[發(fā)明專利]利用密封包圍區(qū)的數(shù)據(jù)密封的方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201780084410.0
• 申請(qǐng)日: 2017-12-20
• 公開（公告）號(hào): CN110199286B
• 公開（公告）日: 2023-04-14
• 發(fā)明（設(shè)計(jì)）人: M·科斯塔
• 申請(qǐng)（專利權(quán)）人: 微軟技術(shù)許可有限責(zé)任公司
• 主分類號(hào): G06F21/60
• 分類號(hào): G06F21/60;G06F21/62
• 代理公司: 北京世輝律師事務(wù)所 16093
• 代理人: 王俊

提出了用于跨平臺(tái)安全地密封和解封包圍區(qū)數(shù)據(jù)的技術(shù)。來自托管在第一計(jì)算機(jī)上的源包圍區(qū)的包圍區(qū)數(shù)據(jù)可以被安全地密封到第二計(jì)算機(jī)上的密封包圍區(qū)，并且還可以被安全地解封以用于第三計(jì)算機(jī)上的目的地包圍區(qū)。公開了將包圍區(qū)工作負(fù)載從一個(gè)計(jì)算機(jī)安全地轉(zhuǎn)移到另一計(jì)算機(jī)。

技術(shù)領(lǐng)域

本公開涉及安全計(jì)算系統(tǒng)。

背景技術(shù)

安全隔離區(qū)域或可信執(zhí)行環(huán)境提供安全容器(本文中稱為包圍區(qū)(enclave))以用于在計(jì)算機(jī)上執(zhí)行可信代碼，該計(jì)算機(jī)也可以在隔離區(qū)域之外的區(qū)域中具有較少可信代碼。包圍區(qū)的隔離區(qū)域包括在駐留在包圍區(qū)之外的代碼的執(zhí)行期間受到保護(hù)的存儲(chǔ)器的一部分。隔離存儲(chǔ)器可以包含用于包圍區(qū)的代碼和數(shù)據(jù)兩者，并且除了對(duì)從包圍區(qū)存儲(chǔ)器讀取或向包圍區(qū)存儲(chǔ)器寫入的限制之外，對(duì)該存儲(chǔ)器的保護(hù)可以包括執(zhí)行包含在包圍區(qū)存儲(chǔ)器中的代碼的限制。諸如存儲(chǔ)器隔離和執(zhí)行限制等包圍區(qū)安全性的各方面可以例如由計(jì)算機(jī)處理器中的硬件強(qiáng)制執(zhí)行。軟件證明可以提供對(duì)特定包圍區(qū)的隔離安全性以及在該特定包圍區(qū)的隔離存儲(chǔ)器區(qū)域內(nèi)加載的包圍區(qū)代碼的信任。證明可以另外提供所證明的包圍區(qū)在其上運(yùn)行的硬件和軟件平臺(tái)的完整性的證據(jù)。

諸如微軟的虛擬安全模式(VSM)和英特爾的軟件保護(hù)擴(kuò)展(SGX)等包圍區(qū)系統(tǒng)部分地通過將包圍區(qū)與以用戶模式或內(nèi)核模式運(yùn)行的其他代碼隔離來提供安全性。完整性和機(jī)密性保證可以提供對(duì)在包圍區(qū)中運(yùn)行的代碼的真實(shí)性以及包圍區(qū)代碼的安全執(zhí)行具有更高信任級(jí)別的包圍區(qū)。可以通過特定包圍區(qū)的軟件證明來提供完整性保證。軟件證明可以包括在包圍區(qū)內(nèi)的內(nèi)容(指令和數(shù)據(jù))的加密簽名的散列，并且可以與關(guān)于包圍區(qū)環(huán)境的數(shù)據(jù)組合。當(dāng)包圍區(qū)與硬件安全模塊(HSM)(諸如符合可信計(jì)算組(TCG)可信平臺(tái)模塊(TPM)標(biāo)準(zhǔn)的硬件)結(jié)合使用時(shí)，包圍區(qū)可以提供附加級(jí)別的安全性和機(jī)密性保證。

除了通過將可信本地包圍區(qū)與包圍區(qū)的隔離之外的不可信本地代碼隔離而提供的安全性之外，包圍區(qū)的軟件證明可以支持遠(yuǎn)程的可信計(jì)算。遠(yuǎn)程包圍區(qū)的證明可以提供對(duì)包圍區(qū)中的指令執(zhí)行的完整性以及由包圍區(qū)處理的數(shù)據(jù)的機(jī)密性的信任。當(dāng)由來自可信制造方的硬件提供遠(yuǎn)程包圍區(qū)的證明時(shí)，即使當(dāng)包圍區(qū)駐留在由不可信方擁有和維護(hù)的未知計(jì)算機(jī)上時(shí)，也可以信任包圍區(qū)。例如，當(dāng)在基于因特網(wǎng)云的計(jì)算資源上租用計(jì)算資源時(shí)，通常就是這種情況。

發(fā)明內(nèi)容

提出了用于抽象包圍區(qū)平臺(tái)的方法和系統(tǒng)。該方法可以包括由包圍區(qū)抽象平臺(tái)從包圍區(qū)客戶端接收用于使用包圍區(qū)的第一請(qǐng)求。第一請(qǐng)求可以符合客戶端抽象協(xié)議。可以將第一請(qǐng)求轉(zhuǎn)換為符合與包圍區(qū)本機(jī)平臺(tái)相關(guān)聯(lián)的包圍區(qū)本機(jī)協(xié)議的第二請(qǐng)求。然后可以將第二請(qǐng)求發(fā)送給包圍區(qū)本機(jī)平臺(tái)。例如，第一請(qǐng)求可以是用于實(shí)例化包圍區(qū)的請(qǐng)求、用于驗(yàn)證包圍區(qū)的證明報(bào)告的請(qǐng)求、用于調(diào)入包圍區(qū)的請(qǐng)求、或者用于分配與包圍區(qū)和包圍區(qū)客戶兩者共享的存儲(chǔ)器的請(qǐng)求。本機(jī)平臺(tái)可以符合英特爾軟件保護(hù)擴(kuò)展(SGX)包圍區(qū)架構(gòu)，并且本機(jī)平臺(tái)可以符合微軟虛擬安全模式(VSM)包圍區(qū)架構(gòu)。

附圖說明

圖1描繪了包圍區(qū)系統(tǒng)的示例高級(jí)框圖。

圖2描繪了針對(duì)具有機(jī)密性保證的消息傳遞的示例過程。

圖3描繪了針對(duì)具有完整性保證的消息傳遞的示例過程。

圖4描繪了針對(duì)具有新鮮度保證的消息傳遞的示例過程。

圖5描繪了針對(duì)包圍區(qū)的軟件證明的示例過程。

圖6描繪了示例Diffe-Hellman(棣弗-赫爾曼)密鑰交換(DKE)協(xié)議。

圖7描繪了用于軟件證明的示例信任鏈。

圖8是用于示例本地包圍區(qū)系統(tǒng)的軟件組件接口的框圖。

圖9是用于具有抽象層的示例本地包圍區(qū)系統(tǒng)的軟件組件接口的框圖。

圖10是用于具有抽象層的示例遠(yuǎn)程包圍區(qū)系統(tǒng)的軟件組件接口的框圖。

圖11描繪了示例通用計(jì)算環(huán)境。