CN111310173A - 一种可信芯片的终端虚拟机身份认证方法及系统 - Google Patents
一种可信芯片的终端虚拟机身份认证方法及系统 Download PDFInfo
- Publication number
- CN111310173A CN111310173A CN202010167572.4A CN202010167572A CN111310173A CN 111310173 A CN111310173 A CN 111310173A CN 202010167572 A CN202010167572 A CN 202010167572A CN 111310173 A CN111310173 A CN 111310173A
- Authority
- CN
- China
- Prior art keywords
- virtual
- aik
- virtual machine
- certificate
- user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 40
- 238000013508 migration Methods 0.000 claims abstract description 9
- 230000005012 migration Effects 0.000 claims abstract description 9
- 238000012360 testing method Methods 0.000 claims description 19
- 238000004590 computer program Methods 0.000 claims description 13
- 238000012795 verification Methods 0.000 claims description 9
- 238000012545 processing Methods 0.000 claims description 7
- 230000006870 function Effects 0.000 description 10
- 238000010586 diagram Methods 0.000 description 8
- 230000008569 process Effects 0.000 description 3
- 230000007246 mechanism Effects 0.000 description 2
- 238000003752 polymerase chain reaction Methods 0.000 description 2
- 238000013475 authorization Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000004088 simulation Methods 0.000 description 1
- 238000010200 validation analysis Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
- G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45562—Creating, deleting, cloning virtual machine instances
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/4557—Distribution of virtual machine instances; Migration and load balancing
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45587—Isolation or security of virtual machine instances
Landscapes
- Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer Hardware Design (AREA)
- Stored Programmes (AREA)
Abstract
本发明一种可信芯片的终端虚拟机身份认证方法及系统，其主要涉及一种利用可信芯片提供的密钥管理和非易失存储空间在终端管理程序中实现基于可信芯片的虚拟机身份建立与认证的技术方案，该方案可实现模拟传统可信平台模块的身份认证密钥功能；为平台间虚拟身份认证的迁移提供支持，并为虚拟机用户区分不同的虚拟身份认证，以便用户验证某认证与虚拟机的相关性。
Description
技术领域
本发明涉及终端可信虚拟化领域，具体涉及一种可信芯片的终端虚拟机身份认证方法及系统。
背景技术
可信芯片为嵌入到终端中执行可信根功能的终端安全芯片硬件模块，它存储了平台配置信息和加密密钥，并内置加密引擎和用于产生密钥的随机数发生器；是独立、被隔离的硬件，只有通过特定的访问方式、经验证授权后，外部实体才可以访问可信芯片的功能和数据，具有防范物理攻击的能力，为系统的安全存储和认证功能提供了硬件支持。PCR为可信芯片提供的平台配置寄存器可扩展但不能被重置，平台所有者无法隐藏被执行的恶意部件的完整性度量结果。AIK是只能用于签署可信芯片的内部数据如PCR，阻止验证者利用AIK篡改验证。
然而关于利用可信芯片在终端管理程序中实现基于虚拟机身份建立与认证，仍未找到有效方法予以实现，为虚拟机用户辨识虚拟身份认证带来困难，且无法避免攻击者对虚拟机身份的篡改，安全性低下。
发明内容
为了填补上述技术空白，本发明提供了一种可信芯片的终端虚拟机身份认证方法及系统，具体涉及一种利用可信芯片提供的密钥管理和非易失存储空间在终端管理程序中实现基于可信芯片的虚拟机身份建立与认证的技术方案，该方案实现以下三个功能：模拟传统可信平台模块的身份认证密钥功能；为平台间虚拟身份认证的迁移提供支持；为虚拟机用户区分不同的虚拟身份认证，以便用户验证某认证与虚拟机的相关性，有效防止攻击者对虚拟机身份的篡改。
本发明的目的是采用下述技术方案实现的：
一种可信芯片的终端虚拟机身份认证方法，所述方法包括：
创建虚拟机时生成虚拟AIK，所述虚拟AIK包括：虚拟AIK证书和用户密钥证书；
当所述虚拟机从一个平台迁移到另一个平台时，将虚拟AIK进行迁移；
对所述虚拟机进行身份认证，判断虚拟机是否创建成功。
优选的，所述虚拟机时生成虚拟AIK的创建包括：
管理程序接收用户证书和随机数，调用可信芯片生成关键字，将所述关键字添加至可信存储器；所述关键字包括：用户密钥和虚拟AIK；
采用用户密钥和AIK平台验证用户密钥和虚拟AIK的属性；
返回属性验证得到的虚拟AIK证书和用户密钥证书。
优选的，所述当虚拟机从一个平台迁移到另一个平台时，将虚拟AIK进行迁移包括：原始平台的管理程序向目标平台的所述管理程序发送一个随机数，所述原始平台的管理程生成仅能被所述目标平台管理程序访问的密钥和扩展密钥，同时用AIK验证扩展密钥；
所述目标平台管理程序将扩展密钥证书发送给所述原始平台的管理程序，所述原始平台管理程序检验扩展密钥的属性，确保仅被可信的管理程序访问，同时用扩展密钥加密需要迁移的虚拟机的虚拟AIK和用户证书。
优选的，所述用扩展密钥加密要迁移的虚拟机的虚拟AIK和用户证书之后还包括：原始平台管理程序从可信存储器删除虚拟AIK和用户证书，所述原始平台管理程序向所述目标平台管理程序发送虚拟AIK的二进制对象，协商删除虚拟AIK的会话,所述目标平台管理程序解密虚拟AIK和用户证书，并存储于可信存储器上。
优选的，所述对虚拟机进行身份认证，判断虚拟机是否创建成功包括：验证用户向虚拟机发送随机数，所述虚拟机请求所述管理程序为其建立一个验证协商会话；
所述管理程序收到请求后为所述虚拟机下载相应的虚拟AIK和用户证书，用虚拟AIK签署虚拟PCR，为虚拟AIK的安全属性建立证书，生成虚拟AIK证书；
管理程序将所述协商会话、虚拟AIK证书、用户密钥证书发送给虚拟机；
所述虚拟机根据接收的所述协商会话、虚拟AIK证书、用户密钥证书建立测试列表并发给所述用户，供所述验证用户对测试列表的相关内容进行验证；
其中，所述测试列表包括度量列表、协商会话、虚拟AIK证书以及用户密钥证书，。
进一步地，所述供验证用户对测试列表的相关内容进行验证包括：
以验证用户虚拟AIK证书是否仅允许唯一可信管理程序访问、签名是否由虚拟AIK签署以及寄存器内的值是否能够通过扩展测试列表计算的的验证结果作为参考数据；
根据参考数据验证测试列表。
一种可信芯片的终端虚拟机身份认证系统，所述系统包括：
建立模块，用于创建虚拟机时生成虚拟AIK，所述虚拟AIK包括：虚拟AIK证书和用户密钥证书；
迁移模块，用于当所述虚拟机从一个平台迁移到另一个平台时，将虚拟AIK进行迁移；
身份认证模块，用于对所述虚拟机进行身份认证，判断虚拟机是否创建成功。
一种可信芯片的终端虚拟机身份认证设备，包括：至少一个处理器、至少一个存储器以及存储在所述存储器中的计算机程序指令，当所述计算机程序指令被所述处理器执行时实现如权利要求1-6所述的方法。
一种计算机可读存储介质，其上存储有计算机程序指令，当所述计算机程序指令被处理器执行时实现如权利要求1-6所述的方法。
本发明的有益效果体现在：
为保证云计算环境下终端虚拟机的安全，本发明提出了关于虚拟化可信平台模块技术的一种可信芯片的终端虚拟机身份认证方法及系统。具体涉及一种利用可信芯片提供的密钥管理和非易失存储空间在终端管理程序中实现基于可信芯片的虚拟机身份建立与认证的技术方案。可信芯片作为终端安全芯片硬件模块的安全性可以有效防止攻击者破坏虚拟AIK的机密性；管理程序将虚拟机和虚拟AIK绑定并存储在管理程序的内部地址空间中，管理程序的安全性避免了迁移时攻击者对其的篡改；同时，用户证书与虚拟AIK绑定并存储在可信芯片的非易失性寄存器中，可信存储机制的安全性也避免了攻击者对虚拟机身份的篡改。
本发明技术方案可实现模拟传统可信平台模块的身份认证密钥功能；为平台间虚拟身份认证的迁移提供支持；为虚拟机用户区分不同的虚拟身份认证，以便用户验证某认证与虚拟机的相关性。
附图说明
图1是本发明提供的一种可信芯片的终端虚拟机身份认证方法流程图。
具体实施方式
下面结合附图对本发明的具体实施方式作进一步的详细说明。
为保证云计算环境下终端虚拟机的安全，本具体实施方式提出了关于虚拟化可信平台模块技术的一种可信芯片的终端虚拟机身份认证方法。虚拟化可信平台为虚拟机提供一个前端和后端驱动。虚拟机实例访问可信芯片时，访问命令从前端传到后端，再传给运行在管理域中的虚拟可信平台模块管理程序，该程序为其分派相应的虚拟可信模块后台程序，后台程序利用相应的可信芯片资源执行访问命令。
本发明首先提供了一种可信芯片的终端虚拟机身份认证方法。如图1所示，其具体步骤包括；
S1用户创建一台虚拟机时生成虚拟AIK，虚拟AIK生成的步骤为：
步骤1：用户生成用户证书和随机数，发送给管理程序；
步骤2：管理程序调用可信芯片生成两个关键字：用户密钥和虚拟AIK，其实现方法为：
AuthKey＝TPM_CreateWrapKey(non-migratable,PCR0-8,locality0)；
vAIK＝TPM_CreateWrapKey(migratable,PCR0-8,locality0)；
用户密钥不可迁移，虚拟AIK可迁移，它们与0位置(locality 0)、保存从硬件配置到管理程序测试结果的0-8配置寄存器(PCR0-8)绑定。
步骤3：管理程序把虚拟AIK和用户证书保存在可信存储器上，实现方法为：
Store(vAIK,certuser)in trusted storage；
步骤4：管理程序使用用户密钥和AIK平台，验证用户密钥和虚拟AIK的属性，其实现方法为：
CertvAIK＝TPM_CertifyKey(AuthKey,vAIK,hash(certuser|nonce))；
CertAuthKey＝TPM_CertifyKey(AIK,AuthKey,hash(certuser|nonce))。
步骤5：管理程序将虚拟AIK证书和用户密钥证书发送给用户。
用户证书和随机数的哈希在认证过程中被加入，因此用户可以保证虚拟AIK与他的请求相对应；用户密钥只产生一次，在随后其他虚拟平台身份建立过程中，系统仍使用该用户密钥。虚拟AIK创建后，管理程序把它与虚拟机绑定，同时虚拟AIK与虚拟机用户的证书绑定。用户关闭虚拟机需重启时，他须先向管理程序验证自己的身份，管理程序根据用户证书从可信存储器下载虚拟AIK，并把它与虚拟机再次绑定。为保证虚拟AIK的唯一性，虚拟机在快速复制时，虚拟AIK不会同步复制，同样地，虚拟机状态恢复时，虚拟AIK不会随之恢复。
S2当虚拟机从一个平台迁移到另一个平台时，将虚拟AIK进行迁移；
虚拟AIK迁移的步骤为：
步骤1：原始平台的管理程序向目标平台的管理程序发送一个随机数；
步骤2：目标管理程序生成仅能被管理程序访问的密钥和扩展密钥，同时用AIK证实扩展密钥，其实现方法是：
ExgKey＝TPM_CreateWrapKey(non-migratable,PCR0-8,locality0)；
CertExgKey＝TPM_CertifyKey(AIK,ExgKey,nonce)；
步骤3：目标管理程序将扩展密钥证书发送给原始平台的管理程序；
步骤4：原始平台管理程序检验扩展密钥的属性，确保它只能被可信的管理程序访问，同时用扩展密钥加密要迁移的虚拟机的虚拟AIK和用户证书，其实现方法为：
BlobvAIK＝TPM_CreateMigrationBlob((vAIK,certuser),ExgKey)；
步骤5：原始管理程序从可信存储器删除虚拟AIK和用户证书，其实现方法为：
Delete(vAIK,certuser)from trusted storage；
步骤6：原始平台管理程序向目标平台管理程序发送虚拟二进制对象，删除虚拟AIK的会话,目标管理程序解密虚拟AIK和用户证书，同时将它们放在可信存储器上，其实现方法为：
(vAIK,certuser)＝TPM_ConvertMigrationBlob(BlobvAIK,ExgKey)；
Store(vAIK,certuser)in trusted storage。
S3用户创建虚拟机后，便可利用虚拟机提供的服务。当用户要验证某虚拟是否为自己创建的虚拟机时，虚拟机身份认证的步骤为：
步骤1：验证者向虚拟机发送随机数；
步骤2：虚拟机请求管理程序为其建立一个验证；
步骤3：管理程序收到请求，为虚拟机下载相应的虚拟AIK和用户证书，用虚拟AIK签署虚拟PCR，为虚拟AIK的安全属性建立证书，其实现方法为：
Load(vAIK,certuser)from trusted storage；
Attestation＝TPM_Sign(vPCR,nonce,vAIK)；
CertvAIK＝TPM_CertifyKey(AuthKey,vAIK,hash(certuser|nonce))；
CertAuthKey＝TPM_CertifyKey(AIK,AuthKey,hash(certuser|nonce))；
步骤4：管理程序把协商会话、虚拟AIK证书、用户密钥证书发送给虚拟机，虚拟机把它们建成一个测试列表并发给验证者，即(Measure_list,Attestion,CertvAIK、CertAuthKey)；
步骤5：验证者对相关内容进行验证。验证步骤为：
(1)验证用户证书保证虚拟AIK只能被一个可信管理程序访问而且只属于他自己的虚拟机；
(2)验证签名保证由上述vAIK签署；
(3)验证vPCR的值是通过扩展测试列表计算；
(4)根据参考数据验证测试列表。
基于同一发明构思，本申请还提供一种可信芯片的终端虚拟机身份认证系统，所述系统包括：
建立模块，用于创建虚拟机时生成虚拟AIK，所述虚拟AIK包括：虚拟AIK证书和用户密钥证书；
迁移模块，用于当所述虚拟机从一个平台迁移到另一个平台时，将虚拟AIK进行迁移；
身份认证模块，用于对所述虚拟机进行身份认证，判断虚拟机是否创建成功。
提供了一种可信芯片的终端虚拟机身份认证设备，包括：至少一个处理器、至少一个存储器以及存储在所述存储器中的计算机程序指令，当所述计算机程序指令被所述处理器执行时实现如具体实施方式中S1-S3所述的方法。
此外还提供了一种计算机可读存储介质，其上存储有计算机程序指令，当所述计算机程序指令被处理器执行时实现如具体实施方式中S1-S3所述的方法。
实施例：
本发明实施例1提供了一种用户创建一台虚拟机时生成虚拟AIK的方法，虚拟AIK由可信芯片产生，可信芯片作为终端安全芯片硬件模块的安全性可以有效防止攻击者破坏其机密性；
本发明实施例2提供了一种虚拟机从一个平台迁移到另一个平台时虚拟AIK的迁移方法，如图管理程序将虚拟机和虚拟AIK绑定并存储在管理程序的内部地址空间中，管理程序的安全性避免了迁移时攻击者对其的篡改；
本发明实施例3提供了一种用户验证某虚拟是否为自己创建的虚拟机时虚拟机身份认证方法，用户证书与虚拟AIK绑定并存储在可信芯片的非易失性寄存器中，可信存储机制的安全性避免了攻击者对虚拟机身份的篡改。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
最后应当说明的是：以上实施例仅用以说明本申请的技术方案而非对其保护范围的限制，尽管参照上述实施例对本申请进行了详细的说明，所属领域的普通技术人员应当理解：本领域技术人员阅读本申请后依然可对申请的具体实施方式进行种种变更、修改或者等同替换，这些变更、修改或者等同替换，其均在其申请待批的权利要求范围之内。
Claims (9)
1.一种可信芯片的终端虚拟机身份认证方法，其特征在于，所述方法包括：
创建虚拟机时生成虚拟AIK，所述虚拟AIK包括：虚拟AIK证书和用户密钥证书；
当所述虚拟机从一个平台迁移到另一个平台时，将虚拟AIK进行迁移；
对所述虚拟机进行身份认证，判断虚拟机是否创建成功。
2.如权利要求1所述的方法，其特征在于，所述虚拟机时生成虚拟AIK的创建包括：
管理程序接收用户证书和随机数，调用可信芯片生成关键字，将所述关键字添加至可信存储器；所述关键字包括：用户密钥和虚拟AIK；
采用用户密钥和AIK平台验证用户密钥和虚拟AIK的属性；
返回属性验证得到的虚拟AIK证书和用户密钥证书。
3.如权利要求1所述的方法，其特征在于，所述当虚拟机从一个平台迁移到另一个平台时，将虚拟AIK进行迁移包括：原始平台的管理程序向目标平台的所述管理程序发送一个随机数，所述原始平台的管理程生成仅能被所述目标平台管理程序访问的密钥和扩展密钥，同时用AIK验证扩展密钥；
所述目标平台管理程序将扩展密钥证书发送给所述原始平台的管理程序，所述原始平台管理程序检验扩展密钥的属性，确保仅被可信的管理程序访问，同时用扩展密钥加密需要迁移的虚拟机的虚拟AIK和用户证书。
4.如权利要求1所述的方法，其特征在于，所述用扩展密钥加密要迁移的虚拟机的虚拟AIK和用户证书之后还包括：原始平台管理程序从可信存储器删除虚拟AIK和用户证书，所述原始平台管理程序向所述目标平台管理程序发送虚拟AIK的二进制对象，协商删除虚拟AIK的会话,所述目标平台管理程序解密虚拟AIK和用户证书，并存储于可信存储器上。
5.如权利要求1所述的方法，其特征在于，所述对虚拟机进行身份认证，判断虚拟机是否创建成功包括：验证用户向虚拟机发送随机数，所述虚拟机请求所述管理程序为其建立一个验证协商会话；
所述管理程序收到请求后为所述虚拟机下载相应的虚拟AIK和用户证书，用虚拟AIK签署虚拟PCR，为虚拟AIK的安全属性建立证书，生成虚拟AIK证书；
管理程序将所述协商会话、虚拟AIK证书、用户密钥证书发送给虚拟机；
所述虚拟机根据接收的所述协商会话、虚拟AIK证书、用户密钥证书建立测试列表并发给所述用户，供所述验证用户对测试列表的相关内容进行验证；
其中，所述测试列表包括度量列表、协商会话、虚拟AIK证书以及用户密钥证书。
6.如权利要求5所述的方法，其特征在于，所述供验证用户对测试列表的相关内容进行验证包括：
以验证用户虚拟AIK证书是否仅允许唯一可信管理程序访问、签名是否由虚拟AIK签署以及寄存器内的值是否能够通过扩展测试列表计算的的验证结果作为参考数据；
根据参考数据验证测试列表。
7.一种可信芯片的终端虚拟机身份认证系统，其特征在于，所述系统包括：
建立模块，用于创建虚拟机时生成虚拟AIK，所述虚拟AIK包括：虚拟AIK证书和用户密钥证书；
迁移模块，用于当所述虚拟机从一个平台迁移到另一个平台时，将虚拟AIK进行迁移；
身份认证模块，用于对所述虚拟机进行身份认证，判断虚拟机是否创建成功。
8.一种可信芯片的终端虚拟机身份认证设备，其特征在于，包括：至少一个处理器、至少一个存储器以及存储在所述存储器中的计算机程序指令，当所述计算机程序指令被所述处理器执行时实现如权利要求1-6所述的方法。
9.一种计算机可读存储介质，其上存储有计算机程序指令，其特征在于，当所述计算机程序指令被处理器执行时实现如权利要求1-6所述的方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010167572.4A CN111310173A (zh) | 2020-03-11 | 2020-03-11 | 一种可信芯片的终端虚拟机身份认证方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010167572.4A CN111310173A (zh) | 2020-03-11 | 2020-03-11 | 一种可信芯片的终端虚拟机身份认证方法及系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN111310173A true CN111310173A (zh) | 2020-06-19 |
Family
ID=71160769
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010167572.4A Pending CN111310173A (zh) | 2020-03-11 | 2020-03-11 | 一种可信芯片的终端虚拟机身份认证方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN111310173A (zh) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112099909A (zh) * | 2020-08-27 | 2020-12-18 | 海光信息技术有限公司 | 一种虚拟机内存度量方法、装置、处理器芯片及系统 |
| CN112748984A (zh) * | 2020-12-28 | 2021-05-04 | 海光信息技术股份有限公司 | 虚拟机数据处理、控制方法、处理器、芯片、装置及介质 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103701607A (zh) * | 2013-12-25 | 2014-04-02 | 国家电网公司 | 一种虚拟机环境下可信平台模块的虚拟化方法 |
| CN103888251A (zh) * | 2014-04-11 | 2014-06-25 | 北京工业大学 | 一种云环境中虚拟机可信保障的方法 |
| CN107294710A (zh) * | 2017-06-30 | 2017-10-24 | 浪潮(北京)电子信息产业有限公司 | 一种vTPM2.0的密钥迁移方法及装置 |
| CN107465689A (zh) * | 2017-09-08 | 2017-12-12 | 大唐高鸿信安（浙江）信息科技有限公司 | 云环境下的虚拟可信平台模块的密钥管理系统及方法 |
| CN109684037A (zh) * | 2018-12-18 | 2019-04-26 | 北京可信华泰信息技术有限公司 | 一种虚拟机安全迁移方法 |
-
2020
- 2020-03-11 CN CN202010167572.4A patent/CN111310173A/zh active Pending
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103701607A (zh) * | 2013-12-25 | 2014-04-02 | 国家电网公司 | 一种虚拟机环境下可信平台模块的虚拟化方法 |
| CN103888251A (zh) * | 2014-04-11 | 2014-06-25 | 北京工业大学 | 一种云环境中虚拟机可信保障的方法 |
| CN107294710A (zh) * | 2017-06-30 | 2017-10-24 | 浪潮(北京)电子信息产业有限公司 | 一种vTPM2.0的密钥迁移方法及装置 |
| CN107465689A (zh) * | 2017-09-08 | 2017-12-12 | 大唐高鸿信安（浙江）信息科技有限公司 | 云环境下的虚拟可信平台模块的密钥管理系统及方法 |
| CN109684037A (zh) * | 2018-12-18 | 2019-04-26 | 北京可信华泰信息技术有限公司 | 一种虚拟机安全迁移方法 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112099909A (zh) * | 2020-08-27 | 2020-12-18 | 海光信息技术有限公司 | 一种虚拟机内存度量方法、装置、处理器芯片及系统 |
| CN112748984A (zh) * | 2020-12-28 | 2021-05-04 | 海光信息技术股份有限公司 | 虚拟机数据处理、控制方法、处理器、芯片、装置及介质 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN102208000B (zh) | 为虚拟机镜像提供安全机制的方法和系统 | |
| CN109313690B (zh) | 自包含的加密引导策略验证 | |
| US8151262B2 (en) | System and method for reporting the trusted state of a virtual machine | |
| EP3540626B1 (en) | Enclave launch and authentication | |
| US10771264B2 (en) | Securing firmware | |
| Dunn et al. | Cloaking malware with the trusted platform module | |
| JP5611768B2 (ja) | データセンタへのプラットフォームの内包検証 | |
| CN102404314B (zh) | 远程资源单点登录 | |
| US8997198B1 (en) | Techniques for securing a centralized metadata distributed filesystem | |
| CN105718807B (zh) | 基于软tcm和可信软件栈的安卓系统及其可信认证系统与方法 | |
| US20120324236A1 (en) | Trusted Snapshot Generation | |
| CN106991298B (zh) | 应用程序对接口的访问方法、授权请求方法及装置 | |
| WO2020192406A1 (zh) | 数据存储、验证方法及装置 | |
| US20100082987A1 (en) | Transparent trust validation of an unknown platform | |
| CN103701607A (zh) | 一种虚拟机环境下可信平台模块的虚拟化方法 | |
| JP6073320B2 (ja) | デジタル署名するオーソリティ依存のプラットフォームシークレット | |
| JP2006092533A (ja) | コンピュータセキュリティシステムおよび方法 | |
| CN107704308B (zh) | 虚拟平台vTPM管理系统、信任链构建方法及装置、存储介质 | |
| TWI745629B (zh) | 電腦系統以及初始化電腦系統的方法 | |
| US20170200010A1 (en) | Security control method and network device | |
| WO2014059575A1 (zh) | 输入输出操作的处理方法和装置 | |
| CN104794394A (zh) | 一种虚拟机启动校验的方法及装置 | |
| CN105308610A (zh) | 用于设备上的平台和用户应用安全性的方法和系统 | |
| CN111310173A (zh) | 一种可信芯片的终端虚拟机身份认证方法及系统 | |
| Zhao et al. | A private user data protection mechanism in trustzone architecture based on identity authentication |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20200619 |
|
| RJ01 | Rejection of invention patent application after publication |