基于虚拟化技术的终端可信增强方法及系统技术方案

本发明专利技术提供了一种基于虚拟化技术的终端可信增强方法及系统。其中，该方法包括：可信终端根据Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，校验通过后启动操作系统；可信终端根据白名单配置文件和白名单驱动程序对动态加载的应用程序、服务及外部设备驱动进行完整性检验，实现可信终端的可信增强。本发明专利技术根据Ukey中存储的校验信息来启动操作系统，建立静态信任链，从内部防止操作系统信息的泄露或篡改。而根据白名单配置文件来对加载的应用程序进行完整性检验，建立动态信任链，从外部阻止恶意攻击和越权访问。

【技术实现步骤摘要】

本专利技术涉及可信计算领域，具体而言，涉及一种基于虚拟化技术的终端可信增强方法及系统。
技术介绍
随着终端的普及，终端安全已成为人们关注的重要问题。如何实现终端安全，为用户提供可信赖的终端计算环境，已成为目前急需解决的问题。当前，针对于终端安全问题，尤其是终端操作系统安全问题，主要是通过防火墙、入侵检测和病毒防护等传统的操作系统安全技术，从外部来封堵企图共享信息资源和越权访问的非法用户。但是这些传统的操作系统安全技术只能从外部来防止恶意攻击和越权访问，无法防止终端操作系统内部信息的泄漏或篡改。
技术实现思路
有鉴于此，本专利技术实施例的目的在于提供一种基于虚拟化技术的终端可信增强方法及系统，从内部防止操作系统信息的泄露或篡改，实现终端的可信增强。第一方面，本专利技术实施例提供了一种基于虚拟化技术的终端可信增强方法，所述方法包括:可信终端根据小型存储设备Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，校验通过后启动操作系统；所述可信终端根据白名单配置文件和白名单驱动程序对动态加载的应用程序、月艮务及外部设备驱动进行完整性检验，实现所述可信终端的可信增强；其中，所述白名单配置文件包括应用程序的标识、所述应用程序的动态库的标识及所述应用程序的摘要值。结合第一方面，本专利技术实施例提供了上述第一方面的第一种可能的实现方式，其中，所述可信终端根据Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，包括:可信终端开机启动时，生成裸机型虚拟机相关文件的校验值及操作系统内核文件的校验值；所述可信终端调用Ukey中的密码杂凑SM3算法接口分别对所述裸机型虚拟机相关文件的校验值及所述操作系统内核文件的校验值进行二次校验，得到所述裸机型虚拟机相关文件的二次校验值及所述操作系统内核文件的二次校验值；所述可信终端分别将所述裸机型虚拟机相关文件的二次校验值和所述操作系统内核文件的二次校验值与所述Ukey中存储的校验信息进行比较，根据比较的结果确定所述操作系统内核文件及所述裸机型虚拟机相关文件的完整性。结合第一方面，本专利技术实施例提供了上述第一方面的第二种可能的实现方式，其中，所述可信终端根据白名单配置文件和白名单驱动程序对动态加载的应用程序、服务及外部设备驱动进行完整性检验，包括:所述可信终端启动操作系统后，加载白名单驱动程序，通过所述白名单驱动程序拦截在用户态动态加载的应用程序、服务及外部设备驱动；所述可信终端调用本地SM3算法对拦截到的所述应用程序、服务及外部设备驱动进行检验运算，分别得到所述应用程序、服务及外部设备驱动对应的校验值；所述可信终端根据白名单配置文件和所述应用程序、服务及外部设备驱动的标识，对所述应用程序、服务及外部设备驱动对应的校验值进行校验，根据校验的结果确定所述应用程序、服务及外部设备驱动的完整性。结合第一方面，本专利技术实施例提供了上述第一方面的第三种可能的实现方式，其中，所述可信终端根据Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验之前，还包括可信终端接收管理中心发送的白名单配置文件和裸机型虚拟机安装程序，存储所述白名单配置文件，根据所述裸机型虚拟机安装程序，安装预设数量的裸机型虚拟机，并通过串行通信总线USB接口与Ukey建立通信连接。结合第一方面的第三种可能的实现方式，本专利技术实施例提供了上述第一方面的第四种可能的实现方式，其中，所述通过串行通信总线USB接口与Ukey建立通信连接，包括:所述可信终端检测到USB接口有Ukey插入时，提示用户输入个人识别密码PIN码；所述可信终端获取所述Ukey中存储的PIN码，将获取的PIN码与所述用户输入的PIN码进行比较；若所述获取的PIN码与所述用户输入的PIN码相同，则所述可信终端与所述Ukey建立通信连接。结合第一方面，本专利技术实施例提供了上述第一方面的第五种可能的实现方式，其中，所述方法还包括:所述可信终端采集用户操作信息和访问行为信息，将所述用户操作信息和所述访问行为信息组成安全日志，存储所述安全日志，并每隔预设时间段将所述安全日志发送给管理中心。第二方面，本专利技术实施例提供了一种基于虚拟化技术的终端可信增强方法，所述方法包括:管理中心生成Ukey配置信息，将所述Ukey配置信息存储在可信终端对应的Ukey中，所述Ukey配置信息包括校验信息，以使所述可信终端根据所述Ukey中存储的校验信息启动操作系统；所述管理中心获取白名单配置文件，所述白名单配置文件包括应用程序的标识、所述应用程序的动态库的标识及所述应用程序的摘要值；所述管理中心发送裸机型虚拟机安装程序和所述白名单配置文件给所述可信终端，使所述可信终端根据所述裸机型虚拟机安装程序安装裸机型虚拟机，以及使所述可信终端根据所述白名单配置文件实现可信增强。结合第二方面，本专利技术实施例提供了上述第二方面的第一种可能的实现方式，其中，所述管理中心获取白名单配置文件，包括:所述管理中心在样板机上安装应用程序时，通过可信进程调用本地SM3算法计算所述应用程序的每个可执行文件的摘要值，得到所述应用程序的摘要值；所述管理中心检测到所述应用程序安装过程中加载动态库时，获取所述动态库的名称；所述管理中心将所述应用程序的名称、所述动态库的名称及所述应用程序的摘要值组成白名单配置文件中所述应用程序对应的一条记录。结合第二方面，本专利技术实施例提供了上述第二方面的第二种可能的实现方式，其中，所述方法还包括:所述管理中心接收所述可信终端发送的安全日志，将所述安全日志发送给审计管理员对应的终端。第三方面，本专利技术实施例提供了一种基于虚拟化技术的终端可信增强系统，所述系统包括:管理中心和可信终端；所述管理中心，用于生成Ukey配置信息，将所述Ukey配置信息存储在所述可信终端对应的Ukey中，获取白名单配置文件，以及发送裸机型虚拟机安装程序和所述白名单配置文件给所述可信终端，所述Ukey配置信息包括校验信息，所述白名单配置文件包括应用程序的标识、所述应用程序的动态库的标识及所述应用程序的摘要值；所述可信终端，用于根据所述Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，校验通过启动后操作系统；以及接收所述管理中心发送的裸机型虚拟机安装程序和所述白名单配置文件，根据所述裸机型虚拟机安装程序安装裸机型虚拟机，根据所述白名单配置文件和白名单驱动程序对动态加载的应用程序、月艮务及外部设备驱动进行完整性检验，实现所述可信终端的可信增强。在本专利技术实施例中，可信终端根据Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，校验通过后启动操作系统，建立了静态信任链，从内部防止操作系统信息的泄露或篡改。另外，可信终端根据白名单配置文件和白名单驱动程序对动态加载的应用程序、服务及外部设备驱动进行完整性检验，建立了动态信任链，从外部阻止恶意攻击和越权访问，实现了可信终端的可信增强。为使本专利技术的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。【附图说明】为了更清楚地说明本专利技术实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本专利技术本文档来自技高网...

【技术保护点】
一种基于虚拟化技术的终端可信增强方法，其特征在于，所述方法包括：可信终端根据小型存储设备Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，校验通过后启动操作系统；所述可信终端根据白名单配置文件和白名单驱动程序对动态加载的应用程序、服务及外部设备驱动进行完整性检验，实现所述可信终端的可信增强；其中，所述白名单配置文件包括应用程序的标识、所述应用程序的动态库的标识及所述应用程序的摘要值。

【技术特征摘要】

【专利技术属性】
技术研发人员：王飞，王宇，孙鸿鹏，李晋丽，吴忠望，韩伟杰，
申请(专利权)人：中国人民解放军装备学院，北京中安信控科技有限公司，
类型：发明
国别省市：北京;11