[发明专利]动态度量方法及装置、可信计算终端

说明书

本发明公开了一种动态度量方法及装置、可信计算终端。其中，该方法包括：在可信计算终端的目标操作系统运行时，检测是否满足动态度量触发条件；若满足动态度量触发条件，根据动态度量策略，基于系统内存空间中的待度量文件确定待度量对象的特征值；获取待度量对象的度量初始值；若特征值与度量初始值一致，则确定待度量对象的度量结果可信；若特征值与度量初始值不一致，则确定度量结果不可信。本发明解决了相关技术中对客户端进行动态度量时，无法实时判断度量结果是否可信，导致安全防护存在漏洞的技术问题。

技术领域

本发明涉及可信防护技术领域，具体而言，涉及一种动态度量方法及装置、可信计算终端。

背景技术

相关技术中，在对客户端进行可信防护时，一般是通过安装的可信防护软件对客户端进行安全防护，但是这种防护方式，在进行可信动态度量时，往往是根据已经运行一段时间的日志来判断客户端是否安全，无法对待度量对象的度量结果进行实时准确判断，即无法实时判断度量结果是否可信，导致安全防护存在很明显的滞后性，仍然无法对待度量对象进行快速、准确的特征值计算，导致客户端内部存在很大的安全漏洞。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种动态度量方法及装置、可信计算终端，以至少解决相关技术中对客户端进行动态度量时，无法实时判断度量结果是否可信，导致安全防护存在漏洞的技术问题。

根据本发明实施例的一个方面，提供了一种动态度量方法，应用于可信计算终端，包括：在所述可信计算终端的目标操作系统运行时，检测是否满足动态度量触发条件；若满足所述动态度量触发条件，根据动态度量策略，基于系统内存空间中的待度量文件确定待度量对象的特征值；获取所述待度量对象的度量初始值；若所述特征值与所述度量初始值一致，则确定所述待度量对象的度量结果可信；若所述特征值与所述度量初始值不一致，则确定所述度量结果不可信。

可选地，基于系统内存空间中的待度量文件确定待度量对象的特征值的步骤，包括：获取所述系统内存空间中所述待度量对象对应的所述待度量文件，所述待度量文件包括以下至少之一：代码段、导入导出表；基于所述待度量文件进行哈希计算得到第一哈希值，并将所述第一哈希值作为所述特征值。

可选地，在所述目标操作系统为Windows操作系统时，获取所述待度量对象的度量初始值的步骤，包括：读取系统磁盘中的磁盘文件，其中，所述磁盘文件至少包括：所述待度量对象对应的初始文件，所述初始文件包括以下至少之一：代码段、导入导出表；基于所述初始文件进行哈希计算得到第二哈希值，并将所述第二哈希值作为所述度量初始值。

可选地，在所述目标操作系统为Linux操作系统时，获取所述待度量对象的度量初始值的步骤，包括：在将所述待度量对象对应的初始文件首次加载至系统内存空间时，基于所述系统内存空间中所述待度量对象对应的初始文件进行哈希计算得到第三哈希值，并将所述第三哈希值作为所述度量初始值。

可选地，在检测是否满足动态度量触发条件之前，所述方法还包括：获取动态度量策略，其中，所述动态度量策略中携带有所述待度量对象以及对所述待度量对象的度量方法；将所述动态度量策略从所述可信计算终端的应用层传输至所述可信计算终端的系统驱动；控制所述可信计算终端加载所述系统驱动，其中，在所述可信计算终端加载所述系统驱动时初始化策略表以使所述动态度量策略生效，所述策略表用于记录所述动态度量策略的策略内容。

根据本发明实施例的另一方面，还提供了一种动态度量装置，应用于可信计算终端，包括：检测单元，用于在所述可信计算终端的目标操作系统运行时，检测是否满足动态度量触发条件；第一确定单元，用于在满足所述动态度量触发条件时，根据动态度量策略，基于系统内存空间中的待度量文件确定待度量对象的特征值；获取单元，用于获取所述待度量对象的度量初始值；第二确定单元，用于在所述特征值与所述度量初始值一致时，确定所述待度量对象的度量结果可信；第三确定单元，用于在所述特征值与所述度量初始值不一致时，确定所述度量结果不可信。