[發明專利]一種虛擬安全計算環境的實現方法

有效

• 申請號: 201110231586.9
• 申請日: 2011-08-12
• 公開（公告）號: CN102289631A
• 公開（公告）日: 2011-12-21
• 發明（設計）人: 葉丞;石旭
• 申請（專利權）人: 無錫城市云計算中心有限公司
• 主分類號: G06F21/22
• 分類號: G06F21/22;G06F9/455
• 代理公司: 北京安博達知識產權代理有限公司 11271
• 代理人: 徐國文

技術領域

本發明涉及集群環境下虛擬機安全，具體來說，設計一種通過Nikey設備來實現的虛擬安全計算環境的方法。

背景技術

在機群環境下有時會使用創建虛擬機的方式為用戶提供一個虛擬的計算環境，但是這種計算環境存在著若干不安全因素，例如機群管理員可以竊取用戶的虛擬機密碼登錄虛擬機，可以在用戶登出虛擬機后，使用一個安有后門的虛擬機替換用戶真實的虛擬機等。

Nikey是曙光公司生產的用于存儲密鑰的專用設備，可以有效實現密鑰的存儲與生成，可以保證密鑰不被導出。

發明內容

為用戶提供一個可靠，安全的虛擬計算環境，保證用戶的實時計算數據的安全和數據的存儲安全。本發明提出了一種虛擬安全計算環境的實現方法。

一種虛擬安全計算環境的實現方法，

根據用戶需求定制虛擬機及虛擬機操作系統，定制時使用Nikey對虛擬機進行簽名；

虛擬機直接通過硬件層調用主機的硬件加密卡完成數據的加解密；

虛擬機完成計算任務后，將虛擬機還原至簽名的初始狀態，用戶將計算結果通過加密卡轉換為密文，經過Nikey身份驗證后，到處存儲。

優選的，首次使用時，用戶使用虛擬機中定制的Nikey簽名驗證工具對虛擬機的關鍵部分進行簽名，在下次啟動時可以對虛擬機整體和關鍵部分進行驗簽。

優選的，所述虛擬機的關鍵部分包括硬件組成和操作系統。

優選的，所述虛擬機在調用硬件加密卡時可以選擇性占用加密卡的部分資源或者全部資源。

優選的，所述虛擬機中可以分配一個虛擬的加密卡設備，并通過虛擬加密卡的驅動和實際的加密卡進行通信。

附圖說明

圖1是本發明的虛擬安全計算環境的創建示意圖

圖2是本發明的虛擬安全計算環境的使用示意圖

具體實施方式

如圖1所示，在創建虛擬機時，虛擬機所在服務器的管理員使用虛擬機管理工具，根據用戶的需求，定制特殊的操作系統，定制時使用Nikey對虛擬機進行簽名，在用戶首次使用虛擬機時，用戶可以用虛擬機中定制的Nikey簽名驗簽工具對虛擬機中的關鍵部分進行簽名，下次啟動虛擬機時，用戶可以對虛擬機整體和關鍵部分進行驗簽，保證虛擬機的完整性。

如圖2所示，通過在在虛擬機中使用硬件虛擬化技術，根據用戶需求定制支持虛擬化的操作系統，讓虛擬機能夠直接通過硬件層調用主機的硬件加密卡完成數據的加解密，虛擬機可選擇性地完全占用硬件加密卡或部分占用加密卡，當虛擬機占用加密卡部分或全部資源時，主機系統無法訪問這部分資源。在這種情況下，虛擬機和加密卡之間的密鑰和中間明文的傳遞不再依賴主機系統控制的內存，主機系統無法從虛擬機控制的內存中獲取數據，同時由于虛擬機可以之間在硬件層面與加密卡通信，消除了原有的通過主機系統進行通信的開銷，提高了虛擬環境下的加解密效率。

通過在虛擬機中使用虛擬設備技術，每個虛擬機中，都可以分配一個虛擬的加密卡設備，通過虛擬加密卡的驅動和實際的加密卡進行通信。通過該種方法，可以讓多個虛擬機共享有限的加密卡資源，最大化加密卡的使用效率。

當用戶用虛擬機完成相應的計算任務后，可將虛擬機還原到經過簽名的初始狀態，用戶可以將加解密的運行結果通過加密卡轉換為密文，在經過Nikey的身份驗證后，通過專用的通道導出到實際物理環境中存儲，這樣能夠保證數據導出時的身份安全性以及導出數據過程中的傳輸安全。