可信计算中的密钥管理技术研究(1)(2)
2014-05-26 01:31
导读：图2 基于CA的密钥管理系统 1) 密钥生成服务器 由三部分组成，密钥发生器、密钥检测控制器和密钥制作设备。负责各种密钥的产生、检测、选取和制作。密
图2 基于CA的密钥管理系统 1) 密钥生成服务器 由三部分组成，密钥发生器、密钥检测控制器和密钥制作设备。负责各种密钥的产生、检测、选取和制作。密钥的制作是按照一定格式和规定，将密钥写入载体。根据密钥类型不同，密钥生成服务器产生密钥的方式也不相同，但必须保证密钥生成服务器与可信计算平台紧密相关，共同负责密钥安全。 2) 密钥库服务器 密钥库服务器是密钥管理服务系统的重要基础设施，密钥库中的数据应加密存放。可与缓存管理器配合，在密钥管理服务器的管理下实现数据保护密钥在TPM存储载体中的调入调出。 3) 密钥管理服务器 它是密钥管理系统的核心，是密钥管理系统所有操作的出入口包括密钥管理和密钥发送，接收CA的密钥管理请求，发送相应的密钥信息。 4) 密钥缓存管理器 实现对数据保护密钥中的Key Blob以及由SRK分级保护的层次密钥的管理，管理TPM中有限的存储资源。4 基于KMS的密钥管理方案 可信计算平台中密钥包括多种类型，不同类型密钥具有不同的安全需求，特别是密钥的产生、传输、存储、备份、销毁等主要环节。为了便于管理，增强可信计算平台中各种密钥的安全性，围绕密钥管理系统模型，本节深入研究了各类密钥的管理方案。4.1 背书密钥EK EK是TPM中最核心的密钥，它是TPM的惟一性密码身份标识。基于EK本身的重要性，在产生EK时基于以下几个前提： (1) EK在最初创建时就必须是保密的。 (2) EK创建时，设备必须是真实的并且是没有被篡改的。 (3) 密码算法的弱点不会危及该秘密信息的安全。 (4) 设备的各项操作不会导致EK的泄露。 EK可以通过密钥生成服务器，采用两种方法来产生：一是使用TPM命令，TCG规范定义了一组背书密钥操作命令[5]，其中创建背书密钥对的命令为：TPM_ CreateEndorsement KeyPair，产生密钥长度要求至少2048位；另一种方法是密钥“注入”技术，在信任制造商的前提下，由TPM制造商产生背书密钥对，然后采用人工方式注入，注入的方法有：键盘输入、软盘输入、专用密钥枪输入等。对比这两种方法，前者必须依赖硬件中提供受保护的功能(Protected Capability)和被隔离的位置(Shielded Location)[6]，从而保证在设备内部产生密钥对，而且密钥对是在篡改保护的环境下产生，能够很好地减少密钥对泄露的风险；后者则对环境、管理和操作方法要求较高，首先密钥的装入过程应当在一个封闭的环境下进行，不存在可能被窃听装置接收的电磁泄露或其它辐射，所有接近密钥注入工作的人员应该绝对可靠。采用密钥枪或密钥软盘应与键盘输入的口令相结合，并建立一定的接口规范，只有在输入了合法的加密操作口令后，才能激活密钥枪或软盘里的密钥信息。在密钥装入后，应将使用过的存储区清零，防止一切可能导出密钥残留信息的事件发生。共2页: 1 [2] 下一页 论文出处(作者):
（转载自http://zw.nseac.coM科教作文网） 基于分布式主体协作的知识检索研究及实现
一种基于Struts框架的RBAC实现
