[發明專利]一種基于XEN平臺桌面協議的隔離方法

有效

• 申請號: 201310278593.3
• 申請日: 2013-07-04
• 公開（公告）號: CN103384195A
• 公開（公告）日: 2013-11-06
• 發明（設計）人: 林雪峰;邵長庚;劉丹
• 申請（專利權）人: 電子科技大學
• 主分類號: H04L9/00
• 分類號: H04L9/00;H04L29/06
• 代理公司: 成都宏順專利代理事務所(普通合伙) 51227
• 代理人: 周永宏

技術領域

本發明涉及一種基于XEN平臺桌面協議的隔離方法，屬于信息安全領域。

背景技術

XEN是由英國劍橋大學開發的開源虛擬機平臺，它的特點是提供了一種被稱為半虛擬化（para-virtualize）的虛擬化方式。在這種虛擬化方式的實現方式中，需要修改虛擬機操作系統的源代碼，使其通過VMM（Virtual?Machine?Monitor，虛擬機）提供的接口調用硬件資源，而非如傳統的虛擬化方式需要提供虛擬硬件，這樣就大大的提高了虛擬機運行的效率。

桌面協議是XEN中不可缺少的一個重要組成部分，桌面協議可以讓用戶通過遠程終端的連接使用云服務器中的虛擬計算機資源，目前基于XEN的虛擬桌面產品已經在部分世界500強企業中得到廣泛應用，其主要優點在于能夠集中管理企業計算機資源，提高管理效率，大幅度降低管理成本等優點，華為公司基本上已經完成了對公司內部電腦的切云，得到了很好的效果。

目前為了減少性能浪費，分布式系統部署于虛擬化平臺，各組成模塊分別部署于不同的虛擬機上已經成為一種常用的手段。為實現系統的整體功能通常需要各個模塊之間緊密協作，這就要求各個虛擬機之間可以安全有效地傳輸信息。

但是，XEN默認情況下，從VGA（Video?Graphics?Array，視頻圖形陣列）設備獲取桌面圖像信息，到發送到遠程客戶端程序過程中，都是將圖像信息以幀為單位獲取和發送的，默認情況下沒有使用任何壓縮、優化算法，并且遠程鼠標和鍵盤的傳輸默認也是通過raw格式發送的。XEN默認提供桌面協議是不安全的。因此需要一種安全隔離方法，通過此安全隔離方法的防護，即使中間人能夠抓去XEN桌面協議的數據包，也不能正確解析理解其內容的含義。

XEN中的桌面協議即VNC（Virtual?Network?Computing，虛擬網絡計算機）協議實現比較簡單，就是從VGA設備讀取顯示幀數據，然后進行編碼，編碼后將其直接發送到VNC客戶端，其中沒有任何加密保護措施。只有分離VNC控制和數據傳輸命令，對VNC數據傳輸接收過程進行基于密鑰機制的加密、解密方案才能解決VNC傳輸中的不安全問題。

發明內容

本發明的目的為了提高XEN桌面協議的數據安全性，保證協議數據與外界的隔離性而提出的一種基于XEN平臺桌面協議的隔離方法。

為了實現以上發明目的，本發明采取的技術方案如下：一種基于XEN平臺桌面協議的隔離方法，包括以下步驟：

S1，截獲VNC協議的圖像數據；

S2，對截獲的圖像數據進行加密；

S3，對VNC客戶端接收到的數據進行解密。

優選地：所述步驟S1包括以下步驟：VGA接口的圖形控制臺初始化函數對應了以下四個靜態函數：vga_update_display、vga_invalidate_display、vga_screen_dump、vga_update_text；以上四個函數在調用之前回傳入顯示區域buffer地址，然后通過以上四個靜態函數進行寫入，執行線程阻塞在四個靜態函數，當四個靜態函數執行返回之后上層函數直接從顯示區buffer獲取圖像數據。

優選地：所述步驟S2對數據進行加密時使用post-Hooks技術。

優選地：所述步驟S2包括以下分步驟：

S2.1定義一組Detour函數,包括dt_update函數、dt_invalidate函數、dt_screen_dump函數和dt_text_update函數；

S2.2讓VNC協議中的dgraphic_console_init函數將設備對應的處理函數賦值為四個Detour函數，Detour函數被替換之后，當update操作時，首先調用Detour函數，在Detour函數被調用時，Detour函數直接調用原來的vga_update_display函數，并阻塞等待vga_update_display執行返回，當該函數返回后Detour通過post-Hooks技術完成buffer加密操作；

S2.3對dt_update函數添加加密算法，dt_update函數用于在顯示更新時對圖像數據進行加密；

S2.4對dt_invalidate函數添加加密算法，dt_invalidate函數用于在進行強制全屏重繪時對數據進行加密；

S2.5對dt_screen_dump函數添加加密算法，dt_screen_dump函數用于dump操作將顯示圖像保存為ppm格式時進行加密；