密鑰基礎(chǔ)結(jié)構(gòu)的制作方法
【專利說(shuō)明】密鑰基礎(chǔ)結(jié)構(gòu)
[0001 ] 背景
[0002]密碼密鑰經(jīng)常被設(shè)備用于保護(hù)機(jī)密或敏感信息，驗(yàn)證設(shè)備沒(méi)有被損壞，利用硬件元件或執(zhí)行各種其他操作。在一些實(shí)例中，未授權(quán)方可能獲得對(duì)密鑰的訪問(wèn)并且中斷設(shè)備的操作或獲取對(duì)受保護(hù)或敏感信息的訪問(wèn)。由于數(shù)量日益增加的設(shè)備尋求保護(hù)信息、驗(yàn)證真實(shí)性和/或利用硬件元件，因此存在對(duì)保護(hù)密碼密鑰免受未授權(quán)訪問(wèn)的日益增長(zhǎng)的需求。
[0003]概述
[0004]本公開(kāi)描述了一種旨在生成和/或管理密碼密鑰的密鑰基礎(chǔ)結(jié)構(gòu)。密碼密鑰可以包括在證明過(guò)程期間使用的身份密鑰，在所述證明過(guò)程中設(shè)備與另一個(gè)設(shè)備通信以標(biāo)識(shí)該設(shè)備和/或驗(yàn)證特定應(yīng)用狀態(tài)(例如未受損壞的安全狀態(tài))。密碼密鑰可包括被用于保護(hù)機(jī)密和/或敏感信息的加密密鑰。密碼密鑰還可以包括其他密鑰。
[0005]在一些實(shí)施例中，密鑰基礎(chǔ)結(jié)構(gòu)生成身份、加密或其他類型的密鑰的密鑰分級(jí)結(jié)構(gòu)，所述密鑰分級(jí)結(jié)構(gòu)具有密鑰推導(dǎo)函數(shù)(KDF)或其他單向函數(shù)。密鑰分級(jí)結(jié)構(gòu)可以包括設(shè)備的引導(dǎo)加載器可訪問(wèn)的密鑰、可信執(zhí)行環(huán)境(TrEE)的特定組件可訪問(wèn)的密鑰等等。另外或替換地，密鑰分級(jí)結(jié)構(gòu)可以包括一密鑰序列，其中該序列中的每個(gè)密鑰用基于該序列中的在前密鑰的KDF來(lái)導(dǎo)出。一旦導(dǎo)出密鑰，在前密鑰可以被刪除以避免對(duì)該密鑰的未授權(quán)訪問(wèn)。在一些實(shí)例中，密鑰分級(jí)結(jié)構(gòu)可以包括與對(duì)TrEE的組件的安全配置的更新相關(guān)聯(lián)的密鑰。而且，所述密鑰分級(jí)結(jié)構(gòu)可以包括基于正被實(shí)現(xiàn)的平臺(tái)類型、設(shè)備的調(diào)試狀態(tài)和/或各種其他信息的密鑰。
[0006]提供本概述以便以簡(jiǎn)化的形式介紹以下在詳細(xì)描述中進(jìn)一步描述的一些概念。本概述并不旨在標(biāo)識(shí)出所要求保護(hù)的主題的必要特征，也不旨在用于限制所要求保護(hù)的主題的范圍。
[0007]附圖簡(jiǎn)述
[0008]參考附圖闡述【具體實(shí)施方式】。在附圖中，附圖標(biāo)記最左邊的數(shù)字標(biāo)識(shí)該附圖標(biāo)記首次出現(xiàn)的附圖。在不同附圖中使用同一附圖標(biāo)記指示相似或相同的項(xiàng)或特征。
[0009]圖1示出其中可實(shí)現(xiàn)在此描述的各技術(shù)的示例環(huán)境。
[0010]圖2示出包括一應(yīng)用密鑰序列的示例密鑰分級(jí)結(jié)構(gòu)。
[0011]圖3示出基于設(shè)備的安全配置的示例密鑰分級(jí)結(jié)構(gòu)。
[0012]圖4示出生成包括一應(yīng)用密鑰序列的密鑰分級(jí)結(jié)構(gòu)的示例過(guò)程。
[0013]圖5示出生成密鑰分級(jí)結(jié)構(gòu)的示例過(guò)程。
[0014]詳細(xì)描述
[0015]本公開(kāi)描述了一種旨在生成和/或管理密碼密鑰的密鑰基礎(chǔ)結(jié)構(gòu)。密碼密鑰可以包括身份密鑰、加密密鑰和/或各種其他類型的密鑰。密碼密鑰可以通過(guò)密鑰推導(dǎo)函數(shù)(KDF)或其他單向函數(shù)來(lái)推導(dǎo)或創(chuàng)建。密碼密鑰可以包括引導(dǎo)加載器可訪問(wèn)的密鑰、可信執(zhí)行環(huán)境(TrEE)的特定組件可訪問(wèn)的密鑰等等。
[0016]在各種實(shí)施例中，密鑰基礎(chǔ)結(jié)構(gòu)可以生成由身份和/或加密密鑰(統(tǒng)稱為“應(yīng)用密鑰”)的序列構(gòu)成的密鑰分級(jí)結(jié)構(gòu)。每當(dāng)諸如應(yīng)用之類的組件在設(shè)備上被加載和/或執(zhí)行時(shí)，應(yīng)用密鑰可以用KDF或其他單向函數(shù)導(dǎo)出。應(yīng)用密鑰可以基于在應(yīng)用密鑰序列中的先前應(yīng)用密鑰和被加載和/或執(zhí)行的組件來(lái)導(dǎo)出。一旦導(dǎo)出應(yīng)用密鑰，先前的應(yīng)用密鑰可以被刪除以避免對(duì)該先前的應(yīng)用密鑰的未授權(quán)訪問(wèn)。可以利用在應(yīng)用密鑰的序列中保留的應(yīng)用密鑰來(lái)驗(yàn)證設(shè)備的應(yīng)用狀態(tài)、加密數(shù)據(jù)和/或執(zhí)行其他操作。
[0017]在各種實(shí)施例中，密鑰基礎(chǔ)結(jié)構(gòu)生成加密密鑰分級(jí)結(jié)構(gòu)的密鑰，該密鑰與對(duì)設(shè)備的安全配置的更新相關(guān)聯(lián)。例如，當(dāng)TrEE加載器的安全配置被更新時(shí)，可以基于與TrEE加載器的經(jīng)更新的安全配置相關(guān)聯(lián)的隨機(jī)值來(lái)導(dǎo)出TrEE加載器可訪問(wèn)的新的加密密鑰。而且，當(dāng)TrEE核心的安全配置被更新時(shí)，可以基于TrEE核心的經(jīng)更新的安全配置的安全版本號(hào)來(lái)導(dǎo)出TrEE核心可訪問(wèn)的新的加密密鑰。而且，在各種實(shí)施例中，密鑰基礎(chǔ)結(jié)構(gòu)可以生成基于在設(shè)備上實(shí)現(xiàn)的平臺(tái)的類型、指示啟用或禁用調(diào)試和/或已經(jīng)啟用或禁用調(diào)試的次數(shù)的調(diào)試狀態(tài)和/或各種其他信息的密鑰。
[0018]在許多實(shí)例中，在此所述的密鑰基礎(chǔ)結(jié)構(gòu)可以提高對(duì)密碼密鑰免受未授權(quán)訪問(wèn)的保護(hù)。在一個(gè)示例中，通過(guò)用KDF導(dǎo)出各種身份和/或加密密鑰，所述密鑰可以較不易于未經(jīng)授權(quán)使用。而且，在當(dāng)密鑰序列中的在前密鑰被刪除的實(shí)例中，例如當(dāng)密鑰序列中的在后密鑰的導(dǎo)出之際，可以使得在前密鑰不可訪問(wèn)。另外，通過(guò)為設(shè)備的不同組件提供不同密鑰，設(shè)備可以進(jìn)一步保護(hù)所述密鑰免受未授權(quán)訪問(wèn)，并且在單個(gè)組件受到損壞的任何時(shí)候都可以避免為每個(gè)組件重新生成密鑰。而且，還可通過(guò)包括與對(duì)TrEE加載器和/或TrEE核心的安全配置的更新相關(guān)聯(lián)的密鑰來(lái)避免對(duì)密鑰的未授權(quán)訪問(wèn)。
[0019]該簡(jiǎn)要介紹是為方便讀者理解而提供的，且并不旨在限制權(quán)利要求以及以上各節(jié)的范圍。此外，下文詳細(xì)描述的技術(shù)可以用多種方式且在多種上下文中實(shí)現(xiàn)。如下文更詳細(xì)描述的，參考以下附圖提供了示例實(shí)現(xiàn)和上下文。然而，將領(lǐng)會(huì)以下實(shí)現(xiàn)和上下文僅僅是許多示例中的一些示例。
[0020]示例環(huán)境
[0021]圖1示出可用于實(shí)現(xiàn)與在此所述的密鑰基礎(chǔ)結(jié)構(gòu)相關(guān)聯(lián)的系統(tǒng)和/或過(guò)程的示例環(huán)境100。環(huán)境100包括具有密鑰基礎(chǔ)結(jié)構(gòu)104的計(jì)算設(shè)備102(此后為“計(jì)算設(shè)備102”)，所述密鑰基礎(chǔ)結(jié)構(gòu)104生成和/或管理一個(gè)或多個(gè)密碼密鑰106(此后為“密鑰106”)。環(huán)境100還包括服務(wù)提供者108以向計(jì)算設(shè)備102提供一個(gè)或多個(gè)服務(wù)。服務(wù)提供者108可幫助生成和/或管理密鑰106。例如，服務(wù)提供者108可存儲(chǔ)一個(gè)或多個(gè)密鑰106以標(biāo)識(shí)計(jì)算設(shè)備102和/或驗(yàn)證計(jì)算設(shè)備102的特定應(yīng)用狀態(tài)。在各種實(shí)施例中，計(jì)算設(shè)備102可以通過(guò)一個(gè)或多個(gè)網(wǎng)絡(luò)110，例如因特網(wǎng)、移動(dòng)電話網(wǎng)絡(luò)(MTN)或其他各種通信技術(shù)，與服務(wù)提供者108通信。
[0022]計(jì)算設(shè)備102可以包括，但不限于，各種計(jì)算設(shè)備的任何一種，諸如智能電話、移動(dòng)手機(jī)、個(gè)人數(shù)字助理(PDA)、電子書設(shè)備、膝上型計(jì)算機(jī)、臺(tái)式計(jì)算機(jī)、平板計(jì)算機(jī)、便攜式計(jì)算機(jī)、游戲設(shè)備、個(gè)人媒體播放器、服務(wù)器計(jì)算機(jī)或任何其他電子設(shè)備。
[0023]計(jì)算設(shè)備102可包括一個(gè)或多個(gè)處理器112(此后為“處理器112”)和存儲(chǔ)器114。處理器112可以是單個(gè)處理單元或多個(gè)單元，它們每個(gè)可包括多個(gè)不同處理單元。處理器112可以包括一個(gè)或多個(gè)微處理器、微型計(jì)算機(jī)、微控制器、數(shù)字信號(hào)處理器、中央處理單元(CPU)、圖形處理單元(GPU)、安全處理器(例如安全密碼處理器)，和/或其他處理器。作為替換或補(bǔ)充，本文所述的一些或全部技術(shù)可至少部分地由一個(gè)或多個(gè)硬件邏輯組件來(lái)執(zhí)行。例如，但非限制，可被使用的硬件邏輯組件的說(shuō)明性類型包括現(xiàn)場(chǎng)可編程門陣列(FPGA)、專用集成電路(ASIC)、專用標(biāo)準(zhǔn)產(chǎn)品(ASSP)、狀態(tài)機(jī)、復(fù)雜可編程邏輯器件(CPLD)、其他邏輯電路、片上系統(tǒng)(SOC)和/或基于軟件和/或硬件編碼指令執(zhí)行操作的任何其他設(shè)備。在諸多能力中，處理器112尤其可被配置成取回和/或執(zhí)行存儲(chǔ)在存儲(chǔ)器114中的計(jì)算機(jī)可讀指令。
[0024]存儲(chǔ)器112可以包括計(jì)算機(jī)可讀介質(zhì)之一或其組合。如此處所使用的，“計(jì)算機(jī)可讀介質(zhì)”包括計(jì)算機(jī)存儲(chǔ)介質(zhì)和通信介質(zhì)。
[0025]計(jì)算機(jī)存儲(chǔ)介質(zhì)包括以存儲(chǔ)如計(jì)算機(jī)可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊或其他數(shù)據(jù)等信息的任何方法或技術(shù)實(shí)現(xiàn)的易失性和非易失性、可移動(dòng)和不可移動(dòng)介質(zhì)。計(jì)算機(jī)存儲(chǔ)介質(zhì)包括但不限于，相變存儲(chǔ)器(PRAM)、靜態(tài)隨機(jī)存取存儲(chǔ)器(SRAM)、動(dòng)態(tài)隨機(jī)存取存儲(chǔ)器(DRAM)、其他類型的隨機(jī)存取存儲(chǔ)器(RAM)、只讀存儲(chǔ)器(R0M)、電可擦除可編程ROM(EEPROM)、閃存或其他存儲(chǔ)器技術(shù)、光盤ROM(CD-ROM)、數(shù)字多功能盤(DVD)或其它光存儲(chǔ)、磁帶盒、磁帶、磁盤存儲(chǔ)或其它磁存儲(chǔ)設(shè)備、或可用于存儲(chǔ)由計(jì)算設(shè)備訪問(wèn)的信息的任何其他介質(zhì)。
[0026]相反，通信介質(zhì)包括在諸如載波的已調(diào)制數(shù)據(jù)信號(hào)中的計(jì)算機(jī)可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊或其他數(shù)據(jù)。如本文所定義的，計(jì)算機(jī)存儲(chǔ)介質(zhì)不包括通信介質(zhì)。
[0027]在一些實(shí)例中，處理器112和/或存儲(chǔ)器114可包括一個(gè)或多個(gè)熔絲以存儲(chǔ)諸如一個(gè)或多個(gè)密鑰106之類的信息或其他信息。一個(gè)熔絲通常包括可以以永久非易失性方式(例如一旦一個(gè)值被存儲(chǔ)，所述值就不能被蓋寫)來(lái)存儲(chǔ)信息的硬件組件。一個(gè)熔絲可以包括可通過(guò)使得閾值量的電流流過(guò)一條電線而將其“燒壞”的電線?！盁龎摹钡娜劢z可以與斷開(kāi)的導(dǎo)通路徑相關(guān)聯(lián)。單個(gè)熔絲可以存儲(chǔ)一個(gè)比特的信息。這樣，多個(gè)熔絲可以被用于存儲(chǔ)單個(gè)密碼密鑰。在一個(gè)示例中，熔絲值對(duì)于在安全處理器之外讀取和/或?qū)懭雭?lái)說(shuō)是不可訪問(wèn)的，并且僅能被用于在引導(dǎo)時(shí)(例如作為到密鑰導(dǎo)出函數(shù)的輸入時(shí))“播種(seed)”安全處理的密鑰導(dǎo)出函數(shù)。
[0028]密鑰基礎(chǔ)結(jié)構(gòu)104可包括硬件和/或軟件組件。例如，密鑰基礎(chǔ)結(jié)構(gòu)104可以由存儲(chǔ)在存儲(chǔ)器114中的一個(gè)或多個(gè)模塊和/或處理器112的一個(gè)或多個(gè)組件來(lái)實(shí)現(xiàn)。這樣，密鑰基礎(chǔ)結(jié)構(gòu)104在圖1中被示為將處理器112和存儲(chǔ)器114重疊。如本文所使用的，出于討論的目的，術(shù)語(yǔ)“模塊”旨在代表軟件和/或固件的示例劃分，不旨在代表任何類型的需求，或所需方法、方式或組織。因此，當(dāng)討論各種“模塊”時(shí)，它們的功能和/或類似功能可被不同地安排(例如，組合成更少數(shù)量的模塊，打破為更多數(shù)量的模塊等)。此外，盡管特定功能在此被描述為由在處理器上執(zhí)行的軟件模塊來(lái)實(shí)現(xiàn)，但是在其他實(shí)施例中，所述功能中的任何或全部功能都可以完全或部分地由硬件邏輯組件(例如FPGA、ASIC、ASSP、狀態(tài)機(jī)、CPLD、其他邏輯電路、SoC等)來(lái)實(shí)現(xiàn)。
[0029]密鑰基礎(chǔ)結(jié)構(gòu)104可以包括一個(gè)或多個(gè)引導(dǎo)加載器116(此后為“引導(dǎo)加載器116”)和可信執(zhí)行環(huán)境(TrEE)118。引導(dǎo)加載器116可以包括引導(dǎo)加載器的一個(gè)或多個(gè)階段，例如加載次引導(dǎo)加載器(SBL)的主引導(dǎo)加載器(PBL)。引導(dǎo)加載器116通?？梢允窃谝龑?dǎo)計(jì)算設(shè)備102時(shí)執(zhí)行的初始組件之一，并且可以加載應(yīng)用、操作系統(tǒng)、TrEE 118、另一運(yùn)行時(shí)環(huán)境等等。在一個(gè)示例中，引導(dǎo)加載器116可以根據(jù)一個(gè)或多個(gè)階段來(lái)引導(dǎo)計(jì)算設(shè)備102，其中每個(gè)階段引導(dǎo)下一階段。引導(dǎo)過(guò)程中的每個(gè)階段可以與加載和/或執(zhí)行一個(gè)組件(例如應(yīng)用或其他數(shù)據(jù))相關(guān)聯(lián)，并執(zhí)行在此所述的其他處理。同時(shí)，TrEE 118可以提供一個(gè)隔離環(huán)境以處理、存儲(chǔ)和以其他方式保護(hù)機(jī)密和/或敏感信息。TrEE 118可以駐留在處理器112中和/或作為存儲(chǔ)器114中的一個(gè)或多個(gè)模塊，并且可以提供比例如通用操作系統(tǒng)更高的對(duì)攻擊的保護(hù)等級(jí)。在一個(gè)示例中，TrEE 118可以被實(shí)現(xiàn)為ARM處理器的“可信區(qū)”。
[0030]TrEE 118可包括TrEE加載器120以加載或引導(dǎo)TrEE核122并執(zhí)行其他功能。一旦加載或引導(dǎo)TrEE核122，TrEE加載器120可以返回到非執(zhí)行狀態(tài)。在一些實(shí)例中，TrEE核122可以以類似于操作系統(tǒng)的內(nèi)核的方式工作。TrEE核122通常可以在運(yùn)行時(shí)實(shí)現(xiàn)TrEE 1180TrEE核122可以加載和/或執(zhí)行一個(gè)或多個(gè)TrEE應(yīng)用124，所述TrEE應(yīng)用124在TrEE 118內(nèi)執(zhí)行。出于說(shuō)明目的且并非限制，TrEE應(yīng)用可以包括執(zhí)行銀行交易的銀行應(yīng)用、通過(guò)支付短語(yǔ)購(gòu)買物品的購(gòu)買應(yīng)用、更新操作系統(tǒng)的應(yīng)用等等。TrEE核122可以利用密鑰106來(lái)加密/解密數(shù)據(jù)和/或?yàn)橐粋€(gè)或多個(gè)TrEE應(yīng)用124驗(yàn)證計(jì)算設(shè)