[發(fā)明專利]一種Xen虛擬化環(huán)境下的數(shù)據(jù)安全防護(hù)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201410200586.6
• 申請(qǐng)日: 2014-05-13
• 公開(kāi)（公告）號(hào): CN104951712B
• 公開(kāi)（公告）日: 2019-07-26
• 發(fā)明（設(shè)計(jì)）人: 張良;云曉春;石旭;閆攀;彭義剛
• 申請(qǐng)（專利權(quán)）人: 國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)與信息安全管理中心
• 主分類號(hào): G06F21/64
• 分類號(hào): G06F21/64;G06F21/62;G06F21/53
• 代理公司: 北京市盛峰律師事務(wù)所 11337
• 代理人: 席小東

1.一種Xen虛擬化環(huán)境下的數(shù)據(jù)安全防護(hù)方法，其特征在于，包括以下步驟：

S1，在虛擬機(jī)創(chuàng)建過(guò)程中，使用USB key對(duì)虛擬機(jī)進(jìn)行完整性檢查，并對(duì)所述虛擬機(jī)的關(guān)鍵部分進(jìn)行加密及簽名；

S2，當(dāng)啟動(dòng)所述虛擬機(jī)時(shí)，首先對(duì)加密并簽名的所述虛擬機(jī)進(jìn)行解密并進(jìn)行驗(yàn)證簽名操作；當(dāng)解密成功及簽名驗(yàn)證成功后，執(zhí)行S3；

S3，主機(jī)的通信接口上連接硬件加密卡，對(duì)于同一臺(tái)所述主機(jī)上模擬出的n臺(tái)虛擬機(jī)，每一臺(tái)虛擬機(jī)上創(chuàng)建加密卡驅(qū)動(dòng)程序；各臺(tái)所述虛擬機(jī)通過(guò)自身的所述加密卡驅(qū)動(dòng)程序在硬件層直接訪問(wèn)所述硬件加密卡，通過(guò)所述硬件加密卡，進(jìn)行加密業(yè)務(wù)處理操作，得到加密業(yè)務(wù)處理結(jié)果；

S4，當(dāng)所述虛擬機(jī)完成任務(wù)后，將所述虛擬機(jī)還原到經(jīng)過(guò)簽名的初始狀態(tài)，并將所述加密業(yè)務(wù)處理結(jié)果轉(zhuǎn)換為密文，在經(jīng)過(guò)USB key的身份驗(yàn)證后，通過(guò)專用通道導(dǎo)出到實(shí)際物理環(huán)境中存儲(chǔ)；

S3中，各臺(tái)所述虛擬機(jī)通過(guò)自身的所述加密卡驅(qū)動(dòng)程序在硬件層直接訪問(wèn)所述硬件加密卡，通過(guò)所述硬件加密卡，進(jìn)行加密業(yè)務(wù)處理操作，得到加密業(yè)務(wù)處理結(jié)果，具體包括以下步驟：

S31，根據(jù)配置規(guī)則，將所述硬件加密卡的硬件映射為多個(gè)獨(dú)立的緩沖資源池，并且，每一個(gè)緩沖資源池的一端唯一對(duì)應(yīng)一個(gè)虛擬機(jī)；所述緩沖資源池的另一端唯一對(duì)應(yīng)一組輸入隊(duì)列和輸出隊(duì)列；

S32，當(dāng)指定虛擬機(jī)需要使用所述硬件加密卡進(jìn)行加密業(yè)務(wù)處理時(shí)，所述指定虛擬機(jī)將加密業(yè)務(wù)請(qǐng)求發(fā)送到與其唯一對(duì)應(yīng)的指定緩沖資源池；

S33，所述指定緩沖資源池再將所述加密業(yè)務(wù)請(qǐng)求發(fā)送到與其唯一對(duì)應(yīng)的指定輸入隊(duì)列；

S34，所述指定輸入隊(duì)列按時(shí)間先后順序排列不同時(shí)間接收到的加密業(yè)務(wù)請(qǐng)求；然后按照先到先服務(wù)原則，將各加密業(yè)務(wù)請(qǐng)求依次發(fā)送到所述硬件加密卡的業(yè)務(wù)處理單元；

S35，所述業(yè)務(wù)處理單元處理所述加密業(yè)務(wù)請(qǐng)求，得到加密業(yè)務(wù)響應(yīng)；然后將所述加密業(yè)務(wù)響應(yīng)發(fā)送到指定輸出隊(duì)列；

S36，所述指定輸出隊(duì)列按照先到先服務(wù)原則，將接收到的各加密業(yè)務(wù)響應(yīng)依次返回給所述指定緩沖資源池，所述指定緩沖資源池再將該加密業(yè)務(wù)響應(yīng)返回給所述指定虛擬機(jī)；

其中，S32中，還包括：

當(dāng)指定虛擬機(jī)需要使用所述硬件加密卡時(shí)，首先判斷所述指定虛擬機(jī)是否具有使用所述硬件加密卡的權(quán)限，如果有，則執(zhí)行后續(xù)步驟；否則，拒絕其使用所述硬件加密卡；

S34之后，還包括：

當(dāng)所述指定輸入隊(duì)列輸出某一加密業(yè)務(wù)請(qǐng)求到所述業(yè)務(wù)處理單元之后，即從所述指定輸入隊(duì)列中刪除該加密業(yè)務(wù)請(qǐng)求；

S36之后，還包括：

當(dāng)所述指定輸出隊(duì)列輸出某一加密業(yè)務(wù)響應(yīng)到所述指定虛擬機(jī)之后，即從所述指定輸出隊(duì)列中刪除該加密業(yè)務(wù)響應(yīng)；

由于一個(gè)硬件加密卡被若干臺(tái)虛擬機(jī)共享，為合理調(diào)度各虛擬機(jī)使用業(yè)務(wù)處理單元進(jìn)行業(yè)務(wù)處理的效率，硬件加密卡可設(shè)置一定的調(diào)度策略，具體的調(diào)度策略包括：(1)優(yōu)先級(jí)調(diào)度策略：即：預(yù)先配置各虛擬機(jī)的優(yōu)先級(jí)別；硬件加密卡配置輸入隊(duì)列監(jiān)聽(tīng)模塊，用于實(shí)時(shí)監(jiān)聽(tīng)各個(gè)虛擬機(jī)輸入隊(duì)列的空閑狀態(tài)，一旦監(jiān)聽(tīng)到優(yōu)先級(jí)高的虛擬機(jī)輸入隊(duì)列中存在業(yè)務(wù)處理請(qǐng)求時(shí)，則優(yōu)先處理該優(yōu)先級(jí)別高的輸入隊(duì)列存儲(chǔ)的請(qǐng)求，直到處理完成后，再處理其他低優(yōu)先級(jí)的業(yè)務(wù)處理請(qǐng)求；對(duì)于配置以下優(yōu)先級(jí)別順序：虛擬機(jī)1＞虛擬機(jī)2＞虛擬機(jī)3；若某一時(shí)刻，監(jiān)聽(tīng)到虛擬機(jī)1和虛擬機(jī)2輸入隊(duì)列為空，而虛擬機(jī)3輸入隊(duì)列中存在處理請(qǐng)求，則業(yè)務(wù)處理單元處理虛擬機(jī)3輸入隊(duì)列的處理請(qǐng)求；一旦某一時(shí)刻監(jiān)聽(tīng)到虛擬機(jī)1輸入隊(duì)列中存在處理請(qǐng)求時(shí)，則業(yè)務(wù)處理單元將當(dāng)前正在處理的請(qǐng)求處理完畢后，立刻按順序執(zhí)行虛擬機(jī)1輸入隊(duì)列的請(qǐng)求，直到將虛擬機(jī)1輸入隊(duì)列所有請(qǐng)求均處理完畢后，再執(zhí)行其他虛擬機(jī)輸入隊(duì)列中的請(qǐng)求；(2)輪詢調(diào)度策略：即：硬件加密卡配置輸入隊(duì)列監(jiān)聽(tīng)模塊，用于實(shí)時(shí)監(jiān)聽(tīng)各個(gè)虛擬機(jī)輸入隊(duì)列的空閑狀態(tài)，然后按順序循環(huán)執(zhí)行各虛擬機(jī)輸入隊(duì)列的請(qǐng)求；如果某一時(shí)刻監(jiān)聽(tīng)到虛擬機(jī)1輸入隊(duì)列按時(shí)間先后順序存在AB兩條請(qǐng)求；虛擬機(jī)2輸入隊(duì)列按時(shí)間先后順序存在CDE三條請(qǐng)求；虛擬機(jī)3輸入隊(duì)列為空；則首先處理A請(qǐng)求，然后處理C請(qǐng)求；然后再處理B請(qǐng)求，然后再處理D請(qǐng)求，最后處理E請(qǐng)求；

通過(guò)上述步驟，多個(gè)虛擬機(jī)共享有限的硬件加密卡資源，最大化加密卡的使用效率。

2.根據(jù)權(quán)利要求1所述的Xen虛擬化環(huán)境下的數(shù)據(jù)安全防護(hù)方法，其特征在于，所述虛擬機(jī)通過(guò)自身的所述加密卡驅(qū)動(dòng)程序在硬件層直接訪問(wèn)所述硬件加密卡，包括兩處過(guò)程：過(guò)程一，為一種獨(dú)占訪問(wèn)所述硬件加密卡的過(guò)程，即：當(dāng)某一虛擬機(jī)獨(dú)占訪問(wèn)所述硬件加密卡的全部或部分資源時(shí)，所述硬件加密卡將該資源設(shè)置為獨(dú)占狀態(tài)，此時(shí)，既使所述硬件加密卡接收到來(lái)自所述主機(jī)的對(duì)該資源的訪問(wèn)請(qǐng)求，所述硬件加密卡執(zhí)行拒絕訪問(wèn)的操作；過(guò)程二，為一種非獨(dú)占訪問(wèn)所述硬件加密卡的過(guò)程，即：當(dāng)某一虛擬機(jī)非獨(dú)占訪問(wèn)所述硬件加密卡的全部或部分資源時(shí)，所述硬件加密卡將該資源設(shè)置為非獨(dú)占狀態(tài)，此時(shí)，所述硬件加密卡可被多臺(tái)虛擬機(jī)共享。