TWI601405B - 用於雲端輔助式密碼術之方法及設備 - Google Patents

用於雲端輔助式密碼術之方法及設備 Download PDF

Info

Publication number
TWI601405B
TWI601405B TW104104390A TW104104390A TWI601405B TW I601405 B TWI601405 B TW I601405B TW 104104390 A TW104104390 A TW 104104390A TW 104104390 A TW104104390 A TW 104104390A TW I601405 B TWI601405 B TW I601405B
Authority
TW
Taiwan
Prior art keywords
encrypted
key
symmetric key
consumer device
ccs
Prior art date
Application number
TW104104390A
Other languages
English (en)
Other versions
TW201541923A (zh
Inventor
亞歷克斯 奈蕭特
夏隆 奧馬爾 班
尼德Ｍ 史密斯
小愛德華Ｖ 吉米森
何慕德Ｍ 赫斯拉維
Original Assignee
英特爾公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 英特爾公司 filed Critical 英特爾公司
Publication of TW201541923A publication Critical patent/TW201541923A/zh
Application granted granted Critical
Publication of TWI601405B publication Critical patent/TWI601405B/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/72—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in cryptographic circuits
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/062—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying encryption of the keys

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

用於雲端輔助式密碼術之方法及設備 發明領域
實施例係關於雲端輔助式密碼術。
發明背景
歸因於對於金鑰在所有裝置上之安全分佈及安全儲存兩者的需要，在計算裝置之間安全地共享私密金鑰可呈現挑戰。一種解決方案係在例如如藉由受信任計算組織(TCG)定義之受信任平臺模組(TPM)之間的金鑰同步，但此解決方案通常係複雜、成本高的，且可能在所有端點上需要特定硬體。結果，不存在以下直接方式：在無特定硬體及金鑰同步方法之實施的情況下消耗藉由端點上之公開金鑰密碼術所保護之資訊。
現有的硬體安全性模組(HSM)可藉由伺服器平臺使用，來在亦可保護諸如加密及簽署之金鑰操作的安全容器中相遠隔地管理金鑰。HSM通常被期望以最高安全性層級來操作，此係因為其對於龐大的人群管理金鑰。因此，最安全使用狀況之安全性要求變為對於HSM之最小安全性要求，此情況可添加大成本及部署生命週期額外負擔。
依據本發明之一實施例，係特地提出一種系統，其包含：一處理器，其包括：私密金鑰解密邏輯，其用以對自一消費裝置所接收之一經加密私密金鑰解密且用以產生一私密金鑰；及對稱金鑰解密邏輯，其用以自該私密金鑰解密邏輯接收該私密金鑰且用以對自該消費裝置所接收之一經加密對稱金鑰解密，其中該解密係使用該私密金鑰而被實行；以及一動態隨機存取記憶體(DRAM)，其耦接至該處理器。
100、200、800‧‧‧系統
110‧‧‧(安全)端點裝置
120、204、304、402、502‧‧‧消費裝置
130‧‧‧產生裝置
140‧‧‧雲端計算伺服器(CCS)
202‧‧‧使用者裝置
203、210、324‧‧‧處理器
205、216‧‧‧動態隨機存取記憶體(DRAM)
206‧‧‧雲端計算服務(CCS)
208‧‧‧暫時性節點
212‧‧‧私密金鑰解密邏輯
214‧‧‧對稱金鑰解密邏輯
220‧‧‧認證邏輯
232‧‧‧安全會話邏輯
234‧‧‧解密邏輯
302‧‧‧內容源/使用者
306‧‧‧雲端密碼服務(CCS)
308‧‧‧經加密內容檔案
310、312‧‧‧請求
314、606、608、610‧‧‧隱蔽的私密金鑰
316、604‧‧‧隱蔽的對稱金鑰
318、320‧‧‧損毀
322‧‧‧對稱金鑰
326‧‧‧經解密內容檔案
404、504‧‧‧CCS暫時性節點
406、506‧‧‧安全的指定位址空間
408、410、508、510、512、 514、522、524‧‧‧步驟
412、518‧‧‧解開請求
414‧‧‧發送
416‧‧‧命令
500‧‧‧流程圖
516‧‧‧核對
520‧‧‧步驟/對稱金鑰
600‧‧‧檔案二進位大型物件(「blob」)
602‧‧‧(經加密)密文
612‧‧‧資料安全性層級指示符
614‧‧‧數位簽章/簽章金鑰
700‧‧‧方法
705、710、720、730、740、750、760、770、780‧‧‧區塊
810‧‧‧應用程式處理器
815‧‧‧儲存體
820‧‧‧輸入/輸出系統
825‧‧‧可再充電電源供應器
830‧‧‧基頻處理器
840‧‧‧收發器
850‧‧‧天線
860‧‧‧整合式感測器集線器(ISH)
870‧‧‧感測器
圖1為根據本發明之一實施例的系統之方塊圖。
圖2為根據本發明之另一實施例的系統之方塊圖。
圖3為用於根據本發明之實施例之系統的流程圖。
圖4為根據本發明之一實施例的認證及金鑰解密之流程圖。
圖5為根據本發明之另一實施例的認證及金鑰解密之流程圖。
圖6為根據本發明之實施例的檔案二進位大型物件(blob)之方塊圖。
圖7為根據本發明之一實施例的用於進行雲端輔助式密碼術之方法的流程圖。
圖8為根據本發明之另一實施例的系統之方塊 圖。
詳細說明
呈現了使用分佈式及雲端輔助式技術之方法及設備，該等技術用於在平臺之個人計算雲端(本文中為「個人雲端」或「雲端」)中允許虛擬類TPM性能，該等平臺藉由對每一操作之端點與個人雲端執行個體之間的協作代表另一端點在雲端中執行密碼功能。經由此等技術之使用，用戶端及雲端執行個體皆不可個別地執行密碼功能，且相關之私密金鑰並未以純文字儲存或儲存於端點抑或雲端執行個體上。雲端中之操作可在具有認證之受信任執行環境(TEE)中執行。認證可確保，對於特定密碼操作，私密金鑰並未暴露於個人雲端外部。
三方演算法可實施於金鑰擁有者、請求使用金鑰之密碼操作的裝置，及執行密碼操作之雲端系統之間。
實施例可在許多不同類型之系統中使用。舉例而言，在一實施例中，通訊裝置(例如，電話、平板電腦、膝上型電腦、其他計算裝置，等)可經配置以執行本文所述之各種方法及技術。注意，本發明之範疇不限於通訊裝置。其他實施例可針對用於處理指令之其他類型的設備。一或多個機器可讀媒體可包括指令，該等指令回應於執行於計算裝置上而使該裝置執行本文所述之方法及技術中的一或多者。
在實施例中，私密金鑰係藉由雲端之公開金鑰保 護。私密金鑰可經加密(例如，以形成經加密私密金鑰)，使得僅雲端伺服器可使用其。為了使用私密金鑰，端點可將經加密私密金鑰發送至雲端伺服器且並未將私密金鑰儲存於雲端伺服器上，該雲端伺服器可提取私密金鑰且在受信任執行環境中暫時地將所提取之私密金鑰用作端點的代理。私密金鑰之提取可以受信任執行環境(TEE)已滿足安全強化策略為條件，該安全強化策略可部分地使用伺服器之TEE的認證及使用者指定之強化要求來建立。
各種用戶端平臺可包括TEE成分以實施協定；因此，實施暫時性操作之『伺服器』(「消費裝置」)的作用可藉由多種平臺來執行，包括智慧型電話、平板電腦、輕量級筆記型電腦、桌上型電腦、伺服器、虛擬化伺服器及嵌入式系統。此靈活性在異質計算環境中可為有利的，在該等環境中，存在不具有TEE成分來實施協定且可具有各種程度之值得信任計算功能性的平臺。使用者可繼續使用「-較弱」裝置(例如，消費裝置)來存取強保護資料，只要其具有對某其他裝置(例如，雲端伺服器)之存取權即可，該某其他裝置具有TEE成分且可充當用於本機TEE性能的取代者。
本發明之實施例可包括對於包括個人雲端/裝置叢集節點之分佈式系統的值得信任代理器發現及計劃執行協定，該等節點可包括虛擬化環境。具備TEE功能之節點可維持資料保護及身份識別金鑰之冗餘複本，因此其保持高可利用的。具備較少功能之節點(例如，消費裝置)可用以 藉由存取具備TEE功能之節點中的一者以相遠隔地執行加密/解密操作來操縱敏感資料。
在實施例中，值得信任代理器發現性能可識別可藉由值得信任度評級表徵之較不值得信任節點。根據值得信任度評級所組織之資料可與類似值得信任度評級之消費節點匹配。舉例而言，可使用正式信任評級系統，例如，Clarke-Wilson、Biba、Take-Gant、Bell-LaPadulla、Graham-Denning，及其他。
本發明之實施例可能不利用用於暫時性節點之HSM，其將另外添加成本及複雜性。藉由不在暫時性TEE節點上存留任何使用者控制之個人雲端秘密(例如，對稱金鑰、私密金鑰，等)，「攻擊表面」(例如，系統之弱點)可減小。TEE認證性能可用以發現節點根據使用者控制之個人雲端或分佈式系統中之『產生』、『暫時性』或『消費』節點的類型起作用的合適性。金鑰提供可使用權力管理策略來執行，其中對將要提供之金鑰解密(「解開」)之權利可系結至可描述當前操作狀態的TEE平臺組態暫存器(PCR)。舉例而言，PCR可安全地呈現給雲端伺服器作為解開金鑰之權利的證據。
節點型特定策略可伴隨隱蔽金鑰檔案「blob」，例如，二進位大型物件。
根據一策略，提供至暫時性節點之金鑰將在交易式金鑰操作完成之後得以刪除。
較不值得信任節點可在以下條件適用之個人雲 端/分佈式環境中無信任損失的情況下參與：
- 消費節點可具有強化裝置識別性能，但不具有用於儲存/使用資料及使用者驗證金鑰之通用TEE。
- 消費節點可具有可用以提供臨時金鑰(例如，每天或每小時)之受信任可管理性子系統，該臨時金鑰接著用以對暫時性節點驗證。
實施例可包括以下組件：
1. 公開金鑰基礎架構(PKI)，其能夠產生私密/公開金鑰對。
2. 具有合適之具備密碼功能之硬體的端點裝置，例如，身份識別保護技術(IPT)、受信任平臺模組(TPM)及/或HSM，其能夠保管其自己的私密金鑰且亦能夠藉由已知的公開金鑰執行密碼操作(例如，內容加密)，該公開金鑰例如屬於另一電腦及/或使用者。
3. 雲端環境，其能夠啟動TEE內之程式碼且能夠證實執行環境(雲端環境)及在雲端環境內執行之程式碼的完整性。此雲端環境亦能夠執行各種密碼操作。
4. 其他裝置(例如，消費裝置)，其想要將密碼操作委派給雲端且可在其所有物中具有相關的經加密私密金鑰。
5. 網路，其能夠在端點與雲端服務之間傳送資料及後設資料。
6. TEE，其能夠證實TEE當前組態及強化狀態。
7. 具有平臺組態暫存器(PCR)或虛擬記憶體功能指令(VM_Func)之TEE，其能夠記錄及報告TEE記憶體違反事 件。
8. 協定，其用於發現及分類適於參與個人雲端模型之節點且用於根據該分類執行金鑰提供計劃。
PKI可對於端點產生金鑰。具有對於金鑰之安全儲存的每一端點可接收個別私密金鑰，而無安全儲存之每一端點可接收其已藉由雲端服務之公開金鑰加密的個別私密金鑰之複本。
產生端點可產生內容且可藉由產生隨機對稱金鑰而保護內容。產生端點可接著藉由隨機對稱金鑰對內容加密。對稱金鑰可藉由個別私密金鑰加密，從而將經加密對稱金鑰與內容保持為後設資料。個別私密金鑰可藉由雲端服務之公開金鑰加密。
在一實施例中，想要使用經加密內容且具有其自己之私密金鑰的端點可將包括經加密對稱金鑰之後設資料的經加密內容以及其自己之經加密私密金鑰發送至雲端，使得雲端可代表端點對內容進行操作。雲端(例如，虛擬機(VM))可對經加密私密金鑰解密(例如，使用雲端之公開/私密金鑰密碼系統的解密金鑰)。藉由(未加密)私密金鑰，雲端可對對稱金鑰解密且接著可使用該對稱金鑰代表用戶端執行行動(例如，傳回金鑰，執行雲端中之檔案內容的編輯，在檔案內容係可執行內容之情況下執行該檔案內容，呈現檔案以供安全遠端檢視，等)。
在另一實施例中，例如消費裝置之另一裝置可能希望存取已藉由對稱金鑰加密之經加密內容。消費裝置具 有對經加密對稱金鑰(藉由私密金鑰所加密)及經加密私密金鑰(藉由雲端計算服務公開金鑰(PKI)所加密之私密金鑰)的存取權。消費裝置可將經加密對稱金鑰及經加密私密金鑰發送至雲端計算服務(CCS)。CCS可對經加密私密金鑰解密(例如，使用CCS之PKI的解密金鑰)。藉由(未加密)私密金鑰，雲端可對經加密對稱金鑰解密且將(未加密)對稱金鑰傳回至消費裝置，該消費裝置可對經加密內容解密。因此，儘管消費裝置不能夠直接地對經加密對稱金鑰解密以便對經加密內容解密，但CCS可將(解開的)對稱金鑰提供至消費裝置。
圖1為根據本發明之一實施例的系統100之方塊圖。系統100包括(安全)端點裝置110、消費裝置120(例如，蜂巢式電話或其他使用者互動式裝置、平板電腦智慧型電話、輕量級筆記型電腦、桌上型電腦、伺服器、虛擬化伺服器、嵌入式系統，等)、產生裝置130，及雲端計算伺服器(CCS)140。
在操作中，產生裝置130可產生一或多個金鑰。舉例而言，產生裝置130可產生可藉由能夠保管其自己之私密金鑰的端點裝置110請求的(隨機)對稱金鑰、私密金鑰、公開加密金鑰，等。
消費裝置120可自端點裝置110接收已使用對稱金鑰加密之經加密檔案。端點裝置110亦可將已藉由自產生裝置130所接收之私密金鑰加密的經加密對稱金鑰(「隱蔽的對稱金鑰」)發送至消費裝置120(例如，作為經加密檔 案之後設資料)。消費裝置120亦可接收經加密私密金鑰(「隱蔽的私密金鑰」)，該經加密私密金鑰係藉由可藉由CCA 140解密之PKI加密所加密(例如，經由公開金鑰)的私密金鑰。
CCS 140可具有對與消費裝置120交換安全資訊而言被認為可接受的安全性層級。消費裝置120可將請求發送至CCS 140以對隱蔽的對稱金鑰解密。該請求可包括隱蔽的對稱金鑰及隱蔽的私密金鑰。CCS 140可具有對非對稱解密金鑰(例如，藉由產生裝置130所提供)之存取權，以對經PKI加密私密金鑰解密。CCS 140可經由例如儲存於CCS 140之金鑰保存庫中之非對稱PKI解密金鑰的使用而對隱蔽的私密金鑰解密。
在解開隱蔽的私密金鑰之後，CCS 140可使用(解開的)私密金鑰來對隱蔽的對稱金鑰解密。在解開隱蔽的對稱金鑰之後，CCS 140可回應於請求而將(解開的)對稱金鑰發送至消費裝置120。消費裝置120可使用對稱金鑰對經加密資料檔案解密，以產生純文字檔案(例如，經解密檔案)。
在一些實施例中，CCS 140在已將對稱金鑰發送至消費裝置120之後損毀駐留於CCS 140上之私密金鑰及對稱金鑰的任何複本。因此，消費裝置120可請求CCS 140對針對經加密資料檔案之解密所需的隱蔽的對稱金鑰解密，且消費裝置120可自CCS 140接收(經解密)對稱金鑰且對經加密資料檔案解密以存取經解密資料檔案(純文字檔案)。在對稱金鑰發送至消費裝置120之後，無私密金鑰 或對稱金鑰之複本保留於CCS 140處。
圖2為根據本發明之一實施例的系統200之方塊圖。系統200包括消費裝置204及雲端計算服務(CCS)206。
消費裝置204包括處理器203，處理器203包括安全會話邏輯232及解密邏輯234，且消費裝置204亦包括動態隨機存取記憶體(DRAM)205。安全會話邏輯232及解密邏輯234可以軟體、硬體、韌體或其組合來實施。
CCS 206包括暫時性節點208，且可包括其他暫時性節點(未展示)。暫時性節點208包括處理器210，處理器210包括私密金鑰解密邏輯212、對稱金鑰解密邏輯214及認證邏輯220。私密金鑰解密邏輯212、對稱金鑰解密邏輯214及認證邏輯220可各自以軟體、硬體、韌體或其組合來實施。暫時性節點208亦包括耦接至處理器210之DRAM 216，以儲存可藉由處理器210存取的應用程式、資料等。
在操作中，使用者裝置202之安全會話邏輯232可將請求發送至消費裝置204以打開安全會話，且可包括認證請求例如以確認暫時性節點208之安全性層級。作為回應，消費裝置204可接收藉由處理器210之認證邏輯220所產生的認證。在認證藉由消費裝置204接收之後，安全會話邏輯232可建立對暫時性節點208之安全連接。認證可指示CCS 206之安全性層級。
在認證藉由消費裝置204接收後，安全會話邏輯232即可將請求發送至暫時性節點208以對經加密資料檔 案解密。安全會話邏輯232可將經加密資料檔案之後設資料發送至暫時性節點208，該後設資料例如經加密對稱金鑰(例如，藉由私密金鑰所加密之對稱金鑰)。安全會話邏輯232亦可將隱蔽的私密金鑰發送至暫時性節點208，該隱蔽的私密金鑰例如藉由CCS 206之公開金鑰所加密的私密金鑰。
在暫時性節點208處，處理器210內之私密金鑰解密邏輯212可使用例如與CCS公開加密相關聯之非對稱解密金鑰對私密金鑰解密(例如，以對經PKI加密私密金鑰解密)。在一實施例中，非對稱解密金鑰可藉由處理器210自例如金鑰儲存體(未展示)擷取。
在對經加密私密金鑰解密之後，(未加密)私密金鑰可藉由對稱金鑰解密邏輯214存取以對經加密對稱金鑰解密。在對稱金鑰經解密之後，處理器210可將對稱金鑰發送至消費裝置204。消費裝置204之處理器203內的解密邏輯234可使用對稱金鑰對經加密資料檔案解密，以產生純文字檔案。在將對稱金鑰發送至消費裝置204之後，暫時性節點208之處理器210可損毀駐留於暫時性節點208處之對稱金鑰及私密金鑰。在對稱金鑰發送至消費裝置204之後，安全會話可結束。
圖3為用於根據本發明之實施例之系統的流程圖。內容源302可為安全端點(例如，支援安全金鑰儲存)。使用者302可藉由請求310將經加密內容檔案308發送310至消費裝置304，以對經加密檔案308解密。經加密檔案 308可包括後設資料，該後設資料包括已使用私密金鑰加密之經加密對稱金鑰。經加密私密金鑰亦可自可能不支援安全金鑰儲存之內容源302發送至消費裝置304，該經加密私密金鑰例如使用雲端密碼服務(CCS)306之公開金鑰所加密的私密金鑰。
消費裝置304可將請求312發送至雲端密碼服務(CCS)306以對隱蔽的對稱金鑰解密。該請求可包括隱蔽的對稱金鑰及隱蔽的私密金鑰。CCS 306可使用PKI非對稱私密金鑰(可自儲存體(例如，金鑰保存庫，未展示)擷取)在CCS 306之安全的指定位址空間(secure enclave)處對隱蔽的私密金鑰314解密。在隱蔽的私密金鑰藉由CCS 306之解密之後，(解開的)私密金鑰可用以對隱蔽的對稱金鑰316解密。
在隱蔽的對稱金鑰之解密之後，對稱金鑰322可傳回至消費裝置304。包括處理器324之消費裝置304可對經加密內容檔案308解密，以產生經解密內容檔案326(例如，純文字檔案)。在隱蔽的對稱金鑰得以解開之後，可損毀318保留於CCS 306之安全的指定位址空間處的私密金鑰之複本。在對稱金鑰322提供至消費裝置304之後，可損毀320保留於CCS 306之安全的指定位址空間處的對稱金鑰320之複本。
因此，經加密對稱金鑰在CCS 306之安全的指定位址空間處的解密使經加密資料檔案能夠在消費裝置304無需維持受信任金鑰(例如，私密金鑰或非對稱PKI金 鑰)之情況下在消費裝置304處解密。在對稱金鑰已發送至消費裝置304之後保留於CCS 306處之私密金鑰及對稱金鑰的複本被損毀。
圖4為根據本發明之一實施例的認證及金鑰解密之流程圖。消費裝置402將設立與雲端密碼服務(CCS)之CCS暫時性節點404的安全會話。
在408處，在消費裝置402與暫時性節點404之安全的指定位址空間406之間打開會話。在410處，將CCS之CCS暫時性節點404之安全的指定位址空間的安全性層級之認證傳回至消費裝置402。在藉由消費裝置402核對暫時性節點404經授權以接收用於對檔案解密之經加密對稱金鑰(例如，安全的指定位址空間之安全性層級滿足臨界層級)後，消費裝置402即將解開請求412發送至安全的指定位址空間以解開隱蔽的私密金鑰(例如，使用公開金鑰加密所隱蔽之私密金鑰)來產生私密金鑰，且解開經加密對稱金鑰(例如，藉由私密金鑰所加密之對稱金鑰)以產生對稱金鑰。在解密操作得以執行之後，將(解開的)對稱金鑰發送414至消費裝置402。在對稱金鑰之接收後，消費裝置402即將命令416發送至安全的指定位址空間406以關閉會話。
圖5為根據本發明之另一實施例的認證及金鑰解密之流程圖500。在508處，消費裝置502打開與暫時性節點504之安全的指定位址空間506的會話。在510處，將安全的指定位址空間之安全性層級的認證自安全的指定 位址空間506發送至消費裝置502。在512處，消費裝置502將消費裝置502之安全性層級的認證提供至暫時性節點504。在514處，安全的指定位址空間506基於所接收之認證將安全性層級指派給消費裝置。
在安全性層級經指派且安全會話得以建立之後，消費裝置502核對516安全的指定位址空間506之安全性層級匹配隱蔽的對稱金鑰之安全性層級，且將解開請求518發送至安全的指定位址空間506以對隱蔽的對稱金鑰解密。解開請求518包括隱蔽的對稱金鑰及使用CCS暫時性節點504之公開加密所隱蔽的隱蔽的私密金鑰。在520處，使用PKI解密解開隱蔽的私密金鑰(例如，CCS暫時性節點504之非對稱私密金鑰)，且使用(解開的)私密金鑰解開隱蔽的對稱金鑰。在522處，將對稱金鑰520發送至消費裝置502。在524處，消費裝置502關閉安全會話。
圖6為根據本發明之實施例的檔案二進位大型物件(「blob」)600之方塊圖。檔案blob 600包括(經加密)密文602、隱蔽的對稱金鑰604、隱蔽的私密金鑰606至610、資料安全性層級指示符612，及數位簽章614。
密文602包括已使用對稱金鑰加密之資料檔案內容。對稱金鑰係使用來自產生裝置之私密金鑰(Pr)隱蔽，且儲存為隱蔽的對稱金鑰604。
私密金鑰Pr可藉由多個公開金鑰中之每一者加密，每一公開金鑰與雲端服務提供者之不同暫時性節點相關聯。舉例而言，公開金鑰Tr-1,Tr-2,...Tr-n中之每一者可 與對應的暫時性節點相關聯，且每一公開金鑰可用以隱蔽Pr金鑰，以產生n個隱蔽金鑰{Pr}Tr-i(i=1,n)。隱蔽金鑰{Pr}Tr-i606至610中之每一者可儲存於檔案600中。具有隱蔽金鑰{Pr}Tr-i(i=1,n)之多個版本使多個暫時性節點中之任一者能夠用以對對稱金鑰解密。
舉例而言，隱蔽金鑰{Pr}Tr-1已藉由與雲端密碼服務(CCS，未展示)之第一暫時性節點相關聯的第一公開金鑰Tr-1加密。第一暫時性節點具有對第一非對稱金鑰之存取權，第一非對稱金鑰准許{Pr}Tr-1之解密以產生可用以對隱蔽的對稱金鑰解密的私密金鑰{Pr}。一旦被解開，則(解開的)對稱金鑰可用以例如藉由將對稱金鑰發送至對經加密檔案解密之受信任消費裝置而對經加密資料檔案解密。
或者，第一暫時性節點可接收經加密資料檔案，且可使用(經解密)對稱金鑰對經加密資料檔案解密。另外，在各種實施例中，第一暫時性節點可能能夠更改(例如，編輯)未加密資料檔案中之內容，以執行未加密資料檔案之可執行內容，呈現對於安全遠端檢視所保全的檔案之內容的一部分，等。
在另一實例中，隱蔽金鑰{Pr}Tr-2已藉由與CCS之第二暫時性節點相關聯的第二公開金鑰Tr-2加密。第二暫時性節點具有對第二非對稱金鑰之存取權，第二非對稱金鑰准許{Pr}Tr-2之解密以產生可用以對隱蔽的對稱金鑰解密的私密金鑰{Pr}。一旦被解開，則(解開的)對稱金鑰可用以例如藉由將對稱金鑰發送至對經加密檔案解密之受信 任消費裝置而對經加密資料檔案解密。
在又一實例中，作為隱蔽的對稱金鑰之多個複本的結果，分佈式執行計劃可用以排程對暫時性節點集區之解密操作。舉例而言，經加密私密金鑰{Pr}Tr-i(i=1,n)中之每一者可能能夠僅在對應的時間段期間在對應的暫時性節點處加密，例如，年代式排程可判定經加密私密金鑰606至610中之哪一者將發送至對應的暫時性節點來解密。
檔案blob 600可使用例如產生裝置之簽章金鑰614來簽署，使得資料安全性層級614可與經加密資料相關聯且因此blob結構可能不會藉由後建構來竄改。在操作中，在消費裝置與暫時性節點之間的會話打開後，檔案blob 600即可例如藉由建立匹配簽章614之安全性層級的消費裝置之安全性層級而藉由消費裝置存取。密文602可藉由消費裝置存取。消費裝置可擷取隱蔽的對稱金鑰604及隱蔽的私密金鑰606至610中之一者，且可請求隱蔽的對稱金鑰604藉由該等多個暫時性節點之所選擇暫時性節點解密。在對對稱金鑰解密且將對稱金鑰發送至消費裝置之後，保留於所選擇暫時性節點上之私密金鑰及對稱金鑰的複本可被損毀。在消費裝置處之經加密資料檔案使用對稱金鑰解密之後，(經解密)資料檔案可傳回至不安全的使用者。
圖7為根據本發明之一實施例的用於進行雲端輔助式密碼術之方法700的流程圖。在區塊705處，雲端密碼服務(CCS)自消費裝置接收邀請以開始安全通訊會 話。在區塊710處，回應於邀請，雲端密碼服務(CCS)提供CCS之安全性層級的認證。
任擇地，在區塊720處，CCS接收已起始安全會話之消費裝置的認證，且CCS將安全性層級指派給消費裝置。前進至區塊730，CCS之暫時性節點自消費裝置接收請求以解開隱蔽的對稱金鑰。藉由該請求，CCS暫時性節點接收已藉由私密金鑰加密之隱蔽的對稱金鑰。CCS暫時性節點亦接收已藉由與CCS共享之公開金鑰加密(例如，公開金鑰加密)之隱蔽的私密金鑰。
進行至區塊740，CCS暫時性節點使用與公開金鑰加密相關聯之非對稱金鑰對隱蔽的私密金鑰解密。繼續至區塊750，CCS暫時性節點使用(解開的)私密金鑰對隱蔽的對稱金鑰解密。前進至區塊760，CCS暫時性節點將(經解密)對稱金鑰發送至消費裝置以對經加密資料檔案解密。(或者，CCS暫時性節點可對將傳回至消費裝置之經加密資料檔案解密。)進行至區塊770，CCS暫時性節點損毀保留於CCS處之私密金鑰的複本及對稱金鑰之複本。該方法在780處結束。
實施例可併入至包括諸如蜂巢式電話、平板電腦等之行動裝置的其他類型之系統中。現參看圖8，展示了根據本發明之另一實施例的系統之方塊圖。如圖8中所示，系統800可為行動裝置且可包括各種組件。如圖8之高階視圖中所示，可為裝置之中央處理單元的應用程式處理器810與包括儲存體815之各種組件通訊。在各種實施例中， 儲存體815可包括程式及資料儲存部分兩者，且可經對映以提供安全儲存。
應用程式處理器810可進一步耦接至輸入/輸出系統820，輸入/輸出系統820在各種實施例中可包括顯示器及諸如觸控式小鍵盤之一或多個輸入裝置，該觸控式小鍵盤自身在被執行時可出現在顯示器上。系統800亦可包括整合式感測器集線器(ISH)860，整合式感測器集線器(ISH)860可自一或多個感測器870接收資料。
應用程式處理器810亦可耦接至基頻處理器830，基頻處理器830可調節諸如語音及資料通訊之信號以供輸出，以及調節傳入電話及其他信號。如所見，基頻處理器830耦接至收發器840，收發器840可允許接收性能及發射性能兩者。又，收發器840可與天線850通訊，例如，能夠根據電氣電子工程師學會802.11標準經由一或多個通訊協定發射及接收語音及資料信號的任何類型之天線，經由一或多個通訊協定諸如經由無線廣域網路(例如，3G或4G網路)及/或無線區域網路，諸如BLUETOOTHTM或所謂的WI-FITM網路。如所見，系統800可進一步包括可再充電電源供應器825，電源供應器825具有可再充電蓄電池以允許在行動環境中之操作。
在一實例中，系統800可充當消費裝置，例如，圖1之系統100的消費裝置120。作為消費裝置，系統800可接收具有後設資料之經加密資料檔案，該後設資料包括經加密對稱金鑰(藉由私密金鑰所加密)。該系統亦可接收經 加密私密金鑰(例如，經由PKI加密之公開金鑰所加密)。系統800可例如經由認證建立與雲端密碼服務(CCS)之安全會話，且系統800可將請求發出至CCS之CCS暫時性節點(未展示)以對經加密對稱金鑰解密。根據本發明之實施例，系統800可將經加密對稱金鑰及經加密私密金鑰提供至CCS暫時性節點。CCS暫時性節點可使用公開金鑰加密之非對稱私密金鑰解開隱蔽的私密金鑰，且可使用(解開的)私密金鑰來對隱蔽的對稱金鑰解密以傳回至系統800。根據本發明之實施例，系統800可接收對稱金鑰，且可使用對稱金鑰對經加密資料檔案解密以產生純文字檔案。
儘管在圖8之實施例中藉由此特定實行方案來展示，但本發明之範疇並未在此方面受到限制。
下文描述其他實施例。
在第一實例中，一種系統包括一雲端密碼伺服器(CCS)，該雲端密碼伺服器(CCS)包括一處理器，該處理器包括私密金鑰解密邏輯以對自一消費裝置所接收之一經加密私密金鑰解密來產生一私密金鑰。該處理器亦包括對稱金鑰解密邏輯以自該私密金鑰解密邏輯接收該私密金鑰且對自該消費裝置所接收之一經加密對稱金鑰解密，其中該解密係使用該私密金鑰而執行。該處理器亦包括對稱金鑰解密邏輯以自該私密金鑰解密邏輯接收該私密金鑰且對自該消費裝置所接收之一經加密對稱金鑰解密，其中該解密係使用該私密金鑰而執行。該系統亦包括耦接至該處理器之一動態隨機存取記憶體(DRAM)。
在包括實例1之系統的第二實例中，該經加密私密金鑰係使用與該雲端密碼伺服器相關聯之一公開金鑰加密而加密。
在包括實例1之系統的第三實例中，該經加密私密金鑰及該經加密對稱金鑰回應於藉由該對稱金鑰所加密之一經加密檔案藉由該消費裝置接收而自該消費裝置接收。
在包括實例1之系統的第四實例中，在該經加密私密金鑰及該經加密對稱金鑰自該消費裝置接收之前，該系統將建立一受信任執行環境(TEE)。
在包括實例4之系統的第五實例中，該TEE之建立包括回應於自該消費裝置所接收之一認證請求而提供一安全性層級之認證。
在包括實例1之系統的第六實例中，在該經加密對稱金鑰自該消費裝置之接收之前，該處理器將提供一指示：該系統之一安全性層級與該經加密對稱金鑰的一安全性層級相容。
在包括實例1之系統的第七實例中，在該經加密對稱金鑰之解密之後，該系統將會將該對稱金鑰提供至該消費裝置。
在包括實例7之系統的第八實例中，該系統在該對稱金鑰提供至該消費裝置之後將損毀駐留於該系統中之該私密金鑰的一複本。
在包括實例7之系統的第九實例中，該系統在該 對稱金鑰提供至該消費裝置之後將損毀駐留於該系統中之該對稱金鑰的一複本。
在包括實例1之系統的第十實例中，該系統將自該消費裝置接收一經加密檔案，使用該對稱金鑰對自該消費型裝置所接收之一經加密檔案解密以產生一未加密資料檔案，以及將該未加密資料檔案傳回至該消費裝置。
在第十一實例中，一種方法包括：藉由包括至少一處理器之一雲端計算伺服器(CCS)接收對一經加密對稱金鑰解密的一請求；接收該經加密對稱金鑰及包含已經由一公開金鑰加密之一私密金鑰的一經加密私密金鑰；以及在對該第一經加密私密金鑰解密之後，使用該私密金鑰對該經加密對稱金鑰解密以產生一對稱金鑰。
在包括實例11之方法的第十二實例中，該方法包括將該對稱金鑰提供至一消費裝置。
在包括實例12之方法的第十三實例中，該方法包括在將該對稱金鑰提供至該消費裝置之後，藉由該CCS損毀存在於該CCS中之該對稱金鑰的一複本。
在包括實例12之方法的第十四實例中，該方法包括在將該對稱金鑰提供至該消費裝置之後，藉由該CCS損毀存在於該雲端伺服器中之該私密金鑰的一複本。
在包括實例11之方法的第十五實例中，該方法包括在接收該經加密對稱金鑰之前，自該消費裝置接收針對一安全性認證之一請求，且回應於該請求而提供該安全性認證。
在包括實例11之方法的第十六實例中，該方法包括在提供該對稱金鑰之前，自該消費裝置接收一消費裝置安全性認證。
在包括實例15之方法的第十七實例中，該經加密對稱金鑰僅在該CCS基於該安全性認證具有一安全性層級時自該消費裝置接收，該安全性層級滿足與該對稱金鑰相關聯之一對稱金鑰安全性層級。
第十八實例係一種設備，其包括執行實例11至17中之任一者之方法的構件。
第十九實例係一種包括機器可讀指令之機器可讀儲存體，該等指令在被執行時實施實例11至17中之任一者的方法。
第二十實例係一種包括一處理器之系統，該處理器包括安全會話邏輯以：起始與一雲端密碼服務(CCS)之一安全通訊會話；經由該安全通訊會話將對經由一私密金鑰所加密之一經加密對稱金鑰解密的一請求提供至該CCS；提供該經加密對稱金鑰及一經加密私密金鑰，該經加密私密金鑰係經由與該CCS相關聯的公開金鑰加密而加密；以及回應於對該經加密對稱金鑰解密之該請求而自該CCS接收該對稱金鑰。該系統亦包括一動態隨機存取記憶體(DRAM)。
第21實例包括實例20之系統，且該處理器進一步包括解密邏輯以使用該對稱金鑰對一經加密資料檔案解密來產生一未加密資料檔案。
第22實例包括實例20之系統，其中該安全會話邏輯將在該安全通訊會話之建立之前將一消費裝置安全性認證提供至該CCS。
第23實例包括實例20之系統，且其中該安全會話邏輯將在該安全通訊會話之建立之前自該CCS接收一CCS安全性認證。
第24實例係方法，其包括藉由一消費裝置之一處理器起始與一雲端密碼服務(CCS)之一安全通訊會話。該方法包括藉由該消費型裝置經由該安全通訊會話將對一經加密對稱金鑰解密之一請求、包括經由與該CCS相關聯之公開金鑰加密所加密的一私密金鑰之一經加密私密金鑰，及包括經由該私密金鑰所加密之對稱金鑰的該經加密對稱金鑰提供至該CCS。該方法包括回應於對該經加密對稱金鑰解密之該請求而自該CCS接收該對稱金鑰。
第25實例包括實例24之方法，進一步包括使用該對稱金鑰對一經加密資料檔案解密以產生一未加密資料檔案。
第26實例包括實例24之方法，進一步包括在該安全通訊會話之建立之前自該CCS接收一CCS安全性認證。
第27實例包括實例24之方法，進一步包括在該安全通訊會話之建立之前將一消費裝置安全性認證提供至該CCS。
第28實例係一種設備，其包括用於執行實例24 至27之方法中之任一者的構件。
第29實例係一種包括機器可讀指令之機器可讀儲存體，該等指令在被執行時實施實例24至27中之任一者的方法。
第30實例係一種設備，其包括用於起始與一雲端密碼服務(CCS)之一安全通訊會話的起始構件。該設備亦包括請求構件，該請求構件用於經由該安全通訊會話將對一經加密對稱金鑰解密之一請求、包括經由與該CCS相關聯之公開金鑰加密所加密的一私密金鑰之一經加密私密金鑰，及包括經由該私密金鑰所加密之對稱金鑰的該經加密對稱金鑰提供至該CCS。該設備亦包括接收構件，該接收構件用於回應於對該經加密對稱金鑰解密之該請求而自該CCS接收該對稱金鑰。
第31實例包括實例30之設備，且進一步包括用於使用該對稱金鑰對一經加密資料檔案解密來產生一未加密資料檔案之解密構件。
第32實例包括實例30之設備，該接收構件進一步用於在該安全通訊會話之建立之前自該CCS接收一CCS安全性認證。
第33實例包括實例30之設備，進一步包括用於在該安全通訊會話之建立之前將一消費裝置安全性認證提供至該CCS之認證構件。
第34實例係一種設備，其包括用於自一消費裝置接收一請求以對一經加密對稱金鑰解密之接收構件。該 接收構件進一步用於接收該經加密對稱金鑰及包括已經由一公開金鑰加密之一私密金鑰的一經加密私密金鑰。該設備亦包括用於對該第一經加密私密金鑰解密以產生一私密金鑰之解密構件。該解密構件亦用於，在對該第一經加密私密金鑰解密之後，使用該私密金鑰對該經加密對稱金鑰解密以產生一對稱金鑰。
在包括實例34之設備的第35實例中，該設備進一步包括用於將該對稱金鑰提供至該消費裝置之輸出構件。
在包括實例35之設備的第36實例中，該設備進一步包括用於在將該對稱金鑰提供至該消費裝置之後損毀存在於該設備中之該對稱金鑰之一複本的構件。
在包括實例36之設備的第37實例中，該設備包括用於在將該對稱金鑰提供至該消費裝置之後損毀存在於該設備中之該私密金鑰之一複本的構件。
在包括實例34之設備的第38實例中，該接收構件進一步用於在接收該經加密對稱金鑰之前自該消費裝置接收針對一安全性認證之一請求，且該設備進一步包括用於回應於該請求而提供該安全性認證的認證構件。
在包括實例34之設備的第39實例中，該接收構件進一步用於在接收該經加密對稱金鑰之前自該消費裝置接收一消費裝置安全性認證。
在包括實例38之設備的第40實例中，該經加密對稱金鑰僅在該CCS基於該安全性認證具有一安全性層級 時自該消費裝置接收，該安全性層級滿足與該對稱金鑰相關聯之一對稱金鑰安全性層級。
實施例可以程式碼來實施且可儲存於非暫時性儲存媒體上，該非暫時性儲存媒體儲存有指令，該等指令可用以規劃系統以執行指令。儲存媒體可包括但不限於：任何類型之磁碟，包括軟碟、光碟、固態驅動機(SSD)、壓縮碟唯讀記憶體(CD-ROM)、可重寫壓縮碟(CD-RW)及磁光碟；半導體裝置，諸如唯讀記憶體(ROM)、隨機存取記憶體(RAM)，諸如動態隨機存取記憶體(DRAM)、靜態隨機存取記憶體(SRAM)、可抹除可規劃唯讀記憶體(EPROM)、快閃記憶體、電氣可抹除可規劃唯讀記憶體(EEPROM)；磁卡或光卡，或適於儲存電子指令之任何其他類型的媒體。
儘管已關於有限數目個實施例描述本發明，但熟習此項技術者將瞭解基於該等實施例之眾多修改及變化。預期所附申請專利範圍涵蓋如屬於本發明之真實精神及範疇之所有此等修改及變化。
200‧‧‧系統
203、210‧‧‧處理器
204‧‧‧消費裝置
205、216‧‧‧動態隨機存取記憶體(DRAM)
206‧‧‧雲端計算服務(CCS)
208‧‧‧暫時性節點
212‧‧‧私密金鑰解密邏輯
214‧‧‧對稱金鑰解密邏輯
220‧‧‧認證邏輯
232‧‧‧安全會話邏輯
234‧‧‧解密邏輯

Claims (20)

  1. 一種運算系統，其包含：一處理器，其包括：私密金鑰解密邏輯，其用以對所接收來自一消費裝置之一經加密私密金鑰解密且用以產生一私密金鑰；及對稱金鑰解密邏輯，其用以接收來自該私密金鑰解密邏輯之該私密金鑰且用以對所接收來自該消費裝置之一經加密對稱金鑰解密，其中該解密係使用該私密金鑰而被實行；以及一動態隨機存取記憶體(DRAM)，其耦接至該處理器。
  2. 如請求項1之系統，其中該經加密私密金鑰係使用一公開金鑰加密而被加密。
  3. 如請求項1之系統，其中回應於由該消費裝置接收以該對稱金鑰所加密之一經加密檔案而接收來自該消費裝置之該經加密私密金鑰及該經加密對稱金鑰。
  4. 如請求項1之系統，其中在接收來自該消費裝置之該經加密私密金鑰及該經加密對稱金鑰之前，該系統要建立一受信任執行環境(TEE)。
  5. 如請求項4之系統，其中該TEE之建立包括將一安全性層級之認證提供至該消費裝置。
  6. 如請求項1之系統，其中在接收來自該消費裝置之該經 加密對稱金鑰之前，該處理器要提供與該經加密對稱金鑰之一安全性層級相容的該系統之一安全性層級的一指示。
  7. 如請求項1之系統，其中在該經加密對稱金鑰之解密之後，該系統要提供該對稱金鑰至該消費裝置。
  8. 如請求項7之系統，其中該處理器在該對稱金鑰被提供至該消費裝置之後將損毀駐留於該系統中之該私密金鑰的一複本。
  9. 如請求項7之系統，其中該系統在該對稱金鑰被提供至該消費裝置之後將損毀駐留於該系統中之該對稱金鑰的一複本。
  10. 如請求項1之系統，其中該處理器用以：接收來自該消費裝置之一經加密檔案；使用該對稱金鑰對所接收來自該消費者裝置之一經加密檔案解密以產生一未經加密資料檔案；以及將該未經加密資料檔案傳回至該消費裝置。
  11. 一種用於雲端輔助式密碼術之方法，其包含：由包括至少一處理器之一雲端計算伺服器(CCS)接收來自一消費裝置對一經加密對稱金鑰解密的一請求；接收該經加密對稱金鑰及包含已經由一公開金鑰加密之一私密金鑰的一經加密私密金鑰；對該第一經加密私密金鑰解密以產生一私密金鑰；以及 在對該第一經加密私密金鑰解密之後，使用該私密金鑰對該經加密對稱金鑰解密以產生一對稱金鑰。
  12. 如請求項11之方法，其進一步包含將該對稱金鑰提供至該消費裝置。
  13. 如請求項12之方法，其進一步包含在將該對稱金鑰提供至該消費裝置之後，由該CCS損毀存在於該CCS中之該對稱金鑰的一複本。
  14. 如請求項12之方法，其進一步包含在將該對稱金鑰提供至該消費裝置之後，由該CCS損毀存在於該雲端伺服器中之該私密金鑰的一複本。
  15. 如請求項11之方法，其進一步包含在接收該經加密對稱金鑰之前，接收來自該消費裝置針對一安全性認證之一請求，且回應於該請求而提供該安全性認證。
  16. 如請求項11之方法，其進一步包含在接收該經加密對稱金鑰之前，接收來自該消費裝置之一消費裝置安全性認證。
  17. 如請求項15之方法，其中僅在該CCS基於該安全性認證具有滿足與該對稱金鑰相關聯之一對稱金鑰安全性層級之一安全性層級時，接收來自該消費裝置之該經加密對稱金鑰。
  18. 一種運算系統，其包含：一處理器，其包括：安全會話(secure session)邏輯，其用以：起始與一雲端密碼服務(CCS)之一安全通 訊會話；經由該安全通訊會話將對經由一私密金鑰所加密之一經加密對稱金鑰解密的一請求、該經加密對稱金鑰及包括經由與該CCS相關聯之公開金鑰加密所加密的該私密金鑰之一經加密私密金鑰提供至該CCS；及回應對該經加密對稱金鑰解密之該請求而接收來自該CCS之該對稱金鑰；以及一動態隨機存取記憶體(DRAM)。
  19. 如請求項18之系統，其中該處理器進一步包含解密邏輯，其用以使用該對稱金鑰對一經加密資料檔案解密來產生一未經加密資料檔案。
  20. 如請求項18之系統，其中該安全會話邏輯要在該安全通訊會話的建立之前將一消費裝置安全性認證提供至該CCS。
TW104104390A 2014-03-27 2015-02-10 用於雲端輔助式密碼術之方法及設備 TWI601405B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
US14/227,319 US9503433B2 (en) 2014-03-27 2014-03-27 Method and apparatus for cloud-assisted cryptography

Publications (2)

Publication Number Publication Date
TW201541923A TW201541923A (zh) 2015-11-01
TWI601405B true TWI601405B (zh) 2017-10-01

Family

ID=54191993

Family Applications (1)

Application Number Title Priority Date Filing Date
TW104104390A TWI601405B (zh) 2014-03-27 2015-02-10 用於雲端輔助式密碼術之方法及設備

Country Status (6)

Country Link
US (1) US9503433B2 (zh)
EP (1) EP3123657B1 (zh)
KR (1) KR101894232B1 (zh)
CN (1) CN106063183B (zh)
TW (1) TWI601405B (zh)
WO (1) WO2015148884A1 (zh)

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8949818B2 (en) 2012-06-29 2015-02-03 Intel Corporation Mechanism for facilitating dynamic and trusted cloud-based extension upgrades for computing systems
US10873454B2 (en) * 2014-04-04 2020-12-22 Zettaset, Inc. Cloud storage encryption with variable block sizes
US10298555B2 (en) * 2014-04-04 2019-05-21 Zettaset, Inc. Securing files under the semi-trusted user threat model using per-file key encryption
US10043029B2 (en) * 2014-04-04 2018-08-07 Zettaset, Inc. Cloud storage encryption
US10303879B1 (en) * 2014-11-06 2019-05-28 Amazon Technologies, Inc. Multi-tenant trusted platform modules
EP3032453B1 (en) * 2014-12-08 2019-11-13 eperi GmbH Storing data in a server computer with deployable encryption/decryption infrastructure
US9921976B2 (en) * 2015-03-25 2018-03-20 Vera Access files
US20170034214A1 (en) * 2015-07-30 2017-02-02 Northrop Grumman Systems Corporation Apparatus and method for cross enclave information control
US10411879B2 (en) 2016-03-25 2019-09-10 Synergex Group Methods, systems, and media for using dynamic public key infrastructure to send and receive encrypted messages
US10826875B1 (en) * 2016-07-22 2020-11-03 Servicenow, Inc. System and method for securely communicating requests
US10594668B1 (en) 2016-12-01 2020-03-17 Thales Esecurity, Inc. Crypto Cloudlets
US11165565B2 (en) * 2016-12-09 2021-11-02 Microsoft Technology Licensing, Llc Secure distribution private keys for use by untrusted code
US10691837B1 (en) 2017-06-02 2020-06-23 Apple Inc. Multi-user storage volume encryption via secure enclave
US10812276B2 (en) 2018-02-23 2020-10-20 International Business Machines Corporation Secure trust based distribution of digital certificates
WO2019219181A1 (en) * 2018-05-16 2019-11-21 Telefonaktiebolaget Lm Ericsson (Publ) Enclave population
US10771252B1 (en) * 2018-06-12 2020-09-08 Equinix, Inc. Data center security services
US11025614B2 (en) 2018-10-17 2021-06-01 Synergex Group Systems, methods, and media for managing user credentials
US11405198B2 (en) 2019-02-13 2022-08-02 TEEware Co., Ltd. System and method for storing and managing keys for signing transactions using key of cluster managed in trusted execution environment
US11290258B2 (en) * 2019-02-22 2022-03-29 Panasonic Avionics Corporation Hybrid cryptographic system and method for encrypting data for common fleet of vehicles
CN110071940A (zh) * 2019-05-06 2019-07-30 深圳市网心科技有限公司 软件包加解密方法、服务器、用户设备及存储介质
US11570155B2 (en) * 2019-07-25 2023-01-31 Everything Blockchain Technology Corp. Enhanced secure encryption and decryption system
US11343247B1 (en) 2019-08-30 2022-05-24 Equinix, Inc. Local delegation of remote key management service
US11611558B2 (en) 2019-11-13 2023-03-21 Google Llc Integration of third-party encryption key managers with cloud services
EP4312448A3 (en) 2019-12-06 2024-04-10 Samsung Electronics Co., Ltd. Method and electronic device for managing digital keys
CN112217838B (zh) * 2020-11-02 2021-08-31 福州大学 一种基于云模型理论的网络攻击面评估方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110289310A1 (en) * 2010-05-20 2011-11-24 Selgas Thomas D Cloud computing appliance
US20110296201A1 (en) * 2010-05-27 2011-12-01 Pere Monclus Method and apparatus for trusted execution in infrastructure as a service cloud environments
US8239917B2 (en) * 2002-10-16 2012-08-07 Enterprise Information Management, Inc. Systems and methods for enterprise security with collaborative peer to peer architecture
US20140050317A1 (en) * 2012-08-16 2014-02-20 Digicert, Inc. Cloud Key Management System

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2318486B (en) * 1996-10-16 2001-03-28 Ibm Data communications system
US6098056A (en) * 1997-11-24 2000-08-01 International Business Machines Corporation System and method for controlling access rights to and security of digital content in a distributed information system, e.g., Internet
US7480806B2 (en) * 2002-02-22 2009-01-20 Intel Corporation Multi-token seal and unseal
WO2004077782A1 (en) * 2003-02-28 2004-09-10 Research In Motion Limited System and method of protecting data on a communication device
US8074083B1 (en) * 2007-01-09 2011-12-06 Google Inc. Controlling download and playback of media content
KR100888075B1 (ko) * 2008-04-28 2009-03-11 인하대학교 산학협력단 개인별 대칭키를 이용한 멀티캐스트를 위한 암호화 및복호화 시스템
US8213618B2 (en) * 2008-12-30 2012-07-03 Intel Corporation Protecting content on client platforms
KR20130021774A (ko) * 2011-08-23 2013-03-06 주식회사 스마트솔루션 전자인증서 기반 보안서비스 제공방법 및 시스템
CN102546181B (zh) * 2012-01-09 2014-12-17 西安电子科技大学 基于密钥池的云存储加解密方法
US20130191629A1 (en) * 2012-01-19 2013-07-25 Laconic Security, Llc Secure group-based data storage in the cloud
US9059972B2 (en) * 2012-07-03 2015-06-16 International Business Machines Corporation Issuing, presenting and challenging mobile device identification documents
US9436940B2 (en) * 2012-07-09 2016-09-06 Maxim Integrated Products, Inc. Embedded secure element for authentication, storage and transaction within a mobile terminal
US20140019753A1 (en) 2012-07-10 2014-01-16 John Houston Lowry Cloud key management
US20140082364A1 (en) 2012-09-18 2014-03-20 Tommaso Cucinotta Collaborative Uses of a Cloud Computing Confidential Domain of Execution
CN105052072A (zh) * 2012-12-28 2015-11-11 威斯科数据安全国际有限公司 远程认证和业务签名
US9009469B2 (en) * 2013-01-15 2015-04-14 Sap Se Systems and methods for securing data in a cloud computing environment using in-memory techniques and secret key encryption
US9319835B2 (en) * 2013-09-19 2016-04-19 Intel Corporation Securely managed location-and-tracking service access
US9246676B2 (en) * 2013-11-22 2016-01-26 Cisco Technology, Inc. Secure access for encrypted data

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8239917B2 (en) * 2002-10-16 2012-08-07 Enterprise Information Management, Inc. Systems and methods for enterprise security with collaborative peer to peer architecture
US20110289310A1 (en) * 2010-05-20 2011-11-24 Selgas Thomas D Cloud computing appliance
US20110296201A1 (en) * 2010-05-27 2011-12-01 Pere Monclus Method and apparatus for trusted execution in infrastructure as a service cloud environments
US20140050317A1 (en) * 2012-08-16 2014-02-20 Digicert, Inc. Cloud Key Management System

Also Published As

Publication number Publication date
CN106063183B (zh) 2020-05-05
US9503433B2 (en) 2016-11-22
WO2015148884A1 (en) 2015-10-01
TW201541923A (zh) 2015-11-01
KR20160113264A (ko) 2016-09-28
EP3123657A4 (en) 2017-11-22
EP3123657A1 (en) 2017-02-01
CN106063183A (zh) 2016-10-26
EP3123657B1 (en) 2019-08-28
US20150281189A1 (en) 2015-10-01
KR101894232B1 (ko) 2018-09-04

Similar Documents

Publication Publication Date Title
TWI601405B (zh) 用於雲端輔助式密碼術之方法及設備
US11855767B2 (en) Methods and systems for distributing encrypted cryptographic data
US9805210B2 (en) Encryption-based data access management
US9813247B2 (en) Authenticator device facilitating file security
US9118639B2 (en) Trusted data processing in the public cloud
KR101891420B1 (ko) DaaS를 위한 컨텐츠 보호
WO2019218919A1 (zh) 区块链场景下的私钥管理方法、装置及***
US20160294794A1 (en) Security System For Data Communications Including Key Management And Privacy
US10601590B1 (en) Secure secrets in hardware security module for use by protected function in trusted execution environment
JP2017515413A (ja) 継続的な所有者アクセスを伴う、暗号化された仮想マシンの安全なトランスポート
US9529733B1 (en) Systems and methods for securely accessing encrypted data stores
CN106027503A (zh) 一种基于tpm的云存储数据加密方法
WO2020155812A1 (zh) 一种数据存储方法、装置及设备
CN114629639A (zh) 基于可信执行环境的密钥管理方法、装置和电子设备
EP3720042B1 (en) Method and device for determining trust state of tpm, and storage medium
US11290277B2 (en) Data processing system
Thilakanathan et al. Secure multiparty data sharing in the cloud using hardware-based TPM devices
US20230021749A1 (en) Wrapped Keys with Access Control Predicates
US11683159B2 (en) Hybrid content protection architecture
Wu et al. Secure key management of mobile agent system using tpm-based technology on trusted computing platform
Mehala et al. Novel Secure Lightweight Data Sharing Framework for Mobile Cloud Computing

Legal Events

Date Code Title Description
MM4A Annulment or lapse of patent due to non-payment of fees