一種度量方法、電子設(shè)備及度量系統(tǒng)技術(shù)方案

本發(fā)明專利技術(shù)公開了一種度量方法、電子設(shè)備及度量系統(tǒng)，電子設(shè)備從硬件存儲設(shè)備中讀取虛擬機(jī)管理器VMM運(yùn)行過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，根據(jù)所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，生成第一驗(yàn)證信息；所述電子設(shè)備存儲所述第一驗(yàn)證信息，并將所述電子設(shè)備讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)至所述電子設(shè)備存儲所述第一驗(yàn)證信息過程中生成的日志信息傳輸給可信數(shù)據(jù)中心，以使所述可信數(shù)據(jù)中心將根據(jù)所述日志信息生成的第二驗(yàn)證信息，以及從所述電子設(shè)備中獲取的所述第一驗(yàn)證信息對所述電子設(shè)備進(jìn)行度量。

【技術(shù)實(shí)現(xiàn)步驟摘要】
一種度量方法、電子設(shè)備及度量系統(tǒng)
本專利技術(shù)涉及計(jì)算機(jī)
，具體涉及一種度量方法、電子設(shè)備及度量系統(tǒng)。
技術(shù)介紹
現(xiàn)有的計(jì)算機(jī)工業(yè)已經(jīng)進(jìn)入云計(jì)算時(shí)代，云計(jì)算是將大量計(jì)算資源、存儲資源和軟件資源鏈接在一起，形成規(guī)模巨大的共享虛擬軟件資源池，為遠(yuǎn)程計(jì)算機(jī)提供高速計(jì)算和查找的軟件服務(wù)。隨著云計(jì)算的不斷普及，訪問的安全性越來越重要，如此，則需要對訪問的電子設(shè)備中的虛擬機(jī)監(jiān)控器VMM進(jìn)行度量，在VMM的安全性越高，訪問的安全性也越高。現(xiàn)有技術(shù)中在對VMM進(jìn)行度量時(shí)，是利用CPU的系統(tǒng)管理(SystemManagementMode，簡稱SMM)模式實(shí)現(xiàn)對VMM中度量代理的度量和驗(yàn)證，并隱蔽觸發(fā)度量代理(MeasurementAgent)執(zhí)行，透明的傳輸度量值，其具體實(shí)現(xiàn)方式如下：首先觸發(fā)一個(gè)系統(tǒng)管理中斷(SystemManagementInterrupts，簡稱SMI)進(jìn)入系統(tǒng)管理模式，強(qiáng)行插入一條虛擬機(jī)退出(VMExit)指令并將計(jì)數(shù)器的值設(shè)定為1，然后退出系統(tǒng)管理模式；此時(shí)根據(jù)VMExit指令，CPU會進(jìn)入虛擬機(jī)“根”模式，執(zhí)行所述VMExit指令，會導(dǎo)致計(jì)算器的值從1變成0，然后再通過觸發(fā)SMI進(jìn)入系統(tǒng)管理模式，為度量代理(MeasurementAgent)設(shè)置執(zhí)行環(huán)境，屏蔽各種中斷，以及修改跳轉(zhuǎn)表等，以確定MeasurementAgent的執(zhí)行不受中斷和異常的干擾，在執(zhí)行環(huán)境設(shè)置完成之后，退出SMMS模式，并調(diào)用MeasurementAgent對對CPU上下文和VMM的運(yùn)行數(shù)據(jù)和代碼進(jìn)行度量，在度量完成之后，第三次觸發(fā)SMI，在系統(tǒng)管理模式下保持度量結(jié)果，并將所述度量結(jié)果向外設(shè)傳輸，再恢復(fù)為執(zhí)行度量所做的修改并返回VMM繼續(xù)執(zhí)行。在上述執(zhí)行度量的過程中，由于需要強(qiáng)行插入一條VMExit指令，改變當(dāng)前CPU的執(zhí)行路徑，破壞了系統(tǒng)的運(yùn)行過程，降低了系統(tǒng)的穩(wěn)定性和可靠性，而且MeasurementAgent處于VMM中，需要VMM的支持才能完成度量工作，在VMM處于不安全的情況下時(shí)，執(zhí)行MeasurementAgent獲得的度量結(jié)果可能都不準(zhǔn)確，導(dǎo)致度量的準(zhǔn)確性也較低。綜上所述，現(xiàn)有的電子設(shè)備在進(jìn)行度量時(shí)，會破壞所述電子設(shè)備的操作系統(tǒng)的運(yùn)行過程，導(dǎo)致安全性低，度量的準(zhǔn)確性低的問題。
技術(shù)實(shí)現(xiàn)思路
本申請實(shí)施例通過提供一種度量方法、電子設(shè)備及度量系統(tǒng)，用于解決現(xiàn)有的電子設(shè)備在進(jìn)行度量時(shí)，會破壞所述電子設(shè)備的操作系統(tǒng)的運(yùn)行過程，導(dǎo)致安全性低，度量的準(zhǔn)確性低的問題。根據(jù)本專利技術(shù)的第一方面，提供了一種度量方法，所述方法包括：電子設(shè)備從硬件存儲設(shè)備中讀取虛擬機(jī)管理器VMM運(yùn)行過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，根據(jù)所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，生成第一驗(yàn)證信息；所述電子設(shè)備存儲所述第一驗(yàn)證信息，并將所述電子設(shè)備讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)至所述電子設(shè)備存儲所述第一驗(yàn)證信息過程中生成的日志信息傳輸給可信數(shù)據(jù)中心，以使所述可信數(shù)據(jù)中心將根據(jù)所述日志信息生成的第二驗(yàn)證信息，以及從所述電子設(shè)備中獲取的所述第一驗(yàn)證信息對所述電子設(shè)備進(jìn)行度量。結(jié)合第一方面，在第一種可能的實(shí)現(xiàn)方式中，所述電子設(shè)備從硬件存儲設(shè)備中讀取虛擬機(jī)管理器VMM運(yùn)行過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，具體包括：所述電子設(shè)備從固件CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息；所述電子設(shè)備根據(jù)所述存儲地址信息和所述存儲容量信息，從所述硬件存儲設(shè)備中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)。結(jié)合第一方面的第一種可能的實(shí)現(xiàn)方式，在第二種可能的實(shí)現(xiàn)方式中，所述電子設(shè)備從固件CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息之后，根據(jù)所述存儲地址信息和所述存儲容量信息，從所述硬件存儲設(shè)備中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)之前，還包括：所述電子設(shè)備對所述存儲地址信息和所述存儲容量信息進(jìn)行驗(yàn)證。結(jié)合第一方面的第一種可能的實(shí)現(xiàn)方式，在第三種可能的實(shí)現(xiàn)方式中，所述電子設(shè)備從CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息，具體包括：在系統(tǒng)管理模式下，所述電子設(shè)備從所述CMOS中讀取所述存儲地址信息和所述存儲容量信息。結(jié)合第一方面的第三種可能的實(shí)現(xiàn)方式，在第四種可能的實(shí)現(xiàn)方式中，所述在系統(tǒng)管理模式下，所述電子設(shè)備從所述CMOS中讀取所述存儲地址信息和所述存儲容量信息之前，所述方法還包括：所述電子設(shè)備在所述VMM的運(yùn)行過程中，將所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息進(jìn)行數(shù)字簽名，將數(shù)字簽名后的所述存儲地址信息和所述存儲容量信息寫入所述CMOS中。結(jié)合第一方面或第一種至第四種可能的實(shí)現(xiàn)方式中的任一種，在第五種可能的實(shí)現(xiàn)方式中，所述電子設(shè)備存儲所述第一驗(yàn)證信息，具體包括：若當(dāng)前未存儲第一驗(yàn)證信息，所述電子設(shè)備存儲新生成的所述第一驗(yàn)證信息；若當(dāng)前已存儲第一驗(yàn)證信息，所述電子設(shè)備用新生成的所述第一驗(yàn)證信息替換已存儲的第一驗(yàn)證信息，或，所述電子設(shè)備存儲新生成的所述第一驗(yàn)證信息和新生成所述第一驗(yàn)證信息的第一時(shí)間，以使得所述可信數(shù)據(jù)中心根據(jù)所述日志信息中的第二時(shí)間，以及從所述電子設(shè)備中獲取的所述第一時(shí)間確定用于度量所述電子設(shè)備的第一驗(yàn)證信息。結(jié)合第一方面或第一種至第五種可能的實(shí)現(xiàn)方式中的任一種，在第六種可能的實(shí)現(xiàn)方式中，所述電子設(shè)備存儲所述第一驗(yàn)證信息，具體包括：所述電子設(shè)備將所述第一驗(yàn)證信息存儲到所述電子設(shè)備的可信平臺模塊TPM芯片中。結(jié)合第一方面或第一種至第六種可能的實(shí)現(xiàn)方式中的任一種，在第七種可能的實(shí)現(xiàn)方式中，所述電子設(shè)備根據(jù)所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，生成第一驗(yàn)證信息，具體為：所述電子設(shè)備對所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)進(jìn)行哈希計(jì)算，將生成的哈希值作為所述第一驗(yàn)證信息。根據(jù)本專利技術(shù)的第二方面，提供了一種電子設(shè)備，包括：數(shù)據(jù)讀取單元，用于從硬件存儲設(shè)備中讀取虛擬機(jī)管理器VMM運(yùn)行過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，驗(yàn)證信息生成單元，用于接收所述數(shù)據(jù)讀取單元發(fā)送的所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，并根據(jù)所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，生成第一驗(yàn)證信息；存儲單元，用于接收來自所述驗(yàn)證信息生成單元發(fā)送的所述第一驗(yàn)證信息，存儲所述第一驗(yàn)證信息；發(fā)送單元，用于將所述電子設(shè)備讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)至所述電子設(shè)備存儲所述第一驗(yàn)證信息過程中生成的日志信息傳輸給可信數(shù)據(jù)中心，以使所述可信數(shù)據(jù)中心將根據(jù)所述日志信息生成的第二驗(yàn)證信息，以及從所述電子設(shè)備中獲取的所述第一驗(yàn)證信息對所述電子設(shè)備進(jìn)行度量。結(jié)合第二方面，在第一種可能的實(shí)現(xiàn)方式中，所述數(shù)據(jù)讀取單元，具體用于從固件CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息，并根據(jù)所述存儲地址信息和所述存儲容量信息，從所述硬件存儲設(shè)備中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)。結(jié)合第二方面的第一種可能的實(shí)現(xiàn)方式，在第二種可能的實(shí)現(xiàn)方式中，所述電子設(shè)備包括驗(yàn)證單元，用于從固件CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息之后，在根據(jù)所述存儲地址信息和所述存儲容量信息，從所述硬件存儲設(shè)備中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)之前，對所述存儲地址信息和所述存儲容量信息進(jìn)行驗(yàn)證。結(jié)合第二方面的第一種可能的實(shí)現(xiàn)方式，在第三種可能的實(shí)現(xiàn)方式中，所述數(shù)據(jù)讀取單元，具體用于在系統(tǒng)管理模式下，從所述CMOS中讀取所述存儲本文檔來自技高網(wǎng)...

【技術(shù)保護(hù)點(diǎn)】
一種度量方法，其特征在于，所述方法包括：電子設(shè)備從硬件存儲設(shè)備中讀取虛擬機(jī)管理器VMM運(yùn)行過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，根據(jù)所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，生成第一驗(yàn)證信息；所述電子設(shè)備存儲所述第一驗(yàn)證信息，并將所述電子設(shè)備讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)至所述電子設(shè)備存儲所述第一驗(yàn)證信息過程中生成的日志信息傳輸給可信數(shù)據(jù)中心，以使所述可信數(shù)據(jù)中心將根據(jù)所述日志信息生成的第二驗(yàn)證信息，以及從所述電子設(shè)備中獲取的所述第一驗(yàn)證信息對所述電子設(shè)備進(jìn)行度量。

【技術(shù)特征摘要】
1.一種度量方法，其特征在于，所述方法包括：電子設(shè)備從硬件存儲設(shè)備中讀取虛擬機(jī)管理器VMM運(yùn)行過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，根據(jù)所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，生成第一驗(yàn)證信息；所述電子設(shè)備存儲所述第一驗(yàn)證信息，并將所述電子設(shè)備讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)至所述電子設(shè)備存儲所述第一驗(yàn)證信息過程中生成的日志信息傳輸給可信數(shù)據(jù)中心，以使所述可信數(shù)據(jù)中心獲取所述日志信息對應(yīng)的所述電子設(shè)備在運(yùn)行所述VMM過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，并根據(jù)所述日志信息對應(yīng)的所述電子設(shè)備在運(yùn)行所述VMM過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)生成第二驗(yàn)證信息，以及所述可信數(shù)據(jù)中心根據(jù)所述第二驗(yàn)證信息和從所述電子設(shè)備中獲取的所述第一驗(yàn)證信息對所述電子設(shè)備進(jìn)行度量。2.如權(quán)利要求1所述的方法，其特征在于，所述電子設(shè)備從硬件存儲設(shè)備中讀取虛擬機(jī)管理器VMM運(yùn)行過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，具體包括：所述電子設(shè)備從固件CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息；所述電子設(shè)備根據(jù)所述存儲地址信息和所述存儲容量信息，從所述硬件存儲設(shè)備中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)。3.如權(quán)利要求2所述的方法，其特征在于，所述電子設(shè)備從固件CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息之后，根據(jù)所述存儲地址信息和所述存儲容量信息，從所述硬件存儲設(shè)備中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)之前，還包括：所述電子設(shè)備對所述存儲地址信息和所述存儲容量信息進(jìn)行驗(yàn)證。4.如權(quán)利要求2所述的方法，其特征在于，所述電子設(shè)備從CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息，具體包括：在系統(tǒng)管理模式下，所述電子設(shè)備從所述CMOS中讀取所述存儲地址信息和所述存儲容量信息。5.如權(quán)利要求4所述的方法，其特征在于，所述在系統(tǒng)管理模式下，所述電子設(shè)備從所述CMOS中讀取所述存儲地址信息和所述存儲容量信息之前，所述方法還包括：所述電子設(shè)備在所述VMM的運(yùn)行過程中，將所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息進(jìn)行數(shù)字簽名，將數(shù)字簽名后的所述存儲地址信息和所述存儲容量信息寫入所述CMOS中。6.如權(quán)利要求1～5任一項(xiàng)所述的方法，其特征在于，所述電子設(shè)備存儲所述第一驗(yàn)證信息，具體包括：若當(dāng)前未存儲第一驗(yàn)證信息，所述電子設(shè)備存儲新生成的所述第一驗(yàn)證信息；若當(dāng)前已存儲第一驗(yàn)證信息，所述電子設(shè)備用新生成的所述第一驗(yàn)證信息替換已存儲的第一驗(yàn)證信息，或，所述電子設(shè)備存儲新生成的所述第一驗(yàn)證信息和新生成所述第一驗(yàn)證信息的第一時(shí)間，以使得所述可信數(shù)據(jù)中心根據(jù)所述日志信息中的第二時(shí)間，以及從所述電子設(shè)備中獲取的所述第一時(shí)間確定用于度量所述電子設(shè)備的第一驗(yàn)證信息。7.如權(quán)利要求1～5任一項(xiàng)所述的方法，其特征在于，所述電子設(shè)備存儲所述第一驗(yàn)證信息，具體包括：所述電子設(shè)備將所述第一驗(yàn)證信息存儲到所述電子設(shè)備的可信平臺模塊TPM芯片中。8.如權(quán)利要求1-5任一項(xiàng)所述的方法，其特征在于，所述電子設(shè)備根據(jù)所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，生成第一驗(yàn)證信息，具體為：所述電子設(shè)備對所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)進(jìn)行哈希計(jì)算，將生成的哈希值作為所述第一驗(yàn)證信息。9.一種電子設(shè)備，其特征在于，包括：數(shù)據(jù)讀取單元，用于從硬件存儲設(shè)備中讀取虛擬機(jī)管理器VMM運(yùn)行過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，驗(yàn)證信息生成單元，用于接收所述數(shù)據(jù)讀取單元發(fā)送的所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，并根據(jù)所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)，生成第一驗(yàn)證信息；存儲單元，用于接收來自所述驗(yàn)證信息生成單元發(fā)送的所述第一驗(yàn)證信息，存儲所述第一驗(yàn)證信息；發(fā)送單元，用于將所述電子設(shè)備讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)至所述電子設(shè)備存儲所述第一驗(yàn)證信息過程中生成的日志信息傳輸給可信數(shù)據(jù)中心，以使所述可信數(shù)據(jù)中心獲取所述日志信息對應(yīng)的所述電子設(shè)備在運(yùn)行所述VMM過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)，并根據(jù)所述日志信息對應(yīng)的所述電子設(shè)備在運(yùn)行所述VMM過程中的運(yùn)行代碼和運(yùn)行數(shù)據(jù)生成第二驗(yàn)證信息，以及所述可信數(shù)據(jù)中心根據(jù)所述第二驗(yàn)證信息和從所述電子設(shè)備中獲取的所述第一驗(yàn)證信息對所述電子設(shè)備進(jìn)行度量。10.如權(quán)利要求9所述的電子設(shè)備，其特征在于，所述數(shù)據(jù)讀取單元，具體用于從固件CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息，并根據(jù)所述存儲地址信息和所述存儲容量信息，從所述硬件存儲設(shè)備中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)。11.如權(quán)利要求10所述的電子設(shè)備，其特征在于，所述電子設(shè)備包括驗(yàn)證單元，用于從固件CMOS中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)的存儲地址信息和存儲容量信息之后，在根據(jù)所述存儲地址信息和所述存儲容量信息，從所述硬件存儲設(shè)備中讀取所述運(yùn)行代碼和所述運(yùn)行數(shù)據(jù)之前，對所述存儲地址信息和所述存儲容量信息進(jìn)行驗(yàn)證。12.如權(quán)利要求10所述的電子設(shè)備，其特征在于，所述數(shù)據(jù)讀取單元，具體用于在系統(tǒng)管理模式下，從所述CMOS中讀取所述存儲地址信息...

【專利技術(shù)屬性】
技術(shù)研發(fā)人員：劉建鋒，施迅，張煥國，嚴(yán)飛，
申請(專利權(quán))人：華為技術(shù)有限公司，
類型：發(fā)明
國別省市：