一种验证计算池可信的方法及系统的制作方法
一种验证计算池可信的方法及系统的制作方法
【技术领域】
[0001]本发明涉及计算机技术领域，特别涉及一种验证计算池可信的方法及系统。
【背景技术】
[0002]随着云计算、大数据等技术的发展，如何为用户提供安全可信的计算环境变得越来越重要。在云计算中，将大量的计算资源放到计算池中，当用户需要计算资源进行计算时，云计算的管理端会根据用户的需要为用户分配计算资源，如何保证云计算的管理端为用户分配的计算资源安全可信，变得越来越重要。
[0003]现有技术中，为了保障计算池中的宿主机的安全性，采用类似保障一台独立的物理主机的安全性的策略，为宿主机安全防火墙等。现有技术中只能对通过验证宿主机的完整性来判断该宿主机是否可信，而在云计算中，计算池中的宿主机并不是一台完全独立的物理主机，计算池中的宿主机需要按照云计算的管理端发来的命令来完成计算任务，云计算的管理端在分配宿主机给用户时，需要考虑宿主机的地理位置，当计算池中的虚拟机需要迀移或发生逃逸问题时，需要确保宿主机的地理位置的安全，现有技术不能保证计算池中宿主机的地理位置的安全，总之，现有技术中计算池的安全性较低。
【发明内容】
[0004]有鉴于此，本发明提供了一种验证计算池可信的方法及系统，能够提高计算池的安全性。
[0005]一方面，本发明提供了一种验证计算池可信的方法，包括:
[0006]预先生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书，还包括:
[0007]S1:所述可信第三方向所述宿主机请求所述宿主机中保存的初始哈希值；
[0008]S2:所述可信第三方接收所述宿主机返回的待验证的初始哈希值；
[0009]S3:所述可信第三方计算所述可信Geo-Tag证书的可信哈希值；
[0010]S4:所述可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则判定所述宿主机可信，否则，判定所述宿主机不可信。
[0011]进一步地，所述预先生成携带有宿主机的地理位置信息的Ge0-Tag证书，包括:
[0012]Al:向数字证书认证中心CA发送所述宿主机的地理位置信息，以使所述CA生成携带有所述地理位置信息的CA证书；
[0013]A2:获取所述CA证书和所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签；
[0014]A3:对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。
[0015]进一步地，所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，包括:
[0016]将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0017]进一步地，在所述SI之前还包括:
[0018]预先设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥；
[0019]所述Al，包括:
[0020]向所述CA发送携带有第一随机数的开始会话请求；
[0021]接收所述CA返回的对所述开始会话请求的应答和所述第一随机数；
[0022]将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，以使所述CA接收所述第一加密信息，所述CA利用所述CA的私钥进行解密，所述CA生成携带有所述地理位置信息的CA证书，所述CA通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，所述CA返回所述第二加密信息；
[0023]所述A2中，所述获取所述CA证书，包括:
[0024]接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书；
[0025]在所述获取所述CA证书之后，还包括:
[0026]利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA，以使所述CA利用所述CA的私钥对所述第三加密信息进行解密，所述CA根据所述结束会话请求返回结束会话的应答和所述第三随机数。
[0027]进一步地，所述确定所述Geo-Tag证书的初始哈希值，包括:
[0028]利用SHA-1计算所述Geo-Tag证书的初始哈希值；
[0029]和/ 或，
[0030]所述将所述初始哈希值保存到在所述TPM芯片中，包括:
[0031 ] 将所述初始哈希值扩展到所述TPM芯片的PCR22中。
[0032]另一方面，本发明提供了一种验证计算池可信的系统，包括:
[0033]地理位置标签Geo-Tag证书单元，用于生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书；
[0034]所述可信第三方，用于向所述宿主机请求所述宿主机中保存的初始哈希值，接收所述宿主机返回的待验证的初始哈希值，计算所述可信Geo-Tag证书的可信哈希值，判断所述待验证的初始哈希值与所述可信哈希值是否相等，当判断结果为是时，则判定所述宿主机可信，当判断结果为否时，判定所述宿主机不可信。
[0035]进一步地，还包括:数字证书认证中心CA，用于接收所述Geo-Tag证书单元发来的所述地理位置信息，生成携带有所述地理位置信息的CA证书，将所述CA证书发送给所述Geo-Tag证书单元；
[0036]所述Geo-Tag证书单元，用于在执行所述生成携带有宿主机的地理位置信息的Geo-Tag证书时，具体执行:向CA发送所述宿主机的地理位置信息，接收所述CA发来的CA证书，获取所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签，对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。
[0037]进一步地，所述Geo-Tag证书单元，用于在执行所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中时，具体执行:将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0038]进一步地，还包括:设置单元，用于设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥；
[0039]所述Geo-Tag证书单元，用于向所述CA发送携带有第一随机数的开始会话请求，接收所述CA返回的对所述开始会话请求的应答和所述第一随机数，将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书；
[0040]所述CA，用于接收所述Geo-Tag证书单元发来的携带有第一随机数的开始会话请求，并返回对所述开始会话请求的应答和所述第一随机数，接收所述第一加密信息，利用所述CA的私钥进行解密，根据所述地理位置信息生成所述CA证书， 通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，返回所述第二加密信息给所述Geo-Tag证书单元；
[0041]所述Geo-Tag证书单元，还用于在获取所述CA证书之后，利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA
[0042]所述CA，还用于接收所述第三加密信息，利用所述CA的私钥对所述第三加密信息进行解密，根据所述结束会话请求返回结束会话的应答和所述第三随机数。
[0043]进一步地，所述Geo-Tag证书单元，用于在执行所述确定所述Geo-Tag证书的初始哈希值时，具体执行:利用SHA-1计算所述Geo-Tag证书的初始哈希值；
[0044]和/ 或，
[0045]所述Geo-Tag证书单元，用于在执行所述将所述初始哈希值保存到在所述TPM芯片中时，具体执行:将所述初始哈希值扩展到所述TPM芯片的PCR22中。
[0046]本发明提供的一种验证计算池可信的方法及系统，预先生成携带有计算池中的宿主机的地理位置信息的Geo-Tag证书，通过该Geo-Tag证书来确保宿主机的地理位置信息的安全性，保存Geo-Tag证书的哈希值，并将Geo-Tag证书保存在可信第三方中，当需要调用宿主机时，通过可信第三方来对宿主机中保存的Geo-Tag证书进行验证，当通过验证时才将该宿主机分配给相应的用户，这样保证了用户使用的宿主机的安全性，提高了计算池的安全性。
【附图说明】
[0047]为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
[0048]图1是本发明一实施例提供的一种验证计算池可信的方法的流程图；
[0049]图2是本发明一实施例提供的另一种验证计算池可信的方法的流程图；
[0050]图3是本发明一实施例提供的一种验证计算池可信的系统的示意图。
【具体实施方式】
[0051]为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
[0052]如图1所示，本发明实施例提供了一种验证计算池可信的方法，该方法可以包括以下步骤:
[0053]步骤101:预先生成携带有宿主机的地理位置信息的Geo-Tag(地理位置标签)证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书；
[0054]步骤102:所述可信第三方向所述宿主机请求所述宿主机中保存的初始哈希值；
[0055]步骤103:所述可信第三方接收所述宿主机返回的待验证的初始哈希值；
[0056]步骤104:所述可信第三方计算所述可信Geo-Tag证书的可信哈希值；
[0057]步骤105:所述可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则执行步骤106，否则，执行步骤107 ;
[0058]步骤106:判定所述宿主机可信；
[0059]步骤107:判定所述宿主机不可信。
[0060]通过本发明实施例提供的一种验证计算池可信的方法，预先生成携带有计算池中的宿主机的地理位置信息的Geo-Tag证书，通过该Geo-Tag证书来确保宿主机的地理位置信息的安全性，保存Geo-Tag证书的哈希值，并将Geo-Tag证书保存在可信第三方中，当需要调用宿主机时，通过可信第三方来对宿主机中保存的Geo-Tag证书进行验证，当通过验证时才将该宿主机分配给相应的用户，这样保证了用户使用的宿主机的安全性，提高了计算池的安全性。
[0061]为了增加地理位置信息的安全性，可以先通过CA生成一个携带有所述地理位置信息的CA证书。在一种可能的实现方式中，所述预先生成携带有宿主机的地理位置信息的Geo-Tag证书，包括:
[0062]Al:向CA (Certificate Authority，数字证书认证中心)发送所述宿主机的地理位置信息，以使所述CA生成携带有所述地理位置信息的CA证书；
[0063]A2:获取所述 CA 证书和所述宿主机的 UUID (Universally Unique Identifier，通用唯一识别码)，根据所述UUID和所述CA证书创建Geo-Tag标签；
[0064]A3:对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。
[0065]为了进一步保证宿主机的地理位置信息的安全，可以对与CA的通信过程进行加密。在所述SI之前还包括:预先设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥；
[0066]所述Al，包括:
[0067]向所述CA发送携带有第一随机数的开始会话请求；
[0068]接收所述CA返回的对所述开始会话请求的应答和所述第一随机数；
[0069]将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，以使所述CA接收所述第一加密信息，所述CA利用所述CA的私钥进行解密，所述CA生成携带有所述地理位置信息的CA证书，所述CA通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，所述CA返回所述第二加密信息；
[0070]所述A2中，所述获取所述CA证书，包括:
[0071]接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书；
[0072]在所述获取所述CA证书之后，还包括:
[0073]利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA，以使所述CA利用所述CA的私钥对所述第三加密信息进行解密，所述CA根据所述结束会话请求返回结束会话的应答和所述第三随机数。
[0074]为了增加Geo-Tag证书的安全性，可以将Geo-Tag证书保存到TPM(TrustedPlatform Module，安全芯片)芯片中。在一种可能的实现方式中，所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，包括:
[0075]将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0076]另外，在一种可能的实现方式中，所述确定所述Geo-Tag证书的初始哈希值，包括:利用SHA-1计算所述Geo-Tag证书的初始哈希值；
[0077]在一种可能的实现方式中，所述将所述初始哈希值保存到在所述TPM芯片中，包括:将所述初始哈希值扩展到所述TPM芯片的PCR22中。
[0078]为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。
[0079]如图2所示，本发明实施例提供了一种验证计算池可信的方法，该方法可以包括以下步骤:
[0080]步骤201:向CA发送所 述宿主机的地理位置信息，以使所述CA生成携带有所述地理位置信息的CA证书。
[0081]步骤202:获取所述CA证书和所述宿主机的UUID，根据所述UUID和所述CA证书创建Geo-Tag标签。
[0082]步骤203:对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书，将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书。
[0083]步骤204:将所述Geo-Tag证书发送给所述宿主机中的TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0084]步骤205:所述可信第三方向所述宿主机请求所述宿主机中保存的初始哈希值。
[0085]步骤206:所述可信第三方接收所述宿主机返回的待验证的初始哈希值。
[0086]由于宿主机中保存初始哈希值可能会被篡改，宿主机返回的初始哈希值可能是被篡改后的，需要进行验证。
[0087]步骤207:所述可信第三方计算所述可信Geo-Tag证书的可信哈希值。
[0088]步骤208:所述可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则执行步骤209，否则，执行步骤210。
[0089]步骤209:判定所述宿主机可信。
[0090]步骤210:判定所述宿主机不可信。
[0091]如果判定宿主机可信后，可以将宿主机的地理位置信息发给云计算的管理端，供云计算的管理端调度，例如:可以将虚拟机迀移到该宿主机上。
[0092]参见图3，本实施例提供的一种验证计算池可信的系统，包括:
[0093]Geo-Tag证书单元301，用于生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书；
[0094]所述可信第三方302，用于向所述宿主机请求所述宿主机中保存的初始哈希值，接收所述宿主机返回的待验证的初始哈希值，计算所述可信Geo-Tag证书的可信哈希值，判断所述待验证的初始哈希值与所述可信哈希值是否相等，当判断结果为是时，则判定所述宿主机可信，当判断结果为否时，判定所述宿主机不可信。
[0095]在一种可能的实现方式中，该系统还包括:CA，用于接收所述Geo-Tag证书单元发来的所述地理位置信息，生成携带有所述地理位置信息的CA证书，将所述CA证书发送给所述Geo-Tag证书单元；
[0096]所述Geo-Tag证书单元，用于在执行所述生成携带有宿主机的地理位置信息的Geo-Tag证书时，具体执行:向CA发送所述宿主机的地理位置信息，接收所述CA发来的CA证书，获取所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签，对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。
[0097]在一种可能的实现方式中，所述Geo-Tag证书单元301，用于在执行所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中时，具体执行:将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0098]在一种可能的实现方式中，该系统，还包括:设置单元，用于设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥；
[0099]所述Geo-Tag证书单元301，用于向所述CA发送携带有第一随机数的开始会话请求，接收所述CA返回的对所述开始会话请求的应答和所述第一随机数，将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书；
[0100]所述CA，用于接收所述Ge0-Tag证书单元发来的携带有第一随机数的开始会话请求，并返回对所述开始会话请求的应答和所述第一随机数，接收所述第一加密信息，利用所述CA的私钥进行解密，根据所述地理位置信息生成所述CA证书，通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，返回所述第二加密信息给所述Geo-Tag证书单元；
[0101]所述Geo-Tag证书单元301，还用于在获取所述CA证书之后，利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA
[0102]所述CA，还用于接收所述第三加密信息，利用所述CA的私钥对所述第三加密信息进行解密，根据所述结束会话请求返回结束会话的应答和所述第三随机数。
[0103]在一种可能的实现方式中，所述Geo-Tag证书单元301，用于在执行所述确定所述Geo-Tag证书的初始哈希值时，具体执行:利用SHA-1计算所述Geo-Tag证书的初始哈希值；
[0104]在一种可能的实现方式中，所述Geo-Tag证书单元301，用于在执行所述将所述初始哈希值保存到在所述TPM芯片中时，具体执行:将所述初始哈希值扩展到所述TPM芯片的PCR22 中。
[0105]上述装置内的各单元之间的信息交互、执行过程等内容，由于与本发明方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。
[0106]本发明实施例提供的一种验证计算池可信的方法及系统，具有如下有益效果:
[0107]通过本发明实施例提供的一种验证计算池可信的方法，预先生成携带有计算池中的宿主机的地理位置信息的Geo-Tag证书，通过该Geo-Tag证书来确保宿主机的地理位置信息的安全性，保存Geo-Tag证书的哈希值，并将Geo-Tag证书保存在可信第三方中，当需要调用宿主机时，通过可信第三方来对宿主机中保存的Geo-Tag证书进行验证，当通过验证时才将该宿主机分配给相应的用户，这样保证了用户使用的宿主机的安全性，提高了计算池的安全性。
[0108]需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。
[0109]本领域普通技术人员可以理解:实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储在计算机可读取的存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括:R0M、RAM、磁碟或者光盘等各种可以存储程序代码的介质中。
[0110]最后需要说明的是:以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。
【主权项】
1.一种验证计算池可信的方法，其特征在于，包括: 预先生成携带有宿主机的地理位置信息的地理位置标签Ge0-Tag证书，确定所述 Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书，还包括: 51:所述可信第三方向所述宿主机请求所述宿主机中保存的初始哈希值； 52:所述可信第三方接收所述宿主机返回的待验证的初始哈希值； 53:所述可信第三方计算所述可信Geo-Tag证书的可信哈希值； 54:所述可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则判定所述宿主机可信，否则，判定所述宿主机不可信。2.根据权利要求1所述的方法，其特征在于，所述预先生成携带有宿主机的地理位置f目息的Geo-Tag证书，包括: Al:向数字证书认证中心CA发送所述宿主机的地理位置信息，以使所述CA生成携带有所述地理位置信息的CA证书； A2:获取所述CA证书和所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签； A3:对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。3.根据权利要求1所述的方法，其特征在于，所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，包括: 将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。4.根据权利要求2所述的方法，其特征在于， 在所述SI之前还包括: 预先设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥； 所述Al，包括: 向所述CA发送携带有第一随机数的开始会话请求； 接收所述CA返回的对所述开始会话请求的应答和所述第一随机数； 将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，以使所述CA接收所述第一加密信息，所述CA利用所述CA的私钥进行解密，所述CA生成携带有所述地理位置信息的CA证书，所述CA通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，所述CA返回所述第二加密信息； 所述A2中，所述获取所述CA证书，包括: 接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书； 在所述获取所述CA证书之后，还包括: 利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA，以使所述CA利用所述CA的私钥对所述第三加密信息进行解密，所述CA根据所述结束会话请求返回结束会话的应答和所述第三随机数。5.根据权利要求3所述的方法，其特征在于， 所述确定所述Geo-Tag证书的初始哈希值，包括: 利用SHA-1计算所述Geo-Tag证书的初始哈希值； 和/或， 所述将所述初始哈希值保存到在所述TPM芯片中，包括: 将所述初始哈希值扩展到所述TPM芯片的PCR22中。6.一种验证计算池可信的系统，其特征在于，包括: 地理位置标签Geo-Tag证书单元，用于生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书； 所述可信第三方，用于向所述宿主机请求所述宿主机中保存的初始哈希值，接收所述宿主机返回的待验证的初始哈希值，计算所述可信Geo-Tag证书的可信哈希值，判断所述待验证的初始哈希值与所述可信哈希值是否相等，当判断结果为是时，则判定所述宿主机可信，当判断结果为否时，判定所述宿主机不可信。7.根据权利要求6所述的系统，其特征在于，还包括:数字证书认证中心CA，用于接收所述Geo-Tag证书单元发来的所述地理位置信息，生成携带有所述地理位置信息的CA证书，将所述CA证书发送给所述Geo-Tag证书单元； 所述Geo-Tag证书单元，用于在执行所述生成携带有宿主机的地理位置信息的Geo-Tag证书时，具体执行:向CA发送所述宿主机的地理位置信息，接收所述CA发来的CA证书，获取所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签，对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。8.根据权利要求6所述的系统，其特征在于，所述Geo-Tag证书单元，用于在执行所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中时，具体执行:将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。9.根据权利要求7所述的系统，其特征在于，还包括:设置单元，用于设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥； 所述Geo-Tag证书单元，用于向所述CA发送携带有第一随机数的开始会话请求，接收所述CA返回的对所述开始会话请求的应答和所述第一随机数，将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书； 所述CA，用于接收所述Geo-Tag证书单元发来的携带有第一随机数的开始会话请求，并返回对所述开始会话请求的应答和所述第一随机数，接收所述第一加密信息，利用所述CA的私钥进行解密，根据所述地理位置信息生成所述CA证书，通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，返回所述第二加密信息给所述Geo-Tag证书单元； 所述Geo-Tag证书单元，还用于在获取所述CA证书之后，利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA 所述CA，还用于接收所述第三加密信息，利用所述CA的私钥对所述第三加密信息进行解密，根据所述结束会话请求返回结束会话的应答和所述第三随机数。10.根据权利要求8所述的系统，其特征在于， 所述Geo-Tag证书单元，用于在执行所述确定所述Geo-Tag证书的初始哈希值时，具体执行:利用SHA-1计算所述Geo-Tag证书的初始哈希值； 和/或， 所述Geo-Tag证书单元，用于在执行所述将所述初始哈希值保存到在所述TPM芯片中时，具体执行:将所述初始哈希值扩展到所述TPM芯片的PCR22中。
【专利摘要】本发明提供了一种验证计算池可信的方法及系统，该方法包括：预先生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书；可信第三方向所述宿主机请求宿主机中保存的初始哈希值；可信第三方接收所述宿主机返回的待验证的初始哈希值；可信第三方计算所述可信Geo-Tag证书的可信哈希值；可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则判定宿主机可信，否则，判定宿主机不可信。通过本发明提供的一种验证计算池可信的方法及系统，能够提高计算池的安全性。
【IPC分类】H04L29/08, H04L9/32, H04L29/06
【公开号】CN104901959
【申请号】CN201510275469
【发明人】杨博中
【申请人】浪潮电子信息产业股份有限公司
【公开日】2015年9月9日
【申请日】2015年5月26日
【技术领域】
[0001]本发明涉及计算机技术领域，特别涉及一种验证计算池可信的方法及系统。
【背景技术】
[0002]随着云计算、大数据等技术的发展，如何为用户提供安全可信的计算环境变得越来越重要。在云计算中，将大量的计算资源放到计算池中，当用户需要计算资源进行计算时，云计算的管理端会根据用户的需要为用户分配计算资源，如何保证云计算的管理端为用户分配的计算资源安全可信，变得越来越重要。
[0003]现有技术中，为了保障计算池中的宿主机的安全性，采用类似保障一台独立的物理主机的安全性的策略，为宿主机安全防火墙等。现有技术中只能对通过验证宿主机的完整性来判断该宿主机是否可信，而在云计算中，计算池中的宿主机并不是一台完全独立的物理主机，计算池中的宿主机需要按照云计算的管理端发来的命令来完成计算任务，云计算的管理端在分配宿主机给用户时，需要考虑宿主机的地理位置，当计算池中的虚拟机需要迀移或发生逃逸问题时，需要确保宿主机的地理位置的安全，现有技术不能保证计算池中宿主机的地理位置的安全，总之，现有技术中计算池的安全性较低。
【发明内容】
[0004]有鉴于此，本发明提供了一种验证计算池可信的方法及系统，能够提高计算池的安全性。
[0005]一方面，本发明提供了一种验证计算池可信的方法，包括:
[0006]预先生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书，还包括:
[0007]S1:所述可信第三方向所述宿主机请求所述宿主机中保存的初始哈希值；
[0008]S2:所述可信第三方接收所述宿主机返回的待验证的初始哈希值；
[0009]S3:所述可信第三方计算所述可信Geo-Tag证书的可信哈希值；
[0010]S4:所述可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则判定所述宿主机可信，否则，判定所述宿主机不可信。
[0011]进一步地，所述预先生成携带有宿主机的地理位置信息的Ge0-Tag证书，包括:
[0012]Al:向数字证书认证中心CA发送所述宿主机的地理位置信息，以使所述CA生成携带有所述地理位置信息的CA证书；
[0013]A2:获取所述CA证书和所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签；
[0014]A3:对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。
[0015]进一步地，所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，包括:
[0016]将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0017]进一步地，在所述SI之前还包括:
[0018]预先设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥；
[0019]所述Al，包括:
[0020]向所述CA发送携带有第一随机数的开始会话请求；
[0021]接收所述CA返回的对所述开始会话请求的应答和所述第一随机数；
[0022]将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，以使所述CA接收所述第一加密信息，所述CA利用所述CA的私钥进行解密，所述CA生成携带有所述地理位置信息的CA证书，所述CA通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，所述CA返回所述第二加密信息；
[0023]所述A2中，所述获取所述CA证书，包括:
[0024]接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书；
[0025]在所述获取所述CA证书之后，还包括:
[0026]利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA，以使所述CA利用所述CA的私钥对所述第三加密信息进行解密，所述CA根据所述结束会话请求返回结束会话的应答和所述第三随机数。
[0027]进一步地，所述确定所述Geo-Tag证书的初始哈希值，包括:
[0028]利用SHA-1计算所述Geo-Tag证书的初始哈希值；
[0029]和/ 或，
[0030]所述将所述初始哈希值保存到在所述TPM芯片中，包括:
[0031 ] 将所述初始哈希值扩展到所述TPM芯片的PCR22中。
[0032]另一方面，本发明提供了一种验证计算池可信的系统，包括:
[0033]地理位置标签Geo-Tag证书单元，用于生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书；
[0034]所述可信第三方，用于向所述宿主机请求所述宿主机中保存的初始哈希值，接收所述宿主机返回的待验证的初始哈希值，计算所述可信Geo-Tag证书的可信哈希值，判断所述待验证的初始哈希值与所述可信哈希值是否相等，当判断结果为是时，则判定所述宿主机可信，当判断结果为否时，判定所述宿主机不可信。
[0035]进一步地，还包括:数字证书认证中心CA，用于接收所述Geo-Tag证书单元发来的所述地理位置信息，生成携带有所述地理位置信息的CA证书，将所述CA证书发送给所述Geo-Tag证书单元；
[0036]所述Geo-Tag证书单元，用于在执行所述生成携带有宿主机的地理位置信息的Geo-Tag证书时，具体执行:向CA发送所述宿主机的地理位置信息，接收所述CA发来的CA证书，获取所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签，对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。
[0037]进一步地，所述Geo-Tag证书单元，用于在执行所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中时，具体执行:将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0038]进一步地，还包括:设置单元，用于设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥；
[0039]所述Geo-Tag证书单元，用于向所述CA发送携带有第一随机数的开始会话请求，接收所述CA返回的对所述开始会话请求的应答和所述第一随机数，将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书；
[0040]所述CA，用于接收所述Geo-Tag证书单元发来的携带有第一随机数的开始会话请求，并返回对所述开始会话请求的应答和所述第一随机数，接收所述第一加密信息，利用所述CA的私钥进行解密，根据所述地理位置信息生成所述CA证书， 通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，返回所述第二加密信息给所述Geo-Tag证书单元；
[0041]所述Geo-Tag证书单元，还用于在获取所述CA证书之后，利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA
[0042]所述CA，还用于接收所述第三加密信息，利用所述CA的私钥对所述第三加密信息进行解密，根据所述结束会话请求返回结束会话的应答和所述第三随机数。
[0043]进一步地，所述Geo-Tag证书单元，用于在执行所述确定所述Geo-Tag证书的初始哈希值时，具体执行:利用SHA-1计算所述Geo-Tag证书的初始哈希值；
[0044]和/ 或，
[0045]所述Geo-Tag证书单元，用于在执行所述将所述初始哈希值保存到在所述TPM芯片中时，具体执行:将所述初始哈希值扩展到所述TPM芯片的PCR22中。
[0046]本发明提供的一种验证计算池可信的方法及系统，预先生成携带有计算池中的宿主机的地理位置信息的Geo-Tag证书，通过该Geo-Tag证书来确保宿主机的地理位置信息的安全性，保存Geo-Tag证书的哈希值，并将Geo-Tag证书保存在可信第三方中，当需要调用宿主机时，通过可信第三方来对宿主机中保存的Geo-Tag证书进行验证，当通过验证时才将该宿主机分配给相应的用户，这样保证了用户使用的宿主机的安全性，提高了计算池的安全性。
【附图说明】
[0047]为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
[0048]图1是本发明一实施例提供的一种验证计算池可信的方法的流程图；
[0049]图2是本发明一实施例提供的另一种验证计算池可信的方法的流程图；
[0050]图3是本发明一实施例提供的一种验证计算池可信的系统的示意图。
【具体实施方式】
[0051]为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
[0052]如图1所示，本发明实施例提供了一种验证计算池可信的方法，该方法可以包括以下步骤:
[0053]步骤101:预先生成携带有宿主机的地理位置信息的Geo-Tag(地理位置标签)证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书；
[0054]步骤102:所述可信第三方向所述宿主机请求所述宿主机中保存的初始哈希值；
[0055]步骤103:所述可信第三方接收所述宿主机返回的待验证的初始哈希值；
[0056]步骤104:所述可信第三方计算所述可信Geo-Tag证书的可信哈希值；
[0057]步骤105:所述可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则执行步骤106，否则，执行步骤107 ;
[0058]步骤106:判定所述宿主机可信；
[0059]步骤107:判定所述宿主机不可信。
[0060]通过本发明实施例提供的一种验证计算池可信的方法，预先生成携带有计算池中的宿主机的地理位置信息的Geo-Tag证书，通过该Geo-Tag证书来确保宿主机的地理位置信息的安全性，保存Geo-Tag证书的哈希值，并将Geo-Tag证书保存在可信第三方中，当需要调用宿主机时，通过可信第三方来对宿主机中保存的Geo-Tag证书进行验证，当通过验证时才将该宿主机分配给相应的用户，这样保证了用户使用的宿主机的安全性，提高了计算池的安全性。
[0061]为了增加地理位置信息的安全性，可以先通过CA生成一个携带有所述地理位置信息的CA证书。在一种可能的实现方式中，所述预先生成携带有宿主机的地理位置信息的Geo-Tag证书，包括:
[0062]Al:向CA (Certificate Authority，数字证书认证中心)发送所述宿主机的地理位置信息，以使所述CA生成携带有所述地理位置信息的CA证书；
[0063]A2:获取所述 CA 证书和所述宿主机的 UUID (Universally Unique Identifier，通用唯一识别码)，根据所述UUID和所述CA证书创建Geo-Tag标签；
[0064]A3:对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。
[0065]为了进一步保证宿主机的地理位置信息的安全，可以对与CA的通信过程进行加密。在所述SI之前还包括:预先设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥；
[0066]所述Al，包括:
[0067]向所述CA发送携带有第一随机数的开始会话请求；
[0068]接收所述CA返回的对所述开始会话请求的应答和所述第一随机数；
[0069]将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，以使所述CA接收所述第一加密信息，所述CA利用所述CA的私钥进行解密，所述CA生成携带有所述地理位置信息的CA证书，所述CA通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，所述CA返回所述第二加密信息；
[0070]所述A2中，所述获取所述CA证书，包括:
[0071]接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书；
[0072]在所述获取所述CA证书之后，还包括:
[0073]利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA，以使所述CA利用所述CA的私钥对所述第三加密信息进行解密，所述CA根据所述结束会话请求返回结束会话的应答和所述第三随机数。
[0074]为了增加Geo-Tag证书的安全性，可以将Geo-Tag证书保存到TPM(TrustedPlatform Module，安全芯片)芯片中。在一种可能的实现方式中，所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，包括:
[0075]将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0076]另外，在一种可能的实现方式中，所述确定所述Geo-Tag证书的初始哈希值，包括:利用SHA-1计算所述Geo-Tag证书的初始哈希值；
[0077]在一种可能的实现方式中，所述将所述初始哈希值保存到在所述TPM芯片中，包括:将所述初始哈希值扩展到所述TPM芯片的PCR22中。
[0078]为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。
[0079]如图2所示，本发明实施例提供了一种验证计算池可信的方法，该方法可以包括以下步骤:
[0080]步骤201:向CA发送所 述宿主机的地理位置信息，以使所述CA生成携带有所述地理位置信息的CA证书。
[0081]步骤202:获取所述CA证书和所述宿主机的UUID，根据所述UUID和所述CA证书创建Geo-Tag标签。
[0082]步骤203:对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书，将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书。
[0083]步骤204:将所述Geo-Tag证书发送给所述宿主机中的TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0084]步骤205:所述可信第三方向所述宿主机请求所述宿主机中保存的初始哈希值。
[0085]步骤206:所述可信第三方接收所述宿主机返回的待验证的初始哈希值。
[0086]由于宿主机中保存初始哈希值可能会被篡改，宿主机返回的初始哈希值可能是被篡改后的，需要进行验证。
[0087]步骤207:所述可信第三方计算所述可信Geo-Tag证书的可信哈希值。
[0088]步骤208:所述可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则执行步骤209，否则，执行步骤210。
[0089]步骤209:判定所述宿主机可信。
[0090]步骤210:判定所述宿主机不可信。
[0091]如果判定宿主机可信后，可以将宿主机的地理位置信息发给云计算的管理端，供云计算的管理端调度，例如:可以将虚拟机迀移到该宿主机上。
[0092]参见图3，本实施例提供的一种验证计算池可信的系统，包括:
[0093]Geo-Tag证书单元301，用于生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书；
[0094]所述可信第三方302，用于向所述宿主机请求所述宿主机中保存的初始哈希值，接收所述宿主机返回的待验证的初始哈希值，计算所述可信Geo-Tag证书的可信哈希值，判断所述待验证的初始哈希值与所述可信哈希值是否相等，当判断结果为是时，则判定所述宿主机可信，当判断结果为否时，判定所述宿主机不可信。
[0095]在一种可能的实现方式中，该系统还包括:CA，用于接收所述Geo-Tag证书单元发来的所述地理位置信息，生成携带有所述地理位置信息的CA证书，将所述CA证书发送给所述Geo-Tag证书单元；
[0096]所述Geo-Tag证书单元，用于在执行所述生成携带有宿主机的地理位置信息的Geo-Tag证书时，具体执行:向CA发送所述宿主机的地理位置信息，接收所述CA发来的CA证书，获取所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签，对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。
[0097]在一种可能的实现方式中，所述Geo-Tag证书单元301，用于在执行所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中时，具体执行:将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。
[0098]在一种可能的实现方式中，该系统，还包括:设置单元，用于设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥；
[0099]所述Geo-Tag证书单元301，用于向所述CA发送携带有第一随机数的开始会话请求，接收所述CA返回的对所述开始会话请求的应答和所述第一随机数，将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书；
[0100]所述CA，用于接收所述Ge0-Tag证书单元发来的携带有第一随机数的开始会话请求，并返回对所述开始会话请求的应答和所述第一随机数，接收所述第一加密信息，利用所述CA的私钥进行解密，根据所述地理位置信息生成所述CA证书，通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，返回所述第二加密信息给所述Geo-Tag证书单元；
[0101]所述Geo-Tag证书单元301，还用于在获取所述CA证书之后，利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA
[0102]所述CA，还用于接收所述第三加密信息，利用所述CA的私钥对所述第三加密信息进行解密，根据所述结束会话请求返回结束会话的应答和所述第三随机数。
[0103]在一种可能的实现方式中，所述Geo-Tag证书单元301，用于在执行所述确定所述Geo-Tag证书的初始哈希值时，具体执行:利用SHA-1计算所述Geo-Tag证书的初始哈希值；
[0104]在一种可能的实现方式中，所述Geo-Tag证书单元301，用于在执行所述将所述初始哈希值保存到在所述TPM芯片中时，具体执行:将所述初始哈希值扩展到所述TPM芯片的PCR22 中。
[0105]上述装置内的各单元之间的信息交互、执行过程等内容，由于与本发明方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。
[0106]本发明实施例提供的一种验证计算池可信的方法及系统，具有如下有益效果:
[0107]通过本发明实施例提供的一种验证计算池可信的方法，预先生成携带有计算池中的宿主机的地理位置信息的Geo-Tag证书，通过该Geo-Tag证书来确保宿主机的地理位置信息的安全性，保存Geo-Tag证书的哈希值，并将Geo-Tag证书保存在可信第三方中，当需要调用宿主机时，通过可信第三方来对宿主机中保存的Geo-Tag证书进行验证，当通过验证时才将该宿主机分配给相应的用户，这样保证了用户使用的宿主机的安全性，提高了计算池的安全性。
[0108]需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。
[0109]本领域普通技术人员可以理解:实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储在计算机可读取的存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括:R0M、RAM、磁碟或者光盘等各种可以存储程序代码的介质中。
[0110]最后需要说明的是:以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。
【主权项】
1.一种验证计算池可信的方法，其特征在于，包括: 预先生成携带有宿主机的地理位置信息的地理位置标签Ge0-Tag证书，确定所述 Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书，还包括: 51:所述可信第三方向所述宿主机请求所述宿主机中保存的初始哈希值； 52:所述可信第三方接收所述宿主机返回的待验证的初始哈希值； 53:所述可信第三方计算所述可信Geo-Tag证书的可信哈希值； 54:所述可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则判定所述宿主机可信，否则，判定所述宿主机不可信。2.根据权利要求1所述的方法，其特征在于，所述预先生成携带有宿主机的地理位置f目息的Geo-Tag证书，包括: Al:向数字证书认证中心CA发送所述宿主机的地理位置信息，以使所述CA生成携带有所述地理位置信息的CA证书； A2:获取所述CA证书和所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签； A3:对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。3.根据权利要求1所述的方法，其特征在于，所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，包括: 将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。4.根据权利要求2所述的方法，其特征在于， 在所述SI之前还包括: 预先设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥； 所述Al，包括: 向所述CA发送携带有第一随机数的开始会话请求； 接收所述CA返回的对所述开始会话请求的应答和所述第一随机数； 将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，以使所述CA接收所述第一加密信息，所述CA利用所述CA的私钥进行解密，所述CA生成携带有所述地理位置信息的CA证书，所述CA通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，所述CA返回所述第二加密信息； 所述A2中，所述获取所述CA证书，包括: 接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书； 在所述获取所述CA证书之后，还包括: 利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA，以使所述CA利用所述CA的私钥对所述第三加密信息进行解密，所述CA根据所述结束会话请求返回结束会话的应答和所述第三随机数。5.根据权利要求3所述的方法，其特征在于， 所述确定所述Geo-Tag证书的初始哈希值，包括: 利用SHA-1计算所述Geo-Tag证书的初始哈希值； 和/或， 所述将所述初始哈希值保存到在所述TPM芯片中，包括: 将所述初始哈希值扩展到所述TPM芯片的PCR22中。6.一种验证计算池可信的系统，其特征在于，包括: 地理位置标签Geo-Tag证书单元，用于生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书； 所述可信第三方，用于向所述宿主机请求所述宿主机中保存的初始哈希值，接收所述宿主机返回的待验证的初始哈希值，计算所述可信Geo-Tag证书的可信哈希值，判断所述待验证的初始哈希值与所述可信哈希值是否相等，当判断结果为是时，则判定所述宿主机可信，当判断结果为否时，判定所述宿主机不可信。7.根据权利要求6所述的系统，其特征在于，还包括:数字证书认证中心CA，用于接收所述Geo-Tag证书单元发来的所述地理位置信息，生成携带有所述地理位置信息的CA证书，将所述CA证书发送给所述Geo-Tag证书单元； 所述Geo-Tag证书单元，用于在执行所述生成携带有宿主机的地理位置信息的Geo-Tag证书时，具体执行:向CA发送所述宿主机的地理位置信息，接收所述CA发来的CA证书，获取所述宿主机的通用唯一识别码UUID，根据所述UUID和所述CA证书创建Geo-Tag标签，对所述Geo-Tag标签进行数字签名，生成所述Geo-Tag证书。8.根据权利要求6所述的系统，其特征在于，所述Geo-Tag证书单元，用于在执行所述确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中时，具体执行:将所述Geo-Tag证书发送给所述宿主机中的安全芯片TPM芯片，通过所述TPM芯片对所述Geo-Tag证书进行哈希运算，获得所述初始哈希值，并将所述初始哈希值保存到在所述TPM芯片中。9.根据权利要求7所述的系统，其特征在于，还包括:设置单元，用于设置所述CA的私钥、所述CA的公钥、所述宿主机的私钥、所述宿主机的公钥； 所述Geo-Tag证书单元，用于向所述CA发送携带有第一随机数的开始会话请求，接收所述CA返回的对所述开始会话请求的应答和所述第一随机数，将所述宿主机的地理位置信息、所述第一随机数、第二随机数和所述宿主机的公钥，利用所述CA的公钥进行加密，得到第一加密信息，将所述第一加密信息发送给所述CA，接收所述CA返回的所述第二加密信息，利用所述宿主机的私钥对所述第二加密信息进行解密，获得所述CA证书； 所述CA，用于接收所述Geo-Tag证书单元发来的携带有第一随机数的开始会话请求，并返回对所述开始会话请求的应答和所述第一随机数，接收所述第一加密信息，利用所述CA的私钥进行解密，根据所述地理位置信息生成所述CA证书，通过所述宿主机的公钥对所述CA证书和所述第二随机数进行加密，得到第二加密信息，返回所述第二加密信息给所述Geo-Tag证书单元； 所述Geo-Tag证书单元，还用于在获取所述CA证书之后，利用所述CA的公钥对结束会话请求、所述第二随机数和第三随机数进行加密，得到第三加密信息，将所述第三加密信息发送给所述CA 所述CA，还用于接收所述第三加密信息，利用所述CA的私钥对所述第三加密信息进行解密，根据所述结束会话请求返回结束会话的应答和所述第三随机数。10.根据权利要求8所述的系统，其特征在于， 所述Geo-Tag证书单元，用于在执行所述确定所述Geo-Tag证书的初始哈希值时，具体执行:利用SHA-1计算所述Geo-Tag证书的初始哈希值； 和/或， 所述Geo-Tag证书单元，用于在执行所述将所述初始哈希值保存到在所述TPM芯片中时，具体执行:将所述初始哈希值扩展到所述TPM芯片的PCR22中。
【专利摘要】本发明提供了一种验证计算池可信的方法及系统，该方法包括：预先生成携带有宿主机的地理位置信息的地理位置标签Geo-Tag证书，确定所述Geo-Tag证书的初始哈希值，将所述初始哈希值保存在所述宿主机中，并将所述Geo-Tag证书保存在可信第三方中作为可信Geo-Tag证书；可信第三方向所述宿主机请求宿主机中保存的初始哈希值；可信第三方接收所述宿主机返回的待验证的初始哈希值；可信第三方计算所述可信Geo-Tag证书的可信哈希值；可信第三方判断所述待验证的初始哈希值与所述可信哈希值是否相等，如果是，则判定宿主机可信，否则，判定宿主机不可信。通过本发明提供的一种验证计算池可信的方法及系统，能够提高计算池的安全性。
【IPC分类】H04L29/08, H04L9/32, H04L29/06
【公开号】CN104901959
【申请号】CN201510275469
【发明人】杨博中
【申请人】浪潮电子信息产业股份有限公司
【公开日】2015年9月9日
【申请日】2015年5月26日
最新回复(0)