[發明專利]虛擬機的虛擬安全模式

有效

• 申請號: 201480051324.6
• 申請日: 2014-09-12
• 公開（公告）號: CN105612528B
• 公開（公告）日: 2019-06-18
• 發明（設計）人: D·A·赫伯金;A·U·基什安
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F9/455
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 段登新

1.一種用于虛擬機的虛擬安全模式的方法，包括：

針對虛擬機(106)實現(402)虛擬安全模式，所述虛擬安全模式具有多個虛擬信任等級(204(0)-204(x))，所述多個虛擬信任等級(204(0)-204(x))被組織為層次結構以使得更高等級的虛擬信任等級(204(x))比更低虛擬信任等級(204(0))具有更多特權，其中每一個虛擬信任等級具有與其相關聯的獨立的存儲器訪問保護集合，每一個虛擬信任等級具有與其相關聯的獨立的虛擬處理器狀態，并且每一個虛擬信任等級具有與其相關聯的獨立的中斷子系統；

允許(404)所述虛擬機(106)的虛擬處理器(202)在所述多個虛擬信任等級(204(0)-204(x))中的任何虛擬信任等級中運行，所述虛擬處理器(202)每次僅在一個虛擬信任等級中運行，且所述虛擬處理器(202)正在其中運行的虛擬信任等級是活動虛擬信任等級；以及

通過管理所述虛擬機(106)的虛擬機管理器(102)允許(406)在所述虛擬處理器(202)上運行的程序基于為所述活動虛擬信任等級配置的存儲器訪問保護(206(0)-206(x))來訪問所述虛擬機的存儲器。

2.如權利要求1所述的方法，其特征在于，所述存儲器訪問保護(206(0)-206(x))包括針對所述虛擬機(106)的虛擬存儲器空間中的多個存儲器頁中的每個頁的存儲器訪問保護(206(0)-206(x))。

3.如權利要求2所述的方法，其特征在于，允許所述程序訪問存儲器包括：

接收對存儲器地址的特定類型的訪問的請求，所述特定類型的訪問包括讀訪問、寫訪問、或執行訪問；

檢查所述多個存儲器頁中包括所述存儲器地址的一個存儲器頁的活動虛擬信任等級的存儲器訪問保護(206(0)-206(x))是否指示所述特定類型的訪問被允許；以及

僅響應于所述一個存儲器的活動虛擬信任等級的存儲器訪問保護(206(0)-206(x))指示所述特定類型的訪問被允許而允許所述程序執行對所處存儲器地址的所述特定類型的訪問。

4.如權利要求1所述的方法，其特征在于，進一步包括：

通過所述虛擬機管理器(102)允許在所述虛擬處理器(202)正在所述更高虛擬信任等級中操作時運行的程序改變針對所述更低虛擬信任等級的存儲器訪問保護(206(0)-206(x))；以及

通過所述虛擬機管理器(102)阻止在所述虛擬處理器(202)正在所述更低虛擬信任等級中操作時運行的程序改變針對所述更高虛擬信任等級的存儲器訪問保護(206(0)-206(x))。

5.如權利要求1所述的方法，其特征在于，進一步包括響應于一個或多個指令被執行、響應于接收到以所述更高虛擬信任等級為目標的中斷、或者響應于訪問所述更高虛擬信任等級的受保護地址或受保護組件的操作，將所述活動虛擬信任等級從所述更低虛擬信任等級切換到所述更高虛擬信任等級。

6.如權利要求1所述的方法，其特征在于，所述活動虛擬信任等級包括所述更高虛擬信任等級，所述方法進一步包括當接收到針對所述更低虛擬信任等級的中斷時通知所述活動虛擬信任等級的程序。

7.一種計算設備，具有一個或多個處理器、操作系統(112)、以及實現具有多個虛擬信任等級(204(0)-204(x))的虛擬安全模式的虛擬機管理器(102)，其中每一個虛擬信任等級具有與其相關聯的獨立的存儲器訪問保護集合，每一個虛擬信任等級具有與其相關聯的獨立的虛擬處理器狀態，并且每一個虛擬信任等級具有與其相關聯的獨立的中斷子系統，針對一個或多個虛擬處理器(202)中的每個虛擬處理器，所述虛擬機管理器(102)允許(404)該虛擬處理器(202)基于所述多個虛擬信任等級(204(0)-204(x))中該虛擬處理器(202)正在其中運行的一個虛擬信任等級配置的存儲器訪問保護(206(0)-206(x))來訪問物理存儲器，所述多個虛擬信任等級(204(0)-204(x))中該虛擬處理器(202)正在其中運行的所述一個虛擬信任等級是活動虛擬信任等級。