可信密码模块安全虚拟化方法技术

本发明专利技术公开了一种可信密码模块安全虚拟化方法：在基于ＶＭＭ模型的虚拟机上实现支持客户虚拟机使用的虚拟ＴＣＭ实例，建立物理机至虚拟机的信任链；在虚拟机的特权虚拟域中设置虚拟ＴＣＭ管理器和虚拟ＴＣＭ永久性存储区；通过虚拟ＴＣＭ管理器建立和管理虚拟ＴＣＭ实例，所建立的虚拟ＴＣＭ实例模拟物理ＴＣＭ，为客户虚拟机提供物理ＴＣＭ的功能；并且通过虚拟ＴＣＭ管理器为客户虚拟机与虚拟ＴＣＭ实例的通信提供信道，为虚拟ＴＣＭ实例颁发证书，支持虚拟ＴＣＭ实例访问虚拟ＴＣＭ永久性存储区和物理ＴＣＭ；采用虚拟ＴＣＭ永久性存储区存储虚拟ＴＣＭ实例的相关信息。本发明专利技术整合了虚拟机的特点与可信计算的技术优势，通过模拟的方式实现可信密码模块的功能，解决了单一物理ＴＣＭ无法满足多个虚拟机对ＴＣＭ的具体需求。

【技术实现步骤摘要】

本专利技术涉及计算机信息安全
，主要涉及基于虚拟机监视器(Virtual Machine Monitor, VMM)的系统虚拟机技术和基于可信密码模块的可信计算技 术，具体是一种。技术背景基于VMM模型的系统虚拟化是以软件方式模拟物理硬件的核心功能，为 虚拟机上的操作系统提供与访问物理硬件相同的访问接口，从而实现在同一个 物理平台上同时运行多个操作系统，并为每个操作系统运行所需资源提供透明 服务。这种模型不仅保证了客户虚拟机环境的独立性，而且可提供良好的系统 隔离特性，这为计算系统的安全增强技术实现提供了可能。此外，为了支持我 国可信计算技术的应用，提高我国在可信计算
的国际竞争力，国家密 码管理局提出并公布了以国内密码算法为基础且结合国内安全需求的《可信计 算密码支撑平台功能与接口规范》，其中可信密码模块(Trusted Cryptography module, TCM)扩展了可信平台模块(Trusted Platform Module, TPM)的安全功能， 能提供诸如平台身份证明、平台完整性证明、密钥管理、密封存储等各项安全 服务，从硬件层次保证平台的安全性和可靠性，该可信计算技术可进一步巩固 虚拟机计算系统的安全能力。为了更有效地构建可信虚拟机计算系统，必须解决单一物理TCM与多个虚 拟机对TCM的具体需求的矛盾。
技术实现思路
本专利技术目的在于解决现有技术不足，提供一种，以解决单一物理TCM无法满足多个虚拟机对TCM具体需求的问题。本专利技术的技术方案为在基于VMM模型的虚拟机上实现支持客户虚拟机使用的虚拟TCM实例，建立物理机至虚拟机的信任根；所述实现虚拟TCM实例的具体方式如下，在虚拟机的特权虚拟域中设置虚拟TCM管理器和虚拟TCM永久性存储区； 通过虚拟TCM管理器建立和管理虚拟TCM实例，所建立的虚拟TCM实例模拟物理TCM,为客户虚拟机提供物理TCM的功能；并且通过虚拟TCM管理器为客户虚拟机与虚拟TCM实例的通信提供信道，为虚拟TCM实例颁发证书，支持虚拟TCM实例访问虚拟TCM永久性存储区和物理TCM;采用虚拟TCM永久性存储区存储虚拟TCM实例的相关信息，虚拟TCM永久性存储区由物理TCM提供密钥进行加密保护，由虚拟TCM管理器实现加解密操作。而且，所述建立从物理机至虚拟机的信任根，流程如下，步骤l，静态可信根度量并加载BIOS; 步骤2， BIOS度量并加载启动加载器； 步骤3，启动加载器度量并加载虚拟机监视器；步骤4，虚拟机监视器建立特权域，度量并启动虚拟TCM管理器与用户域 创建器；步骤5，当启动一个客户虚拟机时，虚拟TCM管理器先为客户虚拟机创建 一个虚拟TCM实例，随后用户域创建器初始化客户虚拟机；步骤6，客户虚拟机的虚拟静态可信根执行度量并加载虚拟BIOS; 步骤7，虚拟BIOS度量并加载启动加载器；步骤8，启动加载器度量并加载客户虚拟机操作系统；步骤9，客户虚拟机操作系统度量并加载其上运行的各个应用程序。而且，所述为虚拟TCM实例颁发证书的具体实现方式为，客户虛拟机向虚拟TCM管理器提出颁发证书请求后进行以下步骤，步骤一，物理TCM生成物理平台身份证明密钥，并向可信CA请求物理平 台身份证明密钥证书；步骤二，可信CA验证请求并向物理平台颁发物理平台身份证明密钥证书；步骤三，客户虚拟机通过虚拟TCM实例生成虚拟平台身份证明密钥，并向 虚拟TCM管理器请求虚拟平台身份证明密钥证书；步骤四，虚拟TCM管理器获取物理平台的引证信息，并用一个被物理平台 身份证明密钥签署的签名密钥对引证信息与虚拟平台身份证明密钥的公钥进行 签名；将签名结果与物理平台身份证明密钥证书一起即构成虚拟平台身份证明 密钥，发给提出请求的客户虚拟机。本专利技术基于嵌有TCM的硬件平台环境，通过TCM虚拟化方式，实现客户 虚拟机无需修改便可透明地使用所有TCM提供的安全功能的目标，解决了单一 物理TCM无法满足多个虚拟机对TCM的具体需求。据此所建立信任链与证书 链可确保TCM相关应用从物理环境向虚拟计算平台环境的安全扩展，构建可信 客户虚拟机计算环境。 附图说明图1为本专利技术实施例在基于VMM模型的虚拟机上实现虚拟TCM示意图；图2为本专利技术实施例的信任链建立过程示意图；图3为本专利技术实施例中为虚拟TCM实例颁发证书的流程图。具体实施方式本专利技术所提供技术方案为基于VMM模型的 虚拟机上实现支持客户虚拟机使用的虚拟TCM实例，建立物理机至虚拟机的信 任根。所述实现虚拟TCM实例的具体方式如下在虚拟机的特权虚拟域中设置虚拟TCM管理器和虚拟TCM永久性存储区；通过虚拟TCM管理器建立和管理虚拟TCM实例，所建立的虚拟TCM实 例模拟物理TCM，为客户虚拟机提供物理TCM的功能(例如密封存储，远程 证明，密钥管理)；并且通过虚拟TCM管理器为客户虚拟机与虚拟TCM实例的 通信提供信道，为虚拟TCM实例颁发证书，支持虚拟TCM实例访问虚拟TCM 永久性存储区和物理TCM;采用虚拟TCM永久性存储区存储虚拟TCM实例的相关信息(例如虚拟 TCM实例的口令，和虚拟TCM实例所管理的密钥)，虚拟TCM永久性存储区 由物理TCM提供密钥进行加密保护，由虚拟TCM管理器实现加解密操作。因为基于VMM模型的虚拟机系统中往往有多个客户虚拟机，因此虚拟TCM管理器根据客户虚拟机情况创建和管理各虚拟机所需的虚拟TCM实例，例如当减少客户虚拟机时删除相应虚拟TCM实例。虚拟TCM管理器建立的虚拟TCM实例是为用户域的客户虚拟机提供虚拟TCM功能，因此需要虚拟TCM管理器担任信道，同时也要通过虚拟TCM管理器支持虚拟TCM实例访问虚拟TCM永久性存储区和物理TCM。并且，通过物理TCM所提供的加密功能和保存其上的密钥，可以实现虚拟TCM管理器对虚拟TCM的保护。参见图1所示本专利技术实施例首先根据现有VMM技术在物理硬件层基础 上构建基于虚拟机监视器的虚拟机，物理硬件层包括可信计算机常用部件，例 如CPU、内存、硬盘以及物理TCM。物理硬件层之上即为虚拟机监视器层。按照VMM模型，提供有1个负责创建和管理客户虚拟机的特权域，客户虚拟机则处于客户域。本专利技术在特权域设置虚拟TCM管理器和虚拟TCM永久性存储 区(简称VTCM永久存储区)，虚拟TCM管理器建立虚拟TCM实例—1、虚拟 TCM实例一2…虚拟TCM实例一n，通过这些实例分别为客户虚拟机1、客户虚 拟机2…客户虚拟机n提供虚拟TCM，可记为虚拟TCM1、虚拟TCM2…虚拟 TCMn。应用程序(如虚拟TCM管理器，客户虚拟机内应用程序等)读写TCM 字符类设备文件时,通过TCM驱动程序可将TCM命令和命令执行的结果按TCM 规范的格式输入/输出TCM芯片。现有物理TCM可以应用于为计算机平台建立信任链，保证安全启动；为了 确保TCM相关应用从物理环境向虚拟计算平台环境的安全扩展，本专利技术提供了 进一歩技术方案，实现虚拟TCM作用下虚拟机的信任链建立过程，参照图2所示歩骤l，静态可信根度量并加载BIOS。实施例中，计算机启动时，静态可信根(the Core Root of Trust for Measurement, CRTM，是处于BIOS内的代码)首先获得控制权，CRTM本文档来自技高网...

【技术保护点】
一种可信密码模块安全虚拟化方法，其特征在于：在基于ＶＭＭ模型的虚拟机上实现支持客户虚拟机使用的虚拟ＴＣＭ实例，建立物理机至虚拟机的信任链；所述实现虚拟ＴＣＭ实例的具体方式如下，　在虚拟机的特权虚拟域中设置虚拟ＴＣＭ管理器和虚拟ＴＣＭ永 久性存储区；　通过虚拟ＴＣＭ管理器建立和管理虚拟ＴＣＭ实例，所建立的虚拟ＴＣＭ实例模拟物理ＴＣＭ，为客户虚拟机提供物理ＴＣＭ的功能；并且通过虚拟ＴＣＭ管理器为客户虚拟机与虚拟ＴＣＭ实例的通信提供信道，为虚拟ＴＣＭ实例颁发证书，支持虚拟 ＴＣＭ实例访问虚拟ＴＣＭ永久性存储区和物理ＴＣＭ；　采用虚拟ＴＣＭ永久性存储区存储虚拟ＴＣＭ实例的相关信息，虚拟ＴＣＭ永久性存储区由物理ＴＣＭ提供密钥进行加密保护，由虚拟ＴＣＭ管理器实现加解密操作。

【技术特征摘要】

【专利技术属性】
技术研发人员：王丽娜，余荣威，柯晋，匡波，周凯，尹磊，尹帆，金新，任正伟，
申请(专利权)人：武汉大学，
类型：发明
国别省市：83[中国|武汉]