[發(fā)明專利]一種基于可信密碼模塊的虛擬磁盤(pán)完整性保護(hù)系統(tǒng)及方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201210087648.8
• 申請(qǐng)日: 2012-03-29
• 公開(kāi)（公告）號(hào): CN102662871A
• 公開(kāi)（公告）日: 2012-09-12
• 發(fā)明（設(shè)計(jì)）人: 趙斌
• 申請(qǐng)（專利權(quán)）人: 山東超越數(shù)控電子有限公司
• 主分類號(hào): G06F12/14
• 分類號(hào): G06F12/14;G06F21/00
• 代理公司: 暫無(wú)信息
• 代理人: 暫無(wú)信息

1.?一種基于可信密碼模塊的虛擬磁盤(pán)完整性保護(hù)系統(tǒng)，基于可信密碼模塊，其特征在于所述系統(tǒng)包括虛擬磁盤(pán)管理模塊、虛擬磁盤(pán)度量模塊、虛擬磁盤(pán)驗(yàn)證模塊、可信密碼模塊、可信存儲(chǔ)設(shè)備；所述虛擬磁盤(pán)管理模塊用來(lái)產(chǎn)生、識(shí)別虛擬磁盤(pán)容器文件，還用來(lái)加載虛擬磁盤(pán)容器文件為系統(tǒng)能夠識(shí)別的虛擬磁盤(pán)；

所述虛擬磁盤(pán)管理模塊與虛擬磁盤(pán)度量模塊以及虛擬磁盤(pán)驗(yàn)證模塊連接，虛擬磁盤(pán)管理模塊在需要時(shí)調(diào)用虛擬磁盤(pán)度量模塊和虛擬磁盤(pán)驗(yàn)證模塊進(jìn)行完整性度量和驗(yàn)證，同時(shí)更新度量值和度量日志；

所述虛擬磁盤(pán)度量模塊通過(guò)調(diào)用可信密碼模塊的雜湊密碼算法對(duì)虛擬磁盤(pán)進(jìn)行完整性度量；

所述虛擬磁盤(pán)驗(yàn)證模塊，在加載虛擬磁盤(pán)時(shí)，調(diào)用虛擬磁盤(pán)度量模塊記錄當(dāng)前虛擬磁盤(pán)完整性度量值，并與可信存儲(chǔ)設(shè)備中存儲(chǔ)的最新完整性度量值匹配判斷完成完整性驗(yàn)證；

所述可信密碼模塊是一種提供密碼學(xué)服務(wù)和完整性度量服務(wù)的硬件設(shè)備，內(nèi)置于虛擬磁盤(pán)完整性保護(hù)系統(tǒng)所在計(jì)算平臺(tái)中，提供雜湊密碼算法和其他密碼學(xué)算法進(jìn)行密碼學(xué)服務(wù)，還包括平臺(tái)配置寄存器空間可以存儲(chǔ)完整性度量值；

所述可信存儲(chǔ)設(shè)備是連接在虛擬磁盤(pán)完整性保護(hù)系統(tǒng)所在計(jì)算平臺(tái)中的一個(gè)硬件設(shè)備，可以是具備非易失性存儲(chǔ)空間的USB存儲(chǔ)設(shè)備或者其他安全存儲(chǔ)設(shè)備；所述可信存儲(chǔ)設(shè)備中存儲(chǔ)有一個(gè)可信列表數(shù)據(jù)結(jié)構(gòu)，可信列表存儲(chǔ)所有虛擬磁盤(pán)的可信度量日志數(shù)據(jù)。

2.一種基于可信密碼模塊的虛擬磁盤(pán)完整性保護(hù)方法，基于可信密碼模塊，其特征在于所述方法包括完成系統(tǒng)所需硬件設(shè)備的初始化過(guò)程、建立新的虛擬磁盤(pán)并為其建立基準(zhǔn)度量值、完成虛擬磁盤(pán)完整性驗(yàn)證，并根據(jù)驗(yàn)證結(jié)果加載或者拒絕加載虛擬磁盤(pán)、完成卸載虛擬磁盤(pán)時(shí)的度量值更新工作，具體實(shí)現(xiàn)步驟包括：

（1）、連接可信密碼模塊和可信存儲(chǔ)設(shè)備到虛擬磁盤(pán)完整性保護(hù)系統(tǒng)所在計(jì)算平臺(tái)，在可信存儲(chǔ)設(shè)備內(nèi)建立可信列表數(shù)據(jù)結(jié)構(gòu)；

（2）、虛擬磁盤(pán)管理模塊在建立虛擬磁盤(pán)容器文件后調(diào)用虛擬磁盤(pán)度量模塊對(duì)所建虛擬磁盤(pán)進(jìn)行完整性度量，完整性度量方法為：虛擬磁盤(pán)度量模塊調(diào)用可信密碼模塊雜湊密碼算法對(duì)目標(biāo)虛擬磁盤(pán)容器文件boot?sector數(shù)據(jù)進(jìn)行雜湊計(jì)算，計(jì)算所得雜湊值即為目標(biāo)虛擬磁盤(pán)完整性度量值；

所述boot?sector數(shù)據(jù)是虛擬磁盤(pán)容器文件前512字節(jié)的一段數(shù)據(jù)，作為磁盤(pán)引導(dǎo)扇區(qū)數(shù)據(jù)在加載虛擬磁盤(pán)時(shí)被識(shí)別，所述boot?sector數(shù)據(jù)存儲(chǔ)了代表虛擬磁盤(pán)的特征數(shù)據(jù)或者密鑰數(shù)據(jù)，對(duì)boot?sector數(shù)據(jù)的完整性度量代表對(duì)虛擬磁盤(pán)的完整性度量；

虛擬磁盤(pán)度量模塊完成度量后在可信密碼模塊平臺(tái)配置寄存器中擴(kuò)展所述目標(biāo)虛擬磁盤(pán)完整性度量值，同時(shí)記錄度量日志到可信存儲(chǔ)設(shè)備可信列表中；

（3）、當(dāng)加載虛擬磁盤(pán)時(shí)，首先虛擬磁盤(pán)管理模塊調(diào)用虛擬磁盤(pán)驗(yàn)證模塊對(duì)加載目標(biāo)虛擬磁盤(pán)進(jìn)行完整性驗(yàn)證，完整性驗(yàn)證方法如下：虛擬磁盤(pán)驗(yàn)證模塊首先進(jìn)行目標(biāo)虛擬磁盤(pán)的完整性度量，度量方法如所述步驟2中度量方法一致；同時(shí)虛擬磁盤(pán)證模塊將目標(biāo)虛擬磁盤(pán)當(dāng)前完整性度量值擴(kuò)展到可信密碼模塊內(nèi)的寄存器；同時(shí)虛擬磁盤(pán)驗(yàn)證模塊解析可信存儲(chǔ)設(shè)備中的相應(yīng)可信列表中的度量日志，將日志中存儲(chǔ)的最新完整性度量值與目標(biāo)虛擬磁盤(pán)完整性度量值進(jìn)行匹配，如果匹配成功，虛擬磁盤(pán)管理模塊加載目標(biāo)虛擬磁盤(pán)進(jìn)入可信工作階段，如果匹配失敗，虛擬磁盤(pán)管理模塊拒絕加載目標(biāo)虛擬磁盤(pán)；

（4）、當(dāng)卸載虛擬磁盤(pán)時(shí)，虛擬磁盤(pán)管理模塊調(diào)用虛擬磁盤(pán)度量模塊對(duì)目標(biāo)虛擬磁盤(pán)進(jìn)行完整性度量，度量方法如所述步驟2中度量方法一致，然后將度量結(jié)果在可信密碼模塊和可信存儲(chǔ)設(shè)備同時(shí)進(jìn)行更新。