CN112883369A - 一种可信虚拟化系统 - Google Patents

一种可信虚拟化系统 Download PDF

Info

Publication number
CN112883369A
CN112883369A CN202110319502.0A CN202110319502A CN112883369A CN 112883369 A CN112883369 A CN 112883369A CN 202110319502 A CN202110319502 A CN 202110319502A CN 112883369 A CN112883369 A CN 112883369A
Authority
CN
China
Prior art keywords
virtual machine
virtual
measurement
trusted
migration
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110319502.0A
Other languages
English (en)
Inventor
孟丹
贾晓启
张伟娟
陈家赟
白璐
韦秋石
武希耀
孙慧琪
王睿怡
唐静
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Institute of Information Engineering of CAS
Original Assignee
Institute of Information Engineering of CAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Institute of Information Engineering of CAS filed Critical Institute of Information Engineering of CAS
Priority to CN202110319502.0A priority Critical patent/CN112883369A/zh
Publication of CN112883369A publication Critical patent/CN112883369A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/572—Secure firmware programming, e.g. of basic input output system [BIOS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/4557—Distribution of virtual machine instances; Migration and load balancing

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本发明公开了一种可信虚拟化系统，其特征在于，包括宿主机和运行于该宿主机上的虚拟机管理器；所述虚拟机管理器为宿主机上的每一虚拟机分配一虚拟BIOS、一虚拟度量设备和一虚拟机可信迁移模块；其中，所述虚拟BIOS，用于在虚拟机启动过程中对虚拟机镜像中设定的虚拟机核心文件执行度量；所述虚拟度量设备，用于在虚拟机运行过程中对虚拟机系统内存中的设定重要对象进行主动的动态度量，并将度量结果存储到内置安全芯片上；所述虚拟机可信迁移模块，用于在虚拟机迁移过程中将源虚拟机的虚拟度量设备度量信息传输至目标虚拟机的虚拟度量设备中，保证迁移前后的可信启动信息和可信度量信息的一致性以及迁移前后可信度量操作的连续性。

Description

一种可信虚拟化系统
技术领域
本发明属于虚拟云安全领域，具体涉及一种可信虚拟化系统。
背景技术
随着信息技术的高速发展，危害信息安全的事件也不断发生，信息安全形势日益严峻。国家互联网应急中心(CNCERT)发布的2020年3月互联网安全威胁报告中指出，境内感染网络病毒的终端数为近151万个，国家信息安全漏洞共享平台(CNVD)收集整理信息系统安全漏洞2076个，其中包含高危漏洞765个、可被利用来实施远程攻击的漏洞1591个。系统安全问题会影响到国家安全、经济发展、社会稳定。
虚拟化技术是云计算技术的重要支撑技术。利用这种技术，可以在一台计算机(或称物理机、宿主机)上同时运行多个逻辑计算机(或称虚拟机、客户机)，每个逻辑计算机上可以同时运行不同的操作系统和应用程序，并且做到一定的隔离性，互不干扰。虚拟机化技术的出现带来了强大的计算资源灵活性、可扩展性，给使用、开发、运维带来巨大便利。此外，虚拟化技术与生俱来的隔离属性提高了应用程序运行环境的安全性，但这种隔离性也带来了虚拟机内部无法受到物理安全硬件管控的问题。
在当前的学术界和业界，基于硬件可信基的系统安全防护技术已经较为完善，但基于硬件可信基的技术依然存在一些问题，尤其是其缺乏对虚拟化系统和虚拟机内部的防护。
发明内容
针对高安全要求的虚拟化系统防御问题，本发明提出了一种可信虚拟化系统。本发明将防御技术从硬件和宿主机操作系统延伸到虚拟机内部，覆盖虚拟机的整个生命周期，从而提升虚拟机内部和虚拟化系统整体的安全性。
本发明的技术方案为：
一种可信虚拟化系统，其特征在于，包括宿主机和运行于该宿主机上的虚拟机管理器；其中，
所述宿主机中包括内置安全芯片，用于对宿主机系统内存中的设定对象定期进行主动的动态度量并将度量结果保存到该内置安全芯片上的非易失性存储器中；
所述虚拟机管理器为宿主机上的每一虚拟机分配一虚拟BIOS、一虚拟度量设备和一虚拟机可信迁移模块；其中，
所述虚拟BIOS，用于在虚拟机启动过程中对虚拟机镜像中设定的虚拟机核心文件执行度量，确保虚拟机核心文件的完整性以及虚拟机在启动过程中的可信；
所述虚拟度量设备，用于在虚拟机运行过程中对虚拟机系统内存中的设定重要对象进行主动的动态度量，并将度量结果存储到所述内置安全芯片上；
所述虚拟机可信迁移模块，用于在虚拟机迁移过程中将源虚拟机的虚拟度量设备度量信息传输至目标虚拟机的虚拟度量设备中，保证迁移前后的可信启动信息和可信度量信息的一致性以及迁移前后可信度量操作的连续性。
进一步的，所述虚拟BIOS执行度量过程中，主动获取虚拟机操作系统镜像中设定的虚拟机核心文件并计算其度量值，然后将度量值与存放在内置安全芯片中的基准度量值进行对比，如果一致，则判定虚拟机核心文件完整且虚拟机在启动过程可信。
进一步的，所述虚拟度量设备在虚拟机操作系统启动的过程中从虚拟机度量设备驱动获取到虚拟机的度量对象并计算度量值，检查内置安全芯片中是否存有度量基准值，若没有，则将当前计算的度量值作为度量基准值存入内置安全芯片中；若有，则将当前计算的度量值与对应度量基准值进行对比，如果一致，则判定为系统可信；如果不一致，则将异常日志写入内置安全芯片非易失性存储上的日志文件中。
进一步的，所述虚拟机可信迁移模块在收到迁移命令后，将源虚拟机内存、虚拟度量设备状态信息加密发送至目标虚拟机中，并将源虚拟机的虚拟BIOS存储在内置安全芯片非易失性存储上的文件、源虚拟机的虚拟度量设备存储在内置安全芯片非易失性存储上的文件传输至目标虚拟机中。
进一步的，目标虚拟机的所述虚拟机可信迁移模块接收到迁移信息后启动目标虚拟机，恢复可信状态，并启动虚拟度量设备对目标虚拟机系统内存中的设定重要对象进行主动的动态度量。
本发明主要利用内置安全芯片的可信基确保宿主机操作系统、虚拟机管理器和虚拟机内部的可信，实现虚拟机可信启动、运行时可信度量和可信迁移，保证虚拟化系统的整体运行安全可信。
本发明提出了一种可信虚拟化系统，其特征在于，包括：
1)可信服务器硬件环境，所述可信服务器硬件中包括内置安全芯片，对宿主机系统内存中的重要对象进行主动的动态度量，即定期获取度量对象内容、计算度量值、与基准度量值进行对比，并在内置安全芯片上的非易失性存储器中记录度量日志。
2)虚拟机管理器，所述虚拟机管理器管理了虚拟机执行的整个生命周期，通过虚拟BIOS、虚拟度量设备、虚拟机可信迁移模块等组件确保在虚拟机执行的不同阶段中度量操作的连续性，从而确保安全可信。
所述内置安全芯片为服务器的独立安全设备，通过单向物理隔离保障安全性，先于系统启动，是整个系统的可信根，能够对系统的整个引导启动过程和运行过程进行安全度量，防止或监测非法篡改。
所述虚拟机管理器包括虚拟BIOS组件，所述虚拟BIOS在虚拟机启动过程中对虚拟机镜像中设定的虚拟机核心文件执行度量，确保虚拟机核心文件的完整性，确保虚拟机在启动过程中的可信。
所述虚拟机管理器包括虚拟度量设备组件，所述虚拟度量设备在虚拟机运行过程中对虚拟机系统内存中的设定重要对象进行主动的动态度量，并在内置安全芯片上记录日志。
所述虚拟机管理器包括虚拟机可信迁移模块，在虚拟机迁移过程中传输源虚拟机的虚拟度量设备设定的重要信息(比如源虚拟机内存、虚拟度量设备状态信息和度量值)至目标虚拟机的虚拟度量设备中，保证迁移前后的可信启动信息和可信度量信息的一致性，保证迁移前后可信度量操作的连续性。
与现有技术相比，本发明的有益效果如下：
(1)本发明提出的可信虚拟化系统，利用硬件提供的可信物理机环境，通过虚拟机管理器所包含的虚拟BIOS、虚拟度量设备、可信迁移模块分别负责虚拟机的启动、运行、迁移等状态，将度量操作覆盖了虚拟机的整个生命周期。
(2)本发明提出的可信虚拟化系统能够保证虚拟机在不同状态之间转移前后度量操作的连续性，防止虚拟机在状态转移间隙时完整性遭到破坏，从而进一步确保虚拟化系统的整体安全性。
附图说明
图1为可信虚拟化系统的架构图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。可以理解的是，所描述的实施例仅是本发明一部分，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
实现本发明的一种具体实施方法如下：
可信虚拟化系统架构如图1所示，主要包括：
1)可信服务器硬件环境
宿主机硬件中包括内置安全芯片。该设备为位于宿主机主板上PCI插槽的一块特殊硬件设备。该设备包含了独立的处理器、内存、非易失性存储，可以对宿主机系统内存中的重要对象进行主动动态度量，并在内置安全芯片上的非易失性存储中记录日志。
2)虚拟机管理器
虚拟机管理器包括宿主机操作系统上的部分内核模块和部分应用程序，用于管理虚拟机执行的整个生命周期。
在本发明的一实施例中，虚拟机管理器又包括：
2.1)虚拟BIOS，用于在虚拟机启动阶段引导虚拟机操作系统镜像，且在过程中对虚拟机操作系统镜像中关键文件(内核镜像等)执行度量操作。
2.2)虚拟度量设备，用于在虚拟机执行过程中对虚拟机系统内存中的设定重要对象(内核符号表等)执行主动动态度量操作。在虚拟机系统启动的过程
2.3)可信迁移模块，用于保证虚拟机迁移过程和前迁移后的可信。
在本发明的一实施例中，虚拟BIOS在执行度量过程中，主动获取虚拟机操作系统镜像中的虚拟机核心文件，计算度量值，与存放在内置安全芯片中的基准度量值进行对比。度量值匹配失败时将异常日志写入内置安全芯片非易失性存储上的日志文件中。
在本发明的一实施例中，虚拟度量设备在虚拟机操作系统启动的过程中从虚拟机度量设备驱动获取到虚拟机的度量对象并计算度量值，检查内置安全芯片中是否存有度量基准值，若没有，则以上述度量值作为度量基准值存入；若有，则与上述度量值进行对比，度量值匹配失败时将异常日志写入内置安全芯片非易失性存储上的日志文件中。在虚拟机运行过程中，虚拟度量设备定时主动读取虚拟机内存中的度量对象，进行度量值计算，与度量基准值进行对比，如果一致，则判定为系统可信；如果不一致，则将异常日志(包括异常对象信息、时间戳等)写入内置安全芯片非易失性存储上的日志文件中。
在本发明的一实施例中，虚拟机可信迁移模块在接收到迁移命令后，将源虚拟机内存、虚拟度量设备状态信息加密发送至迁移目的虚拟机中，并将虚拟BIOS和虚拟度量设备存储在内置安全芯片非易失性存储上的文件直接通过两台物理服务器各自的内置安全芯片之间的加密链路安全发送。
在本发明的一实施例中，可信迁移模块在迁移目标虚拟机上接收到所有信息后即启动迁移目标虚拟机，恢复可信状态，并立即开始虚拟度量设备的动态主动度量操作。
以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求书所述为准。

Claims (5)

1.一种可信虚拟化系统，其特征在于，包括宿主机和运行于该宿主机上的虚拟机管理器；其中，
所述宿主机中包括内置安全芯片，用于对宿主机系统内存中的设定对象定期进行主动的动态度量并将度量结果保存到该内置安全芯片上的非易失性存储器中；
所述虚拟机管理器为宿主机上的每一虚拟机分配一虚拟BIOS、一虚拟度量设备和一虚拟机可信迁移模块；其中，
所述虚拟BIOS，用于在虚拟机启动过程中对虚拟机镜像中设定的虚拟机核心文件执行度量，确保虚拟机核心文件的完整性以及虚拟机在启动过程中的可信；
所述虚拟度量设备，用于在虚拟机运行过程中对虚拟机系统内存中的设定重要对象进行主动的动态度量，并将度量结果存储到所述内置安全芯片上；
所述虚拟机可信迁移模块，用于在虚拟机迁移过程中将源虚拟机的虚拟度量设备度量信息传输至目标虚拟机的虚拟度量设备中，保证迁移前后的可信启动信息和可信度量信息的一致性以及迁移前后可信度量操作的连续性。
2.如权利要求1所述的系统，其特征在于，所述虚拟BIOS执行度量过程中，主动获取虚拟机操作系统镜像中设定的虚拟机核心文件并计算其度量值，然后将度量值与存放在内置安全芯片中的基准度量值进行对比，如果一致，则判定虚拟机核心文件完整且虚拟机在启动过程可信。
3.如权利要求1所述的系统，其特征在于，所述虚拟度量设备在虚拟机操作系统启动的过程中从虚拟机度量设备驱动获取到虚拟机的度量对象并计算度量值，检查内置安全芯片中是否存有度量基准值，若没有，则将当前计算的度量值作为度量基准值存入内置安全芯片中；若有，则将当前计算的度量值与对应度量基准值进行对比，如果一致，则判定为系统可信；如果不一致，则将异常日志写入内置安全芯片非易失性存储上的日志文件中。
4.如权利要求1所述的系统，其特征在于，所述虚拟机可信迁移模块在收到迁移命令后，将源虚拟机内存、虚拟度量设备状态信息加密发送至目标虚拟机中，并将源虚拟机的虚拟BIOS存储在内置安全芯片非易失性存储上的文件、源虚拟机的虚拟度量设备存储在内置安全芯片非易失性存储上的文件传输至目标虚拟机中。
5.如权利要求1或4所述的系统，其特征在于，目标虚拟机的所述虚拟机可信迁移模块接收到迁移信息后启动目标虚拟机，恢复可信状态，并启动虚拟度量设备对目标虚拟机系统内存中的设定重要对象进行主动的动态度量。
CN202110319502.0A 2021-03-25 2021-03-25 一种可信虚拟化系统 Pending CN112883369A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110319502.0A CN112883369A (zh) 2021-03-25 2021-03-25 一种可信虚拟化系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110319502.0A CN112883369A (zh) 2021-03-25 2021-03-25 一种可信虚拟化系统

Publications (1)

Publication Number Publication Date
CN112883369A true CN112883369A (zh) 2021-06-01

Family

ID=76042303

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110319502.0A Pending CN112883369A (zh) 2021-03-25 2021-03-25 一种可信虚拟化系统

Country Status (1)

Country Link
CN (1) CN112883369A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114327791A (zh) * 2022-03-03 2022-04-12 阿里云计算有限公司 基于虚拟化的可信计算度量方法、装置、设备和存储介质
CN117640407A (zh) * 2023-11-29 2024-03-01 联通(江苏)产业互联网有限公司 一种基于5g通信技术的用户数据分析识别系统及方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110320556A1 (en) * 2010-06-29 2011-12-29 Microsoft Corporation Techniques For Migrating A Virtual Machine Using Shared Storage
CN109783192A (zh) * 2018-12-18 2019-05-21 北京可信华泰信息技术有限公司 一种虚拟机安全迁移系统
CN111897621A (zh) * 2019-05-06 2020-11-06 阿里巴巴集团控股有限公司 一种虚拟机迁移方法、装置、设备、系统及存储介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110320556A1 (en) * 2010-06-29 2011-12-29 Microsoft Corporation Techniques For Migrating A Virtual Machine Using Shared Storage
CN109783192A (zh) * 2018-12-18 2019-05-21 北京可信华泰信息技术有限公司 一种虚拟机安全迁移系统
CN111897621A (zh) * 2019-05-06 2020-11-06 阿里巴巴集团控股有限公司 一种虚拟机迁移方法、装置、设备、系统及存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
王晓;张建标;曾志强;: "基于可信平台控制模块的可信虚拟执行环境构建方法", 北京工业大学学报, no. 06 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114327791A (zh) * 2022-03-03 2022-04-12 阿里云计算有限公司 基于虚拟化的可信计算度量方法、装置、设备和存储介质
CN114327791B (zh) * 2022-03-03 2022-06-10 阿里云计算有限公司 基于虚拟化的可信计算度量方法、装置、设备和存储介质
WO2023165367A1 (zh) * 2022-03-03 2023-09-07 阿里云计算有限公司 基于虚拟化的可信计算度量方法、装置、设备和存储介质
CN117640407A (zh) * 2023-11-29 2024-03-01 联通(江苏)产业互联网有限公司 一种基于5g通信技术的用户数据分析识别系统及方法
CN117640407B (zh) * 2023-11-29 2024-05-14 联通(江苏)产业互联网有限公司 一种基于5g通信技术的用户数据分析识别系统及方法

Similar Documents

Publication Publication Date Title
US11663031B2 (en) Techniques for securing virtual cloud assets at rest against cyber threats
US10262140B2 (en) Methods and apparatus to facilitate blockchain-based boot tracking
CN101515316B (zh) 一种可信计算终端及可信计算方法
US11714910B2 (en) Measuring integrity of computing system
US20240054234A1 (en) Methods and systems for hardware and firmware security monitoring
US8955104B2 (en) Method and system for monitoring system memory integrity
RU2691187C1 (ru) Система и способы аудита виртуальной машины
US10152597B1 (en) Deduplicating malware
US11036859B2 (en) Collecting algorithmically generated domains
EP3477524B1 (en) Methods and systems for holistically attesting the trust of heterogeneous compute resources
US20160232354A1 (en) System memory integrity monitoring
US11636214B2 (en) Memory scan-based process monitoring
CN111324891A (zh) 用于容器文件完整性监视的系统和方法
US11775649B2 (en) Perform verification check in response to change in page table base register
CN112883369A (zh) 一种可信虚拟化系统
CN113647053A (zh) 用于利用至少一个导出密钥配置安全模块的方法
US8800052B2 (en) Timer for hardware protection of virtual machine monitor runtime integrity watcher
CN109951527B (zh) 面向虚拟化系统的hypervisor完整性检测方法
Du et al. Dynamic integrity measurement model based on vTPM
Abdullah et al. Towards a dynamic file integrity monitor through a security classification
Taubmann Improving digital forensics and incident analysis in production environments by using virtual machine introspection
CN115543501A (zh) 一种可信桌面虚拟化系统
Mironov et al. Trusted Boot Mechanisms in Physical and Virtual Environments
CN112882799A (zh) 一种基于内置安全芯片的虚拟机可信迁移系统
Latzo All your System Memory are belong to us: From Low-Level Memory Acquisition to High-Level Forensic Event Reconstruction

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination