一种云计算适用的虚拟可信报告根构建机制

可信计算技术能够为云计算基础设施提供可信赖的状态及其验证手段,而可信报告这一可信平台基础功能在云环境的实现与普通主机有较大差异,如何构建虚拟可信报告根还没有通用和成熟的方案,将影响远程证明等可信技术在云环境的应用。为构建云计算适用的可信计算体系结构,解决为虚拟机提供唯一性身份标志和反映虚拟机与物理宿主机统一的完整性状态问题,明确了虚拟机应拥有各自独立的基于秘钥的身份标志以及虚拟机所属平台配置寄存器（PCR）类敏感信息必须是受保护的、可迁移的以适应虚拟机迁移需求。由进一步分析可知虚拟机完整性状态应包含以PCR值表示的虚拟机完整性状态和物理平台完整性状态。由此,在集中管理虚拟化/非虚拟化可信计算平台的模型预设条件下,基于国际可信计算组织（TCG）规范提出的身份证明秘钥（AIK）概念进行扩展,提出一种使用虚拟AIK作为虚拟机身份标志,并为每个虚拟机生成由其实际物理平台启动PCR值和虚拟机启动虚拟PCR值连接而成的PCR值的可信报告模型。设计了对应的虚拟PCR值复制机制、完整性报告机制、虚拟机敏感数据管理机制,并与TCG规范中方法进行了对比。该机制在兼容传统AIK验证机制的基础上,能够为每个虚拟机产生独立身份标识,向验证者证明自身完整性状态的同时简化了对虚拟机的验证流程。     

基于硬件架构和虚拟化扩展机制的虚拟机自省机制研究

针对现有虚拟机自省技术利用不可信被监控操作系统的内核数据结构在内存中的期望布局及内核函数构建被监控系统语义、无法抵抗直接内核数据结构操纵攻击的问题,对虚拟机自省机制的能力进行全面分析,并对利用虚拟机自省机制可应对的恶意攻击进行分类,提出更具健壮性的基于硬件体系架构和虚拟化扩展机制的虚拟机自省技术,通过硬件体系结构提供的虚拟机自省特性被动地观察与收集被监控系统信息,并利用虚拟硬件扩展机制主动地截获客户虚拟机内部的事件和指令,达到主动监控的目的.描述了基于硬件的虚拟机自省机制在系统调用序列收集与监控上的应用,并进行了效率测试分析.     

一种基于虚拟化的文件杀毒实现方法

针对云计算环境下因虚拟机杀毒和病毒库更新等引发的性能开销及资源占用问题,提出了一种基于虚拟化的云杀毒实现框架--HyperAV,HyperAV能够在较低性能开销的情况下对虚拟机文件进行杀毒,并提供扇区级别的访问控制和隔离机制.通过获取虚拟机运行过程中的扇区更改信息,HyperAV优化了文件病毒的扫描方式,对虚拟机杀毒过程起到了显著加速效果.HyperAV实现了控制-杀毒相互分离的前后端框架,杀毒所需数据可以导入专用杀毒服务集群,从而避免了病毒库的重复更新,解决了因杀毒而使虚拟机运行缓慢的问题.在基于内核的虚拟机虚拟化平台下实现了原型系统.实验结果表明,HyperAV能够在虚拟机较低负载开销的情况下为虚拟机文件提供病毒扫描防护能力.     

基于Xen的自下而上调用的设计与实现

针对虚拟机监视器(virtual machine monitor,VMM)与上层客户虚拟机(Guest-VM)之间的语义鸿沟(semantic gap)问题,该文提出了一种自下而上的调用方式,该方法使得VMM能够同步调用客户机的已有功能来获取客户机语义信息,为在客户虚拟机地址空间之外的监控机制带来便利。在Xen半虚拟化环境下,实现了自下而上的同步调用方式,有效地解决了语义重构所需的重复定义和实现问题。实验表明,该方法能使VMM有效地调用客户机的已有功能为自己服务,使VMM能准确地获取上层虚拟机操作系统的信息。     

基于KVM的Windows虚拟机用户进程防护

为保护Windows虚拟机中进程的内存和系统调用执行路径免受恶意代码的威胁,提出了一种基于KVM的虚拟机用户进程防护方案。结合硬件虚拟化技术,为Windows虚拟机构造一份影子内核以绕过恶意代码对原内核系统调用路径的挂钩,保护进程系统调用路径的安全。同时,在监控代理中过滤跨进程系统调用,在KVM中拦截虚拟机页表切换行为并监控虚拟机断点异常与调试异常,保护进程内存的安全。另外,构造影子监控代理,实现对虚拟机监控代理内存的安全防护。最后,实现了基于KVM的虚拟机用户进程防护系统VMPPS,并对其有效性进行了系统测试与分析。实验结果表明,在性能损失可接受范围内,进程内存与进程系统调用执行路径能够得到有效防护。     

可信软件基与操作系统的隔离/交互机制

在应对可信软件基(TSB)与操作系统(OS)隔离的同时进行交互方面,如何有效保障TSB可信执行和监控敏感操作的可信性方面还存在一定的不足。针对这种状况,本文提出一种TSB与OS之间的隔离/交互机制(IIM),该机制结合可信执行技术保证TSB的可信引导,借助内存虚拟化技术实现TSB的内存空间对于OS完全透明。此外,在可信芯片与可信策略的支持下,该机制能够实时监控TSB运行空间,动态触发针对TSB敏感操作的可信检查,通过一些敏感操作等动态触发,可以实现TSB对OS系统的保护和验证功能,从而实现两者之间的交互作用。本文实现了IIM的原型系统并对其进行了实验测试,实验结果表明,IIM能有效实现TSB与OS的隔离与交互,给OS带来的性能开销低于3%。     

VirtinSpector：一种基于UEFI的虚拟机动态安全度量框架设计与实现

通过可信硬件能够弥补单纯软件安全的不足,从整体上提高云系统的安全性。但是,面对云环境运行时的安全,传统可信硬件技术无法提供足够的保障。为此,本文提出了一种基于UEFI的虚拟机动态安全框架——VirtinSpector。该框架能够将UEFI固件作为可信基础,对云系统的基础设施层进行实时、动态的安全度量,提供传统可信技术无法达到的动态保护。在此框架基础上,本文以某国产服务器为实验平台,构建云环境,实现了一个面向Xen环境的UEFI虚拟机动态安全度量原型系统。实验与分析表明,该框架能够有效检测针对虚拟域、管理域和虚拟化软件的攻击,为云系统提供来自基础设施层的安全支撑。并且对原有系统的性能损耗在允许范围之内,不影响用户的正常使用。     

一种缓冲区溢出防御虚拟机的研究与实现

指出保护地址信息和状态信息的完整性是防御的重点,从为用户程序搭建运行时系统环境,以指令最终进入处理机执行为主线,运用虚拟机技术动态检测、控制关键指令和部分系统调用,给出一种基于进程虚拟机动态防御缓冲区溢出的防御方案.     

虚拟机环境下并行信任关系研究与实现

如何扩展传统信任链中的信任传递关系, 构建一个可信虚拟化环境, 从而保证虚拟域内软件的可信, 是可信计算应用到云计算中去的一个关键. 该文结合虚拟化技术的特点, 提出了一种适用于虚拟化环境的并行信任结构, 实现了将信任从虚拟化平台的信任根传递到虚拟域内的应用软件, 该信任结构通过在虚拟监控器中加载一个可信软件保护代理模块, 有效的减小了信任中间节点的复杂程度, 提高了系统的可控性和安全性. 本文还在该结构的基础上设计了一种虚拟机域内高可信软件保护模型, 并进行了部分系统实现.     

采用数字签名技术的可信启动方法研究

为保障嵌入式设备系统启动时的可信性,分析了现有可信启动技术对硬件模块严重依赖的现状,结合可信度量和可信链理论,提出了一套基于嵌入式Linux的可信启动方法。该方法以固件IROM作为信任根,利用数字签名和完整性验证技术检查启动实体的完整性和真实性,建立了一条从设备开机到内核启动的信任链。实验结果表明:该方法能有效地验证启动实体的完整性和真实性;与采用硬件模块保护启动实体预期度量值的方法比较,该方法无需增加任何硬件开销便可有效地保护预期度量值;同时保证实体更新时的可信检测。     

IaaS云虚拟机eID可信验证系统

为了解决云计算模式下数据与计算迁移造成的用户与云之间的互可信问题,从硬件平台、用户身份和用户行为多个维度,研究并设计了IaaS云虚拟机(eID)可信验证系统. 硬件平台采用可信第三方架构,采用全国唯一的公民网络电子身份eID标识用户身份,建立诚信记录,评估用户行为. 通过用户身份可信性验证、虚拟机可信性验证等4个阶段,有效解决了用户与云之间的互可信问题. 实验结果表明,该系统可抵御常见攻击方式,安全性高,且其计算时间复杂度在可接受范围内.     

基于强化学习的云计算资源调度策略研究

提出了一种基于强化学习的云计算虚拟机资源调度问题的解决方案和策略。构建了虚拟机的动态负载调度模型,将虚拟机资源调度问题描述为马尔可夫决策过程。根据虚拟机系统调度模型构建状态空间和虚拟机数量增减空间,并设计了动作的奖励函数。采用Q值强化学习机制,实现了虚拟机资源调度策略。在云平台的虚拟机模型中,对按需增减虚拟机数量和虚拟机动态迁移两种场景下的学习调度策略进行了仿真,验证了该方法的有效性。     

基于可信计算机制的云计算盲数据处理

针对云计算环境下数据处理时敏感数据易受非授权访问和非法篡改的问题,提出一种基于可信计算机制的盲数据处理方法。首先利用可信平台模块在云计算环境中建立可信根,确保敏感数据与云计算系统状态相绑定;然后构建盲数据处理环境,通过可信平台模块加密云间传输的信息,进行系统完整性度量和远程验证;最后采用椭圆曲线加密算法完成从源端到目标端的数据迁移。分析结果表明该方法可以为云计算数据处理提供安全的执行环境。     

基于可信计算技术构建电力监测控制系统网络安全免疫系统

电力系统是国家重要基础设施,电网调度控制系统是现代大电网安全稳定运行的重要手段,也是国家级网络对抗中的重点攻击目标。中国电网已经全面建成了以网络隔离及边界防护为主的网络安全纵深防护体系,但面对以快速演进的恶意代码为主要技术手段的APT攻击,存在防护技术滞后于攻击手段、安全功能制约于业务功能、防护措施影响控制业务实时性等问题。可信计算是一种运算与保护并行结构的计算模式,通过保持计算环境及计算逻辑的完整性,为计算平台提供了对恶意代码、非法操作的自主免疫能力。基于可信计算技术,建立电力监测控制系统网络安全免疫系统,由控制主站系统电力可信计算平台、可信网络通信及可信现场测控终端构成,覆盖电力控制业务从现场监测、通信、计算分析、控制指令下达与执行全部环节,为电力控制系统提供了一种行之有效的主动防御机制。主站系统电力可信计算平台包括作为信任根的可信密码模块硬件和嵌入到操作系统内核的可信软件基两个核心组件,实现计算机的可信引导,对操作系统及应用程序的完整性度量、强制访问控制和强制执行控。电力可信计算平台在标准的信任链构建方法基础上,在操作系统引导器中植入度量代码,通过CPU实模式驱动下的可信密码硬件对系统引导程序代码完整性进行回溯度量。与当前通用的可信计算技术实现方式相比,电力可信计算平台将度量的起点从操作系统前推到操作系统引导器,从而使得系统安全性大幅度提升。结合电网调度控制系统中的安全标签机制,电力可信计算平台对应用进程实现了融合操作系统层和应用层的双重强制访问控制。结合调度数字证书系统,实现了应用程序预期值安全管理,确保预期值的真实性与权威性。电力可信计算平台使用了计算组件中的原生安全功能,无需对业务程序、逻辑和系统资源进行改动,避免了对在运业务系统进行大规模改造,在工程上切实可行。全面的测试及广泛的工程实践表明,电力可信计算平台消耗系统资源少,运行效率完全满足控制业务实时性要求,对业务功能没有任何干扰。基于可信计算技术构建的网络安全免疫系统,为电力监测控制系统提供了一套高效率、高强度防护机制,对恶意代码、非法操作具有主动防御能力,同时也适用于其他业务逻辑固定、系统更新不频繁、安全等级要求高的工业控制系统。     

针对虚拟可信平台模块的国密算法扩展技术研究

为了规避使用外国密码算法带来的法律风险,满足中国《商用密码管理条例》的合规性要求,响应网络空间安全的自主可控要求,促进虚拟可信计算技术在国内云计算业务的大规模应用,本文对虚拟可信平台模块（vTPM,virtual Trusted Platform Module）和虚拟机信任链相关组件添加了对国密算法（中国国家商用密码算法）的支持。首先,在vTPM中添加对密码算法工具包GmSSL（GM/T Secure Sockets Layer）中散列密码算法SM3和对称密码算法SM4的调用接口,并利用GmSSL的大数运算模块实现国密算法中的非对称密码算法SM2的调用接口,从而为上层应用提供基于国密算法的可信计算功能。其次,在虚拟机信任链相关组件中添加SM3算法的实现代码,达成建立基于国密算法的虚拟机信任链的目标。最后,验证vTPM中调用接口的正确性和建立的虚拟机信任链的有效性,对比基于SM3算法和SHA-1算法虚拟机信任链的虚拟机开机时间。实验结果表明,添加的调用接口正确且有效,并且和基于SHA-1算法虚拟机信任链的虚拟机相比,基于SM3算法虚拟机信任链的虚拟机开机时间只增加3%,在安全性提升的同时其性能损耗在可接受范围。     

基于VMCS结构体的虚拟机恶意对象关联检测方法

虚拟机的安全运行是云计算运行环境可信性的重要保证。针对基于虚拟机自省的安全检测方法在云环境规模化、多样化虚拟机场景下面临通用性监控与深度检测间题,提岀基于VMCS结构体的虚拟机恶意对象关联检测方法,实现异构虚拟机内存无痕地、通用地获取,以及对虛拟机内、虛拟机间恶意行为的深度检测。最后,通过实验验证了所提方法对主流的Iinx和 Windows操作系统皆可有效处理,通用性较强。     

信任实体与ABE密码体制相结合的云存储加密模型

为了实现云存储加密数据快速检索及确保数据存储和传送的安全,提出了一种云计算环境下基于信任实体与ABE密钥体制相结合的云存储加密模型.在分析现有云存储加密技术面临问题的基础上,将ABE密钥体制中非对称公私密钥对模型,结合介于数据提供者、云服务器和云用户三者都信任的第三方机构来实现云存储加密设计,给出了云中数据在存储和传送中的访问控制流程.该模型对云存储密钥由谁控制、在哪儿管理进行了重新界定,保证了云存储环境下数据的安全性和可靠性,并且具有较好的灵活性.     

虚拟可信平台层次化安全体系结构设计

针对虚拟化技术给计算平台带来的一些新的安全问题,提出一种以虚拟机应用安全为核心的虚拟可信计算平台安全体系结构,为计算平台建立一种层次化的可信计算基(TCB):由硬件信任根TPM/TCM支持、可信虚拟机监控器(TVMM)以及安全管理器(SM)由底至上3个层次共同组成.基于开源XEN,设计了一种可保证虚拟机(VM s)及其应用安全的虚拟可信平台实例,它支持远程证实、信息流控制、安全迁移和私密性保护等安全机制.分析结果表明,实例系统可灵活支持其上虚拟机应用实现不同安全目标.