[發明專利]一種基于特權分離的虛擬化隔離方法

在審

• 申請號: 201610139695.0
• 申請日: 2016-03-11
• 公開（公告）號: CN107179936A
• 公開（公告）日: 2017-09-19
• 發明（設計）人: 王辰;雷璟;焦棟;徐心毅;敖乃翔;郭靜;姜雅文;李志鵬;張緯棟
• 申請（專利權）人: 中國電子科技集團公司電子科學研究院
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/60
• 代理公司: 工業和信息化部電子專利中心11010
• 代理人: 張然

1.一種基于特權分離的虛擬化隔離方法，一個Xen類型的系統虛擬機包括：一個虛擬機Domain0和多個虛擬機DomainU，所述虛擬機Domain0提供對所述系統虛擬機的管理服務；

其特征在于，包括：

步驟一，針對任一虛擬機DomainU，在所述虛擬機DomainU中構建最上層虛擬域，最上層虛擬域包括：虛擬機DomainU管理域、虛擬機DomainU應用域和獨立設備驅動域；

步驟二，當所述虛擬機DomainU進行數據存儲時，將虛擬機DomainU應用域中的存儲數據傳輸給虛擬機DomainU管理域，所述虛擬機DomainU管理域對所述存儲數據進行加密處理，將加密后的所述存儲數據傳輸給獨立設備驅動域，獨立設備驅動域將加密后的所述存儲數據傳輸給外設的硬件存儲設備進行存儲。

2.根據權利要求1所述的基于特權分離的虛擬化隔離方法，其特征在于，所述虛擬機DomainU管理域包括：虛擬機DomainU管理域內核和所述虛擬機DomainU應用域對應的安全服務。

3.根據權利要求2所述的基于特權分離的虛擬化隔離方法，其特征在于，所述虛擬機DomainU管理域內核包括：所述系統虛擬機中的微型操作系統；

所述虛擬機DomainU管理域的功能模塊由系統虛擬機中的虛擬機Domain0通過Linux系統內核構建；通過對Linux系統內核進行裁剪及重新配置編譯，對虛擬機DomainU管理域的功能模塊進行替換或刪減；

虛擬機DomainU管理域的功能模塊包括：文件操作模塊、塊設備前端驅動模塊、塊設備后端驅動模塊、數據加密模塊、接口模塊和密鑰模塊。

4.根據權利要求1所述的基于特權分離的虛擬化隔離方法，其特征在于，所述獨立設備驅動域的確定過程，包括：通過將系統虛擬機中的獨立設備驅動域從虛擬機Domain0中分離出來，放入虛擬機DomainU的最上層虛擬域中。

5.根據權利要求3所述的基于特權分離的虛擬化隔離方法，其特征在于，所述加密處理的過程包括：由虛擬機DomainU管理域中的數據加密模塊采用128位AES算法對所述存儲數據進行加密運算。

6.根據權利要求3所述的基于特權分離的虛擬化隔離方法，其特征在于，在步驟二中，所述將虛擬機DomainU應用域中的存儲數據傳輸給虛擬機DomainU管理域，具體包括：

虛擬機DomainU管理域加載所述塊設備前端驅動模塊，通過所述塊設備前端驅動模塊綁定虛擬機DomainU應用域，將虛擬機DomainU應用域中的存儲數據傳輸給虛擬機DomainU管理域。

7.根據權利要求3所述的基于特權分離的虛擬化隔離方法，其特征在于，在步驟二中，將加密后的所述存儲數據傳輸給獨立設備驅動域，具體包括：

虛擬機DomainU管理域加載所述塊設備后端驅動模塊，通過所述塊設備后端驅動模塊綁定獨立設備驅動域，將虛擬機DomainU管理域中所述加密后的存儲數據傳輸給所述外設的獨立設備驅動域。