導讀：《第3章 可信計算平臺基礎》
[更新時間：2009年5月2日]
3.2.1 保護能力
保護區(qū)域：可信平臺模塊中存放敏感信息的存儲區(qū)。
保護能力：可信平臺模塊提供的可以對保護區(qū)域進行訪問的功能，以命令的形式提供。
3.2.2 對外證明
“對外證明”是一個可信計算平臺應該做得到的事情，這項事情的目的是要向外界證明該可信計算平臺是可以相信的。
可信計算平臺的外部實體可以要求可信計算平臺就平臺的保護區(qū)域、平臺的保護能力、平臺的信任根等的可信性給出證明，可信計算平臺則要提供有說服力的證據(jù)，以便能使外部實體認可：“該平臺提供的有關平臺特性的描述是值得信賴的”。
由TPM提供的證明：TPM告訴外部實體：“我掌握某某數(shù)據(jù)的情況”。做法是：TPM用自己的AIK對這些數(shù)據(jù)進行簽名。
對平臺進行的證明：可信的第三方告訴外部實體：“該平臺與一個確定的TPM相關聯(lián)，你可以相信完整性度量報告是由它提供的”。這里的可信第三方一般是私密性證書機構，證明的方法是：為平臺發(fā)放AIK憑證。
由平臺進行的證明：平臺告訴外部實體：“某某完整性度量結果是我提供的”。做法是：用平臺上的TPM的AIK對PCR寄存器的值進行簽名，因為完整性度量結果存放在PCR寄存器中。
平臺的認證：外部實體確認平臺的工作身份。做法是：平臺用AIK的私鑰對一個密鑰進行簽名，如果外部實體能用AIK的公鑰解開這個簽名，則可確認該平臺擁有與相應的AIK對應的工作身份。
3.3 可信計算平臺的基本體系
信任根：一個平臺中那些我們必須無條件信任的組件。它們是可信計算平臺中最基礎的組件，必須得到絕對信任，否則，整個平臺的可信性就無從談起。
可信計算平臺需要提供三種基本功能：(1) 對完整性進行度量；(2) 把度量結果存儲起來；(3) 向外報告度量結果。與此相對應，信任根中需要包含度量、存儲和報告三類組件，因此，可信計算平臺中有三類信任根：度量的信任根（RTM）、存儲的信任根（RTS）和報告的信任根（RTR）。
CRTM：可信計算平臺中行使完整性度量職能的指令，它們對平臺部件的完整性進行度量。以PC機為例，CRTM可以由BIOS中的引導塊組成，也可以由整個BIOS組成，隨平臺的實現(xiàn)方案而定。
RTM：可信計算平臺的信任根中在CRTM的控制下工作的組件。
3.3.4 完整性度量
度量核：可信計算平臺中實施度量行為的組件。
一個度量事件代表度量行為的一次實施，一個度量事件產生的效果包含一個度量得到的值和一個度量產生的摘要。
3.3.5 完整性報告
2．平臺的身份與隱私
TPM向私密性證書機構提供AIK的公鑰和EK的公鑰，私密性證書機構為AIK發(fā)放憑證，并用EK的公鑰對憑證進行加密。
只有擁有正確的EK私鑰的TPM才能解開相應的AIK憑證，由于EK是唯一的，所以AIK憑證所對應的TPM是唯一的，一個AIK與一個唯一的TPM相對應。
進行對外證明時，可信計算平臺只向證明的請求方提供AIK（工作身份）信息，不提供EK（真實身份）信息，這樣可以確定一個真實存在的平臺，但不泄漏平臺的隱私信息（真實身份）。
3.3.6 以TPM為通信端點
1．綁定
設實體ES擬把信息M發(fā)送給實體ER，ER的公鑰和私鑰分別是KPUB-ER和KPRI-ER，用KPUB-ER對M進行加密得到KPUB-ER{M}，就相當于把M和ER綁定在一起，因為只有用KPRI-ER才能對KPUB-ER{M}進行解密，而只有ER才擁有PPRI-ER。
如果實體ER是一個TPM，則以上綁定就是把信息M綁定到特定的TPM上。
2．簽名
設實體ES的公鑰和私鑰分別為KPUB-ES和KPRI-ES，ES對信息M進行簽名的方法是：首先計算M的哈希值H(M)，然后用KPRI-ES對該哈希值進行加密，得到的結果{H(M)}KPRI-ES就稱為ES對M的簽名。
如果實體ES是一個TPM，則以上簽名就是特定的TPM對信息M的簽名。
3．封裝
設M是一份信息，K是一個對稱密鑰，VPCR-x是某TPM的一組PCR寄存器GPCR-x的值，該TPM的一對密鑰的公鑰和私鑰分別為KPUB-S和KPRI-S，封裝的含義是：
（1）用K對M進行加密，得到K{M}；
（2）用KPUB-S對VPCR-x和K進行加密，得到KPUB-S{VPCR-x，K}。
以后，如果想得到M，必須先得到K，這就需要由TPM用KPRI-S對KPUB-S{VPCR-x，K}進行解密，此時，TPM檢查GPCR-x的值是否與VPCR-x相等，只有在相等的情況下，TPM才提供K，否則，不提供K。
PCR寄存器組GPCR-x的值VPCR-x也稱為TPM的一個狀態(tài)（或一個配置），因此，封裝把信息M與TPM的一個狀態(tài)關聯(lián)了起來，只有當TPM的狀態(tài)與封裝時的狀態(tài)相同時，才有可能把封裝過的信息K{M}恢復為原來的信息M。換言之，當且僅當封裝時的TPM狀態(tài)與解封裝時的TPM狀態(tài)相同時，解封裝操作才能成功。
4．封裝的簽名
設實體ES擬對信息M進行簽名，ES的公鑰和私鑰分別為KPUB-ES和KPRI-ES，某TPM的一組PCR寄存器GPCR-x的值是VPCR-x，封裝的簽名的含義是：
（1）把M和VPCR-x連接起來，得到M||VPCR-x；
（2）計算M||VPCR-x的哈希值，得到H(M||VPCR-x)；
（3）用KPRI-ES對H(M||VPCR-x)進行簽名，得到{H(M||VPCR-x)}KPRI-ES。
這樣，驗證簽名時，驗證方就可以判斷該簽名是不是在TPM的指定狀態(tài)VPCR-x下實施的。
3.3.7 存儲保護
TPM中的RTS負責保護存儲在TPM中的信息的安全，特別是保護TPM生成的密鑰的安全。
TPM中的存儲空間非常有限，存放不下多少密鑰，大量的密鑰只能存放在TPM外的存儲介質中。
TPM中存放密鑰的存儲區(qū)稱為密鑰槽，TPM外的存儲介質中存放密鑰的存儲區(qū)稱為密鑰槽的緩存，簡稱密鑰緩存。
TPM外稱為KCM的軟件負責密鑰緩存的管理，管理密鑰在TPM與緩存之間的傳送。
存儲保護服務除了保護密鑰以外，也可以保護數(shù)據(jù)。如果實體E無法識別數(shù)據(jù)D，則對于實體E而言，D屬于不透明數(shù)據(jù)。
受保護的信息（包括密鑰和數(shù)據(jù)）從TPM內傳送到TPM外之前，需要進行加密，SRK是用于進行這樣的加密的根密鑰。在為TPM建立屬主的過程中，可以創(chuàng)建SRK。如果為TPM創(chuàng)建新的SRK，那么由原來的SRK加密的信息就難以再解密了。
1．密鑰屬性
這里說的密鑰屬性主要指密鑰的“遷移屬性”，它表明密鑰是“可遷移的”，還是“不可遷移的”。
可遷移：在一個TPM中生成的密鑰可以傳送到另一個TPM中使用。
不可遷移：在一個TPM中生成的密鑰只限在該TPM中使用。
2．密鑰類型
在為TPM建立屬主的過程中，同時建立屬主的授權數(shù)據(jù)（通常是一個口令），授權數(shù)據(jù)由用戶提供，系統(tǒng)用TPM的EK公鑰對授權數(shù)據(jù)進行加密，TPM接收到授權數(shù)據(jù)后，用EK私鑰對它進行解密。屬主授權數(shù)據(jù)也稱為屬主授權秘密。
前面曾經說過，創(chuàng)建AIK時，私密性證書機構用EK公鑰對AIK憑證進行加密，TPM接收到AIK憑證后，用EK私鑰對它進行解密。
3．外部存儲器和密鑰緩存管理
由于TCG把TPM定位為低成本的商品化組件，所以，為了降低造價，TPM所能提供的內部存儲空間非常有限。
由TPM外的存儲空間構成的密鑰緩存用于彌補TPM內部存儲空間的不足。
TPM中的密鑰由RTS構造成密鑰塊之后，才能存放到TPM外的密鑰緩存中。
可以利用密鑰塊的內容的哈希值建立相應的句柄，用以作為引用密鑰塊的手段。要通過密鑰塊以外的其他途徑去表示與密鑰相關的密鑰類型和密鑰屬性等信息。
TPM外的KCM軟件不但實現(xiàn)對TPM外的密鑰緩存的管理，還根據(jù)TPM提供的接口，負責管理TPM中的密鑰槽的有效使用。
3.4.1 TPM的組件
TPM組件的體系結構如下圖所示，它從另一個角度描述TPM的內部結構。
TPM中的密碼協(xié)處理器實現(xiàn)密碼運算操作，包括非對稱密碼運算操作和對稱密碼運算操作，但是，對稱密碼運算操作僅限于TPM內部使用，TPM不對外提供對稱密碼運算操作接口，所以，TPM沒有對外提供對稱密碼運算功能。
HMAC是密鑰相關的哈希運算消息認證碼（keyed-Hash Message Authentication Code），HMAC運算利用哈希算法，以一個密鑰和一個消息為輸入，生成一個消息摘要作為輸出。
HMAC引擎提供HMAC運算功能，發(fā)揮兩方面的作用：
（1）驗證TPM接收的授權數(shù)據(jù)和認證數(shù)據(jù)；
（2）確認TPM接收到的命令請求是已授權的請求，并且，命令在傳送的過程中沒有被改動過。
密鑰生成器用于生成密鑰，可生成的密鑰包括非對稱密鑰和對稱密鑰。TPM可以向外部實體提供非對稱密鑰，也可以提供對稱密鑰。隨機數(shù)生成器生成的隨機數(shù)可以作為密鑰生成器生成密鑰的基礎。
執(zhí)行引擎的作用是執(zhí)行程序代碼，實現(xiàn)TPM命令的功能。外部實體通過輸入/輸出端口把命令請求傳送給TPM，這些請求將驅動執(zhí)行引擎去執(zhí)行相應的代碼，從而實現(xiàn)相應的功能。
3.6.4 TPM命令的授權驗證
授權驗證要解決的問題是：
（1）檢查實體是否擁有執(zhí)行TPM命令的合法授權；
（2）驗證消息在實體與TPM之間傳送時的安全性。
1．命令驗證方法
利用會話機制實現(xiàn)命令的授權驗證。在會話中，TPM位于會話的一端，實體位于會話的另一端。
當一個實體要進入一個會話時，它需要提供一個秘密，以此作為驗證它是否擁有相應授權的依據(jù)。
在實體與TPM之間傳送的消息的安全性用消息認證碼進行驗證，消息認證碼通過HMAC運算生成。
2．命令驗證協(xié)議
在五個命令驗證協(xié)議中，OIAP和OSAP這兩個協(xié)議用于建立會話環(huán)境，ADIP、ADCP和AACP這三個協(xié)議用于處理授權信息。
建立會話環(huán)境時，要么使用OIAP協(xié)議，要么使用OSAP協(xié)議，用戶必須作出明確的選擇。
ADIP、ADCP和AACP隱含地體現(xiàn)在TPM命令之中，不用進行顯式的選擇。
會話環(huán)境的建立與協(xié)議選擇的例子：
（1）執(zhí)行TPM_TakeOwnership命令的會話應該選擇OIAP協(xié)議，因為該命令不涉及具體的TPM對象；
（2）執(zhí)行TPM_CreateWrapKey命令的會話應該選擇OSAP協(xié)議，因為該命令要處理的是TPM的密鑰對象。
授權信息處理與協(xié)議關系的例子：
（1）執(zhí)行TPM_CreateWrapKey命令生成密鑰時，可以為密鑰建立授權數(shù)據(jù)，相應的任務由ADIP協(xié)議支持；
（2）執(zhí)行TPM_ChangeAuth命令可以修改TPM對象的授權數(shù)據(jù)，相應的任務由ADCP協(xié)議支持，修改后的授權數(shù)據(jù)是父對象可見的；
（3）如果想修改TPM對象的授權數(shù)據(jù)，且希望修改后的授權數(shù)據(jù)是父對象不可見的，那么，可以執(zhí)行TPM_ChangeAuthAsymStart和TPM_ChangeAuthAsymFinish命令，相應的任務由AACP協(xié)議支持。
