[發明專利]基于硬件虛擬化的密碼保護系統

有效

• 申請號: 201110379014.5
• 申請日: 2011-11-24
• 公開（公告）號: CN102521531A
• 公開（公告）日: 2012-06-27
• 發明（設計）人: 金海;鄒德清;詹金波;羌衛中
• 申請（專利權）人: 華中科技大學
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 華中科技大學專利中心 42201
• 代理人: 曹葆青

1.一種基于硬件虛擬化的密碼保護系統，其特征在于，該系統包括指令截獲模塊(1)、內核保護模塊(2)、密碼保護模塊(3)和調度管理模塊(4)；

指令截獲模塊(1)和內核保護模塊(2)位于虛擬機管理器層，密碼保護模塊(3)和調度管理模塊(4)位于操作系統內核層；

調度管理模塊(4)用于提供交互接口，方便調用程序和虛擬機管理器、調用程序和密碼保護模塊(3)交互；在裝載虛擬機管理器過程中，調度管理模塊(4)接收來自調用程序的裝載虛擬機管理器請求，動態加載虛擬機管理器來接管操作系統；在保護過程中，調度管理模塊(4)接收受保護的進程標志符，并將受保護的進程標志符傳遞給密碼保護模塊(3)；在卸載虛擬機管理器過程中，調度管理模塊(4)接收來自調用程序的卸載虛擬機管理器請求，動態卸載虛擬機管理器以恢復操作系統的最高權限；

密碼保護模塊(3)用于防止惡意程序通過鍵盤狀態相關應用程序編程接口獲取按鍵；同時防止惡意程序通過消息鉤子獲取按鍵；

指令截獲模塊(1)用于對特權指令進行截獲，并且將當前特權指令信息傳遞給內核保護模塊(2)，使得執行流程從操作系統內核層進入虛擬機管理器中；

內核保護模塊(2)用于防止rootkit修改操作系統內核；它接收指令截獲模塊(1)傳遞的指令信息。如果這條特權指令不涉及修改操作系統內核，內核保護模塊(2)直接執行這條特權指令，并將結果返回給操作系統；如果這條特權指令涉及修改操作系統內核，內核保護模塊(2)對當前指令分情況處理，并通知操作系統執行下一條指令。

2.根據權利要求1所述的基于硬件虛擬化的密碼保護系統，其特征在于，如果特權指令為關閉控制寄存器CR0寫保護的指令，內核保護模塊(2)只需跳過當前指令，然后返回客戶操作系統執行；如果特權指令為修改中斷描述符表的指令，內核保護模塊(2)改寫虛擬機控制結構中客戶操作系統中斷描述符表寄存器基址字段，然后返回客戶操作系統執行；如果特權指令為修改系統調用入口函數地址寄存器的指令，內核保護模塊(2)只需跳過當前指令，然后返回客戶操作系統執行。