[发明专利]用于虚拟网络功能的安全自举的技术

权利要求书

1.一种用于安全地自举虚拟网络功能（VNF）的网络功能虚拟化（NFV）网络系统，所述NFV网络系统包括：

硬件处理器；

VNF自举服务（VBS）；

与VNF实例相关联的VBS代理；以及

管理程序，其中所述管理程序用以：（i）接收用以创生VNF实例的命令，所述命令包括一个启动参数的集合；（ii）验证所接收命令的真实性；（iii）根据启动参数实例化VNF实例（iv）向受信任执行环境（TEE）登记实例化的VNF实例，以及

其中，所述VBS代理响应于所述VNF实例的实例化被发起，所述VBS代理用以：（i）生成VNF公共/私有密钥对，（ii）使用公共/私有密钥对的VNF公共密钥从TEE请求证实引用，其中所述请求可用于使用TEE的私有密钥计算引用散列并对引用散列进行签名，（iii）响应于已从TEE接收到签名的引用散列，执行与VBS的VBS捕获协议，以将VBS代理与VBS安全地绑定，（iv）激活VNF实例，以及（v）向NFV网络系统的VNF管理器传送指示，指示VNF实例已被激活。

2.根据权利要求1所述的NFV网络系统，所述NFV网络系统还包括NFV安全控制器，并且其中，所述VBS形成所述NFV安全控制器的一部分。

3.根据权利要求1所述的NFV网络系统，所述启动参数包括所述VBS的公有密钥、所述VBS的互联网协议（IP）地址、所述VNF实例的独有标识符，以及所述NFV基础设施平台的独有标识符。

4.根据权利要求1所述的NFV网络系统，所述VBS还向VIM传送所述启动参数，并且其中，响应于已接收到所述VBS启动参数，所述VIM传送用于所述管理程序创生所述VNF实例的命令。

5.根据权利要求1所述的NFV网络系统，向所述TEE登记所述实例化的VNF实例包括向所述TEE登记所述启动参数。

6.根据权利要求1所述的NFV网络系统，其中，所述TEE用以安全地供应所述VBS。

7.根据权利要求6所述的NFV网络系统，通过所述TEE安全地供应所述VBS包括使用所述TEE与所述VBS之间的带外信道来安全地供应所述VBS。

8.根据权利要求1所述的NFV网络系统，验证所接收命令的真实性包括所述管理程序验证所述VNF的一个或多个签名。

9.根据权利要求8所述的NFV网络系统，验证所述VNF的一个或多个签名包括验证所述VNF的签名图像和所述VNF的签名描述符中的至少一个。

10.一种或多种非暂时性机器可读存储介质，包括存储在其上的多个指令，所述多个指令在执行时致使网络功能虚拟化（NFV）网络系统执行以下操作：

通过NFV网络系统的管理程序接收用以创生自举虚拟网络功能(VNF)实例的命令，所述命令包括一个启动参数的集合；

通过所述NFV网络系统的管理程序验证所接收命令的真实性；

通过所述NFV网络系统的管理程序根据启动参数实例化VNF实例；

向所述NFV网络系统的受信任执行环境（TEE）登记实例化的VNF实例；

响应于VNF实例的实例化，通过VNF自举服务（VBS）代理生成VNF公共/私有密钥对；

通过VBS代理使用公共/私有密钥对的VNF公共密钥从TEE请求证实引用，其中所述请求可用于使用TEE的私有密钥计算引用散列并对引用散列进行签名；

通过所述VBS代理并响应于已从TEE接收到签名的引用散列，执行VBS捕获协议，以将VBS代理与相关联的VBS安全地绑定；

激活VNF实例；以及

向NFV网络系统的VNF管理器传送指示，指示VNF实例已被激活。