[发明专利]通过一组互连可编程设备安全执行虚拟机的方法和系统

说明书

本发明涉及一种通过一组互连可编程设备安全执行虚拟机的方法和系统，其中，每个可编程设备包括至少一个处理器，每个可编程设备能够执行多个虚拟机的应用程序，并且包括以标准安全级别执行的硬件部分和安全级别高于标准安全级别的安全硬件部分。该方法包括：存储与每个虚拟机相关联的至少一个安全执行环境(TEE_i)。在由请求虚拟机对应用程序的一个指令序列提出安全执行请求之后，该方法包括：为所述安全执行分配属于其中一个互连处理器的至少一个可用安全硬件部分，以及将与请求虚拟机(VM1)相关联的安全执行环境(TEE_j)加载到所分配的安全硬件部分中。所分配的安全硬件部分用于安全执行指令序列。

技术领域

本发明涉及一种通过一组互连可编程设备安全执行虚拟机的方法，其中，每个可编程设备包括至少一个计算处理器以及安全执行虚拟机的关联系统。

本发明属于虚拟机安全执行领域，特别适用于集中式数据处理系统中虚拟机的执行。

背景技术

某些计算机应用程序的安全执行(称为关键性的)是许多工业和商业环境中的主要问题。

通过一组硬件资源安全地执行计算机应用程序会确保针对各种盗版攻击的特定级别的安全性和稳健性，其涉及硬件资源的硬件或软件分区，以区分具有正常或标准安全级别的执行环境与安全执行环境。

软件分离以已知的方式由管理程序机制或VMM(虚拟机监视器)完成。由于这种机制，可以在处理器的标准安全级别硬件部分彼此隔离的存储环境中执行不同的应用程序。

硬件分区架构也是已知的，例如，公司的架构，该架构提供具有安全硬件部分或区域的处理器，相对于具有低于所谓安全级别的标准安全级别的硬件部分对该安全硬件部分或区域进行了分区。该分区由处理器从正常模式切换到安全模式的能力反映，对于该安全模式，硬件资源与正常模式物理隔离。这些隔离的硬件资源是例如存储器、网络资源、密码加速器。同样，根据正常模式或安全模式，特权级别和授权由处理器执行的指令是分开的。

在其余的描述中，将分别提到具有标准安全级别的硬件部分和安全硬件部分，进而提到在所述处理器的正常模式和安全模式下实现的一组硬件资源。从正常模式到安全模式的切换是在正常模式的请求下使用特定指令或在从附接到安全模式的硬件资源之一的硬件中断期间完成的。

在从正常模式切换到安全模式结束时，请求的处理由处理器的固件完成。该固件必须与处理器的微代码区分开，该微代码是不可访问的，并且还定义了处理器的一组指令。

该固件也在处理器引导期间执行，该引导在安全模式下完成，使得从一开始就建立信任链。在引导序列结束时，固件以正常模式启动引导。固件由具有最高特权级别之一的处理器的指令序列组成。

例如，在处理器采用ARM架构的情况下，处理器的固件使得可以使用被称为SMC(安全监视器调用)的给定指令，其允许在处理器的标准安全级别部分执行的应用程序从执行参数转到通过处理器的安全硬件部分请求执行应用程序的至少一个指令(称为关键性的)。

同样存在其他提供类似功能的架构，如由提供的在其上下文中，特权级别称为CPU特权环。

这样的架构确保在处理器的安全部分中的隔离执行环境(称为可信执行环境(TEE))中执行应用程序的至少一个关键指令，因此被称为是安全的。

在TEE(有时称为“trustlet”)中执行的应用程序由多个指令序列组成，根据代码的设计(划分成多个线程)，在相同的TEE中，指令在多个处理器内核上可选择地并行执行。

当多个虚拟机(每一个均包括操作系统(OS))在相同处理器上执行一个或多个应用程序时，出现了共享处理器的安全硬件部分允许隔离地执行每个虚拟机的应用程序的问题。实际上，在这种情况下，由处理器的标准安全部分中的管理程序所提供的分离在安全部分内是不能保证的。