25、英特尔身份保护技术与未来创新展望

英特尔身份保护技术与未来创新展望

1. 英特尔身份保护技术（IPT）概述

英特尔身份保护技术（IPT）是一系列用于增强用户身份验证和交易安全的技术集合，主要包括一次性密码（OTP）、受保护交易显示（PTD）等功能，还融入了公钥基础设施（PKI）和近场通信（NFC）等新技术。

2. 一次性密码（OTP）技术

2.1 SIGMA会话与令牌配置

在成功的SIGMA会话结束时，服务器确认客户端是支持IPT的英特尔平台，客户端确认服务器是支持英特尔IPT的有效认证服务器。双方会导出共享会话密钥（SK），包括加密密钥和完整性密钥。服务器会在SK的保护下将令牌元数据（如OTP密钥或种子、HMAC算法选择、当前时间等）安全地传输给客户端。客户端将元数据保存在安全的非易失性存储中，可通过调用内核的安全存储功能将数据存储在闪存芯片上，或者使用动态应用加载器（DAL）的特定应用密钥重新封装数据并发送到主机进行存储。在某些情况下，当请求OTP时，数据会被传输回引擎。

通常情况下，令牌配置理想情况下是一次性的，但在某些情况下需要重新配置。例如，当平台的实时时钟（RTC）因硬币电池耗尽等原因重置时，OTP应用安装的安全计时器会丢失，OTP固件需要请求服务器重新安装令牌；或者当种子被泄露时，服务器也可能要求重新配置。与物理令牌系统相比，英特尔OTP解决方案的轻松配置过程是一个主要优势。

2.2 TOTP和OCRA生成

TOTP（基于时间的一次性密码）和OCRA（OATH挑战响应算法）的生成流程较为直接。固件通过主机嵌入式通信接口（HECI）接收到主机的生成请求后，从内核读取当前时间，并使用时间和密钥进行计算。对于OCR