CN117971347B - 一种基于TrustZone的容器可信服务设计方法、设备及存储介质 - Google Patents

Abstract

本发明涉及计算机操作系统的信息安全领域，具体涉及一种基于TrustZone的容器可信服务设计方法、设备及存储介质，包括如下步骤：容器引擎启动时，触发容器引擎的平台配置寄存器PCR生成服务，对容器引擎的可执行文件进行摘要计算，生成的摘要值作为容器引擎的PCR值，进行持久化安全存储；触发SML生成服务，将当前第一时间戳、容器引擎启动事件和所述第一校验值作为容器引擎SML项进行记录；启动容器时触发容器可信根生成服务：生成容器可信根，同时触发容器的PCR生成服务及容器的SML生成服务。本发明容器在启动时会基于用户提供的口令生成用于可信服务的容器可信根，能够保证容器的可信性，减少了安全漏洞。

Description

一种基于TrustZone的容器可信服务设计方法、设备及存储 介质

技术领域

本发明涉及计算机操作系统的信息安全领域，具体涉及一种基于TrustZone的容器可信服务设计方法、设备及存储介质。

背景技术

近些年，随着新基建的加速布局，云计算广泛应用于各领域，已经成为支撑数字经济发展的关键基础设施。伴随互联网技术的不断发展，云计算基础架构也逐渐从传统的云托管模式（也称基础设施即服务，Infrastructure as a Service，IaaS）演进为云原生模式，底层支撑技术也从传统的虚拟机转换为更加轻量的容器技术。容器作为轻量级虚拟化技术，隔离性相比传统虚拟机差，一旦攻击者通过一个容器攻陷了操作系统内核，就能操控云端中的所有容器，将给服务器场景下的信息安全带来了极大的风险挑战，导致用户在采用云原生服务时会产生诸多安全顾虑。在此背景下，可信计算技术作为新一代安全操作系统技术的重要组成，可为容器在云上安全运行提供新的思路。

可信计算是一种安全技术，旨在保护计算设备和应用程序免受恶意软件、未经授权的访问和其他安全威胁，使用TPM（Trusted Platform Module，可信平台模块）作为底层信任根，提供密钥存储、远程证明、可信元数据管理等多种功能。随着技术的不断发展，传统基于TPM的可信服务架构问题也逐渐暴露出来。一方面，TPM是一个基于硬件的安全模块，需要专门部署，作为协处理器，TPM计算性能较弱。另一方面，目前TPM芯片和操作系统之间是一对一关系，导致服务框架不完全适用于虚拟化平台。

因此，需要针对安全敏感场景下的特定需求，探索通过软硬件协同设计，为云平台容器中运行的应用程序提供更高级别的可信机制。当前主流CPU提供TEE（TrustedExecution Environment，可信执行环境）技术，TEE作为计算机底层安全防护机制，具有更高的运行权限，可为上层软件提供CPU、内存、Cache等强隔离的程序执行环境，为软件构筑安全可信的计算环境提供信任基础。随着技术研究的不断深入，TEE将会被广泛应用于各种操作系统服务和应用程序中，以提高其安全性和保护用户数据的隐私，基于内生可信执行环境技术为容器应用程序提供可信服务具有良好的应用前景，是一项亟待研究的关键技术问题。

现有技术中，一种做法是基于纯软件算法在更低层的虚拟机监控器中虚拟出vTPM，存在的问题是虚拟机监控器本身由于过于复杂，受攻击面较大，不可避免存在安全漏洞，而这些漏洞一旦被攻击者劫持利用，信息系统的安全性就会面临极大的威胁。另一种做法是针对Docker中存在的各种安全问题，提出了Docker安全增强系统DockerGuard，并构造了一条从可信平台模块的硬件层面到容器层面的信任链，以此来增强容器运行过程的安全。DockerGuard系统以TPM芯片为基础，通过TGRUB实现安全启动。在TGRUB（Trusted GrandUnified Bootloader）中，对Docker可执行文件及进程度量模块文件、文件度量模块进行度量。虽然DockerGuard能够保证容器的可信性，但需依赖外部TPM硬件，牺牲了Docker容器技术原有的便捷、快速部署的特性，整个方案的成本开销大和普适性不强。

发明内容

针对现有技术的上述部分或全部不足，本发明所要解决的技术问题是如何在具有TrustZone（可信区域）功能的处理器和可信操作系统的机器上保证容器的可信，设计和提供了高安全的和便捷的可信服务的实现方式和结构。为此，本发明提供一种安全可靠、通用性好、扩展性强的基于TrustZone的容器可信服务设计方法，包括如下步骤：

容器引擎启动时，触发容器引擎的平台配置寄存器PCR生成服务，对容器引擎的可执行文件进行摘要计算，生成的摘要值作为容器引擎的PCR值；

将所述容器引擎的PCR值进行持久化安全存储；

所述容器引擎的PCR值生成完成时，触发SML生成服务，基于当前操作系统的度量值和容器引擎的PCR值生成第一校验值，将当前第一时间戳、容器引擎启动事件和所述第一校验值作为容器引擎SML项进行记录；

容器引擎启动完成后，启动容器时触发容器可信根生成服务：生成容器可信根，同时触发容器的PCR生成服务及容器的SML生成服务，所述容器的PCR生成服务生成容器实例的PCR值。

在本发明的一个优选实施例中，所述容器可信根生成服务包括如下步骤：

S1、输入用户口令后，判断是否存在所述容器可信根，如果存在，则进行S2，如果不存在则容器引擎启动容器可信服务系统来生成所述容器可信根，然后进行S2；

S2、读取并度量操作系统及容器二进制文件，根据所述容器可信根触发容器的PCR生成服务；

S3、根据所述容器实例的PCR值和容器引擎SML项的校验值生成第二校验值，将当前第二时间戳、容器事件、所述第二校验值作为容器实例启动的SML项进行记录。

优选的，所述容器可信根包括背书密钥、存储根密钥和认证身份密钥。

优选的，所述背书密钥通过调用随机数生成器，结合用户口令进行异或操作生成。

优选的，容器启动完成后调用可信证明服务验证容器状态，所述可信证明服务发送用户容器相关的验证参数包括容器的SML及容器实例的PCR值，用户基于链式的校验值来验证整个容器实例状态的可信性。

在本发明的另一个优选实施例中，容器可信服务分别在容器引擎启动和容器实例启动时触发，并结合操作系统的可信状态，将可信链延伸至容器引擎和容器实例。

在本发明的又一个优选实施例中，所述SML项的日志格式是固定的，包括校验项和多个记录项，所述记录项包括校验值、事件、时间戳信息

本发明还提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述的方法。

本发明还提供了一种非暂态计算机可读存储介质，该非暂态计算机可读存储介质存储计算机指令，该计算机指令用于使该计算机执行上述的方法。

采用上述技术方案，本发明具有如下有益效果：

（1）本发明基于TrustZone技术在可信执行环境中设计容器可信根的生成与存储方式，容器在启动时会基于用户提供的口令生成用于可信服务的容器可信根，能够保证容器的可信性且不依赖外部TPM硬件，结构简单，大大减少了安全漏洞。

（2）本发明结合了TPM对远程证明的设计，提出了适用于虚拟可信服务的远程证明方案，能够对外证明平台当前配置和运行状态的完整性。

（3）本发明具有保护全面、验证级别高、安全可靠、通用性好、扩展性强的优点。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例容器可信服务设计方法流程图；

图2为本发明实施例容器可信根生成过程流程图；

图3为本发明的远程证明方法示意图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

下面结合具体的实施方式对本发明做进一步的解释说明。

如图1所示，本发明实施例中容器可信服务设计方法，包括如下内容：

容器引擎启动时，触发容器引擎的平台配置寄存器PCR生成服务，对容器引擎的可执行文件进行摘要计算，生成的摘要值作为容器引擎的PCR值；

将所述容器引擎的PCR值进行持久化安全存储；

所述容器引擎的PCR值生成完成时，触发SML生成服务，基于当前操作系统的度量值和容器引擎的PCR值生成第一校验值，将当前第一时间戳、容器引擎启动事件、所述第一校验值作为容器引擎SML项进行记录；

容器引擎启动完成后，启动容器时触发容器可信根生成服务：生成容器可信根，同时触发容器的PCR生成服务及容器的SML生成服务，所述容器的PCR生成服务生成容器实例的PCR值。

在本发明实施例中，基于TrustZone技术在可信执行环境中模拟实现了平台配置寄存器（Platform Configuration Register，PCR）的生成方式与存储方式，对容器引擎的可执行文件进行摘要计算得到容器引擎的PCR值，在容器在启动时会基于用户提供的口令生成用于可信服务的容器可信根，能够保证容器的可信性且不依赖外部TPM硬件，并对所述容器可信根及所述容器实例的PCR值进行安全存储；设计了完整性度量日记（StoredMeasurement Log，SML）服务，SML服务将在容器引擎启动时和容器实例启动时生成度量日记。

如图2所示，本发明一个优选实施例中，所述容器可信根生成服务包括如下步骤：

S1、输入用户口令后，判断是否存在所述容器可信根，如果存在，则进行S2，如果不存在则启动容器可信服务系统来生成所述容器可信根，然后进行S2；

S2、读取容器镜像，并触发容器实例的PCR生成服务；

S3、根据所述容器实例的PCR值和容器引擎SML项的第一校验值生成第二校验值，将当前第二时间戳、容器事件、所述第二校验值作为容器实例启动的SML项进行记录。

基于TrustZone技术在可信执行环境中设计容器可信根的生成与存储方式，具体包括容器的可信度量根（Root of Trust for Measurement，RTM）、可信存储根（Root ofTrust for Storage，RTS）、可信报告根（Root of Trust for Reporting，RTR）。所述容器可信根生成服务不局限于图2所示方法，只要能生成实现所述功能的容器可信根的方法均可以采纳。容器在启动时会基于用户提供的口令在TrustZone的安全世界中生成用于可信服务的容器可信根。信任根是可信计算系统的基点，选择在开放的可移植可信执行环境（OpenPortable Trusted Execution Environment，OP-TEE）环境下生成虚拟的容器可信根，所述容器可信根将在容器引擎启动容器时生成，容器引擎启动容器的时候，用户需要输入用户口令，然后容器引擎会启动容器可信服务系统来生成该容器的可信根，所述容器可信根包括但不限于背书密钥（Endorsement Key，EK）、存储根密钥（storage Root Key，SRK）和认证身份密钥（Attestation Identity Key，AIK），也可以根据具体应用场景的不同增加其它密钥以提高安全性。容器虚拟可信服务系统在对相关隐私数据进行保存的时候，会使用到OP-TEE的安全存储功能，OP-TEE的安全存储功能是OP-TEE为用户提供的安全存储机制。用户可使用安全存储功能来保存敏感数据、密钥等信息。使用OP-TEE安全存储功能保存数据时，OP-TEE会对需要被保存的数据进行加密，且每次更新安全文件时所用的加密密钥都会使用随机数重新生成，用户只要调用GP标准中定义的安全存储相关接口就能使用OP-TEE的安全存储功能对私有数据进行保护。需要被保护的数据被OP-TEE加密后会被保存到功能丰富的操作系统执行环境（Rich Operating System Execution Environment，REE）的文件系统。

EK密钥在TPM芯片中主要起到身份证明以及派生其他密钥的作用，通常是TPM厂商在TPM芯片出场时设计好的密钥。参考TPM设计，EK密钥在本容器可信服务系统中也是作为身份象征密钥。本发明的一个优选实施例中，在TEE中调用了OP-TEE提供的TEE_GenerateRandom函数生成了一个2048位的随机数，并将所述随机数与用户口令进行异或操作得到的2048位的值作为EK密钥，所述随机数的生成方式和位数可根据系统的不同进行选择。以这样的方式生成EK密钥不仅具有随机性，还加入了用户身份线索，提高了用户与系统的交互性。在其他实施例中，只要能实现身份证明以及派生其他密钥的作用的密钥生成方式均可作为EK密钥生成方式，而不局限于随机数生成方式。

AIK密钥在TPM中的作用是进行认证和授权。具体来说，它可以用于验证计算机系统的身份，并确保系统正常运行，没有被恶意软件或攻击者篡改。AIK密钥还可以用于对计算机系统进行数字签名和加密，以保护其数据和通信不受未经授权访问。参考TPM设计，本文调用了OP-TEE提供的TEE_GenerateKey函数生成了一对2048位的RSA密钥，作为AIK密钥，所述RSA密钥的生成方式和位数在不同系统中可不同。

SRK密钥在TPM中的作用主要是保护其他的密钥，当用户创建新的密钥时，这些密钥都将受到SRK密钥的保护，以确保它们的机密性和完整性。具体来说，用户可以生成一个包含公共和私有部分的非对称密钥对，并使用TPM芯片中的SRK密钥来加密私有密钥。这样，私有密钥就可以安全地存储在系统上，即使攻击者能够访问该系统，也无法获取私有密钥。参考TPM设计，本发明的一个优选实施例调用了OP-TEE提供的TEE_GenerateKey函数生成了一对2048位的RSA密钥，作为SRK密钥，所述RSA密钥的生成方式和位数在不同系统中可不同。

TEE可信平台首先对事件对象进行度量，得到对应的PCR值，类比TPM中PCR扩展的方式生成SML校验值，PCR扩展方式如下公式（1）所示：

(1)

其中：SHA1为哈希算法，为度量当前对象生成的PCR值，value为系统当前状态的SML校验值。具体来说，公式的含义为使用哈希算法对PCR值和当前系统状态的校验值进行哈希运算，从而生成新的校验值。

在TPM芯片中，SML（Stored Measurement Log）日志记录了TPM启动时的各种测量值，包括BIOS、操作系统、引导加载程序等的测量值，以及TPM自身的测量值。这些测量值可以用于验证系统的完整性和安全性，以及检测系统是否受到了恶意软件的攻击。SML日志可以通过TPM的命令接口读取，也可以通过操作系统的驱动程序读取。SML日志的格式是固定的，包括一个校验和多个记录项，每个记录项包括测量值、测量类型、时间戳等信息。SML日志是TPM中非常重要的安全功能之一，可以帮助保护系统的安全性和完整性。

针对TPM对SML的设计，本发明一个优选实施例中，可信服务生成的SML文件将每个事件分为一个项，每个项分为三个部分，分别是校验值、事件、时间戳。SML详细的生成过程如图3所示，假设图3中的 PCR1为操作系统的度量值，则SML1校验值为PCR1值。当容器引擎启动，容器可信服务的可信应用（Trusted Application，TA）生成了容器引擎的PCR2值后会触发SML服务，SML服务基于SHA-1算法对SML1校验值和容器引擎的PCR2值生成SML2中的校验值。SML2的校验值生成后将被传给容器可信服务的CA端，并结合时间和事件生成完整的SML，即度量存储日记。

容器引擎启动完成后，用户在启动容器时增加口令参数，触发容器可信根生成服务，并基于容器镜像生成容器实例的PCR值，并进行安全存储；接着触发用户SML生成服务，所述用户SML服务基于容器引擎事件的SML校验值和所述容器实例的PCR值生成第二的校验值，并将当前第二时间戳、容器事件、所述第二校验值作为用户容器的SML项进行记录。

TPM/TCM安全芯片为对外证明平台当前配置和运行状态的完整性需要进行远程证明，将远程证明分为平台身份证明和平台完整性证明，分别对应证明平台是否为可信计算平台和平台运行状态的完整性。本发明实施例子结合TPM对远程证明的设计，提出了适用于虚拟可信服务的远程证明方法，如图3所示。在图3中，远程验证者（Verifier）向容器虚拟可信服务平台发送一个随机数nonce作为挑战值开始。容器虚拟可信服务平台对随机数和当前的SML的所有校验值进行拼接操作，并使用SHA-256算法对拼接值进行哈希运算，再使用AIK的私钥对得到的哈希值进行签名运算，最后将签名值、操作系统、容器引擎和容器镜像的PCR值和SML一起发送给验证者。远程验证者基于SHA-256算法对随机数nonce和SML中的校验值的拼接值进行哈希运算得到哈希值一，并使用AIK的公钥对签名值进行解密得到哈希值二，最后对比这两个哈希值是否相同。根据对比结果，来判断平台的身份是否可信。此外，将收到的PCR值与SML中的校验值进行还原对比，根据PCR值通过公式（1）所示的扩展方式生成的值与SML记录的值是否一样，来判定示证者（Attestor）的完整性是否被破坏，从而判定容器实例的可信性。

当容器启动完成后，若用户想验证容器的状态，则可以调用可信证明服务。所述可信证明服务发送用户容器相关的验证参数包括容器的SML及容器实例的PCR值，用户基于链式的校验值来验证整个容器实例状态的可信性，用户通过发送随机数nonce来保证整个服务的不可伪造性，可信服务发送所述用户容器相关的验证参数：操作系统、容器引擎和容器镜像的PCR值及对应的SML，并基于链式的校验值来验证容器的可信性。

容器可信服务分别在容器引擎启动和容器实例启动时触发，并结合操作系统的可信状态，将可信链延伸至容器引擎和容器实例。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (8)

1.一种基于TrustZone的容器可信服务设计方法，其特征在于，包括如下内容：

容器引擎启动时，触发容器引擎的平台配置寄存器PCR生成服务，对容器引擎的可执行文件进行摘要计算，生成的摘要值作为容器引擎的PCR值；

将容器引擎的PCR值进行持久化安全存储；

容器引擎的PCR值生成完成时，触发SML生成服务，基于当前操作系统的度量值和容器引擎的PCR值生成第一校验值，将当前第一时间戳、容器引擎启动事件、第一校验值作为容器引擎SML项进行记录；

容器引擎启动完成后，用户在启动容器时增加口令参数，触发容器可信根生成服务，输入用户口令后，判断是否存在所述容器可信根，如果不存在，则容器引擎启动容器可信服务系统来生成所述容器可信根，具体地：基于用户提供的口令在TrustZone 的安全世界中生成用于可信服务的容器可信根，能够保证容器的可信性且不依赖外部TPM 硬件，同时触发容器的PCR生成服务及容器的SML生成服务，读取容器镜像，并触发容器实例的PCR 生成服务，基于容器镜像生成容器实例的PCR 值；根据所述容器实例的PCR 值和容器引擎SML 项的第一校验值生成第二校验值，将当前第二时间戳、容器事件、所述第二校验值作为容器实例启动的SML 项进行记录。

2.如权利要求1所述的基于TrustZone的容器可信服务设计方法，其特征在于，所述容器可信根包括背书密钥、存储根密钥和认证身份密钥。

3.如权利要求2所述的基于TrustZone的容器可信服务设计方法，其特征在于，所述背书密钥通过调用随机数生成器，结合用户口令进行异或操作生成。

4.如权利要求3所述的基于TrustZone的容器可信服务设计方法，其特征在于，容器启动完成后调用可信证明服务验证容器状态，所述可信证明服务发送用户容器相关的验证参数包括容器的SML及容器实例的PCR值，用户基于链式的校验值来验证整个容器实例状态的可信性。

5.如权利要求1所述的基于TrustZone的容器可信服务设计方法，其特征在于，容器可信服务分别在容器引擎启动和容器实例启动时触发，并结合操作系统的可信状态，将可信链延伸至容器引擎和容器实例。

6.如权利要求1所述的基于TrustZone的容器可信服务设计方法，其特征在于，所述SML项的日志格式是固定的，包括校验项和多个记录项，所述记录项包括校验值、事件、时间戳信息。

7.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行前述权利要求1~6任一项所述的方法。

8.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令用于使该计算机执行前述权利要求1~6任一项所述的方法。