(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210576004.9 (22)申请日 2022.07.22 (71)申请人 北京工业大 学 地址 100124 北京市朝阳区平乐园10 0号 (72)发明人 洪宇　 (74)专利代理 机构 北京思海天达知识产权代理 有限公司 1 1203 专利代理师 王兆波 (51)Int.Cl. H04L 67/141(2022.01) H04L 9/40(2022.01) H04L 9/32(2006.01) G06F 21/57(2013.01) G06F 9/455(2006.01) (54)发明名称 一种虚拟可信根及其虚拟信任链方法 (57)摘要 本发明公开了一种虚拟可信根及其虚拟信 任链方法， 虚拟可信根(VTPCM)通过QEMU在虚拟 机中模拟PCI设备进行实现， 在虚拟机中看到 VTPCM就是一个PCI 设备。 虚拟信任链是在宿主操 作系统启动后开始建立的是随着虚拟机的启动 而同步建立， 通过TPCM对宿主操作系统总KVM内 核模块和QEMU 程序的度量， 将宿主信任链和虚拟 信任链进行衔接。 在每条信任链中TPCM和VTPCM 各自完成所需验证和记录验证结果。 权利要求书1页 说明书2页 附图1页 CN 115002181 A 2022.09.02 CN 115002181 A 1.一种虚拟可信根， 其特征在于， 包括： VTPCM持久存储， 虚拟机中VTPCM设备和宿主操 作系统中可信虚拟化支撑平台里保存的VTP CM与物理TP CM交互的上下文信息； 其中， 在物理 TPCM中储存的对应虚拟机VTPC M的密钥信息和配置信息 。 2.根据权利要求1所述虚拟可信根进行的虚拟信任链方法， 其特征在于， 所述虚拟信任 链建立是在物理机 建立虚拟信任链之后， 在虚拟机中建立信任链并与物理信任链衔接的过 程， 具体包括信任链建立过程中的数据获取和度量三个过程； 在虚拟信任链建立过程中， 利 用可信密码模块对数据进行完整性和签名验证。 3.根据权利要求2所述的虚拟信任链方法， 其特征在于， 所述的虚拟信任链建立流程包 括物理机信任链衔接和虚拟信任链建立。 4.根据权利要求3所述的虚拟信任链方法， 其特征在于， 物理机信任链衔接流程如下， 在一个具体的虚拟机启动前， 物理机上的可信 软件基对宿主操作系统、 KVM内核模块、 qemu 程序进行可信验证； 并在截获的虚拟机加载的命令中对虚拟机镜像和SeaBIOS文件进行验 证。 5.根据权利要求3所述的的虚拟信任链方法， 其特征在于， 虚拟信任链建立流程中， 在 加载SeaBIOS初始化后， 在SeaBIOS对虚拟机 grub使用VTPCM进行主动验证； VTPCM验证grub 通过后， SeaBIOS加载并执行； 虚拟机grub对虚拟机OSkernel使用VTPCM进行主动验证， VTPCM验证通过后， grub加载并执行； OSkernel对虚拟机APP 使用VTPCM进行主动验证， VTPCM 验证通过后， OSkernel加载并执 行。权　利　要　求　书 1/1 页 2 CN 115002181 A 2一种虚拟可信根及其虚拟信任链方 法 技术领域 [0001]本发明涉及信息安全技 术领域， 具体涉及一种虚拟信任链建立 流程。 背景技术 [0002]随着云计算技术发展的日益成熟， 云计算以其虚拟化、 高可靠性、 按需服务等优秀 特点赢得了越来越多用户的青睐。 而虚拟化技术作为云计算环境中的核心技术， 给用户带 来便利的同时也隐藏着巨大的安全问题， 即一旦虚拟机甚至虚拟机管理器被恶意侵入或者 控制， 就有可能使得大量使用虚拟机服务的云租户的数据被泄露或者遭到破坏。 而可信计 算作为一种重要的安全技术为云环境下的虚拟化安全提供了一些新的解决方法。 在底层物 理机上利用我国自主可控主动免疫的可信计算机制， 通过信任链的扩展， 利用虚拟化技术 为云平台上的每个虚拟机实例提供一个唯一对应的虚拟可信根vtpcm， 建立起从底层硬件 到云平台虚拟机的完整的可信链， 从而为云平台的虚拟机安全提供 可信保障。 发明内容 [0003]针对现有技术中存在的缺陷， 本发明的目的在于提供一种虚拟信任链流程。 虚拟 可信根的迁移主要迁移内容包括物理TPCM内部VTPCM对应的上下文信息(包括已加载的秘 钥信息)、 VTPCM持久数据、 密钥树等。 其中VTPCM持久数据包括配置信息、 密钥(通过物理 TPCM保护存储)、 基准、 策略。 虚拟信任链建立主要是在物理机建立信任链之后， 在虚拟 机中 建立信任链并与 物理信任链衔接的过程， 具体包括信任链建立过程中的数据获取和度量三 个过程。 在信任链建立过程中， 利用可信密码模块对数据进行完整性和签名验证。 [0004]为实现上述目的， 本发明采用的技 术方案如下： [0005]一种虚拟信任链建立方法， 其特征在于， 虚拟信任链建立主要是在物理机建立信 任链之后， 在虚拟机中建立信任链并与物理信任链衔接的过程， 具体包括信任链建立过程 中的数据获取和度量三个过程。 在信任链建立过程中， 利用可信密码模块对数据进行完整 性和签名验证。 [0006]进一步， 如上所述的虚拟信任链建立流程主要由物理机信任链衔接和虚拟信任链 建立两个过程。 [0007]所述物理机信任链衔接用于虚拟机启动前的可信验证 [0008]所述虚拟信任链建立用于虚拟机启动过程中的可信验证 [0009]进一步， 所述物理机信任链衔接流程， 是在一个具体的虚拟机启动前， 物理机上的 可信软件基对宿主操作系统、 KVM内核模块、 qemu程序进行可信验证。 并在截获的虚拟机加 载的命令中对虚拟机 镜像和SeaBIOS文件进行验证。 [0010]进一步， 如上所述虚拟机启动过程中， 在加载SeaBIOS初始化后， 在SeaBIOS对虚拟 机grub使用VTPCM进行主动验证。 VTPCM验证grub通过后， SeaBIOS加载并执行。 grub对虚拟 机OSkernel使用VTPCM进行主动验证， VTPCM验证通过后， grub加载并执行。 OSkernel对虚拟 机APP使用VTPC M进行主动验证， VTPC M验证通过后， OSkernel加载并执 行。说　明　书 1/2 页 3 CN 115002181 A 3