基于虛擬化技術(shù)的終端可信增強(qiáng)方法及系統(tǒng)的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及可信計(jì)算領(lǐng)域，具體而言，涉及一種基于虛擬化技術(shù)的終端可信增強(qiáng)方法及系統(tǒng)。
【背景技術(shù)】
[0002]隨著終端的普及，終端安全已成為人們關(guān)注的重要問題。如何實(shí)現(xiàn)終端安全，為用戶提供可信賴的終端計(jì)算環(huán)境，已成為目前急需解決的問題。
[0003]當(dāng)前，針對(duì)于終端安全問題，尤其是終端操作系統(tǒng)安全問題，主要是通過防火墻、入侵檢測(cè)和病毒防護(hù)等傳統(tǒng)的操作系統(tǒng)安全技術(shù)，從外部來封堵企圖共享信息資源和越權(quán)訪問的非法用戶。
[0004]但是這些傳統(tǒng)的操作系統(tǒng)安全技術(shù)只能從外部來防止惡意攻擊和越權(quán)訪問，無法防止終端操作系統(tǒng)內(nèi)部信息的泄漏或篡改。

【發(fā)明內(nèi)容】

[0005]有鑒于此，本發(fā)明實(shí)施例的目的在于提供一種基于虛擬化技術(shù)的終端可信增強(qiáng)方法及系統(tǒng)，從內(nèi)部防止操作系統(tǒng)信息的泄露或篡改，實(shí)現(xiàn)終端的可信增強(qiáng)。
[0006]第一方面，本發(fā)明實(shí)施例提供了一種基于虛擬化技術(shù)的終端可信增強(qiáng)方法，所述方法包括:
[0007]可信終端根據(jù)小型存儲(chǔ)設(shè)備Ukey中存儲(chǔ)的校驗(yàn)信息，對(duì)操作系統(tǒng)內(nèi)核文件及裸機(jī)型虛擬機(jī)相關(guān)文件進(jìn)行完整性校驗(yàn)，校驗(yàn)通過后啟動(dòng)操作系統(tǒng)；
[0008]所述可信終端根據(jù)白名單配置文件和白名單驅(qū)動(dòng)程序?qū)?dòng)態(tài)加載的應(yīng)用程序、月艮務(wù)及外部設(shè)備驅(qū)動(dòng)進(jìn)行完整性檢驗(yàn)，實(shí)現(xiàn)所述可信終端的可信增強(qiáng)；其中，所述白名單配置文件包括應(yīng)用程序的標(biāo)識(shí)、所述應(yīng)用程序的動(dòng)態(tài)庫的標(biāo)識(shí)及所述應(yīng)用程序的摘要值。
[0009]結(jié)合第一方面，本發(fā)明實(shí)施例提供了上述第一方面的第一種可能的實(shí)現(xiàn)方式，其中，所述可信終端根據(jù)Ukey中存儲(chǔ)的校驗(yàn)信息，對(duì)操作系統(tǒng)內(nèi)核文件及裸機(jī)型虛擬機(jī)相關(guān)文件進(jìn)行完整性校驗(yàn)，包括:
[0010]可信終端開機(jī)啟動(dòng)時(shí)，生成裸機(jī)型虛擬機(jī)相關(guān)文件的校驗(yàn)值及操作系統(tǒng)內(nèi)核文件的校驗(yàn)值；
[0011]所述可信終端調(diào)用Ukey中的密碼雜湊SM3算法接口分別對(duì)所述裸機(jī)型虛擬機(jī)相關(guān)文件的校驗(yàn)值及所述操作系統(tǒng)內(nèi)核文件的校驗(yàn)值進(jìn)行二次校驗(yàn)，得到所述裸機(jī)型虛擬機(jī)相關(guān)文件的二次校驗(yàn)值及所述操作系統(tǒng)內(nèi)核文件的二次校驗(yàn)值；
[0012]所述可信終端分別將所述裸機(jī)型虛擬機(jī)相關(guān)文件的二次校驗(yàn)值和所述操作系統(tǒng)內(nèi)核文件的二次校驗(yàn)值與所述Ukey中存儲(chǔ)的校驗(yàn)信息進(jìn)行比較，根據(jù)比較的結(jié)果確定所述操作系統(tǒng)內(nèi)核文件及所述裸機(jī)型虛擬機(jī)相關(guān)文件的完整性。
[0013]結(jié)合第一方面，本發(fā)明實(shí)施例提供了上述第一方面的第二種可能的實(shí)現(xiàn)方式，其中，所述可信終端根據(jù)白名單配置文件和白名單驅(qū)動(dòng)程序?qū)?dòng)態(tài)加載的應(yīng)用程序、服務(wù)及外部設(shè)備驅(qū)動(dòng)進(jìn)行完整性檢驗(yàn)，包括:
[0014]所述可信終端啟動(dòng)操作系統(tǒng)后，加載白名單驅(qū)動(dòng)程序，通過所述白名單驅(qū)動(dòng)程序攔截在用戶態(tài)動(dòng)態(tài)加載的應(yīng)用程序、服務(wù)及外部設(shè)備驅(qū)動(dòng)；
[0015]所述可信終端調(diào)用本地SM3算法對(duì)攔截到的所述應(yīng)用程序、服務(wù)及外部設(shè)備驅(qū)動(dòng)進(jìn)行檢驗(yàn)運(yùn)算，分別得到所述應(yīng)用程序、服務(wù)及外部設(shè)備驅(qū)動(dòng)對(duì)應(yīng)的校驗(yàn)值；
[0016]所述可信終端根據(jù)白名單配置文件和所述應(yīng)用程序、服務(wù)及外部設(shè)備驅(qū)動(dòng)的標(biāo)識(shí)，對(duì)所述應(yīng)用程序、服務(wù)及外部設(shè)備驅(qū)動(dòng)對(duì)應(yīng)的校驗(yàn)值進(jìn)行校驗(yàn)，根據(jù)校驗(yàn)的結(jié)果確定所述應(yīng)用程序、服務(wù)及外部設(shè)備驅(qū)動(dòng)的完整性。
[0017]結(jié)合第一方面，本發(fā)明實(shí)施例提供了上述第一方面的第三種可能的實(shí)現(xiàn)方式，其中，所述可信終端根據(jù)Ukey中存儲(chǔ)的校驗(yàn)信息，對(duì)操作系統(tǒng)內(nèi)核文件及裸機(jī)型虛擬機(jī)相關(guān)文件進(jìn)行完整性校驗(yàn)之前，還包括
[0018]可信終端接收管理中心發(fā)送的白名單配置文件和裸機(jī)型虛擬機(jī)安裝程序，存儲(chǔ)所述白名單配置文件，根據(jù)所述裸機(jī)型虛擬機(jī)安裝程序，安裝預(yù)設(shè)數(shù)量的裸機(jī)型虛擬機(jī)，并通過串行通信總線USB接口與Ukey建立通信連接。
[0019]結(jié)合第一方面的第三種可能的實(shí)現(xiàn)方式，本發(fā)明實(shí)施例提供了上述第一方面的第四種可能的實(shí)現(xiàn)方式，其中，所述通過串行通信總線USB接口與Ukey建立通信連接，包括:
[0020]所述可信終端檢測(cè)到USB接口有Ukey插入時(shí)，提示用戶輸入個(gè)人識(shí)別密碼PIN碼；
[0021]所述可信終端獲取所述Ukey中存儲(chǔ)的PIN碼，將獲取的PIN碼與所述用戶輸入的PIN碼進(jìn)行比較；
[0022]若所述獲取的PIN碼與所述用戶輸入的PIN碼相同，則所述可信終端與所述Ukey建立通信連接。
[0023]結(jié)合第一方面，本發(fā)明實(shí)施例提供了上述第一方面的第五種可能的實(shí)現(xiàn)方式，其中，所述方法還包括:
[0024]所述可信終端采集用戶操作信息和訪問行為信息，將所述用戶操作信息和所述訪問行為信息組成安全日志，存儲(chǔ)所述安全日志，并每隔預(yù)設(shè)時(shí)間段將所述安全日志發(fā)送給管理中心。
[0025]第二方面，本發(fā)明實(shí)施例提供了一種基于虛擬化技術(shù)的終端可信增強(qiáng)方法，所述方法包括:
[0026]管理中心生成Ukey配置信息，將所述Ukey配置信息存儲(chǔ)在可信終端對(duì)應(yīng)的Ukey中，所述Ukey配置信息包括校驗(yàn)信息，以使所述可信終端根據(jù)所述Ukey中存儲(chǔ)的校驗(yàn)信息啟動(dòng)操作系統(tǒng)；
[0027]所述管理中心獲取白名單配置文件，所述白名單配置文件包括應(yīng)用程序的標(biāo)識(shí)、所述應(yīng)用程序的動(dòng)態(tài)庫的標(biāo)識(shí)及所述應(yīng)用程序的摘要值；
[0028]所述管理中心發(fā)送裸機(jī)型虛擬機(jī)安裝程序和所述白名單配置文件給所述可信終端，使所述可信終端根據(jù)所述裸機(jī)型虛擬機(jī)安裝程序安裝裸機(jī)型虛擬機(jī)，以及使所述可信終端根據(jù)所述白名單配置文件實(shí)現(xiàn)可信增強(qiáng)。
[0029]結(jié)合第二方面，本發(fā)明實(shí)施例提供了上述第二方面的第一種可能的實(shí)現(xiàn)方式，其中，所述管理中心獲取白名單配置文件，包括:
[0030]所述管理中心在樣板機(jī)上安裝應(yīng)用程序時(shí)，通過可信進(jìn)程調(diào)用本地SM3算法計(jì)算所述應(yīng)用程序的每個(gè)可執(zhí)行文件的摘要值，得到所述應(yīng)用程序的摘要值；
[0031]所述管理中心檢測(cè)到所述應(yīng)用程序安裝過程中加載動(dòng)態(tài)庫時(shí)，獲取所述動(dòng)態(tài)庫的名稱；
[0032]所述管理中心將所述應(yīng)用程序的名稱、所述動(dòng)態(tài)庫的名稱及所述應(yīng)用程序的摘要值組成白名單配置文件中所述應(yīng)用程序?qū)?yīng)的一條記錄。
[0033]結(jié)合第二方面，本發(fā)明實(shí)施例提供了上述第二方面的第二種可能的實(shí)現(xiàn)方式，其中，所述方法還包括:
[0034]所述管理中心接收所述可信終端發(fā)送的安全日志，將所述安全日志發(fā)送給審計(jì)管理員對(duì)應(yīng)的終端。
[0035]第三方面，本發(fā)明實(shí)施例提供了一種基于虛擬化技術(shù)的終端可信增強(qiáng)系統(tǒng)，所述系統(tǒng)包括:管理中心和可信終端；
[0036]所述管理中心，用于生成Ukey配置信息，將所述Ukey配置信息存儲(chǔ)在所述可信終端對(duì)應(yīng)的Ukey中，獲取白名單配置文件，以及發(fā)送裸機(jī)型虛擬機(jī)安裝程序和所述白名單配置文件給所述可信終端，所述Ukey配置信息包括校驗(yàn)信息，所述白名單配置文件包括應(yīng)用程序的標(biāo)識(shí)、所述應(yīng)用程序的動(dòng)態(tài)庫的標(biāo)識(shí)及所述應(yīng)用程序的摘要值；
[0037]所述可信終端，用于根據(jù)所述Ukey中存儲(chǔ)的校驗(yàn)信息，對(duì)操作系統(tǒng)內(nèi)核文件及裸機(jī)型虛擬機(jī)相關(guān)文件進(jìn)行完整性校驗(yàn)，校驗(yàn)通過啟動(dòng)后操作系統(tǒng)；以及接收所述管理中心發(fā)送的裸機(jī)型虛擬機(jī)安裝程序和所述白名單配置文件，根據(jù)所述裸機(jī)型虛擬機(jī)安裝程序安裝裸機(jī)型虛擬機(jī)，根據(jù)所述白名單配置文件和白名單驅(qū)動(dòng)程序?qū)?dòng)態(tài)加載的應(yīng)用程序、月艮務(wù)及外部設(shè)備驅(qū)動(dòng)進(jìn)行完整性檢驗(yàn)，實(shí)現(xiàn)所述可信終端的可信增強(qiáng)。
[0038]在本發(fā)明實(shí)施例中，可信終端根據(jù)Ukey中存儲(chǔ)的校驗(yàn)信息，對(duì)操作系統(tǒng)內(nèi)核文件及裸機(jī)型虛擬機(jī)相關(guān)文件進(jìn)行完整性校驗(yàn)，校驗(yàn)通過后啟動(dòng)操作系統(tǒng)，建立了靜態(tài)信任鏈，從內(nèi)部防止操作系統(tǒng)信息的泄露或篡改。另外，可信終端根據(jù)白名單配置文件和白名單驅(qū)動(dòng)程序?qū)?dòng)態(tài)加載的應(yīng)用程序、服務(wù)及外部設(shè)備驅(qū)動(dòng)進(jìn)行完整性檢驗(yàn)，建立了動(dòng)態(tài)信任鏈，從外部阻止惡意攻擊和越權(quán)訪問，實(shí)現(xiàn)了可信終端的可信增強(qiáng)。
[0039]為使本發(fā)明的上述目的、特征和優(yōu)點(diǎn)能更明顯易懂，下文特舉較佳實(shí)施例，并配合所附附圖，作詳細(xì)說明如下。
【附圖說明】
[0040]為了更清楚地說明本發(fā)明實(shí)施例的技術(shù)方案，下面將對(duì)實(shí)施例中所需要使用的附圖作簡(jiǎn)單地介紹，應(yīng)當(dāng)理解，以下附圖僅示出了本發(fā)明的某些實(shí)施例，因此不應(yīng)被看作是對(duì)范圍的限定，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)的前提下，還可以根據(jù)這些附圖獲得其他相關(guān)的附圖。
[0041]圖1A示出了本發(fā)明實(shí)施例1所提供的一種基于虛擬化技術(shù)的終端可信增強(qiáng)方法的信令交互圖；
[0042]圖1B示出了本發(fā)明實(shí)施例1所提供的一種Ukey配置信息的示意圖；
[0043]圖1C示出了本發(fā)明實(shí)施例1所提供的一種虛擬的可信終端的體系結(jié)構(gòu)示意圖；
[0044]圖1D示出了本發(fā)明實(shí)施例1所提供的一種靜態(tài)信任鏈建立過程的示意圖；
[0045]圖2示出了本發(fā)明實(shí)施例2所提供的一種基于虛擬化技術(shù)的終端可信增強(qiáng)系統(tǒng)的結(jié)構(gòu)示意圖。
【具體實(shí)施方式】
[0046]下面將結(jié)合本發(fā)明實(shí)施例中附圖，對(duì)本發(fā)明實(shí)施例中的技術(shù)方案進(jìn)行清楚、完整地描述，顯然，所描述的實(shí)施例僅僅是本發(fā)明一部分實(shí)施例，而不是全部的實(shí)施例。通常在此處附圖中描述和示出的本發(fā)明實(shí)施例的組件可以以各種不同的配置來布置和設(shè)計(jì)。因此，以下對(duì)在附圖中提供的本發(fā)明的實(shí)施例的詳細(xì)描述并非旨在限制要求保護(hù)的本發(fā)明的范圍，而是僅僅表示本發(fā)明的選定實(shí)施例?；诒景l(fā)明的實(shí)施例，本領(lǐng)域技術(shù)人員在沒有做出創(chuàng)造性勞動(dòng)的前提下所獲得的所有其他實(shí)施例，都屬于本發(fā)明保護(hù)的范圍。
[0047]考慮到相關(guān)技術(shù)中防火墻、入侵檢測(cè)和病毒防護(hù)等傳統(tǒng)的操作系統(tǒng)安全技術(shù)，只能從外部來防止惡意攻擊和越權(quán)訪問，無