[發明專利]虛擬機中敏感信息的注入方法和裝置

在審

• 申請號: 201611219614.4
• 申請日: 2016-12-26
• 公開（公告）號: CN108243157A
• 公開（公告）日: 2018-07-03
• 發明（設計）人: 王建明;廖煥仁
• 申請（專利權）人: 華為技術服務有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京同立鈞成知識產權代理有限公司 11205
• 代理人: 楊貝貝;劉芳

本申請實施例提供一種虛擬機中敏感信息的注入方法和裝置，該方法包括：生成私鑰以及與私鑰配對的公鑰，將公鑰和預設用戶名發送給虛擬機；基于安全殼登錄協議向虛擬機發送虛擬機登陸請求，虛擬機登陸請求包括預設用戶名和私鑰，虛擬機登陸請求用于請求與虛擬機建立基于安全殼登錄協議的安全通道；通過安全通道向虛擬機發送敏感信息。通過采用I層接口注入的方式先將公鑰配置在虛擬機中，在通過登錄安全殼協議的方式建立管理設備與虛擬機之間的安全通道，避免了敏感信息被I層接口的其他用戶截獲的可能性，提高了信息的安全性。

技術領域

本申請實施例涉及計算機技術，尤其涉及一種虛擬機中敏感信息的注入方法和裝置。

背景技術

傳統的網絡設備例如路由器、交換機、防火墻等，一般都是基于該設備包含的硬件所具有的功能，而具有固定網絡功能，例如對各種協議的支持、負載均衡、速率控制等，該類網絡設備難以升級和擴容。現有技術通常采用網絡功能虛擬化來解決上述問題，網絡功能虛擬化技術通過在任意網絡設備中創建虛擬機(Virtual Machine，簡稱VM)來實現虛擬網絡功能VNF(Virtualization Network Function，簡稱VNF)，VNF可以靈活的根據需求來創建，使網絡設備功能不再依賴于專用硬件，資源可以充分靈活共享。

在網絡功能虛擬化過程中，通常由虛擬網絡功能管理設備負責創建虛擬機，并在虛擬機上部署虛擬的網絡功能。虛擬網絡功能被部署以后，在虛擬網絡功能的整個生命周期范圍內，還需要和虛擬網絡功能管理設備交互才能完成彈性功能。因此存在需要在虛擬網絡功能管理設備和創建的虛擬機之間配置共享密鑰、賬號等敏感信息的可能性。

現有虛擬網絡功能管理設備在創建虛擬機的過程中，通常通過openstack或vmware等基礎設施層管理軟件將信息傳遞給虛擬機，即通過I層接口直接注入信息給虛擬機。但是該種注入方式會將傳遞給虛擬機的信息暴露給I層接口，I層接口的其他用戶通過直接查看虛擬機的屬性，命令歷史記錄，獲取光盤后重新加載等方式就可以獲得該信息。因此，現有的虛擬機信息注入方法存在信息無法保密的問題。

發明內容

本申請實施例提供一種虛擬機中敏感信息的注入方法和裝置，用以解決現有的虛擬機信息注入方法存在信息無法保密的問題。

第一方面，本申請實施例提供一種虛擬機中敏感信息的注入方法，應用于管理設備側，該方法包括：

生成私鑰以及與所述私鑰配對的公鑰，將所述公鑰和預設用戶名發送給所述虛擬機；基于安全殼登錄協議向所述虛擬機發送虛擬機登陸請求，所述虛擬機登陸請求包括所述預設用戶名和所述私鑰，所述虛擬機登陸請求用于請求與所述虛擬機建立基于所述安全殼登錄協議的安全通道；通過所述安全通道向所述虛擬機發送敏感信息。

通過采用I層接口注入的方式先將公鑰配置在虛擬機中，在通過登錄安全殼協議的方式建立管理設備與虛擬機之間的安全通道，避免了信息被I層接口的其他用戶截獲的可能性，提高了信息的安全性，同時采用了基于公私鑰對的方式自動建立安全通信，避免了采用手動輸入賬號和密碼方式帶來人為配置速度較慢，導致大規模部署虛擬機速度較慢的問題。

一種可能的實現方式中，所述通過所述安全通道向所述虛擬機發送敏感信息之前，所述方法還包括：

生成第一隨機數，并將所述第一隨機數發送至所述虛擬機；

則所述通過所述安全通道向所述虛擬機發送敏感信息，包括：

將所述敏感信息使用所述第一隨機數進行加密，并通過所述安全通道將加密后的敏感信息發送至所述虛擬機。

通過采用第一隨機數將敏感信息進行加密，并將第一隨機數和加密后的敏感信息采用不同的通道注入虛擬機，進一步提高了信息的安全性。

一種可能的實現方式中，所述通過所述安全通道向所述虛擬機發送敏感信息之前，所述方法還包括：