[发明专利]一种基于可信UEFI固件引导虚拟机启动的方法及系统

说明书

本发明提出了一种基于可信UEFI固件引导虚拟机启动的方法及系统，在UEFI的SEC阶段，对PEI签名的合法性进行验证，若合法，则进入PEI阶段；在UEFI的PEI阶段，对虚拟硬件进行初始化，对vTPM进行自测和使能；在UEFI的DEX阶段，对初始化后的虚拟硬件进行度量获得虚拟硬件的度量值，将所述虚拟硬件的度量值进行扩展得到度量扩展值，并将所述度量扩展值写入vTPM的PCR中；在UEFI的BDS阶段，根据所述度量扩展值与基准度量值验证虚拟硬件是否具有完整性，若具有完整性，则引导虚拟机启动，若不具有完整性，则虚拟机不能启动。与现有技术相比，本发明通过检测虚拟硬件的合法性和完整性，进而引导虚拟机安全启动，提高了虚拟化平台的安全性。

技术领域

本发明涉及信息安全的可信计算技术领域，具体地说是一种基于可信UEFI固件引导虚拟机启动的方法及系统。

背景技术

随着虚拟化技术的逐渐成熟，越来越多的数据中心业务迁移到虚拟化平台下，虚拟化平台虽然具有按需扩展、动态调整、升级便捷等优点，但也出现更多的安全问题，虚拟化平台构建的虚拟硬件是否完整，虚拟硬件是否被恶意管理员篡改，虚拟机硬件是否被恶意软件攻击等问题也日益突出。

目前，基于Legency(合法)BIOS(Basic Input Output System，基本输入输出系统)有检测虚拟化平台硬件完整的方案，但由于BIOS本身的一些天然缺陷，如：扩展性差，安全性低、不支持大于2TB的地址引导，所以越来越多的企业和组织，正在寻求采用符合UEFI(统一的可扩展固件接口)的启动引导固件来代替Legency BIOS。

发明内容

针对上述问题，本发明提出一种基于可信UEFI固件引导虚拟机启动的方法及系统，通过检测虚拟硬件的合法性和完整性，能够及时发现构建的虚拟硬件被恶意篡改或者攻击，提高了虚拟化平台的安全性。

一方面，本发明提供了一种基于可信UEFI固件引导虚拟机启动的方法，包括以下步骤：

验证PEI PEI(Pre-EFI Initialization，EFI前期初始化；EFI(ExtensibleFirmware Interface，可扩展固件接口))签名的合法性，在签名合法时进入PEI阶段；

对虚拟硬件进行初始化，对vTPM(Virtual Trusted Platform Module，虚拟可信平台模块)进行自测和使能；

度量初始化后的虚拟硬件得到度量值，将所述度量值进行扩展得到度量扩展值，并将所述度量扩展值写入vTPM的PCR(Platform Configuration Registers，平台配置寄存器)中；

对比所述度量扩展值与虚拟硬件的基准度量值，验证虚拟硬件的完整性，在满足完整性要求时，引导虚拟机启动。

可选地，验证PEI签名的合法性之前还包括：

给虚拟机配置虚拟硬件；

收集虚拟硬件的基准度量值。

可选地，所述虚拟硬件包括CPU(Central Processing Unit，中央处理器)、芯片和主板。

可选地，虚拟化管理平台收集PCR中的基准度量值，并将基准度量值写入vTPM的NVRAM(Non-Volatile Random Access Memory，非易失性随机访问存储器)中，所述基准度量值包括八个值，分别保存在八个度量扩展寄存器PCR0-PCR7中。

可选地，虚拟硬件的度量值有八个，对每个度量值分别进行扩展，得到八个度量扩展值，获取初始化后虚拟硬件的其一度量值，将度量值进行扩展得到度量扩展值，并将所述度量扩展值写入vTPM的PCR中的具体过程是：

计算初始化后的虚拟硬件的哈希值，作为虚拟硬件的度量值；