第6章TPM核心功能 承5大学 Northeastern University 6.1TPM架构 6.2安全度量和报告 6.3远程证明 6.4数据保护 6.5TPM密钥管理
第6章 TPM核心功能 6.1 TPM架构 6.2 安全度量和报告 6.3 远程证明 6.4 数据保护 6.5 TPM密钥管理
6.1TPM架构 家北大学 Northeastern University TPM至少需要具备四个 主要功能：对称非对称 加密、安全存储、完整 TPM 操作系统 性度量和签名认证。数 非易失性 执行引擎 储存 程序代码 据的非对称加密和签名 可选状态配置 认证是通过RSA算法来 易失性 实现的，而完整性度量 储存 SHA-1协处理器 则是通过高效的SHA-1 随机数生成器 平台配置 RSA RSA 散列算法来完成，对称 寄存器 协处理器 密钥生成 AIK 加密可以使用任意算法 ,既可以使用专用协处 理器也可以使用软件来 完成
6.1 TPM 架构 TPM至少需要具备四个 主要功能：对称/非对称 加密、安全存储、完整 性度量和签名认证。数 据的非对称加密和签名 认证是通过RSA算法来 实现的，而完整性度量 则是通过高效的SHA-1 散列算法来完成，对称 加密可以使用任意算法 ，既可以使用专用协处 理器也可以使用软件来 完成
6.1TPM架构 束大学 Northeastemn University ▣非易失性存储(Non-Volatile Storage) 口平台配置寄存器PCR 目身份认证密钥（At比es Platform Attestation NomVolatile Program Configuration Identity Storage Code 目 程序代码(Program( Register(PCR) Key(AIK) Communications 随机数生成器RNG l/o 目 Random SHA-1引擎 SHA-1 Key RSA Exec Number Opt-In Engine Generation Engine Engine 目 密钥生成(Key Gen.) Generator Trusted Platform Module(TPM) 可选状态配置(Opt-in) 目 执行引擎(Exec engine) 日输入输出I/O
6.1 TPM 架构 非易失性存储（Non-Volatile Storage） 平台配置寄存器PCR 身份认证密钥（Attes. Id. K.) 程序代码（Program Code） 随机数生成器RNG SHA-1引擎 密钥生成（Key Gen.） 可选状态配置(Opt-in) 执行引擎（Exec engine） 输入输出I/O
6.1TPM架构 家北大学 Northeastemn University ● Non-Volatile Storage Non-volatile storage is used to store Endorsement Key (EK),Storage Root Key (SRK),owner authorization data and persistent flags. 非易失存储器：EK(2048bit)、EK证书、SRK(2048bit)及 所有者(Owner)授权数据160bit)等 Attestation Identity Keys (AlK) Attestation Identity Keys must be persistent,but it is recommended that AlK keys be stored as Blobs in persistent external storage (outside the TPM),rather than stored permanently inside TPM non-volatile storage. 专用于对TPM产生的数据（如TPM功能、PCR寄存器的值 等)进行签名的不可迁移的密钥，由TPM所有者生成
6.1 TPM 架构 ⚫ Non-Volatile Storage ❖ Non-volatile storage is used to store Endorsement Key (EK), Storage Root Key (SRK), owner authorization data and persistent flags. 非易失存储器：EK(2048bit)、 EK证书、SRK(2048bit)及 所有者(Owner)授权数据(160bit)等 ⚫ Attestation Identity Keys (AIK) ❖ Attestation Identity Keys must be persistent, but it is recommended that AIK keys be stored as Blobs in persistent external storage (outside the TPM), rather than stored permanently inside TPM non-volatile storage. 专用于对TPM产生的数据（如TPM功能、PCR寄存器的值 等）进行签名的不可迁移的密钥，由TPM所有者生成
6.1TPM架构 家北大学 Northeastern University ●/o Protocol en-/decoding Enforce access policies associated with Opt-in or other TPM functions ●Program Code Program code contains firmware for measuring platform devices.Logically,this is the Core Root of Trust for Measurement(CRTM). 程序代码包含测量平台设备的固件。从逻辑上讲，这是 对可信核心根(CRTM)的测量
6.1 TPM 架构 ⚫ I/O ❖ Protocol en-/decoding ❖ Enforce access policies associated with Opt-in or other TPM functions ⚫ Program Code ❖ Program code contains firmware for measuring platform devices. Logically, this is the Core Root of Trust for Measurement (CRTM). 程序代码包含测量平台设备的固件。从逻辑上讲，这是 对可信核心根（CRTM）的测量