CN101276389B

CN101276389B - 单个物理可信平台模块内的多个逻辑可信平台模块的分离

Info

Publication number: CN101276389B
Application number: CN2008100963846A
Authority: CN
Inventors: W·M·怀斯曼; D·W·格劳罗克
Original assignee: Intel Corp
Current assignee: Intel Corp
Priority date: 2007-03-29
Filing date: 2008-03-28
Publication date: 2012-02-08
Anticipated expiration: 2028-03-28
Also published as: ATE545094T1; EP1975834A2; TW200844790A; CN101276389A; US20080244261A1; EP1975834B1; TWI441038B; EP1975834A3

Abstract

公开了一种设备、方法和系统。在一个实施例中，该设备包括：包含多于一个的信任根的存储装置，以及用于将每一个发送至该设备的命令序数与所述信任根中的一个相关联的逻辑。

Description

单个物理可信平台模块内的多个逻辑可信平台模块的分离

技术领域

本发明涉及可信平台。更具体地，本发明涉及逻辑的和物理的可信平台模块(TPM)。

背景技术

随着开发出越来越多的各种计算机应用程序，计算机安全问题变得更加普遍。诸如病毒、蠕虫、间谍软件和盗用这样的问题正在困扰着计算机用户群体。另外，随着因特网将更多的人互连在一起，由于更容易泄露机密信息，因此也加剧了安全问题。

许多技术公司正在促进并致力于可信计算组(Trusted ComputingGroup)，其发展、定义并创立支持硬件操作的可信计算和安全技术的开放标准。这些技术包括以跨多个平台工作为目标的硬件模块和软件接口。变得越来越成功的一个主要进展是可信平台模块(TPM)以及其一组规范。TPM是一个模块，其被设计为在给定的计算机系统上独立处理基于信任的操作。

每个TPM都具有多种内部功能以及用来执行它们的硬件。TPM可以包括执行引擎、程序代码、存储装置、寄存器、加密算法和密钥发生器以及其它组件。关于TPM的基础的详细信息可以很容易地从可信计算组组织获得。它们的最新TPM规范的版本是2006年3月的修订版94。

随着TPM随时间逐渐演进，对从利用一个版本的TPM规范的硬件到能够利用下一个版本的硬件的迁移进行处理变得非常必要。新版本的规范可能需要新的加密和哈希算法等。保持对使用原始算法的现有应用的向后兼容同时提供新算法给新的应用是很重要的。同样，一些计算环境，例如分区硬件平台，可能需要两组算法，由此需要两组密钥资料和配置信息。

目前，可用的TPM设计需要一组密钥资料和配置信息以执行信任操作。在一些实施例中，这个密钥资料和配置信息被称作信任根(Trust Root)。当前的TPM架构只允许每个TPM有一个信任根。

附图说明

本发明通过示例的方式进行说明，并且其不受附图中各图的限制，在附图中，相同的参考标记指示相似的要素，其中：

图1描述了具有多个信任根的可信平台模块(TPM)设备的一个实施例；

图2描述了存储在TPM命令序数(ordinal)中的当前数据，以及存储在该TPM命令序数中的、用于允许多个逻辑TPM的新的转用(repurposed)数据；

图3是用于存储多个信任根并将其与命令序数相关联的处理过程的一个实施例的流程图；

图4是用于接收命令序数并且使用目标信任根来执行该序数命令的处理过程的一个实施例的流程图；

图5是可使用本发明实施例的计算机系统的方框图。

具体实施方式

描述了一种在单个物理可信平台模块中分离多个逻辑可信平台模块的设备、方法和系统的实施例。在接下来的描述中，阐述了大量的具体细节。然而，应该理解这些实施例可以不需要这些具体细节而被实现。在其它的实例中，没有详细说明公知的单元、规范和协议，以免使本发明难以理解。

图1描述了具有多个信任根的可信平台模块(TPM)设备的实施例。在许多实施例中，TPM 100存在于计算机系统中以参与执行基于信任的操作。TPM 100的基本设计具有多个用于进行基于信任的计算操作的内部组件。在不同的实施例中，TPM 100包括执行引擎、要在该执行引擎上运行的程序代码、非易失性存储装置、易失性存储装置、一组平台配置寄存器(PCR)、以及加密算法/引擎和密钥发生器。所列出的大多数内部组件没有显示在图1中，但是从可信计算组或生产TPM的公司所发布的大量TPM数据表可以容易地获得关于通用的TPM架构的信息。

图1中的TPM 100包括TPM逻辑102和至少两个信任根，即，存储在TPM 100的存储装置中的信任根.1(104)和信任根.2(106)。在一些实施例中，用于信任根的这个存储装置可以是非易失性存储器。在一些实施例中，该非易失性存储器可以是闪速存储器。在不同的实施例中，TPM逻辑102可以包括硬件、软件、或者两者的结合。TPM逻辑102接收命令序数作为输入，也被称作4字节TMP_COMMAND_CODE操作数。命令序数是一个指向存储在该TPM中的特定可信计算操作的索引。

暂时转向图2，图2描述了包含在TPM命令序数中的当前数据，以及存储在该TPM命令序数中的、用于允许多个逻辑TPM的新的转用数据。在一个实施例中，存储在TPM命令序数中的当前数据包括P (第31位)，其告知该命令是否被保护。接下来，T(第30位)告知该命令是否经过受保护组件或未受保护组件的任一方。接下来，V(第29位)告知该命令是TPM定义的还是厂商定义的。然后，还有保留的5位(第28-24位)。接下来是8位的范围(Purview)字段(第23-16位)，其最初被指定为用来指示该命令被指定给哪一个平台。不同的平台可以包括台式计算机、移动计算机、个人数字助理、服务器等等。自从该TPM规范最初建立起，这个字段还没有被使用过。最后，16位的序数索引(Ordinal Index)字段(第15-0位)是一个索引指针，其指向要在TPM中执行的命令。

在许多实施例中，存储在新的TPM命令序数中的数据已被修改得不同于最初版本。未使用的范围字段被转用为信任根索引(Trust Root Index)字段。信任根索引包括指向TPM中一信任根的索引指针。

回到图1，在一个实施例中，存在两个信任根，即，存储在TPM中的信任根.1(104)和信任根.2(106)。在不同的实施例中，信任根可以包含多个不同的密钥资料以及其它个人化和配置信息。密钥资料可能包括TPM拥有者信息以及TPM用户信息。在许多实施例中，信任根至少包括签署密钥(Endorsement Key)、存储根密钥(Storage Root Key)、和唯一性证明(tpmProof)。在一些实施例中，附加的个人化和配置信息可以包括包含在一个或多个PCR中的平台完整性信息。另外，一个或多个该信任根中的对象的属性可以被存储在该信任根中。

在许多实施例中，信任根包含了与信任相关的信息，该信息允许在指令执行、数据传送等等期间保持信任。签署密钥涉及TPM内部的密码唯一性。存储根密钥是指这样的密钥，其构成为可信计算组所定义的存储信任根的一部分。tpmProof是指一当前值(nonce)(一个随机数)，每个TPM保持这样一个当前值，以便向该TPM的拥有者证实数据是从该TPM发起的。在许多其它实施例中，可能存在多个其它的包含在该信任根中的与信任相关的密钥。

尽管图1示出在这个实施例中仅有一个物理TPM，但是存储在该TPM中的每一个信任根都允许该平台和利用该平台的用户使用该设备作为一个分离且独立的逻辑TPM。因此，一个物理TPM可以包含多个逻辑TPM，其中每一个逻辑TPM与其所拥有的存储在该物理TPM中的信任根相关联。

每一个信任根都是唯一的。由于图1具有两个完全独立的信任根，因此需要每一个被TPM 100接收的命令序数告知当该命令被执行时要使用哪一个信任根。例如，命令序数108被TPM 100接收并且序数索引指向一个命令。在这个特殊例子中，该序数索引指向扩展(Extend)命令，但是在其它实施例中，该序数索引可能指向任何存储在该TPM中的有效可信计算操作。被转用为信任根索引字段的范围字段被设置为0(0x00000000b)。因此，TPM逻辑102接收命令序数108，确定范围/信任根索引字段的值为0，并且利用信任根.1来执行该命令(即，索引0指向信任根.1)。

或者，TPM 100接收到命令序数110，并且序数索引指向一个命令，在这个例子中该序数索引再次指向该扩展命令。但是，在命令序数110中，范围/信任根索引字段被设置为1(0x00000001b)。因此，TPM逻辑102接收命令序数110，确定范围/信任根索引字段的值为1，并且利用信任根.2来执行该命令(即，索引1指向信任根.2)。该扩展命令专门作为一个示例命令，而在许多其它实施例中，任意的基于TPM的命令都可以被作为目标的逻辑TPM执行。

图3是存储多个信任根并将其与命令序数相关联的处理过程的一个实施例的流程图。该处理过程由处理逻辑执行，该处理逻辑可以包括硬件(电路、专用逻辑等等)、软件(例如，在通用计算机系统或者专用机器上运行的)、或者两者的结合。参照图3，该处理过程开始于处理逻辑在单个可信平台模块中存储两个或更多信任根(处理框300)。

信任根包括多个密钥和其它信任资料，因此，在一些实施例中，信任根值是通过哈希函数来产生的。记入到信任根中的每一条数据(即，签署密钥、存储根密钥等等)通过哈希函数进行增加，以生成唯一的信任根值。信任根包含各种信息，一些是永久性存储的，一些是临时存储的。例如，签署密钥仅仅在TPM的生命周期中被确定一次。tpmProof仅仅在TPM的拥有者发生变化时被确定。contextNonce是一个用于允许各项目被换进或换出TPM的值，它是临时的。附加的临时信息(例如，命令的位置)可以被存储在信任根中。因为位于信任根中的部分信息不是永久性的，因此该信任根信息必须被存储在可重写的存储器中。TPM中的非易失性存储器可以完成这样的任务，即在多次掉电中存储永久性信息，并且它也可以在每次启动时存储非永久性信息。

该处理过程继续进行，由处理逻辑将每一个发送至该可信平台模块的命令序数与所存储的信任根中的一个相关联(处理框302)，该处理过程然后结束。

在许多实施例中，命令序数被送发至TPM，使得该TPM能够执行基于信任的操作。基于信任的操作包括存储在该TPM中的任意命令。在可信计算组组织所发布的最新TPM规范中，可以找到命令的列表。如图2所述，命令序数包括范围/信任根索引和序数索引参数。此外，在一些实施例中，处理逻辑可以接收命令序数，从该命令序数中解析出范围/信任根索引和序数索引，并且将该命令序数(以及解析出的序数索引值)与由范围/信任根索引值指向的信任根相关联。图4中的流程图示出了该组操作。

图4是接收命令序数并且使用目标信任根来执行该序数命令的处理过程的一个实施例的流程图。该处理过程由处理逻辑执行，该处理逻辑可以包括硬件(电路、专用逻辑等等)、软件(例如，在通用计算机系统或者专用机器上运行的)、或者两者的结合。参照图4，该处理过程开始于处理逻辑接收被发送至可信平台模块的命令序数(处理框400)。在一个实施例中，该命令序数被发往该TPM中的TPM逻辑。

下一步，处理逻辑(在许多实施例中它是TPM逻辑)检查该命令序数的范围/信任根索引字段(如参照图2所描述的)中的值，以确定哪一个信任根是目标(处理框402)。在一些实施例中，处理逻辑从接收到的命令序数中解析出范围/信任根索引值和序数索引值。使用可用的范围/信任根索引值和序数索引值，处理逻辑能够在非易失性存储装置和程序代码中分别查找目标信任根和目标命令。

然后处理逻辑使用目标信任根来执行由该序数索引字段中的值所指向的命令(处理框404)，该处理过程然后结束。在许多实施例中，需要该信任根所涉及的信任信息(包括密钥值和其它配置信息)，从而以可信的方式执行任意基于TPM的命令。

图5是可使用本发明实施例的计算机系统的方框图。该计算机系统包括处理器-存储器互连500，其用于在耦合至互连500的不同代理(例如，处理器、桥接器、存储设备等等)之间的通信。处理器-存储器互连500包括专门的用于发送判优(arbitration)、地址、数据和控制信息的互连线(未示出)。在一个实施例中，中央处理器502耦合至处理器-存储器互连500。在另一实施例中，有多个中央处理器耦合至处理器-存储器互连(在该图中未示出多个处理器)。

处理器-存储器互连500提供中央处理器502和其他设备对系统存储器504的访问。系统存储器控制器控制对系统存储器504的访问。在一个实施例中，系统存储器控制器位于芯片组506内，该芯片组耦合至处理器-存储器互连500。在另一实施例中，系统存储器控制器与中央处理器502位于同一芯片上(未示出)。信息、指令和其它数据可以被存储在系统存储器504中以供中央处理器502和许多其它可能的设备所使用。

I/O设备通过一个或多个I/O互连耦合至芯片组506。例如，I/O设备508通过I/O互连510耦合至该芯片组506。在许多实施例中，互连510是点对点互连。

在许多实施例中，TPM设备512(TPM)通过互连514耦合至芯片组506。在不同的实施例中，互连514可以是点对点互连、广播协议互连、少针脚型(LPC)互连、或者其它有效互连。在其它实施例中，TPM512可以内部耦合至芯片组506并且位于芯片组506的内部(未示出这些实施例)。在其它实施例中，TPM 512可以位于外部I/O设备上，例如，I/O设备508(未示出)。在许多实施例中，TPM 512管理计算机系统的信任。TPM 512包括存储重要信息的内部存储装置。在许多实施例中，该存储装置包括非易失性TPM存储装置516。在许多实施例中，非易失性TPM存储装置516包括闪速存储器。在许多实施例中，TPM 512具有内部逻辑，其可被用于在TPM存储装置中存储多个信任根，以在单个物理TPM 512中创建多个逻辑TPM。例如，在一个实施例中，信任根.1(518)和信任根.2(520)被存储在非易失性TPM存储装置中。

在许多实施例中，从该计算机系统内的其他位置发送至TPM 512的命令序数通过在每个命令序数中的范围/信任根索引值中发送信任根索引指针来将存储在物理TPM 512中的独立的逻辑TPM作为目标。TPM 512中的逻辑又可以利用正确的信任根来执行由该命令序数中的序数索引值指向的那个基于TPM的命令(即，逻辑TPM)。

由此，描述了一种在单个物理可信平台模块中分离多个逻辑可信平台模块的设备、方法和系统的实施例。这些实施例的说明是针对特定的示例性实施例。对于受益于本公开内容的技术人员而言显而易见的是，可以对这些实施例进行各种变型或改变，而不脱离这里所描述的实施例的更广实质和范围。因此，说明书和附图应被理解为是说明性的而不是限制性的。

Claims

1.一种设备，包括：

包含多个信任根的存储装置；以及

用于将每一个发送至该设备的命令序数与所述多个信任根中的一个相关联的逻辑电路。

2.根据权利要求1所述的设备，其中，所述设备是可信平台模块(TPM)设备。

3.根据权利要求2所述的设备，其中，每一个命令序数包括：

指向一个命令的序数索引；以及

范围值，其中，该范围值被转用以指向所述多个信任根中的一个。

4.根据权利要求3所述的设备，其中，所转用的范围值包括信任根索引。

5.根据权利要求3所述的设备，进一步包括用于执行以下操作的逻辑电路：

接收每一个发送至该设备的命令序数；

通过检查所述范围值确定该命令序数将哪一个信任根作为目标；以及

执行由所述序数索引指向的命令，其中，在执行期间使用该目标信任根。

6.根据权利要求2所述的设备，其中，每一个信任根包括：

签署密钥；

存储根密钥；

唯一性证明；以及

一条或多条附加的密钥信息和配置信息。

7.根据权利要求1所述的设备，其中，所述存储装置包括非易失性闪速存储器。

8.一种方法，包括：

在可信平台模块(TPM)设备中存储多个信任根；以及

将每一个发送至该设备的命令序数与所述多个信任根中的一个相关联。

9.根据权利要求8所述的方法，其中，每一个命令序数包括：

指向一个命令的序数索引；以及

10.根据权利要求9所述的方法，其中，所转用的范围值包括信任根索引。

11.根据权利要求9所述的方法，进一步包括：

接收每一个发送至所述设备的命令序数；

使用该目标信任根以执行由所述序数索引指向的命令。

12.根据权利要求8所述的方法，其中，每一个信任根包括：

签署密钥；

存储根密钥；

唯一性证明；以及

一条或多条附加的密钥信息和配置信息。

13.根据权利要求8所述的方法，其中，所述多个信任根被存储在所述可信平台模块设备内的存储装置中，该存储装置包括非易失性闪速存储器。

14.一种系统，包括：

第一互连；

耦合至该第一互连的处理器；

耦合至该第一互连的存储器；

第二互连，其中，该第二互连包括点对点互连；

耦合至该第一和第二互连的芯片组；以及

耦合至该芯片组的设备，该设备包括

包含多个信任根的存储装置；以及

15.根据权利要求14所述的系统，其中，所述设备是可信平台模块(TPM)设备。

16.根据权利要求15所述的系统，其中，每一个命令序数包括：指向一个命令的序数索引；以及

17.根据权利要求16所述的系统，其中，所述设备进一步包括用于执行以下操作的逻辑电路：

接收每一个发送至该设备的命令序数；

18.根据权利要求14所述的系统，其中，每一个信任根包括：

签署密钥；

存储根密钥；

唯一性证明；以及

一条或多条附加的密钥信息和配置信息。

19.根据权利要求14所述的系统，其中，所述存储装置包括非易失性闪速存储器。

20.根据权利要求14所述的系统，进一步包括耦合至所述第一互连的一个或多个附加的处理器。