[發明專利]保護應用秘密的方法、電子系統和計算機存儲介質

有效

• 申請號: 201580053298.5
• 申請日: 2015-09-29
• 公開（公告）號: CN107077428B
• 公開（公告）日: 2020-08-14
• 發明（設計）人: D.B.普羅伯特;J.恩格爾;A.阿瑪德;A.U.基尚;J.E.蘭格
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: G06F12/14
• 分類號: G06F12/14;G06F9/455;G06F21/53;G06F21/62
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 王茂華

1.一種保護應用秘密的方法，所述方法包括：

管理包括第一用戶模式和第一內核模式的操作系統執行環境；

在所述第一內核模式中執行單個操作系統，執行所述單個操作系統包括向所述第一內核模式中的一個或更多進程提供所述單個操作系統的一項或更多項操作系統服務；

管理包括第二用戶模式和第二內核模式的安全執行環境；

在所述安全執行環境的所述第二用戶模式內執行隔離進程；

通過所述第二內核模式向所述隔離進程提供在所述第一內核模式中執行的所述單個操作系統的所述一項或更多項操作系統服務；以及

通過禁用所述第一用戶模式和所述第一內核模式對于一個或更多存儲器頁面的訪問，來保護所述隔離進程免受來自所述一個或更多操作系統服務的攻擊。

2.如權利要求1所述的方法，其中，禁用訪問包括禁用對于存儲器頁面的讀取、寫入或執行訪問中的至少一個。

3.如權利要求1所述的方法，其中，禁用訪問包括禁用寫入訪問而許可讀取或執行訪問中的至少一個。

4.如權利要求1所述的方法，其中，所述操作系統執行環境和所述安全執行環境由管理程序管理。

5.如權利要求1所述的方法，所述方法還包括：

由所述第一內核模式的所述一項或更多項服務把所述一個或更多存儲器頁面分配給所述隔離進程；

對所述一個或更多存儲器頁面進行加密以形成一個或更多已加密存儲器頁面；以及

由所述第一內核模式的所述一項或更多項服務把所述一個或更多已加密存儲器頁面存儲到硬盤。

6.如權利要求5所述的方法，所述方法還包括：

由所述第一內核模式的所述一項或更多項服務部分地基于頁面故障把所述一個或更多已加密存儲器頁面加載到物理存儲器中；

對所述一個或更多已加密存儲器頁面進行解密以形成一個或更多已解密存儲器頁面；以及

驗證所述一個或更多已解密存儲器頁面的完整性。

7.如權利要求5所述的方法，所述方法還包括：

通過所述第二內核模式的代理服務從所述隔離進程向所述第一內核模式的所述一項或更多項操作系統服務中的一項操作系統服務發送系統調用；

確定將要提供給所述第一內核模式的所述一項或更多項服務的系統調用參數；以及

通過包括共享存儲器頁面的系統緩沖器把所述系統調用參數封送到所述第一內核模式的所述一項或更多項服務。

8.如權利要求7所述的方法，其中，所述方法還包括由所述第一內核模式的所述一項或更多項操作系統服務通過所述第二內核模式的所述代理服務把與所述系統調用的執行相關聯的數據透明地傳輸到所述隔離進程。

9.如權利要求1所述的方法，其中，所述隔離進程獨立于另一操作系統被執行，所述另一操作系統不同于所述單個操作系統。