【技术实现步骤摘要】
用于对多租户计算环境中的租户工作负载进行完整性保护的系统、设备和方法
实施例涉及计算系统中的信息的保护。
技术介绍
随着云服务提供商（CSP）在可能不具有适当的物理安全性的远程位置中部署服务器，存储器安全性要求不断增加。如在多租户计算环境中实现的多密钥全存储器加密（MKTME）技术允许当客户工作负载驻留在存储器中时用不同密钥加密客户工作负载。尽管MKTME技术针对对于机密性的被动攻击提供防御，但是它们没有针对主动攻击提供任何防御，在主动攻击中，具有对系统的物理访问的攻击者可修改存储器中的代码/数据，潜在地引起秘密泄露。为了解决主动攻击，可将存储器完整性添加在存储器加密之上。传统的存储器完整性机制将加密的消息认证码（MAC）与存储在存储器的隐蔽区域中的存储器中的每个高速缓存行相关联。当将数据写入到存储器时生成MAC，并且当从存储器准备好数据时验证MAC。对数据的任何主动攻击将导致MAC不匹配，引起安全性异常。当引入存储器完整性机制以针对修改攻击进行防御时，其引入额外开销。用来提供完整性保护的当前解决方案已经被证明难以实现在基于云的实现中。附图说明图1是根据本专利技术的一个实施例的虚拟机环境的框图。图2是图示根据本专利技术的实施例的方法的高等级视图的流程图。图3A和3B是根据本专利技术的另一实施例的流程图。图4是根据本专利技术的又一实施例的方法的流程图。图5是根据本专利技术的又一实施例的方法的流程图。图6是根据本专利技术的实施例的云服...
【技术保护点】
1. 一种用来为二进制文件生成完整性值的设备，包括：/n用来执行指令的核，其中响应于第一指令，所述核要从源位置获得请求者的二进制文件，并将所述二进制文件存储到目的地位置，所述二进制文件包括加密的映像；以及/n耦合到所述核的存储器执行电路，所述存储器执行电路响应于来自所述核的请求并基于所述第一指令，要为所述二进制文件生成至少一个完整性值，并存储与所述二进制文件相关联的所述至少一个完整性值，所述至少一个完整性值对于不可信实体不可访问。/n
【技术特征摘要】
20181115 US 16/1919611.一种用来为二进制文件生成完整性值的设备，包括：
用来执行指令的核，其中响应于第一指令，所述核要从源位置获得请求者的二进制文件，并将所述二进制文件存储到目的地位置，所述二进制文件包括加密的映像；以及
耦合到所述核的存储器执行电路，所述存储器执行电路响应于来自所述核的请求并基于所述第一指令，要为所述二进制文件生成至少一个完整性值，并存储与所述二进制文件相关联的所述至少一个完整性值，所述至少一个完整性值对于不可信实体不可访问。
2.如权利要求1所述的设备，其中响应于所述第一指令并且在所述二进制文件和所述至少一个完整性值的所述存储之后，所述核要进一步使用在所述设备和所述请求者之间共享的第一密钥来生成加密响应，并将所述加密响应发送给所述请求者以使得所述请求者能够印证带有完整性保护地将所述二进制文件存储到所述目的地位置。
3.如权利要求2所述的设备，其中所述第一指令包括带完整性加载指令，所述带完整性加载指令要标识所述源位置、所述目的地位置以及用来标识包括所述第一密钥和所述加密响应的结构的结构标识符。
4.如权利要求3所述的设备，其中对所述第一密钥进行封装以防止所述不可信实体使用所述第一密钥。
5.如权利要求1所述的设备，其中使用与所述目的地位置相关联的地址信息来加密所述二进制文件，所述设备要将所述地址信息发送给所述请求者以使得所述请求者能够加密所述二进制文件以形成所述加密的映像，所述请求者包括包含所述设备的多租户计算环境的租户。
6.如权利要求5所述的设备，其中响应于由所述请求者对所述二进制文件的完整性保护的请求，所述设备要将与所述目的地位置相关联的所述地址信息发送给所述请求者，以使得所述请求者能够使用第二密钥和所述地址信息来加密所述二进制文件。
7.如权利要求1所述的设备，还包括具有用来存储完整性指示符的第一字段的配置寄存器，所述完整性指示符在处于活动状态时要促使所述存储器执行电路在仅完整性模式下操作。
8.如权利要求7所述的设备，其中当所述存储器执行电路要为所述二进制文件生成所述至少一个完整性值并存储与所述二进制文件相关联的所述至少一个完整性值时，所述完整性指示符要处于活动状态。
9.如权利要求8所述的设备，其中在执行所述第一指令之后，所述核要将所述完整性指示符更新至非活动状态，以促使所述存储器执行电路在组合的加密和完整性模式下操作。
10.如权利要求9所述的设备，其中在所述组合的加密和完整性模式下，所述存储器执行电路要从所述目的地位置访问所述二进制文件的第一部分，为所述二进制文件的所述第一部分生成所生成的完整性值，将所述所生成的完整性值与所述二进制文件的所述至少一个完整性值进行比较，并且响应于匹配，解密所述二进制文件的所述第一部分并将所述二进制文件的所述第一部分提供给与所述请求者相关联的密钥域以用于执行。
11.如权利要求1所述的设备，其中所述存储器执行电路要将所述至少一个完整性值存储在所述二进制文件的数据块的元数据字段中。
12.一种用于在系统中处置加密应用的方法，包括：
从请求者接收加载加密应用以便在云服务提供商的至少一个服务器的受保护域中执行的请求；
响应于所述请求，确定所述云服务提供商的存储器中的目的地位置，在所述目的地位置将要存储所述加密应用；
将所述目的地位置的地址发送给所述请求者，其中所述请求者要使用第一密钥和所述目的地位置的所述地址来对所述加密应用进行加密；
从所述请求者接收所述加密应用，并将完整性保护信息运用于所述加密应用；
将所述加密应用与所述完整性保护信息一起存储在所述目的地位置；
使用第二密钥来生成加密响应，以确认所述加密应用与所述完整性保护信息一起被存储在所述目的地位置；以及
将所述加密响应发送给所述请求者。
13.如权利要求12所述的方法，还包括响应于至少部分地基于所述完整性保护信息来确定所述加密应用在被存储在所述存储器中时没有被修改，在所述至少一个服务器的所述受保护域中执行所述加密应用。
14.如权利要求12所述的方法，...
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。