[发明专利]可信密码模块安全虚拟化方法

说明书

技术领域

本发明涉及计算机信息安全技术领域，主要涉及基于虚拟机监视器(Virtual Machine Monitor，VMM)的系统虚拟机技术和基于可信密码模块的可信计算技 术，具体是一种可信密码模块安全虚拟化方法。

背景技术

基于VMM模型的系统虚拟化是以软件方式模拟物理硬件的核心功能，为 虚拟机上的操作系统提供与访问物理硬件相同的访问接口，从而实现在同一个 物理平台上同时运行多个操作系统，并为每个操作系统运行所需资源提供透明 服务。这种模型不仅保证了客户虚拟机环境的独立性，而且可提供良好的系统 隔离特性，这为计算系统的安全增强技术实现提供了可能。此外，为了支持我 国可信计算技术的应用，提高我国在可信计算技术领域的国际竞争力，国家密 码管理局提出并公布了以国内密码算法为基础且结合国内安全需求的《可信计 算密码支撑平台功能与接口规范》，其中可信密码模块(Trusted Cryptography module，TCM)扩展了可信平台模块(Trusted Platform Module，TPM)的安全功能， 能提供诸如平台身份证明、平台完整性证明、密钥管理、密封存储等各项安全 服务，从硬件层次保证平台的安全性和可靠性，该可信计算技术可进一步巩固 虚拟机计算系统的安全能力。

为了更有效地构建可信虚拟机计算系统，必须解决单一物理TCM与多个虚 拟机对TCM的具体需求的矛盾。

发明内容

本发明目的在于解决现有技术不足，提供一种可信密码模块安全虚拟化方 法，以解决单一物理TCM无法满足多个虚拟机对TCM具体需求的问题。

本发明的技术方案为：在基于VMM模型的虚拟机上实现支持客户虚拟机 使用的虚拟TCM实例，建立物理机至虚拟机的信任根；所述实现虚拟TCM实 例的具体方式如下，

在虚拟机的特权虚拟域中设置虚拟TCM管理器和虚拟TCM永久性存储区；

通过虚拟TCM管理器建立和管理虚拟TCM实例，所建立的虚拟TCM实 例模拟物理TCM，为客户虚拟机提供物理TCM的功能；并且通过虚拟TCM管 理器为客户虚拟机与虚拟TCM实例的通信提供信道，为虚拟TCM实例颁发证 书，支持虚拟TCM实例访问虚拟TCM永久性存储区和物理TCM；

采用虚拟TCM永久性存储区存储虚拟TCM实例的相关信息，虚拟TCM 永久性存储区由物理TCM提供密钥进行加密保护，由虚拟TCM管理器实现加 解密操作。

而且，所述建立从物理机至虚拟机的信任根，流程如下，

步骤1，静态可信根度量并加载BIOS；

步骤2，BIOS度量并加载启动加载器；

步骤3，启动加载器度量并加载虚拟机监视器；

步骤4，虚拟机监视器建立特权域，度量并启动虚拟TCM管理器与用户域 创建器；

步骤5，当启动一个客户虚拟机时，虚拟TCM管理器先为客户虚拟机创建 一个虚拟TCM实例，随后用户域创建器初始化客户虚拟机；

步骤6，客户虚拟机的虚拟静态可信根执行度量并加载虚拟BIOS；

步骤7，虚拟BIOS度量并加载启动加载器；

步骤8，启动加载器度量并加载客户虚拟机操作系统；

步骤9，客户虚拟机操作系统度量并加载其上运行的各个应用程序。

而且，所述为虚拟TCM实例颁发证书的具体实现方式为，客户虚拟机向虚 拟TCM管理器提出颁发证书请求后进行以下步骤，

步骤一，物理TCM生成物理平台身份证明密钥，并向可信CA请求物理平 台身份证明密钥证书；

步骤二，可信CA验证请求并向物理平台颁发物理平台身份证明密钥证书；

步骤三，客户虚拟机通过虚拟TCM实例生成虚拟平台身份证明密钥，并向 虚拟TCM管理器请求虚拟平台身份证明密钥证书；

步骤四，虚拟TCM管理器获取物理平台的引证信息，并用一个被物理平台 身份证明密钥签署的签名密钥对引证信息与虚拟平台身份证明密钥的公钥进行 签名；将签名结果与物理平台身份证明密钥证书一起即构成虚拟平台身份证明 密钥，发给提出请求的客户虚拟机。