[发明专利]可信应用程序的远程证明方法及装置、电子设备

权利要求书

1.一种可信应用程序的远程证明方法，所述可信应用程序中的受保护代码被隔离加载在作为可信执行环境的目标容器中；其中，所述可信执行环境为基于SGX技术搭建的可信执行环境；所述目标容器为SGX技术中的Enclave程序；所述受保护代码包括待执行代码，和用于生成私钥以及公钥的目标函数；所述方法包括：

调用所述目标函数在所述目标容器中生成私钥以及公钥，并对生成的私钥进行加密，以及对加密后的私钥进行持久化存储；其中，加密的所述私钥被设置了仅由所述目标容器进行解密的解密策略；所述解密策略包括keypolicy-MRENCLAVE策略；

通过第三方远程证明服务端向发布至区块链的智能合约发起针对所述公钥的远程证明，并在所述公钥通过远程证明时，将所述公钥发送至所述智能合约进行持久化存储；

获取所述待执行代码的执行结果；其中，所述执行结果由所述目标容器基于解密出的所述私钥进行了签名处理；

将所述执行结果发送至所述智能合约，以由所述智能合约基于存储的所述公钥对所述执行结果的签名进行验证，来确认所述执行结果是否为可信数据；并在确定所述执行结果为可信数据时，将所述执行结果作为输入数据在区块链上执行可信计算。

2.根据权利要求1所述的方法，调用所述目标函数在所述目标容器中生成私钥以及公钥，包括：

响应于所述待执行代码的执行指令，调用所述目标函数在所述目标容器中生成私钥以及公钥；或者，

基于预设的调用周期，周期性调用所述目标函数在所述目标容器中生成私钥以及公钥。

3.根据权利要求1所述的方法，通过第三方远程证明服务端向发布至区块链的智能合约发起针对所述公钥的远程证明，并在所述公钥通过远程证明时，将所述公钥发送至所述智能合约进行持久化存储，包括：

基于生成的所述公钥创建远程证明凭证；

将所述远程证明凭证发送至所述第三方远程证明服务端，以由所述第三方远程证明服务端对所述远程证明凭证进行验证；

获取所述第三方远程证明服务端返回的验证结果；其中，所述验证结果由所述第三方远程证明服务端基于持有的私钥进行了签名处理；

将所述验证结果以及生成的所述公钥发送至所述智能合约，以由所述智能合约至少基于所述第三方远程证明服务端的公钥对所述验证结果的签名进行验证，并在所述签名验证通过后，将生成的所述公钥在所述智能合约的存储空间进行持久化存储。

4.一种可信应用程序的远程证明装置，所述可信应用程序中的受保护代码被隔离加载在作为可信执行环境的目标容器中；其中，所述可信执行环境为基于SGX技术搭建的可信执行环境；所述目标容器为SGX技术中的Enclave程序；所述受保护代码包括待执行代码，和用于生成私钥以及公钥的目标函数；所述装置包括：

生成模块，调用所述目标函数在所述目标容器中生成私钥以及公钥，并对生成的私钥进行加密，以及对加密后的私钥进行持久化存储；其中，加密的所述私钥被设置了仅由所述目标容器进行解密的解密策略；所述解密策略包括keypolicy-MRENCLAVE策略；

证明模块，通过第三方远程证明服务端向发布至区块链的智能合约发起针对所述公钥的远程证明，并在所述公钥通过远程证明时，将所述公钥发送至所述智能合约进行持久化存储；

获取模块，获取所述待执行代码的执行结果；其中，所述执行结果由所述目标容器基于解密出的所述私钥进行了签名处理；

验证模块，将所述执行结果发送至所述智能合约，以由所述智能合约基于存储的所述公钥对所述执行结果的签名进行验证，来确认所述执行结果是否为可信数据。

5.根据权利要求4所述的装置，所述生成模块：

响应于所述待执行代码的执行指令，调用所述目标函数在所述目标容器中生成私钥以及公钥；或者，

基于预设的调用周期，周期性调用所述目标函数在所述目标容器中生成私钥以及公钥。