[發明專利]一種面向5G邊緣計算節點的容器加固系統及加固方法

在審

• 申請號: 202210945182.4
• 申請日: 2022-08-08
• 公開（公告）號: CN115314495A
• 公開（公告）日: 2022-11-08
• 發明（設計）人: 張小建;王齊;高鵬;王以良;郭亞瓊;陳逍瀟;董科
• 申請（專利權）人: 國網智能電網研究院有限公司;國網浙江省電力有限公司信息通信分公司;國家電網有限公司
• 主分類號: H04L67/10
• 分類號: H04L67/10;H04L9/40;H04L9/32
• 代理公司: 北京三聚陽光知識產權代理有限公司 11250
• 代理人: 劉靜

1.一種面向5G邊緣計算節點的容器加固系統，其特征在于，包括：vTPM模塊、物理TPM、容器管理器、vTPM管理器、MEC控制器和宿主機，其中：

物理TPM，設置于宿主機上，用于對數據進行加密及密碼保護，MEC控制器中用于存儲為物理TPM頒發的密鑰和證書；

容器管理器，用于通過物理TPM對容器的啟動進行可信度量和驗證；

vTPM模塊，設置于容器中，用于實現容器鏡像的完整性度量和容器的可信啟動，并定時對容器的運行時文件系統和進程進行可信度量；

宿主機操作系統內核中設置有vTPM管理器和vTPM模塊的度量值基準庫，其中vTPM管理器用于對各個容器的vTPM模塊進行管理。

2.根據權利要求1所述的面向5G邊緣計算節點的容器加固系統，其特征在于，所述vTPM模塊包括vPCR子模塊、密鑰存儲子模塊、度量計時器，其中：

vPCR子模塊，用于存儲對容器的文件系統和進程進行可信度量的度量值；

密鑰子存儲模塊，用于存儲vTPM管理器發送的密鑰，以及vAIK證書和vAIK密鑰；

度量計時器，用于設置對容器的文件系統和進程進行度量的時間間隔。

3.根據權利要求1所述的面向5G邊緣計算節點的容器加固系統，其特征在于，所述容器管理器中，設置有容器HASH基準值庫及密鑰存儲庫，容器HASH基準值庫用于存儲HASH基準值及加密的HASH基準值；密鑰存儲庫，用于存儲物理TPM為容器生成的密鑰。

4.一種面向5G邊緣計算節點的容器加固方法，基于權利要求1-3任一所述的面向5G邊緣計算節點的容器加固系統，其特征在于，包括：

容器管理器通過物理TPM對容器的啟動進行可信度量和驗證；

容器實現可信啟動后，vTPM模塊與物理TPM進行綁定；

在容器運行時，vTPM模塊定時對容器的文件系統和進程進行可信度量。

5.根據權利要求4所述的面向5G邊緣計算節點的容器加固方法，其特征在于，所述容器管理器通過物理TPM對容器的啟動進行可信度量和驗證之前，還包括：對所述加固系統進行安全初始化，其過程包括：

MEC控制器作為可信第三方為物理TPM頒發AIK密鑰和其證書CAIK；

宿主機初始化啟動時，物理TPM進行可信啟動度量，系統狀態記錄在物理TPM內部的PCR中；

容器管理器啟動，獲取容器鏡像及容器HASH值，將該HASH值作為容器HASH基準值存儲在容器HASH基準值庫中；

容器管理器獲取容器HASH值后，調用物理TPM的加密接口獲取加密密鑰，將HASH值加密后存儲；

調用加密接口時容器管理器將容器ID發送至物理TPM，物理TPM根據容器ID為其生成一對非對稱密鑰；

物理TPM為該容器生成的密鑰一個發送給容器管理器，另一個存儲在物理TPM中，只供物理TPM使用。

6.根據權利要求4所述的面向5G邊緣計算節點的容器加固方法，其特征在于，容器的可信啟動的過程，包括：

容器鏡像啟動時，容器管理器調用物理TPM提供的接口對容器鏡像進行HASH計算；

HASH計算完成后，將該HASH值、容器HASH基準值庫中加密的容器HASH基準值和容器ID發送到物理TPM進行比較，確定容器鏡像是否可信；

物理TPM根據容器ID查詢先前存儲的密鑰，對容器HASH基準值進行解密，并將解密后的容器HASH基準值和剛計算出的HASH值進行比較；

若比較結果一致，則容器進行可信啟動，反之則不啟動；

物理TPM將比較后的結果簽名后返回給容器管理器。