一种平台完整性验证方法和装置与流程

本发明涉及安全验证领域，具体涉及一种平台完整性验证方法和装置。

背景技术：

随着计算机技术的发展、网络的广泛普及,当今社会已进入到了信息化社会,信息化已经渗透到社会的政治、经济、教育、军事、人类的社会生活以及意识形态等各个方面。在信息社会,一方面,信息技术与信息产业的高速发展己成为社会的新的经济增长点和重要的战略资源；而另一方面则是破坏信息安全的事件层出不穷,呈现日益复杂的局面,信息安全问题已经变得日益突出。信息的安全保障能力已成为一个国家的综合国力的重要组成部分。信息安全事关国家安全、事关社会的稳定,因此,必须采取有效措施保障我国的信息安全。

纵观信息安全的发展历程人们最早关注的是信息在通信过程中的安全问题。随着多用户操作系统的出现,人们对信息安全的关注扩大为“机密性、访问控制与认证”。到了上个世纪中后期,学术界与军事部门对“信息安全”与“信息系统安全”越来越重视,信息安全逐步发展成为一门独立的学科,许多信息安全标准规范在这一时期大规模有组织的制定,信息安全的研究越来越多的受到信息技术的驱动,新型网络和计算机应用环境下的协议设计和算法逐渐成为热点问题。当今是可信计算时代,当前信总安全的研究己经逐步发展成为可信计算研究时期,可信计算将人类社会的人与人之间的信任理论引入信息安全研究,它强调对信息及信息系统动态行为的分析及决策,信息安全巳经不在是一个静态的概念,信息安全的研究在可信计算思想的引领下己经全面发展为可信网络、可信计算平台、可信操作系统、可信软件、可信数据库等诸多信息安全领域。

美国国防部于1983年,制定了世界上首个“可信计算机系统评测准则”(trustedcomputersystemevaluationcriteria,tcsec)。在tcsec中首次提出了可信计算机(trustedcomputer)和可信计算基(trustedcomputingbase,tcb)的概念,并提出将tcb作为整个系统安全的基础。作为对tcsec的补充,在推出tcsec之后,美国国防部又相继推出了一系列的信息系统安全指导文件,被称为“彩虹系列”。“彩虹系列”以tcsec为核心,推出的可信网络解释(trsutednetworkinterpretation,tni)和可信数据库解释(trusteddatabaseinterpretation,tdi)分别将可信评价扩展到了计算机网络和数据库系统中。

“彩虹系列”开创了信息安全领域的先河,对信息安全理论和技术的发展有着重要的指导意义。它为计算机系统安全建立了一套标准,多年来“彩虹系列”一直成为评价计算机系统安全的重要准则。然而,随着信息科学技术的日新月异,“彩虹系列”也里现出了他所具有的一定的局限性。一是强调了信息的机密性,而较少考虑信息的完整性和真实性；二是强调了对系统安全性的评价,并没有给出达到这种安全性的系统体系结构和技术路线。

1999年,由著名it企业包括hp、intel、ibm以及microsoft等共同发起成立了可信计算平台联盟(trustedcomputingplatformalliance,tcpa),标志着可信计算进入了发展的高潮阶段。2003年,tcpa正式改组为可信计算组织(trustedcomputinggroup,tcg)旨在研究制定可信计算的工业标准,标志若可信计算的技术和应用进入了新的领域,目前tcg已经制定了一系列的有关可信计算技术规范,包括可信pc规范、可信平台模块规范、可信软件栈规范、可信服务器规范、可信网络连接规范、可信手机模块规范等。tcg对可信计算的意义重大,它第一次提出可信计算平台的概念,并把它具体化到一系列计算产品,许多芯片厂家都按照tcg制定的规范推出了自己的可信平台模块芯片,大部分的台式pc和笔记本电脑都配备了tpm芯片,微软也推出支持可信计算的操作系统,可信计算已经走向了实际的应用。tcg不仅强调信息的机密性,更强调信息的完整性、真实性,而且也给出了具体的可信计算体系结构和技术路线。

可信计算领域里理论研究相对滞后于产品的开发,到目前为止,尚没有被大家所普遍认可的信任度量模型,也没有完善的信任链理论。

技术实现要素：

至少部分的解决现有技术中存在的问题，本发明提出一种平台完整性验证方法，包括：

验证方向信任度验证代理发起验证请求；

信任度验证代理向被验证方转发所述验证请求；

被验证方向信任度验证代理quote消息和日志文件给验证代理；

信任度验证代理向验证方返回信任度验证结果。

其中，所述方法采用基于信任度的验证结构,该结构包含具有可信计算模块tpm的被验证方、信任度验证代理、验证方以及为信任度验证代理提供服务的目录服务器。信任度验证代理是被验证方和验证方双方都信任的一个评估信任度的代理,它的验证结果不暴露被验证方的隐私信息,且具有权威性,由可信的第三方充当。

其中，

被验证方是请求接入到受保护网络且具有tpm的设备,被验证方的组件包括:

l)被验证平台：是被验证方中的计算环境；

2)tpm：是可信计算的核心设备,为被验证平台提供安全存储和密码运算功能；

信任度验证代理:是执行二进制验证或平台配置的验证和信任度评估的可信第三方,对于被验证平台,验证代理是二进制验证机制中的验证者；而对于验证方,它是被验证平台的代理；信任度验证代理包含的组件是配置验证器和信任度转换器:

l)配置验证器：是对被验证平台发送的完整性度量信息进行验证的模块,当接收到验证方的平台验证请求时,信任度验证代理挑战被验证方,使其发送完整性度量信息，配置验证器验证被验证方平台的配置状况,并将验证结果发送给信任度转换器；

2)信任度转换器:它负责评估被验证的信任度，当收到配置验证器将被验证方的平台验证结果,根据验证结果、信任度评估策略,信任度转换器将完整性度量信息转化平台信任度；

目录服务器是为被验证方的平台组件提供附加认证信息的服务器,该服务器是组件供应商或具有授权的可信第三方,目录服务器包括的组件有:

l)组件目录：是存储并为合法用户提供组件相关信息的实体；

2)信任度证明器：用来描述组件所具有的可信度的实体，该实体是下列至少一个：发布某个组件的生产商、权威的评估机构、企业或个体所有者；

3)信任度策略:用来记录组件配置状况到信任度转换的安全策略；

验证方为对请求者的平台完整性进行验证的设备,包括以下组件:

l)信任度验证器:在信任度验证交互过程,提供对被验证方的特定的安全需求,这些需求属于信任度评估的一部分，根据信任度验证代理发送的预定义的验证策略来对被验证方的可信性进行评估。

所述方法进一步包括：

平台验证请求:验证方发送一个消息给验证代理,该消息包括一个160b的随机数c、用于发送验证结果的背书密钥aik和信任策略tpv；

完整性度量请求:用一个已验证的通道,验证代理向被验证方转发所述消息；被验证方收到消息后,根据信任策略tpv,决定是否应答；

tpmquote请求/响应:利用所述消息,被验证方请求并接收经aik签名的quote消息；

完整性度量:通过加密通道,被验证方发送quote消息和日志文件给验证代理；

配置验证:根据pcr和日志文件和潜在的配置描述,验证代理重建被验证方的配置；

信任度验证:验证代理从被验证方的完整性度量结果、配置描述以及信任策略,来推导出被验证方的完整性信任度；

平台信任度:验证代理返回经签名的消息,该消息包含所述平台验证请求的内容和所述完整性信任度；验证方检查签名密钥的真实性；如果可靠,验证方从验证代理接收到信任度符合验证方的要求。

本发明提出一种平台完整性验证装置，包括：

请求单元，用于验证方向信任度验证代理发起验证请求；

信任度验证代理单元，用于信任度验证代理向被验证方转发所述验证请求；

确认单元，用于被验证方向信任度验证代理quote消息和日志文件给验证代理；

验证结果返回单元，用于信任度验证代理向验证方返回信任度验证结果。

其中，所述装置采用基于信任度的验证结构,该结构包含具有可信计算模块tpm的被验证方、信任度验证代理、验证方以及为信任度验证代理提供服务的目录服务器。信任度验证代理是被验证方和验证方双方都信任的一个评估信任度的代理,它的验证结果不暴露被验证方的隐私信息,且具有权威性,由可信的第三方充当。

其中，

被验证方是请求接入到受保护网络且具有tpm的设备,被验证方的组件包括:

l)被验证平台：是被验证方中的计算环境；

2)tpm：是可信计算的核心设备,为被验证平台提供安全存储和密码运算功能；

信任度验证代理:是执行二进制验证或平台配置的验证和信任度评估的可信第三方,对于被验证平台,验证代理是二进制验证机制中的验证者；而对于验证方,它是被验证平台的代理；信任度验证代理包含的组件是配置验证器和信任度转换器:

l)配置验证器：是对被验证平台发送的完整性度量信息进行验证的模块,当接收到验证方的平台验证请求时,信任度验证代理挑战被验证方,使其发送完整性度量信息，配置验证器验证被验证方平台的配置状况,并将验证结果发送给信任度转换器；

2)信任度转换器:它负责评估被验证的信任度，当收到配置验证器将被验证方的平台验证结果,根据验证结果、信任度评估策略,信任度转换器将完整性度量信息转化平台信任度；

目录服务器是为被验证方的平台组件提供附加认证信息的服务器,该服务器是组件供应商或具有授权的可信第三方,目录服务器包括的组件有:

l)组件目录：是存储并为合法用户提供组件相关信息的实体；

2)信任度证明器：用来描述组件所具有的可信度的实体，该实体是下列至少一个：发布某个组件的生产商、权威的评估机构、企业或个体所有者；

3)信任度策略:用来记录组件配置状况到信任度转换的安全策略；

验证方为对请求者的平台完整性进行验证的设备,包括以下组件:

l)信任度验证器:在信任度验证交互过程,提供对被验证方的特定的安全需求,这些需求属于信任度评估的一部分，根据信任度验证代理发送的预定义的验证策略来对被验证方的可信性进行评估。

验证方向信任度验证代理发起验证请求进一步包括平台验证请求:验证方发送一个消息给验证代理,该消息包括一个160b的随机数c、用于发送验证结果的背书密钥aik和信任策略tpv；

信任度验证代理向被验证方转发所述验证请求进一步包括完整性度量请求:用一个已验证的通道,验证代理向被验证方转发所述消息；被验证方收到消息后,根据信任策略tpv,决定是否应答；

被验证方向信任度验证代理quote消息和日志文件给验证代理进一步包括tpmquote请求/响应:利用所述消息,被验证方请求并接收经aik签名的quote消息；和完整性度量:通过加密通道,被验证方发送quote消息和日志文件给验证代理；

信任度验证代理向验证方返回信任度验证结果进一步包括配置验证:根据pcr和日志文件和潜在的配置描述,验证代理重建被验证方的配置；信任度验证:验证代理从被验证方的完整性度量结果、配置描述以及信任策略,来推导出被验证方的完整性信任度；和平台信任度:验证代理返回经签名的消息,该消息包含所述平台验证请求的内容和所述完整性信任度；验证方检查签名密钥的真实性；如果可靠,验证方从验证代理接收到信任度符合验证方的要求。

本发明提出了的平台完整性验证方法和装置，提高了平台安全验证的安全性和灵活性。

附图说明

图1为本发明一种平台完整性验证方法的流程图；

图2为本发明一种平台完整性验证装置的框图。

具体实施方式

下面将结合本发明的附图，对本发明的技术方案进行清楚、完整地描述。这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

本发明采用基于信任度的验证结构,该结构包含具有可信计算模块tpm的被验证方、信任度验证代理、验证方以及为信任度验证代理提供服务的目录服务器。信任度验证代理是被验证方和验证方双方都信任的一个评估信任度的代理,它的验证结果不暴露被验证方的隐私信息,且具有权威性,由可信的第三方充当。

被验证方是请求接入到受保护网络且具有tpm的设备,被验证方的组件包括:

l)被验证平台：特指被验证方中的计算环境；

2)tpm：是可信计算的核心设备,为被验证平台提供安全存储和密码运算功能。

信任度验证代理:是执行二进制验证或平台配置的验证和信任度评估的可信第三方,对于被验证平台,验证代理是二进制验证机制中的验证者；而对于验证方,它是被验证平台的代理；信任度验证代理包含的组件是配置验证器和信任度转换器:

l)配置验证器：是对被验证平台发送的完整性度量信息进行验证的模块(在tcg系统中,可以对应于pts模块),当接收到验证方的平台验证请求时,信任度验证代理挑战被验证方,使其发送完整性度量信息，配置验证器验证被验证方平台的配置状况,并将验证结果发送给信任度转换器；

2)信任度转换器:它主要负责评估被验证的信任度，当收到配置验证器将被验证方的平台验证结果,根据验证结果、信任度评估策略,信任度转换器将完整性度量信息转化平台信任度。

验证评估策略如描述或证明与被验证方的平台组件相关的影响安全的权重。例如,组件安全特性的影响因素可能有:制造商,她们产品的自身的构造和采用的技术可能影响组件的安全；评估权威,对组件安全特性的评估机构等也影响组件的安全；和组件的所有者,如果组件的使用者,企业、个人的使用也会对组件的安全要求不同；组件的功能,计算机平台的一些组件提供的服务不同,计算机系统对这些组件的安全需求不同,相应地它们的权重也就不同。

目录服务器是为被验证方的平台组件提供附加认证信息的服务器,该服务器通常是组件供应商或具有授权的可信第三方,目录服务器包括的组件有:

l)组件目录：是存储并为合法用户提供组件相关信息的实体,如软件供应商数据库通常提供该软件相应组件的哈希值以及相对应的最新产品描述信息；

2)信任度证明器：用来描述组件所具有的可信度(如某个组件提供哪些服务)的实体，该实体可以是发布某个组件的生产商,也可以是某些权威的评估机构,也可以是某些企业或个体所有者；

3)信任度策略:用来记录组件配置状况到信任度转换的安全策略,如在某些特殊应用上,会提高某些应用的权重等。

验证方为对请求者的平台完整性进行验证的设备,它主要

包括以下组件:

l)信任度验证器:在信任度验证交互过程,提供对被验证方的特定的安全需求,这些需求属于信任度评估的一部分，根据信任度验证代理发送的预定义的验证策略(如属性需求和可信策略)来对被验证方的可信性进行评估。

参见图1，本发明提出了一种平台完整性验证方法，包括：

验证方向信任度验证代理发起验证请求；

信任度验证代理向被验证方转发所述验证请求；

被验证方向信任度验证代理quote消息和日志文件给验证代理；

信任度验证代理向验证方返回信任度验证结果。

本发明的上述方法具体包括：

平台验证请求:验证方发送一个消息给验证代理,该消息包括一个160b的随机数c、用于发送验证结果的背书密钥aik和信任策略tpv；

完整性度量请求:用一个已验证的通道,验证代理向被验证方转发所述消息；被验证方收到消息后,根据信任策略tpv,决定是否应答；

tpmquote请求/响应:利用所述消息,被验证方请求并接收经aik签名的quote消息；

完整性度量:通过加密通道,被验证方发送quote消息和日志文件给验证代理；

配置验证:根据pcr和日志文件和潜在的配置描述,验证代理重建被验证方的配置；

信任度验证:验证代理从被验证方的完整性度量结果、配置描述以及信任策略,来推导出被验证方的完整性信任度；

平台信任度:验证代理返回经签名的消息,该消息包含所述平台验证请求的内容和所述完整性信任度；验证方检查签名密钥的真实性；如果可靠,验证方从验证代理接收到信任度符合验证方的要求。

对于信任度验证，本发明采用混合验证,是两层验证链,第一是基于二进制配置的验证,第二是基于信任度的验证，验证代理根据己定义的标准确认平台配置和特定属性之间的对应关系的正确性，验证方cp、验证代理tdvp和被验证方ap生成的密钥对分别是{kpubcp,kpricp}、{kpubtdvp,kpritdvp}、{kpubap,kpriap},通过协商验证方cp与验证代理tdvp之间的会话密钥为kc,验证代理tdvp与被验证方ap之间的会话密钥为ka,信任度验证的流程为：

s1:为了获得被验证平台ap的平台的可信状态,验证方cp向验证代理tdvp发送信任度验证请求；

cp将被验证方的身份信息idap、随机数noncel、发送信任度验证的时间timel、cp的验证策略policiescp和cp的身份信息aik-certifieatecp用tdvp的aik公钥加密,加密保证了只有tdvp才能解密消息,然后将消息用cp和tdvp之间的会话密钥kc加密后发送给tdvp；

s2:验证代理tdvp收到cp的信任度验证请求消息后,用自己的aik私钥解密,然后,tdvp向验证方提供的被验证方ap发送二进制验证请求:

tdvp将收到的cp的验证请求消息、随机数nonce1及发送信任度验证的时间timel用aik的私钥签名,然后在用会话密钥ka加密后发送给ap,随机数用以验证自己之前发送的消息是否得到了相应的回复,私钥签名确保该消息是tdvp所发；

s3:ap收到tdvp的验证请求后,收集自身的平台配置信息,然后发送二进制验证响应:

ap将收集自身的平台完整性信息pcrsap和随机数nonce2用aik私钥加密签名,然后在和aik证书用ap和tdvp之间的会话密钥加密后发送给tdvp；

s4:信任度评估后,tdvp分别向ap、cp发送信任度授权响应和信任度验证响应信息；

s5:ap向cp发送服务请求信息；

s6:当cp通过对ap的信任度验证后,cp响应服务请求信息。

用户之间交互的目的是实现可信平台之间的安全通信,或者说获得远程平台提供的服务。为了这一目的,可信计算定义了远程验证(remoteattestation,ra)机制,获得服务的计算机平台,即被验证方,以tpm为可信度量、存储和报告根,向远程验证者证明:自身系统具有的平台的软硬件配置状态,随后,远程验证平台判断被验证方是否处于一个可信状态,以便决定是否进行后续的通信。

然而,由于标准的tls应用程序(如web浏览器)允许平台拥有者导出密钥,致使恶意用户可以获得用于通信的证书和私钥,而验证本身和终端身份之间缺少联系。这样,数据传输过程中,恶意用户容易利用通信协议和完整性报告协议的缺陷,冒充合法用户。

由于标准的tls应用程序(如web浏览器)支持平台拥有者导出密钥,这样攻击者可以提取出身份证书(如x.509证书)和相应的私钥.在ssl/tls协议建立过程中,恶意用户利用获取的证书和私钥,冒充成合法用户通过验证者对其身份验证,获得下次通信的会话密钥。在远程验证过程中,验证者仅认为,消息被传送给预期的接收者。而接收者将该消息作为合法消息进行处理,从而导致一系列的不良后果。

本发明的平台完整性验证方法进一步解决了上述问题。

由于ssl/tls应用程序支持平台拥有者对计算机平台的证书和私钥的导出,这给恶意用户提供了冒充合法用户的可乘之机。为了从根本上改变这一问题,本发明改进了x.509证书的申请和密钥。a表示证书申请者,c表示证书的签发者,该证书的详细申请过程如下:

(l)a:从tpm中获得一对签名密钥对(k,k’)；

(2)a用签名密钥对(k,k’)生成证书认证申请,并用aik加密后传送给c；

(3)c验证申请,验证aik证书,处理申请；

(4)c响应申请；

(5)a获得响应,解密随机数nonce；

(6)a向c发送认证确认后的随机数nonce；

(7)c向a颁发证书。

这样,在x.509证书中,证书的私钥是在tpm模块中产生。因此,该密钥具有可信平台密钥的一般功能,即密钥的加密和解密过程均在tpm内部完成。

本发明进一步的改进了ssl/tls握手协议。由于原有的验证信息和终端身份之间缺乏联系,致使可信平台和服务器之间的信息被恶意用户利用的可能"而终端身份信息是在ssl/tls握手协议中获得,而验证信息包含在平台完整性验证的过程中的完整性报告协议中,为此,我们将aik证书引入到ssl/tls协议中。用aik的私钥k,对客户平台产生的随机数rand_c加密签名,同时将aik私钥签名的客户平台的证书签名和aik证书发送给服务器.服务器验证aik证书,并用aik公钥解密随机数rand_c和客户平台的证书,然后验证客户平台证书。

(l)使用客户端和服务器的aik分别对各自证书cert_c和cert_s和随机数rand_c！rand_s加密签名；

(2)在密钥交换时,客户端和服务器端分别提供一部分密钥,这两部分共同产生主密钥；

(3)密钥交换式传输的数据,需要用各自的aik签名后传输。

这样,即使恶意用户截获可信平台和服务器之间传送的信息,但因为没有相应的证书和密钥,而无法解密出信息。同时,aik对平台证书的签名实现了平台终端证书和tpm硬件之间建立了联系,实现了它们之间的绑定,使ssl/tls协议抗冒名重播攻击。

传统信息系统在公网上的信息传输方式,一般是在传输前由发送者将数据用分组密码加密,并对加密前明文计算散列值,传输后接收者用分组密码解密,并对解密后的明文计算散列值,接收者对接收到的散列值和计算所得散列值进行比较,如相同则表示数据完整,这样传统信息系统中每次经由公网传输信息,都要对数据进行分组密码的加、解密计算,目前的信息系统大多是多层级结构,通过公网传输信息的次数也相应比较多,又因为信息系统中需要传输的数据量越来越大,势必造成信息系统大量计算资源的消耗,而且传统信息系统中信息在进入信息库前是明文,降低了安全性能,对信息库专用通道的要求较高,实现代价也较高,同时,信息库管理员能直接获得信息库中存储的数据明文,对信息安全构成重大威胁,另外,传统信息系统对所发生的不可预知的故障不能提供快速检测支撑。

为解决上述问题,在传统的实施pki的三层信息系统基础上,基于完整性度量机制,设立可信权威第三方——度量中心,作为可信计算的信任仲裁与监督方,设计多个协议,在信息数据流转和变换的关键环节实施可信完整性度量,形成数据度量可信链,通过对数据度量可信链关键数据的比较和分析,在保持pki信息系统安全性的基础上,不仅能快速实现信息系统故障快速定位和提供检测报告,而且大大减少了信息系统在加！解密中的计算资源消耗,从而提高信息系统运行效率。

本发明的平台完整性验证方法进一步包括信息系统故障快速检测方法,具体包括:密钥分配方法、会话密钥协商方法、度量存储方法、快速检测方法和信息传输方法。

为更好的描述,定义符号如下:data为数据信息,m为明文,c为密文,h()为度量的杂凑函数,e()为加密计算函数,d()为解密计算函数,request()为请求函数,hx为度量结果,pk为公钥,sk为私钥,密钥下标表示密钥所属用户,如pkb表示b的公钥,ks为会话密钥,id为身份标识,t为时间戳,n为随机数,ix-y表示信息从x向y传送的摘要,trusted表示可信、nottrusted表示不可信,mc为度量中心,dh为信息库,mf为中间层,ca为认证中心。在加、解密运算中，[]表示密钥所属者,如epk[b]表示以b的公钥加密,在叙述中仍用下标标识密钥所属者,如pkb。

密钥分配方法包括：

(1)用户a生成ta，a向ca发送(request(b),ida,ta)，b表示用户b；

(2)ca接收后,识别ida,确认ida正确后,确认a发来的request(b)和ta,

ca向a发送esk[ca](pkb,request(b),ta)；

(3)若a在预定时限内收不到ca回复,重复(1)三次,若三次后没收到ca回复,报警退出；

若a在预定时限内收到ca回复,计算dpk[ca](esk[ca](pkb,request(b),ta))得到(pkb,request(b),ta),如a确认request(b)和ta为前面所发,则继续,否则报警退出。

会话密钥协商方法包括：

(1)通过密钥分配方法,a获取pkb；

(2)用户a生成na,用户a向用户b发送epk[b](na,ida)；

(3)b收到后,做dsk[b](epk[b](na,ida))得到(na,ida)；

(4)通过密钥分配方法,b获取pka；

(5)用户b生成nb,b向a发送epk[a](nb,na)；

(6)若a在预定时限内收不到b回复,重复(2)三次,若三次后没收到b回复,报警退出；

若a在预定时限内收到b回复,做dsk[a](epk[a](nb,na))得到(nb,na),比较na,若与前面所发出的相同则继续,否则报警退出；

(7)a生成ks,a向b发送epk[b](nb,esk[a](ks))；

(8)若b在预定时限内收不到a回复,重复(5)三次,若三次后没收到a回复,报警退出；

若b在预定时限内收到a回复,做dsk[b](epk[b](nb,esk[a](ks)))得到(nb,esk[a](ks)),比较nb,若与前面所发出的相同则继续,否则报警退出；

(9)b用pka解密做dpk[a](esk[a](ks))得到ks。

这样a、b双方都已确认会话密钥和通信对方身份。

度量存储方法包括：

a向mc发送度量信息,度量信息主要包括度量值hx和度量报告mrx,

(1)a生成ta,a向mc发送epk[mc](ia-b,ta,ida)；

(2)mc收到后,用函数dsk[mc]()解密,得(ia-b,ta,ida),mc生成tmc,mc向a发送epk[a](ta,tmc)；

(3)a接收后,用函数dsk[a]()解密,得(ta,tmc),与先前所发出比较,若相同则继续,否则报警退出；

(4)a向mc发送

(5)mc收到后,用函数dsk[mc]()、dpk[a]()、解密,得hx,tmc,mrx,比较tmc,若与先前发出的相同则继续,否则报警退出；

按完整性度量机制,由tmc计算度量值得hx`,若hx`和hx相等则继续,否则报警退出；

(6)mc查找ia-b对应的存储链表chaina-b,若不存在符合预定要求的链表，则创建一个含8个单元的连续存储区并清空,按顺序将hx和mrx存入存储区中首个单元,若已存在则将hx和mrx存入存储区中第一个空单元；8个单元的hx和mrx分别为h0、h1、h2、h3、h4、h5、h6、h7和mr0、mr1、mr2、mr3、mr4、mr5、mr6、mr7。

mc向a发送epk[a](esk[mc](ia-b,ta))；

(7)若a在预定时限内收不到mc回复,重复(1)三次,若三次后没收到mc回复,报警退出；

若a在预定时限内收到mc回复,使用dsk[a]()、dpk[mc]()解密epk[a](esk[mc](ia-b,ta)),得ia-b,ta,比较ia-b,ta,若与前面所发出的相同则继续,否则报警退出。

快速检测方法包括：

(1)b生成tb,b向mc发送epk[mc](esk[b](request(),ia-b,tb))；

(2)mc收到后,用函数dsk[mc]()、dpk[b]()解密,得(request(),ia-b,tb),mc根据ia-b查找信任链chaina-b，若没找到chaina-b的存储单元，mc向b发送epk[b](esk[mc](none,ia-b,tb))，退出；

若找到chaina-b的存储单元，比较存储单元中h0＝h7、h1＝h6、h2＝h3、h4＝h5的成立情况，组成4为二进制数，即成立结果为1，不成立结果为0，都不成立的4为二进制数为0000，不同的二进制数对应不同的返回状态及故障检测结果；

(3)根据二进制数的值得到返回状态及故障检测结果，分别为x和y；

(4)mc向b发送epk[b](esk[mc](x,y,tb))。

信息传输方法包括：用户a向用户b发送信息data，通过会话密钥协商方法、度量存储方法、快速检测方法完成公网上的保密信息传输并通报快速故障检测结果。

参见图2，本发明还提出了与所述方法对应的平台完整性检测装置。

本发明提出了的平台完整性验证方法和装置，提高了平台安全验证的安全性和灵活性。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。