[發明專利]可配置的虛擬機啟動完整性維護的方法及系統

有效

• 申請號: 201410425198.8
• 申請日: 2014-08-27
• 公開（公告）號: CN104216743B
• 公開（公告）日: 2017-08-25
• 發明（設計）人: 徐士偉;江昌慶;代征;戴新發
• 申請（專利權）人: 中國船舶重工集團公司第七0九研究所
• 主分類號: G06F9/445
• 分類號: G06F9/445;G06F9/455
• 代理公司: 武漢河山金堂專利事務所(普通合伙)42212
• 代理人: 胡清堂

技術領域

本發明涉及一種計算機信息安全技術領域，特別涉及一種可配置的虛擬機啟動完整性維護的方法及系統。

背景技術

隨著信息技術的發展和人們對計算機資源不斷提高的要求，云計算已經成為當前計算機技術研究的熱點。云計算使用虛擬化技術對底層計算、網絡和存儲資源進行封裝，通過建立虛擬機并在其中運行操作系統和應用程序的形式，將這些資源提供給遠程用戶。因此，虛擬機作為用戶直接使用的環境，其內部的系統和用戶程序及文件容易受到來自網絡的攻擊和篡改。

在云計算虛擬化平臺上，虛擬機管理器（Virtual Machine Monitor, VMM）是整個系統的核心部件。在通常情況下，VMM直接運行在硬件平臺之上，以軟件方式模擬物理硬件的核心功能，建立多個虛擬機，并且為運行在這些虛擬機之上的操作系統和應用程序提供與訪問物理硬件相同的訪問接口。與普通計算機相同，虛擬機提供服務需要經歷啟動和運行兩個階段，其中虛擬機啟動時加載的操作系統和應用程序是虛擬機運行時的基本環境。由此可見，如何確保虛擬機安全啟動直接影響到虛擬機能否安全運行。

為了解決虛擬機安全啟動的問題，已有研究人員借鑒普通計算機基于可信計算技術的啟動過程，在虛擬環境中引入可信計算體系結構。一方面，由可信密碼模塊(Trusted Cryptographic Module, TCM)向虛擬計算平臺提供相關密碼功能的保障主要；另一方面，由VMM對虛擬機啟動過程中依次運行的部件進行完整性度量，并將所有度量值依次存入TCM的平臺寄存器(Platform Configuration Register, PCR)當中，在虛擬機運行時PCR中存儲的這些度量值用于證明虛擬機啟動過程的完整性。

但是，傳統計算機的可信啟動和證明過程往往只能說明虛擬機啟動過程是否可信，不能有效的恢復被破壞的虛擬機啟動過程中各個部件，也不能對系統中用戶自定義的程序和相關文件進行有效的保護和恢復。因此，需要針對虛擬化環境自身體系結構的特點，結合虛擬機啟動的過程，提供用戶配置的接口，完成虛擬機啟動過程中重要程序和文件的完整性維護，實現這些程序和文件的備份、度量和恢復，從而保證虛擬機啟動。

發明內容

有鑒于此，有必要提供一種保證虛擬機啟動過程的可靠性和安全性的虛擬機啟動完整性維護的方法及系統。

一種可配置的虛擬機啟動完整性維護的方法，其特征在于：所述可配置的虛擬機啟動完整性維護的方法包括如下步驟：

S1、接收原始用戶配置信息形成原始用戶配置文件，從而設置度量基準值；

S2、接收實時用戶配置信息形成實時用戶配置文件，從而設置實時度量值；

S3、根據實時度量值和度量基準值的比較，對虛擬機啟動需要的系統程序/文件和用戶指定程序/文件進行完整性檢測及維護。

一種可配置的虛擬機啟動完整性維護的系統，其特征在于，所述可配置的虛擬機啟動完整性維護的系統包括如下模塊：

度量基準模塊，用于接收原始用戶配置信息形成原始用戶配置文件，從而設置度量基準值；

實時度量模塊，用于接收實時用戶配置信息形成實時用戶配置文件，從而設置實時度量值；

完整性檢測及維護模塊，用于根據實時度量值和度量基準值的比較，對虛擬機啟動需要的系統程序/文件和用戶指定程序/文件進行完整性檢測及維護。

本發明實施例提供一種可配置的虛擬機啟動完整性維護的方法，通過原始用戶的配置信息形成度量基準值，并對根據原始用戶配置信息獲取的原始系統程序/文件和原始用戶指定程序/文件進行備份，為后期虛擬機啟動完整性的維護提供進行缺陷修補的模本。根據將存儲的度量基準值與實時度量值進行比較，掃描識別出實時系統程序/文件和實時用戶指定程序/文件中存在的缺陷，根據在先備份的原始系統程序/文件和原始用戶指定程序/文件對其缺陷進行修補，最終達到虛擬機安全啟動，進而使虛擬機安全運行。相比于可信啟動和遠程證明過程僅記錄和出示虛擬機啟動過程是否可信的證據而言，采用本發明實施例所述的可配置的虛擬機啟動完整性維護的方法使虛擬機管理器不僅能夠對重要程序/文件進行備份、檢測和恢復，保證虛擬機啟動過程的可靠性和安全性，而且通過掃描識別用戶的配置信息，增強了虛擬機啟動完整性管理的可維護性和可擴展性。

附圖說明

圖1是本發明一較佳實施例的一種可配置的虛擬機啟動完整性維護方法的流程圖；

圖2是圖1中步驟S1的子流程圖；

圖3是圖2中步驟S11的一實施子流程圖；

圖4是圖1中步驟S2的子流程圖；