[發明專利]一種在虛擬化環境中提供密碼服務的方法和系統

有效

• 申請號: 201410609724.6
• 申請日: 2014-11-03
• 公開（公告）號: CN104461678B
• 公開（公告）日: 2017-11-24
• 發明（設計）人: 林璟鏘;荊繼武;管樂;汪婧;李冰雨;王躍武;潘無窮
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/31
• 代理公司: 北京君尚知識產權代理事務所(普通合伙)11200
• 代理人: 余長江

1.一種提供密碼服務的方法，其特征在于，所述方法在虛擬化環境中提供密碼服務，包括如下步驟：

1)在虛擬機監控器中設置一虛擬密碼設備管理器，用于管理宿主機上可用的密碼計算資源，并提供虛擬的密碼運算設備，供客戶虛擬機訪問；

2)客戶虛擬機向虛擬的密碼運算設備提出密碼服務請求，虛擬密碼設備管理器使用虛擬機自省方法，通過分析客戶虛擬機內存空間的數據來主動檢查客戶虛擬機提出的密碼服務請求是否有效；如果檢查通過，則在虛擬密碼設備管理器中完成密碼運算，并將運算結果返回給客戶虛擬機；否則不完成密碼運算服務；

所述虛擬密碼設備管理器中支持密碼運算的實體是虛擬密碼設備管理器能夠訪問的物理實體，或者是通過在虛擬密碼設備管理器內部的軟件實現；每個虛擬密碼設備配置的密碼運算實體相同或者不同；

所述虛擬密碼設備管理器能夠為不同的客戶虛擬機配置相同的密鑰來實現客戶虛擬機間的密鑰共享，調用該相同的密鑰進行密鑰計算服務；或者為每個客戶虛擬機按需配置多個不同的密鑰，客戶虛擬機根據服務類型調用不同的密鑰進行密鑰計算服務。

2.如權利要求1所述的方法，其特征在于：所述虛擬密碼設備管理器可在基于Xen的虛擬化系統實現，也可在基于VMware ESX/ESXi和Hyper-V的虛擬化系統實現，還可在基于KVM-QEMU的虛擬化系統中實現。

3.如權利要求1所述的方法，其特征在于：步驟2)所述主動檢查客戶虛擬機提出的密碼服務請求是否有效，檢查內容包括調用密碼服務的進程所在客戶虛擬機的標識、進程標識、運行該進程的用戶標識、所在客戶虛擬機操作系統完整性、進程可執行文件的完整性、請求服務時間、請求服務類型及內容；采用的檢查條件是如下條件的任意組合：來自特定的客戶虛擬機、來自特定客戶虛擬機的特定進程、該進程屬于客戶虛擬機操作系統的特定賬戶、在特定的時間、特定的請求服務類型及內容、訪問的憑證、當前活動的進程只在預定的進程列表中；主動檢查的條件在虛擬密碼設備管理器中動態配置完成。

4.如權利要求1所述的方法，其特征在于：發生密碼服務請求后，無論該請求是否正常響應并完成，還是由于主動檢查不通過而終止此次請求，虛擬密碼設備管理器都把所有密碼服務行為寫入審計日志，包括調用密碼服務的進程所在客戶虛擬機的標識、進程標識、運行該進程的用戶標識、所在客戶虛擬機操作系統完整性、進程可執行文件的完整性、請求服務時間、請求服務類型及內容、密鑰標識、密碼運算結果、失敗原因。

5.一種采用權利要求1所述方法的提供密碼服務的系統，其特征在于，包括宿主機、客戶虛擬機和虛擬密碼設備管理器；所述虛擬密碼設備管理器管理宿主機上可用的密碼計算資源，并提供虛擬的密碼運算設備以供客戶虛擬機訪問；所述客戶虛擬機通過所述虛擬密碼設備請求密碼服務；所述虛擬密碼設備管理器響應客戶虛擬機的密碼服務請求，使用虛擬機自省方法，通過分析客戶虛擬機內存空間的數據來主動檢查客戶虛擬機提出的密碼服務請求是否有效，如果檢查通過，則在虛擬密碼設備管理器中完成密碼運算，并將運算結果返回給客戶虛擬機，如果檢查未通過則不完成密碼運算服務。

6.如權利要求5所述的系統，其特征在于：還包括外接的提供密碼運算的物理實體，由所述虛擬密碼設備管理器進行管理；虛擬密碼設備管理器可以在內部使用軟件實現密碼運算，也可以調用該外接的提供密碼運算的物理實體實現密碼運算。

7.如權利要求5所述的系統，其特征在于：所述主動檢查客戶虛擬機提出的密碼服務請求是否有效，采用的檢查條件是如下條件的任意組合：來自特定的客戶虛擬機、來自特定客戶虛擬機的特定進程、該進程屬于客戶虛擬機操作系統的特定賬戶、在特定的時間、訪問之前的憑證、當前活動的進程只在預定的進程列表中；主動檢查的條件在虛擬密碼設備管理器中動態配置完成。

8.如權利要求5所述的系統，其特征在于：發生密碼服務請求后，無論該請求是否正常響應并完成，還是由于主動檢查不通過而終止此次請求，虛擬密碼設備管理器都把所有密碼服務行為寫入審計日志，包括調用密碼服務的進程所在客戶虛擬機的標識、進程標識、運行該進程的用戶標識、所在客戶虛擬機操作系統完整性、進程可執行文件的完整性、請求服務時間、請求服務類型及內容、密鑰標識、密碼運算結果、失敗原因。