存儲根秘鑰

⑴ 什麼是受信任的平台模塊安全硬體

受信任的平台模塊 (TPM) 是一種微晶元，使計算機能夠利用高級安全功能，例如 BitLocker 驅動器加密。已將 TPM 內置到某些新型計算機中。請檢查隨計算機附帶的信息，以查看計算機是否安裝了 TPM。 具有 TPM 的計算機可以創建只有同一 TPM 才能解密的加密密鑰。TPM 使用其自己的存儲根密鑰「打包」加密密鑰，該根密鑰存儲在 TPM 中。將存儲根密鑰存儲在 TPM 微晶元中而不是硬碟上，可以提供更好的保護以防禦旨在泄露您的加密密鑰的攻擊。 在啟動已啟用 TPM 和 BitLocker 的計算機時，TPM 會檢查操作系統中是否存在可能具有安全風險的狀態。這些狀態可以包括磁碟錯誤、對基本輸入/輸出系統 (BIOS) 或其他啟動組件的更改，或者顯示硬碟已從某台計算機取出而且現在正在其他計算機上啟動。如果 TPM 檢測到這些安全風險之一，BitLocker 會將系統分區保持為鎖定狀態，直到輸入 BitLocker 恢復密碼將其解鎖。 首次對 TPM 進行初始化時，將創建 「TPM 所有者密碼」 。TPM 所有者密碼可以幫助確保只有經過授權的所有者才可以訪問並管理計算機上的 TPM。

⑵ cissp中如何區分HSM和TPM

他們屬於不同的模塊。
HSM，硬體安全模塊，是一種基於硬體的加密解決方案，通常與公鑰基礎設施PKI 一同使用以加強安全。
TPM，可信平台模塊，是一種基於硬體的加密解決方案，嵌入在系統的主板上，可以在BIOS 中啟用或禁用，幫助生成哈希密鑰、存儲加密密鑰、密碼或證書。存儲根密鑰嵌入在TPM 中。

⑶ 可信計算的圖書信息

書 名： 可信計算（)
作者：（美國)DavidChallener （美國）RyanCatherman等
出版社：機械工業出版社
出版時間：2009
ISBN: 9787111253006
開本：16
定價： 38.00 元 《可信計算》圍繞不斷快速發展的可信計算學科展開全書內容，其內容涵蓋了如何使用可信平台模塊（TPM）提供安全解決方案，並討論了如何編碼實現。《可信計算》介紹了』TPM的基本功能以及如何編寫代碼通過標准TCG(TrustedComputingGroup，可信計算組織）軟體棧訪問這些功能，同時還提供了相關範例，並討論了利用TPM能夠實現的解決方案。
《可信計算》簡明實用，可作為高等院校相關專業的教材或教學參考書，同時也適合軟體工程師、軟體項目經理和技術主管、用戶界面設計者和可信計算愛好者閱讀。 DavidChallenerLerlOVO公司個人計算部門安全技術專家。他曾任職於IBM公司，是TPM規范的
合著者之一。
KentYoderIBMLinux技術中心軟體工程師。他作為IBM的代表參與TCGTSS委員會，幫助編寫和維護TrouSerS（在TPM硬體上執行的符合TSS軟體棧規范的開源TSS庫）。
RyanCathermanIBM可信計算軟體初始時的合著者之一，以及該軟體LJNⅨ版本的創始人。
DavidSaffordIBM研究所全球安全分析實驗室研究人員。
LeendertVanDoornAMD的高級研究員，負責軟體技術辦公室。 TPM（可信平台模塊）成為世界各大PC供應商積極推廣的一類新產品。《可信計算》是第一本關於正確使用TPM的工具書，向用戶展示可信計算技術的風采，並指導用戶進行相關的開發工作。
《可信計算》涵蓋了如何使用TPM提供安全解決方案，並討論了如何編碼實現。書中介紹了TPM的基本功能以及如何編寫代碼通過標准TCG(TrustedComptingGroup，可信計算組織）軟體棧訪問這些功能，同時還提供了相關範例，並討論了利用TPM能夠實現的解決方案。《可信計算》主要特點
TPM提供的服務和功能。
TPM設備驅動程序：在BIOS中運行代碼的解決方案、新操作系統的TSS棧和內存受限的環境。
·使用TPM增強PC啟動序列的安全性。
·深入探討密鑰管理方面的問題：創建、存儲、載入、遷移和使用密鑰，對稱密鑰等。
·將PKCS#11與TSS棧結合起來，以支持具有中間件服務的應用。
·TPM和隱私--包括如何避免隱私問題。
·從TSS1．1規范轉移到TSS1．2規范。
·TPM和TSS命令參考以及完整的函數庫。 譯者序
前言
關於作者
第一部分背景材料
第1章可信計算概述．
1．1計算機安全攻擊所造成的損失是驚人的
I．2正在變化中的計算機安全威脅
1．2．1易受攻擊的程序
1．2．2惡意程序：病毒和間諜軟體/廣告軟體
1．2．3錯誤配置的程序
1．2．4社會工程：網路釣魚和網路嫁接
1．2．5物理數據竊取
1．2．6電子竊聽
1．3軟體能夠做到完全安全嗎
1．4TPM能幫我們做什麼
1．5隱私和恢復——硬體的特殊考慮
1．6小結
1．7章節附註
第2章可信平台模塊的設計目標
2．1安全地報告當前環境：平台狀態
2．1．1存儲系統啟動序列的記錄
2．1．2報告啟動序列記錄
2．2安全存儲
2．2．1存儲數據和對稱密鑰
2．2．2存儲非對稱密鑰
2．2．3授權
2．3安全簽名
2．4安全身份標識
2．5多用戶環境中用戶的隔離
2．6內部隨機數產生器
2．7沒有包含的特性
2．8安全性分析
2．9小結
第3章可信平台模塊功能概述
3．1安全存儲：存儲根密鑰（sRK)
3．2可遷移密鑰與不可遷移密鑰
3．3密鑰類型
3．3．1存儲密鑰
3．3．2綁定密鑰
3．3．3身份密鑰
3．3．4簽名密鑰
3．4平台完整性
3．4．1平台配置寄存器（PCR)
3．4．2移交過程-
3．4．3密鑰維護
3．5安全簽名
3．5．1避免密鑰泄露
3．5．2私密性和多種簽名
3．6小結
第二部分TCG編程介面
第4章編寫TPM設備驅動程序．
4．1TCG設備驅動程序庫
4．2TPM1．1b規范設備介面
4．2技術細節
4．2．2設備編程介面
4．3TPM1．2規范設備介面
4．3．1技術細節
4．3．2設備編程介面
4．4小結
第5章底層軟體：直接使用BlOS和TDDL
5．I通過BIOS與TPM進行會話
5．2通過TDDL與TPM進行會話
5．2．1IBM的libtpm包
5．2．2啟用和清空TPM
5．2．3與TPM進行會話
5．2．4以一些簡單的TPM命令開始
5．3獲得所有權
5．3．1創建和使用密鑰
5．3．2檢查TPM配置
5．4小結
第6章可信啟動
6．1用靜態可信根實現可信啟動
6．2動態可信度量根
6．3AMD安全虛擬機
6．4驗證I．ocality
6．5小結
第7章TCG軟體棧
7．1TSS設計概況
7．2TCG服務提供者介面（Tspi)
7．3TSP對象類型
7．3．1上下文對象
7．3．2TPM對象
7．3．3策略對象
7．3．4密鑰對象
7．3．5加密數據對象
7．3．6散列對象
7．3．7PCR合成對象
7．3．8非易失性數據對象（17SS1．2）
7．3．9可遷移數據對象（TSS1．2）
7．3．10代理簇對象（TSS1．2）
7．3．11直接匿名證明（DAA）對象（TSS1．2）
7．4TSS返回代碼
7．5TSS內存管理
7．6可移植的數據設計
7．7永久密鑰存儲
7．8簽名和認證
7．9設置回調函數
7．10TSS確認數據結構
7．11小結
第8章使用TPM密鑰
8．1創建密鑰層次結構
8．2效用函數
8．3小結
第9章使用對稱密鑰
9．1數據綁定
9．2數據密封
9．3加密文件
9．4小結
第10章TSS核心服務（TCS)
10．1TCS概述
10．1．1TCS是如何處理有限資源的
10．1．2對TCS抽象能力的進一步分析
10．1．3為什麼TCS可以實現本地和遠程調用
10．2使用和實現一個TCS
10．2．1開始
10．2．2為什麼選擇WSDL
10．3wsdl文件的簡要分析
10．3．1頭文件
10．3．2段
lO．4復雜類型中的InParms和OutParms
lO．5消息
10．6埠類型的操作
lO．7綁定操作
10．8服務
10．8．1對WSDL．文件的總結
10．8．2使用WSDL。文件
10．8．3理想情況
lO．8．4以gSOAP為例
10．8．5使用gSOAP樁
10．9與TCS相關的隱私問題
10．9．1解決隱私問題
10．9．2對需要的函數進行分組
10．10小結
第11章公鑰加密標准PKCS#11
11．1PKCS#11概述
11．2PKCS#11TPM令牌
11．3RSA密鑰約束
11．4管理
11．5設計要求
11．6openCryptoki的設計
11．7遷移
11．8小結
第三部分體系結構
第12章可信計算和安全存儲
12．1與對稱演算法相結合
12．1．1加密文件並發送給網上沒有公鑰的其他用戶
12．1．2加密文件並發送給網上有公鑰的其他用戶
12．1．3加密文件並存儲在硬碟上
12．2加密文件並存儲在只有組成員可以訪問的組硬碟上
12．3加密文件並存儲在備份設備中
12．4將數據鎖定到特定的PC中
12．4．1步驟1．
12．4．2步驟2
12．4．3步驟3
12．4．4步驟4
12．5內容保護
12．6安全列印
12．6．1內部網
12．6．2網際網路
12．7安全傳真
12．8超級安全可遷移存儲
12．9小結
第13章可信計算和安全認證
13．1登錄口令的存儲
13．2虛擬專用網終端
13．3授權委託
13．4不允許進一步遷移的委託
13．5信用卡終端
13．6多個用戶使用單一系統
13．7安全的旅館式辦公
13．8利用背書密鑰產生PKI
13．9與生物識別技術相連
13．10與智能卡相連
13．10．1智能存儲卡和TPM
13．10．2智能簽名卡和FPM
13．11虛擬看門狗技術
13．12可信終端
13．13遵循HIPAA的醫學解決方法
13．14軍事上的COTS安全解決方法
13．15與IP電話一起使用
13．16與IPSec一起使用
13．17與計量儀表一起使用
13．18與網路交換機一起使用
13．19小結
第14章可信設備管理
14．1安全備份/維護
14．2密鑰證書的分配
14．3安全定時報告
14．4密鑰恢復
14．5TPM工具
14．6小結
第15章輔助硬體
15．1可信路徑
15．2特殊鍵盤
15．3可信顯示
15．4小結
第16章從TSs1．1到TSS1．2
16．1認證可遷移密鑰（CMK)
16．2代理
16．3直接匿名證明
16．4Locality
16．5PCR——新行為
16．6NVRAM
16．7審計函數
16．8單調計數器
16．9滴答計數器
16．10SOAP
16．11傳輸會話
16．12管理函數和便利函數
16．13示常式序
16．14小結
第四部分附錄
附錄A刪命令參考
附錄BTSS命令參考
附錄C函數庫
附錄D依據對象和API級別劃分TSS函數
索引
……

⑷ window7的bitlocker解鎖後怎樣上鎖，是不是要關機在開機才上鎖的呢，我一般幾天都不會關機的，

CMD 下輸入
manage-bde.exe D: -lock
D:為你要加鎖的盤符，
或者把他存成一個*.BAT文件
要加鎖時運行就是了

⑸ window7系統的Bitlocker 在系統中的作用是什麼，有什麼好處好壞處

BitLocker驅動器加密它是在Windows Vista中新增的一種數據保護功能，主要用於解決一個人們越來越關心的問題：由計算機設備的物理丟失導致的數據失竊或惡意泄漏。在新一代操作系統windows 7 中也能使用此加密驅動。
編輯本段概述
Windows BitLocker驅動器加密是一種全新的安全功能，該功能通過加密Windows操作系統卷上存儲的所有數據可以更好地保護計算機中的數據。 受信任的平台模塊(TPM)是一個內置在計算機中的微晶元。它用於存儲加密信息，如加密密鑰。存儲在TPM上的信息會更安全，避免受到外部軟體攻擊和物理盜竊。 BitLocker使用TPM幫助保護Windows操作系統和用戶數據，並幫助確保計算機即使在無人參與、丟失或被盜的情況下也不會被篡改。 BitLocker還可以在沒有TPM的情況下使用。若要在計算機上使用BitLocker而不使用TPM，則必須通過使用組策略更改BitLocker安裝向導的默認行為，或通過使用腳本配置BitLocker。使用BitLocker而不使用TPM時，所需加密密鑰存儲在USB快閃記憶體驅動器中，必須提供該驅動器才能解鎖存儲在卷上的數據。 但是BitLocker有一項不足，打開加密盤後，再次進入就不需要密碼了，那麼如何才能使每次訪問加密盤都要密碼呢？這恐怕是微軟後續改進的問題了，但是目前，我們可以在開始任務欄里輸入「cmd」，然後以管理員身份運行，輸入 manage-bde（空格）-lock（空格）X：，x為加密磁碟盤符。這樣就可以再次鎖住加密盤了。
編輯本段工作原理
通過加密整個Windows操作系統卷保護數據。 如果計算機安裝了兼容TPM，BitLocker將使用TPM鎖定保護數據的加密密鑰。因此，在TPM已驗證計算機的狀態之後，才能訪問這些密鑰。加密整個卷可以保護所有數據，包括操作系統本身、Windows注冊表、臨時文件以及休眠文件。因為解密數據所需的密鑰保持由TPM鎖定，因此攻擊者無法通過只是取出硬碟並將其安裝在另一台計算機上來讀取數據。 在啟動過程中，TPM將釋放密鑰，該密鑰僅在將重要操作系統配置值的一個哈希值與一個先前所拍攝的快照進行比較之後解鎖加密分區。這將驗證Windows啟動過程的完整性。如果TPM檢測到Windows安裝已被篡改，則不會釋放密鑰。 默認情況下，BitLocker安裝向導配置為與TPM無縫使用。管理員可以使用組策略或腳本啟用其他功能和選項。 為了增強安全性，可以將TPM與用戶輸入的PIN或存儲在USB快閃記憶體驅動器上的啟動密鑰組合使用。 在不帶有兼容TPM的計算機上，BitLocker可以提供加密，而不提供使用TPM鎖定密鑰的其他安全。在這種情況下，用戶需要創建一個存儲在USB快閃記憶體驅動器上的啟動密鑰。
編輯本段TPM
TPM是一個微晶元，設計用於提供基本安全性相關功能，主要涉及加密密鑰。TPM通常安裝在台式計算機或者攜帶型計算機的主板上，通過硬體匯流排與系統其餘部分通信。 合並了TPM的計算機能夠創建加密密鑰並對其進行加密，以便只可以由TPM解密。此過程通常稱作「覆蓋」或「綁定」密鑰，可以幫助避免泄露密鑰。每個TPM有一個主覆蓋密鑰，稱為「存儲根密鑰(SRK)」，它存儲在TPM的內部。在TPM中創建的密鑰的隱私部分從不暴露給其他組件、軟體、進程或者人員。 合並了TPM的計算機還可以創建一個密鑰，該密鑰不僅被覆蓋，而且還被連接到特定硬體或軟體條件。這稱為「密封」密鑰。首次創建密封密鑰時，TPM將記錄配置值和文件哈希的快照。僅在這些當前系統值與快照中的值相匹配時才「解封」或釋放密封密鑰。BitLocker使用密封密鑰檢測對Windows操作系統完整性的攻擊。 使用TPM，密鑰對的隱私部分在操作系統控制的內存之外單獨保存。因為TPM使用自身的內部固件和邏輯電路來處理指令，所以它不依賴於操作系統，也不會受外部軟體漏洞的影響。
編輯本段BitLocker驅動器加密的機制
首先需要強調的是，並不是所有的Windows Vista(or Windows 7)版本都支持BitLocker驅動器加密，相應的功能只有Windows Vista 的Enterprise版和Ultimate版才能夠實現。其目標即是讓Windows Vista(or Windows 7)用戶擺脫因 PC 硬體丟失、被盜或不當的淘汰處理而導致由數據失竊或泄漏構成的威脅， BitLocker保護的 Windows Vista 計算機的日常使用對用戶來說是完全透明的。在具體實現方面，BitLocker主要通過兩個主要子功能，完整的驅動器加密和對早期引導組件的完整性檢查，及二者的結合來增強數據保護。其中： 驅動器加密能夠有效地防止未經授權的用戶破壞 Windows Vista(or Windows 7)文件以及系統對已丟失或被盜計算機的防護，通過加密整個 Windows 卷來實現。利用 BitLocker，所有用戶和系統文件都可加密，包括交換和休眠文件。 對早期引導組件進行完整性檢查有助於確保只有在這些組件看起來未受干擾時才執行數據解密，還可確保加密的驅動器位於原始計算機中。通過 BitLocker，還可選擇鎖定正常的引導過程，直至用戶提供 PIN（類似於 ATM 卡 PIN）或插入含有密鑰資料的 USB 快閃記憶體驅動器為止。這些附加的安全措施可實現多因素驗證，並確保在提供正確的 PIN 或 USB 快閃記憶體驅動器之前計算機不會從休眠狀態中啟動或恢復。 BitLocker 緊密集成於 Windows Vista(or Windows 7) 中，為企業提供了無縫、安全和易於管理的數據保護解決方案。例如，BitLocker 可選擇利用企業現有的 Active Directory 域服務基礎結構來遠程委託恢復密鑰。BitLocker 還具備一個與早期引導組件相集成的災難恢復控制台，以供用於「實地」數據檢索。
編輯本段工作過程
BitLocker主要有兩種工作模式：TPM模式和U盤模式，為了實現更高程度的安全，我們還可以同時啟用這兩種模式。 要使用TPM模式，要求計算機中必須具備不低於1.2版TPM晶元，這種晶元是通過硬體提供的，一般只出現在對安全性要求較高的商用電腦或工作站上，家用電腦或普通的商用電腦通常不會提供。 要想知道電腦是否有TPM晶元，可以運行「devmgmt.msc」打開設備管理器，然後看看設備管理器中是否存在一個叫做「安全設備」的節點，該節點下是否有「受信任的平台模塊」這類的設備，並確定其版本即可。 如果要使用U盤模式，則需要電腦上有USB介面，計算機的BIOS支持在開機的時候訪問USB設備（能夠流暢運行Windows Vista(or Windows 7)的計算機基本上都應該具備這樣的功能），並且需要有一個專用的U盤（U盤只是用於保存密鑰文件，容量不用太大，但是質量一定要好）。使用U盤模式後，用於解密系統盤的密鑰文件會被保存在U盤上，每次重啟動系統的時候必須在開機之前將U盤連接到計算機上。 受信任的平台模塊是實現TPM模式BitLocker的前提條件。 對硬碟分區的要求 硬體滿足上述要求後，還要確保硬碟分區的安排可以滿足要求。通常情況下，我們可能習慣這樣給硬碟分區：首先，在第一塊硬碟上劃分一個活動主分區，用於安裝Windows，這個分區是系統盤；其次，對於剩下的空間繼續劃分更多主分區，或者創建一個擴展分區，然後在上面創建邏輯驅動器。簡單來說，我們已經習慣於讓第一塊硬碟的第一個分區成為系統盤，並在上面安裝Windows。 傳統方式下的硬碟分區情況。 在一台安裝Windows Vista(or Windows 7)的計算機上運行「diskmgmt.msc」後即可看到硬碟分區情況。 這里重點需要關注的是，硬碟上是否有超過一個的活動分區。如果該磁碟上有兩個分區，對應的盤符分別是「C」和「D」，其中「C」就是第一塊硬碟上的第一個分區，屬於系統盤而且是活動的。但問題在於，如果除了系統盤外，硬碟上不存在其他活動分區，這種情況下是無法直接啟用BitLocker的（無論是TPM模式還是U盤模式）。原因很簡單，源於其工作原理，BitLocker功能實際上就是將操作系統或者機密數據所在的硬碟分區進行加密，在啟動系統的時候，我們必須提供解密的密鑰，來解密原本被加密的文件，這樣才能啟動操作系統或者讀取機密文件。但這就有一個問題，用於解密的密鑰可以保存在TPM晶元或者U盤中，但是解密程序應該放在哪裡？難道就放在系統盤嗎？可是系統盤已經被加密了，這就導致了一種很矛盾的狀態：因為用於解密的程序被加密了，因此無法運行，導致無法解密文件。 所以如果要順利使用BitLocker功能，硬碟上必須至少有兩個活動分區，除了系統盤外，額外的活動分區必須保持未加密狀態（且必須是NTFS文件系統），同時可用空間不能少於1.5GB。為了保證可靠性，這個專門的活動分區最好專用，不要在上面保存其他文件或者安裝額外的操作系統。 遺憾的是，一般情況下，很少有人會在自己的硬碟上創建多個活動分區。那麼我們又該怎樣設置硬碟，以滿足BitLocker的要求？如果是在安裝Windows Vista(or Windows 7)之前看到了這段內容，並且打算安裝好之後使用BitLocker功能，那麼我們可以在安裝的時候直接將分區准備好。 如果是在安裝了Windows Vista(or Windows 7)，並且在打算使用BitLocker的時候才看到這段內容，而硬碟分區已經按照傳統的方式劃分好了，那麼也不用擔心。通過一些方法，我們可以在不破壞現有系統以及所有數據的前提下為BitLocker騰出一部分空間來創建另一個分區。 如果還沒有安裝Vista(or Windows 7) 如果正打算在一塊新硬碟上安裝Windows Vista(or Windows 7)企業版或旗艦版，那麼就可以在安裝的過程中創建出符合BitLocker要求的分區結構。具體的過程如下： 准備好Windows Vista(or Windows 7)安裝光碟，並在計算機的BIOS設置中設定通過光碟引導計算機（具體的設置方法請參考計算機或主板的說明書）； 打開電源，立刻將Windows Vista(or Windows 7)安裝光碟放入計算機。如果設置無誤，那麼計算機會自動從光碟引導，稍等片刻，屏幕上就會出現一個綠色的滾動條，就像Windows Vista(or Windows 7)正常啟動時候那樣； 當看到「安裝Windows」對話框之後，選擇要安裝的語言、時間和貨幣格式，以及鍵盤和輸入方法，設置好之後單擊「下一步」按鈕； 單擊窗口左下角的「修復安裝」鏈接； 隨後可以看到「系統恢復選項」對話框，因為這是一塊新硬碟，因此不會列出任何內容，直接單擊「下一步」按鈕； 在接下來看到的「系統恢復選項」對話框中，單擊「命令提示符」鏈接； 通過「命令提示符」創建符合要求的分區 當打開「命令提示行」窗口後，依次運行下面列出的命令（除了第一條和最後兩條命令外，其他所有命令都需要在「diskpart>」提示符下運行，括弧內的文字是對命令的解釋，不用輸入。）： Diskpart（啟動diskpart.exe，這是一個命令行界面下的硬碟分區調整程序。） Select Disk 0（將第一塊硬碟選中，作為後續操作的目標盤。如果有多塊硬碟，並且希望將Windows Vista(or Windows 7)安裝到其他硬碟上，請更改數字「0」為目標硬碟的編號。如果想知道分別有哪些硬碟，各自的編號是什麼，請首先運行「list disk」命令。） Clean（清空所選硬碟上的分區表信息。注意：目標硬碟上如果有數據，將被全部清除。） Create Partition Primary Size=1500（創建一個體積為1.5GB的主分區，這個分區用於日後保存引導文件。） Assign Letter=S（將這個1.5GB分區的盤符設置為「S」，或者其他任何想要使用的字母，但不建議使用「C」，畢竟很多人都習慣於將Windows安裝到C盤。） Active（將這個1.5GB的分區設置為活動分區。） Create Partition Primary（用所有剩餘空間創建一個主分區，如果希望除了這個主分區外還創建其他分區，請使用「size=xxx」參數指定這個主分區的大小。） Assign Letter=C（將這個分區的盤符設置為「C」，接下來會將Windows安裝到這個分區，同時最終被BitLocker加密的也是這個分區。） List Volume（查看已經分好的區，正常情況下可以看到劃分好的分區界面。） Exit（退出Diskpart程序。） Format C: /Y /Q /FS:NTFS（用NTFS文件系統快速格式化C盤。） Format S: /Y /Q /FS:NTFS（用NTFS文件系統快速格式化S盤。） 經過上述設置，我們可以重新啟動計算機，並再次使用Windows Vista(or Windows 7)安裝光碟引導系統，完成操作系統的安裝工作。在安裝過程中需要注意，系統必須安裝到C盤，而不能安裝到S盤。 在命令提示行下創建好的分區 如果已經安裝了Vista (or Windows 7) 如果已經安裝好了Windows Vista(or Windows 7)旗艦版或企業版，並在打算啟用BitLocker的時候才發現系統被安裝到磁碟0分區1上，也不用擔心。只要分區0可用空間足夠，我們完全可以將其中一部分空間拆借出來，創建一個新的磁碟0分區1。 雖然有很多第三方軟體可以做到這一點，不過往往需要付費購買，而且因為在系統盤的前面添加了一個新的分區，導致盤符變化，可能會使得Windows無法正常啟動，因此不建議使用這類第三方軟體。 要想在保留現有數據的前提下給原本安裝了Windows的「磁碟0分區1」前面新建一個分區，我們可以使用微軟提供的一個免費軟體：BitLocker和EFS增強，這個軟體是作為Windows Vista Ultimate Extras提供的。顧名思義，該軟體只能由正版Windows Vista旗艦版用戶通過Windows Update獲得。不過根據微軟的說明，Windows Vista企業版用戶可以聯系微軟獲取該軟體，聯系方式是：http://support.microsoft.com/contactus/?ws=support。 安裝了BitLocker和EFS增強工具後，請這樣操作： 從「開始」菜單下的「所有程序」 「附件」 「系統工具」 「BitLocker」路徑下啟動「BitLocker驅動器准備工具」，在授權協議頁面上單擊「我接受」，隨後該軟體將自動檢查本機的配置情況。 閱讀屏幕上顯示的注意事項，按照提示照做後單擊「繼續」按鈕。 隨後程序會自動調整硬碟分區，整個過程分為三個步驟：縮小（壓縮）現有的系統盤；利用壓縮獲得的可用空間創建一個用於保存引導文件的新分區；然後根據BitLocker的要求調整新分區的設置。 這個過程大概需要三分鍾左右，完成後單擊「完成」按鈕，系統會自動重啟動。這時准備工作已經全部完成。通過上述操作，在本機會出現一個盤符為「S」，可用空間為1.5GB的新分區，引導文件和啟動過程中的臨時文件會保存在這里。 另外，在使用BitLocker和EFS增強工具調整硬碟分區的時候，還必須保證之前的系統盤在減少1.5GB的可用空間後保留的可用空間不小於分區總容量的10%。 默認情況下，Vista中只能使用TPM模式的BitLocker，因此要使用U盤模式，我們必須配置組策略將其啟用。好在支持BitLocker功能的Windows Vista版本都是具有組策略的。具體做法如下： 運行「gpedit.msc」打開組策略編輯器，從編輯器窗口左側的控制台樹形圖中定位到「計算機配置」 「管理模板」 「Windows組件」 「BitLocker驅動器加密」。 在右側的控制台窗口中找到並雙擊打開「控制面板設置：啟用高級啟動選項」這個策略，選擇「已啟用」。 單擊「確定」保存設置，這樣我們已經在本機啟用了U盤模式的BitLocker。 啟用BitLocker 在安裝SP1之後的Vista企業版和旗艦版中，我們可以使用三種模式的BitLocker： ●純TPM模式，要求系統中具有TPM晶元，這樣用於解密的密鑰以及用於驗證引導文件完整性的相關文件都會保存在TPM晶元中。 ●純U盤模式，要求系統符合上文中提到的和USB設備有關的條件，這樣用於解密的密鑰會被保存在U盤中。 ●混合模式，可以使用TPM+U盤，TPM+PIN，以及TPM+U盤+PIN的形式進一步增強系統安全。 那麼這些模式分別要怎樣使用？讓我們來看看。 純U盤模式 因為目前具有TPM晶元的電腦還不是很多，因此我們首先介紹純U盤模式的使用方法，畢竟這種方式才適合最多人使用。 打開控制面板，依次單擊「安全」 「BitLocker驅動器加密」，我們可以看到BitLocker加密驅動器的界面。 這里已經列出了當前安裝電腦的所有本地硬碟分區，對於想要加密的分區，單擊對應的「啟用BitLocker」鏈接，隨後可以看到設置啟動首選項的界面，在這里我們需要選擇BitLocker的工作方式。因為沒有TPM晶元，因此只能選擇最後一個選項，這樣以後每次啟動系統的時候都必須提供保存了密鑰的U盤，不過系統啟動後就不再需要了。因此在這里直接單擊「每一次啟動時要求啟動USB密鑰」選項。 選擇要使用的BitLocker工作模式。 將准備好的U盤連接到計算機，等程序界面上顯示了這個U盤後，單擊將其選中，然後單擊「保存」按鈕，這樣用於解密被BitLocker加密的分區所需的密鑰就會被保存在所選的U盤上。 隨後可以看到保存恢復密碼的界面，在這里我們需要決定恢復密碼的處理方式。需要注意，在平時的使用過程中，並不需要提供恢復密碼，我們只要提供之前一步操作中指定的U盤即可，而恢復密碼是在U盤不可用（例如，丟失或者損壞）時使用的，因此建議將其妥善處理。例如，如果本機安裝了列印機，可以將恢復密碼列印在紙上，並將這張紙保存在安全的地方。同時因為非常重要，建議同時保留恢復密碼的多個副本，例如多次列印，然後將列印的密碼分別保存在不同的安全位置，或者保存在另外的U盤上（最好不要將恢復密碼和啟動密碼保存在同一個U盤上）。 保管好恢復密碼後單擊「下一步」按鈕，隨後程序會對我們的操作進行一個概述。同時為了進一步確認本機可以正常使用BitLocker功能，請保持選中「運行BitLocker系統檢查」選項，這樣程序會在進行加密之前先對系統中的各項設置進行檢查。如果確認無誤，請單擊「繼續」按鈕（注意：在整個過程中，最先使用的U盤一定不能拔下來，如果需要將恢復密碼保存在其他U盤上，請將第二塊U盤連接到計算機的其他USB介面上）。 接下來需要重新啟動系統，准備好之後單擊「現在重啟動」按鈕。重啟動完成，並成功登錄後，桌面右下角會顯示一個氣泡圖標，提示我們系統正在進行加密，單擊這個氣泡圖標後可以看到顯示加密進度的對話框。在這里我們可以暫停加密操作，並在稍後繼續進行，但是無法停止或者撤銷加密操作。 加密操作需要一定的時間，主要取決於系統盤的大小以及計算機的硬體速度。不過好在這個操作只需要進行一次。而且在日後的使用過程中，系統的運行速度並不會有太大的降低，因此可以放心使用。加密完成後單擊「完成」按鈕即可。經過上述操作，BitLocker功能已經被成功啟用。但是還有幾點問題需要注意： ●應用BitLocker加密後，當Windows Vista啟動後，我們查看系統文件時將不會看到文件帶有任何與「加密」有關的屬性，這屬於正常現象，因為BitLocker的加密是在系統底層，從文件系統上實現的，而在用戶看來，啟動了的系統里的系統文件並沒有被加密。但如果換個角度來看，例如一台計算機上安裝了兩個系統，或者將裝有系統的硬碟拆掉，連接到其他計算機上，在試圖訪問應用了BitLocker的系統所在的分區時，我們會收到拒絕訪問的信息，而且拒絕的原因是目標分區沒有被格式化。這都屬於正常現象，而且也證明了BitLocker正在保護我們操作系統的安全（設想一下，連訪問分區都無法實現，又如何進行離線攻擊？）。 ●另外，保存了啟動密鑰的U盤，直接在Windows資源管理器下查看的時候，完全看不到其中保存的密鑰文件。這也是為了安全。同時建議這個U盤只用於保存BitLocker的啟動密鑰，而不要用作其他用途。這主要是為了盡量避免U盤因為各種原因，例如病毒感染或者頻繁寫入損壞而造成系統無法訪問。而且需要注意，密鑰盤只是在啟動系統的時候需要，只要系統啟動完成，我們就可以將其拔出，並妥善保管起來。操作系統的正常運行過程中並不需要我們反復提供密鑰盤。 ●最後一點，在加密過程中，系統盤的可用磁碟空間將會急劇減少。這屬於正常情況，因為這個過程中會產生大量臨時文件。加密完成後這些文件會被自動刪除，同時可用空間數量會恢復正常。在解密被加密的系統盤時也會遇到類似的情況。 在應用了U盤模式的BitLocker後，每次啟動系統前都必須將保存了啟動密鑰的U盤連接到計算機，否則系統會提示需要BitLocker驅動器加密密鑰。這就要求我們必須將保存了啟動密鑰的U盤連接到計算機後重啟動，才能完成Windows的啟動和載入過程。如果因為某些原因，例如保存了啟動密鑰的U盤損壞或者丟失，只要還保留有啟用BitLocker時創建的恢復密碼，那麼可以在這個界面上按下回車鍵進行恢復。
編輯本段BitLocker的技術特色
BitLocker支持「受信平台模塊(TPM : Trusted Platform Mole)」1.2及其後版本，可實現基於硬體的全盤加密，以增強數據保護，並確保運行 Windows Vista 的 PC 在系統離線時不被瀏覽與修改；BitLocker 使用128或256位的AES加密演算法。(甚至有傳言BitLocker將使用1024位加密，是否屬實有待考證)；BitLocker可通過組策略設置；在系統中採用BitLocker驅動器加密對系統性能的影響很小，這是一個好消息；BitLocker密鑰可存儲在磁碟、USB盤，甚至可以列印出來。也可通過組策略自動生成並保存於Active Directory中；

⑹ 求論文開題報告在線等

可信計算的技術基礎是公開密鑰技術，公鑰體制中密鑰管理體系的安全性直接關繫到整個可信計算平台的安全程度。其中EK、SRK、AIK等三類密鑰管理是重點。本文著重分析了密鑰的分類和結構，提出了密鑰管理系統模型，基於該模型對所涉及密鑰的生成、存儲和銷毀等重點環節進行了研究。
關鍵詞 可信計算；密鑰；密鑰管理

1 引言
傳統的安全保護基本上以軟體為基礎，附以密鑰技術，側重以防為主。事實證明這種保護並不是非常可靠而且存在著被篡改的可能性。因此，在我國目前硬體、操作系統、安全等許多關鍵技術還嚴重依賴國外的情況下，對可信計算的要求迫切地擺在用戶的面前。可信計算不同於傳統的安全的概念，它將加密、解密、認證等基本的安全功能寫入硬體晶元，並確保晶元中的信息不能在外部通過軟體隨意獲取。
在可信平台中，TPM等硬體是「信任根」，信任的建立是「鏈式展開」，從而實現身份證明、平台完整性度量、存儲保護、遠程證明等。這些功能的實現大多與各種密鑰密切相關。比如，EK實現平台惟一身份標識，是平台的可信匯報根；SRK實現對數據和密鑰的存儲保護，是平台的可信存儲根[1]；AIK代替EK對運行環境測量信息進行簽名從而提供計算平台環境的證言等等。可以說可信計算的技術基礎就是公開密鑰技術，公鑰體制中密鑰管理體系的安全性直接關繫到整個應用系統的安全程度。因此，作為密碼系統基本要素之一的密鑰管理的好壞直接決定整個可信計算平台本身的安全性，是實現終端可信的核心環節，在整個可信計算體系中佔有舉足輕重的地位。
2 密鑰的分類和結構
可信計算平台中用到的密鑰分成以下幾類：
1) 背書密鑰EK(Endorement Key)
對應公鑰、私鑰分別表示為PUBEK、PRIVEK。其中私鑰只存在於TPM中，且一個TPM對應惟一的EK。EK可以用來表明TPM屬主身份和申請「證言身份證書 」時使用，並不直接提供身份證明。
2) 存儲密鑰SK(Storage Keys)
用來提供數據和其它密鑰的安全存儲。其根密鑰為SRK(Storage Root Key)， 每個可信計算平台只對應一個惟一的SRK。
3) 簽名密鑰(Signing Keys)
非對稱密鑰，用來對普通數據和消息進行數字簽名。
4) 證言身份密鑰AIK ( Attestation Identity Key)
對應一組公私密鑰對，專門對來源於TPM的數據進行簽名，實現對運行環境測量信息進行簽名從而提供計算平台環境的證言。每個可信計算平台沒有限制AIK密鑰的數量，但必須保證AIK密鑰不會重復使用。
5) 會話密鑰：加密傳輸TPM之間的會話。
在信息處理系統中，密鑰的某些信息必須放在機器中，總有一些特權用戶有機會存取密鑰，這對密碼系統的安全是十分不利的。解決這一問題的方法之一是研製多級密鑰管理體制。在可信計算平台中，密鑰分層體系如圖1所示[2]。

圖1 密鑰分層體系結構
SRK作為一級密鑰(也稱主密鑰)，存儲在安全區域，用它對二級密鑰信息加密生成二級密鑰。依次類推，父節點加密保護子節點，構成整個分層密鑰樹結構。在密鑰分層樹中，葉子節點都是各種數據加密密鑰和實現數據簽名密鑰。這些動作都應該是連貫的密箱操作。相比之下，純軟體的加密系統難以做到密箱操作。但如果把主密鑰、加密演算法等關鍵數據、程序固化在硬體設備TPM中，就能解決密箱操作的難題。
在整個密鑰體系中，每個密鑰在開始創建的時候都指定了固定的密鑰屬性。密鑰按照屬性不同分為：可移動密鑰(Migratable Key)、不可移動密鑰( Non- Migratable )[2]。可移動存儲密鑰並不局限於某個特定平台，可以由平台用戶在平台之間互換而不影響信息交互。不可移動密鑰則永久與某個指定平台關聯，任何此類密鑰泄漏到其它平台都將導致平台身份被假冒。不可移動密鑰能夠用來加密保護可移動密鑰，反之則不行。
3 密鑰管理系統(KMS)模型
密鑰管理是可信計算實現技術中的重要一環，密鑰管理的目的是確保密鑰的真實性和有效性。一個好的密鑰管理系統應該做到：
(1) 密鑰難以被竊取。
(2) 在一定條件下竊取了密鑰也沒有用，密鑰有使用范圍和時間的限制。
(3) 密鑰的分配和更換過程對用戶透明，用戶不一定要親自掌管密鑰。
在可信計算平台中，密鑰管理基於安全PC平台和PKI/CA。其中CA由證書生成和管理兩部分組成。證書生成包括用戶公鑰證書和私鑰證書的生成模塊。證書管理主要響應公鑰證書請求，CA為證書用戶生成密鑰對，請求作廢一個證書，查看CRL，直接從證書伺服器中接收有關CA密鑰或證書的更新、CRL刷新和用戶廢棄證書通告等信息。CA可以是平台製造商、組件生產廠商或者可信第三方。在可信計算平台中所產生的密鑰對有些永久存在於TPM之中，有些可以存儲於外部存儲設備中。為了保證可信計算平台中不同類型密鑰生成、管理、存儲等過程中的安全性，加強對各種密鑰的系統管理，提高可信計算平台自身的安全性，本文依據可信計算平台自身安全需求，針對可信計算平台中分層密鑰管理體系結構，提出了一種系統化密鑰管理模型，結構如圖2所示[3] [4]。

圖2 基於CA的密鑰管理系統
1) 密鑰生成伺服器
由三部分組成，密鑰發生器、密鑰檢測控制器和密鑰製作設備。負責各種密鑰的產生、檢測、選取和製作。密鑰的製作是按照一定格式和規定，將密鑰寫入載體。根據密鑰類型不同，密鑰生成伺服器產生密鑰的方式也不相同，但必須保證密鑰生成伺服器與可信計算平台緊密相關，共同負責密鑰安全。
2) 密鑰庫伺服器
密鑰庫伺服器是密鑰管理服務系統的重要基礎設施，密鑰庫中的數據應加密存放。可與緩存管理器配合，在密鑰管理伺服器的管理下實現數據保護密鑰在TPM存儲載體中的調入調出。
3) 密鑰管理伺服器
它是密鑰管理系統的核心，是密鑰管理系統所有操作的出入口包括密鑰管理和密鑰發送，接收CA的密鑰管理請求，發送相應的密鑰信息。
4) 密鑰緩存管理器
實現對數據保護密鑰中的Key Blob以及由SRK分級保護的層次密鑰的管理，管理TPM中有限的存儲資源。
4 基於KMS的密鑰管理方案
可信計算平台中密鑰包括多種類型，不同類型密鑰具有不同的安全需求，特別是密鑰的產生、傳輸、存儲、備份、銷毀等主要環節。為了便於管理，增強可信計算平台中各種密鑰的安全性，圍繞密鑰管理系統模型，本節深入研究了各類密鑰的管理方案。
4.1 背書密鑰EK
EK是TPM中最核心的密鑰，它是TPM的惟一性密碼身份標識。基於EK本身的重要性，在產生EK時基於以下幾個前提：
(1) EK在最初創建時就必須是保密的。
(2) EK創建時，設備必須是真實的並且是沒有被篡改的。
(3) 密碼演算法的弱點不會危及該秘密信息的安全。
(4) 設備的各項操作不會導致EK的泄露。
EK可以通過密鑰生成伺服器，採用兩種方法來產生：一是使用TPM命令，TCG規范定義了一組背書密鑰操作命令[5]，其中創建背書密鑰對的命令為：TPM_ CreateEndorsement KeyPair，產生密鑰長度要求至少2048位；另一種方法是密鑰「注入」技術，在信任製造商的前提下，由TPM製造商產生背書密鑰對，然後採用人工方式注入，注入的方法有：鍵盤輸入、軟盤輸入、專用密鑰槍輸入等。對比這兩種方法，前者必須依賴硬體中提供受保護的功能(Protected Capability)和被隔離的位置(Shielded Location)[6]，從而保證在設備內部產生密鑰對，而且密鑰對是在篡改保護的環境下產生，能夠很好地減少密鑰對泄露的風險；後者則對環境、管理和操作方法要求較高，首先密鑰的裝入過程應當在一個封閉的環境下進行，不存在可能被竊聽裝置接收的電磁泄露或其它輻射，所有接近密鑰注入工作的人員應該絕對可靠。採用密鑰槍或密鑰軟盤應與鍵盤輸入的口令相結合，並建立一定的介面規范，只有在輸入了合法的加密操作口令後，才能激活密鑰槍或軟盤里的密鑰信息。在密鑰裝入後，應將使用過的存儲區清零，防止一切可能導出密鑰殘留信息的事件發生。
在TPM中，可以採用篡改檢測電路和篡改檢測協議技術[7]，確保當攻擊者試圖採用物理攻擊時TPM內的秘密信息(包括EK)將自動銷毀。同時採用硬體鎖機制，建立受保護頁面來防止特權軟體盜取或者修改秘密信息，保證秘密信息的隱私性和完整性。這樣，EK從開始生成之後，一直到銷毀的整個生命周期內都能夠安全存儲在TPM的非易失性存儲設備中，永遠不會泄露給外界。
4.2 證言身份密鑰AIK
出於安全和隱私保護方面的考慮，並不直接使用EK來進行數據加密和身份證明。而是採用一種「間接」證明的方式，由EK通過隱私CA生成身份證明密鑰AIK用來證明平台身份。AIK是一個簽名密鑰，TPM使用AIK來證明自己的身份，凡是經過AIK簽名的實體，都表明已經經過TPM的處理。
1) AIK密鑰的產生
在AIK密鑰產生過程中，需要可信第三方PCA(Privacy CA)的支持。在具體應用過程中，為使遠程依賴方信任，平台必須想辦法將這些簽過名的聲明和Hash值與PCA信任的某些東西綁定。TCPA/TCG體系結構通過一組證書來達到這個目標[6][8]：
■ TPM背書證書(Endorsement Credential)
由TPM製造商簽發的X.509屬性證書，用於證明一個TPM模塊正確實現了TCG的TPM規范所規定的各種功能。
■ 平台證書(Platform Credential)
用來聲明、證言一個集成有TPM和RTM的計算平台符合TCG規范，一般由計算機平台製造商簽發，X.509屬性證書。
■ 符合性證書(Conformance Credential)
用來聲明、證實一類計算平台的實現符合TCG的哪些規范，符合哪些安全要求，X.509屬性證書；它與平台證書的區別在於，平台證書是針對一個具體、特定平台的，而符合性證書是針對一類平台。
圖3是AIK密鑰通過安全PC平台和CA交互的產生過程。過程描述如下：
(1) TP→PCA：IdPub，EndCred，PlaCred，ConCred，Sign(IdPri，Hash)；
(2) TP←PCA：Enc(EndPub，IdCred)
首先由TPM在密鑰生成伺服器產生一對身份密鑰(IdPub，IdPri)，把公鑰IdPub和證書EndCred、PlatCred、ConCred一起綁定發送給PCA。為了把請求與身份密鑰對綁定，由TPM運算得到PCA公鑰的哈希值Hash，再使用AIK的私鑰IdPri對剛產生的Hash加密，產生數字簽名Sign也一起發送給PCA。PCA接收到所有請求，驗證簽名和證書是否正確，若正確則根據AIK公鑰生成一個AIK證書，並由PCA私鑰對該證書進行簽名，再由EndCred證書得到EK的公鑰對AIK證書進行加密，從而保證只有特定的TPM才能解密。AIK證書被發送回平台，通過EK解密證書。至此，一個完整的AIK的產生過程就完成了，這個AIK就可以開始使用了。但是PCA很容易遭受Dos攻擊，文獻[7]提出了有選擇地接收AIK申請請求的解決方案。

圖3 AIK密鑰創建過程
2) AIK密鑰的存儲
AIK在整個身份證明過程中不能重復，而且每次證明過程中都需要重新生成新的AIK密鑰，所以AIK私鑰不需要常駐TPM，可以保存到密鑰庫伺服器中。當需要AIK時，使之並行載入到TPM的易失性存儲設備中。
3) AIK密鑰的銷毀
當出現AIK私鑰泄露，TPM EK私鑰遭受攻擊安全性受到威脅，或者AIK證書泄露與相關EK證書的關系(實際上AIK不應暴露EK的任何信息)等情況時，AIK應該被銷毀，同時相應證書應該被撤銷。PCA應該被告知該AIK私鑰已經不再安全，CA必須採取措施，撤銷用戶證書或者使它無效，並警告證書使用者，該證書不再代表一個可信身份。同時更新證書CRL服務中的撤銷證書列表。但與PKI不同的是，AIK證書與背書證書的關系密切，在AIK證書撤銷時要決定相關證書的處理，情況比較復雜。文獻[10]對可信平台中的證書撤銷機制有比較深入的討論。
4.3 數據保護密鑰
由於TPM本身存儲能力有限，可信計算平台中處理的數據必須能夠存儲在TPM之外的存儲媒介中，這樣使得數據不但可以在不同的計算機設備之間交互，同時還能夠實現數據備份。但必須為存儲在TPM之外的這類數據提供數據保護，這里數據保護包括數據傳輸保護和存儲保護。在TPM中，當數據量小於2048位時，直接利用TPM中的RSA演算法實現加解密；當數據量大於2048位時有以下兩種解決方案[11]：
(1) 平台生成一次一密的對稱加密密鑰(小於2048位)加密數據，然後利用TPM保護該對稱密鑰。
(2) 把數據分成一些小的數據塊(最大不超過2048位)，然後直接由TPM加密。
通常採用第一種方法，特點是方便、迅速。所以數據加密保護的重點就是該加密密鑰的存儲保護。密鑰存儲時必須保證密鑰的機密性、認證性、完整性，防止泄露和修改。加密設備還應做到：無論通過直觀的方法還是自動的方法(如X射線、電子等)都不能從密碼設備中讀出信息。對當前使用的密鑰應有密鑰合法性驗證措施，防止被篡改。密鑰保護實現方案如圖4。

圖4 密鑰存儲保護結構
通常採用密鑰分層保護的思想，由TPM屬主生成存儲根密鑰SRK，使用SRK來加密存儲其它密鑰。從方案可以看出，外部數據(VPN Key，FEK等)採用密鑰K加密，而密鑰K利用上層密鑰K-1加密保護，最後SRK加密保護K-1。被加密的數據構成Data Blob直接存儲在外部存儲設備中，而Key Blob以及由SRK分級保護的層次密鑰由密鑰緩存管理器KCM(Key Cache Manager)進行管理[12]，把某段時間內不活動的密鑰調度到外部存儲設備中。
整個密鑰存儲保護過程中最重要的是保護SRK的安全，它和EK密鑰一樣永久駐留在TPM中，由TPM保護SRK，能夠抵抗各種物理攻擊和軟體攻擊。
5 小結
EK、SRK和AIK等各類密鑰在可信計算平台身份證明、平台完整性測量、存儲和報告中起著非常重要的作用，保證其安全性是實現可信計算的重要環節。本文對可信計算所涉及到的各類密鑰的產生、管理、存儲和保護措施等相關技術進行了研究，提出了一種密鑰管理系統模型，結合模型詳述了密鑰管理的整體方案，依據該方案能夠更好地保證可信計算平台的安全，使得可信計算平台在計算機世界裡發揮更加重要的使用。
參考文獻
[1] TPM Main Part1 Design Principles [EB/OL]. http：//www.trustedcomputing.org. 2003.10
[2] David Grawrock..TCG101[R].ICICS2005.2005
[3] 韋衛，杜煒等.構造基於X.509公鑰證書的密鑰管理系統[J].計算機工程.1999.10：133-135
[4] 邢啟亮，陳曉蘇.密鑰管理服務及其在PKI中的設計與實現[J].通信技術.2003.4：93-94.
[5] TPM Main Part3 Commands [EB/OL]. http：//www. trustedcomputing.org. 2003.10
[6] TCG Credential Profiles Specification Version 1.0 [EB/ OL]. http：//www.Trustedcomputing.org. 2006.1
[7] Sean W.Smith 著，馮登國，徐震等譯.可信計算平台：設計與應用[M]. 北京：清華大學出版社.2006.10： 61-71
[8] 龍毅宏.可信計算中的數字證書[J].信息網路安全.2004.10：35-38
[9] 郭煜.TPM中身份證明密鑰的管理[J].信息安全與通信保密，2006，(4)：76-78
[10] Jason Reid，juan M.Gonzalez Nieto，Ed Dawson. Privacy and Trusted Computing. Proceedings of the 14th International Workshop on Database and Expert Systems Applications (DEXA』03). IEEE. 2003：1-6
[11] Sundeep Bajikar.Trusted Platform Mole (TPM) based security on Notebook PCs-white Paper[J].Intel Corporation. 2002.6
[12] TCG Specification Architecture Overview [EB/OL]. http：//www.trustedcomputing.org .2003. 04

⑺ 聯想台式機E75安裝WIN10系統後，設備管理器中受信任的平台模塊2.0出現感嘆號，怎麼解決

聯想台式機E75安裝WIN10系統後，設備管理器中受信任的平台模塊2.0出現感嘆號是設置錯誤造成 的，解決方法為：

1、去萬能的網路搜索USB轉TTL的win10版本，下載後解壓。

⑻ 請問安全存儲器如何在可信任執行環境中發揮作用

手機OEM和網路運營商嚴格控制安全處理器上運行的軟體，並且是與主機相互隔離的。只有經驗證且信任的程序才能安裝到安全處理器上。安全處理器上運行的軟體比手機上運行的一般OS要小得多，故軟體的驗證比較容易。安全處理器提供與手機安全相關的四種安全服務(鑒權、數據完整性、數據保密性和非抵賴性)。圖3給出了基於快閃記憶體的安全系統的軟體結構。在主機平台上實現的API提供安全存儲服務，以及加密服務。API將功能呼叫轉換成通過存儲器介面發往安全處理器的消息。為了消除對安全處理器的惡意消息攻擊，利用精心定義的語法和語義設計這些消息被。在一個消息中，每個變數長度的數據域的開始帶有一個特殊標記，隨後是域長度，它在數據之前。這與C字元串不一樣，其長度只有當你瀏覽字元串並發現一個無效字元後方可知道其長度。有一個消息分析器來分析消息並檢查是否是有效的語法，直到語法檢查通過後才對數據進行處理，這就對緩沖器溢出這類的攻擊提供了保護。然後，才根據消息中特定域將消息分發到正確的中介(agent)。該中介根據消息中的規定為緩沖器分配足夠的空間，並經消息分析器驗證。只有有限的中介來處理有限的消息，這些中介將仔細地分析安全漏洞。消息不能生成能夠在安全處理器中執行的任意的本地代碼。消息中沒有功能指針。安全處理器提供安全存儲器服務，包括存儲密鑰、證書、代碼和數據。可以根據應用中的安全需求來制訂這些內容的訪問許可權。圖3：基於快閃記憶體的安全軟體結構。 安全分區非易失性存儲器可以被分成獨立的存儲器分區，每個分區具有單獨的訪問控制。有一個單獨的硬體強制性訪問控制來控製程序的讀取、程序的擦除，以及改變分區的訪問許可權的其它動作。訪問可以通過密碼控制，為了增強安全性，也可以採用PKI鑒權。在不同的壽命階段，由不同的保管者來創建這些分區。例如，網路運營商可以創建一個代碼分區，其中包括OS和運營商的其他驗證軟體。該分區將只有一個讀取訪問，沒有任何的鑒權，故代碼可以任意地執行。而同時，程序的擦除卻需要運營商的PKI鑒權。這就防止了主機平台上運行的任何流氓軟體來修改代碼分區。從而在並非只是啟動過程中的所有時間內，維持了OS和其他相關軟體的完整性。具有豐富的訪問控制的安全分區提供了數據完整性和保密性。該分區可以被保護，免於未授權的人利用密碼或PKI鑒權來讀取訪問。從而提供了所需數據的保密性。相似地，分區還可以被保護避免未授權的寫操作，從而保持了數據的完整性。該訪問控制還具有一個附加功能，即定義了單獨分區的可用性。例如，在通過SIM卡鎖檢查之前，主代碼分區被鎖定到只能讀取。這就迫使在SIM卡鎖檢查沒有通過之前無法使用手機。存儲對象基於快閃記憶體的安全系統被用來存儲數據、代碼、密鑰、證書以及代幣。移動設備通常將密鑰存在ROM中，但與快閃記憶體相比其靈活性較差且容量有限。在非易失性存儲器中加密的密鑰也能夠提供保密性，但無法防止密鑰被流氓軟體擦除。而基於快閃記憶體的安全系統則允許存儲一個虛擬的數量無限的密鑰。在任何時候可以利用OTA更新來增加更多的密鑰。通過將存儲對象存儲到合適的分區中，可以提供保密性，完整性和鑒權。動態加密和加密服務安全處理器還提供一個動態加密功能。該功能允許主機向存儲器發送純文本，文本在寫入快閃記憶體時被加密。所用的加密演算法是AES-CTR。密碼服務是PKCS#11 API的一個子集。API獨立於主機平台，並支持對稱密鑰和公鑰。API將功能呼叫轉換成送往安全處理器的消息，在這里利用加密快閃記憶體內核進行處理。密鑰的完整性和保密性得到很好的保護，因為它們不會離開安全處理器。由安全處理器提供的加密服務允許人們在安全處理器與外部伺服器之間創建一個安全的通信信道。該通信通道的安全與主機平台無關。從而可以實現FOTA和移動商業這類的應用。安全處理器提供一個高級的設備鑒權，這是由於根密鑰根本不會離開安全處理器。結論基於快閃記憶體的安全系統提供了一個可信任的EE，以及一個具有豐富的訪問控制機制的安全非易失性存儲器，支持多方保管。具有PKI的安全非易失性存儲器意味著代碼和數據的完整性得到保護，結果使數據完整性和保密性更加安全。鑒權和非抵賴性是安全處理器的結果，構成一個具有嵌入式加密快閃記憶體內核的隔離式可信任EE。此外，安全非易失性存儲器使得數據在任何時候都可用。僅僅利用編碼是不可能實現這一性能的。利用加密學，像MTM這類的其它方案雖然能夠監測到數據是否被篡改，但卻無法防止篡改。如果沒有保護，病毒還能摧毀成千上萬手機上的信用卡號，從而使得用戶無法進行移動支付。有基於快閃記憶體的安全系統提供的存儲器完整性保護使得密鑰的配置更加靈活。具有較大的容量來存儲加密密鑰和數字證書。更進一步，還能夠通過空中無線介面進行密鑰更新。對PC和手機的許多攻擊可以追溯到非易失性存儲器中數據和代碼的篡改。基於快閃記憶體的安全系統保護存儲器免受這類攻擊，而其他類型的手機安全方案則不能。像MTM或基帶安全解決方案倚賴的是安全啟動以及在運行時間內檢查數據和代碼有無變化。實際上，在檢查時，修改的代碼可能已經對敏感數據進行了篡改。

⑼ 存儲根密鑰為什麼重要

如果這個密鑰泄露的話，會有可能使數據遭到破解。那造成的損失可能是不可估量的。
數據加密技術是一項非常古老的技術，最早可以追溯到公元前2000多年前，當時的埃及人就開始使用特別的象形文字作為信息編碼來保護他們的秘密文件。而始於公元前17世紀由克里特島人發明的Phaistos圓盤更被譽為最難破解的密碼之一。而互聯網因為它本身的開放性，信息安全也難以實現面面俱到。人們越來越重視在數據安全這一領域上技術的革新與創新。