公开(公告)号：CN101599022B

公开(公告)日：2012-07-04

申请号：CN200910063085.7

申请日：2009-07-07

Applicant: 武汉大学

Inventor： 王丽娜 ,  余荣威 ,  寇鹏 ,  匡波 ,  周凯 ,  柯晋 ,  尹磊 ,  尹帆

IPC: G06F9/445 ,  G06F21/00

Abstract: 本发明公开了用于虚拟机系统的可信计算基防泄露裁剪方法。所述虚拟机系统中包括有硬件层、虚拟机监视器层、虚拟可信平台模块管理器、域创建模块、内核和敏感数据访问策略；虚拟可信平台模块管理器、域创建模块、内核和敏感数据访问策略处于特权域；其特征在于：建立一个与特权域隔离的特殊用户域，将虚拟可信平台模块管理器、域创建模块和敏感数据访问策略迁置于特殊用户域中，内核保留于特权域中；特权域与特殊用户域之间建立通信；硬件层、虚拟机监视器层、虚拟可信平台模块管理器、域创建模块和敏感数据访问策略构成可信计算基。本发明提供了一种可信计算基裁剪方案，不仅保留了传统可信计算基方案的优势，而且增强了可信虚拟机系统的安全性和启动速度。

公开(公告)号：CN101599022A

公开(公告)日：2009-12-09

申请号：CN200910063085.7

申请日：2009-07-07

Applicant: 武汉大学

Inventor： 王丽娜 ,  余荣威 ,  寇鹏 ,  匡波 ,  周凯 ,  柯晋 ,  尹磊 ,  尹帆

IPC: G06F9/445 ,  G06F21/00

Abstract: 本发明公开了用于虚拟机系统的可信计算基防泄露裁剪方法。所述虚拟机系统中包括有硬件层、虚拟机监视器层、虚拟可信平台模块管理器、域创建模块、内核和敏感数据访问策略；虚拟可信平台模块管理器、域创建模块、内核和敏感数据访问策略处于特权域；其特征在于：建立一个与特权域隔离的特殊用户域，将虚拟可信平台模块管理器、域创建模块和敏感数据访问策略迁置于特殊用户域中，内核保留于特权域中；特权域与特殊用户域之间建立通信；硬件层、虚拟机监视器层、虚拟可信平台模块管理器、域创建模块和敏感数据访问策略构成可信计算基。本发明提供了一种可信计算基裁剪方案，不仅保留了传统可信计算基方案的优势，而且增强了可信虚拟机系统的安全性和启动速度。

公开(公告)号：CN101533434A

公开(公告)日：2009-09-16

申请号：CN200910061563.0

申请日：2009-04-10

Applicant: 武汉大学

Inventor： 王丽娜 ,  余荣威 ,  尹帆 ,  周凯 ,  柯晋 ,  匡波 ,  尹磊

IPC: G06F21/00

Abstract: 本发明公开了面向敏感数据防泄漏的可信虚拟机远程验证方法包括有以下流程：服务提供方和服务请求方之间建立通信；服务提供方对服务请求方进行身份认证；服务提供方向服务请求方分发安全的操作系统、服务请求方启动新虚拟机运行该操作系统；服务提供方对服务请求方进行平台可信状态评估；服务提供方允许或拒绝服务请求方访问数据。服务提供方通过远程证明方式检验服务请求方平台的可信状态，当服务请求方状态符合预期的可信状态时，服务提供方才允许服务请求方的连接请求。本发明还利用了可信计算技术，为实现虚拟化平台的可信网络连接提供了高安全性支持，确保数字资产安全。

公开(公告)号：CN101520833A

公开(公告)日：2009-09-02

申请号：CN200910061564.5

申请日：2009-04-10

Applicant: 武汉大学

Inventor： 王丽娜 ,  余荣威 ,  李永一 ,  周凯 ,  柯晋 ,  匡波 ,  尹磊

IPC: G06F21/24 ,  G06F9/455

Abstract: 本发明公开了基于虚拟机的数据防泄漏系统与方法，利用虚拟机技术，通过在操作系统下层的虚拟机监控层中添加防泄漏监控模块，对数据输出行为进行全面的监控和过滤；当客户虚拟机要求输出访问时，通过虚拟机监控层的访问控制机制，对客户虚拟机的数据输出请求进行分析跟踪，对不符合输出控制策略的请求进行拦截，并且将非法行为记录在日志中，从而防止数据泄漏行为的发生。本发明还提供了模块化系统实现方案，采用防泄漏决策模块、安全日志模块、防泄漏监控模块、防泄漏策略缓存模块和通知模块构建数据防泄漏系统，便于实施。本发明利用了虚拟机监控层对于操作系统的透明性，避免病毒、木马恶意软件对防泄漏模块的破坏，具有高安全性和可靠性的优点。