CN114065176B 安全运算装置、安全运算方法、验证器及装置验证方法 （新唐科技股份有限公司）

TrustedComputingGroup.Symm证器通信。存储器被配置以储存多层可变程序被配置以在一给定开机周期内产生一个仅与该认证一给定层，基于(i)安全地储存于装置中的2一存储器，被配置以储存多层可变程序码，所述多层可变程序根据储存于所述安全运算装置中的唯一装置密钥、由另一层对所述给定层及在所述给定层之前执行的各层的所述可变程序码在所述给定开机周期中仍给定层之前执行的信任层中产生所述随机数，基于所述随机数在所述信任层中计算一密3在所述装置的一存储器中储存多层可变程序码，所述多层可根据一个储存于所述装置中的唯一装置密钥、由另一层对所述设定所述第一认证金钥为不同于在所述给定开机周期前由所述处理器用于认证的第使用所述对称金钥对至少所述挑战进行签章以计算所述回使用所述非对称金钥的一个私有金钥对所述挑战进行签章以计对每一层各产生所述非对称金钥，其中所述第一认证金钥包含所述非所述非对称金钥包括私有金钥及公开金钥；其中在一给定层中的凭证对下一层产生的公开金钥进行4所述多层可变程序码的各层可由对应的测量值来识别，并且所述装置在一给定开机周期在一个经由一通信网络与一装置通信的伺服器中，其中所述装置包括多层可变程序伺服器的存储器中储存装置信息，所述装置信息搭配所述随机数即足以复原所述认证金56(prove)或认证(attest)其状态及身份。运算装置的认证方法为本发明所属技术领域所已知。例如，信赖运算组织(TrustedComputingGroup,TCP)定义了装置识别组合引擎[0003]DICE的硬件要求可参见2018年3月22日，HardwareRequirementsforaDevice[0004]基于DICE并使用非对称金钥加密的认证架构，可参见2018年3月5日，ImplicitIdentityBasedDeviceAttestation,Ver[0005]基于DICE并使用对称金钥加密的认证架构，可参见2020年1月7日，SymmetricIdentityBasedDeviceAttestation,Ver[0006]DICE层级架构可参见2020年3月19日，DICELayeringArchitecture,Version[0007]DICE凭证总则可参见2020年3月10日，DICECertificateProfiles,Version7key)，以产生一个凭证链(chainofcertificates)，在一个给定层中的凭证，会验明[0011]在某些实施例中，处理器被配置以在先于上述给定层执行的信任层(trusted实施例中，处理器被配置以根据上述随机数计算认证金钥，以减轻零时差攻击(zero-day一层可变程序码会接收来自验证器的一次认证挑战。从(i)安全地储存于装置中的唯一装实施例中，上述回应信息包括(i)使用非对称认证金钥的私有金钥进行签章的挑战的数字89n[0088]在某些实施例中，由外部验证器使用挑战-回应协定(challenge-response验证器执行，以触发上述装置进行认证(attestation)、并验证(verify)该装置状态的动件使用安全的杂凑函数(hashfunction)所得的结果。若有未经准许的人修改一个或多个致重开机前的认证金钥值在重开机后变得无效而无法认证。此一机制可加强认证-验证架个唯一装置密钥(UDS)。此一UDS为包含上述DICE层和其他层的信任链的信任根(rootof构(certificationauth用于对称认证金钥与非对称认证金钥。信网络32可包括区域网络(LocalAreaNetwork,LAN)、广域网络(WideAreaNetwork,[0110]ROM48储存开机程序码58，此一开机程序码于重置(reset)或电源开启时由处理对UDS的存取在上述DICE层传递防止对其密钥Si及其他秘密信息的存取。防止存取可能以阻挡存取或从存储器中抹除Li层62为不可变且可被安全地嵌入于硬件中。例如，上述UDS可用一次性可程序化(onetimeprogrammable,OTP)存储器或物理不可复制函数(physicalunclonablefunction,PUF)实[0117]密码引擎70包括一个随机数产生器(randomnumbergenerator,RNG)72，产生一个随机或伪随机的密码随机数(cryptographicnonce)74，供处理器40用于验证。如下所算装置24的数据库(database,DB)88，以及政策90。存储器80可包括例如随机存取存储器设备种类。管理伺服器28可与运算装置24进行各种目的的通信，例如软件服务开通IntegratedCircuit,ASIC)及/或一个或多个现场可程序化逻辑门阵列(Field[0128]装置100包括密钥链生成(secretchaingeneration,SCG)106模块，以及认证模钥S0该OWF产生一密钥供对应的下一层L1…L程序码进行计算的密码杂凑函数(cryptographichashfunction)、软件映像(software的密钥Si+1是基于该给定层对下一层进行测量所得的测量值Mi+1以及由前一层Li-1产生的密[0131]OWF120应具备难以进行逆运算的特性，使得从该OWF的输出密钥Si+(Cipher-basedMAC,CMAC)及第三代安全杂凑演算法(SHA-3)函数Keccak信息鉴别码年2月请求意见稿(RequestforComments,RFC)2104，标题为HMAC:Keyed-HashingforMessageAuthentication等文献中已有0层包括一个在装置开机后产生一随机数(以Na表示)的随机数产生器0[0146]Ln层使用一金钥推导函数(keyderivationfunction,KDF)140，DerivationUsingPseudorandomFunctions(Revised)等文献中已有叙述。认证模块108160回应上述挑战而产生的装置随机数，以Nd表示。认[0150]图3(装置部分)的方法始自开机步骤200，装置24的处理器40开始一个开机周某一层的密钥链(其中Na是该层OWF的输入值)而依据随[0155]计算回应。在某些实施例中，该处理器对C产生一装置随机数Nd(例如使用RNG器回到步骤200以开始下一个开机周期，并重新产生与前一开机周期中使用的Na数值不同该处理器可在接收一挑战C时回应产生SKn。在此一实施例中，图3的步骤212可在步骤216[0160]图3(验证器部分)的方法一般与图3(装置部分)的方法平行进行。图3的方法始自理器对每一装置储存装置信息，至少包括该装置DICE层的UDS(62)、该装置使用的层级设[0171]在本范例中，认证模块308与最后一层Ln耦接，使该装置认证DICE层与各可变层的随机数产生器(RNG)332。在某些实施例中，L0层的OWF接收(i)L1层的测量值M1(328B)、钥PRi。在本范例中，L0…Ln-1各层皆包括一个嵌入凭证授权(EmbeddedCertificate[0178]在图2的范例中，Li层的ECAi接收同层Li产生的私有金钥PRi和等于预期将产生于[0179]在某些实施例中，装置300使用提供凭证CERT0至该装置L0层的外部0亦可由原始设备制造商(OriginalEquipmentManufacturer,[0180]认证模块308接收Ln层的密钥Sn，并使用KDF340自密钥Sn产生一个非对称金钥证模块308更接收沿L0…Ln各层积聚的凭[0183]图5(装置部分)的方法始自装置24的处理器40在开机步骤400开始一个开机周产生一个与前一次开机周期使用的Na数值[0188]图5(验证器部分)的方法一般与图5(装置部分)的方法平行进行。图5的方法始自验证器86在挑战传送步骤458中产生并传送一个挑证器被推定持有制造商CA350的根凭证(RootCertificate)，或者该