[发明专利]将安全客户机的安全密钥绑定到硬件安全模块

权利要求书

1.一种计算机实现的方法，包括：

由通信地耦合到管理程序和硬件安全模块的安全接口控件配置所述硬件安全模块以用于由所述管理程序管理的安全客户机的独占使用，所述配置包括：

由所述安全接口控件经由所述管理程序从由所述管理程序管理的一个或多个客户机中的给定客户机获得用于配置所述硬件安全模块的配置请求；

由所述安全接口控件确定所述硬件安全模块是否已经被配置给所述一个或多个客户机中的特定客户机，其中，所述特定客户机和所述给定客户机包括所述一个或多个客户机中的不同客户机；

基于确定所述硬件安全模块未被配置给所述特定客户机，由所述安全接口控件通过评估所述给定客户机的元数据来确定所述给定客户机包括所述安全客户机；

基于确定所述给定客户机包括安全客户机，由所述安全接口控件通过将客户机对所述硬件安全模块的访问排他地限制到所述一个或多个客户机中的所述给定客户机，取消建立所述硬件安全模块的配置；

由所述安全接口控件将所述给定客户机登录到所述硬件安全模块，其中，所述登录到所述硬件安全模块包括利用所述给定客户机的秘密，其中，所述元数据包括所述秘密；

基于登录到所述硬件安全模块，由所述安全接口控件从所述硬件安全模块获得会话代码；以及

由所述安全接口控件保持所述会话代码。

2.根据权利要求1所述的计算机实现的方法，其中，所述保持包括：将所述会话代码与NULL会话代码的关联存储在所述安全接口控件中的关联表中。

3.根据权利要求1或2所述的计算机实现的方法，其中，所述客户机的所述元数据被完整性保护，并且通过使用由所述安全接口控件拥有的私钥导出的密钥来对所述秘密加密。

4.根据权利要求3所述的计算机实现的方法，其中，所述私钥包括所述给定客户机的引导映像的加密措施。

5.根据权利要求2所述的计算机实现的方法，还包括：

基于所述配置，由所述安全接口控件向所述给定客户机提供新的会话代码，以由所述给定客户机在到所述硬件安全模块的请求中使用。

6.根据权利要求5所述的计算机实现的方法，其中，所述提供包括：

由所述安全接口控件拦截来自所述给定客户机的硬件安全模块登录请求，其中，所述硬件安全模块登录请求包括来自所述给定客户机的登录数据；

由所述安全接口控件基于所述给定客户机的所述秘密而生成新的登录数据；

由所述安全接口控件向所述硬件安全模块发出来自所述给定客户机的新的硬件安全模块登录请求，其中，所述新的硬件安全模块登录请求包括所述新的登录数据；

由所述安全接口控件从所述硬件安全模块获得会话代码；

基于从所述硬件安全模块获得所述会话代码，由所述安全接口控件生成所述新的会话代码；

由所述安全接口控件将来自所述硬件安全模块的所述会话代码与所述新的会话代码之间的关联存储在所述表中；以及

响应于所述登录请求，由所述安全接口控件将所述新的会话代码发送到所述给定客户机。

7.根据权利要求5所述的计算机实现的方法，还包括：

由所述安全接口控件拦截从所述给定客户机到所述硬件安全模块的请求，其中，所述请求包括所述新的会话代码；

由所述安全接口控件从所述表中获得与所述新的会话代码相关联的来自所述硬件安全模块的所述会话代码；

由所述安全接口控件将来自所述给定客户机的所述请求更新成包括新的请求，其中，所述新的请求包括来自所述硬件安全模块的所述会话代码而不是所述新的会话代码；以及

由所述安全接口控件向所述硬件安全模块发出所述新的请求。

8.根据权利要求7所述的计算机实现的方法，还包括：

由所述安全接口控件从所述硬件安全模块获得所述请求的履行；以及

由所述安全接口控件向所述给定客户机发出所述请求的履行。