[发明专利]一种基于可信计算密码支撑平台的数据保护方法

权利要求书

1.一种基于可信计算密码支撑平台的数据保护方法，应用于配置有可信计算密码支撑平台的计算机，所述可信计算密码支撑平台包括可信密码模块TCM和可信密码服务模块TSM，其特征在于，包括如下步骤：

步骤a，通过可信计算密码支撑平台为每个用户创建一个平台身份密钥标识，所述平台身份密钥标识与用户一一对应；

步骤b，将所述平台身份密钥标识作为一个输入参数，利用可信计算密码支撑平台生成随机数m；

步骤c，通过可信计算密码支撑平台生成用户的多级密钥，在生成所述多级密钥的任意一级或多级密钥时使用所述随机数m作为参数之一，所述多级密钥从底部向上依次包括TCM密码模块密钥EK、TCM存储主密钥SMK和用户存储密钥SK；

步骤d，在计算机的磁盘中为每个用户建立一块数据保护空间，存储该用户的受保护数据，用所述多级密钥的最终密钥加密所述数据保护空间中的数据。

2.根据权利要求1所述的基于可信计算密码支撑平台的数据保护方法，其特征在于，所述步骤a包括：

步骤a1，获取认证中心CA公钥；

步骤a2，调用可信计算密码支撑平台的接口函数Tspi_TCM_CollateIdentityRequest生成平台身份密钥；

步骤a3，向认证中心CA发送所述平台身份密钥的认证请求；

步骤a4，认证中心CA对所述认证请求进行认证，认证通过后为所述平台身份密钥颁发认证证书；

步骤a5，调用可信计算密码支撑平台的接口函数Tspi_TCM_ActivateIdentity激活所述平台身份密钥作为用户的平台身份密钥标识。

3.根据权利要求1所述的基于可信计算密码支撑平台的数据保护方法，其特征在于，所述步骤b包括：

步骤b1，调用接口函数TCM_LoadKey加载所述平台身份密钥到TCM中；

步骤b2，调用接口函数TCM_SCHStart、TCM_SCHUpdate和TCM_SCHComplete计算所述平台身份密钥的杂凑值h；

步骤b3，将所述杂凑值h作为随机数m。

4.根据权利要求1所述的基于可信计算密码支撑平台的数据保护方法，其特征在于，所述步骤c中，TCM EK、TCM SMK的生成过程为：

步骤c11，调用接口函数TCM_CreateEK生成TCM EK；

步骤c21，调用接口函数TCM_TakeOwnership生成TCM SMK。

5.根据权利要求4所述的基于可信计算密码支撑平台的数据保护方法，其特征在于，所述步骤c中，用户SK的生成过程包括：

步骤c31，调用接口函数TCM_LoadKey加载父密钥SMK；

步骤c32，调用接口函数TCM_CreateWrapKey创建用户SK。

6.根据权利要求5所述的基于可信计算密码支撑平台的数据保护方法，其特征在于，所述步骤c中，所述多级密钥还包括以用户SK为父密钥的加密密钥，所述加密密钥的生成过程包括：

步骤c41，调用接口函数TCM_LoadKey加载父密钥SMK；

步骤c42，调用接口函数TCM_LoadKey加载用户SK；

步骤c43，调用接口函数TCM_CreateWrapKey创建加密密钥。

7.根据权利要求6所述的基于可信计算密码支撑平台的数据保护方法，其特征在于，所述步骤c中，所述多级密钥进一步包括以加密密钥为父密钥的对称密钥，所述对称密钥的生成过程包括：

步骤c51，调用接口函数TCM_LoadKey加载父密钥SMK；

步骤c52，调用接口函数TCM_LoadKey加载用户SK；

步骤c53，调用接口函数TCM_LoadKey加载加密密钥；

步骤c54，调用接口函数TCM_CreateWrapKey创建FEK。

8.根据权利要求1所述的基于可信计算密码支撑平台的数据保护方法，其特征在于，所述步骤d中，所述计算机的磁盘包括计算机的硬盘和与计算机相连的移动存储设备。