專利名稱：可信密碼模塊安全虛擬化方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計(jì)算機(jī)信息安全技術(shù)領(lǐng)域，主要涉及基于虛擬機(jī)監(jiān)視器(Virtual Machine Monitor, VMM)的系統(tǒng)虛擬機(jī)技術(shù)和基于可信密碼模塊的可信計(jì)算技 術(shù)，具體是一種可信密碼模塊安全虛擬化方法。
技術(shù)背景基于VMM模型的系統(tǒng)虛擬化是以軟件方式模擬物理硬件的核心功能，為 虛擬機(jī)上的操作系統(tǒng)提供與訪問物理硬件相同的訪問接口，從而實(shí)現(xiàn)在同一個(gè) 物理平臺(tái)上同時(shí)運(yùn)行多個(gè)操作系統(tǒng)，并為每個(gè)操作系統(tǒng)運(yùn)行所需資源提供透明 服務(wù)。這種模型不僅保證了客戶虛擬機(jī)環(huán)境的獨(dú)立性，而且可提供良好的系統(tǒng) 隔離特性，這為計(jì)算系統(tǒng)的安全增強(qiáng)技術(shù)實(shí)現(xiàn)提供了可能。此外，為了支持我 國可信計(jì)算技術(shù)的應(yīng)用，提高我國在可信計(jì)算技術(shù)領(lǐng)域的國際競爭力，國家密 碼管理局提出并公布了以國內(nèi)密碼算法為基礎(chǔ)且結(jié)合國內(nèi)安全需求的《可信計(jì) 算密碼支撐平臺(tái)功能與接口規(guī)范》，其中可信密碼模塊(Trusted Cryptography module, TCM)擴(kuò)展了可信平臺(tái)模塊(Trusted Platform Module, TPM)的安全功能， 能提供諸如平臺(tái)身份證明、平臺(tái)完整性證明、密鑰管理、密封存儲(chǔ)等各項(xiàng)安全 服務(wù)，從硬件層次保證平臺(tái)的安全性和可靠性，該可信計(jì)算技術(shù)可進(jìn)一步鞏固 虛擬機(jī)計(jì)算系統(tǒng)的安全能力。為了更有效地構(gòu)建可信虛擬機(jī)計(jì)算系統(tǒng)，必須解決單一物理TCM與多個(gè)虛 擬機(jī)對TCM的具體需求的矛盾。發(fā)明內(nèi)容本發(fā)明目的在于解決現(xiàn)有技術(shù)不足，提供一種可信密碼模塊安全虛擬化方法，以解決單一物理TCM無法滿足多個(gè)虛擬機(jī)對TCM具體需求的問題。本發(fā)明的技術(shù)方案為在基于VMM模型的虛擬機(jī)上實(shí)現(xiàn)支持客戶虛擬機(jī)使用的虛擬TCM實(shí)例，建立物理機(jī)至虛擬機(jī)的信任根；所述實(shí)現(xiàn)虛擬TCM實(shí)例的具體方式如下，在虛擬機(jī)的特權(quán)虛擬域中設(shè)置虛擬TCM管理器和虛擬TCM永久性存儲(chǔ)區(qū)； 通過虛擬TCM管理器建立和管理虛擬TCM實(shí)例，所建立的虛擬TCM實(shí)例模擬物理TCM,為客戶虛擬機(jī)提供物理TCM的功能；并且通過虛擬TCM管理器為客戶虛擬機(jī)與虛擬TCM實(shí)例的通信提供信道，為虛擬TCM實(shí)例頒發(fā)證書，支持虛擬TCM實(shí)例訪問虛擬TCM永久性存儲(chǔ)區(qū)和物理TCM;采用虛擬TCM永久性存儲(chǔ)區(qū)存儲(chǔ)虛擬TCM實(shí)例的相關(guān)信息，虛擬TCM永久性存儲(chǔ)區(qū)由物理TCM提供密鑰進(jìn)行加密保護(hù)，由虛擬TCM管理器實(shí)現(xiàn)加解密操作。而且，所述建立從物理機(jī)至虛擬機(jī)的信任根，流程如下，步驟l，靜態(tài)可信根度量并加載BIOS; 步驟2， BIOS度量并加載啟動(dòng)加載器； 步驟3，啟動(dòng)加載器度量并加載虛擬機(jī)監(jiān)視器；步驟4，虛擬機(jī)監(jiān)視器建立特權(quán)域，度量并啟動(dòng)虛擬TCM管理器與用戶域 創(chuàng)建器；步驟5，當(dāng)啟動(dòng)一個(gè)客戶虛擬機(jī)時(shí)，虛擬TCM管理器先為客戶虛擬機(jī)創(chuàng)建 一個(gè)虛擬TCM實(shí)例，隨后用戶域創(chuàng)建器初始化客戶虛擬機(jī)；步驟6，客戶虛擬機(jī)的虛擬靜態(tài)可信根執(zhí)行度量并加載虛擬BIOS; 步驟7，虛擬BIOS度量并加載啟動(dòng)加載器；步驟8，啟動(dòng)加載器度量并加載客戶虛擬機(jī)操作系統(tǒng)；步驟9，客戶虛擬機(jī)操作系統(tǒng)度量并加載其上運(yùn)行的各個(gè)應(yīng)用程序。而且，所述為虛擬TCM實(shí)例頒發(fā)證書的具體實(shí)現(xiàn)方式為，客戶虛擬機(jī)向虛擬TCM管理器提出頒發(fā)證書請求后進(jìn)行以下步驟，步驟一，物理TCM生成物理平臺(tái)身份證明密鑰，并向可信CA請求物理平 臺(tái)身份證明密鑰證書；步驟二，可信CA驗(yàn)證請求并向物理平臺(tái)頒發(fā)物理平臺(tái)身份證明密鑰證書；步驟三，客戶虛擬機(jī)通過虛擬TCM實(shí)例生成虛擬平臺(tái)身份證明密鑰，并向 虛擬TCM管理器請求虛擬平臺(tái)身份證明密鑰證書；步驟四，虛擬TCM管理器獲取物理平臺(tái)的引證信息，并用一個(gè)被物理平臺(tái) 身份證明密鑰簽署的簽名密鑰對引證信息與虛擬平臺(tái)身份證明密鑰的公鑰進(jìn)行 簽名；將簽名結(jié)果與物理平臺(tái)身份證明密鑰證書一起即構(gòu)成虛擬平臺(tái)身份證明 密鑰，發(fā)給提出請求的客戶虛擬機(jī)。本發(fā)明基于嵌有TCM的硬件平臺(tái)環(huán)境，通過TCM虛擬化方式，實(shí)現(xiàn)客戶 虛擬機(jī)無需修改便可透明地使用所有TCM提供的安全功能的目標(biāo)，解決了單一 物理TCM無法滿足多個(gè)虛擬機(jī)對TCM的具體需求。據(jù)此所建立信任鏈與證書 鏈可確保TCM相關(guān)應(yīng)用從物理環(huán)境向虛擬計(jì)算平臺(tái)環(huán)境的安全擴(kuò)展，構(gòu)建可信 客戶虛擬機(jī)計(jì)算環(huán)境。


圖1為本發(fā)明實(shí)施例在基于VMM模型的虛擬機(jī)上實(shí)現(xiàn)虛擬TCM示意圖；圖2為本發(fā)明實(shí)施例的信任鏈建立過程示意圖；圖3為本發(fā)明實(shí)施例中為虛擬TCM實(shí)例頒發(fā)證書的流程圖。
具體實(shí)施方式
本發(fā)明所提供可信密碼模塊安全虛擬化方法技術(shù)方案為基于VMM模型的 虛擬機(jī)上實(shí)現(xiàn)支持客戶虛擬機(jī)使用的虛擬TCM實(shí)例，建立物理機(jī)至虛擬機(jī)的信 任根。所述實(shí)現(xiàn)虛擬TCM實(shí)例的具體方式如下在虛擬機(jī)的特權(quán)虛擬域中設(shè)置虛擬TCM管理器和虛擬TCM永久性存儲(chǔ)區(qū)；通過虛擬TCM管理器建立和管理虛擬TCM實(shí)例，所建立的虛擬TCM實(shí) 例模擬物理TCM，為客戶虛擬機(jī)提供物理TCM的功能(例如密封存儲(chǔ)，遠(yuǎn)程 證明，密鑰管理)；并且通過虛擬TCM管理器為客戶虛擬機(jī)與虛擬TCM實(shí)例的 通信提供信道，為虛擬TCM實(shí)例頒發(fā)證書，支持虛擬TCM實(shí)例訪問虛擬TCM 永久性存儲(chǔ)區(qū)和物理TCM;采用虛擬TCM永久性存儲(chǔ)區(qū)存儲(chǔ)虛擬TCM實(shí)例的相關(guān)信息(例如虛擬 TCM實(shí)例的口令，和虛擬TCM實(shí)例所管理的密鑰)，虛擬TCM永久性存儲(chǔ)區(qū) 由物理TCM提供密鑰進(jìn)行加密保護(hù)，由虛擬TCM管理器實(shí)現(xiàn)加解密操作。因?yàn)榛赩MM模型的虛擬機(jī)系統(tǒng)中往往有多個(gè)客戶虛擬機(jī)，因此虛擬TCM管理器根據(jù)客戶虛擬機(jī)情況創(chuàng)建和管理各虛擬機(jī)所需的虛擬TCM實(shí)例，例如當(dāng)減少客戶虛擬機(jī)時(shí)刪除相應(yīng)虛擬TCM實(shí)例。虛擬TCM管理器建立的虛擬TCM實(shí)例是為用戶域的客戶虛擬機(jī)提供虛擬TCM功能，因此需要虛擬TCM管理器擔(dān)任信道，同時(shí)也要通過虛擬TCM管理器支持虛擬TCM實(shí)例訪問虛擬TCM永久性存儲(chǔ)區(qū)和物理TCM。并且，通過物理TCM所提供的加密功能和保存其上的密鑰，可以實(shí)現(xiàn)虛擬TCM管理器對虛擬TCM的保護(hù)。參見圖1所示本發(fā)明實(shí)施例首先根據(jù)現(xiàn)有VMM技術(shù)在物理硬件層基礎(chǔ) 上構(gòu)建基于虛擬機(jī)監(jiān)視器的虛擬機(jī)，物理硬件層包括可信計(jì)算機(jī)常用部件，例 如CPU、內(nèi)存、硬盤以及物理TCM。物理硬件層之上即為虛擬機(jī)監(jiān)視器層。按照VMM模型，提供有1個(gè)負(fù)責(zé)創(chuàng)建和管理客戶虛擬機(jī)的特權(quán)域，客戶虛擬機(jī)則處于客戶域。本發(fā)明在特權(quán)域設(shè)置虛擬TCM管理器和虛擬TCM永久性存儲(chǔ) 區(qū)(簡稱VTCM永久存儲(chǔ)區(qū))，虛擬TCM管理器建立虛擬TCM實(shí)例—1、虛擬 TCM實(shí)例一2…虛擬TCM實(shí)例一n，通過這些實(shí)例分別為客戶虛擬機(jī)1、客戶虛 擬機(jī)2…客戶虛擬機(jī)n提供虛擬TCM，可記為虛擬TCM1、虛擬TCM2…虛擬 TCMn。應(yīng)用程序(如虛擬TCM管理器，客戶虛擬機(jī)內(nèi)應(yīng)用程序等)讀寫TCM 字符類設(shè)備文件時(shí),通過TCM驅(qū)動(dòng)程序可將TCM命令和命令執(zhí)行的結(jié)果按TCM 規(guī)范的格式輸入/輸出TCM芯片?，F(xiàn)有物理TCM可以應(yīng)用于為計(jì)算機(jī)平臺(tái)建立信任鏈，保證安全啟動(dòng)；為了 確保TCM相關(guān)應(yīng)用從物理環(huán)境向虛擬計(jì)算平臺(tái)環(huán)境的安全擴(kuò)展，本發(fā)明提供了 進(jìn)一歩技術(shù)方案，實(shí)現(xiàn)虛擬TCM作用下虛擬機(jī)的信任鏈建立過程，參照圖2所示歩驟l，靜態(tài)可信根度量并加載BIOS。實(shí)施例中，計(jì)算機(jī)啟動(dòng)時(shí)，靜態(tài)可信根(the Core Root of Trust for Measurement, CRTM，是處于BIOS內(nèi)的代碼)首先獲得控制權(quán)，CRTM對包 括BIOS在內(nèi)的所有連接到主板上的固件(例如主板內(nèi)置的Option ROM)進(jìn)行度 量，將度量值擴(kuò)展到物理TCM的平臺(tái)狀態(tài)寄存器(PCR)中。步驟2， BIOS度量并加載啟動(dòng)加載器。實(shí)施例中，CRTM將控制權(quán)交給BIOS, BIOS度量平臺(tái)硬件的配置信息與 啟動(dòng)加載器(BootLoader，或稱初始化程序加載器IPL)，將度量值擴(kuò)展至PCR 屮。步驟3，啟動(dòng)加載器度量并加載虛擬機(jī)監(jiān)視器。實(shí)施例中，BIOS將控制權(quán)交給BootLoader, BootLoader度量虛擬機(jī)監(jiān)視器(VMM)及其配置信息，將度量值擴(kuò)展至PCR中。步驟4，虛擬機(jī)監(jiān)視器建立特權(quán)域，度量并啟動(dòng)虛擬TCM管理器與用戶域 創(chuàng)建器。實(shí)施例中，BootLoader將控制權(quán)交給VMM, VMM度量虛擬TCM管理器 與客戶域創(chuàng)建器(Domain Builder,在特征域創(chuàng)建客戶虛擬機(jī)的工具)將度量值擴(kuò) 展至PCR中。歩驟5，當(dāng)啟動(dòng)一個(gè)客戶虛擬機(jī)時(shí)，虛擬TCM管理器先為客戶虛擬機(jī)創(chuàng)建 一個(gè)虛擬TCM實(shí)例，隨后用戶域創(chuàng)建器初始化客戶虛擬機(jī)。歩驟6，客戶虛擬機(jī)的虛擬靜態(tài)可信根執(zhí)行度量并加載虛擬BIOS。 實(shí)施例中，客戶虛擬機(jī)的虛擬靜態(tài)可信根vCRTM首先被執(zhí)行，vCRTM獲 得控制權(quán)。vCRTM對客戶虛擬機(jī)的虛擬BIOS和各種虛擬的固件進(jìn)行度量，將 度量值擴(kuò)展到虛擬TCM實(shí)例的平臺(tái)狀態(tài)寄存器vPCR中，vPCR模擬物理TCM 的PCR。步驟7，虛擬BIOS度量并加載啟動(dòng)加載器；實(shí)施例中，虛擬靜態(tài)可信根vCRTM將控制權(quán)交給虛擬BIOS,虛擬BIOS 度量平臺(tái)硬件的配置信息與客戶虛擬機(jī)的啟動(dòng)加載器BootLoader,將度量值擴(kuò) 展至vPCR中。步驟8，啟動(dòng)加載器度量并加載客戶虛擬機(jī)操作系統(tǒng)；實(shí)施例中，虛擬BIOS將控制權(quán)交給BootLoader, BootLoader度量客戶虛擬 機(jī)的操作系統(tǒng)內(nèi)核及其配置信息，將度量值擴(kuò)展至vPCR中。步驟9，客戶虛擬機(jī)操作系統(tǒng)度量并加載其上運(yùn)行的各個(gè)應(yīng)用程序。實(shí)施例中，BootLoader將控制權(quán)交給客戶虛擬機(jī)的操作系統(tǒng)，客戶虛擬機(jī)的操作系統(tǒng)度量其上運(yùn)行的各類客戶機(jī)應(yīng)用程序，將度量值擴(kuò)展至VPCR中。將各步驟所得度量值分別擴(kuò)展至物理TCM的PCR和虛擬TCM實(shí)例的 vPCR，可在此基礎(chǔ)上生成引證信息，遠(yuǎn)程驗(yàn)證方通過驗(yàn)證引證信息來檢驗(yàn)虛擬 平臺(tái)的平臺(tái)完整性。為了確保TCM相關(guān)應(yīng)用從物理環(huán)境向虛擬計(jì)算平臺(tái)環(huán)境的安全擴(kuò)展，本發(fā) 明還提供了進(jìn)一步技術(shù)方案，實(shí)現(xiàn)虛擬TCM作用下虛擬機(jī)的證書鏈建立過程， 客戶虛擬機(jī)向虛擬TCM管理器提出頒發(fā)證書請求后處理步驟如下-歩驟一，物理TCM生成物理平臺(tái)身份證明密鑰，并向可信CA請求物理平 臺(tái)身份證明密鑰證書；步驟二，可信CA驗(yàn)證請求并向物理平臺(tái)頒發(fā)物理平臺(tái)身份證明密鑰證書；步驟三，客戶虛擬機(jī)通過虛擬TCM實(shí)例生成虛擬平臺(tái)身份證明密鑰，并向 虛擬TCM管理器請求虛擬平臺(tái)身份證明密鑰證書；步驟四，虛擬TCM管理器獲取物理平臺(tái)的引證信息，并用一個(gè)被物理平臺(tái)身份證明密鑰簽署的簽名密鑰對引證信息與虛擬平臺(tái)身份證明密鑰的公鑰進(jìn)行簽名；將簽名結(jié)果與物理平臺(tái)身份證明密鑰證書一起即構(gòu)成虛擬平臺(tái)身份證明密鑰，發(fā)給提出請求的客戶虛擬機(jī)。參照圖3，為了便于實(shí)施參考，實(shí)施例提供了更詳細(xì)地為虛擬TCM實(shí)例頒發(fā)虛擬平臺(tái)身份證明密鑰證書過程，如下所示① 物理TCM首先產(chǎn)生一個(gè)物理平臺(tái)身份證明密鑰PIK，按照TCM標(biāo)準(zhǔn)， PIK是2048位的RSA密鑰對；② 物理TCM向一個(gè)可信CA請求PIK證書，請求中包含PIK公鑰、密碼模 塊密鑰EK證書(TCM自帶)和其它平臺(tái)相關(guān)的信息(例如平臺(tái)證書、TCM版本、PIK標(biāo)簽)。可信CA是安全驗(yàn)證領(lǐng)域的可信第三方， 一般采用服務(wù)器形式 提供頒發(fā)證書的服務(wù)。③可信CA驗(yàn)證EK證書及相關(guān)信息，驗(yàn)證通過則為PIK簽發(fā)PIK證書。
虛擬TCM實(shí)例產(chǎn)生一個(gè)虛擬平臺(tái)身份證明密鑰vPIK，與物理TCM相應(yīng)， 生成的vPIK也是2048位的RSA密鑰對。⑤ 客戶虛擬機(jī)向虛擬TCM管理器請求vPIK證書，請求中包含vPIK公鑰與 一個(gè)隨機(jī)數(shù)Nonce。采用隨機(jī)數(shù)可以抗重放攻擊，屬于現(xiàn)有技術(shù)。⑥ 虛擬TCM管理器獲取物理平臺(tái)的引證信息，用于證明物理平臺(tái)即虛擬 TCM底層平臺(tái)的完整性。實(shí)施例中，虛擬TCM管理器可以直接利用信任鏈建 立后物理TCM的平臺(tái)狀態(tài)寄存器，用物理TCM產(chǎn)生對平臺(tái)狀態(tài)寄存器的引證 信息，能夠方便地證明物理平臺(tái)完整性情況。生成引證信息時(shí)，應(yīng)在其中包含 虛擬平臺(tái)發(fā)來的隨機(jī)數(shù)Nonce。⑦ 虛擬TCM管理器利用物理TCM產(chǎn)生一個(gè)簽名密鑰SK， SK是--個(gè)2048 位RSA密鑰對。@虛擬TCM管理器用物理平臺(tái)身份證明密鑰PIK簽署簽名密鑰SK，證明 該簽名密鑰與PIK同屬一個(gè)物理平臺(tái)。⑨虛擬TCM管理器用簽名密鑰SK對vPIK的公鑰和物理平臺(tái)的引證信息 進(jìn)行簽名，并附上PIK證書，即構(gòu)成vPIK證書，然后發(fā)送給請求該證書的客戶 虛擬機(jī)即可。遠(yuǎn)程驗(yàn)證方通過驗(yàn)證vPIK證書，可知 1 、 vPIK是可信的，并且是虛擬TCM產(chǎn)生的(通過驗(yàn)證SK對vAIK的簽名)。 2、虛擬TCM是可信的并受到物理TCM的保護(hù)(通過驗(yàn)證PIK對SK簽名)。物理TCM是真實(shí)可信的(通過驗(yàn)證PIK證書)。 3、當(dāng)前虛擬平臺(tái)所運(yùn)行的底層環(huán)境，即VMM與特權(quán)域，是可信的(通過 驗(yàn)證物理平臺(tái)的引證信息)。
權(quán)利要求
1.一種可信密碼模塊安全虛擬化方法，其特征在于在基于VMM模型的虛擬機(jī)上實(shí)現(xiàn)支持客戶虛擬機(jī)使用的虛擬TCM實(shí)例，建立物理機(jī)至虛擬機(jī)的信任鏈；所述實(shí)現(xiàn)虛擬TCM實(shí)例的具體方式如下，在虛擬機(jī)的特權(quán)虛擬域中設(shè)置虛擬TCM管理器和虛擬TCM永久性存儲(chǔ)區(qū)；通過虛擬TCM管理器建立和管理虛擬TCM實(shí)例，所建立的虛擬TCM實(shí)例模擬物理TCM，為客戶虛擬機(jī)提供物理TCM的功能；并且通過虛擬TCM管理器為客戶虛擬機(jī)與虛擬TCM實(shí)例的通信提供信道，為虛擬TCM實(shí)例頒發(fā)證書，支持虛擬TCM實(shí)例訪問虛擬TCM永久性存儲(chǔ)區(qū)和物理TCM；采用虛擬TCM永久性存儲(chǔ)區(qū)存儲(chǔ)虛擬TCM實(shí)例的相關(guān)信息，虛擬TCM永久性存儲(chǔ)區(qū)由物理TCM提供密鑰進(jìn)行加密保護(hù)，由虛擬TCM管理器實(shí)現(xiàn)加解密操作。
2.如權(quán)利要求1所述的可信密碼模塊安全虛擬化方法，其特征在于所述建立 從物理機(jī)至虛擬機(jī)的信任鏈，流程如下，步驟l，靜態(tài)可信根度量并加載BIOS; 歩驟2， BIOS度量并加載啟動(dòng)加載器； 步驟3，啟動(dòng)加載器度量并加載虛擬機(jī)監(jiān)視器；步驟4，虛擬機(jī)監(jiān)視器建立特權(quán)域，度量并啟動(dòng)虛擬TCM管理器與用戶域創(chuàng)建器；步驟5，當(dāng)啟動(dòng)一個(gè)客戶虛擬機(jī)時(shí)，虛擬TCM管理器先為客戶虛擬機(jī)創(chuàng)建一 個(gè)虛擬TCM實(shí)例，隨后用戶域創(chuàng)建器初始化客戶虛擬機(jī)；步驟6，客戶虛擬機(jī)的虛擬靜態(tài)可信根執(zhí)行度量并加載虛擬BIOS; 步驟7，虛擬BIOS度量并加載啟動(dòng)加載器；步驟8，啟動(dòng)加載器度量并加載客戶虛擬機(jī)操作系統(tǒng)；步驟9，客戶虛擬機(jī)操作系統(tǒng)度量并加載其上運(yùn)行的各個(gè)應(yīng)用程序。
3.如權(quán)利要求1或2所述的可信密碼模塊安全虛擬化方法，其特征在于所述為虛擬TCM實(shí)例頒發(fā)證書的具體實(shí)現(xiàn)方式為，客戶虛擬機(jī)向虛擬TCM管理器提出頒發(fā)證書請求后進(jìn)行以下步驟，步驟一，物理TCM生成物理平臺(tái)身份證明密鑰，并向可信CA請求物理平臺(tái) 身份證明密鑰證書；步驟二，可信CA驗(yàn)證請求并向物理平臺(tái)頒發(fā)物理平臺(tái)身份證明密鑰證書；歩驟三，客戶虛擬機(jī)通過虛擬TCM實(shí)例生成虛擬平臺(tái)身份證明密鑰，并向 虛擬TCM管理器請求虛擬平臺(tái)身份證明密鑰證書；歩驟四，虛擬TCM管理器獲取物理平臺(tái)的引證信息，并用一個(gè)被物理平臺(tái) 身份證明密鑰簽署的簽名密鑰對引證信息與虛擬平臺(tái)身份證明密鑰的公鑰進(jìn)行 簽名；將簽名結(jié)果與物理平臺(tái)身份證明密鑰證書一起即構(gòu)成虛擬平臺(tái)身份證明 密鑰，發(fā)給提出請求的客戶虛擬機(jī)。
全文摘要
本發(fā)明公開了一種可信密碼模塊安全虛擬化方法在基于VMM模型的虛擬機(jī)上實(shí)現(xiàn)支持客戶虛擬機(jī)使用的虛擬TCM實(shí)例，建立物理機(jī)至虛擬機(jī)的信任鏈；在虛擬機(jī)的特權(quán)虛擬域中設(shè)置虛擬TCM管理器和虛擬TCM永久性存儲(chǔ)區(qū)；通過虛擬TCM管理器建立和管理虛擬TCM實(shí)例，所建立的虛擬TCM實(shí)例模擬物理TCM，為客戶虛擬機(jī)提供物理TCM的功能；并且通過虛擬TCM管理器為客戶虛擬機(jī)與虛擬TCM實(shí)例的通信提供信道，為虛擬TCM實(shí)例頒發(fā)證書，支持虛擬TCM實(shí)例訪問虛擬TCM永久性存儲(chǔ)區(qū)和物理TCM；采用虛擬TCM永久性存儲(chǔ)區(qū)存儲(chǔ)虛擬TCM實(shí)例的相關(guān)信息。本發(fā)明整合了虛擬機(jī)的特點(diǎn)與可信計(jì)算的技術(shù)優(yōu)勢，通過模擬的方式實(shí)現(xiàn)可信密碼模塊的功能，解決了單一物理TCM無法滿足多個(gè)虛擬機(jī)對TCM的具體需求。
文檔編號G06F21/00GK101599025SQ20091006308
公開日2009年12月9日 申請日期2009年7月7日 優(yōu)先權(quán)日2009年7月7日
發(fā)明者任正偉, 余榮威, 波 匡, 凱 周, 帆 尹, 磊 尹, 晉 柯, 王麗娜, 新 金 申請人:武漢大學(xué)