[發明專利]基于虛擬機狀態數據的全過程可信啟動檢驗方法

有效

• 申請號: 201910025912.7
• 申請日: 2019-01-11
• 公開（公告）號: CN109766702B
• 公開（公告）日: 2021-02-05
• 發明（設計）人: 張建標;黃浩翔;李國棟;馮星偉;王曉
• 申請（專利權）人: 北京工業大學
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F9/4401;G06F9/455
• 代理公司: 北京思海天達知識產權代理有限公司 11203
• 代理人: 樓艮基

1.基于虛擬機狀態數據的全過程可信啟動檢驗方法，其特征在于，是在一個控制節點和由具有不同功能標識的計算節點群共同組成的系統全過程可信啟動檢驗系統中實現的，所述功能標識是按計算節點所起到的技術功能而分類的，所述方法的實現步驟如下：

步驟(1)，系統的構建，所述系統包括：

控制節點，設有：第一無線收發模塊、第一CPU、系統狀態數據庫、虛擬可信根vTPCM基準值庫，簡稱系統基準值庫，其中：

系統狀態數據庫存有下述三類系統狀態數據--哈希算法映射表：開源的基本輸入輸出系統SeaBIOS狀態數據--SHA-1哈希算法映射表，所述SeaBIOS狀態數據包括：作為執行起點的重置矢量reset_vector、自檢函數handle_post()和初始化函數maininit()；主引導記錄MBR狀態數據--SHA-256哈希算法映射表；虛擬機磁盤鏡像文件的數據簇cluster，簡稱cluster狀態數據--MD5算法映射表；

系統基準值庫，包括：SeaBIOS數據基準值，數據格式為字符串類型的數據名稱標識seaBio_Name，字符串類型的基準值數據seaBio_Data；主引導記錄MBR數據基準值，數據格式為字符串類型的數據名稱MBR以及字符串類型的基準值數據Mbr_Data；數據簇cluster數據基準值，數據格式為長整型的數據簇cluster編號cluster_inode以及字符串類型的具體某一個編號的數據簇cluster的基準值cluster_Data；

第一CPU分別與第一無線收發模塊、系統基準值庫及系統狀態數據庫互連；

計算節點，設有：第二無線收發模塊、本地節點狀態數據庫、本地虛擬可信根基準庫以及虛擬可信根vTPCM生成模塊TPCM，其中虛擬可信根vTPCM生成模塊TPCM包括：第二CPU、可信密碼模塊以及虛擬可信根vTPCM計算模塊；其中可信密碼模塊至少存有：哈希算法、對稱加密算法、非對稱加密算法；

步驟(2)，系統控制節點初始化；

步驟(2.1)，管理員依次把代碼化后的步驟(1)所述的三類系統狀態數據--哈希算法映射表按照順序存入指定的系統狀態數據庫中、步驟(1)所述的三類系統狀態數據基準值存入系統基準值庫中，備存立案；

步驟(2.2)，步驟(2.1)所述的三類系統狀態數據--哈希算法映射表用以下數據組形式存入，以便存取：

備案日期、計算節點的IP、功能標識DP、節點編號、映射表名稱存入系統狀態數據庫備案；

所述的三類系統狀態數據基準值用以下數據組形式存入，以便存取：

備案日期、計算節點的功能標識DP、節點編號、虛擬可信根基準值的結構體存入系統基準值庫備案；

步驟(3)，依次按以下步驟實現基于虛擬機狀態數據的全過程可信啟動檢驗；

步驟(3.1)，第二CPU向所述第一CPU發出調用三類系統狀態數據的請求，數據組格式為：調用日期、調用節點的IP、功能標識DP、節點編號、三類系統狀態數據的名稱；

步驟(3.2)，請求節點通過控制節點的身份認證后，控制節點依次向請求節點發出步驟(1)中所述的三類系統狀態數據；

步驟(3.3)，所述第二CPU把接收到的三類系統狀態數據及每一類系統狀態數據所對應的哈希算法依次發往本地節點狀態數據庫，形成所述的三類系統狀態數據--哈希算法映射表；

步驟(3.4)，設初始可信檢驗的時刻為t₀，執行以下步驟：

步驟(3.4.1)，第二CPU從本地節點狀態數據庫取出本地節點SeaBIOS狀態數據--SHA-1哈希算法映射表送往虛擬可信根vTPCM計算模塊；

步驟(3.4.2)，第二CPU從可信密碼模塊中調用SHA-1哈希算法送往虛擬可信根vTPCM計算模塊；

步驟(3.4.3)，在第二CPU控制下，虛擬可信根vTPCM計算模塊使用SHA-1哈希算法依次對重置矢量reset_vector、自檢函數handle_post()和初始化函數maininit()進行哈希運算，依次得到三個相應的基準值組成以下數組：生成日期、計算節點的IP、功能標識DP、節點編號、SeaBIOS標識、重置矢量reset_vector基準值、自檢函數handle_post()基準值、初始化函數maininit()基準值、時刻t₀；

步驟(3.5)，在可信檢驗的啟動時刻t₁，重復步驟(3.4.1)～步驟(3.4.3)得到t₁時刻SeaBIOS狀態數據的基準值數組：生成日期、計算節點的IP、功能標識DP、節點編號、SeaBIOS標識、重置矢量reset_vector基準值、自檢函數handle_post()基準值、初始化函數maininit()基準值、時刻t₁；

步驟(3.6)，第二CPU把步驟(3.4.3)得到的t₀時刻的SeaBIOS狀態數據基準值和步驟(3.5)得到的t₁時刻的SeaBIOS狀態數據基準值提取到第二CPU的比較模塊中，比較t₀時刻的SeaBIOS狀態數據基準值與t₁時刻的SeaBIOS狀態數據基準值是否相等，若相等，則執行步驟(3.6.1)，若有一項基準值不相等，則執行步驟(3.6.2)；

步驟(3.6.1)，發出SeaBIOS可信檢驗成功信號，執行步驟(3.7)，第二CPU執行主引導記錄MBR啟動程序，執行步驟(3.8)；

步驟(3.6.2)，發出系統故障信號，程序停止；

步驟(3.7)，第二CPU以下面所述格式生成本地節點SeaBIOS狀態數據的基準值數組，再存入本地節點的虛擬可信根基準值庫同時送至控制節點備案，所述SeaBIOS狀態數據的基準值數組格式為：可信啟動檢驗日期、時刻t₁、計算節點的IP、功能標識DP、節點編號、SeaBIOS標識、重置矢量reset_vector基準值、自檢函數handle_post()基準值、初始化函數maininit()基準值；

步驟(3.8)，第二CPU根據主引導記錄MBR狀態數據--SHA-256哈希算法映射表，從可信密碼模塊中調用SHA-256哈希算法送往虛擬可信根vTPCM計算模塊，并分別計算在初始可信檢驗時刻t₀、可信檢驗啟動時刻t₁主引導記錄MBR狀態數據的基準值，并比較t₀、t₁兩個時刻的MBR狀態數據基準值是否相等；若相等，則執行步驟(3.8.1)；若不相等，則執行步驟3.6.2；

步驟(3.8.1)，發出MBR可信檢驗成功信號，執行步驟(3.9)，第二CPU執行虛擬機鏡像數據加載，執行步驟(3.10)；

步驟(3.9)，第二CPU以下面所述格式生成本地節點MBR狀態數據的基準值數組，再存入本地節點的虛擬可信根基準值庫同時送至控制節點備案，所述MBR狀態數據的基準值數組格式為：可信啟動檢驗日期、時刻t₁、計算節點的IP、功能標識DP、節點編號、MBR標識、MBR基準值；

步驟(3.10)，第二CPU根據cluster狀態數據--MD5哈希算法映射表，從可信密碼模塊中調用MD5哈希算法送往虛擬可信根vTPCM計算模塊；

步驟(3.10.1)，計算初始可信檢驗時刻t₀時刻cluster狀態數據基準值，組成以下數組：生成日期、計算節點的IP、功能標識DP、節點編號、cluster標識、基準值、時刻t₀；

步驟(3.10.2)，重復步驟(3.10.1)計算可信檢驗啟動時刻t₁時刻cluster狀態數據基準值，組成以下數組：生成日期、計算節點的IP、功能標識DP、節點編號、cluster標識、基準值、時刻t₁；

步驟(3.10.3)，比較t₀、t₁兩個時刻cluster狀態數據基準值是否相等；若相等，虛擬機可信啟動，執行步驟(3.11)，若不相等，執行步驟(3.6.2)；

步驟(3.11)，第二CPU以下面所述格式生成本地節點cluster狀態數據的基準值數組，再存入本地節點的虛擬可信根基準值庫同時送至控制節點備案，所述cluster狀態數據的基準值數組格式為：可信啟動檢驗日期、時刻t₁、計算節點的IP、功能標識DP、節點編號、cluster標識、基準值。