CN102662871A - 一种基于可信密码模块的虚拟磁盘完整性保护系统及方法 - Google Patents

Abstract

本发明公开了一种基于可信密码模块的虚拟磁盘完整性保护系统及方法，属于一种信息安全领域技术，基于可信密码模块，所述系统包括虚拟磁盘管理模块、虚拟磁盘度量模块、虚拟磁盘验证模块、可信密码模块、可信存储设备；所述虚拟磁盘管理模块用来产生、识别虚拟磁盘容器文件，还用来加载虚拟磁盘容器文件为系统能够识别的虚拟磁盘；所述方法包括完成系统所需硬件设备的初始化过程、建立新的虚拟磁盘并为其建立基准度量值、完成虚拟磁盘完整性验证，并根据验证结果加载或者拒绝加载虚拟磁盘、完成卸载虚拟磁盘时的度量值更新工作。本发明和现有技术相比，提高了虚拟磁盘使用的安全性，实现了完整性验证，大大提高了安全强度。

Description

一种基于可信密码模块的虚拟磁盘完整性保护系统及方法

  

技术领域

　　本发明涉及一种信息安全领域技术，具体地说是一种基于可信密码模块的虚拟磁盘完整性保护系统及方法。 

背景技术

随着信息技术和网络的发展，数据安全问题越来越受重视,特别是政府、企业的涉密信息系统承载着大量国家秘密和商业秘密，一般采取数据加密技术进行重要数据保护。虚拟磁盘技术通过在文件系统中建立容器文件，虚拟一个操作系统可识别的磁盘，对磁盘的读写与硬盘操作无异，并通过加密技术将用户数据密文存储在容器文件中。虚拟磁盘方法保护数据方便快捷，在信息安全领域已经得到了普遍应用。对虚拟磁盘内数据的加密保护方法有许多专利和实现，然而虚拟磁盘本身的完整性保护方法未见实现。 

虚拟磁盘管理系统一般通过格式化一个具备boot sector（磁盘引导扇区）文件头结构的容器文件作为虚拟磁盘载体，文件系统通过识别容器文件的boot sector可以加载虚拟磁盘，使用者将数据放入虚拟磁盘中以实现安全保护。一旦容器文件boot sector遭到破坏或者植入恶意代码将会给虚拟磁盘的安全造成威胁，因此对容器文件boot sector的完整性保护是关键。 

传统程序和数据的完整性验证往往通过公钥密码算法数字签名的形式在软件层完成完整性验证，这些方法仍具有诸多不足，比如验证过程计算开销较大，还有软件层的保护容易遭到篡改。可信计算技术通过在计算平台置入一个可信计算密码模块，可以在硬件层实现计算平台部件的完整性度量验证。近年来可信技术得到长足发展，使用户拥有安全性、完整性和可靠性全面提高的可信赖计算环境成为可能。可信计算领域已经有诸多方法解决了操作系统加载前的部件完整性度量和验证的问题，然而在操作系统运行时，用户文件存在多样性，用户文件的加载存在分散性，不像BIOS启动及POST过程具备严格的直线性，因此，操作系统运行时用户文件的完整性验证一直是个难题。 

可信密码模块，简称TCM（trusted  cryptography  module），是我国可信计算标准硬件模块，具备密码运算器和受保护的存储器，内嵌国家密码管理局标准算法。TCM通过唯一的非对称256位密钥-密码模块密钥（EK）作为密钥树的根密钥来保护用户密钥和数据，私钥不会外泄，加密过程在硬件内部完成。可信密码模块内置杂凑运算引擎和平台配置寄存器PCR，通过度量控制TCM中的杂凑运算和扩展PCR可以完成计算平台的完整性验证。 

发明内容　　

　　本发明的技术任务是针对以上不足之处，提供一种基于可信密码模块的虚拟磁盘完整性保护系统及方法。采用TCM对虚拟磁盘容器文件进行完整性度量和验证，在TCM平台配置寄存器实时记录度量值，采用可信外部存储设备存储度量日志，通过完整性验证虚拟磁盘容器文件的boot sector数据来判断虚拟磁盘完整性，保证虚拟磁盘的安全加载和使用。

本发明解决其技术问题所采用的技术方案是： 

一种基于可信密码模块的虚拟磁盘完整性保护系统，包括虚拟磁盘管理模块、虚拟磁盘度量模块、虚拟磁盘验证模块、可信密码模块、可信存储设备；所述虚拟磁盘管理模块用来产生、识别虚拟磁盘容器文件，还用来加载虚拟磁盘容器文件为系统能够识别的虚拟磁盘；

所述虚拟磁盘管理模块与虚拟磁盘度量模块以及虚拟磁盘验证模块连接，虚拟磁盘管理模块在需要时调用虚拟磁盘度量模块和虚拟磁盘验证模块进行完整性度量和验证，同时更新度量值和度量日志；

所述虚拟磁盘度量模块通过调用可信密码模块的杂凑密码算法对虚拟磁盘进行完整性度量；

所述虚拟磁盘验证模块，在加载虚拟磁盘时，调用虚拟磁盘度量模块记录当前虚拟磁盘完整性度量值，并与可信存储设备中存储的最新完整性度量值匹配判断完成完整性验证；

所述可信密码模块是一种提供密码学服务和完整性度量服务的硬件设备，内置于虚拟磁盘完整性保护系统所在计算平台中，提供杂凑密码算法和其他密码学算法进行密码学服务，还包括平台配置寄存器空间可以存储完整性度量值；

所述可信存储设备是连接在虚拟磁盘完整性保护系统所在计算平台中的一个硬件设备，可以是具备非易失性存储空间的USB存储设备或者其他安全存储设备；所述可信存储设备中存储有一个可信列表数据结构，可信列表存储所有虚拟磁盘的可信度量日志数据。

一种基于可信密码模块的虚拟磁盘完整性保护方法，包括完成系统所需硬件设备的初始化过程、建立新的虚拟磁盘并为其建立基准度量值、完成虚拟磁盘完整性验证，并根据验证结果加载或者拒绝加载虚拟磁盘、完成卸载虚拟磁盘时的度量值更新工作，具体实现步骤包括： 

（1）、连接可信密码模块和可信存储设备到虚拟磁盘完整性保护系统所在计算平台，在可信存储设备内建立可信列表数据结构；

（2）、虚拟磁盘管理模块在建立虚拟磁盘容器文件后调用虚拟磁盘度量模块对所建虚拟磁盘进行完整性度量，完整性度量方法为：虚拟磁盘度量模块调用可信密码模块杂凑密码算法对目标虚拟磁盘容器文件boot sector数据进行杂凑计算，计算所得杂凑值即为目标虚拟磁盘完整性度量值；

所述boot sector数据是虚拟磁盘容器文件前512字节的一段数据，作为磁盘引导扇区数据在加载虚拟磁盘时被识别，所述boot sector数据存储了代表虚拟磁盘的特征数据或者密钥数据，对boot sector数据的完整性度量代表对虚拟磁盘的完整性度量；

虚拟磁盘度量模块完成度量后在可信密码模块平台配置寄存器中扩展所述目标虚拟磁盘完整性度量值，同时记录度量日志到可信存储设备可信列表中；

（3）、当加载虚拟磁盘时，首先虚拟磁盘管理模块调用虚拟磁盘验证模块对加载目标虚拟磁盘进行完整性验证，完整性验证方法如下：虚拟磁盘验证模块首先进行目标虚拟磁盘的完整性度量，度量方法如所述步骤2中度量方法一致；同时虚拟磁盘证模块将目标虚拟磁盘当前完整性度量值扩展到可信密码模块内的寄存器；同时虚拟磁盘验证模块解析可信存储设备中的相应可信列表中的度量日志，将日志中存储的最新完整性度量值与目标虚拟磁盘完整性度量值进行匹配，如果匹配成功，虚拟磁盘管理模块加载目标虚拟磁盘进入可信工作阶段，如果匹配失败，虚拟磁盘管理模块拒绝加载目标虚拟磁盘；

（4）、当卸载虚拟磁盘时，虚拟磁盘管理模块调用虚拟磁盘度量模块对目标虚拟磁盘进行完整性度量，度量方法如所述步骤2中度量方法一致，然后将度量结果在可信密码模块和可信存储设备同时进行更新。

本发明的一种基于可信密码模块的虚拟磁盘完整性保护系统及方法和现有技术相比，有益效果为： 

此系统和方法提高了虚拟磁盘使用的安全性，同时，与软件层实现数字签名验证相比，使用可信密码模块和外部可信存储设备在硬件层实现了完整性验证，大大提高了安全强度。

由于虚拟磁盘可以自定义存储多种文件，本发明对虚拟磁盘的完整性保护也可实现对虚拟磁盘承载的文件完整性保护，并动态更新存储度量值和日志，一定程度上解决了可信计算领域操作系统运行时多种文件完整性难于验证的问题。 

附图说明

    下面结合附图对本发明进一步说明。 

附图1为一种基于可信密码模块的虚拟磁盘完整性保护系统及方法的系统模块结构图； 

附图2为一种基于可信密码模块的虚拟磁盘完整性保护系统及方法的方法实现流程图。

具体实施方式

    下面结合附图和具体实施例对本发明作进一步说明。 

本发明实施例通过编写的软件系统和连接的硬件设备实现，图1给出了本实施例系统模块结构图，如图1所示，软件系统包括虚拟磁盘管理模块、虚拟磁盘度量模块和虚拟磁盘验证模块，硬件设备包括可信密码模块（TCM）和可信存储设备（USBKey）。 

如图1所示虚拟磁盘管理模块是管理虚拟磁盘生命周期的控制模块，通过格式化方法格式化一个具备boot sector文件头结构的虚拟磁盘容器文件，通过虚拟磁盘驱动加载虚拟磁盘容器文件为系统能够识别的虚拟磁盘。如图1所示，虚拟磁盘管理模块与虚拟磁盘度量模块以及虚拟磁盘验证模块连接，能够在需要时调用虚拟磁盘度量模块和虚拟磁盘验证模块进行度量和验证，当虚拟磁盘完整性度量值发生更新是，虚拟磁盘管理模块还负责更硬件设备中的完整性度量值和度量日志。 

如图1所示虚拟磁盘度量模块通过调用可信密码模块的杂凑密码算法对虚拟磁盘进行完整性度量，完成一次度量可以生成完整性度量值和度量日志。 

如图1所示虚拟磁盘验证模块，在加载虚拟磁盘时发生作用，调用虚拟磁盘度量模块计算当前虚拟磁盘完整性度量值，并与可信存储设备中存储的最新完整性度量值匹配判断完成完整性验证。 

如图1所示TCM即可信密码模块是一种提供密码学服务和完整性度量服务的硬件设备，通过某种接口内置于虚拟磁盘完整性保护系统所在计算平台中，能够提供杂凑密码算法和其他密码学算法进行密码学服务。TCM还包括平台配置寄存器（PCR）用来存储度量值。作为本发明的一个较佳实施例，本实施例采用的可信密码模块是国产自主生产的可信密码模块，其中杂凑密码算法采用SM3算法。需要特别说明的是，本发明还可以采用具备相同可信密码功能的其他可信密码模块以及具备杂凑密码运算功能的其他杂凑密码算法。 

如图1所示USBKey即可信存储设备是连接在虚拟磁盘完整性保护系统所在计算平台中的一个硬件设备，虚拟磁盘完整性保护系统在USBKey中预先建立一个可信列表数据结构，可信列表存储所有虚拟磁盘的可信度量日志数据。作为本发明的一个较佳实施例，本实施例采用的可信存储设备为USBKey，需要特别说明的是，本发明还可以采用其他具备安全存储功能的设备作为可信存储设备。 

图2给出了基于TCM的虚拟磁盘完整性保护方法实现流程图，参照图2进一步详细说明： 

步骤1、如图2所示，步骤1完成系统所需硬件设备的初始化过程，首先连接可信密码模块和可信存储设备到虚拟磁盘完整性保护系统所在计算平台，然后在虚拟磁盘管理模块在可信存储设备内建立可信列表数据结构。

步骤2、如图所示，步骤2为建立新的虚拟磁盘并为其建立基准度量值，具体实现方法是：首先由虚拟磁盘管理模块建立一个新的虚拟磁盘容器文件，接着虚拟磁盘管理模块调用虚拟磁盘度量模块对所建虚拟磁盘进行完整性度量，完整性度量方法为：虚拟磁盘度量模块调用TCM杂凑密码算法对目标虚拟磁盘容器文件boot sector数据进行杂凑计算，计算所得杂凑值即为目标虚拟磁盘完整性度量值。 

所述boot sector数据是虚拟磁盘容器文件前512字节的一段数据，作为磁盘引导扇区数据在加载虚拟磁盘时被识别，所述boot sector数据存储了代表虚拟磁盘的特征数据或者密钥数据，对boot sector数据的完整性度量代表对虚拟磁盘的完整性度量。 

虚拟磁盘度量模块完成度量后在TCM芯片内的平台配置寄存器（PCR）扩展所述目标虚拟磁盘完整性度量值，同时更新度量日志到可信存储设备可信列表中。虚拟磁盘管理模块扩展虚拟磁盘完整性度量值时遵循TCM规范，在PCR指定合法地址进行更新操作；完整性度量日志更新方法是：首先虚拟磁盘管理模块为每个新建虚拟磁盘在可信存储设备中维护一条可信列表记录，当产生新度量日志时更新相记录，当删除虚拟磁盘时清除相应记录。 

步骤3、步骤3完成虚拟磁盘完整性验证，并根据验证结果加载或者拒绝加载虚拟磁盘，具体实现方法是：当加载虚拟磁盘时，首先由虚拟磁盘管理模块调用虚拟磁盘验证模块对加载目标虚拟磁盘进行完整性验证，完整性验证方法如下： 

虚拟磁盘验证模块首先进行目标虚拟磁盘的完整性度量，度量方法如所述步骤2中度量方法一致；同时虚拟磁盘验证模块将目标虚拟磁盘当前完整性度量值扩展到TCM内的寄存器；同时虚拟磁盘验证模块解析可信存储设备中的相应可信列表中的度量日志，将日志中存储的最新完整性度量值与目标虚拟磁盘完整性度量值进行匹配，如果匹配成功，虚拟磁盘管理模块加载目标虚拟磁盘进入可信工作阶段，如果匹配失败，虚拟磁盘管理模块拒绝加载目标虚拟磁盘。

步骤4、步骤4完成卸载虚拟磁盘时的度量值更新工作，具体实现方法是：当卸载虚拟磁盘时，虚拟磁盘管理模块调用虚拟磁盘度量模块对目标虚拟磁盘进行完整性度量，度量方法如所述步骤2中度量方法一致，然后将度量结果在TCM和可信存储设备同时进行更新。 

    本发明的一种基于可信密码模块的虚拟磁盘完整性保护系统及方法，除说明书所述的技术特征外，均为本专业技术人员的已知技术。 

Claims (2)

1. 一种基于可信密码模块的虚拟磁盘完整性保护系统，基于可信密码模块，其特征在于所述系统包括虚拟磁盘管理模块、虚拟磁盘度量模块、虚拟磁盘验证模块、可信密码模块、可信存储设备；所述虚拟磁盘管理模块用来产生、识别虚拟磁盘容器文件，还用来加载虚拟磁盘容器文件为系统能够识别的虚拟磁盘；

所述虚拟磁盘管理模块与虚拟磁盘度量模块以及虚拟磁盘验证模块连接，虚拟磁盘管理模块在需要时调用虚拟磁盘度量模块和虚拟磁盘验证模块进行完整性度量和验证，同时更新度量值和度量日志；

所述虚拟磁盘度量模块通过调用可信密码模块的杂凑密码算法对虚拟磁盘进行完整性度量；

所述虚拟磁盘验证模块，在加载虚拟磁盘时，调用虚拟磁盘度量模块记录当前虚拟磁盘完整性度量值，并与可信存储设备中存储的最新完整性度量值匹配判断完成完整性验证；

所述可信密码模块是一种提供密码学服务和完整性度量服务的硬件设备，内置于虚拟磁盘完整性保护系统所在计算平台中，提供杂凑密码算法和其他密码学算法进行密码学服务，还包括平台配置寄存器空间可以存储完整性度量值；

所述可信存储设备是连接在虚拟磁盘完整性保护系统所在计算平台中的一个硬件设备，可以是具备非易失性存储空间的USB存储设备或者其他安全存储设备；所述可信存储设备中存储有一个可信列表数据结构，可信列表存储所有虚拟磁盘的可信度量日志数据。

2.一种基于可信密码模块的虚拟磁盘完整性保护方法，基于可信密码模块，其特征在于所述方法包括完成系统所需硬件设备的初始化过程、建立新的虚拟磁盘并为其建立基准度量值、完成虚拟磁盘完整性验证，并根据验证结果加载或者拒绝加载虚拟磁盘、完成卸载虚拟磁盘时的度量值更新工作，具体实现步骤包括：

（1）、连接可信密码模块和可信存储设备到虚拟磁盘完整性保护系统所在计算平台，在可信存储设备内建立可信列表数据结构；

（2）、虚拟磁盘管理模块在建立虚拟磁盘容器文件后调用虚拟磁盘度量模块对所建虚拟磁盘进行完整性度量，完整性度量方法为：虚拟磁盘度量模块调用可信密码模块杂凑密码算法对目标虚拟磁盘容器文件boot sector数据进行杂凑计算，计算所得杂凑值即为目标虚拟磁盘完整性度量值；

所述boot sector数据是虚拟磁盘容器文件前512字节的一段数据，作为磁盘引导扇区数据在加载虚拟磁盘时被识别，所述boot sector数据存储了代表虚拟磁盘的特征数据或者密钥数据，对boot sector数据的完整性度量代表对虚拟磁盘的完整性度量；

虚拟磁盘度量模块完成度量后在可信密码模块平台配置寄存器中扩展所述目标虚拟磁盘完整性度量值，同时记录度量日志到可信存储设备可信列表中；

（3）、当加载虚拟磁盘时，首先虚拟磁盘管理模块调用虚拟磁盘验证模块对加载目标虚拟磁盘进行完整性验证，完整性验证方法如下：虚拟磁盘验证模块首先进行目标虚拟磁盘的完整性度量，度量方法如所述步骤2中度量方法一致；同时虚拟磁盘证模块将目标虚拟磁盘当前完整性度量值扩展到可信密码模块内的寄存器；同时虚拟磁盘验证模块解析可信存储设备中的相应可信列表中的度量日志，将日志中存储的最新完整性度量值与目标虚拟磁盘完整性度量值进行匹配，如果匹配成功，虚拟磁盘管理模块加载目标虚拟磁盘进入可信工作阶段，如果匹配失败，虚拟磁盘管理模块拒绝加载目标虚拟磁盘；

（4）、当卸载虚拟磁盘时，虚拟磁盘管理模块调用虚拟磁盘度量模块对目标虚拟磁盘进行完整性度量，度量方法如所述步骤2中度量方法一致，然后将度量结果在可信密码模块和可信存储设备同时进行更新。

Images