一种基于硬件证书的信息安全防护方法与流程

本发明涉及信息安全技术，具体涉及网络通信的加密技术。

背景技术：

信息时代给人们带来方便的同时，信息安全也成为人们遇到的最大挑战。可信计算作为一种信息安全的良好解决方案，正得到逐步的推广应用。

现有的信息安全保护机制通常仅考虑从某一方面进行防护，例如仅从软件、硬件或网络中的一部分。这些解决方案在特定的应用场景下可以起到一定的保护作用，但是并非一种通用的解决方案，因此当应用环境发生变化时，往往会受到新的威胁。

技术实现要素：

针对现有信息安全保护机制所存在的问题，需要一种新的信息安全保护技术。

为此，本发明的目的在于提供一种基于硬件证书的信息安全防护方法，实现从硬件、软件到网络层的全面安全防护。

为了达到上述目的，本发明提供的基于硬件证书的信息安全防护方法，从硬件层、软件层到网络层，在硬件层内置加密芯片，验证平台硬件完整性；在网络层浏览器和服务器之间数据传输采用https协议，并进行双向身份验证；在软件层应用对客户端和用户身份进行双重校验；并且在层与层之间设置相互校验机制，构建形成完整的信任链体系。

进一步的，所述硬件层通过内置的加密芯片来度量平台完整性，标识平台身份，以及存储加密数据。

进一步的，所述软件层，其上运行的应用根据ca证书的内容对客户端和用户身份的合法性进行双重校验。

进一步的，所述网络层在浏览器和服务器之间的数据传输采用https协议，基于ca证书在服务器和客户端之间进行双向身份验证，其中ca证书保存在硬件层内置的加密芯片中；https使用的加密与hash算法如下：rsa，aes，sha256。

进一步的所述方法中软件层上的应用启动后首先连接硬件层中的加密芯片检查平台完整性；完整性检查通过后调用内核程序进行程序安全性检查，确保只有授权签名的程序才可正常运行；提供内核程序检查平台身份与加密芯片中ca证书中的身份是否一致；用户获取加密芯片中保存的ca证书，并通过浏览器访问服务；服务端收到访问请求后对客户端和用户进行双重身份校验。

本发明提供的方案为从硬件层、软件层到网络层的全面可信解决方案其中采用tpm芯片保存ca证书确保ca证书不易被篡改，内核程序检查证书中身份与平台身份的一致性确保证书不被乱用，服务对客户端和用户双重身份校验更安全。层层防护保证任何一层校验失败都不可进行通信，安全性更高。

附图说明

以下结合附图和具体实施方式来进一步说明本发明。

图1为本发明实例中信息安全防护方案的原理图；

图2为本发明实例中形成的可信链体系的示意图；

图3为本发明实例中完整的可信计算流程示意图。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

本实例针对硬件层，软件层以及网络层，通过对每一层设置相应的防护方案，并且在层与层之间设置相互校验机制，由此构建形成一套完整的信任链体系，从而可对信息形成系统的安全防护机制。

参见图1，其所示为本实例基于上述原理构成的信息安全防护方案的原理图。

由图可知，本实例给出的防护方案涉及硬件层，软件层和网络层，针对三层，在每层进行严格的安全计算、控制和校验，保证局部的安全可信；在此基础上，同时在三层之间进行相互的可信校验计算，由此构建可信链，从而形成完整的可信体系。

具体的，本实例中，硬件层内置一加密芯片-tpm芯片，该芯片具有度量平台完整性、标识平台身份、存储加密数据等核心功能。应用启动后首先连接tpm模块检查平台完整性，通过平台完整性检查的才可正常运行，否则退出。

进一步的，软件层内核程序进行程序安全性检查，确保只有授权签名的程序才可正常运行；服务端收到请求后对客户端和用户进行双重身份校验，任何一个校验失败服务都不可访问。

进一步的，网络层在浏览器和服务器之间的数据传输采用https协议，其中ca证书保存在tpm芯片中，ca通过提供的浏览器插件获取，保证证书的安全，并进行双向身份验证。

据此设置的硬件层，软件层和网络层之间在构建可信链体系时，应用启动后首先连接tpm模块检查平台完整性，通过平台完整性检查的才可正常运行，否则退出，完整性检查通过后调用内核程序进行程序安全性检查，确保只有授权签名的程序才可正常运行；提供内核程序检查平台身份与tpm中ca证书中的身份是否一致，防止证书乱用，一致的才可被稍后的浏览器插件获取证书；提供浏览器插件获取tpm中保存的ca证书，用户通过浏览器访问服务时选择tpm中保存的ca证书；服务端收到请求后对客户端和用户进行双重身份校验，任何一个校验失败服务都不可访问。

本实例给出的方案在具体实现时，其硬件层面可采用较tcm计算能力更为强大和灵活的tpm安全芯片来储存ca证书、检查程序安全性等。

当服务器操作系统启动时，bios和os引导区在加载过程中与内置的tpm进行认证，安全启动基于公钥基础设施(pkipublickeyinfrastructure)来验证固件代码，利用tpm来实现固件代码的数字签名，通过数字签名来保证所执行的固件代码都是可信的。由此，该tpm从硬件的bios启动模块、bios、os引导和os层面实现可信的计算与验证。

由此构成的多层次可信链体系，能够从受保护能力、完整性度量、平台证明等方面提供全面的评估，防止复合环节中出现问题。

再者，本多层次可信链体系还可实现通过完整的可信链来进行可信引导，从而实现信任的传递。

参见图2，基于本多层次可信链体系，可从硬件层的信任根开始，到操作系统(os)层，然后到应用层，最终到网络层，形成完整的用户使用闭环。

下面以一web应用为例来说明一下本完整的可信链体系框架实现可信验证和保护的流程。

参见图3，本应用实例中，在服务器硬件和芯片中内置了tpm安全芯片，以此为基础来完成后续的验证和防护。

首先，建立信任根；当服务器操作系统启动时，bios和os引导区在加载过程中与内置的tpm进行认证，安全启动基于公钥基础设施(pkipublickeyinfrastructure)来验证固件代码，利用tpm来实现固件代码的数字签名，通过数字签名来保证所执行的固件代码都是可信的。

接着，制作证书请求文件csr，将csr提交给thawtesgcca等ca，申请ca证书；在收到ca的证书后，并将客户端、服务端证书保存到tpm芯片中，因此保证了证书的安全；服务端在密钥库中保存服务器的私钥和证书，还要在信任库中导入客户端的证书；内核程序检查证书与系统是否匹配，不匹配的证书不可用，以防止证书乱用，确保授权的客户端才可访问服务。

最后，在网络层，采用https协议传输；用户在网络层使用时首先通过浏览器插件选择ca证书；实现客户端与服务端的双向身份认证。

由上可知，基于本发明能够提供从硬件、软件到网络层的全面可信解决方案。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。