[发明专利]一种云基础设施可信设备的群组验证方法和系统

权利要求书

1.一种云基础设施可信设备的群组验证方法，其特征在于，包括：

获取目标客户端的平台配置寄存器PCR信息和度量日志，其中，所述目标客户端上设置有多台虚拟机，所述PCR信息包括设备启动阶段的PCR值、操作系统运行阶段的PCR值和虚拟机运行阶段的PCR值，所述度量日志包括所述目标客户端的完整性度量结构IMA度量日志和虚拟机度量日志；

通过所述目标客户端在注册时的白名单验证所述设备启动阶段的PCR值是否正确，并通过所述IMA度量日志验证所述操作系统运行阶段的PCR值是否正确，并通过所述虚拟机度量日志验证所述虚拟机运行阶段的PCR值是否正确；

如果所述设备启动阶段的PCR值、所述操作系统运行阶段的PCR值和所述虚拟机运行阶段的PCR值均正确，则判定所述目标客户端可信。

2.根据权利要求1所述的云基础设施可信设备的群组验证方法，其特征在于，通过目标客户端在注册时的白名单验证所述设备启动阶段的PCR值是否正确，包括：

获取所述目标客户端在注册时提供的白名单；

根据所述白名单生成第一PCR值；

通过验证所述设备启动阶段的PCR值与所述第一PCR值是否相同，以验证所述设备启动阶段的PCR值是否正确。

3.根据权利要求1所述的云基础设施可信设备的群组验证方法，其特征在于，通过所述IMA度量日志验证所述操作系统运行阶段的PCR值是否正确，包括：

通过重放所述IMA度量日志模拟PCR扩展操作得到第二PCR值；

通过验证所述操作系统运行阶段的PCR值与所述第二PCR值是否相同，以验证所述操作系统运行阶段的PCR值是否正确。

4.根据权利要求1所述的云基础设施可信设备的群组验证方法，其特征在于，通过所述虚拟机度量日志验证所述虚拟机运行阶段的PCR值是否正确，包括：

通过重放所述虚拟机度量日志模拟PCR扩展操作得到第三PCR值；

通过验证所述虚拟机运行阶段的PCR值与所述第三PCR值是否相同，以验证所述虚拟机运行阶段的PCR值是否正确。

5.根据权利要求1-4任一项所述的云基础设施可信设备的群组验证方法，其特征在于，获取目标客户端的平台配置寄存器PCR信息和度量日志，包括：

接收所述目标客户端周期性发送的PCR信息和度量日志；或

向所述目标客户端发送验证信息获取请求后，接收所述目标客户端发送的PCR信息和所述度量日志。

6.根据权利要求5所述的云基础设施可信设备的群组验证方法，其特征在于，在获取目标客户端的PCR信息和度量日志之后，且在通过目标客户端在注册时的白名单验证所述设备启动阶段的PCR值是否正确，并通过所述IMA度量日志验证所述操作系统运行阶段的PCR值是否正确，并通过所述虚拟机度量日志验证所述虚拟机运行阶段的PCR值是否正确之前，还包括：

对所述PCR信息和所述度量日志的第一打包数据进行签名验证，通过签名验证结果判断所述第一打包数据是否与历史打包数据相同；

如果所述第一打包数据与历史打包数据相同，则结束。

7.一种云基础设施可信设备的群组验证系统，其特征在于，包括：

获取模块，用于获取目标客户端的PCR信息和度量日志，其中，所述PCR信息包括设备启动阶段的PCR值、操作系统运行阶段的PCR值和虚拟机运行阶段的PCR值，所述度量日志包括所述目标客户端的完整性度量结构IMA度量日志和虚拟机度量日志；

控制处理模块，用于通过所述目标客户端在注册时的白名单验证所述设备启动阶段的PCR值是否正确，并通过所述IMA度量日志验证所述操作系统运行阶段的PCR值是否正确，并通过所述虚拟机度量日志验证所述虚拟机运行阶段的PCR值是否正确；如果所述设备启动阶段的PCR值、所述操作系统运行阶段的PCR值和所述虚拟机运行阶段的PCR值均正确，则判定所述目标客户端可信；

其中，所述目标客户端上设置有多台虚拟机。