将安全客户机的安全密钥绑定到硬件安全模块制造技术

一种方法、计算机程序产品和系统，其中安全接口控件配置硬件安全模块以用于安全客户机的独占使用。安全接口控件(“SC”)从由管理程序管理的客户机中的给定客户机(经由管理程序)获得用于配置硬件安全模块(HSM)的配置请求。SC确定HSM是否已经被配置给一个或多个客户机中的特定客户机，但是基于确定HSM没有被配置给特定客户机并且是安全客户机，SC通过将客户机对HSM的访问排他地限制到给定客户机，取消建立HSM的配置。SC通过利用给定客户机的秘密来将给定客户机登录到HSM。SC从HSM获得会话代码，并保持该会话代码。并保持该会话代码。并保持该会话代码。

【技术实现步骤摘要】
【国外来华专利技术】将安全客户机的安全密钥绑定到硬件安全模块

技术介绍

[0001]在当今的计算机系统和信息传输网络中，密码元素是重要的技术组件。可以以加密保护的形式存储或传输信息，以便避免对所存储或传输的信息的非授权访问。在一些情况下，可以使用纯基于软件的技术，并且在其他情况下，可以使用硬件支持和安全特定元件来执行这样的数据保护。在一些情况下，这些特定元件被命名为硬件安全模块(HSM)，其可被用作计算机或信息传输系统的一部分。这种硬件安全模块可以包括特定电路，以便提供用于数据加密和数据解密的功能。该功能还可以包括生成和存储用于客户机系统的使用的加密密钥。
[0002]HSM包含非授权方不可访问的主密钥。这些主密钥用于加密(即，包装)HSM的用户可用的密钥。由HSM主密钥包装的这种密钥被称为安全密钥。HSM是防篡改的，并且保护秘密不受非授权访问(例如，非计划的物理插入、物理渗透等)。HSM可以被分配给各种虚拟资源，诸如虚拟机(VM)，并且在虚拟环境中，HSM可能不知道它从一个VM到另一个VM的重新分配。
[0003]VM分配的灵活性可造成安全问题，因为在高度敏感的托管信息技术(IT)环境中，更严格的安全协议会支持保护利用具有安全密钥(由HSM的主密钥包装)的客户机的可信用户不被非受信用户使用安全密钥，即使客户机自己被非法入侵或以其它方式被损害并且安全密钥和其它数据被窃取。

技术实现思路

[0004]通过提供一种用于将安全客户机的安全密钥绑定到硬件安全模块的方法，克服了现有技术的缺点并提供了附加优点。该方法包括例如由通信地耦合到管理程序和硬件安全模块的安全接口控件配置该硬件安全模块以用于由管理程序管理的安全客户机的独占使用，该配置包括：由安全接口控件经由管理程序从由管理程序管理的一个或多个客户机中的给定客户机获得用于配置硬件安全模块的配置请求；由安全接口控件确定硬件安全模块是否已经被配置给一个或多个客户机中的特定客户机，其中特定客户机和给定客户机包括一个或多个客户机中的不同客户机；基于确定硬件安全模块未被配置给特定客户机，由安全接口控件通过评估给定客户机的元数据来确定给定客户机包括安全客户机；基于确定给定客户机包括安全客户机，由安全接口控件通过将客户机对硬件安全模块的访问排他地限制到一个或多个客户机中的给定客户机，取消建立硬件安全模块的配置；由安全接口控件将给定客户机登录到硬件安全模块，其中登录到硬件安全模块包括利用给定客户机的秘密，其中元数据包括该秘密；基于登录到硬件安全模块，由安全接口控件从硬件安全模块获得会话代码；以及由安全接口控件保持会话代码。
[0005]通过提供一种用于将安全客户机的安全密钥绑定到硬件安全模块的计算机程序产品，克服了现有技术的缺点并提供了附加的优点。该计算机程序产品包括存储介质，该存储介质可由处理电路读取并且存储由处理电路执行以执行一种方法的指令。该方法包括例如由通信地耦合到管理程序和硬件安全模块的一个或多个处理器配置该硬件安全模块以用于由管理程序管理的安全客户机的独占使用，该配置包括：由一个或多个处理器经由管
理程序从由管理程序管理的一个或多个客户机中的给定客户机获得用于配置硬件安全模块的配置请求；由一个或多个处理器确定硬件安全模块是否已经被配置给一个或多个客户机中的特定客户机，其中特定客户机和给定客户机包括一个或多个客户机中的不同客户机；基于确定硬件安全模块未被配置给特定客户机，由安全接口控件通过评估给定客户机的元数据来确定给定客户机包括安全客户机；基于确定给定客户机包括安全客户机，由一个或多个处理器通过将客户机对硬件安全模块的访问排他地限制到一个或多个客户机中的给定客户机，取消建立硬件安全模块的配置；由一个或多个处理器将给定客户机登录到硬件安全模块，其中，登录到硬件安全模块包括利用给定客户机的秘密，其中元数据包括该秘密；基于登录到硬件安全模块，由一个或多个处理器从硬件安全模块获得会话代码；以及由一个或多个处理器保持会话代码。
[0006]通过提供一种用于将安全客户机的安全密钥绑定到硬件安全模块的系统，克服了现有技术的缺点并提供了附加的优点。该系统包括存储器、与存储器通信的一个或多个处理器、以及可由一个或多个处理器经由存储器执行以执行一种方法的程序指令。该方法包括例如由通信地耦合到管理程序和硬件安全模块的一个或多个处理器配置该硬件安全模块以用于由管理程序管理的安全客户机的独占使用，该配置包括：由一个或多个处理器经由管理程序从由管理程序管理的一个或多个客户机中的给定客户机获得用于配置硬件安全模块的配置请求；由一个或多个处理器确定硬件安全模块是否已经被配置给一个或多个客户机中的特定客户机，其中特定客户机和给定客户机包括一个或多个客户机中的不同客户机；基于确定硬件安全模块未被配置给特定客户机，由安全接口控件通过评估给定客户机的元数据来确定给定客户机包括安全客户机；基于确定给定客户机包括安全客户机，由一个或多个处理器通过将客户机对硬件安全模块的访问排他地限制到一个或多个客户机中的给定客户机，取消建立硬件安全模块的配置；由一个或多个处理器将给定客户机登录到硬件安全模块，其中，登录到硬件安全模块包括利用给定客户机的秘密，其中元数据包括该秘密；基于登录到硬件安全模块，由一个或多个处理器从硬件安全模块获得会话代码；以及由一个或多个处理器保持会话代码。
[0007]本文还描述并要求保护与一个或多个方面相关的方法和系统。此外，本文还描述并可能要求保护与一个或多个方面相关的服务。例如，在本专利技术的一些实施例中，保持包括将会话代码与NULL会话代码的关联存储在安全接口控件中的关联表中。
[0008]在本专利技术的一些实施例中，客户机的元数据被完整性保护，并且通过使用由安全接口控件所拥有的私钥导出的密钥来对秘密进行加密。私钥可以包括给定客户机的引导映像的加密措施(cryptographic measure)。
[0009]在本专利技术的一些实施例中，基于配置，(一个或多个)处理器和/或安全接口控件向给定客户机提供新的会话代码，以由给定客户机在到硬件安全模块的请求中使用。
[0010]在本专利技术的一些实施例中，(由(一个或多个)处理器和/或安全接口控件)提供包括：(一个或多个)处理器和/或安全接口控件拦截来自给定客户机的硬件安全模块登录请求，其中硬件安全模块登录请求包括来自给定客户机的登录数据；(一个或多个)处理器和/或安全接口控件基于给定客户机的秘密来生成新的登录数据；(一个或多个)处理器和/或安全接口控件向硬件安全模块发出来自给定客户机的新的硬件安全模块登录请求，其中新的硬件安全模块登录请求包括新的登录数据；(一个或多个)处理器和/或安全接口控件从
硬件安全模块获得会话代码；基于从硬件安全模块获得会话代码，(一个或多个)处理器和/或安全接口控件生成新的会话代码；(一个或多个)处理器和/或安全接口控件将来自硬件安全模块的会话代码与新的会话代码之间的关联存储在表中；以及响应于登录请求，(一个或多个)处理器和/或安全接口控件将新的会话代码发送到给定客户机。
[0011]在本专利技术的一些实施例中，(一个或多本文档来自技高网...

【技术保护点】

【技术特征摘要】
【国外来华专利技术】1.一种计算机实现的方法，包括：由通信地耦合到管理程序和硬件安全模块的安全接口控件配置所述硬件安全模块以用于由所述管理程序管理的安全客户机的独占使用，所述配置包括：由所述安全接口控件经由所述管理程序从由所述管理程序管理的一个或多个客户机中的给定客户机获得用于配置所述硬件安全模块的配置请求；由所述安全接口控件确定所述硬件安全模块是否已经被配置给所述一个或多个客户机中的特定客户机，其中，所述特定客户机和所述给定客户机包括所述一个或多个客户机中的不同客户机；基于确定所述硬件安全模块未被配置给所述特定客户机，由所述安全接口控件通过评估所述给定客户机的元数据来确定所述给定客户机包括所述安全客户机；基于确定所述给定客户机包括安全客户机，由所述安全接口控件通过将客户机对所述硬件安全模块的访问排他地限制到所述一个或多个客户机中的所述给定客户机，取消建立所述硬件安全模块的配置；由所述安全接口控件将所述给定客户机登录到所述硬件安全模块，其中，所述登录到所述硬件安全模块包括利用所述给定客户机的秘密，其中，所述元数据包括所述秘密；基于登录到所述硬件安全模块，由所述安全接口控件从所述硬件安全模块获得会话代码；以及由所述安全接口控件保持所述会话代码。2.根据权利要求1所述的计算机实现的方法，其中，所述保持包括：将所述会话代码与NULL会话代码的关联存储在所述安全接口控件中的关联表中。3.根据权利要求1或2所述的计算机实现的方法，其中，所述客户机的所述元数据被完整性保护，并且通过使用由所述安全接口控件拥有的私钥导出的密钥来对所述秘密加密。4.根据权利要求3所述的计算机实现的方法，其中，所述私钥包括所述给定客户机的引导映像的加密措施。5.根据权利要求2所述的计算机实现的方法，还包括：基于所述配置，由所述安全接口控件向所述给定客户机提供新的会话代码，以由所述给定客户机在到所述硬件安全模块的请求中使用。6.根据权利要求5所述的计算机实现的方法，其中，所述提供包括：由所述安全接口控件拦截来自所述给定客户机的硬件安全模块登录请求，其中，所述硬件安全模块登录请求包括来自所述给定客户机的登录数据；由所述安全接口控件基于所述给定客户机的所述秘密而生成新的登录数据；由所述安全接口控件向所述硬件安全模块发出来自所述给定客户机的新的硬件安全模块登录请求，其中，所述新的硬件安全模块登录请求包括所述新的登录数据；由所述安全接口控件从所述硬件安全模块获得会话代码；基于从所述硬件安全模块获得所述会话代码，由所述安全接口控件生成所述新的会话代码；由所述安全接口控件将来自所述硬件安全模块的所述会话代码与所述新的会话代码之间的关联存储在所述表中；以及响应于所述登录请求，由所述安全接口控件将所述新的会话代码发送到所述给定客户
机。7.根据权利要求5所述的计算机实现的方法，还包括：由所述安全接口控件拦截从所述给定客户机到所述硬件安全模块的请求，其中，所述请求包括所述新的会话代码；由所述安全接口控件从所述表中获得与所述新的会话代码相关联的来自所述硬件安全模块的所述会话代码；由所述安全接口控件将来自所述给定客户机的所述请求更新成包括新的请求，其中，所述新的请求包括来自所述硬件安全模块的所述会话代码而不是所述新的会话代码；以及由所述安全接口控件向所述硬件安全模块发出所述新的请求。8.根据权利要求7所述的计算机实现的方法，还包括：由所述安全接口控件从所述硬件安全模块获得所述请求的履行；以及由所述安全接口控件向所述给定客户机发出所述请求的履行。9.根据权利要求8所述的计算机实现的方法，其中，所述请求选自包括以下各项的组：硬件安全模块安全密钥生成请求，以及硬件安全模块注销请求。10.根据权利要求6所述的计算机实现的方法，还包括：由所述安全接口控件从所述管理程序获得所述给定客户机已停止的指示；由所述安全接口组件在所述表中识别来自所述硬件安全模块的所述会话代码与所述新的会话代码之间的关联；由所述安全接口组件基于所述表，生成利用来自所述硬件安全模块的所述会话代码的一个或多个会话的列表；以及由所述安全接口组件从所述一个或多个会话中注销所述给定客户机。11.根据权利要求1所述的计算机实现的方法，还包括：由所述安全接口控件从所述管理程序获得所述给定客户...

【专利技术属性】
技术研发人员：R，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：