実行されるとシステムが、第1の仮想マシンマネージャVMMをランチすること、第2のVMMのランチを認証すること、および、前記第1のVMMの内部で前記第2のVMMをネストにすること、ができるようにする命令を含むプログラム。前記システムが、第1の仮想マシンVMのランチを認証すること、および前記第1のVMMおよび前記第2のVMMの1つを用いて前記第1のVMを管理すること、ができるようにする命令を含む、請求項1に記載のプログラム。前記第1のVMMは、リエントラントでないセキュアなブートによってランチされるルートVMMである、請求項1又は2に記載のプログラム。前記第2のVMMの前記ランチを認証することは、a第2のランチコントロールポリシーモジュールLCPMを呼び出すことと、bハードウェアセキュリティ証明モジュールを用いることとの両方を行いながら、前記第1のVMMを迂回することを含む、請求項1から3のいずれか1項に記載のプログラム。前記ハードウェアセキュリティ証明モジュールは、トラステッドプラットフォームモジュールTPMを含む、請求項4に記載のプログラム。前記システムが、前記第2のVMMと関連付けられる第2のランチコントロールポリシーLCPを第2のランチコントロールポリシーモジュールLCPMによって評価することができるようにする命令を含む、請求項1から5のいずれか1項に記載のプログラム。前記システムが、前記第2のLCPMによって前記第2のVMMの完全性測定を実行し、前記第2のLCPによって前記測定を認証することができるようにする命令を含む、請求項6に記載のプログラム。前記システムが、前記測定をトラステッドプラットフォームモジュールTPMに含まれるプラットフォーム構成レジスタPCRに拡張すること、および前記測定を前記PCRに拡張することにもとづいてログを更新することができるようにする命令を含む、請求項7に記載のプログラム。前記システムが、前記第2のLCPMを保護されたメモリにロードすること、および前記第2のLCPMを実行することができるようにする命令を含み、前記第2のLCPMはルートVMM特権を有する、請求項6に記載のプログラム。前記システムが、前記第2のLCPに含まれるホワイトリストを前記第2のLCPMによって認証することができるようにする命令を含み、前記第2のLCPはVMMに固有であるがVMに固有でない、請求項6に記載のプログラム。前記システムが、前記第1のVMMと関連付けられる第1のLCPにもとづいて前記第1のVMMをブートしながら、前記第2のLCPを認証することができるようにする命令を含む、請求項6に記載のプログラム。前記システムが、特に前記第2のVMMのために構成されてはおらずかつVMMとネストにされたVMMとの両方とインタフェース接続するように構成されたセキュアなインタフェースによって、前記第2のVMMの前記ランチを認証することができるようにする命令を含む、請求項1から11のいずれか1項に記載のプログラム。第1の仮想マシンマネージャVMMをランチすること、第2のVMMのランチを認証すること、および、前記第1のVMMの内部で前記第2のVMMをネストにすることを含む方法。第1の仮想マシンVMのランチを認証すること、および前記第1のVMMおよび前記第2のVMMの1つを用いて前記第1のVMを管理すること、を含む、請求項13に記載の方法。前記第2のVMMの前記ランチを認証することは、a第2のランチコントロールポリシーモジュールLCPMを呼び出すことと、bハードウェアセキュリティ証明モジュールを用いることとの両方を行いながら、前記第1のVMMを迂回することを含む、請求項13又は14に記載の方法。前記第2のVMMと関連付けられる第2のランチコントロールポリシーLCPを第2のランチコントロールポリシーモジュールLCPMによって評価することを含む、請求項13から15のいずれか1項に記載の方法。前記第2のLCPMによって前記第2のVMMの完全性測定を実行すること、および前記第2のLCPによって前記測定を認証することを含む、請求項16に記載の方法。メモリ、及び、前記メモリに結合され、a第1の仮想マシンマネージャVMMをランチし、b第2のVMMのランチを認証し、c前記第1のVMMの内部で前記第2のVMMをネストにするプロセッサ、を含むシステム。前記プロセッサは、第1の仮想マシンVMのランチを認証し、前記第1のVMMおよび前記第2のVMMの1つを用いて前記第1のVMを管理する、請求項18に記載のシステム。前記プロセッサは、前記第2のVMMと関連付けられる前記第2のランチコントロールポリシーLCPを第2のランチコントロールポリシーモジュールLCPMによって評価する、請求項18又は19に記載のシステム。前記プロセッサは、前記第2のLCPMによって前記第2のVMMの完全性測定を実行し、前記第2のLCPによって前記測定を認証する、請求項20に記載のシステム。以下の記載においては、多数の特定の詳細が示されるが、本発明の実施形態はこれらの特定の詳細を用いずに実施されてよい。本記載の理解が不明瞭にならないように、周知の回路、構造物および技法は詳しくは示されない。実施形態、さまざまな実施形態などは、そう記載される実施形態が特定の特徴、構造物または特性を含んでよいことを示すが、必ずしもすべての実施形態が特定の特徴、構造物または特性を含むわけではない。いくつかの実施形態が他の実施形態について記載された特徴の一部、すべてを有してよく、あるいはまったくもたなくてよい。第1の、第2の、第3のなどは共通のオブジェクトを記載し、同様なオブジェクトの異なるインスタンスが参照されることを示す。そのような形容詞はそう記載されるオブジェクトが、時間的に、空間的に、順位的に、または他の任意の様式的に所定のシークエンスでなければならないことを意味しない。接続されたは、要素が互いに物理的または電気的に直接接触していることを示してよく、結合されたは、要素が互いに協力するかまたは相互作用するが、要素は物理的または電気的に直接接触していてもいなくてもよいことを示してよい。また、異なる図の中で同じまたは類似の部品を示すために類似の数字または同じ数字が用いられてよいが、そうすることは類似の数字または同じ数を含むすべての図が単一の実施形態または同じ実施形態を構成することを意味するわけではない。本発明の実施形態は、VMおよび/またはネストにされたVMMの認証されたランチを提供する。実施形態は、VMおよびネストにされたVMMのためのVMM保護されたランチコントロール機構を呼び出すインタフェースを用いてそのようにしてよい。インタフェースは、アーキテクチャとしてジェネリックであってよい。いくつかの実施形態は、VMおよびVMMを包含するように拡張されたTXTランチコントロールポリシーを用いてよい。図1は、本発明の実施形態の概略フローチャートを含む。図2は、本発明の実施形態のさまざまな側面の組織を示すブロック図を含む。図1および図2は、互いに関連させられて下記で考察されるが、各図の実施形態は必ずしも互いに一緒に機能するようには限定されない。図2は組織図200を含む。簡潔には、組織図200は、イメージ201と、イメージ201に対応する代表ホワイトリストを有するランチコントロールポリシー211と、候補コードイメージ201をホワイトリスト211中の測定と対比して認証するコードを含む検証コードモジュールたとえばランチコントロールモジュールLCPM:launchcontrolmodule221と、の集まりを含む。組織図200は、下記でもっと十分に説明される。実施形態において、LCPMは、ルートVMM特権で実行される動的なモジュール式コードオブジェクトである。プラットフォーム構成レジスタPCR:platformconfigurationregister231がイメージ測定を記憶する。最初にルートVMMVMM0155がブートされる。このブートは、任意の数のセキュアなブート機構によって実装されたセキュアなブートであってよい。上記で取り上げられた1つのそのような機構はTXTランチコントロールを含む。TXTランチコントロールに関する情報は、httpsoftwareintelcomenusarticlesinteltrustedexecutiontechnologyaprimerhttpdownloadintelcomtechnologysecuritydownloads315168pdfならびに他の一般に利用可能なロケーションにおいて最小限利用可能である。ルートVMMVMM0をセキュアにランチすることは、いくつかのアクションを含んでよい。TXT226は、特定のイメージ、たとえばSINITACM206が真正であることを確実にするランチコントロールポリシーとして動作してよい。SINITACMは、セキュアなブートプロセスにおいて用いられる認証されたコードモジュールに関係する。SINITACM206の測定は、PCR17236に記憶される。PCRは、セキュリティ関連情報の暗号ハッシュたとえばVMMのようなトラステッド実行環境によって実行されるコードおよびそれをランチするために用いられるローダコードのハッシュを含むトラステッドプラットフォームモジュールTPM:trustedplatformmoduleレジスタである。VMM0のセキュアなランチ時に、ブロック225においてSINITACMを用いてLCP0215がルートVMM0205イメージと比較されてよい。LCP0215およびSINITACM225は、LCPM1、LCPM2、LCPM3205イメージを認証するためにも用いられてよい。これらのイメージの一部は、下記で考察される後の段階たとえばネストにされたVMMブートにおいて用いられてよい。これらの測定は、VMM0についてはPCR18に、LCPM1、LCPM2、LCPM3についてはPCR19、20、21にそれぞれ記憶される。少々横道に逸れると、ストレージのために用いられる正確なPCRが構成可能であり、他の実施形態においては変化してよい。たとえば、PCRアロケーション指針は、仕様に概略が記載されてよい。そのような仕様は、トラステッドコンピューティンググループTCGPCクライアント仕様およびTPM仕様を含む。これらの仕様は、PCR17、18、19、20、および21を動的ルートオブトラストたとえばTXTによる使用のために予約する。PCR17は、SENTERによってACMを測定するために用いられてよい。ACMは、VMMランチャーを測定するためにPCR18を用いてよい。VMMランチャーは、VMMを測定するためにPCR18を用いてよく、任意選択としてPCR19を用いてよい。VMMはTPMを仮想化してよく、したがってVMおよびそれに関連付けられるLCPMを測定するために他のPCRを用いてよい。VMMは、PCR20および21も利用可能であってよい。さらに、複数のLCPM測定が同じPCRに含まれてよい。したがって、PCRの使用は構成可能であり、実施形態の変化とともに変化してよい。図1に戻り、ブートストラップされたローダ、たとえばVM0105がブロック110によって仮想ブートされる。ブロック115は、仮想マシンVM1104図2の要素204にあるのような実体Entityをブートするプロセスを開始する。実体は、ネストにされたVMMでもあってよいが、この例においては説明を目的としてVM1が用いられる。VM1104がランチされると、ブートストラップローダVM0105は命令、たとえばVM1104をランチするLCPM1124図2の224に至るリーフを指定するVMFUNCインタフェース命令を呼び出す。VMFUNCインタフェースは、割り込みを防止するかまたはVMコントロールビットをセットしてよく、したがってLCPM1224は、測定プロセスの割り込みをまったく受けずに実行することが許可される。このインタフェースは、システム上の他のプロセッサも静止させてよく、その結果、測定は他のプロセッサから干渉されずに行われることができる。さらに、VMFUNCは、たとえばTXTの使用にもとづいてマイクロコードが完全性チェックおよび完全性チェッキングコントロールを実行する安全な場所と既にみなされることを承認してよい。VMFUNCは下記でさらに考察される。したがって、実行管理は、ブロック130によってLCPM1124図2の要素224に渡される。実施形態において、LCPM1はVM1上で実行されるVMとして動作する。LCPM1124は、メモリ中のVM1104の位置を特定し、LCP1114図2の要素214にもとづいてLCPM1のために意図される完全性測定を実行し、計算された測定がLCP1のポリシーの1つによって受け入れられることを検証する。LCPはホワイトリストを含んでよく、ホワイトリストはおそらくはトラステッドサーバに確保された、予測されるソフトウェアイメージを記載する。詳しくは、実施形態において、LCPM1はLCP1をメモリ、たとえば拡張ページテーブルEPT:extendedpagetableに配置された保護メモリに読み込む。EPTは、下記でVMFUNCインタフェースに関してもっと詳しく考察される。ブロック140において、VM1の測定はPCRたとえばPCR8234に拡張される。PCR234はTPM145または他のそのようなハードウェア証明モジュールに含まれる。TPMは、セキュアなストレージおよびセキュアなレポーティングに関連付けられるさまざまなセキュリティ機能を実装するセキュリティコプロセッサである。TPMのような暗号プロセッサに関する詳細は、少なくともサンディープバジカSundeepBajikarによるノートブックPCのトラステッドプラットフォームモジュールTPM利用セキュリティ白書TrustedPlatformModuleTPMbasedSecurityonNotebookPCs-WhitePaper、httpwwwintelcomdesignmobileplatformdownloadsTrustedPlatformModuleWhitePaperpdfにある。ブロック160において、PCRログが更新される。実施形態は、VMFUNC、TPM等を用いる動作に限定されないが、そのような要素は例を示す目的のため用いられているだけである。次に、ルートVMM155図2の要素205に含まれるによる実行のためにVM1がスケジュールされる。ブロック165においてVMFUNCエグジットが実行される。上記のプロセス実施形態図1および図2に関するは、説明を目的として用いられたVM1の代わりに、ネストにされたVMMにも適用可能である。この趣旨に沿って、図2のブロック204にはVMたとえばVM1とネストにされたVMMとの両方が含まれる。言い換えると、図1は、VM1のセキュアなブートを記載しているが、ネストにされたVMMをセキュアにブートするために同じプロセスを用いることができるであろう。図2に示されるように、追加の仮想化レイヤがセキュアにされてよい。たとえば、ネストにされたVM203がLCPM2223によって測定され、LCP2213に含まれる測定と比較されてよい。測定は、PCR233によって記憶されてよい。さらに、LCPM3221によって、ドライバ、ライブラリおよび実行可能コード202が測定され、LCP3212に含まれる測定と比較されてよい。測定は、PCR232によって記憶されてよい。ネストにされたVMに関するより具体的な例として、ブートストラップされたローダVM0105がブロック110によって仮想的にブートされる。ネストにされたVM2203をブートするプロセスをブロック115が開始する。VM2203がランチされると、ブートストラップローダVM0105は、命令、たとえば、VM2203をランチするLCPM2223に至るリーフを指定するVMFUNCインタフェース命令を呼び出す。ブロック130によって、実行管理はLCPM2223に渡される。LCPM2223はメモリ内のVM2203の位置を特定し、LCPM2のために意図されたLCP2213にもとづいて完全性測定を実行し、計算された測定がLCP2内のポリシーの1つによって受け入れられることを検証する。ブロック140において、VM2の測定は、TPMに含まれるPCR233に拡張される。ブロック160において、PCRログが更新される。次に、ブロック155において、VM2の実行がルートVMM155によってスケジュールされる。ブロック165において、VMFUNCエグジットが実行される。すぐ上で図1および図2に関して記載されたプロセス実施形態は、別の実体内にさらにネストにされた、ネストにされたVMMにも適用可能である。したがって、ブロック110は、LCPM225をランチするルートVMM105に通じる。LCPMは、保護されたメモリにロードされるVMのためのイメージを用いてLCPを評価するためにある。同様に、ネストにされたVMMのためのLCPMもこれは図1には特に示されていないがロードされてよい。ルートVMMLCPは、LCPMの完全性を検証するために用いられる。さらに、VMまたはネストにされたVMMは、VMまたはネストにされたVMMが、セキュアにブートされたルートVMMであってもルートVMMからランチされるときより、セキュアにランチされる。その代わり、ルートVMMは直接依存されずすなわちバイパスされ、その代わり、VMまたはネストにされたVMMをブートするためにTXTハードウェア利用シークエンスまたは他のハードウェア証明モジュール利用方法が依存される。一実施形態において、通常はルートVMMとともに機能するように限定されるランチコントロール機構、ツールおよびインフラストラクチャがVMおよびVMMとともに働くように拡張される。たとえば、次に、ランチコントロールがTXTおよび同様なセキュリティ技法を超えて拡張される。実施形態は、たとえばTXTランチコントロールおよび/またはBIOSトラステッドブート機構によってキックオフされたホワイトリストチェッキングプロセスをネストにされたVMMおよびVM環境に続行する。トラステッドシステムブート、トラステッドルートVMMブート、およびネストにされたトラステッドVMMおよび/またはVMブートにもとづいて、実施形態は、さかのぼってルートオブトラストに達する途切れのないチェーンオブトラストを有するトラステッドブローカーサービスを提供してよい。このチェーンオブトラストは、たとえばPCRログの内容にもとづいて構築されてよい。VMFUNC命令に関して、通常、VMおよびネストにされたVMMは、ランチコントロールポリシーを適用されずにロードされる。さらに、VMMベンダーは、ランチコントロールのための普通のアーキテクチャインタフェースに依存しない。しかし、本発明のさまざまな実施形態では、ルートVMMは、上記のように、ランチコントロールポリシーモジュールを呼び出すVMFUNCコールまたはその機能均等物を用いることができる。LCPMは、LCPポリシーに含まれるホワイトリストをどのようにパースし、検証するかを理解している。LCPポリシーは、ロードされるイメージの種類たとえばVMまたはネストにされたVMMに固有であってよい。LCPMは、ルートVMMを適切に保護して実行される。VMFUNCコールは、VMおよびネストにされたVMMがベンダーに依存しない確実な方法によって呼び出されることを確実にし、これによって、LCPオーサーはVMMおよびVMのさまざまなベンダー実装を網羅するかまたはさまざまなベンダー実装にわたって確実に機能するLCPを構築することができる。したがって、VMMベンダーは、ルートVMMまたはネストにされたVMMのどちらかとして機能するVMMのために、顕著に異なる製品/装置の最小在庫管理単位SKU:stockkeepingunitを維持しなくてよい。さらに、VMFUNCに関して、VMFUNCは、EPTメモリ保護を用いるアーキテクチャインタフェースである。EPTは、メモリ管理ユニットMMU:memorymanagementunitのための仮想化技術である。この特徴がアクティブであるとき、普通のIA-32ページテーブルコントロールレジスタCR3によって参照されるは、線形アドレスからゲスト物理アドレスに翻訳される。別個の組のページテーブルすなわちEPTテーブルは、ゲスト物理アドレスからメモリにアクセスするために用いられるホスト物理アドレスに翻訳される。その結果、ゲストソフトウェアがそれ自体のIA-32ページテーブルを変更し、ページフォールトを直接取り扱うことが可能になり得る。これによって、EPTを用いない仮想化オーバーヘッドの主なソースであるページテーブル仮想化と関連付けられたVMエグジットをVMMが回避することが可能になる。VMFUNCは、たとえばEPTを用いてLCP1114およびLCPM1124を分離することによってEPTを利用する。その際に、LCPM1は、VMFUNCエントリポイントの外部に由来する書き込み動作から保護される。そのとき、測定は、TPM内に含まれるレジスタに記憶されることができる。さらに、EPTは、特定のハードウェアスレッド上だけでアクティブであってよく、したがって、他のハードウェアスレッド上で実行され得る他のソフトウェアがLCP1の測定を不正に変更するか又は妨げることを許さない。実施形態において、EPTは、LCPMのためのメモリ内の境界を指定するために用いられてよい。VMがロードされるときにLCPMコードを再チェックするすべてのVMMコードをチェックすることなくと有利なことがある。たとえばLCPMコードはポリシーエンフォースメントルールを固有に実装するからである。このチェックは、VMMコードを再ロードしない。その代わりに、チェックはインメモリチェックであるたとえばEPT内のメモリページが再ハッシュされ、インメモリイメージに対応するホワイトリストと比較される。これらの再測定のためにPCR19、20、21が用いられ得る。それらのPCRはPCR18に含まれてよいVMMの全測定を含まないからである。より詳しくは、実施形態において、特別なプロパティおよび/または用途を有するメモリページの群を定義するためにEPTが用いられる。この実施形態は、LCPMたとえばコードおよびLCPたとえばデータ機能を実装するVMMコードおよびデータページのサブセットを構築するためにEPTを用いる。VMFUNCが制御をVMMに向けると、LCPMを含むEPTを検証するためにVMFUNCの新しいリーフが用いられることができ、LCPページは最初にランチされてから変化していない。実施形態は、これをアドレス範囲に類似した方法で実装してよい。LCPMページは、それらが移動されず、長くされず、および/または短くされていないことを確実とするためにチェック/検証されてよい。完全性ポリシーを強制するためにVMFUNCが用いられると、予測されるLCPMおよびLCP測定は、新しいリーフへのパラメータとしてVMFUNCに渡されることができる。次に、VMFUNCは、LCPMコードに実行を渡す前にEPT測定を比較することができる。VMFUNCは、比較が一致しなければフォールトを示してよい。実施形態において、ルートVMM機能は、VMFUNCの呼出しがRing0において行われ、LCPMの実行がRing1において行われるように、CPUリング構造にしたがって配分されてよい。VMM機能の残りは、Ring2およびRing3において実装されることができる。この実装によって、ハードウェア機構がLCPMおよびVMFUNC呼出しを保護/堅固化することが可能になる。LCPMをサポートするためのVMFUNCリーフは、この特定のリーフがring0においてゲストVMMによってだけ呼び出されることができるように強制してよい。実施形態において、ルートVMMはTXTを用いるであろう。たとえば、VMM/VMMランチャーをランチするためにTXTが用いられるであろう。ランチされたら、ゲストをランチするためにVMM内のLCPMが用いられるであろう。したがって、リングは、ランチ機能をVMMおよびVMMインフラストラクチャ内のセキュリティに関連しない他の機能からさらに分離し、孤立させるために用いられることができるであろう。実施形態は、検証されたブート環境および測定されたブート環境を含むいくつかの環境に適している。検証されたブートは、予測されるソフトウェアイメージを記載するホワイトリストをトラステッドサーバから受け取る。クライアントプラットフォームのトラステッドコンポーネントは、実行される前のソフトウェアイメージを検査し、ホワイトリストと比較する。一致すれば、コンポーネントは実行することを許可される。一致しなければ、修復アクションが実行される。この動作を行うコンポーネントは、ときに検証用ルートオブトラストと呼ばれる。これは、ハードウェア証明モジュールたとえばTPMを必要としないことがある。しかし、測定されたブートは、実行される前のソフトウェアイメージを検査し、セキュアなストレージロケーションに保存する。測定されたブートは、ブートを制約するかまたは変化させるホワイトリストを有さなくてよい。その代わりに、ホワイトリストは、クライアントがアクセスすることを望むリソースをホストするサーバに保持される。サーバがアクセスを許可する前提条件として、ソフトウェアの完全性レポートがサーバに送達される。サーバへのレポートの提示は、ときに証明Attestationと呼ばれる。サーバは、クライアントが顕著なリスクをもたらすかを判断するために証明レポートをホワイトリストと比較する。クライアントがリスクをもたらすなら、ネットワーク接続は閉じられる。これは、ハードウェア証明モジュールたとえばTPMを利用してよい。さらに詳しくは、さまざまな実施形態において、検証されたブートは完全性ポリシーを直接強制するすなわち、完全性ポリシーを満たさないコードの実行を妨げてよい。しかし、測定されたブートは完全性ポリシーを満たさないコードの実行を可能にしてよい。たとえば、完全性ポリシーは実際にはリモートサーバにあってよく、クライアントに知られていないことがあるからである。したがって、クライアントは測定をセキュアに記憶たとえばTPMPCRにしてよく、測定は、後で引用され、証明の一部としてサーバに送達される。サーバは、証明において見いだされる測定をホワイトリストのそのローカルコピー上の測定と比較することができる。ネットワーク接続を切断することによって、または更新サービスがクライアントたとえばPCを再構成しようとする修復ネットワークにクライアントを配置することによって、エンフォースメントはサーバにより適用されることができる。したがって、実施形態は、第1のVMMをランチし、第2のVMMのランチを認証し、第1のVMMの内部で第2のVMMをネストにする。ネストにされたVMMの認証されたブートの代わりに、またはネストにされたVMMの認証されたブートに加えて、実施形態は、第1のVMのランチを認証し、第1のVMMたとえばルートVMMまたはネストにされたVMMを用いて第1のVMを管理してよい。直前のシナリオのうちのどちらかにおいて、ルートVMM、または別のVMMをホストするVMM、あるいはVM、そのルートVMMまたはホストVMMは、リエントラントでないセキュアなブートによってたとえばTXTランチによってブートされてよい。実施形態は、a第2のLCPMを呼び出すことと、bハードウェアセキュリティ証明モジュール例えばTPMであるがこれに限定されないを用いることとの両方を行いながらルートVMMを迂回することによって第2のVMMのランチを認証してよい。ルートVMMを迂回するための例に関して、ルートVMMは、ネストにされたVMMをあたかもVMであるかのように処理してよい。したがって、VMとVMMとの両方のランチコントロールは、ルートVMMから見れば同様であろう。ネストにされたVMMに焦点を合わせる。ネストにされたVMMが実行されると、それはロードするVMを特定する。ネストにされたVMMを測定するためのLCPMコードは、ネストにされたVMMページ範囲に含まれる。したがって、VMFUNCは、ネストにされたVMMを記載するEPTがルートVMMを記載するEPTと異なることを確実にしてよい。従って、ルートVMMが受諾opt-inすれば、ルートVMMは、この動作についてはある程度迂回されることができる。これは、たとえばEPT使用ならびにVMFUNCおよびネストにされたVMMをブートするためのブートストラップされたVM0図1参照の使用にもとづいてよい。実施形態は、ネストにされた第2のVMMと関連付けられる第2のLCPを第2のLCPMによって評価してよい。実施形態は、第2のLCPMによって第2のVMMの完全性測定を行い、第2のLCPによって測定を認証してよい。実施形態は、測定をTPMまたは他のハードウェア証明モジュールに含まれるPCRに拡張し、測定をPCRに拡張することにもとづいてログを更新してよい。実施形態は、第2のLCPMを保護されたメモリたとえばEPTにロードし、第2のLCPMを実行してよく、第2のLCPMはルートVMM特権を有する。実施形態は、システムが第2のLCPに含まれるホワイトリストを第2のLCPMによって認証することを可能にしてよく、第2のLCPはVMMに固有であるがVMに固有ではない。実施形態は、第1のVMMと関連付けられる第1のLCPにもとづいて第1のVMMをブートしながら第2のLCPも認証してよい。さらに、実施形態は、第2のVMMのために特に構成されたわけではなく例えばアーキテクチャ的に中立またはベンダー中立、VMMとネストにされたVMMとの両方とインタフェース接続するように構成されたセキュアなインタフェースによって、第2のVMMのランチを認証してよい。実施形態は、多数の異なるシステム型において実装されてよい。次に図3を参照すると、本発明の実施形態によるシステムのブロック図が示される。マルチプロセッサシステム500は、ポイントツーポイント相互接続システムであり、ポイントツーポイント相互接続550によって結合された第1のプロセッサ570および第2のプロセッサ580を含む。プロセッサ570および580のそれぞれは、マルチコアプロセッサであってよい。用語プロセッサは、レジスタおよび/またはメモリからの電子的なデータを処理してその電子的なデータをレジスタおよび/またはメモリに記憶されてよい他の電子的なデータに変換する任意のデバイスまたはデバイスの一部を指してよい。第1のプロセッサ570は、メモリコントローラハブMCH:memorycontrollerhubおよびポイントツーポイントP-P:point-to-pointインタフェースを含んでよい。同様に、第2のプロセッサ580は、MCHおよびP-Pインタフェースを含んでよい。MCHは、プロセッサをそれぞれのメモリ、すなわちメモリ532およびメモリ534と結合させてよい。メモリ532およびメモリ534は、それぞれのプロセッサに局所的に取り付けられたメインメモリたとえばダイナミックランダムアクセスメモリDRAM:dynamicrandomaccessmemoryの一部であってよい。第1のプロセッサ570および第2のプロセッサ580は、P-P相互接続によってチップセット590にそれぞれ結合されてよい。チップセット590は、たとえばRSAアクセラレータ、乱数発生器、キー、証明書、PCR、スタティックRAM、フラッシュメモリ、モノトニックカウンタ、デジタルシグネチャーアルゴリズム等を含むTPMまたは暗号プロセッサを含んでよい。そのようなチップセットの一例に関する詳細は、少なくともhttpwwwintelcomdesignmobileplatformdownloadsTrustedPlatformModuleWhitePaperpdfにおいて入手可能である。実施形態は、いずれか一種類のセキュリティエンジンまたは暗号プロセッサとともに機能することに限定されるわけではなく、その代わりに、さまざまなベンダーからのさまざまなアーキテクチャを有するさまざまな離散型および/または統合型セキュリティエンジンとともに機能してよい。チップセット590は、P-Pインタフェースを含んでよい。さらに、チップセット590は、インタフェースによって第1のバス516に結合されてよい。第1のバス516を第2のバス520に結合させるバスブリッジ518とともに、さまざまな入力/出力I/O:input/outputデバイス514が第1のバス516に結合されてよい。たとえば一実施形態において、キーボード/マウス522、通信デバイス526、および、コード530を含んでよいディスクドライブまたは他のマスストレージデバイスのようなデータストレージユニット528、を含むさまざまなデバイスが第2のバス520に結合されてよい。さらに、オーディオI/O524が第2のバス520に結合されてよい。実施形態は、コードに実装されてよく、命令を記憶してある非一時的ストレージ媒体に記憶されてよい。命令は、命令を実行するようにシステムをプログラムするために用いられることができる。ストレージ媒体は、フロッピー登録商標ディスク、光ディスク、ソリッドステートドライブSSD:solidstatedrive、読み取り専用コンパクトディスクCD-ROM:compactdiskread-onlymemory、繰り返し書き込み可能コンパクトディスクCD-RW:compactdiskrewritable、および光磁気ディスクを含む任意の種類のディスク、半導体デバイス、たとえば読み取り専用メモリROM:read-onlymemory、ランダムアクセスメモリRAM:randomaccessmemory、たとえばダイナミックランダムアクセスメモリDRAM、スタティックランダムアクセスメモリSRAM:staticrandomaccessmemory、消去可能なプログラマブル読み取り専用メモリEPROM:erasableprogrammableread-onlymemory、フラッシュメモリ、電気的に消去可能なプログラマブル読み取り専用メモリEEPROM:electricallyerasableprogrammableread-onlymemory、磁気カードまたは光カード、あるいは電子的な命令を記憶するのに適している任意の他の種類の媒体を含んでよいが、これに限定されるものではない。本発明の実施形態は、データ、たとえば命令、ファンクション、手続きprocedure、データ構造、アプリケーションプログラム、構成セッティング、コード等への参照とともに本明細書に記載されてよい。データがマシンによってアクセスされると、マシンは、本明細書により詳しく記載されるように、タスクを実行し、抽象データ型を定義し、低レベルハードウェアコンテキストを規定し、および/または他の動作を実行することによって応答してよい。データは、揮発性および/または不揮発性データストレージに記憶されてよい。用語コードまたはプログラムは、アプリケーション、ドライバ、プロセス、ルーチン、メソッド、モジュール、およびサブプログラムを含む広い範囲のコンポーネントおよびコンストラクトを包含し、処理システムによって実行されると所望の1または複数の動作を実行する命令のいずれかの集まりを指してよい。さらに、代替実施形態は、開示された動作のすべてより数の少ない動作を用いるプロセス、追加の動作を用いるプロセス、同じ動作群を異なる順番で用いるプロセス、および本明細書に開示される個々の動作が組み合わされるか、再分割されるか、または他の変化を施されるプロセスを含んでよい。コンポーネントまたはモジュールは、望みに応じて組み合わされるかまたは分離され、デバイスの1つ以上の部分に配置されてよい。本発明を、限られた数の実施形態に関して記載してきたが、実施形態からの多数の変更形および変化形が当業者には自明である。添付の特許請求の範囲はそのようなすべての変更形および変化形を本発明の真の技術思想および適用範囲に属するとして包含するものとする。