主机度量方法及装置与流程

本发明涉及计算机安全领域，具体而言，涉及一种主机度量方法及装置。
背景技术：
：当前的网络空间极其脆弱，震网、wannacry勒索病毒、mirai等造成较大影响的网络攻击事件层出不穷，且日益猖獗。究其根源，在于并没有从网络安全风险的实质原因入手解决问题，一味采用以“防火墙”、“病毒查杀”、“入侵检测”等为代表的“封堵查杀”被动防御手段，特别在面对针对目标系统的漏洞发起的攻击时，根本无法有效防御。为解决当前网络空间安全面临的问题，国际上tcg(trustedcomputinggroup，可信计算组织)组织提出了可信计算的方法，提出了以tpm和bios起始代码为信任根，一级度量一级，进而实现对计算机的启动度量，以构建起计算机的信任链，保护计算机重要资源不被非法篡改和破坏，起到了较好的效果。但是，tpm(trustedplatformmodule，可信平台模块)本质上只是计算机上一个被动挂接的外部设备，只有被主机程序调用才会发挥作用，一旦主机被攻击者控制，tpm的作用就会无从发挥，导致tcg的可信计算架构在面对黑客利用计算机系统逻辑缺陷进行攻击时，基本难以抵御，例如windows10完全实现了tcg的可信计算架构，但是却未能阻止wannacry勒索病毒的攻击。针对上述的问题，目前尚未提出有效的解决方案。技术实现要素：本发明实施例提供了一种主机度量方法及装置，以至少解决现有技术中，主机被攻击者控制时tpm无法起作用，导致计算机无法抵御外部攻击的技术问题。根据本发明实施例的一个方面，提供了一种主机度量方法，包括：可信平台控制模块接收策略发送方发送的度量策略；所述可信平台控制模块对接收到的所述度量策略进行验签操作；若所述验签操作通过，则所述可信平台控制模块根据所述度量策略对主机进行可信度量和控制。可选地，在可信平台控制模块接收策略发送方发送的度量策略之前，所述方法还包括：建立可信软件基与所述策略发送方之间的可信连接；在所述可信连接成功建立的情况下，利用所述可信软件基将所述度量策略发送给所述可信平台控制模块。可选地，在可信平台控制模块接收策略发送方发送的度量策略之前，所述方法还包括：所述策略发送方从私钥中心请求私钥证书，并利用所述私钥证书对所述度量策略进行签名，得到签名后的度量策略；所述可信平台控制模块接收策略发送方发送的度量策略包括：所述可信平台控制模块接收所述策略发送方发送的所述签名后的度量策略。可选地，所述可信平台控制模块中预置有根密钥证书，所述可信平台控制模块对接收到的所述度量策略进行验签操作包括：所述可信平台控制模块利用所述根密钥证书验证所述签名后的度量策略中携带的所述私钥证书；在所述私钥证书验证通过的情况下，所述可信平台控制模块使用所述私钥证书验证所述度量策略；在所述度量策略验证通过的情况下，确定所述验签操作通过。可选地，所述可信平台控制模块接收策略发送方发送的度量策略包括：在主机的操作系统启动后，所述可信平台控制模块接收策略工具发送的所述度量策略，其中，所述策略工具用于解析管理员编辑的度量策略文件，得到所述度量策略，并将所述度量策略发送给所述可信平台控制模块。可选地，所述可信平台控制模块接收策略发送方发送的度量策略包括：在可信平台管理中心检测到度量策略下发请求时，所述可信平台管理中心将所述度量策略下发给所述可信平台控制模块，其中，所述可信平台管理中心用于提供度量策略模板，并存储及下发管理员基于所述度量策略模板编辑得到的所述度量策略。根据本发明实施例的一个方面，提供了一种主机度量装置，包括：接收模块，用于可信平台控制模块接收策略发送方发送的度量策略；验签模块，用于所述可信平台控制模块对接收到的所述度量策略进行验签操作；若所述验签操作通过，则所述可信平台控制模块根据所述度量策略对主机进行可信度量和控制。可选地，装置还包括：连接模块，用于建立可信软件基与所述策略发送方之间的可信连接；发送模块，用于在所述可信连接成功建立的情况下，利用所述可信软件基将所述度量策略发送给所述可信平台控制模块。根据本发明实施例的一个方面，提供了一种存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行上述的主机度量方法。根据本发明实施例的一个方面，提供了一种处理器，所述处理器用于运行程序，其中，所述程序运行时执行上述的主机度量方法。在本发明实施例中，采用可信平台控制模块接收策略发送方发送的度量策略；所述可信平台控制模块对接收到的所述度量策略进行验签操作；若所述验签操作通过，则所述可信平台控制模块根据所述度量策略对主机进行可信度量和控制的方式，达到了可信平台控制模块可根据从策略发送方接收的度量策略主动发起对主机的可信度量和控制的目的，从而实现了可信平台控制模块主动对主机发起度量，提高计算机对外部攻击的防御力的技术效果，进而解决了现有技术中，主机被攻击者控制时tpm无法起作用，导致计算机无法抵御外部攻击的技术问题。附图说明此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：图1是根据本申请实施例的一种可选的主机度量方法的流程示意图；图2为根据本申请实施例的一种tpcm对接收到的度量策略进行验签操作的流程示意图；图3为根据本申请实施例提供的一种tpcm从可信平台管理中心获取度量策略以及对度量单元进行度量的流程示意图；图4是根据本申请实施例的一种可选的主机度量装置的结构示意图。具体实施方式为了使本
技术领域：
的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。首先，在对本申请实施例进行描述的过程中出现的部分名词或术语适用于如下解释：tcm:可信密码模块，可信计算平台的硬件模块，为可信计算平台提供密码运算功能，具有受保护的存储空间。tpcm:可信平台控制模块，一种集成在可信计算平台中，用于建立和保障信任源点的硬件核心模块，为可信计算提供完整性度量、安全存储、可信报告以及密码服务等功能。tsb:可信软件基，为可信计算平台的可信性提供支持的软件元素的集合。根据本申请实施例，提供了一种主机度量方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。图1是根据本申请实施例的主机度量方法的流程示意图，如图1所示，该方法至少包括如下步骤s102至步骤s106：步骤s102，可信平台控制模块接收策略发送方发送的度量策略；tpcm设置于计算机终端中，策略发送方可以为可信平台管理中心，还可以为策略工具。在本申请的一些可选的实施例中，对于无法接触tpcm、无法通过可信平台管理中心部署的现场环境，也可根据前期开发阶段情况，在tpcm生产出厂时预置基本的度量策略在tpcm中；对于后续的策略更新，可以使用单机策略工具进行更新。步骤s104，所述可信平台控制模块对接收到的所述度量策略进行验签操作；可选地，在tpcm接收策略发送方发送的度量策略之前，所述方法还需执行以下步骤：所述策略发送方从私钥中心请求私钥证书，并利用所述私钥证书对所述度量策略进行签名，得到签名后的度量策略；所述可信平台控制模块接收策略发送方发送的度量策略可以为：所述可信平台控制模块接收所述策略发送方发送的所述签名后的度量策略。在本申请的一些可选的实施例中，度量策略的格式如下所示：度量单元数量+度量单元1+度量单元2+。。。+签名；其中，所述度量单元数量可以占4个字节，所述签名可以占32个字节。可选地，度量策略可以包括对应多个策略单元的度量策略，多个策略单元可以包括：bmc、me、bios、oprom、gpt、osloader、os；各个策略单元与其度量单元标识的对应关系如表1所示：表1：策略单元标识与度量单元的对应关系表度量单元标识度量单元1bmc2me3bios4oprom5gpt6osloader7os在本申请的一些可选的实施例中，所述tpcm中预置有根密钥证书，所述tpcm对接收到的所述度量策略进行验签操作包括：所述tpcm利用所述根密钥证书验证所述签名后的度量策略中携带的所述私钥证书；在所述私钥证书验证通过的情况下，所述tpcm平台控制模块使用所述私钥证书验证所述度量策略；在所述度量策略验证通过的情况下，确定所述验签操作通过。图2为根据本申请实施例的tpcm对接收到的度量策略进行验签操作的流程示意图，该验签操作包括以下步骤s202至步骤s210：步骤s202，privateca将根密钥证书预置入tpcm；步骤s204，可信平台管理中心向privateca发送csr证书请求；步骤s206，privateca将pik证书发送至可信平台管理中心；步骤s208，可信平台管理中心利用pik证书对度量策略进行签名，得到签名后的度量策略，并且将该pik证书与签名后的度量策略一起发送至tsb；可信平台管理中心将各个度量策略发送至tsb之后，需要对各个发送至tsb的度量策略的发送日志进行存储，可选地，可以以以下方式对度量策略的发送日志进行存储：将第一度量单元对应的第一度量策略发送至tsb之后，对该第一度量策略进行哈希运算，得到第一运算结果，将该第一运算结果存储至可信平台的状态寄存器，当将下一个度量单元对应的度量策略，例如第二度量单元对应的第二度量策略发送至tsb之后,则将第一运算结果与第二度量策略对应的哈希值进行哈希运算，得到第二运算结果，并将第二运算结果存储至可信平台的状态寄存器，以此方式记录各个度量单元对应的度量策略的发送日志。步骤s210，tsb将接收到的签名后的度量策略发送至tpcm。具体地，在tpcm接收策略发送方发送的度量策略之前，所述方法还需执行以下步骤：建立tsb与所述策略发送方之间的可信连接；在所述可信连接成功建立的情况下，利用所述tsb将所述度量策略发送给所述tpcm。其中，tsb具有可信接入功能，tsb与策略发送方进行网路通信之前，需要对策略发送方的可信性进行判定，若判定结果指示策略发送方可信，则确定与策略发送方建立连接，否则tsb将会阻止策略发送方发送的网路请求。步骤s106，若所述验签操作通过，则所述tpcm根据所述度量策略对主机进行可信度量和控制。在本申请的一些可选的实施例中，所述tpcm接收策略发送方发送的度量策略可以通过以下方式进行实现：在主机的操作系统启动后，所述tpcm接收策略工具发送的所述度量策略，其中，所述策略工具用于解析管理员编辑的度量策略文件，得到所述度量策略，并将所述度量策略发送给所述tpcm。可选地，维护人员需提供度量策略，待进入到os后，借助策略工具更新度量策略。策略工具解析度量策略文件，按照度量策略的策略格式向tpcm发送度量策略下发请求，tpcm接收到度量策略后，首先由rootca证书验证可信平台管理中心的私钥证书，再由私钥证书验证度量策略，以保证度量策略的完整性与来源正确。度量策略应存储于tpcm的非易失存储区内。可选地，所述tpcm接收策略发送方发送的度量策略包括：在可信平台管理中心检测到度量策略下发请求时，所述可信平台管理中心将所述度量策略下发给所述tpcm，其中，所述可信平台管理中心用于提供度量策略模板，并存储及下发管理员基于所述度量策略模板编辑得到的所述度量策略。具体地，维护人员可以在可信平台管理中心下载度量策略模板，填充度量策略后，上传至可信平台管理中心，然后可根据需要请求度量策略下发。可信平台管理中心可以与计算机终端中的tsb建立可信连接，tsb按照度量策略的策略格式向tpcm发送度量策略下发请求，完成度量策略的下发过程。tpcm对接收到的度量策略要进行验签操作，以保证度量策略的完整性与来源正确,度量策略应存储于tpcm的非易失存储区内。在tpcm每次上电初始化过程中，应该完成对度量策略的加载。该过程中应当通过验签的方式保证度量策略的安全可信，首先由rootca证书验证可信平台管理中心私钥证书，再由私钥证书验证度量策略。在度量流程中，每个度量单元向tpcm请求本度量单元的度量策略，以完成本度量单元的完整性度量。在本申请的一些可选的实施例中，在tpcm生产出厂时还可以预置基本的度量策略和度量基准值在tpcm中。另外根据后期需求可以在系统启动后下发度量策略。其中度量基准值为各个度量策略对应的标准值。图3为根据本申请实施例的tpcm从可信平台管理中心获取度量策略以及对度量单元进行度量的流程示意图。步骤s302，可信平台管理中心将生成的度量策略下发至终端30；步骤s304，通过终端30中的os将度量策略写入tpcm；步骤s306，可信平台管理中心向终端30发送度量日志的获取请求；步骤s308，通过终端30中的os自tpcm获取度量日志；步骤s310，osloader自tpcm获取其对应的度量策略；步骤s312，bios自tpcm获取其对应的度量策略；步骤s314，tpcm控制对bios的度量；步骤s316，tpcm控制对me的度量；步骤s318，tpcm控制对bmc的度量；步骤s320，tpcm控制对osloader的度量；步骤s322，tpcm控制对gpt的度量；步骤s324，tpcm控制对oprom的度量；步骤s326，tpcm控制对os的度量。其中，各个度量单元在被度量之后，还需将自身的度量结果发送至tpcm。在本申请的一些可选的实施例中，度量单元bmc、me、bios、oprom、gpt对应的度量策略的格式为：度量单元标识+度量区间数量+起始地址1+区间长度1+起始地址2+区间长度2+。。。；具体地，一个度量单元包括多个度量区间，上述起始地址1为第一个度量区间的起始地址，区间长度1为第一度量区间的长度，上述起始地址2为第二个度量区间的起始地址。可选地，上述度量单元标识、度量区间数量、起始地址1、区间长度1、起始地址2、区间长度2，所占的空间都可以为4个字节。在本申请的一些可选的实施例中，度量单元还包括：osloader、os；其中，该两个度量单元对应的度量策略的格式都可以为：度量单元标识+度量区间数量+文件全路径长度1+文件全路径1+文件全路径长度2+文件全路径2+。。。；具体地，一个度量单元包括多个度量区间，上述文件全路径长度1可以为度量单元中第一度量区间所占路径的长度，文件全路径1可以为第一度量区间所占的路径，上述文件全路径长度2可以为度量单元中第二度量区间所占路径的长度，文件全路径2可以为第二度量区间所占的路径。其中，度量单元标识、度量区间数量、文件全路径长度1、文件全路径长度2，可以占4个字节，文件全路径1与文件全路径2分别占1个字节与2个字节。在本申请的一些可选的实施例中，度量策略可进行更新，当度量策略通过可信平台管理中心进行更新时，维护人员可以在可信平台管理中心下载度量策略模板，填充度量策略后，上传至可信平台管理中心，请求度量策略更新。可信平台管理中心与tsb建立可信连接，tsb按照度量策略格式向tpcm发送度量策略更新请求，完成度量策略的更新过程。tpcm对接收到的度量策略要进行验签操作，以保证度量策略的完整性与来源正确。度量策略应存储于tpcm的非易失存储区内。tpcm收到度量策略后，首先由rootca证书验证可信平台管理中心私钥证书，再由私钥证书验证度量策略。当度量策略通过策略工具进行更新时，维护人员需提供度量策略，待进入到os后，借助策略工具更新度量策略。策略工具解析度量策略文件，按照度量策略格式向tpcm模块发送度量策略更新请求，tpcm接收到度量策略后，首先由rootca证书验证可信平台管理中心的私钥证书，再由私钥证书验证度量策略。以保证度量策略的完整性与来源正确。本申请中tpcm可以根据预先配置的度量策略主动发起对主机的可信度量和控制；度量策略可以由可信平台管理中心生成，并通过可信连接发送给tpcm存储，tpcm具有较高的访问权项，度量策略存储在tpcm中，能够保证度量策略不被篡改，提高度量策略的安全可信性能；tpcm启动后会对度量策略进行可信验证，能够确保度量策略的安全可行；另外，可信平台管理中心可以实现对度量策略的及时更新。在本发明实施例中，采用tpcm接收策略发送方发送的度量策略；所述tpcm对接收到的所述度量策略进行验签操作；若所述验签操作通过，则所述tpcm根据所述度量策略对主机进行可信度量和控制的方式，达到了tpcm可根据从策略发送方接收的度量策略主动发起对主机的可信度量和控制的目的，从而实现了tpcm主动对主机发起度量，提高计算机对外部攻击的防御力的技术效果，进而解决了现有技术中，主机被攻击者控制时tpm无法起作用，导致计算机无法抵御外部攻击的技术问题。根据本发明实施例，还提供了一种主机度量装置，如图4所示，该装置包括：接收模块42、验签模块44，其中：接收模块42，用于tpcm接收策略发送方发送的度量策略；验签模块44，用于所述tpcm对接收到的所述度量策略进行验签操作；若所述验签操作通过，则所述tpcm根据所述度量策略对主机进行可信度量和控制。可选地，上述装置还包括：连接模块，用于建立tsb与所述策略发送方之间的可信连接；发送模块，用于在所述可信连接成功建立的情况下，利用所述tsb将所述度量策略发送给所述tpcm。可选地，所述装置还包括请求模块，用于在tpcm接收策略发送方发送的度量策略之前，通过所述策略发送方从私钥中心请求私钥证书，并利用所述私钥证书对所述度量策略进行签名，得到签名后的度量策略；所述接收模块还用于采用所述tpcm接收所述策略发送方发送的所述签名后的度量策略。可选地，所述tpcm中预置有根密钥证书，所述验签模块还用于tpcm利用所述根密钥证书验证所述签名后的度量策略中携带的所述私钥证书；在所述私钥证书验证通过的情况下，所述tpcm使用所述私钥证书验证所述度量策略；在所述度量策略验证通过的情况下，确定所述验签操作通过。可选地，所述接收模块42还用于在主机的操作系统启动后，所述tpcm接收策略工具发送的所述度量策略，其中，所述策略工具用于解析管理员编辑的度量策略文件，得到所述度量策略，并将所述度量策略发送给所述tpcm。可选地，所述装置还包括下发模块，用于tpcm在可信平台管理中心检测到度量策略下发请求时，所述可信平台管理中心将所述度量策略下发给所述tpcm，其中，所述可信平台管理中心用于提供度量策略模板，并存储及下发管理员基于所述度量策略模板编辑得到的所述度量策略。根据本申请实施例的另一个方面，还提供了一种存储介质，存储介质包括存储的程序，可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：可信平台控制模块接收策略发送方发送的度量策略；所述可信平台控制模块对接收到的所述度量策略进行验签操作；若所述验签操作通过，则所述可信平台控制模块根据所述度量策略对主机进行可信度量和控制。根据本申请实施例的另一个方面，还提供了一种处理器，处理器用于运行程序，其中，程序运行时可以执行应用程序的主机度量方法中以下步骤的程序代码：可信平台控制模块接收策略发送方发送的度量策略；所述可信平台控制模块对接收到的所述度量策略进行验签操作；若所述验签操作通过，则所述可信平台控制模块根据所述度量策略对主机进行可信度量和控制。上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：u盘、只读存储器(rom，read-onlymemory)、随机存取存储器(ram，randomaccessmemory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。以上仅是本申请的优选实施方式，应当指出，对于本
技术领域：
的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。当前第1页12