CN102096782A

CN102096782A - 一种基于虚拟机的移动介质网银安全认证方法

Info

Publication number: CN102096782A
Application number: CN2011100301838A
Authority: CN
Inventors: 于佳耕; 武延军; 吴涛; 关贝; 赵琛
Original assignee: Institute of Software of CAS
Current assignee: Institute of Software of CAS
Priority date: 2011-01-27
Filing date: 2011-01-27
Publication date: 2011-06-15
Anticipated expiration: 2031-01-27
Also published as: CN102096782B

Abstract

本发明公开了一种基于虚拟机的移动介质网银安全认证方法，属于信息安全技术领域。所述方法包括：a)在移动介质上烧录虚拟机环境安装程序和网银系统镜像；b)所述移动介质首次插入物理主机时，自动在物理主机的硬件层和系统层之间安装虚拟机环境，并使物理主机启动后直接运行虚拟机环境，物理主机中的用户操作系统在虚拟机环境下运行；c)虚拟机环境监测到所述移动介质插入时，中止用户操作系统的运行，启动网银系统；d)虚拟机环境监测到所述移动介质拔出时，停止网银系统，恢复用户操作系统的运行。本发明可用于网上银行。

Description

一种基于虚拟机的移动介质网银安全认证方法

技术领域

本发明涉及网上银行，尤其涉及一种在虚拟机环境下将用户操作系统隔离并使用位于移动介质的网银系统安全登录网上银行服务器的方法，属于信息安全技术领域。

背景技术

网上银行因其可以大幅度降低交易成本，逐渐成为各大银行重要的业务办理渠道。但网上银行交易在便捷的同时带来了一系列的安全问题，由木马和肉鸡程序造成的网上交易安全事件呈现爆发态势，已引起大多数用户的忧虑。

目前网上银行的终端安全性主要由各个银行签发的USB Key保证。USB Key是一种USB接口的硬件存储设备，其中存放了单片机或智能卡芯片，可以存储用户的私钥及数字证书，并可利用USB Key内置的公钥算法实现对用户身份的认证。USB Key被广泛应用于国内的网上银行领域，是公认的较为安全的身份认证技术。然而，USB Key并不是绝对安全的，当前广泛应用的USB Key实际存在两大安全漏洞：

1、交互操作存在漏洞。黑客可以远程控制，冒用用户的USB Key进行身份认证，而用户无法知晓。

2、无法防止数据被篡改。用户的交易在送入USB Key加密前，可能会被黑客拦截屏篡改为另外的交易账号和金额，可在用户不知情的情况下篡改交易而通过认证。

USB Key的安全漏洞产生的根本原因是木马、肉鸡程序所在的用户操作系统和网上银行系统之间没有强隔离措施，使得黑客可以绕过网银安全检查，通过冒用用户身份、篡改交易内容等方式，威胁用户的财产安全。

发明内容

针对现有网上银行(简称网银)面临的安全风险，本发明旨在提供一种基于虚拟机的移动介质网银安全认证方法。在本发明的方法中，利用虚拟机环境以及装有网银镜像的移动介质，为用户提供一个与用户操作系统完全隔离的可插拔的网上银行终端，彻底解决目前USB Key存在的安全漏洞。

为了达到上述目的，本发明采用的技术方案是：

一种基于虚拟机的移动介质网银安全认证方法，所述方法包括：

a)在移动介质上烧录虚拟机环境安装程序和网银系统镜像；

b)所述移动介质首次插入物理主机时，自动在物理主机的硬件层和系统层之间安装虚拟机环境，并使物理主机启动后直接运行虚拟机环境，物理主机中的用户操作系统在虚拟机环境下运行；

c)虚拟机环境监测到所述移动介质插入时，中止用户操作系统的运行，启动网银系统；

d)虚拟机环境监测到所述移动介质拔出时，停止网银系统，恢复用户操作系统的运行。

优选地，所述方法还包括签名验证过程以提高安全性，具体包括：在步骤a)中，还在移动介质上烧录网银固化签名；且在步骤c)中，通过远程网银服务器对所述移动介质上的网银固化签名进行验证，验证通过后启动网银系统。

优选地，所述方法还包括在虚拟机环境中设置vTPM以提高安全性，具体包括：在步骤c)中，虚拟机环境创建vTPM，所述vTPM在网银系统启动阶段度量并验证网银系统的完整性，验证通过后启动网银系统。

优选地，所述方法还包括：在步骤c)中，网银系统启动后，虚拟机环境对网银系统中的重要资源进行运行时的完整性保护。

优选地，所述方法通过PCI设备的直透访问权的转移来实现用户操作系统和网银系统的的开关，具体来说，在步骤c)中，将PCI设备的直透访问权由用户操作系统分配给网银系统；在步骤d)中，则将PCI设备的直透访问权由网银系统分配给用户操作系统。

下面通过一个优选的实施方案对本发明的多个方面进行更为细致的描述。

(1)本发明所述的移动介质可以使用具有只读属性的无驱无软型USB存储设备(以下有时以U盘代称移动介质)。该移动介质在出厂前烧录网银固化密钥、虚拟机环境安装程序、网上银行镜像等内容。

(2)在初次使用时，自动安装虚拟机环境到本地的物理主机上，虚拟机环境处于已有的用户操作系统的下层，并处于硬件层的上层，如图1所示。

(3)虚拟机环境监测到U盘插入，可信地安全启动U盘网上银行系统，由网上银行远程服务器验证身份和校验U盘系统完整性。虚拟机环境保护U盘网上银行系统的核心代码并且保证交易通信链路安全。

(4)虚拟机环境监测到U盘拔出，关闭U盘网上银行系统，恢复用户操作系统的运行。

其中，在上述(1)中所述的移动介质需要满足下列要求：

(11)该移动介质中存储网上银行固化签名、虚拟机环境安装程序、和网银镜像；

(12)移动介质上的所有文件在烧录之后，不可被再次更改。

(13)移动介质初次插入到用户操作系统时，可自动安装虚拟机环境。

在上述步骤(2)中，自动安装虚拟机环境到物理主机，可包括以下步骤：

(21)检测该物理主机是否已安装虚拟机环境，若已安装则开始步骤(3)。

(22)从物理主机中分离出合适大小(比如4G)的空闲分区，用于安装虚拟机环境。若失败则报错，停止安装步骤。

(23)格式化空闲分区，将编译好的虚拟机环境拷贝至分区内。

(24)在用户操作系统中安装引导程序，使得以后该物理主机重启后依照新的引导程序的配置信息默认启动虚拟机环境，即不再直接启动用户操作系统。

(25)虚拟机环境启动后，执行脚本程序使得原用户操作系统以虚拟机的方式启动，并将磁盘(除虚拟机环境所在的分区)和其他所有PCI设备，包括网卡、显卡、USB设备、声卡、串口和IDE设备分配给用户操作系统，由其直透地(Passthrough)访问，提高运行速度。

在上述步骤(3)中，虚拟机环境自动识别并可信地启动U盘内的网上银行系统，具体步骤可以是：

(31)每当有U盘插入事件发生时，虚拟机环境回收该U口以及网络的直透访问权。

(32)读出网上银行固化签名，若失败则说明该U盘为普通USB存储设备，虚拟机环境重新将该U口和网络的直透访问权分配给用户操作系统，由其继续处理。若取出网上银行固化签名，通过网络连接至远程服务器验证该签名，通过验证则启动U盘中的网上银行系统镜像。

(33)为防止黑客恶意使用篡改过的网银系统镜像，虚拟机环境为U盘网上银行系统创建vTPM(Virtual Trust Platform Module，虚拟可信平台模块)，对镜像文件中的执行代码进行可信度量。计算哈希值，送予远程服务器检验执行代码的完整性。

(34)为防止木马、Rootkit等恶意软件在运行时篡改U盘网上银行系统的内核代码、系统调用表、内核函数指针等关键资源，虚拟机环境将对U盘网上银行系统的关键资源进行写保护。

(35)为保证系统间的强隔离性和可用性，中止(或称暂停)用户操作系统的运行，并回收全部分配给它的可直透访问的PCI设备。

(36)启动U盘网上银行系统镜像，将PCI设备，包括网卡、显卡、USB设备、声卡、串口和IDE设备分配给U盘网上银行系统。此时，无论是虚拟机环境或是用户操作系统都无法截取交易的内容数据，因而保障了通信链路的安全。

(37)U盘网上银行系统启动后，弹出网上银行登录界面，但不允许登录其他网址。

在上述步骤(4)中，用户在网上银行交易完成后拔出U盘，相关处理步骤可以如下：

(41)虚拟机环境监测到网银U盘拔出事件，回收PCI设备；

(42)销毁运行中的U盘网上银行系统，也即停止网银系统；

(42)将PCI设备重新分配至用户操作系统；

(43)唤醒用户操作系统。

和现有技术相比，本发明的优势体现在以下几个方面：

(1)本网银系统与现有用户操作系统隔离，如图1所示，网上银行的各种安全机制不再依赖于用户操作系统。即使用户操作系统处于不安全状态，本网银系统也能做到可信地运行，这是与当前网银系统的本质区别。

(2)本网银系统不需修改用户操作系统(包括修改代码、安装驱动、添加运行库等)，不会因网银系统代码出错、运行占用资源过高、配置过于繁琐而对用户造成困扰，具备易用易维护的特点。

(3)使用vTPM对网银系统进行完整性验证，用户的本地机器不需要安装物理TPM芯片。而现有的网银系统若开启TPM验证则必须具备物理TPM芯片。

(4)通过虚拟机环境将网银系统的核心代码、资源设置为“只读”，不可在运行时被动态地篡改，保护机制与网银系统隔离。而在传统的操作系统中，无法真正做到保护核心代码运行时的安全，其它网银系统也很少提供该功能。

附图说明

图1是实施例的U盘网银系统的结构示意图；

图2是实施例的U盘网银系统的安装流程示意图；

图3是实施例的U盘网银系统的启动流程示意图；

图4是实施例的U盘网银系统的关闭流程示意图。

具体实施方式

下面通过具体实施例结合附图对本发明作更进一步的说明。

(1)本实施例的U盘网上银行终端系统结构如图1所示，虚拟机环境处于硬件层和用户操作系统层之间，终端系统保证用户操作系统和U盘网上银行系统的强隔离性。在U盘网上银行系统启动期间，虚拟机环境利用vTPM模块对其进行度量，并将系统的关键资源设置为“只读”状态。在U盘网上银行系统运行期间可独占地直透访问PCI设备，常用的包括USB设备、网络设备和显卡设备。用户操作系统或虚拟机环境无法截获网上银行交易数据。从而在根本上解决目前USB Key的安全性问题。

(2)本实施例采用无驱无软型只读U盘，在出厂时烧录网银固化密钥、虚拟机环境安装程序、网上银行系统镜像和相关版本号。当用户初次插入U盘时，自动安装虚拟机环境，步骤如图2所示，每一步的详细描述如下：

(21)首先要判断本机是否已装有虚拟机环境。该步骤不需在用户操作系统上安装额外的程序。若已装有虚拟机环境，则该U盘的插入事件会被虚拟机环境截获并处理；否则，由用户操作系统处理U盘插入事件，那么虚拟机会自动的安装至本地物理主机。

(22)如果需要安装虚拟机环境，则首先在物理主机划拨出4G分区作为虚拟机环境的安装空间。对于需要分割的原分区，本实施例采用用户挑选和自动挑选两种方式。挑选完成后，在原分区的尾部划分出4G的分区，格式化为Linux识别的文件系统。

(23)将解压缩的虚拟机环境拷贝至新分区内。本实施例选用类Linux的虚拟机环境，在完成拷贝后修改menu.lst，配置默认启动虚拟机环境。并根据当前物理主机文件系统情况对/etc/fstab文件作出相应修改。

(24)在用户操作系统中引导程序，本实施例首先在系统中安装Grub，再将Grub的Stagel写入MBR中。最后通过执行例如“grub--DestPartition＝hd(XX，XX)-ConfigFile＝/boot/grub/menu.lst”的命令，指定系统重新启动后加载的Grub配置文件。

(25)虚拟机环境启动后，执行配置文件，创建用户操作系统虚拟机。在配置文件中，使用如下形式的声明，将物理磁盘可读写地分配给用户操作系统虚拟机：“disk＝[‘phy:sda，had，w’]”。并使用如下声明。将指定的PCI设备分配给用户操作系统虚拟机：“pci＝[’00:02.0’，’00:1a.1’，’00:1a.7’，’00:1d.0’，’00:1d.7’]”，PCI设备由<bus:slot.func>三元组表示。启动后的用户操作系统运行已在虚拟机环境之上，而用户则没有感觉。当用户操作系统虚拟机启动后，虚拟机环境启动U盘网上银行系统。

(3)当虚拟机环境监测到U盘插入事件时，会启动U盘网上银行系统，本实施例的启动步骤如图3所示，详述如下：

(31)首先动态回收用户操作系统对PCI设备的直透访问权。本实施例使用专用的管理命令实现该功能，形式如：“VMManage pci_detach<VM_id><bus:slot.func>”。VM_id是虚拟机编号，在虚拟机启动时由虚拟机环境分配。<bus:slot.func>唯一地表示一个PCI设备。

(32)读取U盘上的网上银行固化签名和软件版本号。虚拟机环境产生随机数，并由网上银行固化签名进行签名，递交远程服务器验证。远程服务器用公钥解密后，验证签名，并确定终端软件版本。

(33)验证通过后，虚拟机环境为U盘网上银行系统创建vTPM，在启动阶段度量并验证U盘网上银行系统的完整性。对U盘网上银行系统的可信度量包括两个阶段：

(331)本阶段度量U盘网上银行系统代码。利用TPM_Takeownership来获得TPM的使用权，设置密码和相应的SRK。利用TPM_SHA1Start，TPM_SHAUpdate，TPM_SHA1Complete三个函数对U盘网上银行系统代码进行哈希运算，算出它们的哈希值。利用TPM_extend命令将算出的哈希值extend到相应的PCR中。

(332)第二阶段是远程验证过程。假设A代表远程验证者，B代表本地虚拟机环境。A创建一个不可预测的nonce(随机数)发送给B；B利用SRK从保护存储中加载AIK，执行TPM_Quote对选定的PCR用AIK_priv签名，并获得SML；B将由Quote签名的nonce、SML和AIK信任状(由Privacy CA签名的包含AIK_pub)发送给A；A验证AIK是否由可信的Privacy CA签订；A验证Quote的签名和Quote的新鲜性、处理SML并且重新计算PCR值。如果计算值匹配，那么SML是合法的并且没有被篡改的，A这时验证如果完整性报告的值和参考值匹配，那么A决定对方是否处于可信赖的系统状态。

(34)通过vTPM度量和验证后，虚拟机环境为应对恶意软件动态插入代码，需要对重要资源进行运行时的完整性保护。本实施例使用的U盘网上银行系统是类Linux操作系统，目标是对两类关键资源进行保护，具体步骤如下：

(341)保护系统启动时从内核二进制映像中加载的资源，包括内核代码、系统调用表、中断向量表以及函数指针。修改内核链接脚本arch/i386/kernel/vmlinux.ld.S，将代码段和只读数据段对齐到页面边界；自动配置编译内核时CONFIG_DEBUG_RODATA编译选项，在内核初始化的最后阶段调用mark_ro_data函数，修改mark_ro_data函数，为代码段设置写保护。

(342)保护系统运行过程中动态加载的内核模块。修改kernel/module/module.c中的layout_sections函数，将core段的代码对齐到页面边界；修改kernel/module/module.c中的load_module函数，在该函数返回之前将core段代码设置为“只读”。对动态加载的内核模块均实施该策略。

(35)暂停用户操作系统，回收其它所有PCI直透访问设备。本实施例暂停用户操作系统是通过堵塞VCPU实现的，虚拟机环境首先进行以下类似的过程：

VM_pause(VM_id)

{

for_each_vcpu(VM_id，v)//对指定VM的每个VCPU

{

将VCPU状态指定为RUNSTATE_offline；

While(v依然在运行)

执行“空”操作；

}

Return；

}

被指定为RUNSTATE_offline状态的VCPU在运行期结束后将不再被调度。回收其它所有PCI直透访问设备的过程与(31)类似。

(36)将PCI设备的直透访问权分配给U盘网上银行系统。分配虚拟机环境拥有的PCI设备给指定虚拟机的过程如下：从虚拟机环境的/sys/bus/pci/devices/<00:bus:slot.func>/中读出设备信息；在虚拟机环境中创建该PCI设备的虚拟设备，根据设备信息填充控制结构；将该设备的ioport和mmio地址范围直接映射到机器物理地址上，则虚拟机的设备驱动可直接访问机器物理地址，即直透访问；最后将内存映射区域通知IOMMU，使其生效。生效后，虚拟机设备驱动的数据不可被用户操作系统或虚拟机环境截获。

(37)U盘网上银行系统启动后，弹出网上银行用户登录界面，不允许用户登录其它网址。

(4)当用户拔出U盘时，启动销毁U盘网上银行系统的过程，如图4所示，具体步骤如下：

(41)虚拟机环境回收U盘网上银行系统对PCI设备的直透访问权，步骤类似(31)。

(42)销毁U盘网上银行系统，该步调用虚拟机环境的应用接口，停止并销毁U盘网上银行系统虚拟机。

(43)将PCI设备的直透访问权分配给用户操作系统，步骤类似(36)。

(44)唤醒用户操作系统，步骤类似(35)的反过程，首先更改用户操作系统的VCPU为可运行状态，那么在下次VCPU调度时即可运行，从而唤醒用户操作系统。

上面对本发明所述的一种基于虚拟机的移动介质网银安全认证方法进行了详细的说明，但显然仍然可以做出各种修改和变换而不背离本发明的精神和范围，因此，说明书应被认为是说明性的而非限制性的，其中的各个接口的解释是示意性的，完成类似功能的接口仍然属于本方法的精神和权利要求范围。对于本技术领域的一般技术人员来说，在不背离本发明所述方法的精神和权利要求范围的情况下对它进行的各种显而易见的改变都在本发明的保护范围之内。

Claims

1.一种基于虚拟机的移动介质网银安全认证方法，所述方法包括：

a)在移动介质上烧录虚拟机环境安装程序和网银系统镜像；

2.如权利要求1所述的基于虚拟机的移动介质网银安全认证方法，其特征在于，在步骤a)中，还在移动介质上烧录网银固化签名；且在步骤c)中，通过远程网银服务器对所述移动介质上的网银固化签名进行验证，验证通过后启动网银系统。

3.如权利要求1所述的基于虚拟机的移动介质网银安全认证方法，其特征在于，在步骤c)中，虚拟机环境创建vTPM，所述vTPM在网银系统启动阶段度量并验证网银系统的完整性，验证通过后启动网银系统。

4.如权利要求1所述的基于虚拟机的移动介质网银安全认证方法，其特征在于，在步骤c)中，网银系统启动后，虚拟机环境对网银系统中的重要资源进行运行时的完整性保护。

5.如权利要求1所述的基于虚拟机的移动介质网银安全认证方法，其特征在于，在步骤c)中，将PCI设备的直透访问权由用户操作系统分配给网银系统。

6.如权利要求1所述的基于虚拟机的移动介质网银安全认证方法，其特征在于，在步骤d)中，将PCI设备的直透访问权由网银系统分配给用户操作系统。