[发明专利]用于虚拟化访问由融合式可管理性和安全引擎提供的安全服务的技术

权利要求书

1.一种用于提供安全相关的平台服务的计算设备，所述计算设备包括：

处理器，其包括安全飞地支持；

平台服务模块，用于：(i)通过由所述处理器建立的、与所述计算设备的虚拟机相关联的访客平台服务飞地，经由与由所述处理器建立的、与所述虚拟机相关联的应用程序飞地的第一认证通信会话来接收平台服务请求，以及(ii)通过所述访客平台服务飞地，经由与由所述计算设备的主机环境建立的主机虚拟安全引擎的第二认证通信会话将所述平台服务请求发送到所述主机虚拟安全引擎；

虚拟安全引擎模块，用于：(i)通过所述虚拟安全引擎，建立与所述计算设备的安全引擎的长期认证通信会话，以及(ii)通过所述主机虚拟安全引擎，响应于接收到所述平台服务请求，经由所述长期认证通信会话将所述平台服务请求发送到所述安全引擎；以及

安全引擎模块，用于通过所述安全引擎，利用所述安全引擎的硬件资源执行所述平台服务请求。

2.根据权利要求1所述的计算设备，其中，所述平台服务请求包括单调计数器请求或可信时间请求。

3.根据权利要求1所述的计算设备，其中，所述安全引擎的硬件资源包括重放保护的数据存储区域。

4.根据权利要求1所述的计算设备，还包括证明模块，用于：

通过所述访客平台服务飞地，对所述应用程序飞地执行基于报告的证明，以建立与所述应用程序飞地的所述第一认证通信会话；以及

通过所述访客平台服务飞地，对所述主机虚拟安全引擎执行基于引证的远程证明，以建立与所述主机虚拟安全引擎的所述第二认证通信会话。

5.根据权利要求1所述的计算设备，其中：

通过所述访客平台服务飞地接收所述平台服务请求包括：经由与所述应用程序飞地的安全网络连接来接收所述平台服务请求；并且

通过所述访客平台服务飞地发送所述平台服务请求包括：经由与所述主机虚拟安全引擎的安全网络连接发送所述平台服务请求。

6.根据权利要求5所述的计算设备，其中，通过所述访客平台服务飞地发送所述平台服务请求包括：通过所述访客平台服务飞地，将从所述应用程序飞地接收到的所述平台服务请求代理给所述主机虚拟安全引擎。

7.根据权利要求1所述的计算设备，还包括主机平台服务模块，用于：

通过所述计算设备的处理器，在所述计算设备的主机环境中建立主机平台服务飞地；

通过所述主机平台服务飞地，在所述计算设备的主机环境中建立所述主机虚拟安全引擎；以及

通过所述主机虚拟安全引擎，确定是否在所述主机环境中建立了所述主机虚拟安全引擎；

其中，与所述计算设备的所述安全引擎建立所述长期认证通信会话包括：响应于确定在所述主机环境中建立了所述主机虚拟安全引擎而建立所述长期认证通信会话。

8.根据权利要求1所述的计算设备，其中：

所述平台服务模块还用于(i)通过所述计算设备的处理器建立的、与所述计算设备的第二虚拟机相关联的第二访客平台服务飞地，经由与第二应用程序飞地的第三认证通信会话来接收来自所述第二应用程序飞地的第二平台服务请求，以及(ii)通过所述第二访客平台服务飞地，经由与所述主机虚拟安全引擎的第四认证通信会话将所述第二平台服务请求发送到所述主机虚拟安全引擎；

所述虚拟安全引擎模块还用于：通过所述主机虚拟安全引擎，响应于接收到所述第二平台服务请求，经由所述长期认证通信会话将所述第二平台服务请求发送到所述安全引擎；以及

所述安全引擎模块还用于：通过所述安全引擎，利用所述安全引擎的硬件资源执行所述第二平台服务请求。

9.根据权利要求1所述的计算设备，其中，建立所述长期认证通信会话包括与提供给所述计算设备的所述主机虚拟安全引擎的EPID证书建立SIGMA配对会话。