[发明专利]一种基于可信计算平台验证度量报告的方法及装置

说明书

本申请公开了一种基于可信计算平台验证度量报告的方法及装置。该方法包括：可信管理中心对接收到的度量报告进行身份验证；如果通过身份验证，则可信管理中心对度量报告进行内容验证，内容验证包括：静态度量的度量过程的可信验证、动态度量的度量过程的可信验证、可信策略的可信验证；如果静态度量的度量过程、动态度量的度量过程以及可信策略均可信，则确定度量报告可信。通过本申请，解决了相关技术中对计算系统进行度量得到的度量结果并未进行针对性的可信度验证，导致度量报告的可信度不高的问题。

技术领域

本申请涉及信息防护领域，具体而言，涉及一种基于可信计算平台验证度量报告的方法及装置。

背景技术

当前的网络空间极其脆弱，震网、Wannacry勒索病毒、Mirai等造成较大影响的网络攻击事件层出不穷，且日益猖獗。究其根源，在于并没有从网络安全风险的实质原因入手解决问题，一味采用以“防火墙”、“病毒查杀”、“入侵检测”等为代表的“封堵查杀”被动防御手段，防不胜防，特别在面对针对目标系统的漏洞发起的攻击时，根本无法有效防御。

为解决当前网络空间安全面临的问题，国际上TCG组织提出了可信计算的方法，提出了以TPM和BIOS起始代码为信任根，一级度量一级，进而构建起计算机的信任链，保护计算机重要资源不被非法篡改和破坏，起到了较好的效果。由于TPM仅能实现对计算机的固件和可执行程序等资源的静态度量，故TPM的度量报告中仅有静态度量的度量结果，而且TPM并未对度量结果进行安全保护措施，度量结果可能会存在被篡改的风险，同时，度量结果因为没有做针对性的可信度验证，导致度量报告不可信。

针对相关技术中存在的上述问题，目前尚未提出有效的解决方案。

发明内容

本申请的主要目的在于提供一种基于可信计算平台验证度量报告的方法及装置，以解决相关技术中，对计算系统进行度量得到的度量结果并未进行针对性的可信度验证，导致度量报告的可信度不高的问题。

为了实现上述目的，根据本申请的一个方面，提供了一种基于可信计算平台验证度量报告的方法。此方法用于可信管理中心，其特征在于，可信计算平台包括并行的计算子系统与防护子系统，其中，计算子系统用于完成计算任务，防护子系统用于根据可信策略对计算子系统对计算子系统进行主动度量，并将生成的度量报告发送至可信管理中心，主动度量包括静态度量与动态度量，该方法包括：可信管理中心对接收到的度量报告进行身份验证；如果通过身份验证，则可信管理中心对度量报告进行内容验证，内容验证包括：静态度量的度量过程的可信验证、动态度量的度量过程的可信验证、可信策略的可信验证；如果静态度量的度量过程、动态度量的度量过程以及可信策略均可信，则确定度量报告可信。

进一步地，可信管理中心对度量报告进行身份验证包括：可信管理中心根据预设的可信计算平台与身份证书的对应关系，查找与可信计算平台相对应的第一身份证书；可信管理中心检测第一身份证书与度量报告中携带的目标身份证书是否相同，若相同则确定通过身份验证，若不相同则确定未通过身份验证。

进一步地，在可信管理中心对接收到的度量报告进行身份验证之前，方法还包括：可信管理中心获取第一基准值，其中，第一基准值为预期的表征度量报告中的静态度量的度量过程可信的数值；可信管理中心获取第二基准值，其中，第二基准值为预期的表征度量报告中的可信策略可信的数值；可信管理中心获取第三基准值，其中，第三基准值为根据防护子系统的可信软件基发送的动态度量的度量记录获得的、表征动态度量的日志可信的数值；可信管理中心获取第四基准值，其中，第四基准值为根据可信软件基发送的动态度量的度量记录获得的、表征计算子系统是否可信的数据。