[发明专利]一种云基础设施可信设备的群组验证方法和系统

说明书

本发明提供一种云基础设施可信设备的群组验证方法和系统，该方法包括：获取目标客户端的平台配置寄存器PCR信息和度量日志，目标客户端上设置有多台虚拟机；通过目标客户端在注册时的白名单验证所述设备启动阶段的PCR值是否正确，并通过所述IMA度量日志验证所述操作系统运行阶段的PCR值是否正确，并通过所述虚拟机度量日志验证所述虚拟机运行阶段的PCR值是否正确；如果所述设备启动阶段的PCR值、所述操作系统运行阶段的PCR值和所述虚拟机运行阶段的PCR值均正确，则判定所述目标客户端可信。本发明可以使用户安全使用云平台服务，保护用户隐私，大幅提升虚拟机验证的效率。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种云基础设施可信设备的群组验证方法和系统。

背景技术

随着云计算技术的发展，越来越多的企业将自己的系统部署在了云平台上，但是仍有大量的企业不相信云平台的安全性，认为将自己的系统部署在云平台上会泄露企业的秘密数据，对整个企业造成损失。而可信验证技术能够保障存储在云平台上的数据完整性以及云平台上执行程序的正确性，从而能够保障云平台使用者的隐私信息。

目前的虚拟平台可信验证需要满足层级连接的需求，每验证一个虚拟机都需要验证底层的物理平台，然而可信平台模块(Trusted Platform Module，TPM)较低的性能成为证明时的瓶颈，使得只能支持有限数量的虚拟机的远程证明。如何使用户安全使用云平台服务，保护用户隐私是一种亟待解决的问题。

发明内容

本发明提供一种云基础设施可信设备的群组验证方法和系统，用以解决现有技术中用户难以安全使用云平台服务，难以保护用户隐私的缺陷，实现使用户安全使用云平台服务，保护用户隐私，大幅提升虚拟机验证的效率。

本发明提供一种云基础设施可信设备的群组验证方法，包括：获取目标客户端的平台配置寄存器PCR信息和度量日志，其中，所述目标客户端上设置有多台虚拟机所述PCR信息包括设备启动阶段的PCR值、操作系统运行阶段的PCR值和虚拟机运行阶段的PCR值，所述度量日志包括所述目标客户端的完整性度量结构IMA度量日志和虚拟机度量日志；通过所述目标客户端在注册时的白名单验证所述设备启动阶段的PCR值是否正确，并通过所述IMA度量日志验证所述操作系统运行阶段的PCR值是否正确，并通过所述虚拟机度量日志验证所述虚拟机运行阶段的PCR值是否正确；如果所述设备启动阶段的PCR值、所述操作系统运行阶段的PCR值和所述虚拟机运行阶段的PCR值均正确，则判定所述目标客户端可信。

根据本发明提供的云基础设施可信设备的群组验证方法，通过目标客户端在注册时的白名单验证所述设备启动阶段的PCR值是否正确，包括：获取所述目标客户端在注册时提供的白名单；根据所述白名单生成第一PCR值；通过验证所述设备启动阶段的PCR值与所述第一PCR值是否相同，以验证所述设备启动阶段的PCR值是否正确。

根据本发明提供的云基础设施可信设备的群组验证方法，通过所述IMA度量日志验证所述操作系统运行阶段的PCR值是否正确，包括：通过重放所述IMA度量日志模拟PCR扩展操作得到第二PCR值；通过验证所述操作系统运行阶段的PCR值与所述第二PCR值是否相同，以验证所述操作系统运行阶段的PCR值是否正确。

根据本发明提供的云基础设施可信设备的群组验证方法，通过所述虚拟机度量日志验证所述虚拟机运行阶段的PCR值是否正确，包括：通过重放所述虚拟机度量日志模拟PCR扩展操作得到第三PCR值；通过验证所述虚拟机运行阶段的PCR值与所述第三PCR值是否相同，以验证所述虚拟机运行阶段的PCR值是否正确。

根据本发明提供的云基础设施可信设备的群组验证方法，获取目标客户端的平台配置寄存器PCR信息和度量日志，包括：接收所述目标客户端周期性发送的PCR信息和度量日志；或向所述目标客户端发送验证信息获取请求后，接收所述目标客户端发送的PCR信息和所述度量日志。