CN103179129B - 一种基于云计算IaaS环境的远程证明方法 - Google Patents
一种基于云计算IaaS环境的远程证明方法 Download PDFInfo
- Publication number
- CN103179129B CN103179129B CN201310107306.2A CN201310107306A CN103179129B CN 103179129 B CN103179129 B CN 103179129B CN 201310107306 A CN201310107306 A CN 201310107306A CN 103179129 B CN103179129 B CN 103179129B
- Authority
- CN
- China
- Prior art keywords
- module
- request
- challenger
- cloud computing
- remote
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Landscapes
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明公开了一种基于云计算IaaS环境的远程证明方法,通过身份认证模块,远程证明模块和可信平台标准度量值版本更新模块实现,所述身份认证模块包括:AIK证书申请模块、Privacy?CA颁发证书模块和验证AIK请求过程模块;所述远程证明模块包括挑战者和被认证者的通信模块、挑战者和可信配置服务器的通信模块。本发明的有益效果是在虚拟机与虚拟机建立正常的通信信道之前加入远程证明的过程,只有在通过远程证明得出所要通信的VM是可信时,才允许建立连接。本发明一方面可以对被认证者进行身份认证和远程证明,另一方面被认证者也可以在平台变动的情况下进行版本更新,最终实现实际可行的云计算IaaS环境的远程证明。
Description
技术领域
本发明涉及可信计算领域,特别涉及一种基于云计算IaaS环境的远程证明方法。
背景技术
随着信息技术的发展,计算机界出现了越来越多新颖并且实用的技术,云计算技术就是其中之一。产业界、学术界、政府等各界均十分关注云计算的发展,云计算俨然已成为当今最热门话题之一。云计算依托于互联网,将大量的存储资源、软件资源和计算资源融合在一起,形成了规模庞大的共享IT虚拟资源的仓库,为远程的云计算用户提供满足其需求的信息服务。从另一个角度看,云计算使得IT服务的运营成本和使用成本大幅降低,并且加快了服务的部署速度和提高了服务的便捷性。总而言之,云计算利用虚拟化技术,把服务的网上获取方式、服务的按需部署、服务的组合与互用巧妙地结合在了一起。
伴随着云计算的蓬勃发展,也碰到了许多关键性问题,安全问题尤其突出,已经成为制约云计算发展的重要因素。云计算环境与之前的技术相比,大量运用了虚拟化技术,这随之会产生两方面的问题:一是虚拟化技术引入以后产生了一些特定的安全风险,怎样解决虚拟化方面的安全是云计算与传统安全的一个重大区别;二是云计算代表着一种计算使用方式的转变,在终端、网络和服务端的安全需求均发生了相应变化,传统的安全保护手段已经不适应云计算的需求。
目前,在解决云计算安全问题上,已经涌现出很多方法和思路。将可信计算技术应用在云计算环境,来解决云计算应用中碰到的安全问题,就是云计算安全领域研究的一大热点。可信计算是一种新的信息***安全技术,通过建立一种特定的完整性度量机制,使计算平台运行时具备分辨可信程序代码与不可信程序代码的能力,从而对不可信的平台建立有效的防御措施和应对方法。可信计算诞生的意义与其他安全手段一样,总体目标就是要提高计算机的安全性;现阶段的主要目标为:确保***数据的完整性,提供数据的安全存储、平台身份和可信性的远程证明。
发明内容
本发明基于云计算和可信计算技术蓬勃发展的背景下,把可信计算技术融入到云计算中,结合虚拟化技术,以解决云计算IaaS环境下虚拟域间的安全问题,提供一种基于云计算IaaS环境的远程证明方法。本发明通过如下技术方案实现:
一种基于云计算IaaS环境的远程证明方法,通过身份认证模块、远程证明模块和版本更新模块实现,所述身份认证模块包括:AIK证书申请模块,用于申请者建立连接、准备申请报文和接受证书激活证书;PrivacyCA颁发证书模块,用于PrivacyCA接受请求并进行验证和签发;验证AIK请求过程模块,用于验证AIK请求是否合理所述远程证明模块包括:挑战者和被认证者的通信模块,用于挑战者向被认证发出请求,获取被认证者的平台度量列表和文件;挑战者和可信配置服务器的通信模块,用于挑战者向可信配置服务器发出请求,获取被认证者的度量值和度量列表。
上述方案中,可信平台标准度量值版本更新模块包括:相互认证模块,通过分别发送被公钥加密的随机数,被认证者和可信配置服务器进行身份认证和会话密钥协定;远程证明模块,通过被认证者发送度量值和度量列表给可信配置服务器来进行远程证明;度量值和列表更新模块,在远程证明通过后,被认证者通过发送新的度量值和度量列表来更新可信配置服务器上面的信息。
所述的通AIK证书申请模块包括以下步骤:首先使用TSS编程方式,完成AIK证书申请报文的组织和加密的过程。然后,AIK证书申请者把请求报文发送给PrivacyCA。
所述的PrivacyCA证书颁发模块包括以下步骤:首先PrivacyCA解密请求报文,然后使用验证模块验证请求,接着,PrivacyCA把AIK证书报文发给申请者,最后申请者得到报文后,经过一系列的激活和验证过程,就能够使用这个AIK证书。
挑战者和被认证者的通信模块使用对称密钥来进行会话加密。
挑战者和可信配置服务器的通信模块通过一系列随机数的交互和加密解密,止多次报文的混淆,达到二者相互验证对方身份的作用。
与现有技术相比,本发明的有益效果是:
一、针对云计算IaaS环境对TPM虚拟化的要求,对vTPM和可信组件整合。二、基于vTPM进行身份证明,该身份证明是平台状态间证明的基础,为平台状态间证明提供了AIK证书和AIK密钥加密手段。三、基于vTPM的远程证明。该通信安全协议为消息的传递提供机密性、完整性以及不可抵赖性的保障,并可检测消息的重复发送。四、可信平台标准度量值的版本更新。该更新方案解决了可信平台标准度量值更新困难的问题。
总之,本发明在虚拟机与虚拟机建立正常的通信信道之前加入远程证明的过程,只有在通过远程证明得出所要通信的VM是可信时,才允许建立连接。本发明一方面可以对被认证者进行身份认证和远程证明,另一方面被认证者也可以在平台变动的情况下进行版本更新,最终实现实际可行的云计算IaaS环境的远程证明。
附图说明
图1为本发明的一种应用***组成示意图。
图2为实施方式中身份认证模块的设计流程示意图。
图3为挑战者和被认证者远程证明通信协议示意图;
图4为挑战者和可信第三方远程证明通信协议示意图;
图5为可信平台标准度量值版本更新协议示意图。
具体实施方式
以上内容已经对本发明的实现作了充分的公开,以下再结合附图对本发明的实例作进一步说明。
实施例一
一种基于云计算IaaS环境的远程证明方法,包括身份认证模块,远程证明模块和可信平台标准度量值版本更新模块,所述身份认证模块包括:AIK证书申请模块,用于申请者建立连接、准备申请报文和接受证书激活证书;PrivacyCA颁发证书模块,用于PrivacyCA接受请求并进行验证和签发;验证AIK请求过程模块,用于验证AIK请求是否合理。所述远程证明模块包括:挑战者和被认证者的通信模块,用于挑战者向被认证发出请求,获取被认证者的平台度量列表和文件;挑战者和可信配置服务器的通信模块,用于挑战者向可信配置服务器发出请求,获取被认证者的度量值和度量列表。如图1所示,为本发明的一种应用***组成示意图。本发明在虚拟机与虚拟机建立正常的通信信道之前加入远程证明的过程,只有在通过远程证明得出所要通信的VM是可信时,才允许建立连接。本发明一方面可以对被认证者进行身份认证和远程证明,另一方面被认证者也可以在平台变动的情况下进行版本更新,最终实现实际可行的云计算IaaS环境的远程证明。
如图2所示,为身份认证模块的相关流程示意图。所述的身份认证模块:包括AIK证书申请模块、PrivacyCA颁发证书模块、验证AIK请求过程模块,用于验证AIK请求是否合理。所述AIK证书申请模块具体步骤:首先使用TSS编程方式,完成AIK证书申请报文的组织和加密的过程。然后,AIK证书申请者把请求报文发送给PrivacyCA。所述的PrivacyCA证书颁发模块包括以下步骤:首先PrivacyCA解密请求报文,然后使用验证模块验证请求,接着,PrivacyCA把AIK证书报文发给申请者,最后申请者得到报文后,经过一系列的激活和验证过程,就能够使用这个AIK证书。
所述远程证明模块包括挑战者和被认证者通信模块,挑战者和可信配置服务器通信模块:
如图3,挑战者和被认证者远程证明通信协议示意图。图3中挑战者和被认证者通信模块中的符号意思分别为:CR:ChallengeRequest挑战者请求者;AR:AttestedResponse证明者响应E:Encrypt加密;D:Decrypt解密;H:Hash取Hash值;|| :两个消息连接;C:Challenger(挑战者);A:AttestedSystem(被认证者);Cpub:Challenger(挑战者)的公钥;Cpri:Challenger的私钥;Apub:AttestedSystem(被认证者)的公钥;Apri:AttestedSystem的私钥。
如图4,为挑战者和可信第三方远程证明通信协议示意图。其中挑战者和被认证者通信模块中的具体流程为:①对CR取Hash值,得到{CR}H;②对①的输出{CR}H,用Challenger的私钥签名,得到{{CR}H}Cpri;③连接CR和②的输出,得到{CR,{{CR}H}Cpri};④用AttestedSystem的公钥加密③的输出,得到{CR,{{CR}H}Cpri}Apub;⑤用Apri解密,得到CR和{{CR}H}Cpri;⑥对CR取Hash值,得到{CR}H’(步骤同①);⑦用Cpub解密{{CR}H}Cpri,得到{CR}H;⑧比较⑥和⑦的输出,验证CR的完整性(是否篡改或者伪造)。
图4中挑战者和可信配置服务器的通信模块中的符号意思分别为:cmd:命令码—请求标准配置;nT:TrustedConfigServer(可信配置服务器)生成的随机数;nC:Challenger(挑战者)生成的随机数;KCT:双方通信的会话密钥(对称);Xpub,Xpri:分别代表X的公钥和私钥;LogReq:根据被认证者传来的度量日志产生的标准配置请求报文;ConfigResponse:根据挑战者传来的请求报文,生成的标准配置响应报文。
图4中挑战者和可信配置服务器的通信模块的具体流程为:1.挑战者(C)生成随机数nC,用可信配置服务器(T)的公钥加密,随命令码发送给T。2.T收到报文1后,根据命令码判断为挑战者请求标准配置服务器报文,进入响应请求阶段。T用自身的私钥解密获得nC后,再生成一个新的随机数nT,用C的公钥加密后发送给C。3.C解密报文2后,首先验证nC是否是C刚才发送的随机数。验证通过,则把nT用T的公钥加密后,发送给C。4.T解密报文3后,验证nT是否是T刚才生成的随机数。验证通过,则生成这次通信的会话密钥KCT(采用对称密钥方式),用C的公钥加密后,发送给C。5.挑战者收到并解密得到会话密钥KCT后,用KCT加密标准配置值请求给T。6.T用KCT解密报文5后,得到标准配置请求信息,再根据这些信息,查找本地标准配置数据库,组合成响应信息,用KCT加密后,发送给C。
图5为可信平台标准度量值版本更新协议示意图,其中可信平台标准度量值版本更新模块符号意思为:AtteastedSystem(A)代表可信平台,同时也是二进制证明中的被认证者。TrustedConfigServer(T)代表第三方可信配置服务器。Cmd代表命令码—请求标准配置;name代表可信平台标识号;nT代表TrustedConfigServer(可信配置服务器)生成的随机数;nA代表AtteastedSystem(被认证者)生成的随机数;KAT代表双方通信的会话密钥(对称);{Xpub,Xpri}代表分别代表X的公钥和私钥;PCR代表AIK密钥密封的PCR值;MeasureLog代表A的度量日志;OK代表通过远程证明,T给A的允许消息;NEWMList代表新的标准度量值列表。
图5中可信平台标准度量值版本更新模块的具体流程为:1.A发送更新版本请求给T,请求报文包括命令码cmd和平台标识name。2.T收到A的更新版本请求后,检索可信平台的“名字-公钥”对应数据库,找到A对应的公钥,并用该公钥加密一个由TPM生成的随机数nT,发送给A。3.A用自己的私钥解密2的数据包,得到nT,并生成一个随机数nA,用T的公钥加密,并发送给T。4.T用自己的私钥解密3的数据包,得到nT和nA,检验nT是否和T自己生成的随机数一致。如果一致,则生成对称的会话密钥KAT,与nA一起发送给A。5.A用自己的私钥解密4的数据包,得到nA和KAT,检验nA是否和A自己生成的随机数一致。如果一致,则用KAT加密A的当前PCR值和度量日志,并发送给T。6.T用KAT解密5的数据包,得到A的PCR值和度量日志,执行对A的远程证明步骤。证明通过后,发送允许数据报(OK数据包)给A。7.A收到允许数据包后,用KAT加密新的度量列表标准值给T。8.T用KAT解密7的数据包后,得到新的度量列表标准值,增加到measurelist后面。
如上即可较好的实现本发明并取得发明内容所述的技术效果,本发明的实施和保护范围不限于上述实施例。
Claims (4)
1.一种基于云计算IaaS环境的远程证明方法,其特征在于通过身份认证模块、远程证明模块和可信平台标准度量值版本更新模块实现,
所述身份认证模块包括:
AIK证书申请模块,用于申请者建立连接、准备申请报文和接受证书激活证书;
PrivacyCA颁发证书模块,用于PrivacyCA接受请求并进行验证和签发;
验证AIK请求过程模块,用于验证AIK请求是否合理;
所述远程证明模块包括:
挑战者和被认证者的通信模块,用于挑战者向被认证发出请求,获取被认证者的平台度量列表和文件;
挑战者和可信配置服务器的通信模块,用于挑战者向可信配置服务器发出请求,获取被认证者的度量值和度量列表;
挑战者和被认证者的通信模块使用对称密钥来进行会话加密;
所述的挑战者和可信配置服务器的通信模块通过一系列随机数的交互和加密解密,防止多次报文的混淆,达到二者相互验证对方身份的作用。
2.根据权利要求1所述的基于云计算IaaS环境的远程证明方法,其特征在于所述可信平台标准度量值版本更新模块包括:
相互认证模块,通过分别发送被公钥加密的随机数,被认证者和可信配置服务器进行身份认证和会话密钥协定;
远程证明模块,通过被认证者发送度量值和度量列表给可信配置服务器来进行远程证明;
度量值和列表更新模块,在远程证明通过后,被认证者通过发送新的度量值和度量列表来更新可信配置服务器上面的信息。
3.根据权利要求1所述的基于云计算IaaS环境的远程证明方法,其特征在于所述的AIK证书申请模块包括以下步骤:首先使用TSS编程方式,完成AIK证书申请报文的组织和加密的过程,然后,AIK证书申请者把请求报文发送给PrivacyCA。
4.根据权利要求1所述的基于云计算IaaS环境的远程证明方法,其特征在于:所述的PrivacyCA证书颁发模块包括以下步骤:首先PrivacyCA解密请求报文,然后使用验证模块验证请求,接着,PrivacyCA把AIK证书报文发给申请者,最后申请者得到报文后,经过一系列的激活和验证过程,就能够使用这个AIK证书。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201310107306.2A CN103179129B (zh) | 2013-03-29 | 2013-03-29 | 一种基于云计算IaaS环境的远程证明方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201310107306.2A CN103179129B (zh) | 2013-03-29 | 2013-03-29 | 一种基于云计算IaaS环境的远程证明方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN103179129A CN103179129A (zh) | 2013-06-26 |
CN103179129B true CN103179129B (zh) | 2016-04-13 |
Family
ID=48638752
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201310107306.2A Active CN103179129B (zh) | 2013-03-29 | 2013-03-29 | 一种基于云计算IaaS环境的远程证明方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN103179129B (zh) |
Families Citing this family (11)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103560887B (zh) * | 2013-11-04 | 2016-09-28 | 深圳数字电视国家工程实验室股份有限公司 | 智能终端远程证明方法和*** |
CN103973680B (zh) * | 2014-04-29 | 2016-01-13 | 神华集团有限责任公司 | 云计算平台完整性验证方法 |
CN104901959A (zh) * | 2015-05-26 | 2015-09-09 | 浪潮电子信息产业股份有限公司 | 一种验证计算池可信的方法及*** |
CN106790064B (zh) * | 2016-12-20 | 2019-11-29 | 北京工业大学 | 可信根服务器-云计算服务器模型中双方进行通信的方法 |
CN107172172B (zh) * | 2017-05-31 | 2020-03-06 | 郑州云海信息技术有限公司 | 一种IaaS***中的通信方法及其*** |
CN109714168B (zh) | 2017-10-25 | 2022-05-27 | 阿里巴巴集团控股有限公司 | 可信远程证明方法、装置和*** |
CN108418815A (zh) * | 2018-02-12 | 2018-08-17 | 国网浙江省电力有限公司 | 用户虚拟机数据访问证据收集方法及*** |
CN110324422B (zh) * | 2019-07-05 | 2020-08-28 | 北京大学 | 一种云应用的证实方法及*** |
CN110635904B (zh) * | 2019-09-16 | 2020-07-31 | 绍兴文理学院 | 一种软件定义物联网节点远程证明方法及*** |
CN114579983B (zh) * | 2022-04-26 | 2022-09-09 | 阿里云计算有限公司 | 获取可信信息的方法、装置及可信服务器 |
CN115134135A (zh) * | 2022-06-23 | 2022-09-30 | 广州物联网研究院 | 一种数据的隐私计算方法、存储介质及计算机设备 |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102622264A (zh) * | 2012-02-24 | 2012-08-01 | 北京华胜天成科技股份有限公司 | 一种云计算中多虚拟化计算平台方法 |
CN202385139U (zh) * | 2011-12-31 | 2012-08-15 | 北京中科安杰科技发展有限公司 | 基于IaaS的私有云架构 |
US8286232B2 (en) * | 2009-03-13 | 2012-10-09 | Novell, Inc. | System and method for transparent cloud access |
-
2013
- 2013-03-29 CN CN201310107306.2A patent/CN103179129B/zh active Active
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US8286232B2 (en) * | 2009-03-13 | 2012-10-09 | Novell, Inc. | System and method for transparent cloud access |
CN202385139U (zh) * | 2011-12-31 | 2012-08-15 | 北京中科安杰科技发展有限公司 | 基于IaaS的私有云架构 |
CN102622264A (zh) * | 2012-02-24 | 2012-08-01 | 北京华胜天成科技股份有限公司 | 一种云计算中多虚拟化计算平台方法 |
Non-Patent Citations (2)
Title |
---|
A Remote Attestation Approach for a Secure Virtual Machine Migration in Federated Cloud Environments;Antonio Celesti等;《Network Cloud Computing and Applications (NCCA), 2011 First International Symposium on》;20111123;正文第V部分 * |
IaaS 环境可信证明方法研究;辛思远等;《计算机工程》;20120331;第38卷(第5期);全文 * |
Also Published As
Publication number | Publication date |
---|---|
CN103179129A (zh) | 2013-06-26 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN103179129B (zh) | 一种基于云计算IaaS环境的远程证明方法 | |
Bera et al. | Designing blockchain-based access control protocol in IoT-enabled smart-grid system | |
CN111027086B (zh) | 一种私有数据保护方法和*** | |
WO2021179449A1 (zh) | 一种基于证书身份认证的拟态防御***及证书签发方法 | |
Alladi et al. | A lightweight authentication and attestation scheme for in-transit vehicles in IoV scenario | |
WO2021073170A1 (zh) | 数据提供和融合的方法及装置 | |
Cai et al. | Towards private, robust, and verifiable crowdsensing systems via public blockchains | |
CN111563261A (zh) | 一种基于可信执行环境的隐私保护多方计算方法和*** | |
Zhou et al. | EverSSDI: blockchain-based framework for verification, authorisation and recovery of self-sovereign identity using smart contracts | |
Saleem et al. | ProofChain: An X. 509-compatible blockchain-based PKI framework with decentralized trust | |
Tan et al. | MPCAuth: multi-factor authentication for distributed-trust systems | |
Li et al. | Designated-verifier aggregate signature scheme with sensitive data privacy protection for permissioned blockchain-assisted IIoT | |
CN112910641A (zh) | 用于跨链交易监管的验证方法、装置、中继链节点及介质 | |
CN117195306A (zh) | 基于多方能源数据隐私计算的恶意参与行为检出方法 | |
Kumar Arora et al. | Blockchain‐inspired lightweight trust‐based system in vehicular networks | |
Kilic | TLS-handshake for Plug and Charge in vehicular communications | |
Li et al. | Improved public auditing system of cloud storage based on BLS signature | |
Huo et al. | Efficient public integrity auditing with secure deduplication in cloud computing | |
Chen et al. | A New Identity Authentication and Key Agreement Protocol Based on Multi-Layer Blockchain in Edge Computing | |
CN112837064A (zh) | 联盟链的签名方法、签名验证方法及装置 | |
Sinha et al. | A Secure Three-Party Authenticated Key Exchange Protocol for Social Networks. | |
Zhao et al. | A secure dynamic cross-chain decentralized data consistency verification model | |
Zhang et al. | A Secure Access Control Framework for Cloud Management | |
AU2021106388A4 (en) | A secure public cloud system for preserving privacy | |
US20240137228A1 (en) | Puf and blockchain based iot event recorder and method |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant |