基于虚拟化技术的终端可信增强方法及系统的制作方法
【技术领域】
[0001]本发明涉及可信计算领域，具体而言，涉及一种基于虚拟化技术的终端可信增强方法及系统。
【背景技术】
[0002]随着终端的普及，终端安全已成为人们关注的重要问题。如何实现终端安全，为用户提供可信赖的终端计算环境，已成为目前急需解决的问题。
[0003]当前，针对于终端安全问题，尤其是终端操作系统安全问题，主要是通过防火墙、入侵检测和病毒防护等传统的操作系统安全技术，从外部来封堵企图共享信息资源和越权访问的非法用户。
[0004]但是这些传统的操作系统安全技术只能从外部来防止恶意攻击和越权访问，无法防止终端操作系统内部信息的泄漏或篡改。
【发明内容】
[0005]有鉴于此，本发明实施例的目的在于提供一种基于虚拟化技术的终端可信增强方法及系统，从内部防止操作系统信息的泄露或篡改，实现终端的可信增强。
[0006]第一方面，本发明实施例提供了一种基于虚拟化技术的终端可信增强方法，所述方法包括:
[0007]可信终端根据小型存储设备Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，校验通过后启动操作系统；
[0008]所述可信终端根据白名单配置文件和白名单驱动程序对动态加载的应用程序、月艮务及外部设备驱动进行完整性检验，实现所述可信终端的可信增强；其中，所述白名单配置文件包括应用程序的标识、所述应用程序的动态库的标识及所述应用程序的摘要值。
[0009]结合第一方面，本发明实施例提供了上述第一方面的第一种可能的实现方式，其中，所述可信终端根据Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，包括:
[0010]可信终端开机启动时，生成裸机型虚拟机相关文件的校验值及操作系统内核文件的校验值；
[0011]所述可信终端调用Ukey中的密码杂凑SM3算法接口分别对所述裸机型虚拟机相关文件的校验值及所述操作系统内核文件的校验值进行二次校验，得到所述裸机型虚拟机相关文件的二次校验值及所述操作系统内核文件的二次校验值；
[0012]所述可信终端分别将所述裸机型虚拟机相关文件的二次校验值和所述操作系统内核文件的二次校验值与所述Ukey中存储的校验信息进行比较，根据比较的结果确定所述操作系统内核文件及所述裸机型虚拟机相关文件的完整性。
[0013]结合第一方面，本发明实施例提供了上述第一方面的第二种可能的实现方式，其中，所述可信终端根据白名单配置文件和白名单驱动程序对动态加载的应用程序、服务及外部设备驱动进行完整性检验，包括:
[0014]所述可信终端启动操作系统后，加载白名单驱动程序，通过所述白名单驱动程序拦截在用户态动态加载的应用程序、服务及外部设备驱动；
[0015]所述可信终端调用本地SM3算法对拦截到的所述应用程序、服务及外部设备驱动进行检验运算，分别得到所述应用程序、服务及外部设备驱动对应的校验值；
[0016]所述可信终端根据白名单配置文件和所述应用程序、服务及外部设备驱动的标识，对所述应用程序、服务及外部设备驱动对应的校验值进行校验，根据校验的结果确定所述应用程序、服务及外部设备驱动的完整性。
[0017]结合第一方面，本发明实施例提供了上述第一方面的第三种可能的实现方式，其中，所述可信终端根据Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验之前，还包括
[0018]可信终端接收管理中心发送的白名单配置文件和裸机型虚拟机安装程序，存储所述白名单配置文件，根据所述裸机型虚拟机安装程序，安装预设数量的裸机型虚拟机，并通过串行通信总线USB接口与Ukey建立通信连接。
[0019]结合第一方面的第三种可能的实现方式，本发明实施例提供了上述第一方面的第四种可能的实现方式，其中，所述通过串行通信总线USB接口与Ukey建立通信连接，包括:
[0020]所述可信终端检测到USB接口有Ukey插入时，提示用户输入个人识别密码PIN码；
[0021]所述可信终端获取所述Ukey中存储的PIN码，将获取的PIN码与所述用户输入的PIN码进行比较；
[0022]若所述获取的PIN码与所述用户输入的PIN码相同，则所述可信终端与所述Ukey建立通信连接。
[0023]结合第一方面，本发明实施例提供了上述第一方面的第五种可能的实现方式，其中，所述方法还包括:
[0024]所述可信终端采集用户操作信息和访问行为信息，将所述用户操作信息和所述访问行为信息组成安全日志，存储所述安全日志，并每隔预设时间段将所述安全日志发送给管理中心。
[0025]第二方面，本发明实施例提供了一种基于虚拟化技术的终端可信增强方法，所述方法包括:
[0026]管理中心生成Ukey配置信息，将所述Ukey配置信息存储在可信终端对应的Ukey中，所述Ukey配置信息包括校验信息，以使所述可信终端根据所述Ukey中存储的校验信息启动操作系统；
[0027]所述管理中心获取白名单配置文件，所述白名单配置文件包括应用程序的标识、所述应用程序的动态库的标识及所述应用程序的摘要值；
[0028]所述管理中心发送裸机型虚拟机安装程序和所述白名单配置文件给所述可信终端，使所述可信终端根据所述裸机型虚拟机安装程序安装裸机型虚拟机，以及使所述可信终端根据所述白名单配置文件实现可信增强。
[0029]结合第二方面，本发明实施例提供了上述第二方面的第一种可能的实现方式，其中，所述管理中心获取白名单配置文件，包括:
[0030]所述管理中心在样板机上安装应用程序时，通过可信进程调用本地SM3算法计算所述应用程序的每个可执行文件的摘要值，得到所述应用程序的摘要值；
[0031]所述管理中心检测到所述应用程序安装过程中加载动态库时，获取所述动态库的名称；
[0032]所述管理中心将所述应用程序的名称、所述动态库的名称及所述应用程序的摘要值组成白名单配置文件中所述应用程序对应的一条记录。
[0033]结合第二方面，本发明实施例提供了上述第二方面的第二种可能的实现方式，其中，所述方法还包括:
[0034]所述管理中心接收所述可信终端发送的安全日志，将所述安全日志发送给审计管理员对应的终端。
[0035]第三方面，本发明实施例提供了一种基于虚拟化技术的终端可信增强系统，所述系统包括:管理中心和可信终端；
[0036]所述管理中心，用于生成Ukey配置信息，将所述Ukey配置信息存储在所述可信终端对应的Ukey中，获取白名单配置文件，以及发送裸机型虚拟机安装程序和所述白名单配置文件给所述可信终端，所述Ukey配置信息包括校验信息，所述白名单配置文件包括应用程序的标识、所述应用程序的动态库的标识及所述应用程序的摘要值；
[0037]所述可信终端，用于根据所述Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，校验通过启动后操作系统；以及接收所述管理中心发送的裸机型虚拟机安装程序和所述白名单配置文件，根据所述裸机型虚拟机安装程序安装裸机型虚拟机，根据所述白名单配置文件和白名单驱动程序对动态加载的应用程序、月艮务及外部设备驱动进行完整性检验，实现所述可信终端的可信增强。
[0038]在本发明实施例中，可信终端根据Ukey中存储的校验信息，对操作系统内核文件及裸机型虚拟机相关文件进行完整性校验，校验通过后启动操作系统，建立了静态信任链，从内部防止操作系统信息的泄露或篡改。另外，可信终端根据白名单配置文件和白名单驱动程序对动态加载的应用程序、服务及外部设备驱动进行完整性检验，建立了动态信任链，从外部阻止恶意攻击和越权访问，实现了可信终端的可信增强。
[0039]为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。
【附图说明】
[0040]为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。
[0041]图1A示出了本发明实施例1所提供的一种基于虚拟化技术的终端可信增强方法的信令交互图；
[0042]图1B示出了本发明实施例1所提供的一种Ukey配置信息的示意图；
[0043]图1C示出了本发明实施例1所提供的一种虚拟的可信终端的体系结构示意图；
[0044]图1D示出了本发明实施例1所提供的一种静态信任链建立过程的示意图；
[0045]图2示出了本发明实施例2所提供的一种基于虚拟化技术的终端可信增强系统的结构示意图。
【具体实施方式】
[0046]下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
[0047]考虑到相关技术中防火墙、入侵检测和病毒防护等传统的操作系统安全技术，只能从外部来防止恶意攻击和越权访问，无