[發明專利]一種云計算平臺完整性證明方法及其系統

有效

• 申請號: 201410031284.0
• 申請日: 2014-01-23
• 公開（公告）號: CN103795717B
• 公開（公告）日: 2017-01-25
• 發明（設計）人: 曾令;孫毓忠
• 申請（專利權）人: 中國科學院計算技術研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京律誠同業知識產權代理有限公司11006
• 代理人: 祁建國,李巖

1.一種云計算平臺完整性證明方法，其特征在于，所述方法基于混合式信任鏈對平臺完整性進行證明，所述混合式信任鏈包含由云端虛擬機提供的靜態信任鏈和遠程驗證方構建的動態信任鏈系統，所述方法包括：

靜態信任鏈構建步驟：通過所述云端虛擬機提供的虛擬化可信平臺模塊構建所述靜態信任鏈；

動態信任鏈系統構建與驗證步驟：通過所述遠程驗證方構建一動態信任鏈系統，在可信執行環境中進行平臺完整性驗證，并且所述遠程驗證方生成一所述可信執行環境的運行證據，使所述云端虛擬機更安全地信任接收到的驗證結果。

2.根據權利要求1所述的云計算平臺完整性證明方法，其特征在于，所述靜態信任鏈構建步驟還包括：

初始化步驟：創建并初始化一個新的虛擬化可信平臺模塊實例；

信任鏈建立和配置度量值計算步驟：建立啟動過程的所述靜態信任鏈，并通過可信平臺模塊的度量機制度量引導配置的可信性，計算所述引導配置的度量值，并將度量結果擴展到虛擬平臺配置寄存器中；

內核鏡像度量值計算步驟：通過可信平臺模塊的度量機制度量內核鏡像的可信性，計算所述內核鏡像的度量值，并將度量結果擴展到虛擬平臺配置寄存器中；

加載階段度量值計算步驟：通過可信平臺模塊的度量機制度量動態鏈接庫、內核模塊、用戶空間可執行程序和可執行腳本各個加載階段的可信性，計算所述各個加載階段的度量值，并將度量結果擴展到虛擬平臺配置寄存器中。

3.根據權利要求1所述的云計算平臺完整性證明方法，其特征在于，所述動態信任鏈系統構建與驗證步驟還包括：

遠程驗證請求步驟：所述云端虛擬機向所述遠程驗證方發送完整性證明請求，并接收所述遠程驗證方發送的證明挑戰隨機數nonce；

響應證明挑戰步驟：所述云端虛擬機對收到的所述證明挑戰隨機數nonce進行簽名和加密后，將密文發送給所述遠程驗證方進行平臺完整性驗證；

完整性驗證步驟：所述遠程驗證方動態構建可信執行環境，并在所述可信執行環境中進行平臺完整性驗證；

結果分析步驟：用戶收到所述遠程驗證方的驗證結果進行解密和分析，得出所述云端虛擬機平臺是否具有完整性的結論。

4.根據權利要求3所述的云計算平臺完整性證明方法，其特征在于，所述遠程驗證請求步驟還包括：

完整性證明請求步驟：所述云端虛擬機向所述遠程驗證方發送完整性證明請求；

證明挑戰隨機數步驟：所述遠程驗證方收到所述完整性證明請求后，生成證明挑戰隨機數nonce，并將所述證明挑戰隨機數nonce發給所述云端虛擬機。

5.根據權利要求3所述的云計算平臺完整性證明方法，其特征在于，所述響應證明挑戰步驟還包括：

簽名步驟：所述云端虛擬機收到所述證明挑戰隨機數nonce后記錄到全局靜態變量nonce_a中，通過AIK私鑰對虛擬平臺配置寄存器中的度量值和所述證明挑戰隨機數nonce產生的隨機數集進行簽名，生成簽名數據；

加密步驟：所述云端虛擬機用遠程驗證方的AIK公鑰將所述內核鏡像度量值計算步驟和所述加載階段度量值計算步驟產生的度量值和所述簽名步驟產生的所述簽名數據進行加密，然后將密文發送給所述遠程驗證方，驗證平臺的完整性。

6.根據權利要求3所述的云計算平臺完整性證明方法，其特征在于，所述完整性驗證步驟還包括：

掛起當前執行環境步驟：所述遠程驗證方收到所述云端虛擬機發送的所述密文后，所述遠程驗證方保存當前執行上下文，并掛起當前的執行環境；

構建可信執行環境步驟：所述遠程驗證方通過特殊安全指令構建可信執行環境，建立DMA保護機制，并禁用中斷和重置平臺配置寄存器；

執行安全敏感代碼步驟：所述遠程驗證方對接收到的所述密文進行解密，并對解密結果進行判斷比較，得出平臺完整性結論；

擴展平臺配置寄存器步驟：所述遠程驗證方生成度量值，并將所述度量值擴展到平臺配置寄存器中；

恢復執行環境步驟：將所述虛擬機平臺完整性結論、所述平臺配置寄存器和所述證明挑戰隨機數nonce進行簽名和加密，并將得到的密文發送給所述云端虛擬機，恢復被掛起的所述當前執行環境。