基于虛擬可信平臺(tái)模塊動(dòng)態(tài)信任

　　將可信計(jì)算技術(shù)應(yīng)用到虛擬計(jì)算系統(tǒng)中，可以在云計(jì)算、網(wǎng)絡(luò)功能虛擬化（network function virtualization，簡(jiǎn)稱NFV）等場(chǎng)景下，提供基于硬件的可信保護(hù)功能．軟件實(shí)現(xiàn)的虛擬可信平臺(tái)模塊（virtual trused platform module，簡(jiǎn)稱vTPM）基于一個(gè)物理TPM（physical TPM，簡(jiǎn)稱pTPM），可讓每個(gè)虛擬機(jī)擁有自己專屬的TPM，但需要將對(duì)pTPM的信任擴(kuò)展到vTPM上，現(xiàn)有方法主要采用證書鏈來進(jìn)行擴(kuò)展，但在虛擬機(jī)及其vTPM被遷移后，需要重新申請(qǐng)vTPM的身份密鑰證書，可能會(huì)存在大量的短命證書成本較高，且不能及時(shí)撤銷舊pTPM對(duì)vTPM的信任擴(kuò)展，不能提供前向安全保證．提出了一種vTPM動(dòng)態(tài)信任擴(kuò)展（dynamic trust extension，簡(jiǎn)稱DTE）方法，以滿足虛擬機(jī)頻繁遷移的需求．DTE將vTPM看作是pTPM的一個(gè)代理，vTPM每次進(jìn)行遠(yuǎn)程證明時(shí)，需從一個(gè)認(rèn)證服務(wù)器（authenticaiton server，簡(jiǎn)稱AS）處獲得一個(gè)有效的時(shí)間令牌.DTE在vTPM和pTPM之間建立了緊密的安全綁定關(guān)系，同時(shí)又能明顯區(qū)分兩種不同安全強(qiáng)度的TPM．在DTE里，vTPM被遷移后，無需重新獲取身份秘鑰證書，舊pTPM可及時(shí)撤銷對(duì)vTPM的信任擴(kuò)展，而且DTE可提供前向安全性．從原型系統(tǒng)及其性能測(cè)試與分析來看，DTE是可行的．