[發(fā)明專利]一種計(jì)算機(jī)核心程序全生命周期的保護(hù)方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202010062585.5
• 申請日: 2020-01-20
• 公開（公告）號: CN111291389B
• 公開（公告）日: 2022-06-24
• 發(fā)明（設(shè)計(jì)）人: 許鑫
• 申請（專利權(quán)）人: 蘇州浪潮智能科技有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/71
• 代理公司: 濟(jì)南誠智商標(biāo)專利事務(wù)所有限公司 37105
• 代理人: 黃曉燕

本發(fā)明涉及計(jì)算機(jī)技術(shù)領(lǐng)域，提供一種計(jì)算機(jī)核心程序全生命周期的保護(hù)方法及系統(tǒng)，方法包括：集成程序發(fā)布者的數(shù)字證書信息，提取程序運(yùn)行環(huán)境中的特征信息；對核心算法及數(shù)據(jù)生成的庫文件加密，其中，所述核心算法以密文的形式存儲(chǔ)，且只能在授權(quán)的環(huán)境中使用；驗(yàn)證運(yùn)行環(huán)境的特征信息，解密加密的文件，并將解密后的數(shù)據(jù)加載至Intel SGX Enclave空間中，從而實(shí)現(xiàn)使用可信根保護(hù)靜態(tài)時(shí)程序核心算法邏輯，使用Intel SGX保護(hù)運(yùn)行時(shí)進(jìn)程內(nèi)存空間，從而進(jìn)一步對計(jì)算機(jī)核心程序全生命周期的保護(hù)。

技術(shù)領(lǐng)域

本發(fā)明屬于計(jì)算機(jī)技術(shù)領(lǐng)域，尤其涉及一種計(jì)算機(jī)核心程序全生命周期的保護(hù)方法及系統(tǒng)。

背景技術(shù)

可信根是計(jì)算機(jī)領(lǐng)域中的一種安全組件，可以為計(jì)算機(jī)系統(tǒng)提供密碼學(xué)功能，保護(hù)計(jì)算機(jī)平臺(tái)中的數(shù)據(jù)等信息。而Intel SGX指令集擴(kuò)展了內(nèi)存訪問控制機(jī)制，實(shí)現(xiàn)不同程序間的隔離。程序開發(fā)時(shí)會(huì)設(shè)計(jì)一些獨(dú)特的算法邏輯來實(shí)現(xiàn)某些功能，而這些算法邏輯和依賴的數(shù)據(jù)是程序開發(fā)者不愿公開的，以防止競爭者抄襲。但程序是以機(jī)器碼的形式存放在磁盤中，運(yùn)行時(shí)被加載至內(nèi)存中供操作系統(tǒng)調(diào)度?，F(xiàn)階段很多技術(shù)可以將機(jī)器碼轉(zhuǎn)換成便于閱讀的代碼(比如反匯編)，而在運(yùn)行階段具備CPU最高權(quán)限(比如Intel CPU中的Ring0)的進(jìn)程可訪問其他程序的內(nèi)存空間。因此，一旦程序被截獲或程序的運(yùn)行環(huán)境被植入惡意程序，程序開發(fā)者設(shè)計(jì)的算法邏輯面臨被竊取的危險(xiǎn)，其具體包括下述兩種情形：

(1)程序及依賴的庫文件以機(jī)器碼的形式直接存放在運(yùn)行環(huán)境的磁盤空間中，并不保護(hù)程序及依賴的庫文件，任何可以獲取程序的用戶都可以使用反匯編等工具將程序轉(zhuǎn)換為便于閱讀的代碼。一般的程序授權(quán)功能是在程序運(yùn)行時(shí)生效，無法保護(hù)靜態(tài)時(shí)的程序；

(2)進(jìn)程中的指令及數(shù)據(jù)都是直接存放在運(yùn)行環(huán)境的內(nèi)存中，由操作系統(tǒng)調(diào)度分配CPU時(shí)間來運(yùn)行，CPU直接從內(nèi)存中讀取進(jìn)程指令及數(shù)據(jù)。而獲取CPU最高運(yùn)行權(quán)限的惡意程序可以讀取其他進(jìn)程的內(nèi)存空間，監(jiān)聽或破壞進(jìn)程運(yùn)行時(shí)的狀態(tài)。

發(fā)明內(nèi)容

針對現(xiàn)有技術(shù)中的缺陷，本發(fā)明提供了一種計(jì)算機(jī)核心程序全生命周期的保護(hù)方法，旨在解決現(xiàn)有技術(shù)中一旦程序被截獲或程序的運(yùn)行環(huán)境被植入惡意程序，程序開發(fā)者設(shè)計(jì)的算法邏輯面臨被竊取的危險(xiǎn)的問題。

本發(fā)明所提供的技術(shù)方案是：一種計(jì)算機(jī)核心程序全生命周期的保護(hù)方法，所述方法包括下述步驟：

集成程序發(fā)布者的數(shù)字證書信息，提取程序運(yùn)行環(huán)境中的特征信息；

對核心算法及數(shù)據(jù)生成的庫文件加密，其中，所述核心算法以密文的形式存儲(chǔ)，且只能在授權(quán)的環(huán)境中使用；

驗(yàn)證運(yùn)行環(huán)境的特征信息，解密加密的文件，并將解密后的數(shù)據(jù)加載至Intel SGXEnclave空間中。

作為一種改進(jìn)的方案，所述集成程序發(fā)布者的數(shù)字證書信息，提取程序運(yùn)行環(huán)境中的特征信息的步驟具體包括下述步驟：

獲取運(yùn)行環(huán)境中可信根存儲(chǔ)根密鑰信息；

以存儲(chǔ)根密鑰為父密鑰創(chuàng)建存儲(chǔ)密鑰；

提取程序發(fā)布者的數(shù)字證書中的公鑰信息；

使用提取的公鑰信息加密根密鑰信息和存儲(chǔ)密鑰信息，生成特征信息。

作為一種改進(jìn)的方案，所述對核心算法及數(shù)據(jù)生成的庫文件加密的步驟具體包括下述步驟：

生成核心算法庫文件；

使用程序發(fā)布者的數(shù)字證書中私鑰解密所述特征信息；

提取存儲(chǔ)密鑰公鑰加密所述核心算法庫文件；

生成發(fā)布程序。