《TrustedComputingTPMandTruestedBoot精编版》由会员分享，可在线阅读，更多相关《TrustedComputingTPMandTruestedBoot精编版（117页珍藏版）》请在金锄头文库上搜索。
1、TRUSTED COMPUTINGTPMTRUSTED BOOT,1,Outline,可信平台的基本特性 可信计算平台的基本体系 可信平台模块（TPM）部件 软件接口和服务 TCG编程接口 Trusted Boot,2,Trusted Computing,An object is trusted if and only if it operates as expected. An object is trustworthy if and only if it is proven to operate as expected.,3,TCG Architecture,4,Agenda,可信平台的基
2、本特性 可信计算平台的基本体系 可信平台模块（TPM）部件 软件接口和服务 TCG编程接口 Trusted Boot,5,Fundamental Trusted Platform Features,Protected Capabilities Attestation Integrity Measurement, Storage and Reporting,6,保护能力（Protected Capability）,保护区域： 可信平台模块中存放敏感信息的存储区，如平台配置寄存器（PCR）。 保护能力： 可信平台模块提供的可以对保护区域进行访问的功能，以命令的形式提供，即TPM命令。,7,对外证明
3、（Attestation）(Cont.),TPM的身份标识 真实身份: 唯一地标识一个确定的TPM的一对密钥真实身份密钥（EK）, EK公钥 + EK私钥 工作身份: 与某个TPM的EK关联的一对密钥工作身份密钥（AIK）, AIK公钥 + AIK私钥,8,对外证明（Attestation）,对平台进行的证明 可信的第三方告诉外部实体：“该平台与一个确定的TPM相关联，你可以相信它提供的完整性度量报告”。 由平台进行的证明 平台告诉外部实体：“某某完整性度量结果是我提供的”。用平台上的TPM的AIK对PCR寄存器的值进行签名。,9,完整性度量,完整性度量： 获取影响平台完整性（可信性）的平台特
4、性的度量值，并把该度量值的摘要存放到PCR中。 被度量的值： 程序代码或内嵌数据的表示 度量产生的摘要： 被度量的值的哈希值,10,完整性存储和报告,PCR寄存器保存度量产生的摘要的方法 PCRn SHA1 ( PCRn + M_data ) 对外证明记录在PCR中的度量结果。,11,Agenda,可信平台的基本特性 可信计算平台的基本体系 可信平台模块（TPM）部件 软件接口和服务 TCG编程接口 Trusted Boot,12,可信计算平台的信任根,13,RTM,RTM是一个可靠地进行完整性度量的计算引擎，以CRTM (core root of trust for measurement)
5、为度量根。CRTM是系统启动后执行的第一段代码，它初始化系统启动后的执行顺序，执行最初的可信度量，然后引导TPM开始工作。CRTM是平台执行RTM时的执行代码，一般存储在BIOS中。,14,RTS,RTS是一个准确的记录完整度量的摘要值和顺序计算引擎，它将完整性度量保存在日志中，将它们的散列值保存在PCR中。 PCR/RTM act as RTS,15,RTR,RTR是一个可信的实体来精确和正确的报告信息。使用PCR和RSA以不可伪造的方式向外界报告平台状态。 EK/TPM act as RTR,16,Trusted Building Blocks (TBB),可信构件块（TBB）：平台中必须
6、纳入到信任根之中的部件，处于保护区域和保护能力的范围之外。 The CRTM, Connection of the CRTM storage to a motherboard, The connection of the TPM to a motherboard mechanisms for determining Physical Presence,17,Example of a TBB,18,信任边界(The Trust Boundary),TBB和根信任的组合形成了一个可信边界 在该范围内，可以完成对平台的最小配置的完整性的度量、存储和报告 信任边界的扩充 把通过度量的组件纳入到信任范围
7、之中,19,信任链(Transitive Trust),20,建立过程,可信计算平台将BIOS引导块作为完整性度量可信根, TPM作为完整性报告可信根。 从平台加电开始,BIOS的引导模块度量BIOS的完整性值并将该值存储在TPM上,同时在自己可写的那块内存中记录日志; 接着BIOS度量硬件和ROMS,将度量得到的完整性值存在TPM中,在内存中记日志; 接着OS Loader度量OS,OS度量应用和新的OS组件。 当操作系统启动后,由用户决定是否继续信任这个平台系统。这样一个信任链的建立过程保证了系统平台的可信性。,21,完整性测量(Integrity Measurement),measure
8、ment events measured values - a representation of embedded data or program code measurement digests - a hash of measured values storage The measurement digest is stored in the TPM using RTR and RTS functionality. measured values may be stored in Stored Measurement Log,22,Stored Measurement Log (SML)
9、,SML记录了摘要值的序列，TPM将这些摘要值保存在相应的PCR。 updates to a PCR PCRn SHA-1 (PCRn + measured data) SML does not reside in the TPM.,23,procedure,24,Measurement on Linux,An example from a Linux based implementation of trusted computing,25,Linux Application Measurements,26,Integrity Reporting Protocol,27,协议说明,请求方发出获
10、取一个或多个PCR寄存器值的请求； 平台上的度量机制采集SML记录信息； 度量机制从TPM中获取PCR寄存器的值； TPM用AIK对PCR寄存器的值进行签名； 平台的度量机制采集与TPM关联的凭证，并把SML记录信息、凭证和经过签名的PCR寄存器的值提供给请求方； 请求方验证请求的响应结果：它计算度量产生的摘要，将其与PCR寄存器的值进行对比，并评估平台的凭证，检查签名信息。,28,信息交换保护功能(1),绑定（Binding） 发送方用接收方的公钥对信息进行加密 设实体ES拟把信息M发送给实体ER，ER的公钥和私钥分别是KPUB-ER和KPRI-ER，用KPUB-ER对M进行加密得到KPUB
11、-ERM，就相当于把M和ER绑定在一起，因为只有用KPRI-ER才能对KPUB-ERM进行解密，而只有ER才拥有PPRI-ER。 如果实体ER是一个TPM，则以上绑定就是把信息M绑定到特定的TPM上,29,信息交换保护功能(2),签名（Signing） 计算被签名的数据的哈希值，并用私钥对该哈希值进行加密 设实体ES的公钥和私钥分别为KPUB-ES和KPRI-ES，ES对信息M进行签名的方法是：首先计算M的哈希值H(M)，然后用KPRI-ES对该哈希值进行加密，得到的结果H(M)KPRI-ES就称为ES对M的签名 如果实体ES是一个TPM，则以上签名就是特定的TPM对信息M的签名。,30,信息
12、交换保护功能(3),封装（Sealing） 选择一组PCR寄存器的值，用一个公钥对该组PCR寄存器的值和一个对称密钥进行加密，然后用该对称密钥对待封装的信息进行加密,31,Procedure for Sealing/Unsealing,32,信息交换保护功能(4),封装的签名（Sealed-Signing） 先把一组特定的PCR寄存器的值组合到待签名的信息之中，再进行签名,33,密钥和数据的存储保护方法,34,Comments(Cont.),TPM中的RTS负责保护存储在TPM中的信息的安全，特别是保护TPM生成的密钥的安全。 TPM中的存储空间非常有限，存放不下多少密钥，大量的密钥只能存放在
13、TPM外的存储介质中。 TPM中存放密钥的存储区称为密钥槽，TPM外的存储介质中存放密钥的存储区称为密钥槽的缓存，简称密钥缓存。,35,Comments,TPM外称为KCM的软件负责密钥缓存的管理，管理密钥在TPM与缓存之间的传送 存储保护服务除了保护密钥以外，也可以保护数据。如果实体E无法识别数据D，则对于实体E而言，D属于不透明数据。 受保护的信息（包括密钥和数据）从TPM内传送到TPM外之前，需要进行加密，SRK是用于进行这样的加密的根密钥。在为TPM建立属主的过程中，可以创建SRK。如果为TPM创建新的SRK，那么由原来的SRK加密的信息就难以再解密了。,36,密钥属性,可迁移 在一个
14、TPM中生成的密钥可以传送到另一个TPM中使用。 不可迁移 在一个TPM中生成的密钥只限在该TPM中使用。,37,密钥类型 (1),Signing keys Signing keys are asymmetric general purpose keys used to sign application data and messages. Signing keys can be migratable or non-migratable. Storage keys Storage keys are asymmetric general purpose keys used to encrypt
15、data or other keys. Storage keys are used for wrapping keys and data managed externally,38,密钥类型 (2),Identity Keys Identity Keys (a.k.a. AIK keys) are non-migratable signing keys that are exclusively used to sign data originated by the TPM Endorsement Key Endorsement Key (EK) is a non-migratable decr
16、yption key for the platform. It is used to decrypt owner authorization data at the time a platform owner is established and to decrypt messages associated with AIK creation.,39,密钥类型(3),Bind keys Bind keys may be used to encrypt small amounts of data (such as a symmetric key) on one platform and decrypt it on another Legacy Keys Legacy Keys are keys created outside the TPM. They are imported to the TPM after which may be used for signing and encryption operations. They are by definition migrata
