WO2015035843A1 - 一种度量方法、电子设备及度量系统 - Google Patents

一种度量方法、电子设备及度量系统 Download PDF

Info

Publication number
WO2015035843A1
WO2015035843A1 PCT/CN2014/084478 CN2014084478W WO2015035843A1 WO 2015035843 A1 WO2015035843 A1 WO 2015035843A1 CN 2014084478 W CN2014084478 W CN 2014084478W WO 2015035843 A1 WO2015035843 A1 WO 2015035843A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
electronic device
verification information
running
data
Prior art date
Application number
PCT/CN2014/084478
Other languages
English (en)
French (fr)
Inventor
刘建锋
施迅
张焕国
严飞
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP14844140.5A priority Critical patent/EP3048550B1/en
Publication of WO2015035843A1 publication Critical patent/WO2015035843A1/zh
Priority to US15/071,430 priority patent/US10339284B2/en

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect

Definitions

  • Measurement method electronic device and measurement system
  • the present invention relates to the field of computer technologies, and in particular, to a measurement method, an electronic device, and a metric system. Background technique
  • Cloud computing links a large number of computing resources, storage resources and software resources together to form a large pool of shared virtual software resources, providing high-speed computing and search software services for remote computers.
  • the security of access is becoming more and more important.
  • the virtual machine monitor VMM in the accessed electronic device needs to be measured.
  • the system management mode (SMM) mode of the CPU is used to implement measurement and verification of the metric agent in the VMM, and the cover metric agent (Measure Agent) is executed transparently.
  • the transmission metric is implemented as follows:
  • SMI System Management Interrupts
  • VM Exit virtual machine exit
  • Exit command the CPU will enter the virtual machine "root” mode
  • execute the VM Exit command will cause the value of the calculator to change from 1 to 0, and then enter the system management mode by triggering SMI, set for the measurement agent (Measurement Agent) Execution environment, masking various interrupts, and modifying jump tables, etc., to determine
  • the execution of the Measurement Agent is not interrupted or interrupted. After the execution environment is set, the SMMS mode is exited, and the Measurement Agent is called to measure the running data and code of the CPU context and the VMM. After the measurement is completed, the third trigger is performed. SMI, in the system The measurement result is maintained in the management mode, and the measurement result is transmitted to the peripheral device, and then the tampering of the execution metric is returned to the VMM to continue execution.
  • the embodiment of the present application provides a measurement method, an electronic device, and a measurement system, which are used to solve the operation process of the operating system of the electronic device when the existing electronic device performs measurement, resulting in low security and measurement.
  • the problem of low accuracy is a measurement method, an electronic device, and a measurement system, which are used to solve the operation process of the operating system of the electronic device when the existing electronic device performs measurement, resulting in low security and measurement. The problem of low accuracy.
  • a metric method comprising: an electronic device reading, from a hardware storage device, a running code and running data during a running process of a virtual machine manager VMM, according to the running code and Generating, by the operation data, first verification information; the electronic device stores the first verification information, and the electronic device reads the running code and the running data to the electronic device to store the first Transmitting the log information generated in the verification information process to the trusted data center, so that the trusted data center generates the second verification information generated according to the log information, and the first verification obtained from the electronic device Information measures the electronic device.
  • the electronic device reads, from the hardware storage device, the running code and the running data in the running process of the virtual machine manager VMM, specifically: the electronic device from the firmware Reading the storage code and the storage address information and the storage capacity information of the running data in the COMS; the electronic device according to the storage address information and The storage capacity information reads the running code and the running data from the hardware storage device.
  • the electronic device reads the running code and the storage address information and the storage capacity information of the running data from the firmware COMS After the reading of the running code and the running data from the hardware storage device, the method further includes: the electronic device accessing the storage address information and the device according to the storage address information and the storage capacity information The storage capacity information is verified.
  • the method specifically includes: in the system management mode, the electronic device reads the The address information and the storage capacity information are stored.
  • the electronic device reads the storage address information from the CMOS and the Before storing the capacity information, the method further includes: the electronic device digitally signing the running code and the storage address information and the storage capacity information of the running data during the running of the VMM, and digitally signing The storage address information and the storage capacity information are written in the CMOS.
  • the storing, by the electronic device, the first verification information specifically: if not currently Storing the first verification information, the electronic device storing the newly generated first verification information; if the first verification information is currently stored, the electronic device replaces the stored first with the newly generated first verification information Verification information, or the electronic device stores the newly generated first verification information and a first time for newly generating the first verification information, so that the trusted data center is based on the second one of the log information.
  • the time, and the first time obtained from the electronic device determine first verification information for measuring the electronic device.
  • the storing, by the electronic device, the first verification information specifically: the electronic device storing the first verification information to a trusted platform module of the electronic device
  • the electronic device generates the first according to the running code and the running data.
  • the verification information is specifically: the electronic device performs a hash calculation on the running code and the running data, and uses the generated hash value as the first verification information.
  • an electronic device comprising: a data reading unit, configured to read, from a hardware storage device, running code and running data during operation of a virtual machine manager VMM, and verifying the information generating unit And receiving the running code and the running data sent by the data reading unit, and generating first verification information according to the running code and the running data; and a storage unit, configured to receive the verification The first verification information sent by the information generating unit, the first verification information is stored, and the sending unit is configured to: the electronic device reads the running code and the running data to the electronic device to store the first The log information generated during the verification information is transmitted to the trusted data center, so that the trusted data center generates the second verification information generated according to the log information, and the first obtained from the electronic device.
  • the verification information measures the electronic device.
  • the data reading unit is specifically configured to read, from the firmware COMS, the storage address information and the storage capacity information of the running data, and And reading the running code and the running data from the hardware storage device according to the storage address information and the storage capacity information.
  • the electronic device includes a verification unit, configured to read the running code and the storage of the running data from the firmware COMS After the address information and the storage capacity information, the storage address information and the storage address are read from the hardware storage device according to the storage address information and the storage capacity information The storage capacity information is verified.
  • the data reading unit is specifically configured to read the storage address from the CMOS in a system management mode. Information and the storage capacity information.
  • the electronic device includes a signature unit, and in the system management mode, the electronic device reads from the CMOS Before storing the address information and the storage capacity information, the storage code and the storage address information and the storage capacity information of the running data are digitally signed during the running of the VMM, and the digital signature is performed. The storage address information and the storage capacity information are written in the CMOS.
  • the storage unit is specifically configured to: if the first verification information is not currently stored, And storing the newly generated first verification information; if the first verification information is currently stored, replacing the stored first verification information with the newly generated first verification information, or storing the newly generated first verification information Information and a first time for newly generating the first verification information, such that the trusted data center determines the second time according to the log information, and the first time obtained from the electronic device The first verification information of the electronic device is measured.
  • the storage unit is specifically configured to store the first verification information to the The trusted platform module TPM chip of the electronic device.
  • the verification information generating unit is specifically configured to use the running code and the The running data is hashed, and the generated hash value is used as the first verification information.
  • an electronic device comprising: a hardware storage device, configured to store running code and running data in a running process of a virtual machine manager VMM; a controller, a running code, and the running data, Generating and storing the first verification information; Transmitting, by the electronic device, the running code and the running data to the electronic device to store the log information generated in the process of storing the first verification information, to transmit to the trusted data center, so that the trusted data center
  • the second verification information generated by the log information and the first verification information acquired from the electronic device measure the electronic device.
  • the controller is specifically configured to read, by using the firmware COMS, the running code and the storage address information and the storage capacity information of the running data, and according to the The storage address information and the storage capacity information are read, and the running code and the running data are read from the hardware storage device.
  • the controller is specifically configured to: read the running code and the storage address information of the running data from the COMS After storing the capacity information, the storage address information and the storing before reading the running code and the running data from the hardware storage device according to the storage address information and the storage capacity information The capacity information is verified.
  • the controller is specifically configured to read the storage address information from the CMOS in a system management mode.
  • the storage capacity information is specifically configured to read the storage address information from the CMOS in a system management mode.
  • the controller is specifically configured to: read, in the system management mode, the storage address information from the CMOS and Before storing the capacity information, during the running of the VMM, the running code and the storage address information and the storage capacity information of the running data are digitally signed, and the digitally signed storage address information and the location are The storage capacity information is written in the CMOS.
  • the controller is specifically configured to: when the first verification information is not currently stored, And storing the newly generated first verification information; when the first verification information is currently stored, replacing the stored first verification information with the newly generated first verification information, or storing The newly generated first verification information and a first time for newly generating the first verification information, so that the trusted data center acquires from the electronic device according to a second time in the log information The first time of determining the first verification information for measuring the electronic device.
  • the controller is specifically configured to store the first verification information to the The trusted platform module TPM chip of the electronic device.
  • the controller is specifically configured to use the running code and the running data A hash calculation is performed, and the generated hash value is used as the first verification information.
  • a metric system including: an electronic device, configured to read, from a hardware storage device, running code and running data during a running process of a virtual machine manager VMM, according to the running code and Transmitting, storing, and storing the first verification information, and transmitting, by the electronic device, the running code and the running data to the log information generated by the electronic device to store the first verification information a trusted data center, configured to receive the log information sent by the electronic device, and obtain the first verification information from the electronic device, and generate a second according to the log information
  • the verification information and the first verification information measure the electronic device.
  • the technical solution of the present application is to read the running code and the running data from the hardware storage device, generate the first verification information according to the running code and the running data, and then store the first verification information. Transmitting, by the electronic device, the running code and the running data to the log information generated by the electronic device during the storing of the first verification information, to the trusted data center, so as to enable the trusted data
  • the center measures the electronic device according to the second verification information generated by the log information and the first verification information acquired from the electronic device, because the running code and the running data are stored to In the hardware storage device, it is difficult to tamper with the running code and the running data in the hardware storage device The degree is increased to make the security higher, so that the generated first verification information is more accurate, thereby causing the trusted data center to measure the electronic according to the second verification information and the first verification information.
  • the electronic device When the device is used, the electronic device can be measured more accurately.
  • the foregoing measurement process does not damage the operating process of the operating system, but the operating process of the operating system is destroyed in the prior art, so that the method in the technical solution of the present application is Electronic devices are more secure and can more accurately measure the electronic devices.
  • FIG. 1 is a first flowchart of a method of measurement in an embodiment of the present invention
  • FIG. 2 is a flow chart of signing storage address information and storage capacity information according to an embodiment of the present invention
  • FIG. 3 is a flowchart of measuring the electronic device in the embodiment of the present invention
  • FIG. 4 is a flowchart of a metric of a trusted data center to an electronic device according to an embodiment of the present invention
  • FIG. 5 is a flowchart of an electronic device according to an embodiment of the present invention.
  • FIG. 6 is a second structural diagram of an electronic device according to an embodiment of the present invention.
  • FIG. 7 is a structural diagram of a measurement system in an embodiment of the present invention. detailed description
  • the running code and the running data are stored in the hardware storage device, and the technical problem is low in the metric process.
  • the difficulty of tampering the running code and the running data in the hardware storage device is increased, so that the security is higher, and the generated first verification information is more accurate, so that the trusted data center is based on
  • the second verification information generated by the log information, and the electronic device measured by the first verification information acquired by the electronic device can be more accurately measured by the electronic device, because the above measurement process
  • the operating process of the operating system is not damaged, thereby making the electronic device in the technical solution of the present application safe It is more flexible and can measure the electronic device more accurately.
  • Embodiment 1 is a diagrammatic representation of Embodiment 1:
  • Step 101 The electronic device reads the running code and the running data in the running process of the virtual machine manager VMM from the hardware storage device, and generates the first verification information according to the running code and the running data.
  • Step 102 The electronic device stores the first verification information, and the electronic device reads the running code and the running data to log information generated during the process of storing the first verification information by the electronic device. Transmitting to the trusted data center, so that the trusted data center measures the electronic device according to the second verification information generated by the log information and the first verification information acquired from the electronic device .
  • the running code and the running data in the VMM process generate the first verification information according to the running code and the running data.
  • Hypercall table Hypercall table, exception handling table Exception table, interrupt description table
  • IDT global descriptor table GDT and other data contained in the data table.
  • the running code and the running data in the process of running the VMM are written into the hardware storage device, thereby causing the
  • the electronic device can read the running code and the running data from the hardware storage device, and perform digital digest calculation on the running code and the running data, for example, the running code and the running data Perform a hash calculation to get The first verification information, where the hash calculation is performed, the Message Digest Algorithm 5 (MD5) algorithm or the Secure Hash Algorithm (SHA1) algorithm may be used.
  • MD5 Message Digest Algorithm 5
  • SHA1 Secure Hash Algorithm
  • the running code and the running data in the process of running the VMM are written into the hardware storage device, and tampering in the hardware storage device
  • the difficulty of running the code and the running data is increased, and the security is higher.
  • the running code and the running data need to be calculated correspondingly. The comparison, in this way, makes it possible to improve the accuracy of the measurement of the electronic device in the case where the security of the running code and the running data is high.
  • the electronic device After performing the hash calculation on the running code and the running data, after the electronic device reads the running code and the running data, performing the running code and the running data. In the calculation, the generated hash value is used as the first verification information.
  • the running code and the running data are read by the desktop computer if it is "0111 1000 1100 0101 1001 0001 0000 1110", and the "MD11 algorithm is used to "0111 1000 1100 0101 1001 0001 0000 1110" "The operation is performed, and the obtained MD5 value is ee99d7b0025c7038. If any one of the running code and the running data is changed, the generated MD5 value is changed, and the running code and the MD5 value can be determined. Whether the operational data has been tampered with.
  • the running code and the running data in the VMM process specifically include: the electronic device reading the running code and the storage address information and the storage capacity information of the running data from the firmware COMS; the electronic device according to the storage address The information and the storage capacity information are read from the hardware storage device and the operational data.
  • the storage address information and the storage capacity are Information is stored in the CMOS, and then the electronic device can read the storage address information and the storage capacity information from the CMOS, and according to the storage address information and the storage capacity information, from the Reading the running code and the running data in the hardware storage device, since the storage address information and the storage capacity information are stored in the CMOS during the running of the VMM, the storage is reduced
  • the address information and the storage capacity information are falsified, and the storage address information and the storage capacity information are stored in the hardware device CMOS, further reducing the storage address information and the storage capacity information
  • the operational code obtained by the storage capacity information and the operational data are more secure.
  • the storage address information may be represented by a logical address and a physical address
  • the storage capacity information may be, for example, a capacity of 1 MB, 500 KB, or 10 MB.
  • the storage address information stored in the CMOS in the desktop computer is 0x0001100—0x0003a00, and the storage capacity information is 5 KB, and the desktop computer first reads the storage address information. Data stored in the initial address 0x0001100, and then sequentially read data stored in the storage address after 0x0001100. When the storage capacity of the data read by the desktop computer is 5 KB, the data is stopped, and the desktop computer reads 5 KB of data is the running code and the running data.
  • the electronic device reads the running code and the storage address information and the storage capacity information of the running code from the COMS, and specifically includes: in the system management mode, the electronic device is from the The storage address information and the storage capacity information are read in CMOS.
  • the system management mode may be entered by manually or periodically triggering a System Management Interrupt (SMI), and the electronic device reads the CMOS from the CMOS in the system management mode.
  • SMSI System Management Interrupt
  • Storing address information and the deposit The storage capacity information, since the storage address information and the storage capacity information are read from the CMOS in the system management mode, the operating system of the electronic device is made invisible, thereby ensuring The storage address information read in the CMOS and the concealment and security of the storage capacity information.
  • the method further includes: the electronic device is in the VMM During operation, the running code and the storage address information and the storage capacity information of the running data are digitally signed, and the digitally signed storage address information and the storage capacity information are written into the CMOS.
  • the electronic device performs the storage address information and the storage capacity information during the running of the VMM.
  • the digital signature is then written into the CMOS, so that the electronic device detects whether the storage address information and the storage capacity information have been tampered with by verifying the storage address information and the storage capacity information. Thereby the security of the storage address information and the storage capacity information is improved.
  • the storage address information and the storage capacity information may be digitally signed by an algorithm such as an RSA algorithm or a DSA algorithm, and then may be determined by verification. Whether the storage address information and the storage capacity information are tampered with.
  • the electronic device may trigger the SMI by timing or manually, and then enter the system management mode, where the storage address information and the storage capacity information are digitally signed and signed.
  • the latter storage address information and the storage capacity information are written into the CMOS such that the storage address information and the storage capacity information are digitally signed, and the digitally signed data is written into the
  • the execution process in CMOS is transparent with respect to the operating system of the electronic device, ie the operating system is invisible to the execution process, thereby further ensuring the storage address information and the information read from the CMOS The concealment and security of storage capacity information.
  • the electronic device After reading the running code and the storage address information and the storage capacity information of the running data from the firmware COMS, the electronic device stores from the hardware according to the storage address information and the storage capacity information. Before reading the running code and the running data in the device, the method further includes: the electronic device verifying the storage address information and the storage capacity information.
  • the memory address information and the storage capacity information are digitally signed.
  • the storage address information and the storage capacity information are further verified to determine the memory address information and the storage. Whether the capacity information is tampered with, after the verification is passed, that is, the electronic device is determined to determine that the storage address information and the storage capacity information are verified, according to the storage address information and the storage capacity information, The operation code and the operation data are read in the hardware storage device. When the verification fails, the processing is directly terminated, and the security of the electronic device is determined to be low, and there is an access risk.
  • the electronic device Since the electronic device reads the digitally signed storage knowledge information and the storage capacity information from the CMOS, it is necessary to perform the digitally signed storage knowledge information and the storage capacity information. Verifying that, when the verification is passed, it may be determined that the storage address information and the storage capacity information have not been tampered with, so that the running code and the running data obtained by the storage address information and the storage capacity information are secure If the storage address information and the storage capacity information have been tampered with, the processing may be directly terminated, and the security of the electronic device is determined to be low, and there is an access risk.
  • step 102 in which the electronic device stores the first verification information, and the electronic device reads the running code and the running data to the electronic device to store the first Transmitting the log information generated during the verification information to the trusted data center, so that the trusted data center generates the second verification information according to the log information, and the Measure the electronic device by using the first verification information acquired in the electronic device
  • the log information may be tampered with, thereby causing the trusted data center to generate according to the log information.
  • the second verification information is different from the first verification, and the log information is recorded by the electronic device before the electronic device reads the operation code and the operation data to store the first verification information.
  • Each operation information and corresponding time stamp information so that the trusted data center can acquire and according to the log information, according to the electronic device corresponding to the information, in the process of running the virtual machine manager VMM
  • the running code and the running data obtain the second verification information.
  • the electronic device may store the first verification information into a hardware storage device such as a hard disk or a register of the electronic device, so that the first verification information reduces the probability of being tampered, and thus can
  • the first verification information may be stored in a Trusted Platform Module (TPM) of the electronic device.
  • TPM Trusted Platform Module
  • the first verification information may be stored in a platform configuration register (PCR) in the TPM chip.
  • PCR platform configuration register
  • the TPM chip refers to a security chip that conforms to the standards established by the Trusted Computing Group (TCG), it can effectively protect the PC and prevent unauthorized users from accessing, thereby effectively ensuring the first verification information.
  • Security, and the TPM chip can interact with the trusted data center, and the trusted data center can read the first verification information in the PCR by using a locality, so that the trusted The data center may measure the electronic device according to the second verification information and the first verification information.
  • the electronic device when the electronic device stores the first verification information, if the first verification information is not currently stored, the electronic device stores the newly generated first verification information; if the first verification information is currently stored, The electronic device replaces the existing one with the newly generated first verification information The first verification information stored, or the electronic device stores the newly generated first verification information and a first time for newly generating the first verification information, so that the trusted data center according to the log information The second time in the second time, and the first time obtained from the electronic device, determines first verification information for measuring the electronic device.
  • the electronic device when the electronic device stores the first verification information, if the first verification information is not currently stored, the electronic device stores the newly generated first verification information, and the first verification information is currently stored.
  • the electronic device replaces the stored first verification information with the newly generated first verification information, since only one of the first verification information is stored in the electronic device, the trusted data center is further caused.
  • the first verification information corresponding to the log information can be accurately obtained, and the problem that the first verification information and the second verification information do not correspond to each other does not occur.
  • the electronic device stores the newly generated first verification information and the first time when the first verification information is newly generated, because the electronic device stores a plurality of the first verification information, and further, when storing the first verification information, storing a first time for newly generating the first verification information, so that the trusted data center is configured according to the log information.
  • the second time, and the first time obtained from the electronic device determines first verification information for measuring the electronic device.
  • the desktop computer processes the data "1100 0001 1000 1110 at a time of 11:15:20 seconds, and the first verification information generated is "1001 0001", and The first verification information is stored in the PCR in the TPM chip in the desktop computer as "0001 1000", and if "1001 0001" is stored in the PCR without storing time, the trusted data is made.
  • the center may measure the desktop computer based on the second verification information generated by the log information of the data "1100 0001 1000 1110" and "0001 1000", due to the first verification information corresponding to the data "1100 0001 1000 1110" Is "1001 0001", thereby causing the trusted data center to perform an erroneous measurement on the desktop computer, and when the time of generating "1001 0001" is 11:15:20 seconds is stored in the PCR, the Letter data center According to the timestamp in the log information, it can be determined that the first verification information is "1001 0001” instead of "0001 1000", thereby improving the accuracy of the measurement of the electronic device.
  • the technical solution of the present application can be implemented based on an Extensible Firmware Interface (EFI) and a Unified Extensible Firmware Interface (UEFI).
  • EFI Extensible Firmware Interface
  • UEFI Unified Extensible Firmware Interface
  • a timing trigger and manual trigger system interrupt metric handler (Smi Measure handler) and a system interrupt signature program (Smi RSA handler) are added to the EFI, and the Smi Measure handler has RSA decryption verification.
  • the algorithm and the public key, and the Smi RSA handler include an RSA digital signature algorithm and an RSA private key, and the RSA public-private key pair is previously generated by the program.
  • the EFI is initialized to boot the electronic device to start.
  • the Smi Measure handler and the Smi RSA handler are initialized, and after the electronic device is started, the open source is started.
  • the code virtual machine monitor Xen
  • Xen code virtual machine monitor
  • the Smi RSA handler signs the storage address information and the storage capacity information to make the storage address information and the storage capacity information more secure.
  • the electronic device when the electronic device is measured by manual or timing, the electronic device enters a system management mode, and invokes a Smi Measure handler to actively read the storage address information and the storage capacity information from the CMOS.
  • signature verification obtaining the running code and the running data according to the storage address information and the storage capacity information, performing hash calculation on the running code and the running data, and obtaining a first hash value, and storing the hash value in the PCR in the TPM chip of the electronic device by Locality, and then transmitting the hash information stored by the locality to the PCR before the PCR is generated Trusted data center, then exit the system management mode, thereby making
  • the trusted data center generates a second hash value according to the log information, and if the log information is not falsified, the second hash value is the same as the first hash value, if the log After the information is tampered with, the second hash value is different from the first hash value, and therefore, by comparing the first hash value and the second
  • the technical solution of the present application is to read the running code and the running data from the hardware storage device, generate the first verification information according to the running code and the running data, and then store the first verification information. Transmitting, by the electronic device, the running code and the running data to the log information generated by the electronic device during the storing of the first verification information, to the trusted data center, so as to enable the trusted data
  • the center measures the electronic device according to the second verification information generated by the log information and the first verification information acquired from the electronic device, because the running code and the running data are stored to In the hardware storage device, the difficulty of tampering the running code and the running data in the hardware storage device is increased, so that the security is higher, so that the generated first verification information is more accurate, thereby causing
  • the trusted data center measures the electronic device according to the second verification information and the first verification information, The electronic device can be measured more accurately, because the foregoing measurement process does not damage the operating process of the operating system, and the operating process of the operating system is destroyed in the prior art
  • Step 401 After receiving the log information sent by the electronic device, the trusted data center generates second verification information according to the log information.
  • Step 402 The trusted data center reads the first verification information from the electronic device.
  • Step 403 The trusted data center compares the first verification information with the second verification information, and performs metrics on the electronic device according to the comparison result.
  • step 401 after receiving the log information sent by the electronic device, the trusted data center generates second verification information according to the log information.
  • the trusted data center is, for example, an electronic device such as a desktop computer or a notebook computer.
  • the electronic device that records the electronic device from reading the running code and the running data to storing the first verification information is described in the log information.
  • Each operation information and corresponding timestamp information are executed, so that the trusted data center can acquire and run the virtual machine manager VMM according to the electronic device corresponding to the information according to the log information.
  • the running verification code and the running data in the process obtain the second verification information.
  • the running code and the running data may be subjected to digital digest calculation, for example, the The running code and the running data are hashed to obtain the first verification information, wherein when performing the hash calculation, the MD5 algorithm or the SHA1 algorithm or the like may be used.
  • the algorithm used by the electronic device and the credibility data center is the same, and when the log information is not falsified, the second verification information and the first verification information are the same. And the second verification information is different from the first verification information when the log information is tampered with, and the electronic device may be performed according to the first verification information and the second verification information. measure.
  • the log information may record that the data in the storage address 0x0001100—0x0002a00 of the electronic device is read at 10:15:20 seconds, and the data in the 0x0001100—0x0002a00 is hashed, so that The trusted data center according to the
  • step 402 is performed, in which the trusted data center reads the first verification information from the electronic device.
  • the trusted data center first determines address information of the first verification information stored in the electronic device, and reads the first verification information from the electronic device according to the address information. .
  • Step 401 and step 402 may be performed at the same time, or step 402 may be performed first, and then step 401 is performed, which is not specifically limited in this application.
  • the trusted data center may further receive the first verification information sent by the electronic device, instead of directly reading the first verification information from the electronic device.
  • the trusted data center accesses the TPM chip through Locality, and reads the First verification information.
  • the electronic device may only store one of the first verification information, thereby enabling the trusted data center to accurately acquire the first verification information corresponding to the log information, the first a problem that the verification information and the second verification information do not correspond to each other; and when the plurality of the first verification information is stored in the electronic device, the trusted data center of the trusted data center is based on the log information Time information in the reading, the first verification information is read from the electronic device, so that reading the first verification information from the electronic device corresponds to the second verification information, and then passing the first When the verification information and the second verification information measure the electronic device, the electronic device can be more accurately measured.
  • the PCR in the TPM chip in the desktop computer stores "1001 0001" and its corresponding time information is 10:15:25 seconds, "0001 1000" and its corresponding time information. 10:25: 15 seconds, and the time information of the trusted data center extracting the log information is 10:15:25 seconds, thereby causing the trusted data center to read from the PCR
  • a verification message is "1001 0001" instead of "0001 1000", which makes The reading, by the electronic device, the first verification information corresponds to the second verification information, and the accuracy of performing measurement on the electronic device can be improved.
  • the trusted data center compares the first verification information with the second verification information, and measures the electronic device according to the comparison result.
  • the second verification information and the first verification information are the same, and when the log information is tampered with, the second verification may be caused.
  • the information is different from the first verification information, such that when the comparison result characterizes that the first verification information and the second verification information are the same, it can be determined that the electronic device is secure and can be accessed Otherwise, it can be determined that the electronic device is unsecure and access is risky.
  • the data read by the trusted data center according to the log information is "1000 0001 1101 0111 1000", for "1000 0001 1101 0111 1000, MD5 calculation is performed, and the second verification information is obtained as 662b2elf62680562
  • the first verification information read by the trusted data center from the electronic device is 24c3d7c9697a7dce. Since the second verification information is different from the first verification information, indicating that the log information is more tampered with, It can be determined that the electronic device is unsafe, and access is risky; if the first verification information read by the trusted data center from the electronic device is 662b2elf62680562, it can be determined that the electronic device is secure and capable of Was visited.
  • the trusted data center compares the first verification information with the second verification information, and after measuring the electronic device according to the comparison result, the method further includes: The trusted data center obtains initial metric information in the log information according to the log information; the trusted data center compares a baseline value stored in the trusted data center with the initial metric information, The electronic device is metric again based on the comparison result, wherein the baseline value corresponds to the initial metric information.
  • the storage code and the storage address information and the storage capacity information of the running data may be read from the COMS according to the log information, and then according to the Storing the address information, dividing the data in the storage address information into at least two parts of data, generating at least two pieces of third verification information as the initial metric information according to the at least two parts of data, and then Comparing the verification information with the baseline value, when the at least two third verification information matches the baseline value, determining that the electronic device is secure and can be accessed, if not, It can be determined that the electronic device is unsecure and access is at risk.
  • the baseline value is an implementation manner in which the at least two fourth verification information generated by the electronic device according to the at least two pieces of data in the system management mode is generated, and the at least two fourth verification information is generated.
  • the at least two fourth verification information may be verification information generated according to the running code and verification information generated according to the running data.
  • the total data size of the running code and the running data is 12M, and then the 10M data is equally divided from the starting address.
  • Three 3M data are obtained, thereby obtaining data module 1, data module 2, and data module 3, and then performing SHA-1 calculation on data module 1, data module 2, and data module 3, respectively, and obtaining Hash- corresponding to data module 1 1 , Hash-2 corresponding to data module 2, and Hash-3 corresponding to data module 3, Hash-1 and Hash-1 time a, Hash-2 and Hash-2 time b, Hash-3 And the time c for generating Hash-3 is stored in the PCR, and Hash-1 and a, Hash-2 and b, hash-3 are simultaneously And C are transmitted to the trusted data center.
  • the SHA-1 calculation may be performed on the data module 1, the data module 2, and the data module 3, so as to obtain the hash corresponding to the data module 1. 1-1, Hash-2-l corresponding to data module 2, and Hash-3-l corresponding to data module 3, and then comparing Hash-1 and Hash-1 -1 according to time information in the log information , comparing Hash-2 and Hash-2- 1 , and comparing Hash-3 and Hash-3 -1 , in Hash-1 and Hash-1 -1 , Hash-2 and Hash-2- 1 , and Hash- 3 and Hash-3-l are the same, then it can be determined that the electronic device is safe and can be accessed, such as Hash-1 and Hash-1 -1 , Hash-2 and Hash-2- 1 , and Hash- When any one of 3 and Hash-3-l is different, for example, when Hash-1 and Hash-1-l are different, it can be determined that the electronic device is unsafe, and
  • the technical solution of the present application is to read the running code and the running data from the hardware storage device, generate first verification information according to the running code and the running data, and then store the first Verifying the information, and transmitting the last generated log information before storing the first verification information to the trusted data center, so that the trusted data center generates the second verification information and the number according to the log information Determining, by the verification information, the electronic device, because the running code and the running data are stored in the hardware storage device, and tampering with the running code and the running data in the hardware storage device Increased to make the security higher, so that the generated first verification information is more accurate, so that the trusted data center measures according to the second verification information generated by the log information and the first verification information.
  • the electronic device When the electronic device is used, the electronic device can be measured more accurately, because the above measurement process does not destroy the operation As a running process of the system, the operating process of the operating system is destroyed in the prior art, so that the electronic device in the technical solution of the present application has higher security and can more accurately measure the electronic device.
  • Embodiment 2 is a diagrammatic representation of Embodiment 1:
  • Embodiment 2 of the present invention provides an electronic device, as shown in FIG. 5, the electronic device package Includes:
  • the data reading unit 501 is configured to read, from the hardware storage device, the running code and the running data during the running of the virtual machine manager VMM.
  • the verification information generating unit 502 is configured to receive the running code and the running data sent by the data reading unit, and generate first verification information according to the running code and the running data;
  • the storage unit 503 is configured to receive the first verification information sent by the verification information generating unit, and store the first verification information.
  • the sending unit 504 is configured to transmit, by the electronic device, the running code and the running data to the log information generated by the electronic device to store the first verification information, to the trusted data center, so as to The trusted data center measures the electronic device according to the second verification information generated by the log information and the first verification information acquired from the electronic device.
  • the electronic device is, for example, an electronic device such as a desktop computer or a notebook computer, and enters an electronic device.
  • the running data is, for example, a hypercall table called a call table of the running code during operation, and an exception handling table Exception table. , interrupt description table IDT, global descriptor table GDT and other data contained in the data table.
  • the data reading unit 501 is configured to read, from the firmware COMS, the storage address and the storage address information and the storage capacity information of the running data, and according to the storage address information and the storage capacity information. Reading the running code and the running data from the hardware storage device.
  • the data reading unit 501 is specifically configured to read the storage address information and the storage capacity information from the CMOS in a system management mode.
  • the electronic device includes a signature unit 505, and in the system management mode, the electronic device reads the storage address information and the storage capacity letter from the CMOS Before storing, the storage code and the storage address information and the storage capacity information of the running data are digitally signed during the running of the VMM, and the digitally signed storage address information and the storage are performed. Capacity information is written into the CMOS.
  • the electronic device may trigger the SMI by timing or manually, and then enter the system management mode, and in the system management mode, digitally sign the storage address information and the storage capacity information, and sign the signature.
  • the latter storage address information and the storage capacity information are written into the CMOS such that the storage address information and the storage capacity information are digitally signed, and the digitally signed data is written into the
  • the execution process in CMOS is transparent with respect to the operating system of the electronic device, ie the operating system is invisible to the execution process, thereby further ensuring the storage address information and the information read from the CMOS The concealment and security of storage capacity information.
  • the electronic device digitally signs the storage address information and the storage capacity information during operation of the VMM And then writing to the CMOS, so that the electronic device detects whether the storage address information and the storage capacity information are tampered by verifying the storage address information and the storage capacity information, thereby The security of storing the address information and the storage capacity information is improved.
  • the signing unit digitally signs the storage address information and the storage capacity information.
  • the electronic device further includes a verification unit 506, configured to read the operation from the firmware COMS. After the code and the storage address information and the storage capacity information of the operation data, before reading the operation code and the operation data from the hardware storage device according to the storage address information and the storage capacity information, The storage address information and the storage capacity information are verified.
  • the electronic device Since the electronic device reads the digitally signed storage knowledge information and the storage capacity information from the CMOS, it is necessary to know the information and the digital signature by the verification unit.
  • the storage capacity information is verified, and when the verification is completed, Determining that the storage address information and the storage capacity information have not been tampered with, so that the running code and the running data acquired by the storage address information and the storage capacity information are more secure, failing
  • the storage unit 503 is configured to: if the first verification information is not currently stored, storing the newly generated first verification information; if the first verification information is currently stored, using the newly generated first verification The information replaces the stored first verification information, or stores the newly generated first verification information and the first time when the first verification information is newly generated, so that the trusted data center is according to the log information.
  • the second time, and the first time obtained from the electronic device determines first verification information for measuring the electronic device.
  • the storage unit 503 is specifically configured to store the first verification information into a trusted platform module TPM chip of the electronic device.
  • the TPM chip refers to a security chip that conforms to the standard established by the Trusted Computing Group (TCG), it can effectively protect the PC and prevent unauthorized users from accessing, thereby effectively ensuring the first verification information.
  • Security, and the TPM chip can interact with the trusted data center, and the trusted data center can read the first verification information in the PCR by using a locality, so that the trusted The data center may measure the electronic device according to the second verification information and the first verification information.
  • the verification information generating unit 502 is specifically configured to perform hash calculation on the running code and the running data, and use the generated hash value as the first verification information.
  • the technical solution of the present application is to read the running code and the running data from the hardware storage device, generate the first verification information according to the running code and the running data, and then store the first verification information. And reading, by the electronic device, the running code and the running data to log information generated by the electronic device during the storing the first verification information Transmitting to the trusted data center, so that the trusted data center measures the electronic device according to the second verification information generated by the log information and the first verification information acquired from the electronic device Because the running code and the running data are stored in the hardware storage device, the difficulty of tampering the running code and the running data in the hardware storage device is increased, so that the security is higher.
  • the device performs the measurement, because the foregoing measurement process does not damage the running process of the operating system, and the operating process of the operating system is destroyed in the prior art, so that the electronic device in the technical solution of the present application has higher security and can be more Accurately measure the electronic device.
  • Embodiment 3 is a diagrammatic representation of Embodiment 3
  • the third embodiment of the present invention provides an electronic device.
  • the electronic device includes: a hardware storage device 601, configured to store running code and running data during operation of the virtual machine manager VMM; And for reading the running code and the running data from the hardware storage device, generating and storing first verification information according to the running code and the running data; and a transmitter 603, configured to: And the electronic device reads the running code and the running data to the electronic device to store the log information generated in the process of storing the first verification information to the trusted data center, so that the trusted data center will be according to the The second verification information generated by the log information, and the first verification information acquired from the electronic device, measure the electronic device.
  • the electronic device is, for example, an electronic device such as a desktop computer or a notebook computer.
  • the hardware storage device 601 may be an electronic device such as a hard disk, a register, or a memory in the electronic device, and the operation data is, for example, the operation.
  • the code in the running process calls the Hypercall table, the exception handling table Exception table, the interrupt description table IDT, the global descriptor table GDT and other data contained in the data table.
  • the controller 602 is, for example, a separate processing chip, and may also be integrated in the Further, in the processor of the child device, the transmitter 603 is, for example, an electronic device such as a wifi module or a wireless network card.
  • the controller 602 is specifically configured to read the storage address information and the storage capacity information of the running code and the running data from the firmware COMS, and according to the storage address information and the storage capacity information, The running code and the running data are read in the hardware storage device.
  • the controller 602 is specifically configured to read the storage address information and the storage capacity information from the CMOS in a system management mode.
  • the controller 602 is specifically configured to: before the storing the storage address information and the storage capacity information in the CMOS, in the system management mode, during the running of the VMM, the running The code and the storage address information and the storage capacity information of the operation data are digitally signed, and the digitally signed storage address information and the storage capacity information are written into the CMOS.
  • the controller 602 is specifically configured to: after reading the storage address information and the storage capacity information of the running code and the running data from the COMS, according to the storage address information and the storage capacity information, The storage address information and the storage capacity information are verified before the running code and the running data are read from the hardware storage device.
  • the controller 602 is configured to: when the first verification information is not currently stored, store the newly generated first verification information; when the first verification information is currently stored, the newly generated The first verification information replaces the stored first verification information, or stores the newly generated first verification information and a first time for newly generating the first verification information, so that the trusted data center is according to the The second time in the log information, and the first time obtained from the electronic device, determines first verification information for measuring the electronic device.
  • the controller 602 is specifically configured to store the first verification information into a trusted platform module TPM chip of the electronic device.
  • TPM chip Due to the TPM chip, it refers to the Trusted Computing (trusted computing) A standard security chip developed by the Group (TCG), which can effectively protect the PC and prevent unauthorized users from accessing, thereby effectively ensuring the security of the first authentication information, and the TPM chip can be associated with the trusted data center. Interacting, the trusted data center may read the first verification information in the PCR by using a locality, so that the trusted data center may be based on the second verification information and the first The verification information measures the electronic device.
  • TCG Trusted Computing
  • the controller 602 is specifically configured to perform hash calculation on the running code and the running data, and use the generated hash value as the first verification information.
  • the technical solution of the present application is to read the running code and the running data from the hardware storage device, generate the first verification information according to the running code and the running data, and then store the first verification information. Transmitting, by the electronic device, the running code and the running data to the log information generated by the electronic device during the storing of the first verification information, to the trusted data center, so as to enable the trusted data
  • the center measures the electronic device according to the second verification information generated by the log information and the first verification information acquired from the electronic device, because the running code and the running data are stored to In the hardware storage device, the difficulty of tampering the running code and the running data in the hardware storage device is increased, so that the security is higher, so that the generated first verification information is more accurate, thereby causing
  • the trusted data center measures the electronic device according to the second verification information and the first verification information, The electronic device can be measured more accurately, because the foregoing measurement process does not damage the operating process of the operating system, and the operating process of the operating system is destroyed in the prior art
  • Embodiment 4 is a diagrammatic representation of Embodiment 4:
  • a fourth embodiment of the present invention provides a measurement system.
  • the system includes: an electronic device 701, configured to read, from a hardware storage device, a running code and running data during a running process of the virtual machine manager VMM. Generating according to the running code and the running data And storing the first verification information, and the electronic device 701 reads the running code and the running data to the electronic device 701, the log information generated in the process of storing the first verification information is transmitted to the trusted data center 702;
  • the trusted data center 702 is configured to receive the log information sent by the electronic device 701, and obtain the first verification information from the electronic device, the second verification information generated according to the log information, and the first The verification information measures the electronic device 701.
  • the credibility data 702 can be connected to the plurality of electronic devices 701, and can measure each of the plurality of electronic devices 701 for determining whether the current operating environment of each electronic device is secure or has an access risk. of.
  • the electronic device 701 is, for example, an electronic device such as a desktop computer or a notebook computer, and the electronic device 701 is specifically an electronic device according to any one of the first to third embodiments. Further,
  • Hypercall table exception handling table Exception table, interrupt description table IDT, global description table GDT and other data contained in the data table.
  • the technical solution of the present application is to read the running code and the running data from the hardware storage device, generate the first verification information according to the running code and the running data, and then store the first verification information. Transmitting, by the electronic device, the running code and the running data to the log information generated by the electronic device during the storing of the first verification information, to the trusted data center, so as to enable the trusted data
  • the center measures the electronic device according to the second verification information generated by the log information and the first verification information acquired from the electronic device, because the running code and the running data are stored to In the hardware storage device, the difficulty of tampering the running code and the running data in the hardware storage device is increased, so that the security is higher, so that the generated first verification information is more accurate, thereby causing
  • the trusted data center measures the electronic device according to the second verification information and the first verification information, it can be more accurate Measure the electronic device, due to the above
  • the process does not destroy the running process of the operating system, and the operating process of the operating system is destroyed in the prior art
  • embodiments of the present invention can be provided as a method, apparatus (device), or computer program product. Accordingly, the present invention may take the form of an entirely hardware embodiment, a full software embodiment, or a combination of software and hardware. Moreover, the invention can be embodied in the form of one or more computer program products embodied on a computer-usable storage medium (including but not limited to disk storage, CD-ROM, optical storage, etc.) in which computer usable program code is embodied.
  • a computer-usable storage medium including but not limited to disk storage, CD-ROM, optical storage, etc.
  • the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
  • the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.

Abstract

一种度量方法、电子设备（701）及度量系统，电子设备（701）从硬件存储设备（601）中读取虚拟机管理器VMM运行过程中的运行代码和运行数据，根据所述运行代码和所述运行数据，生成第一验证信息；所述电子设备（701）存储所述第一验证信息，并将所述电子设备（701）读取所述运行代码和所述运行数据至所述电子设备（701）存储所述第一验证信息过程中生成的日志信息传输给可信数据中心（702），以使所述可信数据中心（702）将根据所述日志信息生成的第二验证信息，以及从所述电子设备（701）中获取的所述第一验证信息对所述电子设备（701）进行度量。

Description

一种度量方法、 电子设备及度量系统
技术领域 本发明涉及计算机技术领域， 具体涉及一种度量方法、 电子设备及度 量系统。 背景技术
现有的计算机工业已经进入云计算时代， 云计算是将大量计算资源、 存储资源和软件资源链接在一起， 形成规模巨大的共享虚拟软件资源池， 为远程计算机提供高速计算和查找的软件服务。
随着云计算的不断普及， 访问的安全性越来越重要， 如此， 则需要对 访问的电子设备中的虚拟机监控器 VMM进行度量， 在 VMM的安全性越 高， 访问的安全性也越高。
现有技术中在对 VMM进行度量时， 是利用 CPU的系统管理 （System Management Mode , 简称 SMM )模式实现对 VMM中度量代理的度量和验 证， 并隐蔽触发度量代理（ Measurement Agent )执行， 透明的传输度量值， 其具体实现方式如下：
首先触发一个系统管理中断 （System Management Interrupts , 简称 SMI )进入系统管理模式， 强行插入一条虚拟机退出 （VM Exit )指令并将 计数器的值设定为 1 ,然后退出系统管理模式；此时根据 VM Exit指令， CPU 会进入虚拟机 "根"模式， 执行所述 VM Exit指令， 会导致计算器的值从 1变 成 0 , 然后再通过触发 SMI进入系统管理模式， 为度量代理 （Measurement Agent )设置执行环境， 屏蔽各种中断， 以及修改跳转表等， 以确定
Measurement Agent的执行不受中断和异常的干扰，在执行环境设置完成之 后， 退出 SMMS模式， 并调用 Measurement Agent对对 CPU上下文和 VMM 的运行数据和代码进行度量， 在度量完成之后， 第三次触发 SMI, 在系统 管理模式下保持度量结果， 并将所述度量结果向外设传输， 再恢复为执行 度量所#文的爹改并返回 VMM继续执行。
在上述执行度量的过程中， 由于需要强行插入一条 VM Exit指令， 改 变当前 CPU的执行路径， 破坏了系统的运行过程， 降低了系统的稳定性和 可靠性， 而且 Measurement Agent处于 VMM中， 需要 VMM的支持才能完成 度量工作， 在 VMM处于不安全的情况下时， 执行 Measurement Agent获得 的度量结果可能都不准确， 导致度量的准确性也较低。
综上所述， 现有的电子设备在进行度量时， 会破坏所述电子设备的操 作系统的运行过程， 导致安全性低， 度量的准确性低的问题。 发明内容
本申请实施例通过提供一种度量方法、 电子设备及度量系统， 用于解 决现有的电子设备在进行度量时， 会破坏所述电子设备的操作系统的运行 过程， 导致安全性低， 度量的准确性低的问题。
根据本发明的第一方面， 提供了一种度量方法， 所述方法包括： 电子 设备从硬件存储设备中读取虚拟机管理器 VMM运行过程中的运行代码和 运行数据， 根据所述运行代码和所述运行数据， 生成第一验证信息； 所述 电子设备存储所述第一验证信息， 并将所述电子设备读取所述运行代码和 所述运行数据至所述电子设备存储所述第一验证信息过程中生成的日志 信息传输给可信数据中心， 以使所述可信数据中心将根据所述日志信息生 成的第二验证信息， 以及从所述电子设备中获取的所述第一验证信息对所 述电子设备进行度量。
结合第一方面， 在第一种可能的实现方式中， 所述电子设备从硬件存 储设备中读取虚拟机管理器 VMM运行过程中的运行代码和运行数据， 具 体包括：所述电子设备从固件 COMS中读取所述运行代码和所述运行数据 的存储地址信息和存储容量信息； 所述电子设备根据所述存储地址信息和 所述存储容量信息， 从所述硬件存储设备中读取所述运行代码和所述运行 数据。
结合第一方面的第一种可能的实现方式， 在第二种可能的实现方式 中，所述电子设备从固件 COMS中读取所述运行代码和所述运行数据的存 储地址信息和存储容量信息之后， 根据所述存储地址信息和所述存储容量 信息， 从所述硬件存储设备中读取所述运行代码和所述运行数据之前， 还 包括： 所述电子设备对所述存储地址信息和所述存储容量信息进行验证。
结合第一方面的第一种可能的实现方式， 在第三种可能的实现方式 址信息和存储容量信息， 具体包括： 在系统管理模式下， 所述电子设备从 所述 CMOS中读取所述存储地址信息和所述存储容量信息。
结合第一方面的第三种可能的实现方式， 在第四种可能的实现方式 中， 所述在系统管理模式下， 所述电子设备从所述 CMOS中读取所述存储 地址信息和所述存储容量信息之前， 所述方法还包括： 所述电子设备在所 述 VMM的运行过程中， 将所述运行代码和所述运行数据的存储地址信息 和存储容量信息进行数字签名， 将数字签名后的所述存储地址信息和所述 存储容量信息写入所述 CMOS中。
结合第一方面或第一种至第四种可能的实现方式中的任一种， 在第五 种可能的实现方式中， 所述电子设备存储所述第一验证信息， 具体包括： 若当前未存储第一验证信息， 所述电子设备存储新生成的所述第一验证信 息； 若当前已存储第一验证信息， 所述电子设备用新生成的所述第一验证 信息替换已存储的第一验证信息， 或 ， 所述电子设备存储新生成的所述 第一验证信息和新生成所述第一验证信息的第一时间， 以使得所述可信数 据中心根据所述日志信息中的第二时间， 以及从所述电子设备中获取的所 述第一时间确定用于度量所述电子设备的第一验证信息。
结合第一方面或第一种至第五种可能的实现方式中的任一种， 在第六 种可能的实现方式中， 所述电子设备存储所述第一验证信息， 具体包括： 所述电子设备将所述第一验证信息存储到所述电子设备的可信平台模块
TPM芯片中。
结合第一方面或第一种至第六种可能的实现方式中的任一种， 在第七 种可能的实现方式中， 所述电子设备根据所述运行代码和所述运行数据， 生成第一验证信息， 具体为： 所述电子设备对所述运行代码和所述运行数 据进行哈希计算， 将生成的哈希值作为所述第一验证信息。
根据本发明的第二方面，提供了一种电子设备， 包括： 数据读取单元， 用于从硬件存储设备中读取虚拟机管理器 VMM运行过程中的运行代码和 运行数据， 验证信息生成单元， 用于接收所述数据读取单元发送的所述运 行代码和所述运行数据， 并根据所述运行代码和所述运行数据， 生成第一 验证信息； 存储单元， 用于接收来自所述验证信息生成单元发送的所述第 一验证信息， 存储所述第一验证信息； 发送单元， 用于将所述电子设备读 取所述运行代码和所述运行数据至所述电子设备存储所述第一验证信息 过程中生成的日志信息传输给可信数据中心， 以使所述可信数据中心将根 据所述日志信息生成的第二验证信息， 以及从所述电子设备中获取的所述 第一验证信息对所述电子设备进行度量。
结合第二方面， 在第一种可能的实现方式中， 所述数据读取单元， 具 体用于从固件 COMS中读取所述运行代码和所述运行数据的存储地址信 息和存储容量信息， 并根据所述存储地址信息和所述存储容量信息， 从所 述硬件存储设备中读取所述运行代码和所述运行数据。
结合第二方面的第一种可能的实现方式， 在第二种可能的实现方式 中， 所述电子设备包括验证单元， 用于从固件 COMS中读取所述运行代码 和所述运行数据的存储地址信息和存储容量信息之后， 在根据所述存储地 址信息和所述存储容量信息， 从所述硬件存储设备中读取所述运行代码和 所述运行数据之前， 对所述存储地址信息和所述存储容量信息进行验证。 结合第二方面的第一种可能的实现方式， 在第三种可能的实现方式 中， 所述数据读取单元， 具体用于在系统管理模式下， 从所述 CMOS中读 取所述存储地址信息和所述存储容量信息。
结合第二方面的第三种可能的实现方式， 在第四种可能的实现方式 中， 所述电子设备包括签名单元， 所述在系统管理模式下， 所述电子设备 从所述 CMOS中读取所述存储地址信息和所述存储容量信息之前，用于在 所述 VMM的运行过程中， 将所述运行代码和所述运行数据的存储地址信 息和存储容量信息进行数字签名， 将数字签名后的所述存储地址信息和所 述存储容量信息写入所述 CMOS中。
结合第二方面或第一种至第四种可能的实现方式中的任一种， 在第五 种可能的实现方式中， 所述存储单元， 具体用于若当前未存储第一验证信 息， 则存储新生成的所述第一验证信息； 若当前已存储第一验证信息， 用 新生成的所述第一验证信息替换已存储的第一验证信息， 或 ， 存储新生 成的所述第一验证信息和新生成所述第一验证信息的第一时间， 以使得所 述可信数据中心根据所述日志信息中的第二时间， 以及从所述电子设备中 获取的所述第一时间确定用于度量所述电子设备的第一验证信息。
结合第二方面或第一种至第五种可能的实现方式中的任一种， 在第六 种可能的实现方式中， 所述存储单元， 具体用于将所述第一验证信息存储 到所述电子设备的可信平台模块 TPM芯片中。
结合第二方面或第一种至第六种可能的实现方式中的任一种， 在第七 种可能的实现方式中， 所述验证信息生成单元， 具体用于对所述运行代码 和所述运行数据进行哈希计算， 将生成的哈希值作为所述第一验证信息。
根据本发明的第三方面，提供了一种电子设备， 包括： 硬件存储设备， 用于存储虚拟机管理器 VMM运行过程中的运行代码和运行数据；控制器， 运行代码和所述运行数据， 生成并存储第一验证信息； 发送器， 用于将所 述电子设备读取所述运行代码和所述运行数据至所述电子设备存储所述 第一验证信息过程中生成的日志信息传输给可信数据中心， 以使所述可信 数据中心将根据所述日志信息生成的第二验证信息， 以及从所述电子设备 中获取的所述第一验证信息对所述电子设备进行度量。
结合第三方面， 在第一种可能的实现方式中， 所述控制器， 具体用于 从固件 COMS中读取所述运行代码和所述运行数据的存储地址信息和存 储容量信息， 并根据所述存储地址信息和所述存储容量信息， 从所述硬件 存储设备中读取所述运行代码和所述运行数据。
结合第三方面的第一种可能的实现方式， 在第二种可能的实现方式 中， 所述控制器， 具体用于在从 COMS中读取所述运行代码和所述运行数 据的存储地址信息和存储容量信息之后， 在根据所述存储地址信息和所述 存储容量信息， 从所述硬件存储设备中读取所述运行代码和所述运行数据 之前， 对所述存储地址信息和所述存储容量信息进行验证。
结合第三方面的第一种可能的实现方式， 在第三种可能的实现方式 中， 所述控制器， 具体用于在系统管理模式下， 从所述 CMOS中读取所述 存储地址信息和所述存储容量信息。
结合第三方面的第三种可能的实现方式， 在第四种可能的实现方式 中， 所述控制器， 具体用于在系统管理模式下， 从所述 CMOS中读取所述 存储地址信息和所述存储容量信息之前， 在所述 VMM的运行过程中， 将 所述运行代码和所述运行数据的存储地址信息和存储容量信息进行数字 签名， 将数字签名后的所述存储地址信息和所述存储容量信息写入所述 CMOS中。
结合第三方面或第一种至第四种可能的实现方式中的任一种， 在第五 种可能的实现方式中， 所述控制器， 具体用于在当前未存储第一验证信息 时， 则存储新生成的所述第一验证信息； 在当前已存储第一验证信息时， 则用新生成的所述第一验证信息替换已存储的第一验证信息， 或 ， 存储 新生成的所述第一验证信息和新生成所述第一验证信息的第一时间， 以使 得所述可信数据中心根据所述日志信息中的第二时间， 以及从所述电子设 备中获取的所述第一时间确定用于度量所述电子设备的第一验证信息。
结合第三方面或第一种至第五种可能的实现方式中的任一种， 在第六 种可能的实现方式中， 所述控制器， 具体用于将所述第一验证信息存储到 所述电子设备的可信平台模块 TPM芯片中。
结合第三方面或第一种至第六种可能的实现方式中的任一种， 在第七 种可能的实现方式中， 所述控制器， 具体用于对所述运行代码和所述运行 数据进行哈希计算， 将生成的哈希值作为所述第一验证信息。
根据本发明的第四方面， 提供了一种度量系统， 包括： 电子设备， 用 于从硬件存储设备中读取虚拟机管理器 VMM运行过程中的运行代码和运 行数据， 根据所述运行代码和所述运行数据， 生成并存储第一验证信息， 并将所述电子设备读取所述运行代码和所述运行数据至所述电子设备存 储所述第一验证信息过程中生成的日志信息传输给可信数据中心； 所述可 信数据中心， 用于接收所述电子设备发送的所述日志信息， 并从所述电子 设备中获取所述第一验证信息， 根据所述日志信息生成的第二验证信息和 所述第一验证信息对所述电子设备进行度量。
本发明有益效果如下：
本发明实施例中， 本申请技术方案是从硬件存储设备中读取运行代码 和运行数据， 在根据所述运行代码和所述运行数据， 生成第一验证信息， 然后存储所述第一验证信息， 并将所述电子设备读取所述运行代码和所述 运行数据至所述电子设备存储所述第一验证信息过程中生成的日志信息 传输给可信数据中心， 以使所述可信数据中心将根据所述日志信息生成的 第二验证信息， 以及从所述电子设备中获取的所述第一验证信息对所述电 子设备进行度量， 由于所述运行代码和所述运行数据是存储到硬件存储设 备中的， 而在所述硬件存储设备中篡改所述运行代码和所述运行数据的难 度会增大， 使得安全性更高， 使得生成的所述第一验证信息更准确， 进而 导致所述可信数据中心根据所述第二验证信息和所述第一验证信息来度 量所述电子设备时， 能够更准确的对所述电子设备进行度量， 由于上述度 量过程未破坏操作系统的运行过程， 而现有技术中破坏了操作系统的运行 过程， 从而使得本申请技术方案中的所述电子设备的安全性更高， 并能够 更准确对所述电子设备进行度量。 附图说明
图 1为本发明实施例中度量方法的第一种流程图；
图 2为本发明实施例对存储地址信息和存储容量信息进行签名的流程 图；
图 3为本发明实施例中对所述电子设备进行度量的流程图； 图 4为本发明实施例中可信数据中心对电子设备度量的流程图； 图 5为本发明实施例中电子设备的第一种结构图；
图 6为本发明实施例中电子设备的第二种结构图；
图 7为本发明实施例中度量系统的结构图。 具体实施方式
针对现有电子设备在度量过程中存在安全性低， 度量的准确性低的技 术问题， 本发明实施例提出的技术方案中， 是将运行代码和运行数据是存 储到硬件存储设备中的， 而在所述硬件存储设备中篡改所述运行代码和所 述运行数据的难度会增大， 使得安全性更高， 进而使得生成的所述第一验 证信息更准确， 使得所述可信数据中心根据所述日志信息生成的第二验证 信息， 以及从所述电子设备中获取的所述第一验证信息来度量所述电子设 备时， 能够更准确的对所述电子设备进行度量， 由于上述度量过程未破坏 操作系统的运行过程， 从而使得本申请技术方案中的所述电子设备的安全 性更高， 并能够更准确对所述电子设备进行度量。
下面结合各个附图对本发明实施例技术方案的主要实现原理、 具体实 施方式及其对应能够达到的有益效果进行详细地阐述。
实施例一：
本发明实施例一提出了一种度量方法， 如图 1所示， 该方法具体处理 过程如下：
步骤 101 : 电子设备从硬件存储设备中读取虚拟机管理器 VMM运行 过程中的运行代码和运行数据， 根据所述运行代码和所述运行数据， 生成 第一验证信息；
步骤 102: 所述电子设备存储所述第一验证信息， 并将所述电子设备 读取所述运行代码和所述运行数据至所述电子设备存储所述第一验证信 息过程中生成的日志信息传输给可信数据中心， 以使所述可信数据中心将 根据所述日志信息生成的第二验证信息， 以及从所述电子设备中获取的所 述第一验证信息对所述电子设备进行度量。 理器 VMM过程中的运行代码和运行数据， 根据所述运行代码和所述运行 数据， 生成第一验证信息。
的超级调用表 Hypercall table, 异常处理表 Exception table, 中断描述表
IDT, 全局描述符表 GDT等数据表中包含的数据。
在具体实施过程中， 在所述电子设备运行所述 VMM过程中， 会将运 行所述 VMM过程中的所述运行代码和所述运行数据写入到所述硬件存储 设备中， 进而使得所述电子设备能够从所述硬件存储设备中读取所述运行 代码和所述运行数据， 可以对所述运行代码和所述运行数据进行数字摘要 计算， 例如可以对所述运行代码和所述运行数据进行哈希计算， 从而得到 所述第一验证信息， 其中， 在进行所述哈希计算时， 可以釆用信息摘要算 法 5 ( Message-Digest Algorithm 5简称 MD5 ) 算法或安全哈希 ( Secure Hash Algorithm 简称 SHA1 ) 算法等。
由于所述电子设备在运行所述 VMM过程中 , 会将运行所述 VMM过 程中的所述运行代码和所述运行数据写入到所述硬件存储设备中， 而在所 述硬件存储设备中篡改所述运行代码和所述运行数据的难度会增大， 安全 性更高， 而对所述电子设备进行度量的过程中， 需要对所述运行代码和所 述运行数据进行相应的计算之后再进行比对， 如此， 使得在所述运行代码 和所述运行数据的安全性较高的情况下， 能够提高对所述电子设备进行度 量的准确性。
具体的， 在对所述运行代码和所述运行数据进行哈希计算计算时， 所 述电子设备读取所述运行代码和所述运行数据之后， 对所述运行代码和所 述运行数据进行哈希计算， 将生成的哈希值作为所述第一验证信息。
例如， 以 MD5算法为例， 在台式计算机读取了所述运行代码和所述 运行数据假如是" 0111 1000 1100 0101 1001 0001 0000 1110", 在通过 MD5 算法对 "0111 1000 1100 0101 1001 0001 0000 1110"进行运算, 得到的 MD5 值为 ee99d7b0025c7038 ,若所述运行代码和所述运行数据中的任何一字符 发生改变， 都会导致生成的 MD5值发生改变， 进而可以通过 MD5值来确 定所述运行代码和所述运行数据是否已被篡改。
VMM过程中的运行代码和运行数据， 具体包括： 所述电子设备从固件 COMS中读取所述运行代码和所述运行数据的存储地址信息和存储容量 信息； 所述电子设备根据所述存储地址信息和所述存储容量信息， 从所述 硬件存储设备中读取所述运行代码和所述运行数据。
在具体实施过程中， 为了进一步提高所述运行代码和所述运行数据的 安全性， 在运行所述 VMM过程中， 将所述存储地址信息和所述存储容量 信息存储到所述 CMOS中， 然后所述电子设备可以从所述 CMOS中读取 所述存储地址信息和所述存储容量信息， 并根据所述存储地址信息和所述 存储容量信息， 从所述硬件存储设备中读取所述运行代码和所述运行数 据， 由于在运行所述 VMM过程中， 就将所述存储地址信息和所述存储容 量信息存储到所述 CMOS中，降低了所述存储地址信息和所述存储容量信 息被篡改的概率， 而且将所述存储地址信息和所述存储容量信息存储到硬 件设备 CMOS中，进一步降低所述存储地址信息和所述存储容量信息被篡 所述存储容量信息获得的所述运行代码和所述运行数据的安全性更高。
具体来讲， 在获取所述存储地址信息和所述存储容量信息之后， 根据 所述存储地址信息的起始地址和所述存储容量信息， 确定所述运行代码和 所述运行数据， 其中， 所述存储地址信息可以用逻辑地址和物理地址进行 表示， 所述存储容量信息例如可以是 1MB , 500KB , 10MB等容量。
例如， 以台式计算机为例，在所述台式计算机中 CMOS存储的所述存 储地址信息为 0x0001100— 0x0003a00 , 而所述存储容量信息为 5KB , 所述 台式计算机首先读取所述存储地址信息的起始地址 0x0001100中存储的数 据， 再依次读取在 0x0001100之后的存储地址中存储的数据， 当所述台式 计算机读取的数据的存储容量为 5KB , 停止读取数据， 所述台式计算机读 取的 5KB的数据为所述运行代码和所述运行数据。
在另一实施例中 ,所述电子设备从 COMS中读取所述运行代码和所述 运行数据的存储地址信息和存储容量信息，具体包括：在系统管理模式下， 所述电子设备从所述 CMOS中读取所述存储地址信息和所述存储容量信 息。
在具体实施过程中， 可以通过手动或定时触发系统管理中断（System Management Interrupt 简称 SMI ) 进入所述系统管理模式， 所述电子设备 在所述系统管理模式下，从所述 CMOS中读取所述存储地址信息和所述存 储容量信息， 由于在所述系统管理模式下，从所述 CMOS中读取所述存储 地址信息和所述存储容量信息时， 使得所述电子设备的操作系统不可见， 从而确保了从所述 CMOS中读取的所述存储地址信息和所述存储容量信 息的隐蔽性和安全性。
进一步的， 所述在系统管理模式下， 所述电子设备从所述 CMOS中读 取所述存储地址信息和所述存储容量信息之前， 所述方法还包括： 所述电 子设备在所述 VMM的运行过程中， 将所述运行代码和所述运行数据的存 储地址信息和存储容量信息进行数字签名， 将数字签名后的所述存储地址 信息和所述存储容量信息写入所述 CMOS中。
在具体实施过程中， 为了进一步提高所述存储地址信息和所述存储容 量信息的安全性， 所述电子设备在所述 VMM的运行过程中， 将所述存储 地址信息和所述存储容量信息进行数字签名之后写入到所述 CMOS中，进 而使得所述电子设备通过验证所述存储地址信息和所述存储容量信息， 以 此来检测所述存储地址信息和所述存储容量信息是否被篡改， 从而使得存 储地址信息和所述存储容量信息的安全性得以提高。
其中， 在对所述存储地址信息和所述存储容量信息进行数字签名时， 可以通过 RSA算法、 DSA算法等算法对所述存储地址信息和所述存储容 量信息进行签名， 进而可以通过验证来判定所述存储地址信息和所述存储 容量信息是否被篡改。
当然， 所述电子设备可以通过定时或手动触发 SMI , 然后进入所述系 统管理模式， 在所述系统管理模式下， 再将所述存储地址信息和所述存储 容量信息进行数字签名， 并将签名后的所述存储地址信息和所述存储容量 信息写入所述 CMOS中，使得对所述所述存储地址信息和所述存储容量信 息进行数字签名，并将数字签名后的数据写入所述 CMOS中的执行过程相 对于所述电子设备的操作系统是透明的， 即所述操作系统对所述执行过程 不可见，从而进一步确保了从所述 CMOS中读取的所述存储地址信息和所 述存储容量信息的隐蔽性和安全性。
进一步的，所述电子设备从固件 COMS中读取所述运行代码和所述运 行数据的存储地址信息和存储容量信息之后， 根据所述存储地址信息和所 述存储容量信息， 从所述硬件存储设备中读取所述运行代码和所述运行数 据之前， ， 还包括： 所述电子设备对所述存储地址信息和所述存储容量信 息进行验证。
在具体实施过程中， 由于所述电子设备在将所述内存地址信息和所述 存储容量信息存储到所述 CMOS中时，对所述内存地址信息和所述存储容 量信息进行了数字签名， 因此， 在所述述电子设备读取所述内存地址信息 和所述存储容量信息之后， 还需对所述存储地址信息和所述存储容量信息 进行验证， 以判定所述内存地址信息和所述存储容量信息是否被篡改， 在 验证通过之后， 即表征所述电子设备确定所述存储地址信息和所述存储容 量信息是通过验证时， 才根据所述存储地址信息和所述存储容量信息， 从 所述硬件存储设备中读取所述运行代码和所述运行数据， 在验证未通过 时， 则直接结束处理， 判定所述电子设备的安全性低， 存在访问风险。
由于所述电子设备在从所述 CMOS中读取的是数字签名过的所述存 储知道信息和所述存储容量信息， 因此需要对数字签名过的所述存储知道 信息和所述存储容量信息进行验证， 在通过验证时， 可以判定所述存储地 址信息和所述存储容量信息未被篡改， 使得通过所述存储地址信息和所述 存储容量信息获取的所述运行代码和所述运行数据的安全性更高， 在未通 过验证时， 则可以判定所述存储地址信息和所述存储容量信息已被篡改， 则直接结束处理， 判定所述电子设备的安全性低， 存在访问风险。
接下来执行步骤 102 , 在该步骤中， 所述电子设备存储所述第一验证 信息， 并将所述电子设备读取所述运行代码和所述运行数据至所述电子设 备存储所述第一验证信息过程中生成的日志信息传输给可信数据中心， 以 使所述可信数据中心将根据所述日志信息生成的第二验证信息， 以及从所 述电子设备中获取的所述第一验证信息对所述电子设备进行度量
其中， 在生成所述日志信息和将所述日志信息传输给所述可信数据中 心的过程中， 所述日志信息可能被篡改， 进而导致所述可信数据中心根据 所述日志信息生成的第二验证信息与所述第一验证不同， 所述日志信息中 记载了所述电子设备从读取所述运行代码和所述运行数据至存储所述第 一验证信息之前， 所述电子设备执行的每一次操作信息及相应的时间戳信 息， 进而使得所述可信数据中心根据所述日志信息， 能够获取并根据与所 述曰志信息对应的所述电子设备在运行虚拟机管理器 VMM过程中的运行 代码和运行数据， 获得所述第二验证信息。
在具体实施过程中， 所述电子设备可以将所述第一验证信息存储到所 述电子设备的硬盘、 寄存器等硬件存储设备中， 以使得所述第一验证信息 减少被篡改的概率， 进而能够确保所述第一验证信息的安全性， 为了进一 步提高所述第一验证信息的安全性， 可以将所述第一验证信息存储到所述 电子设备的可信平台模块 (Trusted Platform Module 简称 TPM)芯片中， 具 体的， 可以将所述第一验证信息存储到所述 TPM芯片中的平台配置寄存 器 （ Platform Configuration Register 简称 PCR ) 中。
由于 TPM芯片， 是指符合由可信赖计算组织 （ Trusted Computing Group , 简称 TCG )制定的标准的安全芯片， 它能有效地保护 PC、 防止非 法用户访问， 进而能够有效的确保所述第一验证信息的安全性， 而且 TPM 芯片能够与所述可信数据中心进行交互， 所述可信数据中心可以通过访问 点 ( Locality ) 来读取所述 PCR中所述第一验证信息， 使得所述可信数据 中心可以根据所述第二验证信息和所述第一验证信息对所述电子设备进 行度量。
进一步的， 所述电子设备在存储所述第一验证信息时， 若当前未存储 第一验证信息， 所述电子设备存储新生成的所述第一验证信息； 若当前已 存储第一验证信息， 所述电子设备用新生成的所述第一验证信息替换已存 储的第一验证信息， 或 ， 所述电子设备存储新生成的所述第一验证信息 和新生成所述第一验证信息的第一时间， 以使得所述可信数据中心根据所 述日志信息中的第二时间， 以及从所述电子设备中获取的所述第一时间确 定用于度量所述电子设备的第一验证信息。
具体来讲， 所述电子设备存储所述第一验证信息时， 若当前未存储第 一验证信息， 所述电子设备存储新生成的所述第一验证信息， 以及在当前 已存储第一验证信息， 所述电子设备用新生成的所述第一验证信息替换已 存储的第一验证信息时， 由于所述电子设备中仅存储有一个所述第一验证 信息， 进而使得所述可信数据中心能够准确的获取与所述日志信息对应的 所述第一验证信息， 不会出现所述第一验证信息和所述第二验证信息不对 应的问题。
进一步的， 在当前已存储第一验证信息时， 所所述电子设备存储新生 成的所述第一验证信息和新生成所述第一验证信息的第一时间， 由于所述 电子设备中存储有多个所述第一验证信息， 进而在存储所述第一验证信息 时， 还需存储新生成所述第一验证信息的第一时间， 以使所述可信数据中 心根据所述日志信息中的第二时间， 以及从所述电子设备中获取的所述第 一时间确定用于度量所述电子设备的第一验证信息。
例如， 以台式计算机为例， 所述台式计算机在 11 : 15:20秒的时刻， 在 处理数据" 1100 0001 1000 1110，，过程中，生成的所述第一验证信息为 "1001 0001", 而所述台式计算机中的 TPM芯片中的 PCR中已存储有所述第一 验证信息为" 0001 1000", 若将" 1001 0001"存储到所述 PCR中而不存储时 间， 使得所述可信数据中心可能根据数据" 1100 0001 1000 1110"的日志信 息生成的第二验证信息和" 0001 1000"来对所述台式计算机进行度量， 由于 与数据 "1100 0001 1000 1110"对应的所述第一验证信息为 "1001 0001", 从 而导致所述可信数据中心对所述台式计算机进行错误的度量， 而将生成 "1001 0001"的时间 11 : 15:20秒存储到所述 PCR中时， 所述可信数据中心 根据所述日志信息中的时间戳， 就可以确定所述第一验证信息为" 1001 0001", 而不为 "0001 1000", 进而能够提高对所述电子设备进行度量的准 确性。
本申请的技术方案可以基于可扩展固件接口 （ Extensible Firmware Interface 简称 EFI )和统一的可扩展固件接口（ Unified Extensible Firmware Interface 简称 UEFI ) 进行实现， 具体实施方式如下：
以 EFI为例， 参见图 2 , 在 EFI中加入了定时触发和手动触发系统中 断度量程序 （ Smi Measure handler ) 和系统中断签名程序 （ Smi RSA handler ) ， 所述 Smi Measure handler ) 中含有 RSA解密验证算法和公钥， 以及所述 Smi RSA handler中含有 RSA数字签名算法和 RSA私钥， RSA 公私钥对事先由程序生成。
在所述电子设备进行加电之后， EFI初始化， 以引导所述电子设备进 行启动，在 EFI初始化完成之后，会初始化 Smi Measure handler和 Smi RSA handler，所述电子设备在启动之后，在启动开放源代码虚拟机监视器（ Xen ) 的过程中，在将 Xen的运行代码及所述运行代码在执行过程中产生的运行 数据的存储地址信息和存储容量信息写入 CMOS中的指定地址时，会触发 Smi RSA handler, 对所述存储地址信息和所述存储容量信息进行签名， 以 使得所述存储地址信息和所述存储容量信息的安全性更高。
参见图 3 , 在通过手动或定时对所述电子设备进行度量时， 所述电子 设备进入系统管理模式， 并调用 Smi Measure handler, 主动从 CMOS中读 取所述存储地址信息和所述存储容量信息进行签名验证， 在验证通过时， 根据所述存储地址信息和所述存储容量信息， 获取所述运行代码和所述运 行数据， 并对所述运行代码和所述运行数据进行哈希计算， 获得第一哈希 值， 并通过 Locality将所述哈希值存储到所述电子设备的 TPM芯片中的 PCR中， 然后通过 Locality将所述哈希值存储到 PCR之前最近一次生成 的日志信息传输给可信数据中心， 然后退出所述系统管理模式， 进而使得 所述可信数据中心根据所述日志信息生成第二哈希值， 若所述日志信息未 被篡改， 则所述第二哈希值与所述第一哈希值是相同， 若所述日志信息被 篡改之后， 则所述第二哈希值与所述第一哈希值是不同的， 因此， 通过比 对所述第一哈希值和所述第二哈希值， 可以对所述电子设备进行度量。 另 夕卜， 本申请技术方案不仅可以在 Xen中执行， 还可以在其它的 VMM中执 行， 例如在 KVM ( kernel-based Virtual Machine )虚拟机中执行， 使得所 述本申请的计算方案的可移植性更强。
本发明实施例中， 本申请技术方案是从硬件存储设备中读取运行代码 和运行数据， 在根据所述运行代码和所述运行数据， 生成第一验证信息， 然后存储所述第一验证信息， 并将所述电子设备读取所述运行代码和所述 运行数据至所述电子设备存储所述第一验证信息过程中生成的日志信息 传输给可信数据中心， 以使所述可信数据中心将根据所述日志信息生成的 第二验证信息， 以及从所述电子设备中获取的所述第一验证信息对所述电 子设备进行度量， 由于所述运行代码和所述运行数据是存储到硬件存储设 备中的， 而在所述硬件存储设备中篡改所述运行代码和所述运行数据的难 度会增大， 使得安全性更高， 使得生成的所述第一验证信息更准确， 进而 导致所述可信数据中心根据所述第二验证信息和所述第一验证信息来度 量所述电子设备时， 能够更准确的对所述电子设备进行度量， 由于上述度 量过程未破坏操作系统的运行过程， 而现有技术中破坏了操作系统的运行 过程， 从而使得本申请技术方案中的所述电子设备的安全性更高， 并能够 更准确对所述电子设备进行度量。
下面具体介绍所述可信数据中心的度量过程， 具体如下所示： 如图 4所示， 该度量过程如下：
步骤 401 : 可信数据中心在接收到电子设备发送的日志信息后， 根据 所述日志信息生成第二验证信息；
步骤 402: 所述可信数据中心从所述电子设备中读取第一验证信息； 步骤 403 : 所述可信数据中心将所述第一验证信息和所述第二验证信 息进行比对， 根据比对结果， 对所述电子设备进行度量。
其中， 在步骤 401中， 可信数据中心在接收到电子设备发送的日志信 息后， 根据所述日志信息生成第二验证信息。
进一步的， 所述可信数据中心例如是台式计算机、 笔记本电脑等电子 设备。
在具体实施过程中， 实施一中已经详细叙述了所述日志信息中记载了 所述电子设备从读取所述运行代码和所述运行数据至存储所述第一验证 信息之前， 所述电子设备执行的每一次操作信息及相应的时间戳信息， 进 而使得所述可信数据中心根据所述日志信息， 能够获取并根据与所述曰志 信息对应的所述电子设备在运行虚拟机管理器 VMM过程中的运行代码和 运行数据， 获得所述第二验证信息。
具体来讲， 所述可信数据中心根据所述日志信息， 读取所述运行代码 和所述运行数据之后， 可以对所述运行代码和所述运行数据进行数字摘要 计算， 例如可以对所述运行代码和所述运行数据进行哈希计算， 从而得到 所述第一验证信息， 其中， 在进行所述哈希计算时， 可以釆用 MD5算法 或 SHA1算法等。
进一步的， 所述电子设备和所述可信性数据中心釆用的算法是相同 的， 进而使得所述日志信息未被篡改时， 所述第二验证信息和所述第一验 证信息是相同的； 而在所述日志信息被篡改时， 所述第二验证信息才和所 述第一验证信息不同， 进而可以根据所述第一验证信息和所述第二验证信 息来对所述电子设备进行度量。
例如， 所述日志信息会记载了在 10: 15:20秒读取了所述电子设备的存 储地址 0x0001100—0x0002a00中的数据，并对所述 0x0001100—0x0002a00 中的数据进行了哈希计算， 使得所述可信数据中心根据所述
0x0001100— 0x0002a00 , 再次读取所述 0x0001100— 0x0002a00中的数据， 对所述 0x0001100— 0x0002a00中的数据进行哈希计算， 生成了作为所述 第二验证信息的第二哈希值。
接下来执行步骤 402 , 在该步骤中， 所述可信数据中心从所述电子设 备中读取第一验证信息。 在具体实施过程中， 所述可信数据中心首先确定 所述第一验证信息存储在所述电子设备的地址信息， 根据所述地址信息， 从所述电子设备中读取所述第一验证信息。
其中， 步骤 401和步骤 402可以同时执行， 也可以先执行步骤 402, 再执行步骤 401 , 本申请不作具体限制。
当然， 所述可信数据中心还可以接收所述电子设备发送的所述第一验 证信息， 而不是直接从所述电子设备中读取所述第一验证信息。
具体来讲， 在所述第一验证信息存储在所述电子设备中 TPM芯片中 的 PCR中时， 所述可信数据中心通过 Locality访问所述 TPM芯片， 并从 所述 PCR中读取所述第一验证信息。
由于所述电子设备可能仅仅存储有一个所述第一验证信息， 进而使得 所述可信数据中心能够准确的获取与所述日志信息对应的所述第一验证 信息， 不会出现所述第一验证信息和所述第二验证信息不对应的问题； 而 当所述电子设备中存储有多个所述第一验证信息时， 所述可信数据中心所 述可信数据中心根据所述日志信息中的时间信息， 从所述电子设备读取所 述第一验证信息， 以使得从所述电子设备读取所述第一验证信息与所述第 二验证信息相对应， 再通过所述第一验证信息与所述第二验证信息对所述 电子设备进行度量时， 能够更准确对所述电子设备进行度量。
例如， 以台式计算机为例， 所述台式计算机中的 TPM芯片中的 PCR 中存储有" 1001 0001"及其对应的时间信息为 10:15:25秒， "0001 1000"及 其对应的时间信息为 10:25: 15秒， 而所述可信数据中心提取所述日志信息 的时间信息为 10: 15:25秒， 进而使得所述可信数据中心从所述 PCR中读 取的所述第一验证信息为" 1001 0001", 而不为 "0001 1000",进而使得从所 述电子设备读取所述第一验证信息与所述第二验证信息相对应， 能够提高 对所述电子设备进行度量的准确性。
接下来执行步骤 403 , 在该步骤中， 所述可信数据中心将所述第一验 证信息和所述第二验证信息进行比对， 根据比对结果， 对所述电子设备进 行度量。
在具体实施过程中， 当所述日志信息未被篡改时， 所述第二验证信息 和所述第一验证信息是相同的， 当所述日志信息被篡改时， 可能会导致所 述第二验证信息和所述第一验证信息不同， 如此， 使得在所述比对结果表 征所述第一验证信息和所述第二验证信息相同时， 则可以判定所述电子设 备是安全的， 能够被访问， 否则， 则可以判定所述电子设备是不安全的， 访问有风险。
例如， 当所述可信数据中心根据所述日志信息读取的数据为" 1000 0001 1101 0111 1000", 对" 1000 0001 1101 0111 1000，，进行 MD5计算， 获 得所述第二验证信息为 662b2elf62680562 , 而所述可信数据中心从所述电 子设备中读取的第一验证信息为 24c3d7c9697a7dce , 由于所述第二验证信 息和所述第一验证信息不同， 即表明所述日志信息比篡改了， 则可以判定 所述电子设备是不安全的， 访问有风险； 若所述可信数据中心从所述电子 设备中读取的第一验证信息为 662b2elf62680562 , 则可以判定所述电子设 备是安全的， 能够被访问。
在另一实施例中， 所述可信数据中心将所述第一验证信息和所述第二 验证信息进行比对， 根据比对结果， 对所述电子设备进行度量之后， 还包 括： 所述可信数据中心根据所述日志信息， 获取所述日志信息中的初始度 量信息； 所述可信数据中心将保存在所述可信数据中心中的基线值与所述 初始度量信息进行比对， 基于比对结果， 再次对所述电子设备进行度量， 其中， 所述基线值与所述初始度量信息相对应。
具体来讲， 为了使得对所述电子设备进行度量的准确性更高， 在根据 所述比对结果，对所述电子设备进行度量之后，还可以根据所述日志信息， 从 COMS中读取所述运行代码和所述运行数据的存储地址信息和存储容 量信息， 然后根据所述存储地址信息， 将所述存储地址信息中的数据划分 为至少两部分数据， 根据所述至少两部分数据， 生成作为所述初始度量信 息的至少两个第三验证信息， 然后将所述至少两个验证信息与所述基线值 进行比较， 在所述至少两个第三验证信息与所述基线值相匹配时， 则可以 判定所述电子设备是安全的， 能够被访问， 若不匹配， 则可以判定所述电 子设备是不安全的， 访问存在风险。
具体的， 所述基线值是所述电子设备在系统管理模式下根据所述所述 至少两部分数据， 生成的至少两个第四验证信息， 生成所述至少两个第四 验证信息的实施方式具体可以参考生成所述第一验证信息的实施方式， 然后将所述至少两个第四验证信息通过 USB或无线方式传输给所述可信 数据中心， 在通过将所述至少两个第三验证信息和所述至少两个第四验证 信息进行比对， 在所述至少两个第三验证信息与所述至少两个第四验证信 息相匹配时， 则可以判定所述电子设备是安全的， 能够被访问， 若不匹配， 则可以判定所述电子设备是不安全的， 访问存在风险。
其中， 所述至少两个第四验证信息可以是根据所述运行代码生成的验 证信息和根据所述运行数据生成的验证信息。
例如， 根据所述运行代码和所述运行数据的存储地址信息， 获取所述 运行代码和所述运行数据的数据整体大小为 12M, 然后将所述 10M的数 据从起始地址开始依次进行均等划分成 3个 4M的数据， 从而获得数据模 块 1 , 数据模块 2, 和数据模块 3 , 然后分别对数据模块 1 , 数据模块 2和 数据模块 3进行 SHA-1计算， 获得与数据模块 1对应 Hash- 1 , 与数据模 块 2对应 Hash-2 , 以及与数据模块 3对应 Hash-3 , 可以将 Hash-1及生成 Hash-1的时间 a, Hash-2及生成 Hash-2的时间 b, Hash-3及生成 Hash-3 的时间 c存储到所述 PCR中， 同时将 Hash-1和 a, Hash-2和 b, hash-3 和 C传输给所述可信数据中心。
进一步的， 当所述可信数据中心接收到所述电子设备发送的日志信 息， 从而可以再次对数据模块 1 , 数据模块 2和数据模块 3进行 SHA-1计 算， 从而获取与数据模块 1对应 Hash-1-l , 与数据模块 2对应 Hash-2-l , 以及与数据模块 3对应 Hash-3-l , 然后根据所述日志信息中的时间信息， 比对 Hash-1和 Hash-1 -1 , 比对 Hash-2和 Hash-2- 1 , 以及比对 Hash-3和 Hash-3 -1 , 在 Hash-1和 Hash-1 -1 , Hash-2和 Hash-2- 1 , 以及 Hash-3和 Hash-3-l均相同时， 则可以判定所述电子设备是安全的， 能够被访问， 若 Hash-1和 Hash-1 -1 , Hash-2和 Hash-2- 1 , 以及 Hash-3和 Hash-3-l中有任 何一个不同时， 例如 Hash-1和 Hash-1-l不相同时， 则可以判定所述电子 设备是不安全的， 访问存在风险。
本发明实施例中， 本申请技术方案是从硬件存储设备中读取运行代码 和所述运行数据， 在根据所述运行代码和所述运行数据， 生成第一验证信 息， 然后存储所述第一验证信息， 并将存储所述第一验证信息之前最近一 次生成的日志信息传输给可信数据中心， 以使所述可信数据中心将根据所 述日志信息生成的第二验证信息和所述第一验证信息对所述电子设备进 行度量， 由于所述运行代码和所述运行数据是存储到硬件存储设备中的， 而在所述硬件存储设备中篡改所述运行代码和所述运行数据的难度会增 大， 使得安全性更高， 进而使得生成的所述第一验证信息更准确， 使得所 述可信数据中心根据所述日志信息生成的第二验证信息和所述第一验证 信息来度量所述电子设备时， 能够更准确的对所述电子设备进行度量， 由 于上述度量过程未破坏操作系统的运行过程， 而现有技术中破坏了操作系 统的运行过程， 从而使得本申请技术方案中的所述电子设备的安全性更 高， 并能够更准确对所述电子设备进行度量。
实施例二：
本发明实施例二提出了一种电子设备， 如图 5所示， 所述电子设备包 括：
数据读取单元 501 , 用于从硬件存储设备中读取虚拟机管理器 VMM 运行过程中的运行代码和运行数据，
验证信息生成单元 502 , 用于接收所述数据读取单元发送的所述运行 代码和所述运行数据， 并根据所述运行代码和所述运行数据， 生成第一验 证信息；
存储单元 503 , 用于接收来自所述验证信息生成单元发送的所述第一 验证信息， 存储所述第一验证信息；
发送单元 504 , 用于将所述电子设备读取所述运行代码和所述运行数 据至所述电子设备存储所述第一验证信息过程中生成的日志信息传输给 可信数据中心， 以使所述可信数据中心将根据所述日志信息生成的第二验 证信息， 以及从所述电子设备中获取的所述第一验证信息对所述电子设备 进行度量。
其中， 所述电子设备例如是台式电脑、 笔记本电脑等电子设备， 进一 电子设备， 所述运行数据例如是所述运行代码在运行过程中的调用的超级 调用表 Hypercall table, 异常处理表 Exception table, 中断描述表 IDT, 全 局描述符表 GDT等数据表中包含的数据。
较佳的， 数据读取单元 501 , 具体用于从固件 COMS中读取所述运行 代码和所述运行数据的存储地址信息和存储容量信息， 并根据所述存储地 址信息和所述存储容量信息， 从所述硬件存储设备中读取所述运行代码和 所述运行数据。
较佳的， 数据读取单元 501 , 具体用于在系统管理模式下， 从所述 CMOS中读取所述存储地址信息和所述存储容量信息。
进一步的， 所述电子设备包括签名单元 505 , 所述在系统管理模式下， 所述电子设备从所述 CMOS中读取所述存储地址信息和所述存储容量信 息之前， 用于在所述 VMM的运行过程中， 将所述运行代码和所述运行数 据的存储地址信息和存储容量信息进行数字签名， 将数字签名后的所述存 储地址信息和所述存储容量信息写入所述 CMOS中。
其中， 所述电子设备可以通过定时或手动触发 SMI, 然后进入所述系 统管理模式， 在所述系统管理模式下， 再将所述存储地址信息和所述存储 容量信息进行数字签名， 并将签名后的所述存储地址信息和所述存储容量 信息写入所述 CMOS中，使得对所述所述存储地址信息和所述存储容量信 息进行数字签名，并将数字签名后的数据写入所述 CMOS中的执行过程相 对于所述电子设备的操作系统是透明的， 即所述操作系统对所述执行过程 不可见，从而进一步确保了从所述 CMOS中读取的所述存储地址信息和所 述存储容量信息的隐蔽性和安全性。
具体来讲， 为了进一步提高所述存储地址信息和所述存储容量信息的 安全性， 所述电子设备在所述 VMM的运行过程中， 将所述存储地址信息 和所述存储容量信息进行数字签名之后写入到所述 CMOS中，进而使得所 述电子设备通过验证所述存储地址信息和所述存储容量信息， 以此来检测 所述存储地址信息和所述存储容量信息是否被篡改， 从而使得存储地址信 息和所述存储容量信息的安全性得以提高。
较佳的， 由于所述签名单元对所述存储地址信息和所述存储容量信息 进行了数字签名， 相应的， 所述电子设备还包括验证单元 506 , 用于从固 件 COMS中读取所述运行代码和所述运行数据的存储地址信息和存储容 量信息之后， 在根据所述存储地址信息和所述存储容量信息， 从所述硬件 存储设备中读取所述运行代码和所述运行数据之前， 对所述存储地址信息 和所述存储容量信息进行验证。
由于所述电子设备在从所述 CMOS中读取的是数字签名过的所述存 储知道信息和所述存储容量信息， 因此需要通过所述验证单元对数字签名 过的所述存储知道信息和所述存储容量信息进行验证， 在通过验证时， 可 以判定所述存储地址信息和所述存储容量信息未被篡改， 使得通过所述存 储地址信息和所述存储容量信息获取的所述运行代码和所述运行数据的 安全性更高， 在未通过验证时， 则可以判定所述存储地址信息和所述存储 容量信息已被篡改， 则直接结束处理， 判定所述电子设备的安全性低， 存 在访问风险。
较佳的， 存储单元 503 , 具体用于若当前未存储第一验证信息， 则存 储新生成的所述第一验证信息； 若当前已存储第一验证信息， 用新生成的 所述第一验证信息替换已存储的第一验证信息， 或 ， 存储新生成的所述 第一验证信息和新生成所述第一验证信息的第一时间， 以使得所述可信数 据中心根据所述日志信息中的第二时间， 以及从所述电子设备中获取的所 述第一时间确定用于度量所述电子设备的第一验证信息。
较佳的， 存储单元 503 , 具体用于将所述第一验证信息存储到所述电 子设备的可信平台模块 TPM芯片中。
由于 TPM芯片， 是指符合由可信赖计算组织 （ Trusted Computing Group, 简称 TCG )制定的标准的安全芯片， 它能有效地保护 PC、 防止非 法用户访问， 进而能够有效的确保所述第一验证信息的安全性， 而且 TPM 芯片能够与所述可信数据中心进行交互， 所述可信数据中心可以通过访问 点 ( Locality ) 来读取所述 PCR中所述第一验证信息， 使得所述可信数据 中心可以根据所述第二验证信息和所述第一验证信息对所述电子设备进 行度量。
较佳的， 验证信息生成单元 502 , 具体用于对所述运行代码和所述运 行数据进行哈希计算， 将生成的哈希值作为所述第一验证信息。
本发明实施例中， 本申请技术方案是从硬件存储设备中读取运行代码 和运行数据， 在根据所述运行代码和所述运行数据， 生成第一验证信息， 然后存储所述第一验证信息， 并将所述电子设备读取所述运行代码和所述 运行数据至所述电子设备存储所述第一验证信息过程中生成的日志信息 传输给可信数据中心， 以使所述可信数据中心将根据所述日志信息生成的 第二验证信息， 以及从所述电子设备中获取的所述第一验证信息对所述电 子设备进行度量， 由于所述运行代码和所述运行数据是存储到硬件存储设 备中的， 而在所述硬件存储设备中篡改所述运行代码和所述运行数据的难 度会增大， 使得安全性更高， 使得生成的所述第一验证信息更准确， 进而 导致所述可信数据中心根据所述第二验证信息和所述第一验证信息来度 量所述电子设备时， 能够更准确的对所述电子设备进行度量， 由于上述度 量过程未破坏操作系统的运行过程， 而现有技术中破坏了操作系统的运行 过程， 从而使得本申请技术方案中的所述电子设备的安全性更高， 并能够 更准确对所述电子设备进行度量。
实施例三：
本发明实施例三提出了一种电子设备， 如图 6所示， 所述电子设备包 括： 硬件存储设备 601 , 用于存储虚拟机管理器 VMM运行过程中的运行 代码和运行数据； 控制器 602 , 用于从所述硬件存储设备中读取所述运行 代码和所述运行数据， 根据所述运行代码和所述运行数据， 生成并存储第 一验证信息； 发送器 603 , 用于将所述电子设备读取所述运行代码和所述 运行数据至所述电子设备存储所述第一验证信息过程中生成的日志信息 传输给可信数据中心， 以使所述可信数据中心将根据所述日志信息生成的 第二验证信息， 以及从所述电子设备中获取的所述第一验证信息对所述电 子设备进行度量。
其中， 所述电子设备例如是台式电脑、 笔记本电脑等电子设备， 进一 步的， 硬件存储设备 601可以是所述电子设备中的硬盘、 寄存器， 内存等 电子设备， 所述运行数据例如是所述运行代码在运行过程中的调用的超级 调用表 Hypercall table , 异常处理表 Exception table , 中断描述表 IDT , 全 局描述符表 GDT等数据表中包含的数据。
进一步的， 控制器 602例如是单独的处理芯片， 也可以集成在所述电 子设备的处理器中， 进一步的， 发送器 603例如是 wifi模块， 无线网卡等 电子设备。
较佳的， 控制器 602 , 具体用于从固件 COMS中读取所述运行代码和 所述运行数据的存储地址信息和存储容量信息， 并根据所述存储地址信息 和所述存储容量信息， 从所述硬件存储设备中读取所述运行代码和所述运 行数据。
较佳的， 控制器 602 , 具体用于在系统管理模式下， 从所述 CMOS中 读取所述存储地址信息和所述存储容量信息。
较佳的， 控制器 602 , 具体用于在系统管理模式下， 从所述 CMOS中 读取所述存储地址信息和所述存储容量信息之前， 在所述 VMM的运行过 程中， 将所述运行代码和所述运行数据的存储地址信息和存储容量信息进 行数字签名， 将数字签名后的所述存储地址信息和所述存储容量信息写入 所述 CMOS中。
较佳的， 控制器 602 , 具体用于在从 COMS中读取所述运行代码和所 述运行数据的存储地址信息和存储容量信息之后， 在根据所述存储地址信 息和所述存储容量信息， 从所述硬件存储设备中读取所述运行代码和所述 运行数据之前， 对所述存储地址信息和所述存储容量信息进行验证。
较佳的， 控制器 602 , 具体用于在当前未存储第一验证信息时， 则存 储新生成的所述第一验证信息； 在当前已存储第一验证信息时， 则用新生 成的所述第一验证信息替换已存储的第一验证信息， 或 ， 存储新生成的 所述第一验证信息和新生成所述第一验证信息的第一时间， 以使得所述可 信数据中心根据所述日志信息中的第二时间， 以及从所述电子设备中获取 的所述第一时间确定用于度量所述电子设备的第一验证信息。
较佳的， 控制器 602 , 具体用于将所述第一验证信息存储到所述电子 设备的可信平台模块 TPM芯片中。
由于 TPM芯片， 是指符合由可信赖计算组织 （ Trusted Computing Group, 简称 TCG )制定的标准的安全芯片， 它能有效地保护 PC、 防止非 法用户访问， 进而能够有效的确保所述第一验证信息的安全性， 而且 TPM 芯片能够与所述可信数据中心进行交互， 所述可信数据中心可以通过访问 点 ( Locality ) 来读取所述 PCR中所述第一验证信息， 使得所述可信数据 中心可以根据所述第二验证信息和所述第一验证信息对所述电子设备进 行度量。
较佳的， 控制器 602 , 具体用于对所述运行代码和所述运行数据进行 哈希计算， 将生成的哈希值作为所述第一验证信息。
本发明实施例中， 本申请技术方案是从硬件存储设备中读取运行代码 和运行数据， 在根据所述运行代码和所述运行数据， 生成第一验证信息， 然后存储所述第一验证信息， 并将所述电子设备读取所述运行代码和所述 运行数据至所述电子设备存储所述第一验证信息过程中生成的日志信息 传输给可信数据中心， 以使所述可信数据中心将根据所述日志信息生成的 第二验证信息， 以及从所述电子设备中获取的所述第一验证信息对所述电 子设备进行度量， 由于所述运行代码和所述运行数据是存储到硬件存储设 备中的， 而在所述硬件存储设备中篡改所述运行代码和所述运行数据的难 度会增大， 使得安全性更高， 使得生成的所述第一验证信息更准确， 进而 导致所述可信数据中心根据所述第二验证信息和所述第一验证信息来度 量所述电子设备时， 能够更准确的对所述电子设备进行度量， 由于上述度 量过程未破坏操作系统的运行过程， 而现有技术中破坏了操作系统的运行 过程， 从而使得本申请技术方案中的所述电子设备的安全性更高， 并能够 更准确对所述电子设备进行度量。
实施例四：
本发明实施例四提出了一种度量系统， 如图 7所示， 所述系统包括： 电子设备 701 , 用于从硬件存储设备中读取虚拟机管理器 VMM运行 过程中的运行代码和运行数据， 根据所述运行代码和所述运行数据， 生成 并存储第一验证信息， 并将电子设备 701读取所述运行代码和所述运行数 据至电子设备 701存储所述第一验证信息过程中生成的日志信息传输给可 信数据中心 702;
可信数据中心 702 , 用于接收电子设备 701发送的所述日志信息， 并 从所述电子设备中获取所述第一验证信息， 根据所述日志信息生成的第二 验证信息和所述第一验证信息对电子设备 701进行度量。
其中， 可信性数据 702可以连接多个电子设备 701 , 且可以对多个电 子设备 701中的每一个电子设备进行度量， 用于判定每一个电子设备当前 运行环境是安全的， 还是存在访问风险的。
进一步的， 电子设备 701例如是台式电脑、 笔记本电脑等电子设备， 电子设备 701具体为实施例一至三中的任意一种电子设备， 进一步的， 所
Hypercall table , 异常处理表 Exception table, 中断描述表 IDT , 全局描述 符表 GDT等数据表中包含的数据。
本发明实施例中， 本申请技术方案是从硬件存储设备中读取运行代码 和运行数据， 在根据所述运行代码和所述运行数据， 生成第一验证信息， 然后存储所述第一验证信息， 并将所述电子设备读取所述运行代码和所述 运行数据至所述电子设备存储所述第一验证信息过程中生成的日志信息 传输给可信数据中心， 以使所述可信数据中心将根据所述日志信息生成的 第二验证信息， 以及从所述电子设备中获取的所述第一验证信息对所述电 子设备进行度量， 由于所述运行代码和所述运行数据是存储到硬件存储设 备中的， 而在所述硬件存储设备中篡改所述运行代码和所述运行数据的难 度会增大， 使得安全性更高， 使得生成的所述第一验证信息更准确， 进而 导致所述可信数据中心根据所述第二验证信息和所述第一验证信息来度 量所述电子设备时， 能够更准确的对所述电子设备进行度量， 由于上述度 量过程未破坏操作系统的运行过程， 而现有技术中破坏了操作系统的运行 过程， 从而使得本申请技术方案中的所述电子设备的安全性更高， 并能够 更准确对所述电子设备进行度量。
本领域的技术人员应明白， 本发明的实施例可提供为方法、 装置（设 备） 、 或计算机程序产品。 因此， 本发明可釆用完全硬件实施例、 完全软 件实施例、 或结合软件和硬件方面的实施例的形式。 而且， 本发明可釆用 在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包 括但不限于磁盘存储器、 CD-ROM、 光学存储器等）上实施的计算机程序 产品的形式。
本发明是参照根据本发明实施例的方法、 装置 （设备）和计算机程序 产品的流程图和 /或方框图来描述的。应理解可由计算机程序指令实现流程 图和 /或方框图中的每一流程和 /或方框、 以及流程图和 /或方框图中的流程 和 /或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、 嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器， 使得 通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实 现在流程图一个流程或多个流程和 /或方框图一个方框或多个方框中指定 的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处 理设备以特定方式工作的计算机可读存储器中， 使得存储在该计算机可读 存储器中的指令产生包括指令装置的制造品， 该指令装置实现在流程图一 个流程或多个流程和 /或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备 上， 使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机 实现的处理， 从而在计算机或其他可编程设备上执行的指令提供用于实现 在流程图一个流程或多个流程和 /或方框图一个方框或多个方框中指定的 功能的步骤。 尽管已描述了本发明的优选实施例， 但本领域内的技术人员一旦得知 了基本创造性概念， 则可对这些实施例作出另外的变更和修改。 所以， 所 附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更 和修改。 本发明的精神和范围。 这样， 倘若本发明的这些修改和变型属于本发明权 利要求及其等同技术的范围之内， 则本发明也意图包含这些改动和变型在 内。

Claims

1、 一种度量方法， 其特征在于， 所述方法包括：
电子设备从硬件存储设备中读取虚拟机管理器 VMM运行过程中的运 行代码和运行数据， 根据所述运行代码和所述运行数据， 生成第一验证信 息；
所述电子设备存储所述第一验证信息， 并将所述电子设备读取所述运 行代码和所述运行数据至所述电子设备存储所述第一验证信息过程中生 成的日志信息传输给可信数据中心， 以使所述可信数据中心将根据所述日 志信息生成的第二验证信息， 以及从所述电子设备中获取的所述第一验证 信息对所述电子设备进行度量。
2、 如权利要求 1所述的方法， 其特征在于， 所述电子设备从硬件存 储设备中读取虚拟机管理器 VMM运行过程中的运行代码和运行数据， 具 体包括：
所述电子设备从固件 COMS中读取所述运行代码和所述运行数据的 存储地址信息和存储容量信息；
所述电子设备根据所述存储地址信息和所述存储容量信息， 从所述硬 件存储设备中读取所述运行代码和所述运行数据。
3、如权利要求 2所述的方法，其特征在于，所述电子设备从固件 COMS 中读取所述运行代码和所述运行数据的存储地址信息和存储容量信息之 后， 根据所述存储地址信息和所述存储容量信息， 从所述硬件存储设备中 读取所述运行代码和所述运行数据之前， 还包括：
所述电子设备对所述存储地址信息和所述存储容量信息进行验证。
4、 如权利要求 2所述的方法， 其特征在于， 所述电子设备从 COMS 中读取所述运行代码和所述运行数据的存储地址信息和存储容量信息， 具 体包括： 信息和所述存储容量信息。
5、 如权利要求 4所述的方法， 其特征在于， 所述在系统管理模式下， 所述电子设备从所述 CMOS中读取所述存储地址信息和所述存储容量信 息之前， 所述方法还包括：
所述电子设备在所述 VMM的运行过程中， 将所述运行代码和所述运 行数据的存储地址信息和存储容量信息进行数字签名， 将数字签名后的所 述存储地址信息和所述存储容量信息写入所述 CMOS中。
6、 如权利要求 1~5任一项所述的方法， 其特征在于， 所述电子设备 存储所述第一验证信息， 具体包括：
若当前未存储第一验证信息， 所述电子设备存储新生成的所述第一验 证信息；
若当前已存储第一验证信息， 所述电子设备用新生成的所述第一验证 信息替换已存储的第一验证信息， 或 ， 所述电子设备存储新生成的所述 第一验证信息和新生成所述第一验证信息的第一时间， 以使得所述可信数 据中心根据所述日志信息中的第二时间， 以及从所述电子设备中获取的所 述第一时间确定用于度量所述电子设备的第一验证信息。
7、 如权利要求 1~6任一项所述的方法， 其特征在于， 所述电子设备 存储所述第一验证信息， 具体包括：
所述电子设备将所述第一验证信息存储到所述电子设备的可信平台 模块 TPM芯片中。
8、 如权利要求 1-7任一项所述的方法， 其特征在于， 所述电子设备根 据所述运行代码和所述运行数据， 生成第一验证信息， 具体为：
所述电子设备对所述运行代码和所述运行数据进行哈希计算， 将生成 的哈希值作为所述第一验证信息。
9、 一种电子设备， 其特征在于， 包括：
数据读取单元， 用于从硬件存储设备中读取虚拟机管理器 VMM运行 过程中的运行代码和运行数据，
验证信息生成单元， 用于接收所述数据读取单元发送的所述运行代码 和所述运行数据， 并根据所述运行代码和所述运行数据， 生成第一验证信 息；
存储单元， 用于接收来自所述验证信息生成单元发送的所述第一验证 信息， 存储所述第一验证信息；
发送单元， 用于将所述电子设备读取所述运行代码和所述运行数据至 所述电子设备存储所述第一验证信息过程中生成的日志信息传输给可信 数据中心， 以使所述可信数据中心将根据所述日志信息生成的第二验证信 息， 以及从所述电子设备中获取的所述第一验证信息对所述电子设备进行 度量。
10、如权利要求 9所述的电子设备， 其特征在于， 所述数据读取单元， 具体用于从固件 COMS中读取所述运行代码和所述运行数据的存储地址 信息和存储容量信息， 并根据所述存储地址信息和所述存储容量信息， 从 所述硬件存储设备中读取所述运行代码和所述运行数据。
11、 如权利要求 10所述的电子设备， 其特征在于， 所述电子设备包 括验证单元，用于从固件 COMS中读取所述运行代码和所述运行数据的存 储地址信息和存储容量信息之后， 在根据所述存储地址信息和所述存储容 量信息， 从所述硬件存储设备中读取所述运行代码和所述运行数据之前， 对所述存储地址信息和所述存储容量信息进行验证。
12、 如权利要求 10所述的电子设备， 其特征在于， 所述数据读取单 元， 具体用于在系统管理模式下，从所述 CMOS中读取所述存储地址信息 和所述存储容量信息。
13、 如权利要求 12所述的电子设备， 其特征在于， 所述电子设备包 括签名单元， 所述在系统管理模式下， 所述电子设备从所述 CMOS中读取 所述存储地址信息和所述存储容量信息之前， 用于在所述 VMM的运行过 程中， 将所述运行代码和所述运行数据的存储地址信息和存储容量信息进 行数字签名， 将数字签名后的所述存储地址信息和所述存储容量信息写入 所述 CMOS中。
14、 如权利要求 9-13任一项所述的电子设备， 其特征在于， 所述存储 单元， 具体用于若当前未存储第一验证信息， 则存储新生成的所述第一验 证信息； 若当前已存储第一验证信息， 用新生成的所述第一验证信息替换 已存储的第一验证信息， 或 ， 存储新生成的所述第一验证信息和新生成 所述第一验证信息的第一时间， 以使得所述可信数据中心根据所述日志信 息中的第二时间， 以及从所述电子设备中获取的所述第一时间确定用于度 量所述电子设备的第一验证信息。
15、 如权利要求 9~14任一项所述的电子设备， 其特征在于， 所述存 储单元， 具体用于将所述第一验证信息存储到所述电子设备的可信平台模 块 TPM芯片中。
16、 如权利要求 9~15任一项所述的电子设备， 其特征在于， 所述验 证信息生成单元， 具体用于对所述运行代码和所述运行数据进行哈希计 算， 将生成的哈希值作为所述第一验证信息。
17、 一种电子设备， 其特征在于， 包括：
硬件存储设备， 用于存储虚拟机管理器 VMM运行过程中的运行代码 和运行数据； 据， 根据所述运行代码和所述运行数据， 生成并存储第一验证信息； 发送器， 用于将所述电子设备读取所述运行代码和所述运行数据至所 述电子设备存储所述第一验证信息过程中生成的日志信息传输给可信数 据中心， 以使所述可信数据中心将根据所述日志信息生成的第二验证信 息， 以及从所述电子设备中获取的所述第一验证信息对所述电子设备进行 度量。
18、 如权利要求 17所述的电子设备， 其特征在于， 所述控制器， 具 体用于从固件 COMS中读取所述运行代码和所述运行数据的存储地址信 息和存储容量信息， 并根据所述存储地址信息和所述存储容量信息， 从所 述硬件存储设备中读取所述运行代码和所述运行数据。
19、 如权利要求 18所述的电子设备， 其特征在于， 所述控制器， 具 体用于在从 COMS中读取所述运行代码和所述运行数据的存储地址信息 和存储容量信息之后， 在根据所述存储地址信息和所述存储容量信息， 从 所述硬件存储设备中读取所述运行代码和所述运行数据之前， 对所述存储 地址信息和所述存储容量信息进行验证。
20、 如权利要求 18所述的电子设备， 其特征在于， 所述控制器， 具 体用于在系统管理模式下，从所述 CMOS中读取所述存储地址信息和所述 存储容量信息。
21、 如权利要求 20所述的电子设备， 其特征在于， 所述控制器， 具 体用于在系统管理模式下，从所述 CMOS中读取所述存储地址信息和所述 存储容量信息之前， 在所述 VMM的运行过程中， 将所述运行代码和所述 运行数据的存储地址信息和存储容量信息进行数字签名， 将数字签名后的 所述存储地址信息和所述存储容量信息写入所述 CMOS中。
22、 如权利要求 17~21任一项所述的电子设备， 其特征在于， 所述控 制器， 具体用于在当前未存储第一验证信息时， 则存储新生成的所述第一 验证信息； 在当前已存储第一验证信息时， 则用新生成的所述第一验证信 息替换已存储的第一验证信息， 或 ， 存储新生成的所述第一验证信息和 新生成所述第一验证信息的第一时间， 以使得所述可信数据中心根据所述 日志信息中的第二时间， 以及从所述电子设备中获取的所述第一时间确定 用于度量所述电子设备的第一验证信息。
23、 如权利要求 17~22任一项所述的电子设备， 其特征在于， 所述控 制器， 具体用于将所述第一验证信息存储到所述电子设备的可信平台模块 TPM芯片中。
24、 如权利要求 17~23任一项所述的电子设备， 其特征在于， 所述控 制器， 具体用于对所述运行代码和所述运行数据进行哈希计算， 将生成的 哈希值作为所述第一验证信息。
25、 一种度量系统， 其特征在于， 包括：
电子设备， 用于从硬件存储设备中读取虚拟机管理器 VMM运行过程 中的运行代码和运行数据， 根据所述运行代码和所述运行数据， 生成并存 储第一验证信息， 并将所述电子设备读取所述运行代码和所述运行数据至 所述电子设备存储所述第一验证信息过程中生成的日志信息传输给可信 数据中心； 所述可信数据中心， 用于接收所述电子设备发送的所述日志信 息， 并从所述电子设备中获取所述第一验证信息， 根据所述日志信 息生成的第二验证信息和所述第一验证信息对所述电子设备进行度 量。
PCT/CN2014/084478 2013-09-16 2014-08-15 一种度量方法、电子设备及度量系统 WO2015035843A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP14844140.5A EP3048550B1 (en) 2013-09-16 2014-08-15 Measurement method, electronic device and measurement system
US15/071,430 US10339284B2 (en) 2013-09-16 2016-03-16 Measurement method, electronic device, and measurement system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310422976.3 2013-09-16
CN201310422976.3A CN103488937B (zh) 2013-09-16 2013-09-16 一种度量方法、电子设备及度量系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/071,430 Continuation US10339284B2 (en) 2013-09-16 2016-03-16 Measurement method, electronic device, and measurement system

Publications (1)

Publication Number Publication Date
WO2015035843A1 true WO2015035843A1 (zh) 2015-03-19

Family

ID=49829152

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/084478 WO2015035843A1 (zh) 2013-09-16 2014-08-15 一种度量方法、电子设备及度量系统

Country Status (4)

Country Link
US (1) US10339284B2 (zh)
EP (1) EP3048550B1 (zh)
CN (1) CN103488937B (zh)
WO (1) WO2015035843A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103488937B (zh) * 2013-09-16 2017-02-22 华为技术有限公司 一种度量方法、电子设备及度量系统
US20150324088A1 (en) * 2014-05-09 2015-11-12 Lyve Minds, Inc. Thumbnail image creation
CN104268461B (zh) * 2014-09-16 2018-03-06 华为技术有限公司 一种可信度量方法及装置
US10802983B2 (en) * 2018-05-31 2020-10-13 Vmware, Inc. Programmable block storage addressing using embedded virtual machines
CN109977665B (zh) * 2019-03-22 2021-01-01 北京工业大学 基于tpcm的云服务器启动过程防窃取和防篡改方法
US11409874B2 (en) * 2019-07-03 2022-08-09 International Business Machines Corporation Coprocessor-accelerated verifiable computing
CN111176567B (zh) * 2019-12-25 2023-11-03 上海新沄信息科技有限公司 分布式云存储的存储供应量验证方法及装置

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1987886A (zh) * 2006-12-22 2007-06-27 北京飞天诚信科技有限公司 一种在软件保护装置中实现软件保护的方法与装置
CN101226569A (zh) * 2007-01-19 2008-07-23 国际商业机器公司 在虚拟机中验证代码模块的方法及装置
US20120131662A1 (en) * 2010-11-23 2012-05-24 Cisco Technology, Inc. Virtual local area networks in a virtual machine environment
CN102479304A (zh) * 2010-11-26 2012-05-30 深圳市硅格半导体有限公司 软件权限控制方法、客户端及系统
CN102667803A (zh) * 2009-12-29 2012-09-12 西门子公司 用于根据所分配的权限信息运行虚拟机的方法和设备
WO2013089695A1 (en) * 2011-12-14 2013-06-20 Intel Corporation Method and system for monitoring calls to an application program interface (api) function
US20130227296A1 (en) * 2012-02-23 2013-08-29 Hon Hai Precision Industry Co., Ltd. Virtual machine operation security system and method
CN103488937A (zh) * 2013-09-16 2014-01-01 华为技术有限公司 一种度量方法、电子设备及度量系统

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7707341B1 (en) * 2004-05-11 2010-04-27 Advanced Micro Devices, Inc. Virtualizing an interrupt controller
US8799891B2 (en) * 2005-03-02 2014-08-05 Hewlett-Packard Development Company, L.P. System and method for attributing CPU usage of a virtual machine monitor to a corresponding virtual machine
CN100437502C (zh) 2005-12-30 2008-11-26 联想(北京)有限公司 基于安全芯片的防病毒方法
US20080235754A1 (en) * 2007-03-19 2008-09-25 Wiseman Willard M Methods and apparatus for enforcing launch policies in processing systems
US8464251B2 (en) * 2007-03-31 2013-06-11 Intel Corporation Method and apparatus for managing page tables from a non-privileged software domain
CN100583768C (zh) * 2007-04-27 2010-01-20 中国科学院软件研究所 基于安全需求的远程证明方法及其系统
CN101344904B (zh) * 2008-09-02 2010-09-01 中国科学院软件研究所 一种动态度量方法
US8738932B2 (en) * 2009-01-16 2014-05-27 Teleputers, Llc System and method for processor-based security
CN102136043B (zh) * 2010-01-22 2013-01-23 中国长城计算机深圳股份有限公司 一种计算机系统及其度量方法
US9342696B2 (en) * 2010-09-22 2016-05-17 International Business Machines Corporation Attesting use of an interactive component during a boot process
DE112011103048B4 (de) * 2010-11-18 2021-12-23 International Business Machines Corporation Ein Verfahren zum Beglaubigen einer Vielzahl von Datenverarbeitungssystemen
US9087196B2 (en) * 2010-12-24 2015-07-21 Intel Corporation Secure application attestation using dynamic measurement kernels
CA2876380C (en) * 2011-06-13 2021-03-16 Lynx Software Technologies Inc. Systems and methods of secure domain isolation
KR20160043134A (ko) * 2011-09-30 2016-04-20 인텔 코포레이션 가상 머신 및 네스티드 가상 머신 매니저의 인증 론치
US9223962B1 (en) * 2012-07-03 2015-12-29 Bromium, Inc. Micro-virtual machine forensics and detection
US20150309813A1 (en) * 2012-08-31 2015-10-29 iAppSecure Solutions Pvt. Ltd A System for analyzing applications in order to find security and quality issues
US9720716B2 (en) * 2013-03-12 2017-08-01 Intel Corporation Layered virtual machine integrity monitoring
US9940151B2 (en) * 2013-03-15 2018-04-10 Telefonaktiebolaget Lm Ericsson (Publ) Hypervisor and physical machine and respective methods therein for performance measurement
US9361202B2 (en) * 2013-07-18 2016-06-07 International Business Machines Corporation Filtering system noises in parallel computer systems during thread synchronization

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1987886A (zh) * 2006-12-22 2007-06-27 北京飞天诚信科技有限公司 一种在软件保护装置中实现软件保护的方法与装置
CN101226569A (zh) * 2007-01-19 2008-07-23 国际商业机器公司 在虚拟机中验证代码模块的方法及装置
CN102667803A (zh) * 2009-12-29 2012-09-12 西门子公司 用于根据所分配的权限信息运行虚拟机的方法和设备
US20120131662A1 (en) * 2010-11-23 2012-05-24 Cisco Technology, Inc. Virtual local area networks in a virtual machine environment
CN102479304A (zh) * 2010-11-26 2012-05-30 深圳市硅格半导体有限公司 软件权限控制方法、客户端及系统
WO2013089695A1 (en) * 2011-12-14 2013-06-20 Intel Corporation Method and system for monitoring calls to an application program interface (api) function
US20130227296A1 (en) * 2012-02-23 2013-08-29 Hon Hai Precision Industry Co., Ltd. Virtual machine operation security system and method
CN103488937A (zh) * 2013-09-16 2014-01-01 华为技术有限公司 一种度量方法、电子设备及度量系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3048550A4 *

Also Published As

Publication number Publication date
EP3048550A1 (en) 2016-07-27
CN103488937B (zh) 2017-02-22
CN103488937A (zh) 2014-01-01
US20160196415A1 (en) 2016-07-07
EP3048550B1 (en) 2018-10-10
US10339284B2 (en) 2019-07-02
EP3048550A4 (en) 2016-08-31

Similar Documents

Publication Publication Date Title
WO2015035843A1 (zh) 一种度量方法、电子设备及度量系统
US8151262B2 (en) System and method for reporting the trusted state of a virtual machine
KR101662618B1 (ko) 단일 신뢰 플랫폼 모듈을 가진 플랫폼 컴포넌트의 측정
US10318724B2 (en) User trusted device for detecting a virtualized environment
US20170230179A1 (en) Password triggered trusted encrytpion key deletion
EP3235165B1 (en) Trusted computing base evidence binding for a migratable virtual machine
US9288155B2 (en) Computer system and virtual computer management method
US7962738B2 (en) Hypervisor runtime integrity support
US11379586B2 (en) Measurement methods, devices and systems based on trusted high-speed encryption card
TW201935234A (zh) Ｂｉｏｓ刷寫方法及ｂｉｏｓ鏡像檔案的處理方法
CN104335223B (zh) 用于安全睡眠状态的方法和装置
TW201145069A (en) Providing integrity verification and attestation in a hidden execution environment
TW201530347A (zh) 由至少一處理器所執行的連續服務方法、連續服務設備及非暫態電腦可讀取儲存媒體
KR20090073208A (ko) 영구 보안 시스템 및 영구 보안 방법
US11663017B2 (en) Kernel space measurement
CN103049293B (zh) 一种嵌入式可信系统的启动方法
Mirzamohammadi et al. Ditio: Trustworthy auditing of sensor activities in mobile & IoT devices
US20200326963A1 (en) System and Method of Provisioning Virtualization Instances with One or More Hardware Attributes
US20210397709A1 (en) Data structure measurement comparison
WO2015101148A1 (zh) 一种实现虚拟机自省的方法和装置
US11909882B2 (en) Systems and methods to cryptographically verify an identity of an information handling system
WO2024027472A1 (zh) 一种确定内核状态的方法和相关设备
TW202326483A (zh) 在一開蓋竄改事件中使一安全啟動失敗的電腦系統和方法
CN114756867A (zh) 一种基于uefi的可信日志的实现方法
Li et al. An extensible secure OS architecture for embedded systems

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14844140

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

REEP Request for entry into the european phase

Ref document number: 2014844140

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2014844140

Country of ref document: EP