[發明專利]一種密碼設備虛擬化的方法及設備

有效

• 申請號: 201711437349.1
• 申請日: 2017-12-26
• 公開（公告）號: CN108228316B
• 公開（公告）日: 2022-01-25
• 發明（設計）人: 羅俊
• 申請（專利權）人: 成都衛士通信息產業股份有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455
• 代理公司: 成都金英專利代理事務所(普通合伙) 51218
• 代理人: 袁英

1.一種虛擬化的密碼設備，其特征在于，包含物理密碼設備、管理模塊、多個虛擬密碼機和虛擬主控密碼機，所述虛擬主控密碼機為一個特殊的虛擬機或容器，該虛擬機或容器加載物理密碼設備密碼運算部件和密鑰存儲部件的驅動程序，負責接收虛擬密碼機的密碼運算或密鑰相關請求并調用物理密碼運算部件或物理密鑰存儲部件；

所述管理模塊被配置用于虛擬密碼機的管理操作；

每個所述虛擬密碼機包含虛擬密碼運算模塊、虛擬密鑰存儲模塊和虛擬機間安全通信模塊；

所述虛擬主控密碼機包含密碼主控模塊和虛擬機間安全通信模塊；

所述物理密碼設備以虛擬密碼機為最小服務單位為用戶提供密碼服務，所述物理密碼設備接收到用戶的密碼服務請求，為用戶分配一個或多個虛擬密碼機，虛擬密碼機的虛擬密碼運算模塊和虛擬密鑰存儲模塊，經數據交換安全通道向虛擬主控密碼機轉發用戶的密碼服務請求；虛擬主控密碼機經數據交換安全通道接收虛擬密碼機提交的密碼服務請求；調用物理密碼運算部件和物理密鑰存儲部件，生成密碼服務結果；虛擬主控密碼機經數據交換安全通道向虛擬密碼機傳回密碼服務結果，虛擬密碼機通過物理密碼設備向用戶返回密碼服務結果。

2.如權利要求1所述的一種虛擬化的密碼設備，其特征在于，所述虛擬密碼機與虛擬主控密碼機通過虛擬交換機，使用相同的邏輯VLAN ID，進行數據與命令互交；不同虛擬密碼機與虛擬主控密碼機之間的數據與命令互交以不同的邏輯VLAN ID進行區別。

3.如權利要求1所述的一種虛擬化的密碼設備，其特征在于，所述管理模塊運行于物理密碼設備的操作系統或虛擬機監視器VMM或容器引擎；所述管理模塊負責虛擬密碼機的啟動、鏡像加載、遷移、停止、關閉、資源回收和空間清理。

4.一種密碼設備的虛擬化方法，其特征在于，包含以下步驟：

S1，物理密碼設備上電，啟動管理模塊；

S2，管理模塊配置基準密碼運算和密鑰存儲容量，以及虛擬密碼機最大數量；

S3，管理模塊啟動若干虛擬密碼機；

S4，管理模塊啟動虛擬主控密碼機，所述虛擬主控密碼機為一個特殊的虛擬機或容器，該虛擬機或容器加載物理密碼設備密碼運算部件和密鑰存儲部件的驅動程序，負責接收虛擬密碼機的密碼運算或密鑰相關請求并調用物理密碼運算部件或物理密鑰存儲部件；

S5，虛擬化的密碼設備為用戶提供服務；

S5中所述為用戶提供服務包含如下子步驟：

S51，物理密碼設備接收到用戶的密碼服務請求，為用戶分配一個或多個虛擬密碼機；

S52，虛擬密碼機的虛擬密碼運算模塊和虛擬密鑰存儲模塊，經數據交換安全通道向虛擬主控密碼機轉發用戶的密碼服務請求；

S53，虛擬主控密碼機經數據交換安全通道接收虛擬密碼機提交的密碼服務請求；調用物理密碼運算部件和物理密鑰存儲部件，生成密碼服務結果；

S54，虛擬主控密碼機經數據交換安全通道向虛擬密碼機傳回密碼服務結果，虛擬密碼機通過物理密碼設備向用戶返回密碼服務結果；

S55，密碼服務完成。

5.如權利要求4所述的一種密碼設備的虛擬化方法，其特征在于，S3中所述啟動虛擬密碼機方法包含如下子步驟：

S31，將物理密碼設備的軟件系統打包，用虛擬密碼運算模塊替換鏡像文件中的密碼運算部件的驅動程序，同時用虛擬密鑰存儲模塊替換鏡像文件中的密鑰存儲部件的驅動程序，形成新鏡像文件；

S32，管理模塊啟動虛擬機或容器；

S33，管理模塊該虛擬機或容器加載步驟S31中的新鏡像文件；

S34，虛擬密碼機啟動完成。

6.如權利要求4所述的一種密碼設備的虛擬化方法，其特征在于，S4中所述啟動虛擬主控密碼機的方法包含如下子步驟：

S41，物理密碼設備啟動虛擬機或容器；

S42，管理模塊為該虛擬機或容器加載物理密碼設備的密碼運算部件；加載物理密碼設備的密鑰存儲部件的驅動程序；

S43，虛擬主控密碼機啟動完成。

7.如權利要求4所述的一種密碼設備的虛擬化方法，其特征在于，所述數據交換安全通道的建立步驟如下：

S61，該虛擬密碼機向虛擬主控密碼機注冊，注冊失敗則返回錯誤信息，注冊成功則執行下一步；

S62，虛擬主控密碼機加載一個虛擬網絡接口，與注冊成功的虛擬密碼機同時向虛擬交換機申請邏輯VLAN；虛擬交換機分配一個邏輯VLAN ID，所述虛擬網絡接口與虛擬密碼機配置此邏輯VLAN ID，建立起數據交換安全通道。