发送单元，用于可信平台模块所有者向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令，所述命令包括预置用户根密钥的口令；所述验证单元，用于验证所述可信平台模块所有者的合法性；所述生成单元，用于若验证所述可信平台模块所有者合法，则根据所述预置用户根密钥的口令生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据并返回至所述可信平台模块所有者。可选地，所述命令还包括存储根密钥授权数据和所述可信平台模块所有者授权数据；所述验证单元具体用于验证所述存储根密钥授权数据和所述可信平台模块所有者授权数据的合法性。可选地，所述第二发送单元具体用于所述可信平台模块所有者调用可信计算组织软件栈命令接口向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令。本专利技术实施例提供一种可信计算平台用户密钥生成装置，所述装置包括可信平台模块，用于将可信平台模块用户的用户根密钥私有化；接收模块，用于接收用户密钥创建请求，所述用户密钥创建请求包括父密钥的密钥类型；用户密钥生成模块，用于根据所述用户密钥创建请求和所述私有化的用户根密钥，创建所述可信平台模块用户的用户密钥。可选地，所述可信平台模块包括请求接收单元，用于接收所述可信平台模块用户发送的更改所述用户根密钥的口令的请求；验证单元，用于验证所述可信平台模块用户提供的父授权数据和所述用户根密钥的旧有授权数据；设置单元，用于设置所述可信平台模块用户的用户根密钥的私有化标志。可选地，所述用户密钥生成模块包括判断单元，用于根据父密钥的密钥类型，判断用户密钥创建请求是否是可信平台模块用户发起；检测单元，用于若所述判断单元判断所述用户密钥创建请求是可信平台模块用户发起，则检测所述可信平台模块用户的用户根密钥的私有化标志；验证单元，用于若检测通过，则验证所述私有化的用户根密钥的授权数据；创建单元，用于若验证通过，则创建所述可信平台模块用户的用户密钥。从上述本专利技术实施例可知，由于可信平台模块用户的用户根密钥是可信平台模块 用户、可信平台模块所有者和可信平台模块通过交互生成。因此，这种方法保证了用户根密钥的特殊性、私有性与独立性，用户(包括攻击者)即使知道存储根密钥的授权数据，若无可信平台模块所有者的授权，也无法创建用户根密钥，从而避免可信平台模块的资源被非法占用。附图说明为了更清楚地说明本专利技术实施例的技术方案，下面将对现有技术或实施例描述中所需要使用本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种可信计算平台用户根密钥生成方法，其特征在于，所述方法包括 可信平台模块所有者接收可信平台模块用户提出的用户根密钥生成请求； 所述可信平台模块通过与所述可信平台模块所有者交互，生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据； 所述可信平台模块所有者将所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据发送至所述可信平台模块用户。2.如权利要求I所述的方法，其特征在于，所述可信平台模块通过与所述可信平台模块所有者交互，生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据包括 所述可信平台模块所有者向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令，所述命令包括预置用户根密钥的口令； 所述可信平台模块验证所述可信平台模块所有者的合法性； 若验证所述可信平台模块所有者合法，则根据所述预置用户根密钥的口令生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据并返回至所述可信平台模块所有者。3.如权利要求2所述的方法，其特征在于，所述命令还包括存储根密钥授权数据和所述可信平台模块所有者授权数据； 所述可信平台模块验证所述可信平台模块所有者的合法性包括 所述可信平台模块验证所述存储根密钥授权数据和所述可信平台模块所有者授权数据的合法性。4.如权利要求2所述的方法，其特征在于，所述可信平台模块所有者向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令包括 所述可信平台模块所有者调用可信计算组织软件栈命令接口向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令。5.一种可信计算平台用户密钥生成方法，其特征在于，所述方法包括 将可信平台模块用户的用户根密钥私有化； 接收用户密钥创建请求，所述用户密钥创建请求包括父密钥的密钥类型； 根据所述用户密钥创建请求和所述私有化的用户根密钥，创建所述可信平台模块用户的用户密钥。6.如权利要求5所述的方法，其特征在于，所述将可信平台模块用户的用户根密钥私有化包括 可信平台模块接收所述可信平台模块用户发送的更改所述用户根密钥的口令的请求； 所述可信平台模块验证所述可信平台模块用户提供的父授权数据和所述用户根密钥的旧有授权数据； 所述可信平台模块设置所述可信平台模块用户的用户根密钥的私有化标志。7.如权利要求5所述的方法，其特征在于，所述根据所述用户密钥创建请求和私有化的用户根密钥，创建所述可信平台模块用户的用户密钥包括 根据父密钥的密钥类型，判断用户密钥创建请求是否是可信平台模块用户发起；若所述用户密钥创建请求是可信平台模块用户发起，则检测所述可信平台模块用户的用户根密钥的私有化标志； 若检测通过，则验证所述私有化的用户根密钥的授权数据； 若验证通过，则创建所述可信平台模块用户的用户密钥。8.一种可信...

【专利技术属性】
技术研发人员：李新国，黄诗勇，李茹，宫俊，赵宝龙，
申请(专利权)人：深圳数字电视国家工程实验室股份有限公司，
类型：发明
国别省市：