[發明專利]一種虛擬可信平臺模塊vTPM的可信執行方法和裝置

有效

• 申請號: 201510837577.2
• 申請日: 2015-11-26
• 公開（公告）號: CN105389513B
• 公開（公告）日: 2018-10-12
• 發明（設計）人: 施迅;嚴飛;趙波
• 申請（專利權）人: 華為技術有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郝傳鑫;熊永強

本發明公開了一種虛擬可信平臺模塊vTPM的可信執行方法和裝置，操作系統加載SGX模塊，所述操作系統運行有第一vTPM模擬器，包括：所述操作系統運行的第一vTPM模擬器向所述SGX模塊發送第一創建請求，使得所述SGX模塊根據所述第一創建請求建立第一內存保護區域enclave，生成第一通信秘鑰，以便在所述第一enclave中執行所述第一vTPM模擬器的程序代碼來實現第二vTPM模擬器；所述第二vTPM模擬器使用所述第一通信秘鑰對所述SGX模塊后續轉發的數據解密。采用本發明實施例，利用SGX模塊以及enclave的硬件保護功能實現了vTPM模擬器與不可信操作系統的安全隔離，保證了vTPM模擬器的計算安全性。

技術領域

本發明涉及電子技術領域，尤其涉及一種虛擬可信平臺模塊vTPM的可信執行方法和裝置。

背景技術

由于虛擬化技術具有合理的資源共享、良好的隔離機制、易維護和低成本等優點，因而虛擬化技術得到了應用廣泛，但虛擬機技術也面臨著諸如數據安全存儲、敏感信息保護和完整性度量等問題。可信計算技術的目標是為計算機系統建立安全驗證體系，嵌入到物理設備主板上的TPM(Trusted Platform Module，可信平臺模塊)可以為計算機系統提供基于硬件的可信度量、可信證明和可信封裝等安全功能。因此，將虛擬化與可信計算相結合，是技術發展的必然結果。其中，vTPM(Virtual Trusted Platform Module，虛擬可信平臺模塊)是TPM虛擬化的一種實現方式，它為運行在主機上的多個虛擬機提供可信計算功能，并可以借助vTPM獲取虛擬機的完整性度量信息，實現虛擬機數據的安全存儲，以解決硬件虛擬化快速發展帶來的安全問題。

不同虛擬化方式下的vTPM實現方式不同。圖1是Xen做準虛擬化中的vTPM的架構示意圖，圖2是KVM(Kernel-based Virtual Machine，開源的系統虛擬化)中的vTPM的架構示意圖。創建帶vTPM的虛擬機時，vTPM模擬器為每個新創建的虛擬機創建并分配一個vTPM實例，創建流程如下：(1)新建虛擬機時，首先判斷收到的命令是否要求創建帶vTPM的虛擬機，若不要求，則進行正常虛擬機創建流程；(2)若要求創建帶vTPM的虛擬機，則解析此命令后將創建vTPM實例的請求轉發給vTPM模擬器；(3)vTPM模擬器創建新vTPM實例，為其分配保存永久性信息的NVRAM(Non-Volatile Random Access Memory，非易失性隨機訪問存儲器)文件和運行vTPM的內存空間；(4)將新建的vTPM實例與新建的虛擬機綁定，使之一一對應；(5)繼續創建虛擬機的其它步驟，至虛擬機創建完成。

在現有技術方案中，如圖3所示，圖3是一種基于固件的可信平臺模塊TPM(fTPM)架構圖。fTPM可以確保安全代碼執行時被隔離，以防止各種各樣的潛在安全違背，在實現隔離時無需使用專用安全處理器硬件。一般而言，fTPM首先在操作系統引導環境中通過從系統固件或固件可訪問的存儲器中讀取fTPM，并且將fTPM置于設備的受保護的只讀存儲器中來實例化，一旦被實例化，fTPM就啟用隔離操作以確保安全代碼執行。具體地，fTPM被置于受保護的只讀存儲器，使得該設備能夠使用諸如體系結構的TrustZoneTM擴展類的硬件、安全原語(類似處理器體系結構)以及基于這些體系結構的設備，從而在fTPM內提供安全執行隔離，而無需對現有設備進行硬件修改。