[发明专利]实施虚拟化环境中的特权加密服务的计算装置及方法

摘要

本发明描述一种特权加密服务，诸如以系统管理模式(SMM)运行的服务。所述特权服务可被操作来在多租户远程程序执行环境中存储和管理加密密钥和/或其它安全资源。所述特权服务可以接收使用所述加密密钥的请求且发出对这些请求的响应。此外，所述特权服务可以在运行时间(例如，周期性或响应于所述请求)测量管理程序以尝试检测篡改所述管理程序的证据。因为所述特权服务正以比所述管理程序更具特权的系统管理模式操作，所以所述特权服务可以对虚拟机逃逸和其它管理程序攻击具鲁棒性。

主权项

1.一种实施虚拟化环境中的特权加密服务的计算装置，其包括：至少一个处理器；和存储器，其包括指令，所述指令在由所述至少一个处理器执行时使得所述计算装置实施：管理程序，其管理一个或多个虚拟机且访问存储器的第一部分；和特权服务，其访问不能由所述管理程序访问的存储器的至少第二部分，所述特权服务能够被操作来：将密钥存储于所述计算装置上；从以下至少一个接收使用所述密钥的请求：所述管理程序或所述一个或多个虚拟机；和产生对所述请求的响应，所述响应至少部分基于存储于所述计算装置上的所述密钥；其中所述特权服务进一步能够被操作来：在启动时间测量与所述管理程序关联的第一组值以验证所述管理程序；从所述计算装置上的虚拟机接收第一系统管理中断以验证所述管理程序；由系统管理中断处理程序测量与所述管理程序关联的第二组值；由所述系统管理中断处理程序将所述第二组值与所述第一组值相比较；如果所述第二组值匹配启动时间测量的所述第一组值，那么由所述系统管理中断处理程序验证所述管理程序；和从所述虚拟机接收第二系统管理中断以检索所述密钥或存储新密钥。