本说明书实施例提供了用于在可信计算系统中增强度量代理安全性的方法以及能够增强度量代理安全性的可信计算系统。所述方法可以包括：响应于度量代理被加载到载入内存区域中，计算所述载入内存区域的当前哈希值；验证所述当前哈希值是否匹配于安全规则配置中的预定哈希值；识别所述度量代理的当前访问控制权限；验证所述当前访问控制权限是否匹配于安全规则配置中的预定访问控制权限；以及响应于所述当前哈希值匹配于所述预定哈希值并且所述当前访问控制权限匹配于所述预定访问控制权限，确定所述度量代理符合安全性要求。确定所述度量代理符合安全性要求。确定所述度量代理符合安全性要求。
【技术实现步骤摘要】
在可信计算系统中增强度量代理安全性
[0001]本说明书实施例涉及可信计算，具体地，涉及在可信计算系统中增强度量代理安全性。
技术介绍
[0002]可信计算系统要求其自身具备较高的安全保护机制。可信计算系统通常包括计算子系统、可信子系统等。计算子系统是实施计算的主体，其也可被称为宿主系统、宿主计算机等。可信子系统与计算子系统并行地运行，但可信子系统的运行在逻辑上是独立于计算子系统的。可信子系统能够以主动的方式为计算子系统提供可信支撑功能。
[0003]度量代理是部署在计算子系统中的程序代码，其能够对计算子系统执行静态度量和动态度量，以获取计算子系统的系统状态信息。可信子系统能够通过度量代理的度量结果来获知计算子系统的安全状态，并且验证计算子系统的状态是否可信。
[0004]与独立运行的可信子系统相比，度量代理是运行在安全级别较低的开放的计算子系统中的，其运行环境的安全性无法得到有效保障。如果度量代理的功能代码、运行逻辑、度量结果等遭到非法入侵或篡改，则度量的真实性和可靠性将无法得到保证。因此，度量代理自身的安全性可能成为整个可信计算系统的安全短板。
[0005]现有的白名单机制为度量代理指定了信任的度量对象，例如，基本输入输出系统（BIOS）、基板管理控制器（BMC）、操作系统关键代码、关键寄存器的值等，使得针对这些度量对象的度量结果将被认为是可信任的，而对其他对象的度量结果将被认为是不可信任的。这种白名单机制仅仅能够规避一些恶意攻击，但是并不能提供运行时的安全保证。实际上，白名单机制也未对度量代理本身进行信任鉴别。此外，白名单机制也存在适用性差的限制。
[0006]因此，需要一种能够有效地保证度量代理的安全性的机制，以便通过增强度量代理的安全性来进而保证可信计算系统的整体度量安全性。
技术实现思路
[0007]鉴于上述，本说明书实施例提出了在可信计算系统中增强度量代理安全性的有效机制。本说明书实施例为度量代理提供了硬件级别的安全保护，这对于提升整个可信计算系统的安全性也具有重要意义。本说明书实施例至少利用内存访问控制机制、加密机制等，实现了对度量代理的运行环境的硬件级别安全保护。本说明书实施例通过对与度量代理对应的内存区域执行加密、哈希值验证、访问控制权限验证等，能够有效地增强度量代理的安全性，例如，保证度量代理本身具备保密性、完整性、不可篡改性等，从而能够防止恶意入侵、防止代码和数据被恶意修改等。
[0008]根据本说明书实施例的一个方面，提供了一种用于在可信计算系统中增强度量代理安全性的方法，包括：响应于度量代理被加载到载入内存区域中，计算所述载入内存区域的当前哈希值；验证所述当前哈希值是否匹配于安全规则配置中的预定哈希值；识别所述度量代理的当前访问控制权限；验证所述当前访问控制权限是否匹配于安全规则配置中的
预定访问控制权限；以及响应于所述当前哈希值匹配于所述预定哈希值并且所述当前访问控制权限匹配于所述预定访问控制权限，确定所述度量代理符合安全性要求。
[0009]根据本说明书实施例的另一个方面，提供了一种可信计算系统，包括：计算子系统，其包括度量代理；以及可信子系统，其包括可信平台控制模块（TPCM）。所述TPCM被配置为：响应于所述度量代理被加载到所述计算子系统的载入内存区域中；计算所述载入内存区域的当前哈希值；验证所述当前哈希值是否匹配于安全规则配置中的预定哈希值；识别所述度量代理的当前访问控制权限；验证所述当前访问控制权限是否匹配于安全规则配置中的预定访问控制权限；以及响应于所述当前哈希值匹配于所述预定哈希值并且所述当前访问控制权限匹配于所述预定访问控制权限，确定所述度量代理符合安全性要求。
附图说明
[0010]通过参照下面的附图，可以实现对于本说明书实施例内容的本质和优点的进一步理解。在附图中，类似组件或特征可以具有相同的附图标记。
[0011]图1示出了根据实施例的可信计算系统的示例性架构。
[0012]图2示出了根据实施例的在安全规则配置生成阶段的示例性处理过程。
[0013]图3示出了根据实施例的在度量代理执行阶段的示例性处理过程。
[0014]图4示出了根据实施例的用于在可信计算系统中增强度量代理安全性的示例性方法的流程图。
具体实施方式
[0015]以下将参考示例实施方式讨论本文描述的主题。应该理解，讨论这些实施方式只是为了使得本领域技术人员能够更好地理解从而实现本文描述的主题，并非是对权利要求书中所阐述的保护范围、适用性或者示例的限制。可以在不脱离本说明书实施例内容的保护范围的情况下，对所讨论的元素的功能和排列进行改变。各个示例可以根据需要，省略、替代或者添加各种过程或组件。另外，相对一些示例所描述的特征在其它例子中也可以进行组合。
[0016]如本文中使用的，术语“包括”及其变型表示开放的术语，含义是“包括但不限于”。术语“基于”表示“至少部分地基于”。术语“一个实施例”和“一实施例”表示“至少一个实施例”。术语“另一个实施例”表示“至少一个其他实施例”。术语“第一”、“第二”等可以指代不同的或相同的对象。下面可以包括其他的定义，无论是明确的还是隐含的。除非上下文中明确地指明，否则一个术语的定义在整个说明书中是一致的。
[0017]图1示出了根据实施例的可信计算系统100的示例性架构。
[0018]可信计算系统100可以包括可信子系统110、计算子系统120、内存访问控制硬件模块130等。应当理解，为了简化的目的，在图1中仅示出了可信计算系统100中的上述示例性模块，在实际应用中，可信计算系统100还可能包括更多其他模块。
[0019]可信子系统110能够以主动的方式为计算子系统120提供可信支撑功能。可信子系统110可以包括可信平台控制模块（TPCM）112。TPCM 112作为可信根，其主要用于建立和保障信任源点，提供完整性度量、安全存储、可信报告、密码服务等一系列可信计算的功能。可信子系统110还可以包括可信密码模块（TCM）114。TCM 114用于实施密码机制，其能够提供
112可以获得度量代理122的预定访问控制权限。例如，预定访问控制权限可以是由可信计算系统100的用户或管理员所设置的。预定访问控制权限可以包括针对度量代理的代码段而指定的预定访问控制权限、针对度量代理的数据段而指定的预定访问控制权限等。此外，预定访问控制权限可以具有各种类型，例如，可读、可写、可执行、不可读、不可写、不可执行、任何其它类型、及其任意组合。应当理解，本说明书实施例并不受到预定访问控制权限的具体类型的任何限制。TPCM 112可以利用所获得的预定访问控制权限来形成安全访问控制规则。即，安全访问控制规则可以包括预先为度量代理122所指定的各种预定访问控制权限。在形成了安全访问控制规则后，TPCM 112可以将安全访问控制规则保存到安全规则配置中。此外，优选地，TPCM 112还可以将安全访问控制规则下发给度量代理122，以便促使度量代理122在实际运行本文档来自技高网...
【技术保护点】
【技术特征摘要】
1.一种用于在可信计算系统中增强度量代理安全性的方法，包括：响应于度量代理被加载到载入内存区域中，计算所述载入内存区域的当前哈希值；验证所述当前哈希值是否匹配于安全规则配置中的预定哈希值；识别所述度量代理的当前访问控制权限；验证所述当前访问控制权限是否匹配于安全规则配置中的预定访问控制权限；以及响应于所述当前哈希值匹配于所述预定哈希值并且所述当前访问控制权限匹配于所述预定访问控制权限，确定所述度量代理符合安全性要求。2.如权利要求1所述的方法，还包括：响应于所述当前哈希值不匹配于所述预定哈希值和/或所述当前访问控制权限不匹配于所述预定访问控制权限，确定所述度量代理不符合所述安全性要求。3.如权利要求1所述的方法，还包括：对所述载入内存区域中的至少一部分内存区域进行加密；以及响应于所述度量代理符合所述安全性要求，对所述经加密的至少一部分内存区域进行解密。4.如权利要求3所述的方法，其中，所述至少一部分内存区域对应于所述度量代理的一部分代码段和/或数据段。5.如权利要求1所述的方法，还包括：获得关于用于所述度量代理的预定内存区域的信息；基于所述信息来计算所述预定内存区域的所述预定哈希值；以及将所述预定哈希值保存到所述安全规则配置中。6.如权利要求1所述的方法，还包括：获得所述度量代理的所述预定访问控制权限；利用所述预定访问控制权限形成安全访问控制规则；以及将所述安全访问控制规则保存到所述安全规则配置中。7.如权利要求6所述的方法，还包括：将所述安全访问控制规则下发给所述度量代理。8.如权利要求6所述的方法，其中，所述预定访问控制权限包括：针对所述度量代理的代码段而指定的预定访问控制权限；和/或针对所述度量代理的数据段而指定的预定访问控制权限。9.如权利要求8所述的方法，其中，所述预定访问控制权限包括以下至少之一：可读、可写、可执行、不可读、不可写以及不可执行。10.如权利要求1所述的方法，其中，所述安全规则配置包括以下至少之一：关于用于所述度量代理的预定内存区域的信息；所述预定内存区域的所述预定哈希值；以及包含所述预定访问控制权限的安全访问控制规则。11.如权利要求1所述的方法，还包括：创建与所述度量代理相关联的安全规则配置存储区；以及...
【专利技术属性】
技术研发人员：李超，武鹏，安伟，曹淋，侯伟星，姜先绪，帅峰云，
申请(专利权)人：支付宝杭州信息技术有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。