公开(公告)号：CN112187734B

公开(公告)日：2021-12-14

申请号：CN202010943577.1

申请日：2020-09-09

Applicant: 中国科学院信息工程研究所

Inventor： 孟丹 ,  贾晓启 ,  侯锐 ,  孟慧石 ,  黄庆佳 ,  付玉霞 ,  孙慧琪 ,  张伟娟 ,  赵崇名

IPC: H04L29/06 ,  H04L12/46

Abstract: 本申请实施例中提供了一种IPSec组件架构及VPN隧道建立方法。采用本申请中的方案，将包括IPSec核心组件的TEE侧模块组设置在TEE可信执行环境中运行，将包括IPSec协议封装模块及TCP/IP协议栈的REE侧模块组设置在REE驱动系统环境中运行，同时设置共用的存储单元以连接IPSec协议封装模块和IPSec核心组件。由于TEE驱动系统可独立于电子设备上的其它应用来访问硬件和软件安全资源，因此在VPN隧道建立过程中，其关键数据的处理过程可以避开常规操作系统的其它应用干扰。又因为IPSec协议封装模块及TCP/IP协议栈设置在REE驱动系统中，因此IP协议数据包封装处理流程可置于REE驱动系统处理，实现了在保证VPN隧道安全性的同时具备降低TEE驱动系统复杂度、负载度、提高处理效率以及降低开发成本的技术效果。

公开(公告)号：CN112882799A

公开(公告)日：2021-06-01

申请号：CN202110239790.9

申请日：2021-03-04

Applicant: 中国科学院信息工程研究所

Inventor： 孟丹 ,  贾晓启 ,  张伟娟 ,  韦秋石 ,  陈家赟 ,  白璐 ,  周启航 ,  武希耀 ,  孙慧琪 ,  黄庆佳

IPC: G06F9/455 ,  H04L29/06

Abstract: 本发明公开一种基于内置安全芯片的虚拟机可信迁移系统，涉及虚拟化安全领域，该系统包括内置安全芯片、服务器操作系统、虚拟机管理器，该虚拟机管理器包括虚拟BIOS、虚拟度量设备和可信迁移模块，虚拟BIOS用于对虚拟机核心文件进行静态度量，虚拟度量设备用于对虚拟机内存进行动态度量，将静态度量和动态度量共同得到的虚拟机可信信息存放在源服务器的内置安全芯片中；可信迁移模块用于提取虚拟机的可信信息并借助内置安全芯片进行加密传输。本发你能够实现对虚拟机进行可信迁移，防止虚拟机迁移过程中遭遇的恶意攻击。

公开(公告)号：CN112860380A

公开(公告)日：2021-05-28

申请号：CN202110240840.5

申请日：2021-03-04

Applicant: 中国科学院信息工程研究所

Inventor： 孟丹 ,  贾晓启 ,  张伟娟 ,  韦秋石 ,  陈家赟 ,  白璐 ,  周启航 ,  武希耀 ,  孙慧琪 ,  黄庆佳

IPC: G06F9/455 ,  G06F9/50 ,  G06F21/60

Abstract: 本发明公开一种基于内置安全芯片的虚拟机可信迁移方法，涉及虚拟化安全领域，在源服务器的虚拟机管理器中设置虚拟度量设备模块，对虚拟机内存进行读取和度量，将度量得到的虚拟机可信信息存储在该源服务器的内置安全芯片中，再加密传输给目的服务器的内置安全芯片中；当刷新脏页至设定阈值以下时，使源服务器的虚拟机进入挂起状态，然后加密传输虚拟机的剩余内存信息；目的服务器根据虚拟度量设备的内存信息对虚拟度量设备内存进行恢复，并根据恢复情况执行对应操作。本发明可以防止虚拟机迁移过程中遭遇的恶意攻击。

公开(公告)号：CN107622199B

公开(公告)日：2019-12-17

申请号：CN201710859852.X

申请日：2017-09-21

Applicant: 中国科学院信息工程研究所

Inventor： 贾晓启 ,  张伟娟 ,  台建玮 ,  杜海超 ,  唐静 ,  白璐 ,  黄庆佳 ,  武希耀 ,  龚晓锐 ,  霍玮

IPC: G06F21/54 ,  G06F9/54

Abstract: 本发明涉及一种云环境中Flush‑Reload缓存侧信道攻击防御方法和装置。该方法包括：1)选取要保护的安全敏感模块；2)防护进程和目标进程共用CPU缓存；3)防护进程和目标进程共享安全敏感模块的内存；4)当目标进程运行安全敏感模块时，防护进程以一定策略混淆共享的该安全敏感模块的内存，对缓存状态进行干扰，从而防御Flush‑Reload缓存侧信道攻击。本发明主要通过不断在Flush‑Reload攻击所利用的高速缓存信道引入噪声来干扰攻击实例，能够有效地保护用户隐私信息。

公开(公告)号：CN107239696A

公开(公告)日：2017-10-10

申请号：CN201710233167.6

申请日：2017-04-11

Applicant: 中国科学院信息工程研究所

Inventor： 贾晓启 ,  郑小妹 ,  白璐 ,  杜海超 ,  唐静 ,  武希耀 ,  黄庆佳

IPC: G06F21/53 ,  G06F21/57

CPC classification number: G06F21/53 ,  G06F21/577

Abstract: 本发明涉及一种针对虚拟化超级调用函数的漏洞热修复方法。该方法包括：1)根据Xen系统的e820表计算Xen物理内存起始地址；2)根据计算出的Xen物理内存起始地址及Xen内存分布，计算超级调用表的虚拟地址所映射到的物理地址；3)通过特权域Domain0获取补丁机器码，并将补丁写入内存，记录补丁函数的物理地址；4)根据待修复的超级调用处理函数对应的超级调用号，计算待修复的超级调用处理函数在超级调用表中对应的物理地址；5)通过特权域Domain0更新超级调用表，从而实现对超级调用处理函数的漏洞热修复。本发明能够准确地修复虚拟化平台漏洞，无需重启机器，保证了虚拟化平台上虚拟机的正常运行。