虚拟化架构下管理域安全增强方法

虚拟化架构下管理域安全增强方法 The Security Enhancement Method of Administrative Domain in the Virtualization Architecture 1 first-author 付楠，女，硕士生，现主要从事信息安全和云计算安全领域的研究. E-mail: 284196013@qq.com 付楠，女，硕士生，现主要从事信息安全和云计算安全领域的研究. E-mail: 284196013@qq.com 284196013@qq.com 1 corresp E-mail:roewe.yu@whu.edu.cn E-mail:roewe.yu@whu.edu.cn roewe.yu@whu.edu.cn 1 1 1 2 武汉大学 计算机学院，湖北 武汉 430072 武汉大学 计算机学院，湖北 武汉 430072 School of Computer, Wuhan University, Wuhan 430072, Hubei, China School of Computer, Wuhan University, Wuhan 430072, Hubei, China 信息保障技术重点实验室,北京100072 信息保障技术重点实验室,北京100072 Science and Technology on Information Assure Laboratory,Beijing 100072, China Science and Technology on Information Assure Laboratory,Beijing 100072, China 针对虚拟化信息系统的可信度量和可信计算基繁重的问题，对TPM进行软件虚拟化，建立了基于vTPM的信任链；根据虚拟化管理域的操作集属性，将特权操作移植入只读域，并对其部署新型访问控制策略，隔离Dom0的用户空间与特权操作，规避用户空间非法访问物理内存的安全风险.实验结果表明，本文建立的基于vTPM的信任链实现了对虚拟化系统的可信度量，新型访问控制策略有效地阻断了用户空间对物理内存的访问权限，缩小了可信计算基，从而保护虚拟机系统的完整性和机密性,极大地增强了虚拟化平台的安全性. The paper focuses on the problem about trust evaluation and heavy trusted computing base. By the software virtualization of TPM , we established the trust chain of vTPM; according to the attribute of operation set for virtualization management domain, we remove the privileged operations into a read-only domain and deploy a new access control policy on it to isolate user space and privileged operation in Dom0, which could avoid the risk of unauthorized access to safe physical memory from user space. Finally, we verify this idea on the Xen virtualization platform. The experiment result shows the trust chain of vTPM could achieve trust evaluation successfully. Meanwhile the new access control policies could prevent user space accessing to physical memory illegally, which would lighten trusted computing base and enhance the security of virtualization platform. 虚拟化安全 可信计算 管理域安全 访问控制 virtualization security trusted computing security of administrative domain access control 引言 1 云计算是现今极受瞩目的一种新型计算模型，它真正地实现了IT界思想—“按需服务” [ 1 1 ] ，其服务主要包括资源租用、应用托管、服务外包.云计算服务供应商在根据用户需求制定服务平台后，让用户通过网络使用服务，使得系统管理维护与服务使用解耦， 实现合理的技术分工，将客户企业从高难度高成本的信息系统维护中解脱出来，专注于自身核心业务，因此，云计算在企业界得到广泛应用.在云计算企业化的同时，云安全必须得到保障，其中，虚拟化平台是云计算的关键支撑技术，虚拟化平台的安全性是当今学术界和企业界共同的一项重要研究课题. 虚拟化技术的引入给云计算平台 带来了新的安全问题.从威胁源的不同可分为内部威胁和外部威胁，前者是来自内部管理者的高控制性带来的威胁，后者主要是外部攻击者以用户的身份非法入侵系统.对于这两种安全威胁，增强虚拟化技术的安全性、构建可信的虚拟化环境和访问控制方法都是解决问题的关键.因此，增强虚拟机技术的安全性和构建可信的虚拟化环境已经成为业界的迫切需求. 为应对虚拟化环境下的安全威胁，文献 [ 2 2 ] 提出了Intel可信启动技术Tboo，通过硬件保证VMM(virtual machine monitor,虚拟机监视器)的可信启动,提高VMM的安全性.然而Tboo无法保证VMM的动态运行的完整性.HyperSentry [ 3 3 ] 通过利用CPU的系统管理模式度量VMM完整性以保护VMM动态运行时的完整性，但该方法缺乏对管理员的权限控制.针对系统安全机制的权限控制问题，HyperSafe [ 4 4 ] 提出利用不可绕内存锁和受限指针索引两种技术实现VMM自我保护的方法，但该方法减小了VMM的功能.针对资源隔离问题，文献 [ 5 5 ] 将云计算基础设施服务划分为三层：物理层、系统监控层以及应用和虚拟机层，通过设计各层次隔离机制的协作方案，实现了自动化的资源隔离框架及对资源隔离的高效管理，但该方案太泛，缺乏针对性，增加了系统管理复杂度. 本文通过研究虚拟化信息系统的可信度量机制及其TCB(trusted computing base，可信计算基)的组成，建立虚拟化系统的信任链实现可信度量，并针对可信计算基繁重的问题，对其部署细粒度访问控制策略，以缩小可信计算基，从而增强虚拟化平台的安全性.针对云计算环境下，信息资源需要划分为多个虚拟域以分级管理的情况 [ 6 6 ] ，本文将域的概念引入访问控制模型，构建了一种基于虚拟管理域的新型访问控制模型，以实现对虚拟化信息系统的可信度量并缩小其可信计算基.并且在Xen虚拟平台搭建实验环境，测试该访问控制方法的有效性. 虚拟化安全体系结构 1 虚拟化信息系统架构 2 虚拟化系统即利用虚拟化技术在物理平台上构造虚拟机的信息系统，其主要包括物理平台、虚拟机监视器、虚拟机等.虚拟化技术(Virtualization)是一种资源管理技术，是将计算机的各种实体资源，如服务器、网络、内存及存储等，予以抽象、转换后呈现出来，打破实体结构间的不可切割的障碍，使用户可以比原本的配置更好的方式来应用这些资源，具有高硬件利用率、强控制性和强隔离性的优势. VMM是虚拟化系统的系统管理软件，可以维护多个高效的、隔离的程序环境，以支持用户直接去访问真实硬件，这种程序环境就称为虚拟机.VMM位于操作系统和硬件之间，为上层虚拟机提供、分配和管理虚拟的硬件资源.在虚拟化系统中，运行在VMM之上的虚拟机被称为Domain(虚拟域)，Domain可根据管理权限分为Dom0(Domain Privileged,特权管理域)和DomU(Domain Unprivileged，普通虚拟域).其中Dom0提供设备驱动的复用 [ 7 7 ] ，且负责管理DomU，如DomU的启动、销毁，内存分配及设备访问等.根据不同的实现方式，虚拟化技术可分为：准虚拟化技术和硬件虚拟化技术.利用前者实现虚拟化的虚拟机为PV Domain，利用后者实现的虚拟机内核则为HVM(Hardware Virtual Machine,硬件虚拟域).虚拟化信息系统的具体架构如 图1 图1 所示. Dom0具有设备驱动，可直接访问物理硬件，并利用用户模式的控制面板管理DomU.控制面板通过接收控制台管理程序的控制请求(HTTP协议封装)和Dom0的接口函数库与VMM进行通信，以实现对DomU创建、销毁、重启、迁移等功能. 虚拟化系统启动时，首先需要对系统进行初始化：引导程序将VMM的内核文件加载进内存；VMM接管控制权，并进行初始化操作，包括分配物理内存、初始化内存图、设置系统时间和安全机制等.在系统初始化后，VMM调用domain_create函数为Dom0创建domain结构体，调用construct_dom函数为Dom0创建运行环境.最后，VMM在唤醒Dom0参与CPU调度之后，转入空闲循环状态. DomU的创建与启动 2 为了及时接收系统管理员的普通虚拟域DomU创建请求，Dom0需要创建并一直运行相应的守护进程，使得系统管理员可发出特定命令向守护进程提交DomU的创建请求.以下是创建并启动DomU的过程： 1) 控制台管理程序解析命令行参数，识别出DomU创建请求后，发送给守护进程. 2) 守护进程利用_constructDomain方法创建domain结构体，将domain结构体创建请求发送给VMM. 3) 守护进程利用_initDomain方法初始化DomU后，启动DomU，并存储DomU相关信息. 4) 守护进程利用domain_unpause方法唤醒DomU参与CPU调度. 虚拟化平台安全增强方法 1 为保证虚拟化信息系统完整性，控制系统TCB大小，更好地维护系统安全性为目的，本文提出了一种基于访问控制的虚拟平台安全增强模型，通过对VPM进行虚拟化建立虚拟环境下的可信，且在特权虚拟域部署细粒度访问控制策略，缩小可信计算基，从而增强虚拟化平台的安全性. 首先通过为每一个客户虚拟机提供一个vTPM(虚拟TPM)实例，并辅以虚拟TPM管理器，对来自vTPM实例的请求进行分发，进而达到复用物理TPM的目的. 其次，在探究Dom0的特权集合属性及TCB构成要求后，首先将Dom0的特权操作(如虚拟域创建器Domain Builder、虚拟可信平台模块管理器vTPM Manager等特权操作集)移植到一个只读域DomB，然后通过在Dom0的内核空间创建守护进程dombd和移植到DomB中的vTPM管理器，协同实现Dom0对DomB的细粒度访问控制策略，以规避Dom0用户空间给物理内存带来的安全风险. 通过对Dom0特权集合进行细粒度访问控制后，新的TCB仅包含VMM，Dom0的内核空间，以及小型特权域DomB.由于DomB仅包含内核空间代码，相比Dom0的用户空间而言，TCB得到了有效的缩减和控制. 在虚拟划信息系统架构下，基于虚拟化TPM和新型管理域访问控制策略的安全增强模型如 图2 图2 所示. TPM虚拟化 2 可信计算基及可信平台模块管理器 3 TCB是计算机系统内保护装置的总体，包括可信硬件、可信软件和负责执行安全策略的组合体.一般情况下，在虚拟化信息系统中，TCB包括虚拟机监视器VMM和特权域Dom0，其中Dom0包括内核空间和用户空间两个部分.TCB最小化可提高系统安全性，相对而言，通常TCB对外提供的接口和自身代码量越少，被攻击者利用的可能性也就越小. 同时为维护平台信息的完整性，需要对其进行可信度量，目前主流的可信度量思想是在可信平台上引入可信根并利用可信根来建立信任链.信任链以TPM芯片为核心，CRTM(core root of trust module，核心信任根模块)为起点 [ 8 8 ] .沿着CRTM→BIOS→OSLoader→OS→App，一级度量一级，一级信任一级，逐步完成对所有系统资源的完整性进行度量.该信任链如 图3 图3 所示.其中，作为构建信任链的核心硬件模块，可信平台模块TPM主要由RSA密钥生成算法、安全的随机数发生器、RSA加密解密算法、SHA-1摘要算法以及抗攻击的非易失性存储器构成.作为可信计算机的核心组件，TPM主要功能包括：安全存储功能、平台完整性报告功能和平台验证. 然而要在虚拟化环境下实现可信计算需要面临几个关键问题.在虚拟化环境中，平台启动后，运行于VMM上的虚拟机可以进行多次重启和关闭操作，这个操作已不再是基于单平台的简单的链式关系.虚拟化要求将单一平台虚拟成多个操作系统，这种设计打破了操作系统与位于底层的物理可信平台(包括TPM)之间的一一对应关系.要使TPM的功能能够被虚拟平台上所有操作系统正常安全的使用，现有的TPM接口必须进行扩展，还设计一个可信虚拟平台架构，使之能够适用于虚拟化环境.以TPM虚拟化为目的，权衡安全性、易实施性与兼容性等各方面考虑，本文选择软件TPM的方案作为可信虚拟平台架构的设计思想，将虚拟化的软件vTPM引入虚拟平台体系结构，以实现虚拟化平台的可信度量，增强平台安全性. vTPM架构 3 本系统为每一个客户虚拟机提供了一个vTPM(虚拟TPM)实例，并辅以虚拟TPM管理器，对来自vTPM实例的请求进行分发，进而复用物理TPM.引入vTPM后的虚拟TPM体系框架如 图4 图4 所示. 该架构包括以下几个组件： 1) vTPM Instance(vTPM实例) vTPM Instance：用于模拟TPM，并提供类似于TPM的功能.每个vTPM Instance都有自己独有的一套TPM资源集，其中包含存储根密钥SRK，签注密钥EK，非易失性存储区NVRAM和平台状态寄存器PCRs.vTPM能够完成类似物理TPM的功能，能够保证应用程序对物理或者虚拟TPM访问的透明性. 2) PPS(Protected Persistent Storage，受保护的持久存储区域) PPS:保护每个vTPM的NVM(非易失性存储区).PPS可以存储/加载非易失性存储区中的持久数据，进而保护vTPM实例数据.PPS由物理TPM通过密封Seal操作进行保护.当需要加载PPS中的数据时，为保证数据可信，解封数据前必须通过完整性验证. 3) vTPM Manager(vTPM管理器) vTPM Manager用于管理vTPM.vTPM Manager为客户虚拟机到vTPM实例和vTPM实例到物理TPM间的通信提供了通信信道.其中，vTPM产生器负责产生新的vTPM实例以及与之对应的一系列证书；PPS用于保证vTPM实例对PS的访问，以及对物理TPM的序列化访问. 面向虚拟管理域的访问控制模型 2 由于虚拟化信息系统的TCB包含了Dom0的用户空间，用户空间可通过Domp扫描虚拟机的物理内存威胁虚拟机的敏感信息安全，为整个系统(包括客户虚拟域)带来了安全隐患；因此，本文提出了一种面向虚拟管理域的新型访问控制模型，首先将Dom0的特权操作移植到一个只读域DomB，然后通过在Dom0的内核空间创建守护进程dombd和移植到DomB中的vTPM管理器，协同实现Dom0对DomB的访问控制策略，以规避Dom0用户空间给内存安全带来的风险. 只读域DomB 3 本文定义只读域DomB为不能更改管理域的模块，若非法更改只读域，则无法通过信任链的度量.比如，在Xen虚拟平台下，Mini-OS就能够满足只读域的要求，因为它只具备操作系统内核基本功能，并且不支持内核模块动态加载，也无外设访问权. 1) 将虚拟域创建器移植入只读域DomB 虚拟域创建器(Domain Builder)原本是由Dom0中包括Domain Builder代码的Libxc库实现.本文通过将Domain Builder的代码转移到DomB并使Mini-OS与Libxc库相连接，以使用Libxc库中已有的函数实施创建域、销毁域等操作，从而实现虚拟域创建器的移植. 2) 将vTPM管理器移植入只读域DomB 与虚拟域创建器的移植方法相似，vTPM管理器(vTPM Manager)的代码原本也在Dom0的Libxc库中.本文通过将vTPM Manager的代码转移到DomB并使Mini-OS与Libxc库相连接，以使用Libxc库中已有的函数实施创建、管理vTPM示例等操作，从而实现vTPM管理器的移植.进一步巩固了TPM实例的安全及vPCR度量值的完整性，为建立平台内的信任链机制和平台间的可信验证提供了保障. 访问控制流程 3 本文设计了一种访问控制机制，并结合常用于虚拟化信息系统中前端设备与后端设备间的数据传输的共享I/O环实现Dom0与DomB间的信息交互控制，如 图5 图5 所示. 首先，在Dom0创建进程dombd，负责数据与控制信息的交互，以及接收管理员的命令请求.进程dombd实现访问控制的流程如下： 1) dombd通过向DomB发送DOMBD_START提出虚拟域创建请求；创建成功后，DomB返回DOMBD_READY应答消息. 2) dombd收到应答后，向DomB发送DOMBD_TRANS_IMG提出传送虚拟域内核镜像的请求；DomB在通过授权表机制为Dom0分配共享内存后，向dombd返回应答消息DOMB_RCVD_READY(包含共享内存索引)表示已准备接收. 3) dombd收到DOMB_RCVD_READY后，按顺序将待创建虚拟域的内核文件和ramdisk文件复制到共享内存.DomB接收数据并复制入内存缓冲区中. 4) 数据传输完毕后，dombd向DomB发送DOMBD_BUILD_ DOM请求创建虚拟域；DomB创建虚拟域成功后返回DOMB_BUILD_REDAY应答消息. 系统实现 2 本文将具体描述系统如何在虚拟管理域中实现vTPM示例，以及分解出DomB后，系统如何可信启动虚拟管理域. vTCP实例的实现 3 1) vTPM指令的编组与逆编组 由于TPM内部存储模式采用大端模式，而现有的基于Intel x86架构的PC机是小端模式.故有必要对输入/输出TPM的指令作大/小端转换处理，该操作称为编组与逆编组. 2) 非易失存储区的保护 要利用物理TPM对vTPM实例的数据机密性进行保护，必须对软件TPM的数据处理方式进行改变.在TPM Emulator中，其PPS(受保护的永久存储区)以普通文件形式保存在Linux系统上，因此软件TPM读写PPS的操作就是简单的读/写文件操作. 3) PCR映射 要实现物理PCR到vPCR的映射，需要对物理PCR进行读取操作.在vTPM实例端，需按照TPM命令规范填写TPM_PCRRead(TPM命令)，并将其发送给vTPM Manager，而vTPM Manage则直接将vTPM指令向下传递到物理TPM，不做其他任何处理.接下来，物理TPM需返回对应的PCR值，并通过vTPM Manager传递到vTPM实例.最后由vTPM实例将返回来的物理PCR拷贝至vPCR，完成映射. 虚拟管理域的可信启动 3 从Dom0分解出DomB后，虚拟化信息系统的虚拟管理域启动过程如 图6 图6 所示.由于Dom0已不再拥有虚拟域的创建功能，DomB必须由VMM加载启动，以保证DomB启动的完整性.在特权域Dom0启动过程的基础上加以修改后，DomB的启动分为两部分.第一部分：通过domain_create函数创建domain结构体，这部分仅虚拟域ID号与Dom0的不同.第二部分：调用construct_dom函数创建特性操作，需要修改错误检查、虚拟域的内存分配、临时缓冲区释放、页面映射的取消、I/O访问的授权等处理逻辑. 实验 1 功能测试 2 本文在Xen虚拟平台上，部署了vTPM及新型访问控制策略，并进行功能测试.由于Dom0和DomB都为特权虚拟域，因此两者的加载启动需由Xen Hypervisor完成，本文对虚拟机监视器Xen启动过程进行截屏，获取到 图7 图7 .其中，子窗口a中的启动信息，可证明Xen Hypervisor是同时加载启动Dom0 与DomB的.子窗口b则是系统启动后当前活动虚拟域Dom0与DomB的实时信息. 如 图8 图8 所示，在DomB创建完毕后，其取代了Dom0进行虚拟域DomU创建工作.其中，子窗口a为dombd的日志文件；该日志文件记录了dombd与DomB交互完成虚拟域创建以及内核文件传递的工作.子窗口b中显示了虚拟域创建过程，Dom0的用户程序只需要负责Mini-Os内核镜像文件的加载与解压，DomB负责内核创建与启动. 结果分析 2 本文的访问控制策略，通过隔离Dom0的用户空间与特权操作，使TCB的规模得到了有效的缩减和控制，以满足TCB的静态最小化性需求，减小由于特权集合过于集中导致的安全隐患，并结合本文建立的基于vTPM的信任链，实现对虚拟化信息系统的可信度量，从而极大程度地加强了虚拟化系统的完整性. 同时隔离Dom0的用户空间与特权操作也能够有效地规避用户空间非法访问物理内存所带来的安全风险，从而增强了虚拟化系统的机密性. 因此，本文提出的虚拟平台安全增强模型，能够极大地增强虚拟化平台的安全性. 结论 1 本文针对虚拟化信息系统的可信度量和可信计算基繁重的问题，提出了一种基于访问控制的虚拟平台安全增强模型.在保持虚拟化系统功能的基础上，对TPM进行软件虚拟化，建立基于vTPM的信任链，以实现对虚拟化信息系统的可信度量；根据虚拟化管理域的操作集属性，将特权操作移植入只读域，并对其部署新型访问控制策略，隔离Dom0的用户空间与特权操作，从而规避了用户空间非法访问物理内存的安全风险，同时缩小了可信计算基，以保护虚拟机系统的完整性和机密性，极大地增强了虚拟化平台的安全性. 参考文献 林闯, 苏文博, 孟坤，等. 云计算安全:架构、机制与模型评价[J].计算机学报, 2013, 36(9):1765-1784. LIN C, SU W B, MENG K, et al . Cloud computing security: architecture, mechanism and modeling[J]. Chinese Journal of Computers , 2013, 36(9):1765-1784(Ch). Intel Corp. Tboot [EB/OL].[2015-02-12] . http://sourceforge.net/ projects/tboot http://sourceforge.net/ projects/tboot . AZAB M, NING P, WANG Z, et al . HyperSentry: enabling stealthy in-context measurement of hypervisor integrity[DB/OL].[2015-01-02] . http://www.cs.ncsu.edu/faculty/jiang/pubs/CCS10.pdf http://www.cs.ncsu.edu/faculty/jiang/pubs/CCS10.pdf . WANG Z, JIANG X X. HyperSafe: A lightweight approach to provide lifetime hypervisor controlflow integrity[J]. IEEE Symposium on Security and Privacy , 2010: 380-395. WAILLY A, LAEOSTE M, DEBAR H. Towards multi-layer autonomic isolation of cloud computing and network in gresources[DB/OL]. [2015-02-27] . http://www.csc.ncsu.edu/faculty/jiang/pubs/OAKLAND10.pdf http://www.csc.ncsu.edu/faculty/jiang/pubs/OAKLAND10.pdf . 陈丹伟, 邵菊, 樊晓唯, 等. 基于MAH-ABE的云计算隐私保护访问控制[J].电子学报,2014, 42(4):821-827. CHEN D W, SHAO J, FAN X W, et al . MAH-ABE based privacy access control in cloud computing[J]. Acta Electronica Sinica , 2014, 42(4):821-827(Ch). 林杰, 刘川意, 方滨兴. IVirt:基于虚拟机自省的运行环境完整性度量机制[J].计算机学报, 2015, 38(1):191-203. LIN J, LIU C Y, FANG B X. IVirt: Runtime environment integrity measurement mechanism based on virtual machine introspection[J]. Chinese Journal of Computers , 2015, 38(1):191-203(Ch). 张兴, 黄强, 沈昌祥, 等. 一种基于无干扰模型的信任链传递分析方法[J].计算机学报, 2010, 33(1):74-81. ZHANG X, HUANG Q, SHEN C X, et al. A formal method based on noninterference for analyzing trust chain of trusted computing platform[J]. Chinese Journal of Computers , 2010, 33(1):74-81(Ch). 10.14188/j.1671-8836.2016.03.002 TP 393.08 whdxxblxb-62-03-218 国家自然科学基金（61373169）;国家高技术研究发展计划（863）项目（2015AA016004）;信息保障技术重点实验室开放基金（KJ-14-110, KJ-14-101）资助项目 2015-05-10 2016-06-24 2020-12-09 版权所有 © 《武汉大学学报(理学版)》编辑部 Copyright © 2016 Journal of Wuhan University (Natural Science Edition). All rights reserved. 2016 武汉大学学报(理学版) 3 62