[發明專利]基于VTPM對虛擬機進行安全保護的方法及系統

有效

• 申請號: 201610057356.8
• 申請日: 2016-01-27
• 公開（公告）號: CN105718794B
• 公開（公告）日: 2018-06-05
• 發明（設計）人: 施迅;王鵑;趙波
• 申請（專利權）人: 華為技術有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/57
• 代理公司: 北京三高永信知識產權代理有限責任公司 11138
• 代理人: 羅振安

1.一種基于VTPM對虛擬機進行安全保護的方法，其特征在于，所述方法包括：

物理主機接收虛擬機發送的基礎種子獲取請求，所述基礎種子獲取請求中至少攜帶通用唯一標識碼UUID；

所述物理主機將所述UUID發送至密鑰管理中心KMC，以便所述KMC根據所述UUID生成基礎種子；

所述物理主機接收所述KMC反饋的所述基礎種子，將所述基礎種子發送至所述虛擬機，以便所述虛擬機根據所述基礎種子創建虛擬可信平臺模塊VTPM的根密鑰，所述根密鑰用于所述VTPM為虛擬機創建密鑰以保護虛擬機的安全。

2.根據權利要求1所述的方法，其特征在于，所述物理主機將所述UUID發送至KMC之前，所述方法還包括：

所述物理主機基于預先配置的KMC地址，向所述KMC地址指定的所述KMC發送密鑰保護請求，使得所述KMC在接收到所述密鑰保護請求時獲取非對稱密鑰，所述非對稱密鑰包括公鑰和私鑰，所述KMC存儲所述私鑰；

所述物理主機接收所述KMC反饋的所述公鑰，使用所述公鑰對待發送至所述KMC的所述UUID進行加密，以便所述KMC使用所述私鑰解密出所述UUID。

3.根據權利要求2所述的方法，其特征在于，所述方法還包括：

所述物理主機向對應的第一可信平臺模塊TPM加載所述公鑰，以便使用所述第一TPM中的所述公鑰對待發送至所述KMC的所述UUID進行加密。

4.根據權利要求2所述的方法，其特征在于，所述方法還包括：

所述KMC使用所述私鑰加密向所述物理主機反饋的所述基礎種子；

所述物理主機將所述基礎種子發送至所述虛擬機之前，所述方法還包括：

所述物理主機使用所述公鑰解密出所述KMC反饋的所述基礎種子。

5.根據權利要求2所述的方法，其特征在于，所述KMC根據所述UUID生成基礎種子，具體為：

所述KMC根據對應的第二TPM生成對稱密鑰，將所述UUID和所述對稱密鑰作為隨機數發生器的參數，使得所述隨機數發生器基于所述參數生成所述基礎種子。

6.根據權利要求1所述的方法，其特征在于，所述方法還包括：

所述KMC備份所述基礎種子和所述UUID，以便所述虛擬機再次從所述KMC請求到所述基礎種子，使得所述虛擬機基于所述基礎種子恢復出相同的所述根密鑰。

7.一種基于VTPM對虛擬機進行安全保護的系統，其特征在于，所述系統包括：虛擬機、物理主機、密鑰管理中心KMC；

所述物理主機，用于接收虛擬機發送的基礎種子獲取請求，所述基礎種子獲取請求中至少攜帶通用唯一標識碼UUID；

所述物理主機，還用于將所述UUID發送至所述KMC；

所述KMC，用于根據所述UUID生成基礎種子，并將所述基礎種子發送至所述物理主機；

所述物理主機，還用于接收所述KMC反饋的所述基礎種子，將所述基礎種子發送至所述虛擬機；

所述虛擬機，用于根據所述基礎種子創建虛擬可信平臺模塊VTPM的根密鑰，所述根密鑰用于所述VTPM為虛擬機創建密鑰以保護虛擬機的安全。

8.根據權利要求7所述的系統，其特征在于，所述物理主機，還用于基于預先配置的KMC地址，向所述KMC地址指定的所述KMC發送密鑰保護請求；

所述KMC，還用于在接收到所述密鑰保護請求時獲取非對稱密鑰，所述非對稱密鑰包括公鑰和私鑰；

所述KMC，還用于存儲所述私鑰，并將所述公鑰發送至所述物理主機；

所述物理主機，還用于接收所述KMC反饋的所述公鑰，使用所述公鑰對待發送至所述KMC的所述UUID進行加密；

所述KMC，還用于使用所述私鑰解密出所述UUID。

9.根據權利要求8所述的系統，其特征在于，所述物理主機，還用于向對應的第一可信平臺模塊TPM加載所述公鑰，以便使用所述第一TPM中的所述公鑰對待發送至所述KMC的所述UUID進行加密。