基于双体系结构可信计算平台的静态度量方法技术

本申请涉及一种基于双体系结构可信计算平台的静态度量，属于计算机安全技术领域，本申请包括：在可信计算平台上电后，可信计算资源先于计算资源启动，来确定是否控制计算资源启动；如果确定出控制计算资源启动，可信计算资源对计算资源的启动流程中的各阶段按启动顺序进行度量，根据度量结果进行相应处理；可信计算资源和计算资源均构建在计算机中央处理器中，计算资源用于完成计算任务；可信计算资源用于对计算资源进行主动度量，根据主动度量的结果进行相应主动控制，主动度量包括静态度量。本申请通过构建在计算机中央处理器中的可信计算资源和计算资源，形成双体系结构可信计算平台，在主机启动过程中进行主动静态度量来提升安全防护能力。

【技术实现步骤摘要】
基于双体系结构可信计算平台的静态度量方法
本申请属于计算机安全
，具体涉及一种基于双体系结构可信计算平台的静态度量方法、度量装置、存储介质及电子设备。
技术介绍
国际TCG(TrustedComputingGroup缩写，中文名为可信计算组织)，提出以TPM(TrustedPlatformModule缩写，中文名为可信平台模块)作为计算机的外部设备，采用被动挂接的方式，通过主机软件调用来发挥作用，其仅能对计算机的固件和可执行程序等资源进行静态度量。以TPM方式所实现的可信计算平台实质是单系统架构，TPM在资源访问、控制上都有局限性，其安全能力完全依赖于主机系统的安全性，难以防御黑客利用主机系统漏洞进行的攻击，并不能实质上提升计算机系统的主动防御能力，TPM本质上只是计算机上一个被动挂接的外部设备，只有被主机程序调用才会发挥作用，一旦主机被攻击者控制，TPM的作用就会无从发挥，导致TCG的可信计算架构在面对黑客利用计算机系统逻辑缺陷进行攻击时，基本难以抵御，例如：Windows10完全实现了TCG的可信计算架构，但是却未能阻止Wannacry勒索病毒的攻击。
技术实现思路
为至少在一定程度上克服相关技术中存在的问题，本申请提供了一种基于双体系结构可信计算平台的静态度量方法、度量装置、存储介质及电子设备，通过构建在计算机中央处理器中的可信计算资源和计算资源，形成双体系结构可信计算平台，在主机启动过程中进行主动静态度量，有助于提升安全防护能力。为实现以上目的，本申请采用如下技术方案：第一方面，本申请提供一种基于双体系结构可信计算平台的静态度量方法，包括：在可信计算平台上电后，可信计算资源先于计算资源启动，来确定是否控制所述计算资源启动；如果确定出控制所述计算资源启动，所述可信计算资源对所述计算资源的启动流程中的各阶段按启动顺序进行度量，并根据度量结果进行相应处理；其中，所述可信计算资源和所述计算资源均构建在计算机中央处理器中，所述计算资源用于完成计算任务；所述可信计算资源用于对所述计算资源进行主动度量，以及根据所述主动度量的结果进行相应主动控制，所述主动度量包括静态度量。进一步地，所述在可信计算平台上电后，可信计算资源先于计算资源启动，来确定是否控制所述计算资源启动，包括：在所述可信计算平台上电后，所述可信计算资源先于所述计算资源启动，然后所述可信计算资源通过内总线读取持久化存储区中的BIOS进行度量，如果BIOS度量结果可信，则所述可信计算资源控制所述计算资源启动。进一步地，所述可信计算资源对所述计算资源的启动流程中的各阶段按启动顺序进行度量，并根据度量结果进行相应处理，包括：在当前阶段的启动代码执行过程中，通过所述当前阶段的启动代码的度量代理模块，对与下一阶段启动代码相关的一处理步骤进行拦截，同时所述可信计算资源获取所述下一阶段的启动代码，并进行度量，如果对所述下一阶段的启动代码的度量结果为可信，则所述可信计算资源向所述当前阶段的启动代码的度量代理模块发送控制指令，以使所述当前阶段的启动代码的度量代理模块解除拦截，以允许所述与下一阶段启动代码相关的一处理步骤的执行。进一步地，所述对与下一阶段启动代码相关的一处理步骤进行拦截，包括：对所述当前阶段的启动代码加载所述下一阶段的启动代码进行拦截；或者，在所述当前阶段的启动代码将所述下一阶段的启动代码加载到内存后，拦截所述下一阶段的启动代码的执行。进一步地，所述可信计算资源获取所述下一阶段的启动代码，包括：所述当前阶段的启动代码的度量代理模块直接读取硬盘或内存中的所述下一阶段的启动代码，并发送给所述可信计算资源，以使所述可信计算资源获取所述下一阶段的启动代码；或者，所述当前阶段的启动代码的度量代理模块将所述下一阶段的启动代码的地址信息发送给所述可信计算资源，以使所述可信计算资源根据接收到的所述地址信息通过内总线获取所述下一阶段的启动代码，其中，所述地址信息为所述下一阶段的启动代码在硬盘中或者内存中的地址信息。进一步地，所述方法还包括：在所述计算资源的启动流程执行到一指定阶段时，通过所述指定阶段对应的启动代码的度量代理模块，拦截所述指定阶段对应的启动代码加载所述下一阶段的启动代码，同时所述可信计算资源获取内存数据，并进行度量；如果内存数据度量结果为可信，则允许所述可信计算资源获取所述下一阶段的启动代码；如果内存数据度量结果为不可信，则禁止所述可信计算资源获取所述下一阶段的启动代码，和/或，报警。进一步地，所述可信计算资源获取内存数据，包括：在所述当前阶段的启动代码执行过程中，通过所述当前阶段的启动代码的度量代理模块将内存数据发送给所述可信计算资源，以使所述可信计算资源获取内存数据；或者，在所述当前阶段的启动代码执行过程中，通过所述当前阶段的启动代码的度量代理模块将内存数据的地址发送给所述可信计算资源，以使所述可信计算资源通过内总线去内存中获取内存数据。第二方面，本申请提供一种基于双体系结构可信计算平台的静态度量装置，包括：控制启动模块，用于在可信计算平台上电后，可信计算资源先于计算资源启动，来确定是否控制所述计算资源启动；第一度量处理模块，用于如果确定出控制所述计算资源启动，所述可信计算资源对所述计算资源的启动流程中的各阶段按启动顺序进行度量，并根据度量结果进行相应处理；其中，所述可信计算资源和所述计算资源均构建在计算机中央处理器中，所述计算资源用于完成计算任务；所述可信计算资源用于对所述计算资源进行主动度量，以及根据所述主动度量的结果进行相应主动控制，所述主动度量包括静态度量。第三方面，本申请提供一种存储介质，其上存储有程序，所述程序被计算机中央处理器执行时实现上述任一项所述方法的步骤。第四方面，本申请提供一种电子设备，包括：如上述的所述存储介质；以及计算机中央处理器，用于执行所述存储介质中的所述程序。本申请采用以上技术方案，至少具备以下有益效果：本申请基于构建在计算机中央处理器中的可信计算资源和计算资源，得到双体系结构可信计算平台，因将可信计算资源的静态度量控制植入主机系统的计算机中央处理器中，能使可信计算资源拥有最高的控制权，在可信计算平台上电后，可信计算资源先于计算资源启动，获得比计算资源更高的控制权，对计算资源进行静态度量，使主机启动阶段安全防护方面难以绕过计算机中央处理器，从而有助于提升对主机启动过程控制的安全防护能力。应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。附图说明为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。图1为本申请一个实施例提供的基于双体系结构可信计算平台的静态度量方法的流程示意图；图2为本申请一个实施例提供的双体系结构的可信计算平台的结构示意图；图3为本申请一个实施例提供的基于双体系结构可信计算平台的静态度量装置的结构示意图；图4为本申请一个实施例提供的电子设备的结构示意图。具体实施方式为使本申请的目的、技术方案和优点更加清楚，下面将对本申请的技术方案进行详细的描述。显然，所本文档来自技高网...

【技术保护点】
1.一种基于双体系结构可信计算平台的静态度量方法，其特征在于，包括：在可信计算平台上电后，可信计算资源先于计算资源启动，来确定是否控制所述计算资源启动；如果确定出控制所述计算资源启动，所述可信计算资源对所述计算资源的启动流程中的各阶段按启动顺序进行度量，并根据度量结果进行相应处理；其中，所述可信计算资源和所述计算资源均构建在计算机中央处理器中，所述计算资源用于完成计算任务；所述可信计算资源用于对所述计算资源进行主动度量，以及根据所述主动度量的结果进行相应主动控制，所述主动度量包括静态度量。

【技术特征摘要】
1.一种基于双体系结构可信计算平台的静态度量方法，其特征在于，包括：在可信计算平台上电后，可信计算资源先于计算资源启动，来确定是否控制所述计算资源启动；如果确定出控制所述计算资源启动，所述可信计算资源对所述计算资源的启动流程中的各阶段按启动顺序进行度量，并根据度量结果进行相应处理；其中，所述可信计算资源和所述计算资源均构建在计算机中央处理器中，所述计算资源用于完成计算任务；所述可信计算资源用于对所述计算资源进行主动度量，以及根据所述主动度量的结果进行相应主动控制，所述主动度量包括静态度量。2.根据权利要求1所述的方法，其特征在于，所述在可信计算平台上电后，可信计算资源先于计算资源启动，来确定是否控制所述计算资源启动，包括：在所述可信计算平台上电后，所述可信计算资源先于所述计算资源启动，然后所述可信计算资源通过内总线读取持久化存储区中的BIOS进行度量，如果BIOS度量结果可信，则所述可信计算资源控制所述计算资源启动。3.根据权利要求1所述的方法，其特征在于，所述可信计算资源对所述计算资源的启动流程中的各阶段按启动顺序进行度量，并根据度量结果进行相应处理，包括：在当前阶段的启动代码执行过程中，通过所述当前阶段的启动代码的度量代理模块，对与下一阶段启动代码相关的一处理步骤进行拦截，同时所述可信计算资源获取所述下一阶段的启动代码，并进行度量，如果对所述下一阶段的启动代码的度量结果为可信，则所述可信计算资源向所述当前阶段的启动代码的度量代理模块发送控制指令，以使所述当前阶段的启动代码的度量代理模块解除拦截，以允许所述与下一阶段启动代码相关的一处理步骤的执行。4.根据权利要求3所述的方法，其特征在于，所述对与下一阶段启动代码相关的一处理步骤进行拦截，包括：对所述当前阶段的启动代码加载所述下一阶段的启动代码进行拦截；或者，在所述当前阶段的启动代码将所述下一阶段的启动代码加载到内存后，拦截所述下一阶段的启动代码的执行。5.根据权利要求3所述的方法，其特征在于，所述可信计算资源获取所述下一阶段的启动代码，包括：所述当前阶段的启动代码的度量代理模块直接读取硬盘或内存中的所述下一阶段的启动代码，并发送给所述可信计算资源，以使所述可信计算资源获取所述下一...

【专利技术属性】
技术研发人员：沈昌祥，孙瑜，王强，洪宇，
申请(专利权)人：沈昌祥，
类型：发明
国别省市：北京,11