[发明专利]云端程序控制流完整性保护方法及装置

权利要求书

1.一种云端程序控制流完整性保护方法，其特征在于，包括：

利用自定义的二进制分析工具分析租户程序生成的二进制文件，构建所述租户程序的合法的程序路径数据集；

对所述租户程序进行安全加固，并将加固后的租户程序存储至第一Enclave中；

在所述第一Enclave中运行所述加固后的租户程序，收集所述加固后的租户程序运行时产生的程序执行路径信息，并将所述程序执行路径信息实时存储至第二Enclave；

所述第二Enclave利用所述程序执行路径信息和所述租户程序的合法的程序路径数据集，验证所述租户程序的控制流的完整性，或者，

远程租户通过远程证明方式与所述第二Enclave进行通信，读取到所述程序执行路径信息，所述远程租户将所述程序执行路径信息与所述租户程序的合法的程序路径数据集进行比对，验证所述租户程序的控制流的完整性；

其中，所述对所述租户程序进行安全加固的步骤，具体为：

在所述租户程序的每一个间接跳转指令和间接调用指令前插入一段代码，所述代码用于记录程序执行路径信息，并使得所述程序执行路径信息传递到所述第二Enclave中；

其中，所述程序执行路径信息包括原始间接跳转指令的地址和间接跳转的目标地址，以及原始间接调用指令的地址和间接调用的目标地址；

其中，所述第二Enclave利用所述程序执行路径信息和所述租户程序的合法的程序路径数据集，验证所述租户程序的控制流的完整性，具体为：

所述第二Enclave将所述程序执行路径信息与所述租户程序的合法的程序路径数据集进行比对，若判断某一进程的所述程序执行路径信息不属于所述合法的程序路径数据集，则获知所述租户程序受到重定向攻击，调用exit()函数中断当前进程。

2.根据权利要求1所述的方法，其特征在于，所述将所述程序执行路径信息实时存储至第二Enclave的步骤，具体为：

在所述第二Enclave外部创建一个外部存储空间；

所述第二Enclave通过本地证明方式与所述第一Enclave建立第一可信安全通道；

所述第二Enclave随机生成一个密钥，并利用所述第一可信安全通道将所述密钥传递至第一Enclave；

所述第一Enclave通过所述密钥将所述程序执行路径信息加密存储至所述外部存储空间；

所述第二Enclave从所述外部存储空间解密读取并存储所述程序执行路径信息。

3.根据权利要求1所述的方法，其特征在于，所述远程租户通过远程证明方式与所述第二Enclave进行通信的步骤之后，还包括：

若远程租户通过远程证明方式与所述第二Enclave进行通信后，未得到所述第二Enclave的响应，则获知所述第一Enclave遭受到了攻击，所述第二Enclave调用exit()函数中断当前进程。

4.根据权利要求2所述的方法，其特征在于，所述第二Enclave通过本地证明方式与所述第一Enclave建立第一可信安全通道的步骤，具体为：

所述第二Enclave向所述第一Enclave发送请求；

所述第一Enclave接收到请求后通过指令请求CPU对所述第一Enclave中运行的租户程序进行签名，并将所述签名发送给所述第二Enclave；

所述第二Enclave接收到所述签名后验证所述签名的正确性，并建立第一可信通道。

5.根据权利要求1所述的方法，其特征在于，所述远程租户通过远程证明方式与所述第二Enclave进行通信的步骤，具体为：

远程租户向所述第二Enclave发送验证请求，所述第二Enclave请求本地IntelQuoting Enclave对所述第二Enclave进行本地证明，Intel Quoting Enclave验证完后生成一个证明文件发送给所述远程租户；

远程租户对所述证明文件进行验证，在确认所述第二Enclave可信的情况下，建立第二可信安全通道。