[发明专利]可信计算平台用户根密钥和用户密钥生成方法和装置

说明书

技术领域

本发明涉及信息安全领域，尤其涉及可信计算平台用户根密钥和用户密钥生成方法和装置。

背景技术

可信计算组织(Trusted Computing Group，TCG)定义的可信计算技术规范中主要有对象无关授权协议(Object-Independent Authorization Protocol，OIAP)和对象相关授权协议(Object-Specific Authorization Protocol，OSAP)等认证/授权协议。可信计算规范中的授权协议都能够保证会话的完整性，基于授权口令来保护一些关键数据，例如新建密钥的授权数据，封装数据的保护数据等的机密性。授权协议的安全性依赖于授权数据的机密性，如果攻击者知道或者猜测到授权数据，那么授权协议将没有安全性或安全性受到极大威胁。

一个可信平台模块(Trusted Platform Module，TPM)只有一个存储根密钥(Storage Root Key，SRK)。为了让多个用户都可以使用SRK，SRK的授权数据经常被假定为一个众所周知的值，如此，任何知道授权数据的用户都可以在SRK下建立一个密钥分支。如前所述，授权协议的安全性依赖于授权数据的机密性。若攻击者知道SRK的授权数据，则可以伪造SRK，从而以伪造的SPL产生子密钥。这样，用户所产生的密钥就在攻击者的控制下，攻击者可以假冒TPM的存储功能。

发明内容

本发明实施例提供可信计算平台用户根密钥和用户密钥生成方法和装置，以增强可信计算组织授权协议的安全性。

本发明实施例提供一种可信计算平台用户根密钥生成方法，所述方法包括：可信平台模块所有者接收可信平台模块用户提出的用户根密钥生成请求；所述可信平台模块通过与所述可信平台模块所有者交互，生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据；所述可信平台模块所有者将所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据发送至所述可信平台模块用户。

可选地，所述可信平台模块通过与所述可信平台模块所有者交互，生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据包括：所述可信平台模块所有者向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令，所述命令包括预置用户根密钥的口令；所述可信平台模块验证所述可信平台模块所有者的合法性；若验证所述可信平台模块所有者合法，则根据所述预置用户根密钥的口令生成所述可信平台模块用户的用户根密钥和所述用户根密钥的授权数据并返回至所述可信平台模块所有者。

可选地，所述命令还包括存储根密钥授权数据和所述可信平台模块所有者授权数据；所述可信平台模块验证所述可信平台模块所有者的合法性包括：所述可信平台模块验证所述存储根密钥授权数据和所述可信平台模块所有者授权数据的合法性。

可选地，所述可信平台模块所有者向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令包括：所述可信平台模块所有者调用可信计算组织软件栈命令接口向所述可信平台模块发送要求生成所述可信平台模块用户的用户根密钥的命令。

本发明实施例提供一种可信计算平台用户密钥生成方法，所述方法包括：将可信平台模块用户的用户根密钥私有化；接收用户密钥创建请求，所述用户密钥创建请求包括父密钥的密钥类型；根据所述用户密钥创建请求和所述私有化的用户根密钥，创建所述可信平台模块用户的用户密钥。

可选地，所述将可信平台模块用户的用户根密钥私有化包括：可信平台模块接收所述可信平台模块用户发送的更改所述用户根密钥的口令的请求；所述可信平台模块验证所述可信平台模块用户提供的父授权数据和所述用户根密钥的旧有授权数据；所述可信平台模块设置所述可信平台模块用户的用户根密钥的私有化标志。

可选地，所述根据所述用户密钥创建请求和私有化的用户根密钥，创建所述可信平台模块用户的用户密钥包括：根据父密钥的密钥类型，判断用户密钥创建请求是否是可信平台模块用户发起；若所述用户密钥创建请求是可信平台模块用户发起，则检测所述可信平台模块用户的用户根密钥的私有化标志；若检测通过，则验证所述私有化的用户根密钥的授权数据；若验证通过，则创建所述可信平台模块用户的用户密钥。