谷歌已经发布了有关Shielded VMs的更多详细信息，Shielded VMs是公司最近宣布的一套安全工具和技术，用于在硬件和固件级别保护企业云工作负载免受恶意软件和其他网络威胁的侵害。

谷歌在上个月的Cloud Next合作伙伴会议上推出了Beta版的Shielded VM。据该公司称，该技术为企业提供了高度的保证，即固件rootkit和启动恶意软件不会入侵Google云上运行的工作负载。

该公司指出，受屏蔽的虚拟机还可以确保在虚拟机首次启动时，它正在运行以前未被篡改的代码。

在8月6日的博客 8月中，Google Cloud的高级产品经理Nelly Porter和技术项目经理Sergey Simakov描述了Shielded VM提供了针对一系列威胁的保护，这些威胁在云环境中变得越来越普遍。其中包括内部攻击和妥协;利用恶意驱动程序和来宾固件进行攻击;和来宾VM内核或用户模型级别的漏洞。

波特和西马科夫说：“不幸的是，这些威胁很长一段时间都不会被发现，即使在您安装了合法软件之后，受感染的虚拟机仍会继续以受感染的状态启动。”

屏蔽的VM提供了多种安全功能，包括基于统一扩展固件接口(UEFI)版本2.3.1的受信任固件。UEFI数据表包含操作系统和操作系统加载程序用于安全启动操作系统并运行所谓的预启动应用程序的信息。新的基于UEFI的固件将替换通常在Google云平台上用于此过程的旧版BIOS子系统。

虚拟可信平台模块(TPM)是Shielded VM的另一个关键安全功能。vTPM可以验证云环境中来宾VM的启动级别和启动前级别的完整性，还可以生成并保护加密密钥。

vTPM还使客户机操作系统能够在启动过程之前，之中和之后生成密钥和其他安全代码，以保护环境的完整性。Porter和Simakov认为Google的自定义vTPM与Trusted Computing Group的TPM行业标准规范完全兼容。

安全启动和度量启动是Shielded VMs背后的另外两个安全功能。两位Google经理写道，前者有助于确保VM仅运行先前经过审查的，完全受信任的软件，而Measured Boot功能可以更好地了解VM引导过程的完整性。

为了启动并运行Shielded VM，TPM首先在启动时验证托管VM的生产服务器是否使用已知的固件。完成该步骤后，TPM随后将验证服务器是否启动了经过Google批准的安全操作系统映像，并具有加载主机OS和虚拟机管理程序所需的凭据。

Porter和Simakov表示，虚拟机的UEFI固件可确保正确配置映像并加载更多软件，从而在将执行控制移交给客户操作系统之前将Shielded OS映像安装到系统内存中。

然后，来宾OS继续加载数字签名的内核驱动程序，并使用vTPM对其进行验证。他们说：“一旦完成这些步骤，就可以启动并运行一个满载的Shielded VM。”