包括埠和來賓域的計算設備的製作方法
2023-09-14 19:56:35
包括埠和來賓域的計算設備的製作方法
【專利摘要】第一來賓域和隔離的外圍相關任務。外圍相關任務與外圍進行通信，並且防止第一來賓域與外圍進行通信。
【專利說明】包括埠和來賓域的計算設備
【背景技術】
[0001]虛擬機是像物理機器一樣執行指令的機器的軟體實現。虛擬機與物理機器一樣易受惡意攻擊。即插即用可允許在沒有用戶幹預的情況下將外圍連接至機器，來配置外圍。如果外圍是惡意的，那麼其可能感染虛擬機。
【專利附圖】
【附圖說明】
[0002]關於以下附圖描述本發明的一些實施例:
[0003]圖1是根據示例性實現的計算設備的框圖；
[0004]圖2是根據示例性實現的計算設備的框圖；
[0005]圖3是根據示例性實現的界面；
[0006]圖4是根據示例性實現的與連接至計算設備的外圍進行通信的方法的流程圖；
[0007]圖5是根據示例性實現的與連接至計算設備的外圍進行通信的方法的流程圖；以及
[0008]圖6是根據示例性實現的包括計算機可讀介質的計算系統。
【具體實施方式】
[0009]計算設備可能易受惡意代碼的攻擊。計算設備可以是例如伺服器、臺式機、筆記本、行動電話、PDA或別的計算設備。惡意代碼可以是例如惡意軟體、病毒、固件攻擊或其它。計算設備可執行可能受病毒或惡意軟體攻擊的作業系統。
[0010]虛擬機還可以稱為虛擬域，該虛擬域用於主管在該虛擬域中執行的作業系統。物理機器可以執行多個域。在域上執行的作業系統易受病毒和惡意軟體的攻擊，如果該作業系統直接在計算設備的物理硬體上執行，那麼病毒和惡意軟體可攻擊該作業系統。這些域可被還稱為虛擬機監視器的管理程序管理並彼此隔離，或者可與諸如特權域之類的域之一結合。計算設備上的每個域可執行外圍相關的任務。外圍相關任務可以是用於確定外圍是否是惡意的的邏輯或指令。虛擬裝置可以用於執行外圍相關任務。虛擬裝置可在域中運行。外圍相關任務可掃描附接至計算設備的外圍，以防止該外圍攻擊別的域。
[0011]在一個示例中，計算設備包括第一來賓域和與該第一來賓域隔離的外圍相關任務。埠可將計算設備連接至外圍設備。特權域可使外圍相關任務被執行，以識別外圍設備。如果確定外圍是惡意的，則外圍相關任務防止第一來賓域與外圍進行通信。
[0012]在另一示例中，與連接至計算設備的外圍進行通信的方法包括將外圍相關任務與第一來賓域隔離。可生成用於執行外圍相關任務的虛擬裝置。虛擬裝置可從外圍接收外圍的類型的指示。虛擬裝置可驗證外圍的類型。可防止第一來賓域與外圍進行通信，直到外圍的類型被驗證。
[0013]參照附圖，圖1是根據示例性實現的計算設備100的框圖。計算設備100可包括第一來賓域110。特權域105可與第一來賓域110分離。在一個示例中，特權域105可能未被允許執行外圍相關任務130，而可生成虛擬裝置或另一來賓域來執行外圍相關任務130，以防止特權域105被惡意的外圍攻擊。特權域105可能不允許可能與諸如第二來賓域140或虛擬裝置135之類的可能惡意的外圍連接的其它域對特權域105做出改變。在另一示例中，如果特權域105不易受到來自惡意外圍的攻擊，則可以允許特權域105執行外圍相關任務 130。
[0014]硬體120可包括用於連接外圍設備的埠 125。管理程序115可管理硬體120的資源。外圍相關任務130可在除第一來賓域以外的域，例如特權域105、虛擬裝置135或第二來賓域140中執行。外圍相關任務130可以是用於識別外圍設備的指令。如果確定外圍是惡意的，則外圍相關任務130可防止第一來賓域110訪問外圍。
[0015]埠 125是在計算機與另一設備之間傳遞數據的接口。埠可以是例如有線埠，如通用串行總線(USB)埠、IEEE1394 端 口、雷電端 口 (thunderbolt port)、sata 端 口或別的有線連接。埠 125可以是無線埠，如藍牙?埠、wifi埠、wwan埠或別的無線連接。其它設備可以是外圍，例如印表機、滑鼠、鍵盤、監視器、存儲設備、網絡設備或別的外圍。
[0016]管理程序115是代替作業系統用於最初直接與硬體120通信的層，以允許該硬體同時運行多個域內的多個來賓作業系統。在一些實現中，管理程序115啟動如特權域之類的域，並且將輸入/輸出(I/O)控制器映射至特權域，來使特權域直接與硬體120而不是與管理程序通信。在一個實施例中，執行管理程序的計算機可以包含三個組件。第一組件是管理程序115，第二組件是特權域105，特權域105還可以稱為「域O」 (DomO)0特權域可以是在管理程序115上運行的具有直接硬體訪問和來賓管理責任的特權來賓。第三組件是「域U」，其可以是無特權域來賓(DomU)。DomU可以是在管理程序上運行的對諸如存儲器、硬碟、埠或任何其它硬體120之類的硬體沒有直接訪問的無特權來賓。第一來賓域可以是DomU的示例。
[0017]外圍相關任務130可以是由域執行的應用程式。如果外圍連接至埠，則該外圍可以發送該外圍是什麼類型的設備的指示。例如，外圍可以指示其是可以引起外圍相關任務130執行的存儲設備。該執行可以位於除第一來賓域以外的任何域上，如另一來賓域，虛擬裝置、特權域或管理程序。例如，外圍相關任務可以通過嘗試存儲信息和從存儲設備中檢索信息來詢問外圍。任務還可以掃描惡意內容。當外圍包括例如病毒、惡意軟體或別的利用域中的安全漏洞的破壞性程序時，該外圍可能是惡意的。特權域旨在是不易受病毒和惡意軟體影響的，這可能是因為例如特權域包括受信任軟體，並且可能不允許由別的域對該域進行寫入。針對可能引起感染非特權域而不感染特權域的惡意代碼的外圍設備，特權域可執行外圍相關任務130。一旦外圍相關任務130證實了該外圍是非惡意的，那麼諸如第一來賓域110之類的非特權域就可以訪問該外圍設備。可以存在多個不同的、可賦予第一來賓域110的訪問級別。
[0018]圖2是根據示例性實現的計算設備的框圖。計算設備200可包括硬體220，硬體220可包括埠，諸如有線埠 225或無線埠 245。有線埠 225可以是例如通用串行埠、IEEE 1394埠、雷電埠、sata埠或別的有線連接。無線埠 245可是諸如藍牙埠、wifi埠、wwan埠或別的無線連接之類的埠。
[0019]諸如特權域205之類的、位於第一來賓域210外部並且與第一來賓域210隔離的域，作為所有外圍設備的安全隔離區，在這裡所有外圍設備可在被暴露至用戶操作環境之前根據需要首先被枚舉、分析、認證和/或矯正。此外，一些類型的設備可完全與第一來賓域210阻隔。
[0020]一旦管理程序將I/O控制器映射至特權域，特權域就成為第一個將存在於硬體220層的任何外圍枚舉給埠控制器的域。在該層可進行策略決定，但是特權域205可以是高度安全的環境。由於該高度安全的環境，所以外圍可連接至虛擬裝置235，虛擬裝置235的唯一作用是實施與外圍設備相有關的策略設置。該虛擬裝置235可基於與多個可能的機制、設備類別認證、設備類別配置策略實施、設備類別白名單或黑名單、特定設備白名單、抽象用戶交互、設備類別認證或別的策略設置有關的預配置策略設置，來決定如何或者甚至是否將該外圍設備暴露至第一來賓域210。
[0021]作為示例，對USB人機互動設備而言，特權域檢測設備插入。該人機互動設備相對於第一來賓域210的隨後暴露被延遲，直到該設備被分析。特權域將該設備視作不友好的，直到該設備可通過外圍相關任務被認證為所指示的設備。對於諸如鍵盤或滑鼠之類的人機互動設備而言，這可能通過經由顯示子系統向用戶呈現詢問來實現。這可以通過安全圖形用戶界面來完成，使得該詢問對於諸如第一來賓域210之類的任何來賓域是不可見的。該詢問可以包括向用戶呈現隨機字符以及圖形鍵盤，並且等待用戶通過利用滑鼠點擊圖形鍵盤上正確順序的按鍵或者通過使用鍵盤輸入字符來輸入這些字符。外圍相關任務230可保證最終的輸入來自於被插入的設備。以此方式，外圍相關任務可認證該設備的確充當用於機器操作者的人機互動設備，而不是簡單地被認為是人機互動設備。
[0022]管理程序215可管理諸如特權域205和第一來賓域210的各種域。在管理這些域時，管理程序可賦予特權域對有線埠 225或無線埠 245的訪問權。這可防止第一來賓域210訪問連接至有線埠 225或無線埠 245的外圍。在一個實施例中，特權域對硬體220有直接訪問權，而第一來賓域210對硬體220沒有直接訪問權。
[0023]第一來賓域210可以包括一界面，該界面可用來確定第一來賓域210可訪問連接至有線埠 225或無線埠 245的外圍的數量。第一來賓域可以例如對外圍具有完全訪問權，可以對外圍沒有訪問權，可以接收文本中關於外圍的信息，以便保證惡意指令不嵌入在第一來賓域所傳輸和接收的數據中。該文本可以是ascii格式，並且如果外圍設備是存儲設備，則文本可以是外圍設備上的一系列文件。特權域205或外圍相關任務可以創建表示外圍設備上的這些文件的文本列表。於是，用戶能夠選擇第一來賓域可訪問的文件，同時其它文件將繼續通過文本表示來識別。如果選擇一文件，那麼特權域205可將該文件發送至第一來賓域210，或者可允許第一來賓域210通過特權域205訪問外圍設備。這可以通過簡單的遠程過程調用(RPC)或僅傳輸文件的文本信息(文件名、大小、r/w/x屬性、修改日期等)的其它域內通信機制來實現。可以向用戶提供對話，以允許用戶或允許外圍完全「插入」到第一來賓域210的文件系統內、或彈出外圍或介於二者之間。「介於二者之間」的示例是用戶可通過RPC決定將例如文本經由通信信道向存儲設備傳輸/從存儲設備傳輸，而不是允許文本插入第一來賓域環境內作為第一來賓域的文件系統的一部分。
[0024]外圍相關任務還可以包括用於確定自動運行文件是否位於外圍設備上的邏輯。該邏輯可以位於特權域、虛擬裝置或別的來賓域中，並且可防止第一來賓域210訪問自動運行文件。自動運行文件是在連接外圍設備時域可以搜索的文件。如果檢測到自動運行文件，那麼該域可以運行自動運行文件中的應用程式或指令。如果自動運行文件要安裝惡意軟體，那麼用戶可以通過將外圍連接至計算設備200上的埠來安裝該惡意軟體，然而，通過外圍相關任務240移除自動運行文件或者防止第一來賓域210訪問自動運行文件，第一來賓域可能不自動安裝來自外圍設備的惡意軟體。
[0025]外圍相關任務230可以包括黑名單230或者可訪問黑名單250。黑名單250可以包括防止第一來賓域210訪問的外圍設備的列表。外圍相關任務230還可以訪問白名單，該白名單是在允許第一來賓域210訪問外圍之前系統在不執行任務的情況下可以訪問的設備的列表。
[0026]可配置特權域205黑名單250策略，使得阻止所有特定類型的設備暴露至第一來賓域210。例如，可以將策略設置為指示特權域205阻止全部USB大容量存儲類設備暴露至第一來賓域210。
[0027]該策略可以包括「學習模式」，其能使管理者將已知好的設備連接至平臺，此時特權域205可存儲設備信息用於之後比較。在正常操作時，每當外圍設備附接至埠，特權域就可將每個設備與白名單進行比較，並且在將每個設備傳遞至第一來賓域210之前要求匹配。這可能是十分嚴格的，因為其僅能允許具有已位於白名單中的諸如序列號的信息的設備，使得位於該白名單中的特定設備工作，或者可將其配置為不太嚴格的，使得忽略該序列號，並且所有那些特定設備均可被傳遞通過第一來賓域210。
[0028]外圍相關任務230可以執行掃描器240。掃描器240可在允許第一來賓域210訪問外圍設備之前掃描該外圍設備的內容中的惡意代碼。例如，掃描器可以掃描外圍設備的內容中的病毒、惡意軟體或其它惡意代碼。掃描器可以在賦予第一來賓域210對外圍設備的訪問之前從外圍中移除病毒，或者可以允許第一來賓域210訪問被掃描且被顯示為不含病毒或惡意軟體的內容。
[0029]圖3是根據示例性實現的界面。界面300可以是安全的圖形用戶界面。該界面可用來選擇第一來賓域與外圍設備通信所具有的訪問級別。例如，該界面可以請用戶為已經被特權域檢測到的外圍設備選擇訪問級別。選擇的示例可以是拒絕設備、將設備集成為文件系統的一部分，或者經由安全信道與外圍設備通信。該界面可以允許用戶創建或管理由外圍相關任務或特權域實現的策略，如創建白名單或黑名單。
[0030]圖4是根據示例性實現的與連接至計算設備的外圍進行通信的方法的流程圖。該方法包括在405將外圍相關任務與第一來賓域210隔離。與第一來賓域隔離的外圍相關任務可以是外圍相關任務130。在410可生成用於執行外圍相關任務130的虛擬裝置。虛擬裝置的生成可由特權域啟動。在415，虛擬裝置可從外圍接收外圍的類型的指示。外圍的類型可以是例如存儲設備、諸如鍵盤或滑鼠之類的人機互動設備、或者諸如顯示器或印表機之類的輸出設備。在420，虛擬裝置可驗證外圍的類型。驗證可以包括要求用戶在鍵盤上敲入隨機碼，這可防止存儲設備將其自身識別為鍵盤並且引起諸如開始程序之類的鍵盤輸入。在425，可防止第一來賓域與外圍進行通信，直到外圍的類型被驗證。
[0031]圖5是根據示例性實現的與連接至計算設備的外圍進行通信的方法的流程圖。該方法包括在505將外圍相關任務與第一來賓域210隔尚。與第一來賓域隔尚的外圍相關任務可以是外圍相關任務130。在510，虛擬裝置可執行外圍相關任務130。虛擬裝置可執行諸如可能不通過特權域執行的外圍相關任務的任務。在515，虛擬裝置可從外圍接收外圍的類型的指示。外圍的類型可以是例如存儲設備、諸如鍵盤或滑鼠之類的人機互動設備、或者諸如顯示器或印表機之類的輸出設備。在520，虛擬裝置可驗證外圍的類型。該驗證可以包括要求用戶在鍵盤上敲入隨機碼。這可防止存儲設備將其自身識別為鍵盤並且引起諸如開始程序之類的鍵盤輸入。在525，可防止第一來賓域110與外圍進行通信，直到外圍的類型被驗證。
[0032]該方法可包括在530處在允許第一來賓域訪問外圍設備之前掃描外圍設備的內容中的惡意代碼。惡意代碼的掃描可以包括病毒掃描、惡意軟體掃描或別的掃描。在535，可選擇第一來賓域與外圍設備通信所具有的訪問級別。該訪問級別可基於由外圍相關任務實現的策略。策略可以是預確定的，或者可以由第一來賓域的用戶選擇。該方法可以包括在540處確定自動運行文件是否位於外圍設備上。外圍相關任務可防止第一來賓域訪問自動運行文件。外圍相關任務可以移除自動運行文件，防止第一來賓域訪問自動運行文件，或者僅允許與外圍設備上的文件進行安全通信，如僅示出外圍設備上的文件的基於ascii文本的列表。
[0033]圖6是根據示例性實現的包括計算機可讀介質的計算系統。非瞬態計算機可讀介質615或616可包括可由處理器605執行的代碼，如域或外圍相關任務。處理器605可連接至控制器集線器610。控制器集線器可通過圖形控制器620連接至顯示器630、鍵盤635、滑鼠640和諸如網絡相機之類的傳感器645。鍵盤635、滑鼠640、顯示器630、傳感器645和計算機可讀介質615和616是可通過埠連接至計算設備600的外圍設備的一些示例。控制器集線器可以包括埠，或者在外圍和用於實現外圍和處理器605之間通信的控制器集線器610之間可以存在其它組件。
[0034]特權域如果被執行，則可使計算設備將外圍相關任務與第一來賓域隔離。特權域可促使虛擬裝置生成，來執行外圍相關任務。虛擬裝置可從外圍接收外圍的類型的指示。外圍相關任務可驗證外圍的類型，並且防止第一來賓域與外圍進行通信，直到外圍的類型被驗證。外圍相關任務可以在允許第一來賓域訪問外圍設備之前掃描外圍設備的內容中的惡意代碼。外圍相關任務可以允許通過界面選擇第一來賓域與外圍設備通信所具有的訪問級別。
[0035]上面描述的技術可以體現在用於將計算系統配置為執行該方法的計算機可讀介質。計算機可讀介質可以例如包括但不限於以下介質中的任意多個:包括磁碟和磁帶存儲介質的磁性存儲介質；光存儲介質，如光碟介質(例如CD-ROM、CD-R等)和數字視頻光碟存儲介質；全息存儲器；包括基於半導體的存儲單元的非易失性存儲器存儲介質，如FLASH存儲器、EEPROM、EPROM、ROM ;鐵磁數字存儲器；包括寄存器、緩衝器或緩存、主存儲器、RAM等的易失性存儲介質；以及網際網路等等。可以利用其它新的各種類型的計算機可讀介質來存儲在本文中論述的軟體模塊。計算系統可以以多種形式存在，包括但不限於大型機、小型計算機、伺服器、工作站、個人計算機、掌上電腦、個人數字助理、各種無線設備和嵌入式系統、
坐坐寸寸ο
[0036]在上述的描述中，闡述了大量細節，以便提供對本發明的理解。然而，本領域技術人員應理解，在沒有這些細節的情況下也可實踐本發明。儘管關於有限數量的實施例公開了本發明，但本領域的技術人員應意識到由此產生的大量修改和變化。所附權利要求旨在覆蓋落入本發明的真正精神和範圍內的此類修改和變化。
【權利要求】
1.一種計算設備，包括: 第一來賓域； 外圍相關任務，與所述第一來賓域隔離； 埠，用於連接外圍設備；以及 特權域，用於使所述外圍相關任務被執行來識別所述外圍設備，其中如果確定所述外圍是惡意的，則所述外圍相關任務防止所述第一來賓域與所述外圍進行通信。
2.根據權利要求1所述的設備，其中所述特權域生成用於執行所述外圍相關任務的虛擬裝置。
3.根據權利要求1所述的設備，其中所述埠是有線埠或無線埠。
4.根據權利要求1所述的設備，進一步包括位於所述第一來賓域中的、用於接收所述外圍設備的內容的文本列表的邏輯。
5.根據權利要求1所述的設備，進一步包括用於確定自動運行文件是否位於所述外圍設備上的邏輯，其中所述外圍相關任務防止所述第一來賓域訪問所述自動運行文件。
6.根據權利要求1所述的設備，進一步包括所述外圍設備的黑名單，所述黑名單用於防止所述第一來賓域訪問所述外圍設備。
7.根據權利要求1所述的設備，進一步包括掃描器，所述掃描器用於在允許所述第一來賓域訪問所述外圍設備之前掃描所述外圍設備的內容中的惡意代碼。
8.根據權利要求1所述的設備，進一步包括界面，所述界面用於選擇所述第一來賓域與所述外圍設備通信所具有的訪問級別`。
9.一種與連接至計算設備的外圍進行通信的方法，包括: 將外圍相關任務與第一來賓域隔離； 生成用於執行所述外圍相關任務的虛擬裝置； 通過所述虛擬裝置從所述外圍接收外圍的類型； 通過所述虛擬裝置驗證外圍的所述類型；以及 防止所述第一來賓域與所述外圍進行通信，直到外圍的所述類型被驗證。
10.根據權利要求1所述的方法，在允許所述第一來賓域訪問所述外圍設備之前掃描所述外圍設備的內容中的惡意代碼。
11.根據權利要求1所述的方法，選擇所述第一來賓域與所述外圍設備通信所具有的訪問級別。
12.根據權利要求1所述的方法，確定自動運行文件是否位於所述外圍設備上，其中所述虛擬裝置防止所述第一來賓域訪問所述自動運行文件。
13.一種非瞬態計算機可讀介質，包括特權域，所述特權域如果被處理器執行則使計算設備進行以下操作: 將外圍相關任務與第一來賓域隔離； 生成用於執行所述外圍相關任務的虛擬裝置； 通過所述虛擬裝置從所述外圍接收外圍的類型； 通過所述虛擬裝置驗證外圍的所述類型；以及 防止所述第一來賓域與所述外圍進行通信，直到外圍的所述類型被驗證。
14.根據權利要求13所述的計算機可讀介質，進一步包括外圍相關任務，所述外圍相關任務如果被執行則使計算設備進行以下操作: 在允許所述第一來賓域訪問所述外圍設備之前，掃描所述外圍設備的內容中的惡意代碼。
15.根據權利要求13所述的計算機可讀介質，進一步包括外圍相關任務，所述外圍相關任務如果被執行則使計算設備進行以下操作: 通過界面選擇所述第 一來賓域與所述外圍設備通信所具有的訪問級別。
【文檔編號】G06F21/55GK103620612SQ201180071768
【公開日】2014年3月5日 申請日期:2011年7月12日 優先權日:2011年7月12日
【發明者】傑夫·讓索納, 瓦利·阿利, 詹姆斯·M·曼 申請人:惠普發展公司，有限責任合夥企業