一种基于信任根的虚拟机安全管理方法
【技术领域】
[0001]本发明涉及云计算环境中关于虚拟化安全的技术，具体地，是一种基于信任根的虚拟机安全管理方法。
【背景技术】
[0002]可信根是可信计算(Trusted Computing)的由来，可信计算(Trusted Computing)是一项由可信计算组织(Trusted Computing Group，TCG)推荐和开发的技术。TCG的核心部分是可信平台模块(TPM)，它是一块嵌入在计算机主板上的微型密码芯片，它给程序提供基于硬件的安全保护。TPM提供一个基于硬件的可信根，它提供内部的密钥存储空间和存放摘要值的寄存器等。TPM还提供密码功能来实现加密/解密，签名/验证以及生成基于硬件的随机数等功能。
[0003]云计算环境中的安全问题很大程度上是因为虚拟化技术的资源虚拟共享引起的。目前TPM等主流的可信设备都不能有效地运行在KVM虚拟机上，并且不能被虚拟计算域所并发共享，这为多虚拟计算域之间的安全隔离、可信根的构建引入潜在安全威胁。
[0004]目前没有发现同本发明类似技术的说明或报道，也尚未收集到国内外类似的资料。
【发明内容】
[0005]针对现有技术中存在的上述不足，本发明的目的是提供一种基于信任根的虚拟机安全管理方法，该方法通过虚拟化安全、信任域(根)的构建、安全管理模块、信任链的建立，旨在为运行在Iibvirt(KVM)虚拟环境下的操作系统提供安全机制，实现虚拟环境下可信计算服务，构建完整的可信链，为虚拟机提供安全管理保障。
[0006]为实现上述目的，本发明是通过以下技术方案实现的。
[0007]步骤SI:加载TPM后端驱动:在特权域中加载TPM后端驱动，并生成模拟设备νΤΡΜ(虚拟TPM设备)；优选地，所述虚拟TPM设备主要用于:
[0008]-与物理TPM驱动交互，实现物理TPM虚拟化的能力；
[0009]-接收来自前端TPM驱动的指令，并交给模拟设备νΤΡΜ处理；
[0010]步骤S2:启动虚拟TPM设备管理器:初始化虚拟TPM设备管理器的虚拟化监视器的全局配置来存储虚拟TPM相关信息，并且根据物理TPM创建一个根虚拟TPM，该根虚拟TPM是拥有最高权限的TPM实例，记为Ring-O;
[0011]步骤S3:启动虚拟TPM设备管理器的监听线程;该监听线程用于:
[0012]-监听Hypervisor(虚拟化监视器)实例的启动；
[0013]-监听并响应Hypervisor(虚拟化监视器)传来的TPM指令请求；
[0014]-作为安全管理线程；
[0015]步骤S4:为QEMU(模拟处理器)创建虚拟TPM实例;优选地，该虚拟TPM实例也受虚拟TPM设备管理器控制；
[0016]步骤S5:加载前端驱动:在KVM虚拟机中加载虚拟TPM前端驱动，并与步骤SI中生成的虚拟TPM设备通过应用层前端驱动及内核驱动建立可信链接通道；
[0017]步骤S6:启用安全管理线程，并加载安全策略；
[0018]步骤S7:处理来自Hypervisor (虚拟化监视器)的TPM指令:Hypervisor发出TPM指令，该TPM指令由虚拟TPM的监听线程处理后，并将处理后的TPM指令交给根虚拟TPM，完成一个完整的TPM指令请求与响应。
[0019]本发明提供的基于信任根的虚拟机安全管理方法，主要完成以下几个方面的内容:
[0020]I)针对云虚拟化安全问题和安全技术的不足，研究面向云安全的虚拟可信体系框架及其关键技术，该框架从启动安全和运行态的安全监控两方面来为云虚拟化平台提供安全保障，目标是增强云虚拟化平台的安全性和可靠性，并能够对外或对内提供云虚拟化平台的状态证明。
[0021]2)针对框架中虚拟域可信根的构建，分别实现了虚拟可信根、虚拟可信根驱动模块和虚拟可信根管理模块。此外，基于虚拟域可信根的构建，研究了虚拟化环境中的信任链建立机制和平台状态证明机制。
[0022]3)针对框架中虚拟域可信根的构建，分别实现了虚拟可信根、虚拟可信根驱动模块和虚拟可信根管理模块。此外，基于虚拟域可信根的构建，研究了虚拟化环境中的信任链建立机制和平台状态证明机制。
[0023]由于TPM虚拟化为虚拟机提供了TPM的安全存储和密码计算功能，TPM也是支持软件完整的远程证明这样的高层可信服务的必然需求，再结合虚拟监视器能力，在Hypervisor层对虚拟机内部进行安全管理。本发明结合TPM前端驱动，TPM后端驱动，虚拟TPM，内核层后端驱动，模拟设备，以及管理虚拟监视器实现对虚拟机安全管理能力。
[0024]与现有技术相比，本发明具有如下有益效果:
[0025]I)对传统的TPM实现虚拟化的能力；
[0026]2)在虚拟化系统之上对客户机进行完整性保护、隔离；
[0027 ] 3)在hypervisor之上实现对虚拟机的安全管理。
【附图说明】
[0028]通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显:
[0029]图1为基于信任根的虚拟机安全管理方法流程图。
[0030]图2为基于信任根的虚拟机结构示意图。
【具体实施方式】
[0031]下面对本发明的实施例作详细说明:本实施例在以本发明技术方案为前提下进行实施，给出了详细的实施方式和具体的操作过程。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。
[0032]实施例
[0033]本实施例提供了一种基于信任根的虚拟机安全管理方法，包括如下步骤:
[0034]步骤SI:加载TPM后端驱动:在特权域中加载TPM后端驱动，并生成模拟设备νΤΡΜ(虚拟TPM设备)；该虚拟TPM设备主要用于:
[0035]-与物理TPM驱动交互，实现物理TPM虚拟化的能力；
[0036]-接收来自前端TPM驱动的指令，并交给模拟设备νΤΡΜ处理；
[0037]步骤S2:启动虚拟TPM设备管理器:初始化虚拟TPM设备管理器的虚拟化监视器的全局配置来存储虚拟TPM相关信息，并且根据物理TPM创建一个根虚拟TPM，该根虚拟TPM是拥有最高权限的TPM实例，记为Ring-O;
[0038]步骤S3:启动虚拟TPM设备管理器的监听线程;该监听线程用于:
[0039]-监听Hypervisor(虚拟化监视器)实例的启动；
[°04°]-监听并响应Hypervisor (虚拟化监视器)传来的TPM指令请求；
[0041 ]-作为安全管理线程；
[0042]步骤S4:为QEMU(模拟处理器)创建虚拟TPM实例；该虚拟TPM实例也受虚拟TPM设备管理器控制；
[0043]步骤S5:加载前端驱动:在KVM虚拟机中加载虚拟TPM前端驱动，并与步骤SI中生成的虚拟TPM设备通过应用层前端驱动及内核驱动建立可信链接通道；
[0044]步骤S6:启用安全管理线程，并加载安全策略；
[0045]步骤S7:处理来自Hypervisor (虚拟化监视器)的TPM指令:Hypervisor发出TPM指令，该TPM指令由虚拟TPM的监听线程处理后，并将处理后的TPM指令交给根虚拟TPM，完成一个完整的TPM指令请求与响应。
[0046]本实施例提供的基于信任根的虚拟机安全管理方法，针对云计算环境中的安全风险和信任问题，在云虚拟化平台中增加有效的可信保障机制，结合可信计算技术和安全监控技术使得云虚拟化平台更加安全可靠;在研究云虚拟化平台中典型安全问题及相关安全技术的基础上，对云虚拟化环境中的可信保障机制及其关键技术进行了深入研究，根据其原理归纳为虚拟机越界行为和虚拟机越权行为两大类，并且针对安全问题从虚拟机安全技术和虚拟机监视器安全两方面对现有的虚拟化安全技术进行研究，具有对传统的TPM实现虚拟化的能力;在虚拟化系统之上对客户机进行完整性保护、隔离;在hypervisor之上实现对虚拟机的安全管理。
[0047]以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变形或修改，这并不影响本发明的实质内容。
【主权项】
1.一种基于信任根的虚拟机安全管理方法，其特征在于，包括如下步骤: 步骤SI:加载TPM后端驱动:在特权域中加载TPM后端驱动，并生成虚拟TPM设备； 步骤S2:启动虚拟TPM设备管理器:初始化虚拟TPM设备管理器的虚拟化监视器的全局配置来存储虚拟TPM相关信息，并且根据物理TPM创建一个根虚拟TPM，该根虚拟TPM是拥有最高权限的TPM实例，记为Ring-O; 步骤S3:启动虚拟TPM设备管理器的监听线程;该监听线程用于: -监听虚拟化监视器实例的启动； -监听并响应虚拟化监视器传来的TPM指令请求； -作为安全管理线程； 步骤S4:为模拟处理器创建虚拟TPM实例； 步骤S5:加载前端驱动:在KVM虚拟机中加载虚拟TPM前端驱动，并与步骤SI中生成的虚拟TPM设备通过应用层前端驱动及内核驱动建立可信链接通道； 步骤S6:启用安全管理线程，并加载安全策略； 步骤S7:处理来自虚拟化监视器的TPM指令:虚拟化监视器出TPM指令，该TPM指令由虚拟TPM的监听线程处理后，并将处理后的TPM指令交给根虚拟TPM，完成一个完整的TPM指令请求与响应。2.根据权利要求1所述的基于信任根的虚拟机安全管理方法，其特征在于，所述虚拟TPM设备用于: -与物理TPM驱动交互，实现物理TPM虚拟化的能力； -接收来自前端TPM驱动的指令，并交给虚拟TPM设备处理。3.根据权利要求1所述的基于信任根的虚拟机安全管理方法，其特征在于，所述步骤S4中，虚拟TPM实例受虚拟TPM设备管理器控制。
【专利摘要】本发明提供了一种基于信任根的虚拟机安全管理方法，包括如下步骤：步骤S1：加载应用层后端驱动，生成模拟设备vTPM；步骤S2：启动虚拟化监视器；步骤S3：创建虚拟TPM的监听线程；步骤S4：为QEMU创建虚拟TPM；步骤S5：加载前端驱动；步骤S6：启用安全管理线程，并加载安全策略；步骤S7：处理来自Hypervisor的TPM指令。本发明提供的基于信任根的虚拟机安全管理方法，对传统的TPM实现虚拟化的能力；在虚拟化系统之上对客户机进行完整性保护、隔离；在hypervisor之上实现对虚拟机的安全管理。
【IPC分类】G06F21/57, G06F9/455
【公开号】CN105574415
【申请号】CN201510901627
【发明人】杨飞
【申请人】中电科华云信息技术有限公司
【公开日】2016年5月11日
【申请日】2015年12月8日