云計算環境中的服務器和客戶機的遠程信任認證和地理位置的制作方法
【專利摘要】可提供方法及系統，用于基于與遠程代理相關聯的通信從多個管理程序協議選擇管理程序協議。所選擇的管理程序協議可用于對通信中一個或多個數字簽名的值進行信任分析，其中，可基于該信任分析對云認證請求進行處理。對該云認證請求進行處理可涉及例如為與該遠程代理相對應的云計算節點生成可信度驗證輸出、地理位置驗證輸出等等。
【專利說明】云計算環境中的服務器和客戶機的遠程信任認證和地理位
[0001]背景
【技術領域】
[0002]實施例總體上涉及云計算。更具體而言，實施例涉及在云計算環境中啟用遠程設備信任認證和地理位置功能。
[0003]討論
[0004]盡管云計算可為終端用戶提供處理功率和靈活方面的機會，常規云計算解決方案的某些方面可從安全立足點提出許多挑戰。例如，以安全且簡單的方式確定云計算資源的可信度和/或位置是困難的，尤其是當那些資源采用不同的操作系統(OS)和虛擬機管理器(WMM)協議時。實際上，不能夠提供足夠的安全措施可妨礙各行各業采用云計算。
[0005]附圖簡要說明
[0006]通過閱讀以下說明書和所附權利要求書并且通過參考以下附圖，本發明實施例的各種優點將對本領域普通技術人員變得明顯，在附圖中:
[0007]圖1A是根據實施例的遠程信任認證架構的示例的框圖；
[0008]圖2是根據實施例的操作信任權威服務的方法的示例的流程圖；
[0009]圖3是根據實施例的云計算節點的示例的框圖；以及
[0010]圖4A和4B是根據實施例的具有定位驗證輸出的示例接口的屏幕截圖。
[0011]詳細描述
[0012]現在轉向圖1，示出用于云計算解決方案的遠程信任認證架構10。在所示出的示例中，信任權威服務12被配置成用于對各種云計算節點14(14a-14e)的可信度和/或地理位置(例如，地理位置)進行驗證以及為一個或多個查詢應用16(16a_16e)證明這種可信度(或缺少可信度)和/或地理位置。例如，信任權威服務12可使用認證處理器18來從查詢應用16中的一個或多個接收云認證請求、針對云計算節點14中的一個或多個執行信任分析、并且基于信任分析返回驗證結果/輸出。可從云管理接口 16a、虛擬化管理接口 16b、策略接口 16c (例如，HyTrust設備)、符合接口 16d (例如，管理、風險和符合/GRC)、安全接口 16e (例如，來自NitroSecurity、ArchSight等等的安全信息和事件管理你/SIEM解決方案)等等接收可包括信任度和/或地理位置查詢的云認證請求。例如，符合接口 16d可用于驗證云計算節點14符合一個或多個GRC要求等等。而且，認證處理器可使用一個或多個應用編程接口(API) 28以便從查詢應用16接收云認證請求并且將驗證結果輸出到查詢應用16。在一個示例中，API28包括表示狀態傳送(REST)API。
[0013]云計算節點14可包括各種服務器、網絡設備、客戶機設備等等，其中，節點14可采用不同的操作系統(OS)和/或管理程序(例如，VMM)協議。在所示出的示例中，第一節點(“節點I”)14a使用第一管理程序協議(例如，“管理程序協議A”)來管理第一節點14a上的虛擬機環境，第二節點(“節點i”)14b使用第二管理程序協議(例如，“管理程序協議j”)來管理第二節點14b上的虛擬機環境，第三節點(“節點N-1”)14c使用第三管理程序協議(例如，“管理程序協議η”)來操作第三節點14c上的虛擬機環境，并且第四節點(“節點N”)14d使用第三管理程序協議來操作第四節點14d上的虛擬機環境。第三和第四節點14c、14d可由還被配置成用于使用第三管理程序協議(例如，“管理程序協議η”)的另一個節點14e管理。如將更詳細地討論的，按照信任計算組遠程認證協議，每個云計算節點14可與被配置成用于向信任權威服務12提供將在信任分析中使用的信息的信任代理22相關聯。
[0014]示例管理程序協議包括但不限于ESXi (ESXi5.0, VMware, 2011年八月)、KVM(基于內核的虛擬機，例如，用于Linux2.6.20的SUSE KVM, 2007年二月)、Xen (例如，用于Linuxv2.6.37的Red Hat Xen,2011年三月)等等。附加地，每個管理程序協議可啟用在包括但不限于Windows、Linux和Mac操作系統的各種不同操作系統中部署多個虛擬機。認證機制將無縫地工作以在我們具有虛擬TPM(信任平臺模塊)時證明虛擬機的可信。
[0015]在所示出的示例中，信任權威服務12包括從信任代理22接收數字簽名的通信(例如，安全套接字層/SSL通信)的一個或多個REST API21認證服務器邏輯20，其中，認證權威24可用于驗證數字簽名。附加地，所示出的信任權威服務12包括被配置成用于在每管理程序協議的基礎上執行信任分析的信任驗證器26。例如，信任驗證器26可從多個協議專用插件32選擇協議專用插件并且使用所選擇的協議專用插件32對在來自信任代理22的通信中一個或多個數字簽名的值執行信任分析。具體而言，數字簽名的值可包括平臺配置寄存器(PCR)值，諸如地理位置值、軟件散列(例如，SHA散列值)、完整性測量日志(ML)值，諸如測量序列和啟動日志信息等等，其中，信任分析可涉及將數字簽名的值與一個或多個已知值進行比較。
[0016]在此方面，所示出的架構10還包括白名單存儲庫34和白名單模塊36，該白名單模塊使用一個或多個REST API來經由白名單入口 38接收已知值并且用已知值填充白名單存儲庫34。例如，可通過在受控IT (信息技術)環境中運行云計算節點14并且標識當前測量值來確定已知值，其中，這種值還可被存儲到云計算節點14的安全PCR中用于在運行時使用。還可經由合適的更新管理器子系統從VMM/0S供貨商獲得“黃金”或“已知”模塊散列。
[0017]因此，信任驗證器26可根據所涉及的云計算節點14從白名單存儲庫34檢索已知值，并且將通信中的數字簽名的值與已知值進行比較。例如，可對一個或多個管理程序/OS散列值進行比較，以便確定傳入通信的來源是否實際上與信任云計算節點14相關聯。在另一個示例中，可對一個或多個地理位置值進行比較(例如，將通信中的數字簽名的地理位置值與地圖進行比較)，以便確定傳入通信的來源的位置。
[0018]所示出的認證服務器邏輯20將信任分析的結果傳遞到認證處理器18，其可輸出結果作為對云認證請求的響應。認證處理器18還可使用信任高速緩存40處理云認證請求，其中，信任高速緩存40可包括可加速認證過程的已加時間戳的可信度/地理位置數據。例如，認證處理器18可訪問信任高速緩存40并且確定已經為所涉及的云計算節點14生成了可信度/地理位置驗證響應并且使用來自信任高速緩存40的結果而不是來自信任權威服務12的結果和/或作為其附加。
[0019]可在例如個人計算機(PC)、服務器、工作站、膝上計算機、個人數字助理(PDA)、無線智能電話、媒體播放器、成像設備、移動互聯網設備(MID)、任何智能設備諸如智能電話、智能平板計算機等等、或其任何組合上，實現信任權威服務12。因此，信任驗證器26、認證服務器邏輯20和認證權威24可包含某些硬件元件，諸如例如處理器、控制器和/或芯片組、存儲器結構、總線等等。附加地，所示出的信任權威服務12使用網絡接口 27與云計算節點14和/或查詢應用16 (當合適時)交換通信。例如，網絡接口 27可提供離平臺無線通信功能用于各種各樣的目的，諸如例如蜂窩電話(例如，寬帶碼分多址/W-CDMA(通用移動通信系統/UMTS) ,CDMA2000 (IS-856/IS-2000)等等),W1-Fi (無線保真，例如電氣與電子工程師協會/IEEE802.11-2007、無線局域網/LAN媒體接入控制(MAC)以及物理層(PHY)規范)、LR-WPAN(低速率無線個域網，例如 IEEE802.15.4-2006)、藍牙(例如，IEEE802.15.1-2005、無線個域網)、WiMax (例如，IEEE802.16-2004、LAN/MAN寬帶無線LAN)、GPS (全球定位系統)、擴展頻譜(例如，900MHz)、以及其他RF (射頻)電話目的。網絡接口 27還可提供離平臺有線通信(例如，RS-232(電子工業聯盟/E1A)、以太網(例如，IEEE802.3-2005)、電力線通信(例如，X10、IEEE P 11675)、USB (例如，通用串行總線，例如，USB規范3.0，版本1.0，2008年11月12日，USB實現論壇)、DSL(數字用戶線)、纜線調制解調器、Tl連接等等功能)。
[0020]圖2示出操作信任權威服務的方法42。方法42可在云信任權威服務(諸如所討論的云信任權威服務12(圖1))中被實現為可執行邏輯指令集，該指令集存儲在至少一個機器或計算機可讀存儲介質(諸如隨機存取存儲器(RAM)、只讀存儲器(ROM)、可編程ROM(PROM)、閃存、固件、微代碼等等)中、可配置邏輯(諸如可編程邏輯陣列(PLA)、現場可編程門陣列(FPGA)、復雜可編程邏輯設備(CPLD))中、使用電路技術(諸如專用集成電路(ASIC)、互補金屬氧化物半導體(CMOS)或晶體管-晶體管邏輯(TTL)技術或其任何組合)的固定功能硬件中。例如，可用一種或多種編程語言的任何組合編寫用于執行方法42中所示的操作的計算機程序代碼，包括面向對象的編程語言，諸如C++等等，以及常規程序編程語言，諸如“C”編程語言或類似的編程語言。而且，可使用任何上述電路技術將方法42的各個方面實現為處理器的嵌入邏輯。
[0021]所示出的處理模塊44基于與遠程信任代理相關聯的通信從多個管理程序協議選擇管理程序協議。所選擇的管理程序協議可用于在框46對通信中的一個或多個數字簽名的值進行信任分析。在一個示例中，信任分析包括將數字簽名的值與一個或多個已知值進行比較，如所討論的。因此，如果從偽裝成信任云計算節點的設備接收到通信，過程可在框46確定通信中的數字簽名的值不對應/匹配已知值。附加地，框48可基于信任分析處理云認證請求。因此，如果已經確定數字簽名的值不對應/匹配已知值，框48可包括生成表明所涉及的設備不可信任的輸出。在另一個示例中，所示出的方法可為所涉及的遠程設備證明/輸出信任地理位置值。
[0022]現在轉向圖3，示出云計算節點(“節點i”)50的示例。可包括服務器、網絡設備、客戶機設備等等的所示出的云計算節點50可容易地由節點14(圖1)中的一個或多個替換，如所討論的。在所示出的示例中，節點50的硬件層包括中央處理單元(CPU)和芯片組52以及具有PCR 56和非易失性RAM (NVRAM) 58的信任平臺模塊(TPM) 54。節點50的軟件堆棧可包括基本輸入/輸出系統(B1S) /固件(FW)層60以及具有信任代理64和信任啟動(“tboot”)代碼66的管理程序層62。信任代理64可具有類似于信任代理22 (圖1)的功能，如所討論的。所示出的節點50還包括多個虛擬機68，其中，虛擬機68中的兩個或多個可使用不同的OS。
[0023]一旦正確地提供所示出的CPU和芯片組52以及TPM54 (例如，針對信任執行、地理位置等等)，所示出的tboot代碼66可用地理位置值和其他軟件散列填充PCR56，其中，信任代理64可從PCR56檢索信息、對其進行數字簽名、并且將其作為通信傳輸到信任權威服務70。可包括類似于信任權威服務12 (圖1)的功能的信任權威服務70然后可使用數字簽名的值對通過認證處理器74來自云管理應用72的一個或多個云認證請求進行響應，如所討論的。因此，所示出的云管理應用72可具有類似于查詢應用16中的一個或多個的功能，如所討論的。
[0024]圖4A示出在其中用從與云計算基礎設施中虛擬集群集合78 (78a，78b)相關聯的信任代理獲得的地理位置信息對集群78進行標記的界面76。因此，可經由應用(諸如例如查詢應用16(圖1)或云管理應用72(圖3)中的一個或多個)響應于基于地理位置的信任分析將界面76輸出給用戶。在所示出的示例中，已經確定運行具體的虛擬機(VMl)的第一集群78a位于美國(USA)并且第二集群78b位于印度。圖4B示出界面80，該界面可來自在具有要求所有云計算資源物理地位于美國的策略(例如，管理風險和符合)的環境中將虛擬機從第一集群78a遷移到第二集群78b的嘗試。具體而言，所示出的界面80包括表明所提出的遷移違反了所就位的地理位置符合策略的警告消息82。
[0025]因此，實施例可涉及操作信任權威服務的方法，其中，基于與遠程信任代理相關聯的通信從多個管理程序協議選擇管理程序協議。所選擇的管理程序協議可用于對通信中一個或多個數字簽名的值進行信任分析。附加地，該方法可提供基于信任分析處理云認證請求。在一個示例中，處理該云認證請求包括為該云計算節點生成可信度驗證輸出。
[0026]在一個示例中，從多個管理程序協議選擇該管理程序協議包括選擇協議專用插件。
[0027]在另一個示例中，該方法進一步包括從白名單存儲庫檢索一個或多個已知值，其中，該信任分析包括將該一個或多個數字簽名的值與該一個或多個已知值進行比較。該方法還可包括:經由白名單入口接收該一個或多個已知值；以及用該一個或多個已知值填充該白名單存儲庫。附加地，該一個或多個已知值以及該一個或多個數字簽名的值包括寄存器值和日志數據中的一個或多個。
[0028]在另一個示例中，該方法進一步包括從與該遠程信任代理相關聯的云計算節點接收該通信，其中，對該云認證請求進行處理包括為該云計算節點生成可信度驗證輸出。附加地，可從服務器、網絡設備和客戶機設備中的一個或多個接收該通信。
[0029]在另一個示例中，該方法進一步包括經由云管理接口、虛擬化管理接口、策略接口、符合接口、以及安全接口中的一個或多個接收該云認證請求。
[0030]在另一個示例中，對該云認證請求進行處理包括訪問信任高速緩存。
[0031]實施例還可包括:至少一種機器可讀介質，包括多個指令，響應于在計算設備上被執行，該多個指令致使該計算設備執行前述方法的任何示例；一種用于操作信任權威服務的裝置，被配置成用于執行前述方法的任何示例；以及一種用于操作信任權威服務的系統，包括網絡接口和芯片組，被配置成用于執行前述方法的任何示例的方法。
[0032]實施例還可包括至少一種計算機可訪問和/或機器可讀存儲介質，具有指令集，如果被處理器執行，該指令集致使計算設備基于與遠程信任代理相關聯的通信從多個管理程序協議選擇管理程序協議。這些指令還可致使計算設備使用所選擇的管理程序協議對該通信中一個或多個數字簽名的值進行信任分析并且基于該信任分析處理云認證請求。在一個示例中，處理該云認證請求包括為該云計算節點生成可信度驗證輸出。
[0033]其他實施例還涉及操作信任權威服務的方法，其中，經由白名單入口接收一個或多個已知值，并且用該一個或多個已知值填充白名單存儲庫。該方法還可提供將從與遠程信任代理相關聯的云計算節點接收通信，以及基于與該通信相對應的管理程序協議從多個協議專用插件選擇協議專用插件。附加地，還可從該白名單存儲庫檢索該一個或多個已知值，其中，所選擇的協議專用插件可用于對該通信中一個或多個數字簽名的值進行信任分析。在一個示例中，該信任分析包括將該一個或多個數字簽名的地理位置值與一個或多個已知值進行比較，其中，這些已知值包括地圖數據。而且，該方法可提供基于該信任分析處理云認證請求，其中，處理該云認證請求包括為該云計算節點生成位置驗證輸出。
[0034]在一個示例中，從服務器、網絡設備和客戶機設備中的一個或多個接收該通信。
[0035]在另一個示例中，該方法進一步包括經由云管理接口、虛擬化管理接口、策略接口、符合接口、以及安全接口中的一個或多個接收該云認證請求。
[0036]在另一個示例中，對該云認證請求進行處理包括訪問信任高速緩存。
[0037]實施例還可包括:至少一種機器可讀介質，包括多個指令，響應于在計算設備上被執行，該多個指令致使該計算設備執行前述方法的任何示例；一種用于操作信任權威服務的裝置，被配置成用于執行前述方法的任何示例；以及一種用于操作信任權威服務的系統，包括網絡接口和芯片組，被配置成用于執行前述方法的任何示例的方法。
[0038]附加地，實施例可包括裝置，該裝置具有白名單存儲庫以及具有白名單入口的白名單模塊，其中，該白名單模塊用于經由該白名單入口接收一個或多個已知值，并且用該一個或多個已知值填充該白名單存儲庫。該裝置還可包括:信任模塊，該信任模塊具有用于從與遠程信任代理相關聯的云計算節點接收通信的認證服務器邏輯，以及信任驗證器，該信任驗證器用于基于與該通信相對應的管理程序協議從多個協議專用插件選擇協議專用插件。該信任驗證器還可從該白名單存儲庫檢索該一個或多個已知值并且使用所選擇的協議專用插件對該通信中一個或多個數字簽名的值進行信任分析。在一個示例中，該信任分析包括將該一個或多個數字簽名的地理位置值與該一個或多個已知值進行比較，并且該認證服務器邏輯基于該信任分析為該云計算節點生成位置驗證輸出。
[0039]實施例還可包括系統，該系統具有網絡接口，該網絡接口用于標識來自與遠程信任代理相關聯的云計算節點的通信。該系統還可具有帶有信任驗證器的芯片組，該信任驗證器用于基于該通信從多個管理程序協議選擇管理程序協議。附加地，該信任驗證器可使用所選擇的管理程序協議對該通信中一個或多個數字簽名的值進行信任分析，其中，該芯片組進一步包括基于該信任分析處理云認證請求的認證服務器邏輯。
[0040]因此，在此描述的技術提供了用于可跨多OS/多管理程序環境的成百上千的主機和設備進行擴展的遠程認證的方法。這種技術使得能夠在向云計算基礎設施內的主機、設備和其他資源分配應用和工作負載之前確定可信度。而且，可以用非常靈活的防篡改方法存儲和檢索地理位置信息。
[0041]可使用硬件、軟件、或其組合實現并且可在一個或多個計算機系統或其他處理系統中實現本發明實施例的某些方面。可將程序代碼應用到使用輸入設備輸入的數據，以便執行所描述的功能并且生成輸出信息。輸出信息可被應用到一個或多個輸出設備。本領域普通技術人員可認識到實施例可在不同的計算機系統配置下實踐，包括多處理器系統、微型計算機、大型計算機等等。實施例還可在分布式計算環境中實踐，其中可由通過通信網絡鏈接的遠程處理設備執行任務。
[0042]每個程序可被實現在高級程序或面向對象的編程語言中，以便與處理系統通信。然而，程序可被實現在匯編或機器語言中，如果希望的話。在任何情況下，可編譯或解釋語言。
[0043]程序指令可用于致使使用指令編程的通用或專用處理系統執行在此所描述的方法。可替代地，可由包含用于執行該方法的特定硬件組件或由編程計算機組件和定制硬件組件的任何組合來執行該方法。在此所述的方法可被提供為計算機程序產品，該計算機程序產品可包括其上存儲有指令的至少一個機器可讀介質，該指令可用于對處理系統或其他電子設備進行編程，以便執行該方法。在此所使用的術語“機器可讀介質”或“機器可訪問介質”應當包括能夠存儲或編碼指令序列以便由機器執行的并且致使機器執行在此所述的任何一種方法的任何介質。術語“機器可讀介質”或“機器可訪問介質”可因此包括但不限于對數據信號進行編碼的固態存儲器、光盤和磁盤、以及載波。而且，本領域常常見的是當采取行動或造成結果時談及一種或另一種形式的軟件(例如，程序、過程、進程、應用、模塊、邏輯等等)。這種表達僅僅是表述通過處理系統執行軟件以便致使處理器執行動作或產生結果的簡寫方式。
[0044]術語“耦合”可在此用于指代有關組件之間的任何類型的關系(直接的或間接的)并且可應用到電、機械、流體、光、電磁、機電或其他連接。附加地，術語“第一”、“第二”等等可在此僅用于方便討論并且不帶有任何特定的時間或時間順序的意義，除非另外指明。
[0045]盡管已經在以上描述本發明的不同實施例，應當理解的是已經通過舉例而非限制展現了它們。本領域普通技術人員將理解的是可在不背離如在所附權利要求書中所定義的本發明的精神和范圍的情況下做出各種形式和細節的改變。因此，本發明的幅度和范圍不應當受限于上述示例性實施例，而是應當根據以下權利要求書及其等效方案來定義。
【權利要求】
1.一種操作信任權威服務的方法，包括: 基于與遠程信任代理相關聯的通信從多個管理程序協議選擇管理程序協議； 使用所選擇的管理程序協議對所述通信中一個或多個數字簽名的值進行信任分析；以及 基于所述信任分析對云認證請求進行處理。
2.如權利要求1所述的方法，其中，從多個管理程序協議選擇所述管理程序協議包括選擇協議專用插件。
3.如權利要求1所述的方法，進一步包括從白名單存儲庫檢索一個或多個已知值，其中，所述信任分析包括將所述一個或多個數字簽名的值與所述一個或多個已知值進行比較。
4.如權利要求3所述的方法，進一步包括: 經由白名單入口接收所述一個或多個已知值；以及 用所述一個或多個已知值填充所述白名單存儲庫。
5.如權利要求3所述的方法，其中，所述一個或多個已知值以及所述一個或多個數字簽名的值包括寄存器值和日志數據中的一個或多個。
6.如權利要求1所述的方法，進一步包括從與所述遠程信任代理相關聯的云計算節點接收所述通信，其中，處理所述云認證請求包括為所述云計算節點生成可信度驗證輸出。
7.如權利要求6所述的方法，其中，所述通信是從服務器、網絡設備和客戶機設備中的一個或多個接收的。
8.如權利要求1所述的方法，進一步包括經由云管理接口、虛擬化管理接口、策略接口、符合接口、以及安全接口中的一個或多個接收所述云認證請求。
9.如權利要求1所述的方法，其中，處理所述云認證請求包括訪問信任高速緩存。
10.至少一種機器可讀介質，包括多個指令，響應于在計算設備上被執行，所述指令致使所述計算設備執行根據權利要求1至9中任一項所述的方法。
11.一種用于操作信任權威服務的裝置，被配置成用于執行如權利要求1至9中任一項所述的方法。
12.一種用于操作信任權威服務的系統，包括網絡接口和芯片組，被配置成用于執行如權利要求1至9中任一項所述的方法。
【文檔編號】H04L9/32GK104081713SQ201280068563
【公開日】2014年10月1日 申請日期:2012年1月30日 優先權日:2012年1月30日
【發明者】Y·拉戈胡拉姆 申請人:英特爾公司