[发明专利]基于虚拟化的云数据中心可信平台、信任链构建方法

权利要求书

1.基于虚拟化的云数据中心可信平台，包括物理可信服务器和虚拟机，构建从物理可信服务器到虚拟机的信任链，完成虚拟机从所在计算节点到目标计算节点的迁移，其特征是，还包括：

虚拟可信根模块，基于全虚拟化技术实现，用于向虚拟机提供虚拟可信根服务；

虚拟可信平台管理模块，用于管理配备有虚拟可信根的虚拟机，包括虚拟机与虚拟可信根的全生命周期同步、虚拟机启动前虚拟可信根的可信状态检测；

虚拟可信度量根核模块，用于在虚拟机启动时度量并检测虚拟机BIOS的可信状态；

虚拟机可信BIOS模块，用于承接来自虚拟可信度量根核模块的信任链，初始化虚拟可信根，完成虚拟机启动过程的功能模块的度量、扩展与日志记录，实现从虚拟机到虚拟机引导程序的信任链构建；

虚拟化软件管理可信模块，管理数据中心各计算节点可信状态、各主机可信状态、管理配备有虚拟可信根的虚拟机；

云计算节点可信管理模块，管理并收集云数据中心各计算节点可信状态，并为虚拟化软件提供可信状态查询服务；

所述虚拟可信根模块包括：

虚拟可信根设备注册与IO响应单元，基于QEMU设备全虚拟化机制注册虚拟可信根设备到虚拟机，并基于可信根设备接口规范向上提供IO口；

虚拟可信根后端启动单元；

虚拟可信业务处理单元，用于根据可信根相关规范约束提供密码服务；用于管理虚拟机与虚拟可信根内部建立的会话；用于根据可信根相关规范约束提供策略管理功能；

虚拟可信根数据存储管理单元，完成虚拟可信根数据与虚拟可信根数据存储单元的传输，同时以透明的方式提供数据机密性保障机制，数据加密完成后再存储至虚拟可信根数据存储单元中；

虚拟可信根数据存储单元，作为虚拟可信根非易失性存储空间存放虚拟可信根数据。

2.如权利要求1所述基于虚拟化的云数据中心可信平台，其特征是，所述虚拟可信平台管理模块包括：

虚拟可信根管理单元，虚拟机创建和启动时，解析虚拟机可信根相关字段、为虚拟可信根创建虚拟数据存储设备，作为虚拟可信根的非易失性空间；虚拟机迁移时建立源主机与目标主机之间的加密传输通道，确保迁移过程数据的机密性；

虚拟可信根可信度量与状态检测单元，度量并检测虚拟可信根可信状态，确保虚拟可信根可信后，继续度量QEMU并确保可信的状态下，通知QEMU启动虚拟机及其虚拟可信根设备。

3.如权利要求1所述基于虚拟化的云数据中心可信平台，其特征是，所述虚拟可信度量根核模块位于虚拟机监控器或虚拟可信根模块中，在虚拟机设备虚拟化完成前、虚拟机BIOS接受控制权之前，完成对虚拟机BIOS的可信度量与状态检测。

4.如权利要求1所述基于虚拟化的云数据中心可信平台，其特征是，所述虚拟机可信BIOS模块，包括：

初始化功能模块单元，完成对虚拟可信根的上电、状态信息初始化、状态检测；

BIOS层面可信度量单元，完成虚拟机启动过程中相关设备的度量、产生度量日志、扩展度量结果到虚拟可信根，并度量虚拟机操作系统引导程序之后转交控制权给虚拟机操作系统引导程序。

5.一种虚拟可信平台信任链构建方法，其特征是，包括以下步骤：

虚拟化软件启动前，通过可信引导程序度量并检测虚拟机监控器的可信状态，确保虚拟机监控器可信后，启动虚拟化软件；

宿主机启动过程中基于宿主机内核的信任链构建机制，构建宿主机内核的信任链，确保宿主机内核的可信；

宿主机度量并检测虚拟可信平台管理模块的可信状态；

启动虚拟机时，通过虚拟可信平台管理模块中虚拟可信根可信度量与状态检测单元度量并检测QEMU的可信状态；

QEMU获得控制权时，通过位于QEMU的虚拟可信度量根核度量并检测虚拟机可信BIOS的可信状态；

QEMU将控制权转交给虚拟机BIOS时，虚拟机BIOS检测并初始化虚拟可信根，并基于虚拟可信根在虚拟机BIOS的启动设备的过程中，完成相关模块的度量、产生度量日志、扩展度量结果到虚拟可信根，并度量虚拟机操作系统引导程序之后转交控制权给虚拟机操作系统引导程序；

虚拟机操作系统引导程序检测虚拟机BIOS可信状态，确保虚拟机BIOS及硬件可信后，引导并加载虚拟机操作系统内核。