[發明專利]一種基于Xen的安全的虛擬磁盤的訪問控制方法

無效

• 申請號: 201010529695.4
• 申請日: 2010-10-29
• 公開（公告）號: CN102063585A
• 公開（公告）日: 2011-05-18
• 發明（設計）人: 劉發貴;張浩;周海燕
• 申請（專利權）人: 華南理工大學
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F3/06
• 代理公司: 廣州粵高專利商標代理有限公司 44102
• 代理人: 何淑珍

技術領域

本發明屬于信息安全的訪問控制領域。

背景技術

Xen直接運行在系統硬件之上，占據處理器特權級中的Ring?0，各個虛擬客戶系統占據Ring?1，應用程序處于Ring?3。Xen將許多工作剝離出來，自己本身只負責一些特權操作。被剝離出來的工作包括創建和管理虛擬機、管理真實硬件等，都是由一個特權域Domain?0來完成，它是整個架構的宿主系統。其他虛擬系統稱為Domain?U，它們的前端驅動將操作請求傳給Domain?0的后端驅動，接著后端驅動調用設備驅動程序訪問硬件完成實際的操作。

虛擬磁盤的主要應用領域分為兩類：第一是在本地電腦中虛擬出一個遠程電腦的磁盤作為本地磁盤，實際上不存在于本機上，用于加大客戶機硬盤容量，達到通過網絡共享服務器磁盤節省硬盤容量的效果。目前的研究方向主要集中在提高系統的I/O性能和數據可用性上。還有一種虛擬磁盤是在內存中劃分出一塊區域作為臨時磁盤使用，這樣做同樣是為了提高計算機的I/O性能。可見當前研究重點并不在如何保證數據的安全性上。前者依賴于網絡環境，存在著諸多如數據泄密和數據竊取等不安全因素。而虛擬機中的虛擬磁盤主要用于為虛擬客戶系統提供真實硬盤的體驗，同時可以通過非網絡方式實現虛擬客戶系統之間的數據共享。與傳統的IDE設備相比，它具有可以實現控制讀寫和動態裝載的優點；而與網絡設備相比，不受網絡帶寬的影響從而擁有更高的I/O讀寫速度，同時減少數據的可傳播途徑從而擁有更高的安全性。

盡管虛擬磁盤擁有以上優勢，但仍有以下幾點不足：由于是傳統IDE磁盤的純軟件模擬，它和IDE磁盤一樣具有無法控制讀寫和動態裝載的缺點；同時它還存在不安全的因素，如缺乏必要的數據檢驗機制，導致共享數據的提供者可能錯誤地共享了機密數據。

發明內容

針對前面技術背景中所述的虛擬磁盤在實現與應用中存在的安全隱患，本發明研究了Xen虛擬機中虛擬磁盤的實現方式和I/O操作請求處理原理，設計并實現了一種基于Xen的安全的虛擬磁盤訪問控制方法。

為了實現發明目的，采用的技術方案如下：

一種基于Xen的安全的虛擬磁盤的訪問控制系統包括虛擬磁盤控制系統，數據共享系統以及訪問控制系統三個方面。虛擬客戶系統中存在多個虛擬磁盤設備，包括系統運行所必須要的虛擬磁盤和其它用戶數據存儲和共享的磁盤等；對于虛擬客戶系統可見的磁盤存在于Domain0宿主系統中的磁盤鏡像文件。這樣，數據共享系統就通過共享虛擬磁盤來實現在各個虛擬客戶系統之間進行數據共享。訪問控制系統在宿主系統和虛擬客戶系統中都有部署，所述訪問控制系統分別設置全虛擬化環境下的半虛擬驅動于虛擬客戶系統與宿主系統中，所述半虛擬驅動設置于虛擬客戶系統的稱為前端驅動，設置于宿主系統的稱為后端驅動，其中由虛擬客戶系統主動向宿主系統發起對共享虛擬磁盤的訪問控制操作的要求，虛擬磁盤控制系統在設備驅動層添加控制模塊，實現對虛擬磁盤的可控操作。根據不同安全級別將限制不同I/O操作權限。同時，根據不同的I/O操作權限，動態裝載臨時磁盤以替換存在隱患的磁盤，以實現安全的磁盤訪問控制。

上述通過共享虛擬磁盤來實現的數據共享的方法，比傳統的一些共享內存方法具有更高的效率，比通過網絡方式實現的數據共享具有更高的安全性。

本發明所述的虛擬磁盤的訪問控制方法，實現了各個虛擬客戶系統之間通過共享虛擬磁盤來達到共享數據的目的。訪問控制系統分別部署于宿主系統與虛擬客戶系統，虛擬客戶系統通過前端驅動向宿主系統發起對共享磁盤的訪問操作的請求，宿主系統通過后端驅動接收虛擬客戶系統的操作請求，并把此請求交給虛擬磁盤控制系統進行處理。

所述的虛擬磁盤控制系統監控各個虛擬客戶系統對虛擬磁盤的操作，為了防止虛擬客戶系統對類似機密文件進行操作的這一類不安全行為的發生，虛擬磁盤控制系統將在設備驅動層中添加控制模塊。另外，所述的虛擬磁盤控制模塊根據不同的安全級別劃分不同的I/O操作權限，根據這個I/O操作權限，動態轉載臨時磁盤以替換存在安全隱患的磁盤，以實現安全磁盤的訪問控制。

基于以上的描述，可以總結出本發明的優點如下：

一、本發明所述的虛擬磁盤訪問控制方法不依賴于網絡上的任何方式，所以較之于通過網絡方式進行數據共享，有更高的安全性。

二、通過共享虛擬磁盤來實現數據共享，可是實現大數據的快速共享訪問，具有更高的效率。

三、通過虛擬磁盤訪問控制系統在設備驅動層添加控制模塊來實現磁盤的訪問控制，安全可控性更強。

四、通過動態掛在磁盤來加強了虛擬磁盤訪問控制的安全性。

附圖說明