CN104885425A - 使得客户端能够提供服务器实体的技术 - Google Patents

使得客户端能够提供服务器实体的技术 Download PDF

Info

Publication number
CN104885425A
CN104885425A CN201280077843.0A CN201280077843A CN104885425A CN 104885425 A CN104885425 A CN 104885425A CN 201280077843 A CN201280077843 A CN 201280077843A CN 104885425 A CN104885425 A CN 104885425A
Authority
CN
China
Prior art keywords
client
server
server entity
local
local part
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201280077843.0A
Other languages
English (en)
Other versions
CN104885425B (zh
Inventor
伯纳德·斯密茨
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Telefonaktiebolaget LM Ericsson AB
Original Assignee
Telefonaktiebolaget LM Ericsson AB
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telefonaktiebolaget LM Ericsson AB filed Critical Telefonaktiebolaget LM Ericsson AB
Publication of CN104885425A publication Critical patent/CN104885425A/zh
Application granted granted Critical
Publication of CN104885425B publication Critical patent/CN104885425B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

公开了用于使得客户端能够提供服务器实体的技术。在方法方案中，第一方法在客户端中执行且包括以下步骤：向所述客户端提供安全受信环境，所述环境受到所述客户端以及至少一个第三方信任，以及在所述安全受信环境中容纳所述服务器实体的至少本地部分，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求，以及在所述安全受信环境中还容纳所述服务器实体要求的数据，以处理所述服务器请求。第二方法在服务器中执行并包括以下步骤：针对所述客户端的受到所述客户端和至少一个第三方信任的安全受信环境，提供所述服务器实体的至少本地部分以及数据。

Description

使得客户端能够提供服务器实体的技术
技术领域
本公开总体上涉及使得客户端能够提供服务器实体的技术。本公开还涉及用于实现该技术的客户端和服务器。
背景技术
多种安全协议已经投入服务中，其中，两个(或更多个)通信方在协议消息收发中要么直接涉及，要么在它们设置的双方都具有信任关系的受信第三方中涉及。最著名一类协议位于安全通信协议中，如安全外壳程序/传输层安全(SSL/TLS)、数据报TLS(DTLS)、无线TLS(WTLS)、以及在使用数字证书时的网际协议安全(IPSec)。
在这些协议中，对证书进行签名的证书认证中心(CA)可以是受信第三方，且CA的(自签名)证书可以由通信方使用(信任)以验证协议中使用的证书的正确性。应用这种设置的其他示例是Kerberos协议或OAuth2.o协议的UMA实现。
图1示出了现有技术的底层原理，并示出了包括受信第三方(TTP)1001和至少两个客户端1002在内的网络100。
考虑这些协议，其中，对TTP 1001关于安全协议的了解和涉及暗示了TTP 1001发布以下信息：协议中使用的数据(例如，密钥或凭证(credential))就其目的而言依然被各方所信任。
图1涉及公钥基础架构(PKI)，其意味着TTP 1001(例如，CA)可以提供证书依然可被信任的信息。在实际中，这经常是通过使用所谓的证书撤销列表(CRL)(其上列出了被撤销的证书)或通过在线协议(如在线证书状态协议(OCSP))来实现。
因此，通信方1002可以具有CRL的拷贝或可以使用OCSP(或这二者)。通常，CA 1001使用服务器来运行OCSP或分发CRL。
截至目前为止现有技术未解决的问题
CRL的问题在于如果通信点的数目巨大则CRL可以增加到非常大(例如，在机器对机器(M2M)通信的情况)。此外，CRL可能变得过期，且从而必须定期更新。
OCSP允许在线验证证书状态。尽管可以保证状态的新鲜度，但是在两方和OCSP服务器之间增加的信令中将引起相当大的成本风险。
在这些极端之间找到折中的一种方式可以在与短期证书。此处，可以提前决定发布证书的有效时长以及在活跃证书到期之前何时要将其更新为新的证书。然而，该实现增加了对定期分发/重新发布证书的新的复杂度以及时钟准确(同步)的假定。
在上述场景中，通信方和TTP服务器之间的业务应当减少。在小型无线传感器设备中，瓶颈是用于发送的能量。作为方案，受到高速缓存技术的启发，可以考虑使用高速缓存来减少在OCSP方案中出现的业务。然而，普通高速缓存不提供在安全协议中使用时所寻求的安全性。
发明内容
因此，需要避免上述一个或更多个问题或其他问题的技术。具体地，需要不忽略安全方面。
在第一方案中，提供了一种用于提供服务器实体的方法，其中，该方法在客户端中执行且包括以下步骤：向所述客户端提供安全受信环境，所述环境受到所述客户端以及至少一个第三方的信任，以及在所述安全受信环境中容纳所述服务器实体的至少本地部分，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求，以及在所述安全受信环境中还容纳所述服务器实体要求的数据，以处理所述服务器请求。这样，既减轻了信令负载，也未忽略安全性方面。
在第一方案的第一改进中，所述容纳步骤优选地包括：对所述服务器实体的本地部分和所述数据进行高速缓存。附加地或备选地，所述安全受信环境优选地是受信执行环境TEE。这样，进一步增强了信令负载和安全方面；关于本地高速缓存功能的时间有效性，数据可以适于由与配置数据相对应的程序来表达的任何规则，只要其可以装入TEE中。
在第一方案的第二改进中，所述服务器实体的本地部分优选地是本地受信第三方LTTP。如果是这样，所述方法优选地还包括：由所述本地部分执行验证操作，所述验证操作接受要验证的证书作为输入自变量(argument)。在后一情况中，验证操作的输入自变量优选地还包括：包括用于所述验证操作的附加信息在内的至少一个上下文信息、在所述验证操作中要应用的至少一个策略、以及针对所述服务器实体的非本地部分的条件或状态之一。如果是这样，所述至少一个策略还优选地包括非本地策略和本地策略，以及所述方法优选地还包括以下至少一项：按所述本地策略来控制时间长度和数据使用，按所述本地策略来无效所述上下文信息和所述非本地策略中的至少一项，按所述本地策略来强制执行要向所述服务器实体的非本地部分传递的服务器请求之一，以及按所述本地策略提供所述LTTP的迁移规则。这样，以减少需要向TTP发送以及从TTP发送的数据的方式，提供了由TTP对要在安全协议中使用的数据进行有效性检查的更灵活的方式。
在第一方案的第三改进中，所述服务器实体的本地部分优选地是本地在线证书状态协议LOCSP。如果是这样，所述容纳步骤优选地还包括：从网络接收所述LOCSP和所述数据的打包，所述打包是远程可安装的代码。附加地或备选地，所述安全受信环境中的安全优选地是通过在所述客户端上安全启动远程虚拟机来建立的。在该情况下，对所述远程虚拟机的安全启动优选地使用了以下至少一项：受信计算组TCG技术、以及将应用安全预配置到Javacard中。附加地或备选地，所述安全启动优选地还包括：第一验证所述安全受信环境是值得信任的，以及由所述安全受信环境来第二验证所接收的服务器请求源自所宣称的来源。在后一情况下，第二验证步骤优选地使用所述LOCSP的数字签名。这样，所述LOCSP可以作为所述客户端的OCSP来工作。
在与所述LOCSP相关的第一方案的第四改进中，所述方法优选地还包括：从所述服务器实体的非本地部分接收信息和策略，以及基于所接收的策略来决定所述服务器请求应由所述服务器实体的本地部分还是非本地部分来处理。如果是这样，所述接收步骤优选地使用安全通信协议来执行。这样，由于所述LOCSP的机器智慧和能力，在大多数情况下，可以将需要由OCSP和LOCSP交换的信息量保持较少。
在与所述第四改进相关的第一方案的第五改进中，所述信息和策略优选地嵌入在从所述服务器实体的非本地部分向所述本地部分发送的服务器请求响应中。在该情况下，所述响应优选地与随机数(nonce)绑定，所述随机数是由所述服务器实体的本地部分原始发布的。这样，实现了高速缓存，且将服务器功能分割，以降低通信成本；此外，从而保护了行为策略数据免遭修改和重放攻击。
在与所述LOCSP相关的第一方案的第六改进中，所述客户端优选地是虚拟客户端，以及所述安全受信环境优选地被包括在另一实体中，且被所述客户端和所述LOCSP相互信任。如果是这样，所述LOCSP优选地可迁移到所述相互信任的安全受信环境中。这样，所述LOCSP不耦合到其自己的安全受信环境，而是可以在任何相互信任的安全受信环境中实现。
在第二方案中，提供了一种用于使得客户端能够提供服务器实体的方法，其中，所述方法在服务器中执行且包括以下步骤：针对所述客户端的安全受信环境，提供所述服务器实体的至少本地部分，所述环境受到所述客户端和至少一个第三方的信任，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求以及所述服务器实体要求的数据，以处理所述一个或更多个服务器请求。
自然，在涉及服务器功能的范围内，所述第二方案的方法可以借鉴所述第一方案的第一至第六改进中的任何一个改进。
在第三方案中，提供了一种包括程序代码部分的计算机程序产品，该程序代码部分用于在一个或更多个计算设备上执行所述计算机程序产品时执行所述第一和/或第二方案的方法。所述计算机程序产品可以存储在计算机可读记录介质上，例如CD-ROM、DVD-ROM或半导体存储器。
在第四方案中，提供了一种用于提供服务器实体的客户端，其中，所述客户端包括至少一个处理器，所述至少一个处理器被配置为：向所述客户端提供安全受信环境，所述环境受到所述客户端以及至少一个第三方的信任，以及在所述安全受信环境中容纳所述服务器实体的至少本地部分，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求，以及在所述安全受信环境中还容纳所述服务器实体要求的数据，以处理所述服务器请求。
在第五方案中，提供了一种用于使得客户端能够提供服务器实体的服务器，其中，所述服务器被配置为：针对所述客户端的安全受信环境，提供所述服务器实体的至少本地部分，所述环境受到所述客户端和至少一个第三方的信任，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求以及所述服务器实体要求的数据，以处理所述一个或更多个服务器请求。
根据上述第四和第五方案的客户端和/或服务器可以被配置为实现上述方法方案中的任意一个。
附图说明
下面参考附图在本文中描述本文所提出的技术的实施例，在附图中：
图1示出了现有技术的底层原理；
图2示出了以例如服务器和客户端形式实现的示例设备实施例中包括的组件；
图3示出了方法实施例，其也反映了在装置实施例的组件之间的交互；
图3A示出了与方法实施例有关的详细第一方法示例；
图3B示出了与方法实施例有关的详细第二方法示例；以及
图3C示出了与方法实施例有关的详细第三方法示例。
具体实施方式
在以下描述中，为了解释而非限制的目的，阐述了具体细节(例如，特定信令步骤)，以提供对本文提出的技术的透彻理解。对于本领域技术人员将显而易见的是：可以在脱离这些具体细节的其他实施例中实现本技术。例如，将主要在验证中使用的服务器实体的上下文中描述实施例；然而，这并不排除在其他***中对本技术的使用以及将本技术用于其他用途(例如，用于非验证/认证用途的服务器实体)。
此外，本领域技术人员将意识到：本文解释的服务、功能和步骤可以使用软件功能结合编程微处理器来实现，或使用专用集成电路(ASIC)、数字信号处理器(DSP)或通用计算机来实现。还将意识到：尽管以下实施例主要在方法和设备的上下文中描述，本文提出的技术还可以体现在计算机程序产品中，以及体现在包括计算机处理器和耦合到该处理器的存储器在内的***中，其中，存储器编码有执行本文公开的服务、功能和步骤的一个或更多个程序。
图2示出了以例如网络200中包括的客户端2001和服务器2002的形式来实现的示例设备实施例中包括的组件。作为非限制性示例，服务器2002可以用OCSP的形式来实现。
如图2所示，客户端2001包括核心功能(例如，中央处理单元(CPU)、专用电路和/或软件模块中的一项或多项)20011、可选存储器(和/或数据库)20012、可选发射机20013和可选接收机20014。此外，客户端2001包括提供器20015、容纳器20016、可选执行器20017、可选控制器20018a、可选无效器20018b、可选强制执行器20018c、可选供应器20018d、可选验证器20019以及可选决定器200110。如提供器20015的延长框所示，提供器20015还可以使用发射机20013和/或接收机20014。
进而，服务器2002包括核心功能(例如，中央处理单元(CPU)、专用电路和/或软件模块中的一项或多项)20021、可选存储器(和/或数据库)20022、可选发射机20023和可选接收机20024。此外，服务器2002可以包括提供器20025(其还可以是客户端2001的提供器20015的复制版本，或者可以是共享实体)。如提供器20025的延长框所示，提供器20025还可以使用发射机20023和/或接收机20024。
如CPU 20011、20021的功能块的虚线扩展部分所指示，(客户端2001的)提供器20015、容纳器20016、执行器20017、控制器20018a、无效器20018b、强制执行器20018c、供应器20018d、验证器20019和/或决定器200110以及(服务器2002)的提供器20025，可以至少部分是在CPU 20011、20021上运行的功能，或者可以备选地是由CPU20011、20021控制并向其供应信息的单独功能实体或装置。对于客户端2001和服务器2002，可以实现发射机和接收机组件(未示出)，以包括合适的接口和/或合适的信号生成和评估功能。
CPU 20011、20021可以使用例如在存储器20012、20022中驻留的软件来配置，以处理各种数据输入并控制存储器20012、20022、发射机20013、20023和接收机20014、20024(以及(客户端2001的)提供器20015、容纳器20016、执行器20017、控制器20018a、无效器20018b、强制执行器20018c、供应器20018d、验证器20019和/或决定器200110以及(服务器2002)的提供器20025)。
存储器20012、20022可以用于存储程序代码，当该程序代码由CPU 20011、20021执行时，该程序代码执行根据本文公开方案的方法。附加地或备选地，存储器20012、20022被配置为数据库。
要注意到：可以将发射机20013、20023和接收机20014、20024作为一个整体来提供(如图2所示)。还要注意到：发射机20013、20023和接收机20014、20024可以作为物理分离的实体来实现(例如，当作为单独组件来布置时)，可以使用路由/转发实体/CPU之间的接口来实现(例如，当作为同一CPU上分离的软件来布置时)，可以使用向给定存储器区域写入信息或从给定存储器区域读取信息的功能来实现(例如，当作为不可辨识的软件代码部分布置时)，或作为上述的任意合适组合来实现。上述(客户端2001的)提供器20015、容纳器20016、执行器20017、控制器20018a、无效器20018b、强制执行器20018c、供应器20018d、验证器20019和/或决定器200110以及(服务器2002)的提供器20025中至少一项或相应功能也可以实现为芯片组、模块或子套件(subassembly)。
图3示出了使得客户端能够提供服务器实体的方法实施例。在图3的信令图中，信令之间的时间方面反映在信令序列的垂直布置中以及序列号中。要注意到：图3所示的时间方面不一定将任何一个方法步骤约束为图3所概示的步骤序列。这对于功能上彼此分离的方法步骤来说尤其适用。例如，接收步骤S2-1、S1-2b和S1-6被示出为紧接在相应结果步骤S1-1、S1-2a和S1-7之前；然而，这不排除在相应接收步骤之后在步骤S1-1、S1-2a和S1-7之前经过一段时间。
再次参见图3的信令图(要与图2所示的客户端2001和服务器2002一起阅读)，在步骤S2-1中，服务器2002的提供器20025针对客户端2001的安全受信环境2001A(该环境由客户端2001和至少一个第三方(未示出)所信任)执行服务器实体的至少本地部分2001A1，该服务器实体被配置为处理来自客户端2001的一个或更多个服务器请求，服务器2002的提供器20025还执行服务器实体所要求的数据2001A2，以处理一个或更多个服务器请求。
响应于步骤S2-1(经由接收机20014)或自主地，在步骤S1-1中，客户端2001的提供器20015向客户端2001提供安全受信环境2001A。此外，在步骤S1-2中，客户端2001的容纳器20016在安全受信环境2001A中执行服务器实体的至少本地部分2001A1，服务器实体被配置为处理来自客户端2001的一个或更多个服务器请求，且客户端2001的容纳器20016还执行容纳服务器实体要求的数据2001A2，以处理服务器请求。
客户端2001的存储器20012可以采用高速缓存的形式；然而，这不排除其还与CPU 20011直接安装在一起的可能性(例如，板载或片载高速缓存)。在可选步骤S1-2b中，服务器2002可以发送绑定代码，且在可选步骤S1-2a中，高速缓存执行对服务器实体的本地部分2001A1和数据2001A2的高速缓存(基于所接收的绑定代码)。
作为发展，安全受信环境2001A可以采用授信执行环境TEE的形式；同样地，服务器实体的本地部分2001A1可以是本地受信第三方LTTP。
下文中，将讨论本发明的用于证书验证检查的另一实施例。然而，作为非限制性示例，本实施例涉及用于访问控制的凭证，其中，TTP(未示出)保护(数据)对象的有效性(或对象本身)。
此外，在可选步骤S1-3中，客户端2001的执行器20017执行通过本地部分2001A1进行的验证操作，该验证操作接受要验证的证书作为输入自变量。如果是这样，验证操作的输入自变量还可以包括以下至少一项：包括用于验证操作的附加信息在内的上下文信息、要在验证操作中应用的至少一个策略、以及安装在服务器2002的服务器实体的非本地部分2002A1的条件或状态之一。
换言之，在TTP 2002A1中执行的验证操作可以由以下函数来表达：
Verify(obj，obj_context，policy，conds)，
其中，“obj”表示要验证的对象，“obj_context”表示验证过程中的可选附加信息/数据，“policy”表示要在验证中应用的策略，以及“conds”表示用于验证的TTP 2002A1的条件或状态(例如，时间)。
在极端情况下，在不使用或不需要其他依赖性的情况下，该函数可以塌缩为：
Verify(obj)
换言之，LTTP 2001A1优选地被创建为在客户端TEE 2001A中执行，并如上所述向TEE 2001A提供函数Verify(验证)和策略。只要策略和上下文不改变，或只要策略和上下文被允许使用，则LTTP2001A1优选地被信任应用其自己的conds(条件)来正确计算“Verify”。
此外，在LTTP 2001A1中，对“Verify”的计算不一定必须是TTP2002A1执行的“Verify”的拷贝。在优选条件下，可以将“Verify”计算的部分结果加以高速缓存或简化(在它们在客户端2001上产生实质相同值的先决条件下)。从而，可以实现对计算工作量的降低。
作为非限制性示例，至少一个策略还包括非本地策略和本地策略。在该情况下，以下一项或多项成立：在可选步骤S1-4a中，客户端2001的控制器20018a按本地策略来执行对时间长度和数据使用的控制；在可选步骤S1-4b中，客户端2001的无效器20018b按本地策略来执行对上下文信息和非本地策略中至少一项的无效；在可选步骤S1-4c中，客户端2001的强制执行器20018c按本地策略来执行要向服务器实体的非本地部分传递的服务器请求之一的强制执行；以及在可选步骤S1-4d中，客户端2001的供应器20018d按本地策略来执行对LTTP的迁移规则的供应。
换言之，时间长度和高速缓存数据的用途可以由被称为“local_policy(本地策略)”的附加策略来控制。该本地策略可以对高速缓存的“obj_context”和/或策略数据进行本地无效。还可以强制执行：始终必须向实际TTP 2002A1传递用于验证的特定请求。其还可以包含用于LTTP 2001A1的可能迁移的规则。
下面，将描述证书有效性检查。在特定环境下，当面临错误接受被撤回的证书的风险时，对OCSP和紧密CRL分发的方法的使用变得紧密相关。下面，描述在线OCSP方案；然而，这不排除还可以将根据本发明的技术结合CRL分发来使用。为了简单起见，可以假定CA操作OCSP服务器2002，但是其他(商业/组织)设置可以存在。
作为非限制性示例，服务器实体的本地部分2001A1优选地是本地在线证书状态协议LOCSP。如果是这样，在(上述)可选步骤S1-2b中，客户端2001的容纳器20016执行：从网络接收LOCSP和数据的打包，该打包是远程可安装的代码。
总而言之，从OCSP服务器2002至少提取可以检查证书并使客户端2001配备数据高速缓存/存储器20012的部分，针对该数据，其需要处理客户端2001的服务器请求。该服务器部分和存储器可以打包到远程可安装(可能是可迁移)的代码中，其被称为LOCSP 2001A1，LOCSP 2001A1可以在客户端2001的TEE 2001A中执行。除了所述功能之外，LOCSP 2001A1可以配备有在客户端2001中使用的新附加功能。
作为另一非限制性示例，安全受信环境中的安全优选地通过在客户端上安全启动远程虚拟机来建立。在该情况下，对远程虚拟机的安全启动可以使用以下至少一项：受信计算组TSG技术、以及将应用安全预配置到Javacard中。
图3A示出了与方法实施例相关的详细第一方法示例。即，在客户选步骤S1-5中，客户端2001的验证器20019可以执行对安全受信环境是值得信任的验证，且可以在可选步骤S1-6中执行：由安全受信环境来验证所接收的服务器请求源自所宣称的来源。如果是这样，则后一验证步骤S1-6可以使用LOCSP 2001A1的数字签名。
换言之，可以使用两个步骤：a)安全启动涉及对可以信任TEE2001A的验证，以及b)TEE 2001A验证其接收的代码和数据来自所声称的来源(例如，通过使用LOCSP代码/数据的数字签名)。
图3B示出了与方法实施例有关的详细第二方法示例。
即，在可选步骤S1-6中，客户端2001的接收机20014可以执行：从服务器实体的非本地部分2002A1接收信息和策略。此外，在可选步骤S1-7中，决定器200110执行：基于所接收的策略来决定服务器请求是由服务器实体的本地部分2001A1还是非本地部分2002A1来处理。如果是这样，则可以使用安全通信协议来执行接收步骤S1-6。
换言之，在使用上述功能和数据的情况下，LOCSP 2001A1可以作为客户端2001的OCSP来工作。然而，为了向实际OCSP 2002A1再次检查证书状态，对于在受信环境2001A中执行的LOCSP 2001A1来说，“真实”的OCSP 2002A1可以向LOCSP 2001A1赋予LOCSP2001A1知识和行为策略，该知识和行为策略可以用来决定本地证书状态请求何时可以通过LOCSP 2001A1具有的可用的高速缓存的信息来处理或何时其必须联系“真实”OCSP 2002A1。
图3C示出了与方法实施例有关的详细第三方法示例。
除了图3B所述功能之外，还可以在从服务器实体的非本地部分2002A1向本地部分2001A1发送的服务器请求响应中嵌入信息和策略。在该情况下，响应可以绑定到随机数，该随机数是由服务器实体的本地部分2001A1原始发布的。
换言之，可以基于共享凭证并使用安全通信协议(例如，DTLS)来保护OCSP 2002A1和LOCSP 2001A1之间的通信。由于LOCSP2001A1的机器智能和能力，在大多数情况下，可以将LOCSP 2002A1保持较小。
最后，作为非限制性示例，客户端优选地是虚拟客户端，且安全受信环境2001A优选地被包括在另一实体中，且受到客户端2001和LOCSP 2001A2的相互信任。如果是这样，LOCSP 2001A1可迁移至相互信任的安全受信环境。
换言之，在虚拟客户端的情况下，可以引起以下情况：LOCSP2001A1的位置不直接耦合到其TEE 2001A，而是可以在客户端2001和OCSP 2002可以一起信任的任何TEE中实现。在这种设置中，让LOCSP 2001A1在任何相互信任的TEE之间可迁移是有利的。
在不受到其约束的情况下，本发明的基本理念可以总结为：以向客户端2001导出至少部分TTP功能的方式，来使用要配备有不仅被客户端2001的用户所信任还被第三方所信任的受信执行环境(TEE)2001A(例如，基于ARM TrustZone或虚拟化技术)的现代客户端2001(设备)的能力。这允许在客户端2001中本地执行TTP操作，并减少通信(例如，在大小和/或实例的意义上)。使用虚拟化技术和虚拟机迁移，以对于要执行的TTP任务的最优化的方式，TTP功能可以实际上在受信基础架构之间迁移。
详细根据前述内容将完全理解本文提出的技术的优点，而且明显的是：可以在不脱离本发明的范围或不牺牲其全部有益效果的情况下，可以在其示例方案的形式、构造和布置方面进行各种改变。由于本文提出的技术可以在很多方面变化，将意识到本发明应当仅由所附权利要求的范围来限定。

Claims (24)

1.一种用于提供服务器实体的方法，其中，所述方法在客户端(2001)中执行且包括以下步骤：
向所述客户端提供(S1-1)安全受信环境(2001A)，所述环境受到所述客户端以及至少一个第三方信任；以及
在所述安全受信环境中容纳(S1-2)：
-所述服务器实体的至少本地部分(2001A1)，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求，以及
-所述服务器实体要求的数据(2001A2)，以处理所述服务器请求。
2.根据权利要求1所述的方法，其中，所述容纳步骤包括：对所述服务器实体的本地部分和所述数据进行高速缓存(S1-2a)。
3.根据权利要求1或2所述的方法，其中，所述安全受信环境是受信执行环境TEE。
4.根据权利要求1至3中任一项所述的方法，其中，所述服务器实体的本地部分是本地受信第三方LTTP。
5.根据权利要求4所述的方法，还包括：
由所述本地部分执行(S1-3)验证操作，所述验证操作接受要验证的证书作为输入自变量。
6.根据权利要求5所述的方法，其中，
验证操作的输入自变量还包括以下至少一项：
包括用于所述验证操作的附加信息在内的上下文信息；
要在所述验证操作中应用的至少一个策略；以及
所述服务器实体的非本地部分(2002A1)的条件或状态之一。
7.根据权利要求6所述的方法，其中，所述至少一个策略还包括非本地策略和本地策略，所述方法还包括以下至少一项：
按所述本地策略来控制(S1-4a)时间长度和数据使用；
按所述本地策略来无效(S1-4b)所述上下文信息和所述非本地策略中的至少一项；
按所述本地策略来强制执行(S1-4c)要向所述服务器实体的非本地部分传递的服务器请求之一；以及
按所述本地策略来供应(S1-4d)所述LTTP的迁移规则。
8.根据权利要求1至3中任一项所述的方法，其中，所述服务器实体的本地部分是本地在线证书状态协议LOCSP。
9.根据权利要求8所述的方法，其中，所述容纳步骤还包括：从网络接收(S1-2b)所述LOCSP和所述数据的打包，所述打包是远程可安装的代码。
10.根据权利要求8或9所述的方法，其中，所述安全受信环境中的安全是通过在所述客户端上安全启动远程虚拟机来建立的。
11.根据权利要求10所述的方法，其中，所述远程虚拟机的安全启动使用以下至少一项：
受信计算组TCG技术；以及
将应用安全预配置到Javacard中。
12.根据权利要求10或11所述的方法，其中，所述安全启动还包括：
第一验证(S1-5)所述安全受信环境是值得信任的；以及
由所述安全受信环境来第二验证(S1-6)所接收的服务器请求源自所宣称的来源。
13.根据权利要求12所述的方法，其中，第二验证步骤使用所述LOCSP的数字签名。
14.根据权利要求8至13中任一项所述的方法，还包括：
从所述服务器实体的非本地部分(2002A1)接收(S1-6)信息和策略；以及
基于所接收的策略来决定(S1-7)所述服务器请求应由所述服务器实体的本地部分还是非本地部分来处理。
15.根据权利要求14所述的方法，其中，所述接收步骤是使用安全通信协议来执行的。
16.根据权利要求14或15所述的方法，其中，所述信息和策略嵌入在从所述服务器实体的所述非本地部分向所述本地部分发送的服务器请求响应中。
17.根据权利要求16所述的方法，其中，所述响应与随机数绑定，所述随机数是由所述服务器实体的本地部分原始发布的。
18.根据权利要求8至17中任一项所述的方法，其中，所述客户端是虚拟客户端，以及所述安全受信环境被包括在另一实体中且被所述客户端和所述LOCSP相互信任。
19.根据权利要求18所述的方法，其中，所述LOCSP能够迁移到所述相互信任的安全受信环境中。
20.一种用于使得客户端(2001)能够提供服务器实体的方法，其中，所述方法在服务器(2002)中执行且包括以下步骤：
针对所述客户端的受到所述客户端和至少一个第三方的信任的安全受信环境(2001A)，提供(S2-1)：
-所述服务器实体的至少本地部分(2001A1)，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求；以及
-所述服务器实体要求的数据(2001A2)，以处理所述一个或更多个服务器请求。
21.一种包括程序代码部分的计算机程序产品，用于当所述计算机程序产品在一个或更多个计算设备上执行时执行前述任一权利要求所述的方法。
22.根据权利要求21所述的计算机程序产品，存储在计算机可读记录介质上。
23.一种用于提供服务器实体的客户端(2001)，其中，所述客户端包括至少一个处理器(20011)，所述至少一个处理器(20011)被配置为：
-向所述客户端提供安全受信环境(2001A)，所述环境受到所述客户端以及至少一个第三方的信任；以及
-在所述安全受信环境中容纳：
--所述服务器实体的至少本地部分(2001A1)，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求；以及
--所述服务器实体要求的数据(2001A2)，以处理所述服务器请求。
24.一种用于使得客户端(2001)能够提供服务器实体的服务器(2002)，其中，所述服务器(2002)被配置为：
-针对所述客户端的受到所述客户端和至少一个第三方的信任的安全受信环境(2001A)，提供：
--所述服务器实体的至少本地部分(2001A1)，所述服务器实体被配置为处理来自所述客户端的一个或更多个服务器请求；以及
--所述服务器实体要求的数据(2001A2)，以处理所述一个或更多个服务器请求。
CN201280077843.0A 2012-12-20 2012-12-20 使得客户端能够提供服务器实体的技术 Active CN104885425B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/EP2012/076394 WO2014094857A1 (en) 2012-12-20 2012-12-20 Technique for enabling a client to provide a server entity

Publications (2)

Publication Number Publication Date
CN104885425A true CN104885425A (zh) 2015-09-02
CN104885425B CN104885425B (zh) 2018-09-18

Family

ID=47435982

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201280077843.0A Active CN104885425B (zh) 2012-12-20 2012-12-20 使得客户端能够提供服务器实体的技术

Country Status (4)

Country Link
US (1) US9846773B2 (zh)
EP (1) EP2936761B1 (zh)
CN (1) CN104885425B (zh)
WO (1) WO2014094857A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105468980A (zh) * 2015-11-16 2016-04-06 华为技术有限公司 一种安全管控的方法、装置及***
CN108292337A (zh) * 2015-12-24 2018-07-17 英特尔公司 虚拟化环境下安全堡垒区域的可信开启
CN110268691A (zh) * 2017-02-07 2019-09-20 微软技术许可有限责任公司 具有经验证的区块链和共识协议的联盟区块链网络

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140279519A1 (en) * 2013-03-15 2014-09-18 Jumio Inc. Method and system for obtaining and using identification information
CN106464667B (zh) * 2015-02-09 2020-01-10 华为技术有限公司 一种证书管理方法、设备及***
CN106454528A (zh) * 2015-08-07 2017-02-22 阿里巴巴集团控股有限公司 基于可信执行环境的业务处理方法和客户端

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008070857A1 (en) * 2006-12-07 2008-06-12 Mobile Armor, Llc Real-time checking of online digital certificates
CN101645900A (zh) * 2009-08-31 2010-02-10 国家信息中心 一种跨域权限管理***及方法
GB2487049A (en) * 2011-01-04 2012-07-11 Vestas Wind Sys As Remote and local authentication of user for local access to computer system
US8769298B2 (en) * 2006-05-05 2014-07-01 Interdigital Technology Corporation Digital rights management using trusted processing techniques

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6715082B1 (en) * 1999-01-14 2004-03-30 Cisco Technology, Inc. Security server token caching
US7337214B2 (en) * 2002-09-26 2008-02-26 Yhc Corporation Caching, clustering and aggregating server
CA2551819C (en) * 2004-01-09 2015-02-24 Corestreet, Ltd. Signature-efficient real time credentials for ocsp and distributed ocsp
CA2564904C (en) * 2004-04-30 2011-11-15 Research In Motion Limited System and method for handling certificate revocation lists
JP4781692B2 (ja) * 2005-03-08 2011-09-28 インターナショナル・ビジネス・マシーンズ・コーポレーション クライアントのｉ／ｏアクセスを制限する方法、プログラム、システム
US7752450B1 (en) * 2005-09-14 2010-07-06 Juniper Networks, Inc. Local caching of one-time user passwords
US7882538B1 (en) * 2006-02-02 2011-02-01 Juniper Networks, Inc. Local caching of endpoint security information
US20080005034A1 (en) * 2006-06-09 2008-01-03 General Instrument Corporation Method and Apparatus for Efficient Use of Trusted Third Parties for Additional Content-Sharing Security
US7814315B2 (en) * 2006-11-30 2010-10-12 Red Hat, Inc. Propagation of certificate revocation information
US8281389B2 (en) * 2006-12-21 2012-10-02 Seagate Technology Llc System and method for tamper evident certification
US20080183851A1 (en) * 2007-01-30 2008-07-31 Utstarcom, Inc. Apparatus and Method Pertaining to Management of On-Line Certificate Status Protocol Responses in a Cache
US8578506B2 (en) * 2008-10-06 2013-11-05 Telefonaktiebolaget Lm Ericsson (Publ) Digital rights management in user-controlled environment
US8978091B2 (en) 2009-01-20 2015-03-10 Microsoft Technology Licensing, Llc Protecting content from third party using client-side security protection
US8544092B2 (en) * 2009-03-12 2013-09-24 International Business Machines Corporation Integrity verification using a peripheral device
US8621204B2 (en) 2009-12-23 2013-12-31 Citrix Systems, Inc. Systems and methods for evaluating and prioritizing responses from multiple OCSP responders
US20110161663A1 (en) * 2009-12-29 2011-06-30 General Instrument Corporation Intelligent caching for ocsp service optimization
MY151315A (en) 2010-05-07 2014-05-15 Mimos Berhad System and method for issuing endorsement key credential in trusted computing environment using local certificate authority
FI20115945A0 (fi) * 2011-09-28 2011-09-28 Onsun Oy Maksujärjestelmä
SG11201403482TA (en) * 2011-12-21 2014-07-30 Ssh Comm Security Oyj Automated access, key, certificate, and credential management
US20120266209A1 (en) * 2012-06-11 2012-10-18 David Jeffrey Gooding Method of Secure Electric Power Grid Operations Using Common Cyber Security Services

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8769298B2 (en) * 2006-05-05 2014-07-01 Interdigital Technology Corporation Digital rights management using trusted processing techniques
WO2008070857A1 (en) * 2006-12-07 2008-06-12 Mobile Armor, Llc Real-time checking of online digital certificates
CN101645900A (zh) * 2009-08-31 2010-02-10 国家信息中心 一种跨域权限管理***及方法
GB2487049A (en) * 2011-01-04 2012-07-11 Vestas Wind Sys As Remote and local authentication of user for local access to computer system

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105468980A (zh) * 2015-11-16 2016-04-06 华为技术有限公司 一种安全管控的方法、装置及***
CN105468980B (zh) * 2015-11-16 2018-07-03 华为技术有限公司 一种安全管控的方法、装置及***
CN108292337A (zh) * 2015-12-24 2018-07-17 英特尔公司 虚拟化环境下安全堡垒区域的可信开启
CN108292337B (zh) * 2015-12-24 2023-07-04 英特尔公司 虚拟化环境下安全堡垒区域的可信开启
CN110268691A (zh) * 2017-02-07 2019-09-20 微软技术许可有限责任公司 具有经验证的区块链和共识协议的联盟区块链网络
CN110268691B (zh) * 2017-02-07 2021-10-15 微软技术许可有限责任公司 具有经验证的区块链和共识协议的联盟区块链网络
US11218457B2 (en) 2017-02-07 2022-01-04 Microsoft Technology Licensing, Llc Establishment of consortium blockchain network

Also Published As

Publication number Publication date
EP2936761A1 (en) 2015-10-28
WO2014094857A1 (en) 2014-06-26
US9846773B2 (en) 2017-12-19
CN104885425B (zh) 2018-09-18
US20150332044A1 (en) 2015-11-19
EP2936761B1 (en) 2019-07-24

Similar Documents

Publication Publication Date Title
EP3454238B1 (en) Registration and authorization method, device and system
CN106327184B (zh) 一种基于安全硬件隔离的移动智能终端支付***及方法
US10243745B2 (en) Method and system for producing a secure communication channel for terminals
US20180115429A1 (en) Revocation status using other credentials
CN103685138B (zh) 移动互联网上的Android平台应用软件的认证方法和***
CN104885425A (zh) 使得客户端能够提供服务器实体的技术
US9203621B2 (en) Policy-based data management
US9628516B2 (en) Policy-based data management
CN104980477A (zh) 云存储环境下的数据访问控制方法和***
CN104904156A (zh) 认证处理装置、认证处理***、认证处理方法以及认证处理程序
US8667270B2 (en) Securely upgrading or downgrading platform components
CN101527634A (zh) 账户信息与证书绑定的***和方法
CN111049806B (zh) 一种联合权限控制方法、装置、电子设备和存储介质
CN111566647B (zh) 基于区块链的身份识别***
CN113743921A (zh) 数字资产的处理方法、装置、设备及存储介质
CN112968779A (zh) 一种安全认证与授权控制方法、控制***、程序存储介质
WO2014151245A1 (en) Personal authentication device and system for securing transactions on a mobile device
Groza et al. CarINA-Car sharing with IdeNtity based Access control re-enforced by TPM
JPWO2020090418A1 (ja) 電子制御装置、電子制御装置のリプログラミング方法
US20240193255A1 (en) Systems and methods of protecting secrets in use with containerized applications
CN114205086A (zh) 基于区块链的数字证书处理方法以及装置
CN107004071A (zh) 软件处理设备、服务器***及其方法
TW201622392A (zh) 裝置之允入控制技術
US20240249029A1 (en) Utilizing hardware tokens in conjunction with HSM for code signing
EP4191938A1 (en) Non-repudiable endorsement of a private attestation

Legal Events

Date Code Title Description
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant