本技術涉數據加密，特別是涉及一種遠程安全驗證方法、系統(tǒng)及電子設備。

背景技術：

1、在服務器和客戶端之間建立安全信道的過程中，雙方需要進行安全認證，以驗證對方的身份準確性以及執(zhí)行環(huán)境的安全性，在驗證通過的情況下方能建立兩者之間的安全信道。然而，目前服務器與客戶端之間的驗證依賴于第三方的安全驗證平臺，不同的驗證平臺可能會帶來一定的安全隱患，導致服務器與客戶端之間進行安全驗證的安全性較低。

技術實現思路

1、基于上述問題，為了提高服務器與客戶端之間安全驗證的安全性，本技術實施例提供了一種遠程安全驗證方法、系統(tǒng)及電子設備。

2、本技術實施例公開了如下技術方案：

3、第一方面，本技術實施例提供了一種遠程安全驗證方法，應用于服務器，所述方法，包括：

4、接收來自于客戶端的注冊數據；所述客戶端基于可信執(zhí)行環(huán)境運行；

5、響應于所述客戶端的安全驗證請求，向所述客戶端發(fā)送所述服務器的簽名算法驗證數據以及交換協(xié)議驗證數據，以便于所述客戶端對所述服務器進行身份安全性驗證；所述簽名算法驗證數據用于表征所述服務器的第一簽名公鑰的完整性；所述交換協(xié)議驗證數據用于表征所述服務器的身份合法性；

6、在所述客戶端驗證所述服務器的身份具備合法性后，根據來自于所述客戶端針對所述可信執(zhí)行環(huán)境的遠程安全證明報告和所述注冊數據，對所述客戶端的所述可信執(zhí)行環(huán)境進行安全驗證。

7、在一種可能的實現方式中，所述注冊數據包括：目標完整性度量值和所述客戶端的設備公鑰；所述遠程安全證明報告包括：針對所述遠程安全證明報告的報告簽名、針對所述報告簽名的驗簽公鑰以及實際完整性度量值；

8、所述根據來自于所述客戶端針對所述可信執(zhí)行環(huán)境的遠程安全證明報告和所述注冊數據，對所述客戶端的所述可信執(zhí)行環(huán)境進行安全驗證，包括：

9、根據所述客戶端的設備公鑰，驗證所述實際完整性度量值和所述驗簽公鑰的完整性；

10、在所述實際完整性度量值和所述驗簽公鑰的完整性驗證通過時，通過所述驗簽公鑰驗證所述報告簽名的完整性；

11、在所述報告簽名的完整性驗證通過時，判斷所述實際完整性度量值與所述目標完整性度量值是否相同。

12、在一種可能的實現方式中，所述判斷所述實際完整性度量值與所述目標完整性度量值是否相同之后，所述方法還包括：

13、若所述實際完整性度量值與所述目標完整性度量值相同，則確定所述可信執(zhí)行環(huán)境的環(huán)境狀態(tài)為安全狀態(tài)。

14、在一種可能的實現方式中，所述可信執(zhí)行環(huán)境包括：keystone可信執(zhí)行環(huán)境；在所述可信執(zhí)行環(huán)境為所述keystone時，所述遠程安全報告的生成步驟，包括：

15、確定用于生成所述報告簽名的報告簽名私鑰、所述驗簽公鑰以及第二協(xié)議公鑰；所述第二協(xié)議公鑰通過與所述服務器相同的交換協(xié)議生成；

16、計算所述客戶端的實際完整性度量值，以及所述設備私鑰對所述實際完整性度量值和所述第二簽名公鑰的第一驗證簽名；

17、計算所述報告簽名私鑰對所述第一驗證簽名、所述實際完整性度量值以及所述第二簽名公鑰，得到所述報告簽名；

18、基于所述報告簽名、所述第一驗證簽名、所述實際完整性度量值以及所述第二簽名公鑰，確定所述遠程安全證明報告。

19、在一種可能的實現方式中，所述簽名算法驗證數據包括簽名算法密鑰對的所述第一簽名公鑰，以及針對所述第一簽名公鑰的第二驗證簽名；所述交換協(xié)議驗證數據包括交換協(xié)議密鑰對的第一協(xié)議公鑰，以及針對所述第一協(xié)議公鑰的第三驗證簽名；

20、所述第二驗證簽名為所述客戶端的設備私鑰針對所述第一簽名公鑰的簽名；所述第三驗證簽名為所述服務器的第一協(xié)議私鑰針對所述第一協(xié)議公鑰的簽名；所述第一協(xié)議私鑰為所述協(xié)議密鑰對的私鑰；

21、在一種可能的實現方式中，所述客戶端對所述服務器進行身份安全驗證的執(zhí)行步驟，包括：

22、根據所述客戶端的設備公鑰，驗證所述第一簽名公鑰以及所述第二驗證簽名的完整性；

23、在所述第一簽名公鑰以及所述第二驗證簽名的完整性驗證通過時，根據所述第一簽名公鑰，驗證所述第一協(xié)議公鑰以及所述第三驗證簽名的完整性。

24、在一種可能的實現方式中，所述向所述客戶端發(fā)送所述服務器的簽名算法驗證數據以及交換協(xié)議驗證數據之前，所述方法還包括：

25、根據隨機生成的隨機數序列，對所述簽名算法驗證數據和所述交換協(xié)議驗證數據進行數據優(yōu)化。

26、在一種可能的實現方式中，所述完整性度量值包括：sm度量值和enclave度量值；所述客戶端為risc-v設備。

27、第二方面，本技術實施例提供了一種遠程安全驗證系統(tǒng)，應用于服務器，所述系統(tǒng)，包括：

28、接收模塊，用于接收來自于客戶端的注冊數據；所述客戶端基于可信執(zhí)行環(huán)境運行；

29、發(fā)送模塊，用于響應于所述客戶端的安全驗證請求，向所述客戶端發(fā)送所述服務器的簽名算法驗證數據?以及交換協(xié)議驗證數據?，以便于所述客戶端對所述服務器進行身份安全性驗證；所述簽名算法驗證數據用于表征所述服務器的第一簽名公鑰的完整性；所述交換協(xié)議驗證數據用于表征所述服務器的身份合法性；

30、驗證模塊，用于在所述客戶端驗證所述服務器的身份具備合法性后，根據來自于所述客戶端針對所述可信執(zhí)行環(huán)境的遠程安全證明報告和所述注冊數據，對所述客戶端的所述可信執(zhí)行環(huán)境進行安全驗證。

31、第三方面，本技術實施例提供了一種電子設備，所述設備包括：處理器、存儲器以及系統(tǒng)總線；

32、所述處理器以及所述存儲器通過所述系統(tǒng)總線相連；

33、所述存儲器用于存儲一個或多個程序，所述一個或多個程序包括指令，所述指令當被所述處理器執(zhí)行時使所述處理器執(zhí)行第一方面中任一可能的遠程安全驗證方法。

34、相較于現有技術，本技術具有以下有益效果：本技術實施例提供了一種遠程安全驗證方法、系統(tǒng)及電子設備。其方法應用于服務器中，首先，服務器接收來自于客戶端的注冊數據，當服務器對客戶端的安全驗證請求響應時，向客戶端發(fā)送服務器的簽名算法驗證數據以及交換協(xié)議驗證數據。其中，簽名算法驗證數據可以表征服務器的第一簽名公鑰的完整性，且交換協(xié)議驗證數據能夠表征服務器的身份合法性。因此，客戶端通過第一簽名公鑰，可以先確定服務器所發(fā)送的第一簽名公鑰是否完整。當第一簽名公鑰完整時，進一步通過第一簽名公鑰來驗證交換協(xié)議驗證數據，從而驗證服務器的身份合法性，完成針對服務器的安全驗證。

35、在客戶端驗證服務器的身份具備合法性的情況下，服務器根據來自于客戶端的遠程安全證明報告和注冊階段客戶端發(fā)送的注冊數據，對其內部的可信執(zhí)行環(huán)境進行安全驗證。以此，服務器客戶端已注冊的情況下，通過簽名算法驗證數據和交換協(xié)議驗證數據向客戶端證明自身的身份安全性。同時，由于客戶端基于可信執(zhí)行環(huán)境運行，利用可信執(zhí)行環(huán)境的遠程證明機制，服務器還可以通過客戶端所反饋的遠程安全證明報告以及注冊階段的注冊數據，直接驗證客戶端的執(zhí)行環(huán)境的安全性，從而實現服務器與客戶端的遠程雙向安全驗證，不再需要依賴第三方安全驗證平臺，消除了服務器與客戶端之間安全驗證的安全隱患。