一种基于可信密码模块的虚拟磁盘完整性保护系统及方法技术方案

本发明专利技术公开了一种基于可信密码模块的虚拟磁盘完整性保护系统及方法，属于一种信息安全领域技术，基于可信密码模块，所述系统包括虚拟磁盘管理模块、虚拟磁盘度量模块、虚拟磁盘验证模块、可信密码模块、可信存储设备；所述虚拟磁盘管理模块用来产生、识别虚拟磁盘容器文件，还用来加载虚拟磁盘容器文件为系统能够识别的虚拟磁盘；所述方法包括完成系统所需硬件设备的初始化过程、建立新的虚拟磁盘并为其建立基准度量值、完成虚拟磁盘完整性验证，并根据验证结果加载或者拒绝加载虚拟磁盘、完成卸载虚拟磁盘时的度量值更新工作。本发明专利技术和现有技术相比，提高了虚拟磁盘使用的安全性，实现了完整性验证，大大提高了安全强度。

【技术实现步骤摘要】

本专利技术涉及一种信息安全领域技术，具体地说是ー种基于可信密码模块的虚拟磁盘完整性保护系统及方法。
技术介绍
随着信息技术和网络的发展，数据安全问题越来越受重视，特别是政府、企业的涉密信息系统承载着大量国家秘密和商业秘密，一般采取数据加密技术进行重要数据保 护。虚拟磁盘技术通过在文件系统中建立容器文件,虚拟ー个操作系统可识别的磁盘,对磁盘的读写与硬盘操作无异，并通过加密技术将用户数据密文存储在容器文件中。虚拟磁盘方法保护数据方便快捷，在信息安全领域已经得到了普遍应用。对虚拟磁盘内数据的加密保护方法有许多专利和实现，然而虚拟磁盘本身的完整性保护方法未见实现。虚拟磁盘管理系统一般通过格式化一个具备boot sector (磁盘弓I导扇区)文件头结构的容器文件作为虚拟磁盘载体，文件系统通过识别容器文件的boot sector可以加载虚拟磁盘，使用者将数据放入虚拟磁盘中以实现安全保护。一旦容器文件boot sector遭到破坏或者植入恶意代码将会给虚拟磁盘的安全造成威胁，因此对容器文件boot sector的完整性保护是关键。传统程序和数据的完整性验证往往通过公钥密码算法数字签名的形式在软件层完成完整性验证，这些方法仍具有诸多不足，比如验证过程计算开销较大，还有软件层的保护容易遭到篡改。可信计算技术通过在计算平台置入一个可信计算密码模块，可以在硬件层实现计算平台部件的完整性度量验证。近年来可信技术得到长足发展，使用户拥有安全性、完整性和可靠性全面提高的可信赖计算环境成为可能。可信计算领域已经有诸多方法解决了操作系统加载前的部件完整性度量和验证的问题，然而在操作系统运行时，用户文件存在多样性，用户文件的加载存在分散性，不像BIOS启动及POST过程具备严格的直线性，因此，操作系统运行时用户文件的完整性验证一直是个难题。可信密码模块，简称TCM (trusted cryptography module),是我国可信计算标准硬件模块，具备密码运算器和受保护的存储器，内嵌国家密码管理局标准算法。TCM通过唯一的非対称256位密钥-密码模块密钥(EK)作为密钥树的根密钥来保护用户密钥和数据，私钥不会外泄，加密过程在硬件内部完成。可信密码模块内置杂凑运算引擎和平台配置寄存器PCR，通过度量控制TCM中的杂凑运算和扩展PCR可以完成计算平台的完整性验证。
技术实现思路
本专利技术的技术任务是针对以上不足之处，提供。采用TCM对虚拟磁盘容器文件进行完整性度量和验证，在TCM平台配置寄存器实时记录度量值，采用可信外部存储设备存储度量日志，通过完整性验证虚拟磁盘容器文件的boot sector数据来判断虚拟磁盘完整性，保证虚拟磁盘的安全加载和使用。本专利技术解决其技术问题所采用的技术方案是 一种基于可信密码模块的虚拟磁盘完整性保护系统，包括虚拟磁盘管理模块、虚拟磁盘度量模块、虚拟磁盘验证模块、可信密码模块、可信存储设备；所述虚拟磁盘管理模块用来产生、识别虚拟磁盘容器文件，还用来加载虚拟磁盘容器文件为系统能够识别的虚拟磁盘； 所述虚拟磁盘管理模块与虚拟磁盘度量模块以及虚拟磁盘验证模块连接，虚拟磁盘管理模块在需要时调用虚拟磁盘度量模块和虚拟磁盘验证模块进行完整性度量和验证，同时更新度量值和度量日志； 所述虚拟磁盘度量模块通过调用可信密码模块的杂凑密码算法对虚拟磁盘进行完整性度里!; 所述虚拟磁盘验证模块,在加载虚拟磁盘时,调用虚拟磁盘度量模块记录当前虚拟磁盘完整性度量值，并与可信存储设备中存储的最新完整性度量值匹配判断完成完整性验证； 所述可信密码模块是ー种提供密码学服务和完整性度量服务的硬件设备，内置于虚拟磁盘完整性保护系统所在计算平台中，提供杂凑密码算法和其他密码学算法进行密码学服务，还包括平台配置寄存器空间可以存储完整性度量值； 所述可信存储设备是连接在虚拟磁盘完整性保护系统所在计算平台中的ー个硬件设备，可以是具备非易失性存储空间的USB存储设备或者其他安全存储设备；所述可信存储设备中存储有一个可信列表数据结构，可信列表存储所有虚拟磁盘的可信度量日志数据。一种基于可信密码模块的虚拟磁盘完整性保护方法，包括完成系统所需硬件设备的初始化过程、建立新的虚拟磁盘并为其建立基准度量值、完成虚拟磁盘完整性验证，并根据验证结果加载或者拒绝加载虚拟磁盘、完成卸载虚拟磁盘时的度量值更新工作，具体实现步骤包括 (1)、连接可信密码模块和可信存储设备到虚拟磁盘完整性保护系统所在计算平台，在可信存储设备内建立可信列表数据结构； (2)、虚拟磁盘管理模块在建立虚拟磁盘容器文件后调用虚拟磁盘度量模块对所建虚拟磁盘进行完整性度量，完整性度量方法为虚拟磁盘度量模块调用可信密码模块杂凑密码算法对目标虚拟磁盘容器文件boot sector数据进行杂凑计算，计算所得杂凑值即为目标虚拟磁盘完整性度量值； 所述boot sector数据是虚拟磁盘容器文件前512字节的一段数据，作为磁盘引导扇区数据在加载虚拟磁盘时被识别，所述boot sector数据存储了代表虚拟磁盘的特征数据或者密钥数据，对boot sector数据的完整性度量代表对虚拟磁盘的完整性度量； 虚拟磁盘度量模块完成度量后在可信密码模块平台配置寄存器中扩展所述目标虚拟磁盘完整性度量值，同时记录度量日志到可信存储设备可信列表中； (3)、当加载虚拟磁盘时，首先虚拟磁盘管理模块调用虚拟磁盘验证模块对加载目标虚拟磁盘进行完整性验证，完整性验证方法如下虚拟磁盘验证模块首先进行目标虚拟磁盘的完整性度量，度量方法如所述步骤2中度量方法一致；同时虚拟磁盘证模块将目标虚拟磁盘当前完整性度量值扩展到可信密码模块内的寄存器；同时虚拟磁盘验证模块解析可信存储设备中的相应可信列表中的度量日志，将日志中存储的最新完整性度量值与目标虚拟磁盘完整性度量值进行匹配，如果匹配成功，虚拟磁盘管理模块加载目标虚拟磁盘进入可信工作阶段，如果匹配失败，虚拟磁盘管理模块拒绝加载目标虚拟磁盘； (4)、当卸载虚拟磁盘时，虚拟磁盘管理模块调用虚拟磁盘度量模块对目标虚拟磁盘进行完整性度量，度量方法如所述步骤2中度量方法一致，然后将度量结果在可信密码模块和可信存储设备同时进行更新。本专利技术的和现有技术相比，有益效果为 此系统和方法提高了虚拟磁盘使用的安全性，同时，与软件层实现数字签名验证相比，使用可信密码模块和外部可信存储设备在硬件层实现了完整性验证，大大提高了安全强度。由于虚拟磁盘可以自定义存储多种文件，本专利技术对虚拟磁盘的完整性保护也可实现对虚拟磁盘承载的文件完整性保护，并动态更新存储度量值和日志，一定程度上解决了可信计算领域操作系统运行时多种文件完整性难于验证的问题。附图说明下面结合附图对本专利技术进ー步说明。附图I为ー种基于可信密码模块的虚拟磁盘完整性保护系统及方法的系统模块结构 附图2为ー种基于可信密码模块的虚拟磁盘完整性保护系统及方法的方法实现流程图。 具体实施例方式下面结合附图和具体实施例对本专利技术作进ー步说明。本专利技术实施例通过编写的软件系统和连接的硬件设备实现，图I给出了本实施例系统模块结构图，如图I所示，软件系统包括虚拟磁盘管理模块、虚拟磁盘度量模块和虚拟磁盘验证模块，硬件设备包括可信密码模块(TCM)和可信存储设本文档来自技高网...

【技术保护点】

【技术特征摘要】

【专利技术属性】
技术研发人员：赵斌，
申请(专利权)人：山东超越数控电子有限公司，
类型：发明
国别省市：