[发明专利]一种虚拟机安全认证方法及系统

权利要求书

1.一种虚拟机安全认证方法，其特征在于，所述方法包括以下步骤：

基于virtio通用框架，分别建立宿主机与各虚拟机之间的安全认证通道，且各安全认证通道相互独立；

各所述虚拟机进行TPM安全策略配置初始化；

对各所述虚拟机进行可信安全认证；

基于virtio框架，分别建立宿主机与各虚拟机之间的安全认证通道，包括宿主机端建立流程以及虚拟机端建立流程，所述宿主机端建立流程包括以下步骤：

所述宿主机加载物理TPM驱动，增加virtio初始化接口，注册virtio服务端socket初始化接口；

所述宿主机监听所述虚拟机的VTPM socket连接请求以及TPM的配置下发socket连接请求；

所述虚拟机端建立流程包括以下步骤：

所述虚拟机加载VTPM驱动，进行VTPM设备初始化；

注册virtio客户端socket初始化接口；

向所述宿主机发送所述VTPM socket连接请求。

2.如权利要求1所述的方法，其特征在于，基于virtio框架，分别建立宿主机与各虚拟机之间的安全认证通道，还包括以下步骤：

响应于所述VTPM socket连接请求，所述宿主机与所述虚拟机连接成功，完成安全认证通道的建立；

响应于所述VTPM socket连接请求，所述宿主机与所述虚拟机连接超时，记录连接超时事件。

3.如权利要求1所述的方法，其特征在于，所述方法还包括以下步骤：

响应于所述TPM的配置下发socket连接请求，所述宿主机向所述虚拟机下发TPM安全策略配置，所述虚拟机根据所述TPM安全策略配置进行TPM安全策略初始化；

响应于所述TPM的配置下发socket连接请求，所述宿主机向所述虚拟机下发TPM安全策略配置，所述虚拟机接收所述TPM安全策略配置失败，记录配置接收失败事件。

4.如权利要求1所述的方法，其特征在于，所述对各所述虚拟机进行可信安全认证具体包括以下步骤：

将第一PCR寄存器数值与各第二PCR寄存器数值进行对比，并结合预设的安全认证策略对各所述虚拟机进行可信安全认证；

其中，所述第一PCR寄存器数值为所述宿主机的TPM的PCR寄存器的值，所述第二PCR寄存器数值为所述虚拟机的VTPM的PCR寄存器的值。

5.如权利要求4所述的方法，其特征在于：若所述第一PCR寄存器数值不小于第二PCR寄存器数值，结合预设的安全认证策略，判定所述第二PCR寄存器数值对应的虚拟机通过可信安全认证。

6.如权利要求1所述的方法，其特征在于，所述方法还包括安全认证预备流程，所述安全认证预备流程包括以下步骤：

启动安全认证数据库，其用于查询以及记录安全认证事件；

启动日志数据库，其用于记录以及查询文件下发事件；

向所述虚拟机下发所述安全认证策略。

7.如权利要求6所述的方法，其特征在于，所述方法还包括以下步骤：

响应于所述安全认证策略的下发失败，在所述日志数据库中记录安全认证策略下发失败事件。

8.一种虚拟机安全认证系统，其特征在于，所述系统包括：

安全认证通道建立单元，其用于基于virtio通用框架，分别建立宿主机与各虚拟机之间的安全认证通道，且各安全认证通道相互独立；

TPM安全策略配置单元，其用于根据所述宿主机下发的TPM安全策略配置，对各所述虚拟机对进行TPM安全策略配置初始化；

可信安全认证单元，其用于将第一PCR寄存器数值与各所述虚拟机的第二PCR寄存器数值进行对比，并结合预设的安全认证策略对各所述虚拟机进行可信安全认证；

所述安全认证通道建立单元包括：

宿主机端通道建立单元，其用于在所述宿主机内加载物理TPM驱动，增加virtio初始化接口，注册virtio服务端socket初始化接口，并监听所述虚拟机的VTPM socket连接请求以及TPM的配置下发socket连接请求；

虚拟机端通道建立单元，其用于在所述虚拟机加载VTPM驱动，进行VTPM设备初始化，并注册virtio客户端socket初始化接口，向所述宿主机发送所述VTPM socket连接请求；

其中，各所述安全认证通道相互独立，所述第一PCR寄存器数值为所述宿主机的TPM的PCR寄存器的值，所述第二PCR寄存器数值为所述虚拟机的VTPM的PCR寄存器的值。