[發明專利]一種可信免疫力檢測方法

有效

• 申請號: 201910604038.2
• 申請日: 2019-07-05
• 公開（公告）號: CN110413351B
• 公開（公告）日: 2022-12-02
• 發明（設計）人: 孫瑜;洪宇;田文慧
• 申請（專利權）人: 北京可信華泰信息技術有限公司
• 主分類號: G06F9/448
• 分類號: G06F9/448;G06F9/4401;G06F9/445;G06F21/57
• 代理公司: 北京天悅專利代理事務所(普通合伙) 11311
• 代理人: 田明;楊方

1.一種可信免疫力檢測方法，其特征在于，應用于可信計算平臺，所述可信計算平臺包括：并行的計算子系統和防護子系統，所述計算子系統用于執行計算任務，所述防護子系統用于在所述計算子系統啟動過程中對所述計算子系統進行靜態度量以及在所述計算子系統運行過程中對所述計算子系統進行動態度量，并根據度量結果對所述計算子系統進行控制；所述計算子系統與所述防護子系統之間具有安全隔離機制，通過專用訪問通道進行交互；

所述可信免疫力檢測方法包括：

(1)根據所述防護子系統中的可信平臺控制模塊的實現方式和所述防護子系統對所述計算子系統靜態度量時建立的信任鏈的完整程度，對所述可信計算平臺的防護基礎能力進行檢測；

(2)根據第一客體集合與第二客體集合，對目標防護策略的防護能力進行檢測，所述第一客體集合為所述目標防護策略中規定的目標行為對應的客體的集合，所述目標防護策略為所述計算子系統中目標應用程序對應的防護策略，所述目標行為為所述目標應用程序執行的行為；所述第二客體集合為所述目標應用程序在所述可信計算平臺中執行的所述目標行為對應的客體的集合；

(3)根據所述目標防護策略的防護能力，對所述可信計算平臺的防護策略能力進行檢測；

(4)根據所述可信計算平臺的防護策略能力以及所述可信計算平臺的防護基礎能力，對所述可信計算平臺的可信免疫力進行檢測。

2.根據權利要求1所述的一種可信免疫力檢測方法，其特征在于，步驟(1)包括：

如果在所述計算子系統啟動過程中所述防護子系統有建立信任鏈，則根據所述可信平臺控制模塊的實現方式對應的免疫檢測系數和信任鏈的完整程度，計算得到所述可信計算平臺的防護基礎檢測值，所述防護基礎檢測值用于指示所述可信計算平臺的防護基礎能力；

如果在所述計算子系統啟動過程中所述防護子系統沒有建立信任鏈，則將所述防護基礎檢測值設置為預定值。

3.根據權利要求2所述的一種可信免疫力檢測方法，其特征在于，如果在所述計算子系統啟動過程中所述防護子系統有建立信任鏈，則所述防護基礎檢測值＝(BIOS對應的度量權重+OSLoader對應的度量權重+OS內核對應的度量權重+OS系統服務對應的度量權重+應用程序對應的度量權重)×免疫檢測系數，所述信任鏈包括：BIOS、OSLoader、OS內核、OS系統服務、應用程序。

4.根據權利要求3所述的一種可信免疫力檢測方法，其特征在于，步驟(2)包括：

計算所述第一客體集合與所述第二客體集合之間的相似度，并將所述相似度作為所述目標應用程序對應的防護策略檢測值，所述目標應用程序對應的防護策略檢測值用于指示所述目標防護策略的防護能力。

5.根據權利要求4所述的一種可信免疫力檢測方法，其特征在于，通過下式計算所述第一客體集合與所述第二客體集合之間的相似度：

其中，Similarity為所述相似度，X_i為所述目標防護策略中規定的第i類行為對應的客體集合，X_i'為所述目標應用程序在所述計算子系統中執行的第i類行為對應的客體集合，α_i為系數，N為所述目標應用程序的行為集合中行為總類數，所述行為集合為所述目標防護策略中規定的行為與所述目標應用程序在所述計算子系統中執行的行為的并集，i為正整數。

6.根據權利要求5所述的一種可信免疫力檢測方法，其特征在于，步驟(3)包括：

計算所述計算子系統中的各個應用程序對應的防護策略檢測值的加權平均值，作為所述可信計算平臺的防護策略檢測值，所述可信計算平臺的防護策略檢測值用于指示所述可信計算平臺的防護能力。

7.根據權利要求6所述的一種可信免疫力檢測方法，其特征在于，步驟(4)包括：

計算所述可信計算平臺的防護基礎檢測值與所述可信計算平臺的防護策略檢測值的乘積，作為所述可信計算平臺的可信免疫力值，所述可信計算平臺的可信免疫力值用于指示所述可信計算平臺的可信免疫力；或者

所述可信計算平臺的可信免疫力值＝60+40×所述可信計算平臺的防護基礎檢測值×所述可信計算平臺的防護策略檢測值。