[發明專利]一種虛擬可信平臺模塊vTPM的可信執行方法和裝置

有效

• 申請號: 201510837577.2
• 申請日: 2015-11-26
• 公開（公告）號: CN105389513B
• 公開（公告）日: 2018-10-12
• 發明（設計）人: 施迅;嚴飛;趙波
• 申請（專利權）人: 華為技術有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郝傳鑫;熊永強

1.一種虛擬可信平臺模塊vTPM的可信執行方法，其特征在于，操作系統加載SGX模塊，所述操作系統運行有第一vTPM模擬器，所述方法包括：

所述操作系統運行的第一vTPM模擬器向所述SGX模塊發送第一創建請求，使得所述SGX模塊根據所述第一創建請求建立第一內存保護區域enclave，生成第一通信秘鑰，以便在所述第一enclave中執行所述第一vTPM模擬器的程序代碼來實現第二vTPM模擬器；

所述第二vTPM模擬器使用所述第一通信秘鑰對所述SGX模塊后續轉發的數據解密。

2.如權利要求1所述的方法，其特征在于，所述操作系統運行虛擬機管理器，所述方法還包括：

在所述第一enclave中運行的第二vTPM模擬器，接收所述SGX模塊轉發的創建vTPM實例的命令，所述創建vTPM實例的命令由所述虛擬機管理器在創建第一虛擬機VM時觸發、并使用所述第一通信秘鑰加密、再向所述SGX模塊發送；

所述第二vTPM模擬器使用所述第一通信秘鑰對所述創建vTPM實例的命令解密，根據所述創建vTPM實例的命令向所述SGX模塊發送第二創建請求，所述第二創建請求指定的vTPM實例與所述創建vTPM實例的命令指定的第一VM對應，使得所述SGX模塊創建與所述第二創建請求指定vTPM實例對應的第二enclave，以便在所述第二enclave執行所述vTPM實例的程序代碼來實現與所述第一VM所對應的vTPM實例。

3.如權利要求2所述的方法，其特征在于，所述SGX模塊生成第二通信秘鑰，以便所述第一VM與在所述第二enclave運行的所述vTPM實例之間通信的數據均經過所述SGX模塊中間轉發，所述第一VM與在所述第二enclave運行的所述vTPM實例之間通信的數據均使用所述第二通信秘鑰加密/解密。

4.一種虛擬可信平臺模塊vTPM的可信執行方法，其特征在于，所述方法包括：

vTPM實例接收SGX模塊轉發的已加密的通信指令，所述通信指令由第一VM觸發、并使用第二通信秘鑰進行加密、再向所述SGX模塊發送；其中，所述vTPM實例與所述第一VM所對應，所述vTPM實例由第二enclave執行所述vTPM實例的程序代碼來實現，所述第二enclave是由所述SGX模塊創建且與第二創建請求指定的所述vTPM實例對應，所述第二創建請求由第二vTPM模擬器使用第一通信秘鑰對創建vTPM實例的命令解密，根據所述創建vTPM實例的命令向所述SGX模塊發送，所述創建vTPM實例的命令由虛擬機管理器在創建第一虛擬機VM時觸發、并使用所述第一通信秘鑰加密、再向所述SGX模塊發送，由所述SGX模塊轉發所述創建vTPM實例的命令至在第一enclave中運行的所述第二vTPM模擬器，所述第二vTPM模擬器為所述第一enclave中執行第一vTPM模擬器的程序代碼來實現的第二vTPM模擬器，所述第一enclave為所述SGX模塊根據第一創建請求建立的第一內存保護區域enclave，所述第一通信秘鑰由所述SGX模塊根據第一創建請求生成；

所述vTPM實例使用所述第二通信秘鑰對經過加密的所述通信指令進行解密，執行所述通信指令。