[發明專利]虛擬可信環境加載、運行方法、數據處理及安全處理裝置

有效

• 申請號: 202011542637.5
• 申請日: 2020-12-23
• 公開（公告）號: CN112540831B
• 公開（公告）日: 2022-11-11
• 發明（設計）人: 姜新;應志偉
• 申請（專利權）人: 海光信息技術股份有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/60;G06F21/64
• 代理公司: 上海知錦知識產權代理事務所(特殊普通合伙) 31327
• 代理人: 潘彥君

虛擬可信環境加載、運行方法、數據處理及安全處理裝置，其中所述加載方法，包括：獲取來自應用程序在加密虛擬機的存儲空間創建飛地的配置請求；根據所述配置請求中包含的飛地的存儲信息，為所述飛地建立嵌套頁表；向安全處理裝置發送加密虛擬機初始化指令，以及發送包含所述嵌套頁表中的虛擬機物理地址的消息，使得所述安全處理裝置為所述飛地執行加密虛擬機初始化操作；向所述應用程序返回所述加密虛擬機初始化完成消息；獲取來自所述應用程序的飛地代碼加載請求并轉發至所述安全處理裝置，使得所述安全處理裝置將所述應用程序的飛地代碼復制到所述加密虛擬機的存儲空間。采用本發明實施例方案，使得應用程序能夠通過加密虛擬機運行飛地代碼。

技術領域

本發明實施例涉及系統安全技術領域，具體而言，涉及一種虛擬可信環境加載、運行方法、數據處理及安全處理裝置。

背景技術

軟件保護擴展(Software Guard Extensions，SGX)技術是一種用戶空間安全技術，可以提供用戶空間的可信執行環境。其通過新增SGX指令集以及CPU(CentralProcessing Unit，中央處理器)硬件線性地址的權限檢查，并單獨配置一段保留內存空間(Processor Reserved Memory，PMR)提供飛地(enclave)可信執行環境，保護客戶的機密代碼和數據，用戶應用程序通過SGX專有指令實現對飛地程序的調用。

而且，可以通過內存隔離檢查保護裝置，使得擁有最高權限的主機操作系統(Operating System，OS)和基本輸入輸出系統(Basic Input Output System，BIOS)等都無法竊取飛地中的數據，保障用戶關鍵代碼和數據的機密性與完整性不受惡意軟件的破壞。

然而，利用SGX技術提供的飛地可信執行環境，只能在特定的CPU平臺運行。

發明內容

有鑒于此，本發明實施例提供一種虛擬可信環境加載、運行方法、數據處理及安全處理裝置，使得應用程序能夠通過加密虛擬機運行飛地代碼。

首先，本發明實施例提供了一種虛擬可信環境加載方法，應用于主機內核，所述加載方法包括：

獲取來自應用程序在加密虛擬機的存儲空間創建飛地的配置請求，其中，所述配置請求中包含所述飛地的存儲信息；

根據所述配置請求中包含的飛地的存儲信息，為所述飛地建立嵌套頁表；向安全處理裝置發送加密虛擬機初始化指令，所述初始化指令中包含所述嵌套頁表中的虛擬機物理地址，使得所述安全處理裝置為所述飛地執行加密虛擬機初始化操作，包括：建立所述飛地對應于所述虛擬機物理地址的虛擬機頁表；將所述加密虛擬機的系統代碼和數據復制到所述加密虛擬機的存儲空間中；

根據來自所述安全處理裝置的加密虛擬機初始化完成消息，執行加密虛擬機運行操作，并向所述應用程序返回所述加密虛擬機初始化完成消息；

獲取來自所述應用程序的飛地代碼加載請求并轉發至所述安全處理裝置，使得所述安全處理裝置將所述應用程序的飛地代碼復制到所述加密虛擬機的存儲空間。

可選的，所述配置請求還包括所述飛地的完整性校驗信息；

所述方法還包括在獲取來自所述應用程序的飛地代碼加載請求之前，向所述安全處理裝置發送所述飛地的完整性校驗信息，使得所述安全處理裝置存儲所述飛地的完整性校驗信息；

所述加載請求中還包含所述飛地的完整性校驗信息，使得所述安全處理裝置基于所存儲的飛地的完整性校驗信息對所述加載請求對應的飛地進行完整性校驗。

可選的，所述完整性校驗信息包括以下至少一種：度量信息、簽名驗證信息。

本發明實施例提供了另一種虛擬可信環境加載方法，應用于安全處理裝置，所述安全處理裝置存儲有加密虛擬機的系統代碼和數據，所述加載方法包括：