[发明专利]一种可信计算信任根的根密钥保护方法

说明书

本发明公开了一种可信计算信任根的根密钥保护方法，其步骤包括：1)芯片厂商将本原根密钥存储于芯片内；芯片厂商将平台密钥主种子PPS、背书主种子EPS导入并存储于芯片内；2)在该芯片上设置三个权限域，其中平台固件权限域用于提供平台固件根据平台密钥主种子PPS生成密钥层次结构时的权限管理；平台所有者权限域用于提供平台所有者根据存储主种子SPS生成密钥层次结构时的权限管理，隐私管理员权限域用于提供隐私管理员根据背书主种子EPS生成密钥层次结构时的权限管理；3)采用本原根密钥通过派生密钥算法导出的完整性保护密钥、机密性保护密钥对PPS、EPS、SPS分别进行加密保护后存储在该芯片内。

技术领域

本发明属于计算机可信计算技术领域，具体涉及一种可信密码模块中基于本原根密钥的根密钥保护方法。

背景技术

可信计算基于硬件安全模块支持，通过建立一种特定的完整性度量机制，使计算平台运行时具备分辨可信程序代码与不可信程序代码的能力，从而对不可信的程序代码建立有效的防治方法和措施。

国际可信计算组织(TCG)、中国可信计算工作组等都曾提出过不同的可信密码芯片技术规范。最新的TPM2.0标准相比于TPM1.2增强了灵活性，采用主种子(Primary Seed)来在使用时而非生产时生成对称密钥、非对称密钥、其它种子等关键值。其中，背书密钥主种子(Endorsement Primary Seed,EPS)用于生成由隐私管理员控制的层次结构；平台密钥主种子(Platform Primary Seed,PPS)用于生成由平台固件控制的层次结构；存储根密钥主种子(Storage Primary Seed,SPS)用于生成由平台所有者控制的层次结构。此三个主种子间相互独立，但其下属的密钥层次结构允许存在交叉认证。EPS、PPS、SPS分别对应隐私管理员、平台固件、平台所有者三个不同的权限域，每个权限域有各自的分级层次结构进行权限管理。

各管理域的主对象(根密钥)从相应的主种子中派生，具有公开部分和私密部分，其私密部分由相应主种子派生的对称密钥对其敏感区域进行加密保护。管理域控制一个树形的层次结构，其上的非叶子节点(存储密钥)都是非对称密钥，该节点的子节点由其派生的对称密钥来进行加密保护。

现有的可信密码芯片具有的一个安全缺陷是没有对EPS、PPS、SPS进行加密保护，并且上述三者在应用时分开管理其子密钥，不便于密钥的统一管理。

发明内容

本发明的目的在于借鉴现有的可信密码芯片平台根密钥、背书密钥、存储根密钥对其多个子密钥的树形分级结构保护方法，追加一个本原根密钥，对上述三类根密钥进行保护，从而加强密码芯片的安全性，方便密钥管理。

本发明的技术方案为：

一种可信计算信任根的根密钥保护方法，其步骤包括：

1)芯片厂商将本原根密钥存储于芯片内；芯片厂商将平台密钥主种子PPS、背书主种子EPS导入并存储于芯片内；

2)在该芯片上设置三个权限域，即平台固件权限域、平台所有者权限域、隐私管理员权限域；其中，平台固件权限域用于提供平台固件根据平台密钥主种子PPS生成密钥层次结构时的权限管理；平台所有者权限域用于提供平台所有者根据存储主种子SPS生成密钥层次结构时的权限管理，隐私管理员权限域用于提供隐私管理员根据背书主种子EPS生成密钥层次结构时的权限管理；

3)采用所述本原根密钥通过派生密钥算法导出的完整性保护密钥、机密性保护密钥对PPS、EPS、SPS分别进行加密保护后存储在该芯片内。

进一步的，通过本原根密钥的授权以及平台固件权限域的授权值或者授权策略，使用PPS生成平台根密钥；通过本原根密钥的授权以及平台所有者权限域的授权值或者授权策略，使用SPS生成存储根密钥；通过本原根密钥的授权以及隐私管理员权限域的授权值或者授权策略，使用EPS生成背书根密钥。