[发明专利]一种虚拟可信根及其虚拟信任链方法

说明书

本发明公开了一种虚拟可信根及其虚拟信任链方法，虚拟可信根(VTPCM)通过QEMU在虚拟机中模拟PCI设备进行实现，在虚拟机中看到VTPCM就是一个PCI设备。虚拟信任链是在宿主操作系统启动后开始建立的是随着虚拟机的启动而同步建立，通过TPCM对宿主操作系统总KVM内核模块和QEMU程序的度量，将宿主信任链和虚拟信任链进行衔接。在每条信任链中TPCM和VTPCM各自完成所需验证和记录验证结果。

技术领域

本发明涉及信息安全技术领域，具体涉及一种虚拟信任链建立流程。

背景技术

随着云计算技术发展的日益成熟，云计算以其虚拟化、高可靠性、按需服务等优秀特点赢得了越来越多用户的青睐。而虚拟化技术作为云计算环境中的核心技术，给用户带来便利的同时也隐藏着巨大的安全问题，即一旦虚拟机甚至虚拟机管理器被恶意侵入或者控制，就有可能使得大量使用虚拟机服务的云租户的数据被泄露或者遭到破坏。而可信计算作为一种重要的安全技术为云环境下的虚拟化安全提供了一些新的解决方法。在底层物理机上利用我国自主可控主动免疫的可信计算机制，通过信任链的扩展，利用虚拟化技术为云平台上的每个虚拟机实例提供一个唯一对应的虚拟可信根vtpcm，建立起从底层硬件到云平台虚拟机的完整的可信链，从而为云平台的虚拟机安全提供可信保障。

发明内容

针对现有技术中存在的缺陷，本发明的目的在于提供一种虚拟信任链流程。虚拟可信根的迁移主要迁移内容包括物理TPCM内部VTPCM对应的上下文信息(包括已加载的秘钥信息)、VTPCM持久数据、密钥树等。其中VTPCM持久数据包括配置信息、密钥(通过物理TPCM保护存储)、基准、策略。虚拟信任链建立主要是在物理机建立信任链之后，在虚拟机中建立信任链并与物理信任链衔接的过程，具体包括信任链建立过程中的数据获取和度量三个过程。在信任链建立过程中，利用可信密码模块对数据进行完整性和签名验证。

为实现上述目的，本发明采用的技术方案如下：

一种虚拟信任链建立方法，其特征在于，虚拟信任链建立主要是在物理机建立信任链之后，在虚拟机中建立信任链并与物理信任链衔接的过程，具体包括信任链建立过程中的数据获取和度量三个过程。在信任链建立过程中，利用可信密码模块对数据进行完整性和签名验证。

进一步，如上所述的虚拟信任链建立流程主要由物理机信任链衔接和虚拟信任链建立两个过程。

所述物理机信任链衔接用于虚拟机启动前的可信验证

所述虚拟信任链建立用于虚拟机启动过程中的可信验证

进一步，所述物理机信任链衔接流程，是在一个具体的虚拟机启动前，物理机上的可信软件基对宿主操作系统、KVM内核模块、qemu程序进行可信验证。并在截获的虚拟机加载的命令中对虚拟机镜像和SeaBIOS文件进行验证。

进一步，如上所述虚拟机启动过程中，在加载SeaBIOS初始化后，在SeaBIOS对虚拟机grub使用VTPCM进行主动验证。VTPCM验证grub通过后，SeaBIOS加载并执行。grub对虚拟机OSkernel使用VTPCM进行主动验证，VTPCM验证通过后，grub加载并执行。OSkernel对虚拟机APP使用VTPCM进行主动验证，VTPCM验证通过后，OSkernel加载并执行。

本发明的有益效果在于：本发明所提供的一种虚拟信任链建立流程主要有物理机信任链衔接和虚拟信任链建立两种过程，物理机信任链衔接用于在qemu虚拟机启动前的安全验证，虚拟信任链建立适用于在虚拟机启动过程中的安全保障。

附图说明

图1为本发明实施例中提供的虚拟信任链建立示意图。

具体实施方式

下面结合说明书附图与具体实施方式对本发明做进一步的详细说明。

术语解释