本發明公開了一種基于雙體系架構的可信計算平臺的靜態度量方法和裝置。其中，該方法包括：在計算機上電時，將計算機的硬件資源劃分為防護硬件資源和計算硬件資源，其中，計算硬件資源允許被防護硬件資源訪問且不能訪問防護硬件資源，防護硬件資源用于運行防護子系統，計算硬件資源用于運行計算子系統；控制防護硬件資源先于計算硬件資源啟動，并在計算硬件資源啟動計算子系統的過程中，對計算硬件資源的啟動階段進行度量。本發明解決了相關技術中的計算機安全性較低的技術問題。

技術領域

本發明涉及互聯網安全領域，具體而言，涉及一種基于雙體系架構的可信計算平臺的靜態度量方法和裝置。

背景技術

當前的網絡空間極其脆弱，震網、勒索病毒(如Wannacry)、Mirai病毒等造成較大影響的網絡攻擊事件層出不窮，且日益猖獗，究其根源，在于并沒有從網絡安全風險的實質原因入手解決問題，一味采用以“防火墻”、“病毒查殺”、“入侵檢測”等為代表的“封堵查殺”被動防御手段，防不勝防，特別在面對針對目標系統的漏洞發起的攻擊時，根本無法有效防御。

國際TCG組織(英文全稱Trusted Computing Group，中文名為可信計算組織)提出的可信計算芯片TPM是作為計算機的外部設備，以被動掛接的方式，通過主機軟件調用來發揮作用，僅能對計算機的固件和可執行程序等資源進行靜態度量。以TPM方式所實現的可信計算平臺實質是單系統架構，TPM在資源訪問、控制上都有局限性，其安全能力完全依賴于主機系統的安全性，難以防御黑客利用主機系統漏洞進行的攻擊，并不能實質上提升計算機系統的主動防御能力。

為解決當前網絡空間安全面臨的問題，國際TCG組織提出了可信計算的方法，提出了以TPM和BIOS起始代碼為信任根，一級度量一級，進而構建起計算機的信任鏈，保護計算機重要資源不被非法篡改和破壞，起到了較好的效果。但是，TPM本質上只是計算機上一個被動掛接的外部設備，只有被主機程序調用才會發揮作用，一旦主機被攻擊者控制，TPM的作用就會無從發揮，導致TCG的可信計算架構在面對黑客利用計算機系統邏輯缺陷進行攻擊時，基本難以抵御，例如Windows 10完全實現了TCG的可信計算架構，但是卻未能阻止Wannacry勒索病毒的攻擊。

此外，以TPM方式所實現的可信計算平臺實質是單系統架構，TPM在對計算機的資源訪問、控制上都有局限性。且，TPM僅能對計算機的固件和可執行程序等資源進行靜態度量，無法對應用執行及其所依賴的執行環境進行動態度量。

針對以TPM方式所實現的可信計算平臺實質是單系統架構，TPM的固件和可執行程序等資源進行靜態度量，無法對應用執行及其所依賴的執行環境進行動態度量，且TPM在資源訪問、控制上都有局限性，TPM的安全能力完全依賴于主機系統的安全性。

針對上述的問題，目前尚未提出有效的解決方案。

發明內容

本發明實施例提供了一種基于雙體系架構的可信計算平臺的靜態度量方法和裝置，以至少解決相關技術中的計算機安全性較低的技術問題。

根據本發明實施例的一個方面，提供了一種基于雙體系架構的可信計算平臺的靜態度量方法，包括：在計算機上電時，將計算機的硬件資源劃分為防護硬件資源和計算硬件資源，其中，計算硬件資源允許被防護硬件資源訪問且不能訪問防護硬件資源，防護硬件資源用于運行防護子系統，計算硬件資源用于運行計算子系統；控制防護硬件資源先于計算硬件資源啟動，并在計算硬件資源啟動計算子系統的過程中，對計算硬件資源的啟動階段進行度量。

根據本發明實施例的另一方面，還提供了一種基于雙體系架構的可信計算平臺的靜態度量裝置，包括：劃分單元，用于在計算機上電時，將計算機的硬件資源劃分為防護硬件資源和計算硬件資源，其中，計算硬件資源允許被防護硬件資源訪問且不能訪問防護硬件資源，防護硬件資源用于運行防護子系統，計算硬件資源用于運行計算子系統；度量單元，用于控制防護硬件資源先于計算硬件資源啟動，并在計算硬件資源啟動計算子系統的過程中，對計算硬件資源的啟動階段進行度量。