一种双体系结构的可信计算平台的构建方法技术

本发明专利技术公开了一种双体系结构的可信计算平台的构建方法，将可信计算处理器、可信计算内存、可信计算持久化存储区、可信密码模块进行封装，构建可信平台控制模块；在可信平台控制模块上设置PCIE接口和预置接口用于可信平台控制模块对主机进行静态度量和动态度量以及相应的控制处理。通过PCIE接口与预置接口主机在启动和运行时均可以受到可信平台控制模块的主动度量以及主动控制，安全能力不依赖于主机系统的安全性，有效的提高计算机系统主动防御能力。

A construction method of trusted computing platform with dual architecture

【技术实现步骤摘要】
一种双体系结构的可信计算平台的构建方法
本专利技术涉及网络安全领域，特别地，涉及一种双体系结构的可信计算平台的构建方法。
技术介绍
国际TCG组织提出的可信计算芯片TPM是作为计算机的外部设备。以TPM方式所实现的可信计算平台实质是单系统架构。TPM本质上只是计算机上一个被动挂接的外部设备，只有被主机程序调用才会发挥作用，一旦主机被攻击者控制，TPM的作用就会无从发挥，导致TCG的可信计算架构在面对黑客利用计算机系统逻辑缺陷进行攻击时，基本难以抵御，其安全能力完全依赖于主机系统的安全性，难以防御黑客利用主机系统漏洞进行的攻击，并不能实质上提升计算机系统的主动防御能力。
技术实现思路
为了克服现有技术的不足，本专利技术提供一种能够提高计算机系统主动防御能力的双体系结构的可信计算平台的构建方法以及可信计算平台。本专利技术解决其技术问题所采用的技术方案如下：一方面；一种双体系结构的可信计算平台的构建方法，包括以下步骤：将可信计算处理器、可信计算内存、可信计算持久化存储区、可信密码模块进行封装，构建可信平台控制模块；在所述可信平台控制模块上设置PCIE接口和预置接口，所述PCIE接口用于所述可信平台控制模块与主机CPU及内存之间的通信，所述预置接口用于所述可信平台控制模块与主板上除主机CPU和内存之外的其他模块之间的通信；利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，得到双体系结构的可信计算平台；所述可信计算平台包括并行运行的防护子系统与计算子系统；所述计算子系统包括：主机CPU、内存、以及主板上除主机CPU和内存之外的其他模块，用于完成计算任务；所述防护子系统包括：所述可信平台控制模块，用于对所述计算子系统进行主动度量，并根据度量结果进行主动控制，所述主动度量包括静态度量和动态度量。进一步地，所述利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，包括：利用所述预置接口将所述可信平台控制模块与所述主板上的时序控制电路相连接，所述可信平台控制模块用于控制所述时序控制电路，以使所述可信计算平台上电后所述可信平台控制模块先于主机CPU启动。进一步地，所述利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，包括：利用所述预置接口将所述可信平台控制模块与所述主板上的固件存储区相连接，所述可信平台控制模块用于通过所述预置接口从所述固件存储区中读取BIOS固件。进一步地，所述利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，包括：利用所述预置接口将所述可信平台控制模块与所述主板上的硬盘相连接，所述可信平台控制模块用于通过所述预置接口从所述硬盘中读取启动镜像数据，所述启动镜像数据至少包括：OSLoader代码、OS内核代码、OS系统服务代码以及应用程序代码。进一步地，所述可信平台控制模块对所述计算子系统进行所述静态度量，包括：所述可信计算平台上电后，通过所述预置接口控制所述可信平台控制模块先于主机CPU启动，并读取所述固件存储区中的BIOS固件进行度量；如果所述BIOS固件的度量结果可信，则所述可信平台控制模块通过所述预置接口控制主机CPU启动；在主机CPU加载所述硬盘中的所述启动镜像数据之前，所述可平台控制模块利用所述预置接口读取所述硬盘中的所述启动镜像数据进行度量；如果所述启动镜像数据的度量结果可信，则主机CPU加载并执行所述启动镜像数据。进一步地，所述可信平台控制模块对所述计算子系统进行所述动态度量，包括：在满足动态度量触发条件时，所述可信平台控制模块执行以下至少之一：通过所述PCIE接口读取内存数据进行度量；通过所述PCIE接口读取主机CPU的运行状态数据进行度量；通过所述预置接口读取主板上的I/O外设的运行状态数据进行度量。另一方面；一种双体系结构的可信计算平台，所述双体系结构的可信计算平台根据上述方案中任一项所述的方法得到。另一方面；一种双体系结构的可信计算平台的构建装置，包括：构建单元，用于将可信计算处理器、可信计算内存、可信计算持久化存储区、可信密码模块进行封装，构建可信平台控制模块；接口设置单元，用于在所述可信平台控制模块上设置PCIE接口和预置接口，其中，所述PCIE接口用于所述可平台控制模块与主机CPU及内存之间的通信，所述预置接口用于所述可信平台控制模块与主板上除主机CPU和内存之外的其他模块之间的通信；连接单元，用于利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，得到双体系结构的可信计算平台；其中，所述可信计算平台包括并行运行的防护子系统与计算子系统；所述计算子系统包括：主机CPU、内存、以及主板上除主机CPU和内存之外的其他模块，用于完成计算任务；所述防护子系统包括：所述可信平台控制模块，用于对所述计算子系统进行主动度量，并根据度量结果进行主动控制，所述主动度量包括静态度量和动态度量。另一方面；一种存储介质，所述存储介质包括存储的程序，所述程序执行上述技术方案中任意一项所述的一种双体系结构的可信计算平台的构建方法。另一方面；一种处理器，所述处理器用于运行程序，所述程序运行时执行上述技术方案中任意一项所述的一种双体系结构的可信计算平台的构建方法。有益效果：本专利技术提供了一种双体系结构的可信计算平台的构建方法，将可信计算处理器、可信计算内存、可信计算持久化存储区、可信密码模块进行封装，构建可信平台控制模块；在所述可信平台控制模块上设置PCIE接口和预置接口用于所述可信平台控制模块对主机进行静态度量和动态度量以及相应的控制处理。通过PCIE接口与预置接口主机在启动和运行时均可以受到可信平台控制模块的主动度量以及主动控制，安全能力不依赖于主机系统的安全性，有效的提高计算机系统主动防御能力。附图说明图1是本专利技术实施例提供的一种双体系结构的可信计算平台的构建方法的流程图；图2是本专利技术实施例提供的一种双体系结构的可信计算平台的结构示意图；图3是本专利技术实施例提供的一种双体系结构的可信计算平台的构建装置的结构示意图。具体实施方式术语解释：TCM:可信密码模块，可信计算平台的硬件模块，为可信计算平台提供密码运算功能，具有受保护的存储空间。TPCM:可信平台控制模块，一种集成在可信计算平台中，用于建立和保障信任源点的硬件核心模块，为可信计算提供完整性度量、安全存储、可信报告以及密码服务等功能。TSB:可信软件基，为可信计算平台的可信性提供支持的软件元素的集合。下面结合附图和实施例对本专利技术进一步说明。本专利技术实施例提供了一种双体系结构的可信计算平台的构建方法。图1是本专利技术实施例提供的一种双体系结构的可信计算平台的构建方法的流程图，如图1所示，该方法包括以下步骤：步骤S101，将可信计算处理器、可信计算内存、可信计算持久化存储区、可信密码模块进行封装，构建可信平台控制模块；步骤S102，在可信平台控制模块上设置PCIE接口和预置接口，PCIE接口用于可信平台控制模块与主机CPU及内存之间的通信，预置接口用于可信平台控制模块与主板上除主机CPU和内存之外的其他模块之间的通信；步骤S103，利用PCIE接口和预置接口将可信平台控制模块与主板相连接，得到双体系结构的可信计算平台；其中，可信计算平台包括并行运行的防本文档来自技高网...

【技术保护点】
1.一种双体系结构的可信计算平台的构建方法，其特征在于，包括以下步骤：将可信计算处理器、可信计算内存、可信计算持久化存储区、可信密码模块进行封装，构建可信平台控制模块；在所述可信平台控制模块上设置PCIE接口和预置接口，所述PCIE接口用于所述可信平台控制模块与主机CPU及内存之间的通信，所述预置接口用于所述可信平台控制模块与主板上除主机CPU和内存之外的其他模块之间的通信；利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，得到双体系结构的可信计算平台；其中，所述可信计算平台包括并行运行的防护子系统与计算子系统；所述计算子系统包括：主机CPU、内存、以及主板上除主机CPU和内存之外的其他模块，用于完成计算任务；所述防护子系统包括：所述可信平台控制模块，用于对所述计算子系统进行主动度量，并根据度量结果进行主动控制，所述主动度量包括静态度量和动态度量。

【技术特征摘要】
1.一种双体系结构的可信计算平台的构建方法，其特征在于，包括以下步骤：将可信计算处理器、可信计算内存、可信计算持久化存储区、可信密码模块进行封装，构建可信平台控制模块；在所述可信平台控制模块上设置PCIE接口和预置接口，所述PCIE接口用于所述可信平台控制模块与主机CPU及内存之间的通信，所述预置接口用于所述可信平台控制模块与主板上除主机CPU和内存之外的其他模块之间的通信；利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，得到双体系结构的可信计算平台；其中，所述可信计算平台包括并行运行的防护子系统与计算子系统；所述计算子系统包括：主机CPU、内存、以及主板上除主机CPU和内存之外的其他模块，用于完成计算任务；所述防护子系统包括：所述可信平台控制模块，用于对所述计算子系统进行主动度量，并根据度量结果进行主动控制，所述主动度量包括静态度量和动态度量。2.根据权利要求1所述的方法，其特征在于：所述利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，包括：利用所述预置接口将所述可信平台控制模块与所述主板上的时序控制电路相连接，所述可信平台控制模块用于控制所述时序控制电路，以使所述可信计算平台上电后所述可信平台控制模块先于主机CPU启动。3.根据权利要求2所述的方法，其特征在于：所述利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，包括：利用所述预置接口将所述可信平台控制模块与所述主板上的固件存储区相连接，所述可信平台控制模块用于通过所述预置接口从所述固件存储区中读取BIOS固件。4.根据权利要求3所述的方法，其特征在于：所述利用所述PCIE接口和所述预置接口将所述可信平台控制模块与所述主板相连接，包括：利用所述预置接口将所述可信平台控制模块与所述主板上的硬盘相连接，所述可信平台控制模块用于通过所述预置接口从所述硬盘中读取启动镜像数据，所述启动镜像数据至少包括：OSLoader代码、OS内核代码、OS系统服务代码以及应用程序代码。5.根据权利要求4所述的方法，其特征在于：所述可信平台控制模块对所述计算子系统进行所述静态度量，包括：所述可信计算平台上电后，通过所述预置接口控制所述可信平台控制模块先于主机CP...

【专利技术属性】
技术研发人员：沈昌祥，孙瑜，王强，王涛，
申请(专利权)人：沈昌祥，
类型：发明
国别省市：北京,11