[发明专利]用于建立安全工作空间的所有权的系统

权利要求书

1.一种用于确立安全工作空间的所有权的设备，包括：

通信模块，所述通信模块用于至少与客户端设备交互；以及

安全工作空间配置器，所述安全工作空间配置器用于：

从所述客户端设备接收安全工作空间数据结构，其中，所述安全工作空间数据结构包括与安全工作空间有关的数据以及公钥，所述安全工作空间数据结构是在用与所述公钥相对应的私钥签名的消息中接收的，其中，经签名的消息至少包括对取得所述安全工作空间的所有权的请求，其中，所述安全工作空间是安全飞地，并且其中，所述安全工作空间数据结构包括关于所述安全飞地的飞地散列信息，所述飞地散列信息由所述安全飞地的签名方生成；

生成执行容器，其中，所述执行容器进一步用于基于所述安全工作空间数据结构来初始化所述安全工作空间，对所述安全工作空间的初始化包括测量所述安全工作空间数据结构中的所述公钥的散列值；以及

使包括至少一个可执行程序的安全工作空间被包括在所述执行容器内，其中，所述安全工作空间存储接收自所述客户端设备的所述安全工作空间数据结构的至少部分，其中，所述安全工作空间进一步包括所有权确定模块，所述所有权确定模块用于：

经由所述通信模块接收所述经签名的消息，所述经签名的消息至少包括来自所述客户端设备的对取得所述安全工作空间的所有权的所述请求以及所述公钥；以及

至少基于所述经签名的消息和所述安全工作空间数据结构来判定所述客户端设备是否被授权取得所述安全工作空间的所有权，

其中，所述所有权确定模块用于判定所述客户端设备是否被授权取得所述安全工作空间的所有权包括所述所有权确定模块用于：

利用经由所述经签名的消息接收的所述公钥来验证所述经签名的消息的签名；

通过测量所述公钥来确定经由所述经签名的消息接收的所述公钥的散列值；

通过将经由所述经签名的消息接收的所述公钥的所述散列与在初始化所述安全工作空间时确定的所述公钥的所述散列进行比较来验证所述安全工作空间的所有权；并且

如果经由所述经签名的消息接收的所述公钥的所述散列与在初始化所述安全工作空间时确定的所述公钥的所述散列相匹配，则向所述客户端设备授予所述安全工作空间的所有权。

2.如权利要求1所述的设备，其中，与所述安全工作空间有关的所述数据包括从所述安全工作空间测量的散列值。

3.如权利要求1所述的设备，其中，所述安全工作空间是基于软件防护扩展SGX技术的安全飞地，并且所述安全工作空间数据结构是SGX SIGSTRUCT数据结构。