随着云计算技术的不断发展与广泛应用,虚拟化技术也变得愈加重要。相比于传统虚拟化技术,基于容器的虚拟化技术更加轻量、灵活,对系统性能造成的影响也更小,因此受到越来越多用户和厂商的青睐。Docker技术是容器技术的一种,目前在容器市场中占据着主导地位,已成为容器技术的事实标准,因此Docker平台的安全防护具有重要的研究意义和实用价值。在Docker平台中,容器的低隔离性及镜像的构建和分发都可能引入新的安全威胁,如何保障在不可信的容器环境中容器的可信启动和用户对容器的信任是一个亟待解决的问题。为此,本文采用可信计算技术实现Docker平台的动态安全防护,解决上述问题。本文的研究工作主要包括以下几个方面:1.针对现有的使用物理TPM或虚拟TPM在Docker环境中实现可信计算带来的性能和保密性问题,本文提出了一种基于虚拟PCR的可信计算实现方法。虚拟PCR方法只对TPM中的PCR部分进行虚拟化,其他TPM功能直接由物理TPM提供。该方法为每个容器生成一个对应的虚拟PCR实例用于度量值的扩展存储,且实例分别与相应的容器和底层可信计算基进行了强绑定,保证了各容器度量数据的相互隔离和可信。同时,针对TCG规范中TPM的身份证明密钥AIK不能对外部数据签名的问题,采用了双AIK签名的方案,使用虚拟AIK对虚拟PCR实例中的数据进行签名,并设计了虚拟PCR模块向CA申请虚拟AIK证书的相应协议,保证了虚拟PCR实例身份的可认证性。2.针对面向Docker的可信度量方法缺乏动态完整性度量的问题,本文提出了基于进程地址空间代码段的动态完整性度量方法。该方法将进程本身及依赖共享库的代码段作为度量对象,度量代理通过计算各代码段内容的哈希值作为度量值,并利用虚拟PCR模块为这些度量值提供可信存储,从而达到了容器级别动态可信的效果。3.针对验证过程中使用的基准值数据集维护困难的问题,本文提出了基于ELF文件自动生成基准值的方法,保证了数据集的可维护性。同时,针对本机验证隔离性差的问题,本文提出了远程验证的方法,通过将度量的目标系统和验证系统分别放置在不同的物理主机中,并利用设计的远程验证协议获取度量代理提供的证据,验证证据的可信性,比对度量值和基准值最终可以判断目标系统的可信状态。通过该方法,可以保证度量结果验证的可信性。4.本文设计与实现了可信Docker平台。分别设计与实现了基准值计算模块、容器管理模块和远程证明模块,并对1、2中讨论的可信Docker主机进行了实现。最后从有效性和可用性两方面对平台进行了评估。