[發明專利]一種應用程序關鍵數據保護系統及其保護方法

有效

• 申請號: 201310606121.6
• 申請日: 2013-11-25
• 公開（公告）號: CN103699498A
• 公開（公告）日: 2014-04-02
• 發明（設計）人: 曾慶凱;黃嘯
• 申請（專利權）人: 南京大學
• 主分類號: G06F12/14
• 分類號: G06F12/14
• 代理公司: 南京瑞弘專利商標事務所(普通合伙) 32249
• 代理人: 陳建和

技術領域

本發明涉及應用程序所使用的高安全要求的關鍵數據保護領域，尤其涉及一種不可信操作系統內核條件下的保護應用程序關鍵數據的虛擬機監控器實現及其關鍵數據保護方法。

背景技術

操作系統通常作為上層應用程序可信計算基的一部分,其安全性是可信執行環境的重要基礎。但是，由于其龐大的代碼規模和設計實現過程難于避免的缺陷，操作系統的安全性不能令人完全信任它。事實上，隨著軟件規模的不斷增大，存在漏洞會更多。此外，云計算模式越來越普及，多用戶共用同一個計算環境的情況下，用戶對自身重要信息的保護的需求更加迫切。發展基于用戶立場的數據保護技術，是非常必要的。計算機硬件虛擬化技術為此提供的較好的條件和基礎。利用計算機硬件虛擬化技術，提供更為個性化的數據保護技術和方法，即使當操作系統被攻擊時，也能夠保證用戶關鍵數據的保密性，具有現實意義。

發明內容

為了克服現有技術中存在的不足，本發明提供一種應用程序關鍵數據保護系統及其保護方法，阻止操作系統內核級別的惡意攻擊，為應用程序關鍵數據提供安全保護。

為實現上述目的，本發明采取如下技術方案：

一種應用程序關鍵數據保護系統，包括宿主進程、客戶機操作系統、計算機硬件和關鍵數據保護器；

宿主進程利用客戶機操作系統訪問計算機硬件，當需要關鍵數據保護時，向關鍵數據保護器發出請求，并在關鍵數據保護器控制下對關鍵數據執行讀寫操作；

關鍵數據保護器運行在計算機硬件上，為宿主進程中的關鍵數據提供隔離保護環境，并對關鍵數據進行管理和訪問處理。

一種應用程序關鍵數據保護方法，包括如下步驟：

（1）關鍵數據保護器的啟動與初始化：關鍵數據保護器由Grub（GRand?Unified?Bootloader，一個多重啟動管理器）引導程序啟動后，并啟用擴展頁表EPT機制和intel的VPID（Virtual-Processor?Identifier）技術，用于支持虛擬化環境；

（2）關鍵數據注冊：宿主進程向關鍵數據保護器發出關鍵數據保護請求，并利用VMCALL超級調用指令注冊關鍵數據KD（key?data），關鍵數據保護器設置關鍵數據KD的保護環境；

（3）關鍵數據訪問請求：宿主進程需要訪問關鍵數據KD時，通過VMCALL超級調用指令向關鍵數據保護器提出對關鍵數據KD的訪問請求；

（4）關鍵數據保護器判斷訪問請求合法性；

（5）關鍵數據訪問退出：宿主進程退出訪問關鍵數據KD時，通過VMCALL超級調用指令向關鍵數據保護器提出對關鍵數據KD的退出訪問請求；

（6）關鍵數據注銷，宿主進程利用VMCALL超級調用指令向關鍵數據保護器發出關鍵數據注銷請求，關鍵數據保護器注銷關鍵數據KD的保護環境。

更進一步的，步驟（1）中關鍵數據保護器的初始化包括如下步驟：

（10）起始狀態；

（11）初始化用于連接所有safe_data結構的鏈表safe_link，safe_data結構唯一對應宿主進程中的關鍵數據KD，初始化的safe_link為僅包含頭結點的空鏈表；

（12）啟用擴展頁表EPT機制和VPID機制，啟用VPID的目的是為了減少不必要的TLB刷新將虛擬機控制塊VMCS中Enable?EPT位和Enable?VPID位置1；

（13）按照客戶機Guest物理地址的大小設置全部的EPT表項，擴展頁表EPT頁面大小設為4KB，初始化全部EPT表項的READ、WRITE、EXECUTION位置1，保證客戶機Guest物理地址與機器物理地址的恒等映射，并將EPT頁表基地址存放到虛擬機控制塊VMCS的EPTP字段，將關鍵數據保護器自身所在物理內存區域從EPT頁表項中刪去，以禁止外部組件訪問關鍵數據保護器自身內容；

（14）結束。

更進一步的，步驟（2）中關鍵數據保護器注冊關鍵數據KD包括如下步驟：

（20）起始狀態；

（21）驗證VMCALL超級調用指令傳遞參數的合法性，即判斷關鍵數據KD的起始地址start和結束地址end是否處在其宿主進程地址空間里面，并且start<end，若傳遞參數合法，轉入步驟22，否則轉入步驟2c的錯誤處理；