一种基于双体系结构的可信计算平台的动态度量方法技术

本发明专利技术公开了一种基于双体系机构的可信计算平台的动态度量方法，可信计算平台由防护子系统和计算子系统构成，可信平台控制模块通过PCIE接口和预置接口与主板相连接，PCIE接口用于可信平台控制模块与主机CPU及内存之间的通信，预置接口用于可信平台控制模块与主板上除主机CPU和内存之外的其他模块之间的通信；在满足动态度量触发条件时，可信平台控制模块获取计算子系统的度量对象的相关信息；根据与度量对象的相关信息相匹配的可信策略，对度量对象进行度量，并根据度量结果对计算子系统进行相应控制处理。能够保证计算子系统在运行过程中受到防护子系统的保护，保证计算机系统重要资源不受篡改和破坏。

A Dynamic Measurement Method for Trusted Computing Platform Based on Dual Architecture

【技术实现步骤摘要】
一种基于双体系结构的可信计算平台的动态度量方法
本专利技术涉及网络安全领域，特别地，涉及一种基于双体系结构的可信计算平台的动态度量方法。
技术介绍
当前的网络空间极其脆弱，震网、Wannacry勒索病毒、Mirai等造成较大影响的网络攻击事件层出不穷，且日益猖獗。究其根源，在于并没有从网络安全风险的实质原因入手解决问题，一味采用以“防火墙”、“病毒查杀”、“入侵检测”等为代表的“封堵查杀”被动防御手段，防不胜防，特别在面对针对目标系统的漏洞发起的攻击时，根本无法有效防御。为解决当前网络空间安全面临的问题，国际上TCG组织提出了可信计算的方法，提出了以TPM和BIOS起始代码为信任根，一级度量一级，进而构建起计算机的信任链，保护计算机重要资源不被非法篡改和破坏，起到了较好的效果。但是，TPM本质上只是计算机上一个被动挂接的外部设备，只有被主机程序调用才会发挥作用，且只能对计算机启动过程进行度量，无法对计算机运行过程进行度量，一旦主机被攻击者控制，TPM的作用就会无从发挥，导致TCG的可信计算架构在面对黑客利用可信计算平台逻辑缺陷进行攻击时，基本难以抵御。
技术实现思路
为了克服现有技术的不足，本专利技术提供一种保护计算机重要资源不被非法篡改和破坏的基于双体系结构的可信计算平台的动态度量方法。本专利技术解决其技术问题所采用的技术方案是：一方面：一种基于双体系结构的可信计算平台的动态度量方法，所述可信计算平台包括并行运行的防护子系统和计算子系统，所述计算子系统包括：主机CPU、内存以及主板上除主机CPU和内存之外的其他模块，用于完成计算任务，所述防护子系统包括：可信平台控制模块，用于对所述计算子系统进行主动度量和主动控制，所述主动度量包括动态度量，所述可信平台控制模块通过PCIE接口和预置接口与所述主板相连接，所述PCIE接口用于所述可信平台控制模块与主机CPU及内存之间的通信，所述预置接口用于所述可信平台控制模块与所述主板上除主机CPU和内存之外的其他模块之间的通信；所述方法包括：在满足动态度量触发条件时，所述可信平台控制模块获取所述计算子系统的度量对象的相关信息；根据与所述度量对象的相关信息相匹配的可信策略，对所述度量对象进行度量，并根据度量结果对所述计算子系统进行相应控制处理。进一步地，在所述防护子系统采用直接度量模式时，所述可信平台控制模块获取所述计算子系统的度量对象的相关信息，包括：所述可信平台控制模块通过所述PCIE接口直接访问内存，以获取内存数据，所述度量对象的相关信息包括所述内存数据；或者所述可信平台控制模块通过所述预置接口直接访问所述主板上的固件存储区，以获取主机固件，所述度量对象的相关信息包括所述主机固件。进一步地，所述根据度量结果对所述计算子系统进行相应控制处理，包括：所述可信平台控制模块通过所述PCIE接口直接对主机CPU及内存进行相应控制处理；或者所述可信平台控制模块通过所述预置接口直接对主板上除主机CPU及内存之外的其他模块进行相应控制处理。进一步地，在所述防护子系统采用代理度量模式时，所述可信平台控制模块获取所述计算子系统的度量对象的相关信息，包括：度量代理程序获取所述度量对象的相关信息，所述度量代理程序为所述防护子系统植入到所述计算子系统中的钩子函数，所述度量代理程序用于获取所述计算子系统的相关信息，以及对所述计算子系统进行控制，所述度量对象的相关信息包括：内存数据、主板上的固件存储区中的主机固件；所述度量代理程序通过PCIE接口将获取到的所述度量对象的相关信息发送给所述可信平台控制模块，或者，所述度量代理程序通过PCIE接口将所述度量对象的相关信息的地址发送给所述可信平台控制模块，以使所述可信平台控制模块通过所述PCIE接口或所述预置接口访问所述地址以获取所述度量对象的相关信息。进一步地，所述根据度量结果对所述计算子系统进行相应控制处理，包括：所述可信平台控制模块通过所述PCIE接口向所述度量代理程序发送控制指令，以指示所述度量代理程序对所述度量对象进行相应控制处理。进一步地，所述动态度量触发条件包括以下至少之一：达到预定时间点；达到预定度量周期；预设行为被触发；预设事件被触发。进一步地，如果所述动态度量触发条件为所述预设行为被触发，所述对所述度量对象进行度量，并根据度量结果对所述计算子系统进行相应控制处理，包括：当所述预设行为被触发时时，拦截所述预设行为的执行，根据所述可信策略对所述预设行为进行度量，如果对所述预设行为的度量结果为可信，则取消拦截并允许所述预设行为执行；如果对所述预设行为的度量结果为不可信，则根据所述可信策略对所述预设行为进行处理；或者，当所述预设行为被触发时，允许所述预设行为执行，并对所述预设行为进行度量，如果对所述预设行为的度量结果为不可信，则根据所述可信策略对所述预设行为相关的后续情况进行处理。另一方面：一种基于双体系结构的可信计算平台的动态度量装置，所述可信计算平台包括并行运行的防护子系统和计算子系统，所述计算子系统包括：主机CPU、内存以及主板上除主机CPU和内存之外的其他模块，用于完成计算任务，所述防护子系统包括：可信平台控制模块，用于对所述计算子系统进行主动度量和主动控制，所述主动度量包括动态度量，所述可信平台控制模块通过PCIE接口和预置接口与所述主板相连接，所述PCIE接口用于所述可信平台控制模块与主机CPU及内存之间的通信，所述预置接口用于所述可信平台控制模块与所述主板上除主机CPU和内存之外的其他模块之间的通信；所述装置包括：信息获取模块，用于在满足动态度量触发条件时，所述可信平台控制模块获取所述计算子系统的度量对象的相关信息；度量处理模块，用于根据与所述度量对象的相关信息相匹配的可信策略，对所述度量对象进行度量，并根据度量结果对所述计算子系统进行相应控制处理。另一方面：一种存储介质，所述存储介质用于存储程序，所述程序用于实现上述任一项所述方法的步骤。另一方面：一种处理器，所述处理器用于执行程序，所述程序用于实现上述任一项所述方法的步骤。有益效果：本申请技术方案提供了一种基于双体系机构的可信计算平台的动态度量方法，可信计算平台由防护子系统和计算子系统构成，可信平台控制模块通过PCIE接口和预置接口与主板相连接，PCIE接口用于可信平台控制模块与主机CPU及内存之间的通信，预置接口用于可信平台控制模块与主板上除主机CPU和内存之外的其他模块之间的通信；在满足动态度量触发条件时，可信平台控制模块获取计算子系统的度量对象的相关信息；根据与度量对象的相关信息相匹配的可信策略，对度量对象进行度量，并根据度量结果对计算子系统进行相应控制处理，能够保证计算子系统在运行过程中受到防护子系统的保护，保证计算机系统重要资源不受篡改和破坏。附图说明图1是本专利技术实施例提供的一种基于双系统结构的可信计算平台的结构示意图；图2是本专利技术实施例提供的一种基于双系统结构的可信计算平台的动态度量方法的流程图；图3是本专利技术实施例提供的一种基于双系统结构的可信计算平台的动态度量装置的结构示意图。具体实施方式术语解释：TCM:可信密码模块，可信计算平台的硬件模块，为可信计算平台提供密码运算功能，具有受保护的存储空间。TPCM:可信平台控制模块，一种集成在可信计算平台中，用于建立本文档来自技高网...

【技术保护点】
1.一种基于双体系结构的可信计算平台的动态度量方法，其特征在于：所述可信计算平台包括并行运行的防护子系统和计算子系统，所述计算子系统包括：主机CPU、内存以及主板上除主机CPU和内存之外的其他模块，用于完成计算任务，所述防护子系统包括：可信平台控制模块，用于对所述计算子系统进行主动度量和主动控制，所述主动度量包括动态度量，所述可信平台控制模块通过PCIE接口和预置接口与所述主板相连接，所述PCIE接口用于所述可信平台控制模块与主机CPU及内存之间的通信，所述预置接口用于所述可信平台控制模块与所述主板上除主机CPU和内存之外的其他模块之间的通信；所述方法包括：在满足动态度量触发条件时，所述可信平台控制模块获取所述计算子系统的度量对象的相关信息；根据与所述度量对象的相关信息相匹配的可信策略，对所述度量对象进行度量，并根据度量结果对所述计算子系统进行相应控制处理。

【技术特征摘要】
1.一种基于双体系结构的可信计算平台的动态度量方法，其特征在于：所述可信计算平台包括并行运行的防护子系统和计算子系统，所述计算子系统包括：主机CPU、内存以及主板上除主机CPU和内存之外的其他模块，用于完成计算任务，所述防护子系统包括：可信平台控制模块，用于对所述计算子系统进行主动度量和主动控制，所述主动度量包括动态度量，所述可信平台控制模块通过PCIE接口和预置接口与所述主板相连接，所述PCIE接口用于所述可信平台控制模块与主机CPU及内存之间的通信，所述预置接口用于所述可信平台控制模块与所述主板上除主机CPU和内存之外的其他模块之间的通信；所述方法包括：在满足动态度量触发条件时，所述可信平台控制模块获取所述计算子系统的度量对象的相关信息；根据与所述度量对象的相关信息相匹配的可信策略，对所述度量对象进行度量，并根据度量结果对所述计算子系统进行相应控制处理。2.根据权利要求1所述的一种方法，其特征在于：在所述防护子系统采用直接度量模式时，所述可信平台控制模块获取所述计算子系统的度量对象的相关信息，包括：所述可信平台控制模块通过所述PCIE接口直接访问内存，以获取内存数据，所述度量对象的相关信息包括所述内存数据；或者所述可信平台控制模块通过所述预置接口直接访问所述主板上的固件存储区，以获取主机固件，所述度量对象的相关信息包括所述主机固件。3.根据权利要求2所述的一种方法，其特征在于：所述根据度量结果对所述计算子系统进行相应控制处理，包括：所述可信平台控制模块通过所述PCIE接口直接对主机CPU及内存进行相应控制处理；或者所述可信平台控制模块通过所述预置接口直接对主板上除主机CPU及内存之外的其他模块进行相应控制处理。4.根据权利要求1所述的一种方法，其特征在于：在所述防护子系统采用代理度量模式时，所述可信平台控制模块获取所述计算子系统的度量对象的相关信息，包括：度量代理程序获取所述度量对象的相关信息，所述度量代理程序为所述防护子系统植入到所述计算子系统中的钩子函数，所述度量代理程序用于获取所述计算子系统的相关信息，以及对所述计算子系统进行控制，所述度量对象的相关信息包括：内存数据、主板上的固件存储区中的主机固件；所述度量代理程序通过PCIE接口将获取到的所述度量对象的相关信息发送给所述可信平台控制模块，或者，所述度量代理程序通过PCIE接口将所述度量对象的相关信息的地址发送给所述可信平台控制模块，以使所述可信平台控制模块通...

【专利技术属性】
技术研发人员：沈昌祥，孙瑜，王强，洪宇，
申请(专利权)人：沈昌祥，
类型：发明
国别省市：北京,11