略談信賴運算（三）

信賴運算的靈魂就是Trusted Platform Module，它可以是軟體，也可以是鑲嵌在主機板上的晶片，不過為了安全性考量，應該是採用硬體製作。每個TPM都會內建一對獨一無二的公共密碼學金鑰，稱為Endorsement key（EK）。

信賴運算中有五種主要的憑證：

• Endorsement Credential
• 記載了TPM的製造商廠名，Part model number、版本號以及該TPM的公開金鑰、類似每個TPM的身份證。

• Conformance Credential
• 記載了檢驗者名稱，平台製造者名稱、平台Model number平台版本、TPM的製造商廠名，Part model number、版本號。 Conformance Credential 類似由具公信力單位所發出的TPM血統證明書。

• Platform Credential
• 內含平台的製造者名稱、model number、版本號以及所含TPM的Endorsement Credential及Conformance Credential。

• Validation credential
• 各個元件（螢幕、軟體、鍵盤、音效卡、顯示卡....）的憑證，上面會有製造者的電子簽章。本憑證主要是讓信賴運算機制判定裝置是否遭到竄改（比如程式碼被破解）。

• Identity or AIK credential
• 以密碼學來說，TPM在實際運作的時候不會直接拿EK來用，因為同一把鑰匙用越多次越不安全。所以TPM會產生attestation identity key（AIK）並且向具公信力的第三方CA註冊該金鑰。但是別人要如何知道某把AIK是不是某TPM所有呢？這時候AIK credential就會派上用場。AIK credential會由具有公正力的第三方CA簽名證明某AIK是由某TPM擁有。AIK credential會記載某特定TPM之AIK公開金鑰、TPM型號以及製造者名稱，平台類別以及製造者名稱以及最重要的：平台及TPM的 Conformance Credential 。

現在進行實況演練，假設某具備信賴運算之電腦要播放某受到DRM保護的迪士尼公司的動畫。現在播放軟體已經向迪士尼公司的伺服器提出金鑰請求了。首先迪士尼公司會使用信賴運算的遠方確認（Remote Attestation）功能確定本地電腦的TPM是否值得迪士尼公司的信賴，本地電腦會給迪士尼公司自己的AIK公開金鑰，然後迪士尼公司會去網路上搜尋和該AIK對應的AIK credential，然後會檢查裡面的平台 Conformance Credential 及TPM Conformance Credential。如果正常的話迪士尼公司才會利用AIK把金鑰寄過來。

世界上任何人都可以生產TPM或平台，但不代表所生產的TPM或平台會被他人「信任」。任何人生產TPM或平台以後都必須將自己的TPM或平台交給審議委員會測試其安全性，在確認該TPM或平台足以抵擋使用者的破解且對智慧財產權絕對效忠以後（不會搞一些像是偷偷把不能讓使用者知道的秘密金鑰給使用者的事情），該TPM或平台就可以領到光榮的「血統證明書」－Conformance Credential 。有了 Conformance Credential 以後才能得到別人的「信賴」，別人才會放心的把DRM金鑰交出來。

至於TPM收到金鑰以後如何妥善的保護他，就會牽涉到Transitive trust、隔離記憶體等問題，下次再說。

全文連結