27、基于虚拟化的不可信操作系统密码保护方案

基于虚拟化的不可信操作系统密码保护方案

1. 安全特性与挑战

在实现密码保护方法时，面临着管理程序（hypervisor）与注重安全的用户之间存在差距的问题。在现有平台中，用户通常通过应用程序（如浏览器）与操作系统进行交互，这带来了三个需要解决的问题：
- 保护时机 ：管理程序对所有键盘输入进行干预是不可取的，理想情况下，保护应按需由用户激活。
- 用户确认 ：用户需要确认管理程序正在保护密码输入，因为操作系统可能会模拟管理程序的行为欺骗用户。
- SSL 流量封装 ：管理程序的 SSL 流量组装必须使用合适的公钥证书进行封装，并且能够验证证书是否属于目标 Web 服务器。

为解决这些问题，设计了一个绕过操作系统的动态安全通道，用于用户与管理程序之间的交互。该通道允许用户通过组合键激活保护机制，并验证其是否处于激活状态。对于 SSL 证书问题，设计达到了与标准浏览器处理 SSL 证书相同的安全级别，确保证书真实且与 SSL 连接匹配。

2. KGuard 架构

KGuard 旨在保护用户密码不被内核/应用程序 rootkit 窃取，其架构由三个组件组成：
1. 安全交互通道 ：允许用户激活或停用密码保护，并对管理程序进行身份验证。用户通过按下指定组合键来切换保护状态，管理程序则在屏幕上安全显示与用户预先共享的秘密消息。
2. 管理程序例程 ：在保护激活后，拦截用户的键盘输入，验证浏览器提供的认证服务器公钥证书，并使用加密