[发明专利]基于虚拟化硬件特性的高效隔离内核模块的系统及方法

摘要

本发明提供了一种基于虚拟化硬件特性的高效隔离内核模块的系统及方法，其设计了一种安全的高效的针对不可信的内核模块的强隔离机制，并且能够满足当下对于安全性和功能性方面的需求。本发明相对现有的解决方法，具有更好的性能、更强的隔离性、更高的向后兼容性。本发明提出的机制易于在当下主流的云计算平台中部署，进而可以带来可观的社会效益及经济效益。在本发明提出的机制中，当不可信的内核模块需要调用内核核心的函数，或者内核核心需要调用不可信的内核模块中的函数时，建立一套基于虚拟化硬件特性安全且高效的控制流转换机制，使得在该切换中不会暴露更多的攻击面。

主权项

一种基于虚拟化硬件特性的高效隔离内核模块的系统，其特征在于，包括内核分割模块、内存隔离模块、安全通信模块；内核分割模块，用于将内核核心源码和不可信的内核模块源码分割成两段独立的上下文，分别为不可信的内核模块上下文、内核核心上下文；内存隔离模块，用于将所述两段独立的上下文部署在两个隔离开来的物理内存中；安全通信模块，用于在不可信的内核模块需要调用内核核心提供的函数时，将控制流由不可信的内核模块上下文切换到内核核心上下文，由内核核心调用不可信的内核模块需要调用的函数后，将控制流切换返回到不可信的内核模块上下文；并且，在内核核心需要调用不可信的内核模块提供的函数时，将控制流由内核核心上下文切换到不可信的内核模块上下文，由不可信的内核模块调用内核核心需要调用的函数后，将控制流切换返回到内核核心上下文。