一种可信计算软件完整性度量系统和方法与流程

技术特征：
1.一种可信计算软件完整性度量系统，其特征在于，包括以下模块：度量对象、tee-ca、系统内核、安全固件和安全硬件，分别依次对应于用户态、内核态、安全态和可信根；被度量的对象是指ree系统启动后，用户及其他软件需要运行或加载的可执行程序、动态库、内核模块；tee-ca是tee的用户应用，也是被度量对象之一，提供白名单初始化、用户态白名单访问相关接口；系统内核包括lsm、度量模块和tee内核驱动；安全固件包括tee；tee为可信执行环境，工作在cpu的安全态，安全保存数据，提供度量值验证。2.根据权利要求1所述的一种可信计算软件完整性度量系统，其特征在于，lsm为linux安全模块，当被度量对象需要运行或加载时，会触发对应的lsm hook；度量模块为实施度量的内核模块，注册了lsm hook；tee内核驱动为提供ree访问tee功能支持。3.一种包括权利要求1或2所述的一种可信计算软件完整性度量系统的可信计算软件完整性度量方法，其特征在于，包括以下步骤，第一步，tee/ree系统启动；第二步，软件白名单初始化；第三步，tee元数据保护；第四步，软件完整性度量。4.根据权利要求3所述的一种可信计算软件完整性度量方法，其特征在于，启动时会加载tee内核驱动以及度量模块；启动完成后，tee-ta加载白名单以及白名单状态，此时若白名单未初始化，tee-ta会通知tee-ca，此时ca会进行白名单初始化；初始化完成之后，即可进行正常的软件完整性度量；当不可信软件尝试加载或允许时，其hash值不在白名单中，度量失败；若添加到白名单的软件被篡改，其hash值会变化，度量失败度量失败时lsm会返回失败，此时内核会拦截软件，不允许加载或运行。5.根据权利要求3所述的一种可信计算软件完整性度量方法，其特征在于，白名单为文件sm3 hash值，存储在tee文件中，同时tee在文件中存储了初始化标记；当tee-ta运行时检查初始化标记，若未初始化，度量模块、tee-ca访问接口时都会通知白名单未初始化；未初始化时，度量模块会默认返回度量成功；而tee-ca会自动启动初始化。6.根据权利要求5所述的一种可信计算软件完整性度量方法，其特征在于，初始化包括以下步骤，
①
此时设备应该处于安全可控环境中；
②
tee-ca会根据既定的os文件系统结构，启动多个扫描进程，并行扫描文件系统目录；
③
扫描目录时，解析文件属性，查找目标类型的文件：elf文件、脚本文件、有可执行权限的文件；
④
找到目标类型的文件后，调用openssl接口计算文件的sm3 hash；
⑤
tee-ca将hash通过tee-ta提供的接口添加到白名单中；
⑥
扫描完成后，tee-ta更新白名单初始化标记，并存储到文件中，该标记只可从未初始化变为初始化。7.根据权利要求3所述的一种可信计算软件完整性度量方法，其特征在于，tee的元数据中加密存储了白名单初始化标记、白名单属性等关键数据；度量模块与tee约定元数据文件的路径；度量模块注册lsm inode_unlink hook，当存在文件删除操作时，比对文件路径，若路径为tee元数据文件，则返回无权限；通过这种方式，任何用户都无法删除元数据文件，而tee可以修改；ree篡改元数据文件会导元数据损坏，度量模块将拦截所有软件以保护用户数据。
8.根据权利要求3所述的一种可信计算软件完整性度量方法，其特征在于，当有软件需要运行或加载时，会触发lsm相关hook调用度量模块对软件进行度量，度量模块计算软件的hash值，并调用tee的内核驱动接口验证该hash是否这白名单中；若验证失败，则移除软件可信标记，禁止软件运行，通知用户无权限；若验证通过，则标记软件为可信，标记中保存本次成功度量的时间戳，下次度量时，若可信标记及其时间戳有效，则允许运行；可信标记存储于文件的security xattr中，若进行写软件文件操作，内核度量模块移除该软件可信标记，再允许用户写文件；可信标记保护通过file_permission、inode_permission两个lsm hook进行，若有文件写操作时，度量模块会移除可信标记；通过可信标记及其时间戳机制，在有效时间内软件不会重复度量，极大的降低了hash计算的工作量，在性能损失极低的情况下，同时又保证了系统安全性。

技术总结
本发明提供一种可信计算软件完整性度量系统和方法。本发明主要基于TEE及Linux系统(包括国产Linux系统)提供软件完整性度量的方法，且不独占CPU核，对系统性能影响极低。一种可信计算软件完整性度量方法，所用的软件度量系统构成包括以下模块：度量对象、系统内核、安全固件和安全硬件，依次对应于用户态、内核态、安全态和可信根。安全态和可信根。安全态和可信根。


技术研发人员：王佳 黄辉伟 于博
受保护的技术使用者：长城信息股份有限公司
技术研发日：2021.10.11
技术公布日：2022/1/11