[發(fā)明專利]一種提供密碼資源的方法、系統(tǒng)及宿主機(jī)

在審

• 申請(qǐng)?zhí)枺?/td>: 202010634743.X
• 申請(qǐng)日: 2020-07-02
• 公開（公告）號(hào): CN111782344A
• 公開（公告）日: 2020-10-16
• 發(fā)明（設(shè)計(jì)）人: 李向鋒;郭井龍
• 申請(qǐng)（專利權(quán)）人: 北京數(shù)字認(rèn)證股份有限公司
• 主分類號(hào): G06F9/455
• 分類號(hào): G06F9/455;G06F21/45;G06F21/60
• 代理公司: 北京超凡宏宇專利代理事務(wù)所(特殊普通合伙) 11463
• 代理人: 李飛

本申請(qǐng)實(shí)施例提供一種提供密碼資源的方法、系統(tǒng)及宿主機(jī)，所述宿主機(jī)上至少運(yùn)行一個(gè)虛擬機(jī)，所述宿主機(jī)包括：運(yùn)行于所述虛擬機(jī)的虛擬密碼模塊；虛擬密碼后端模塊，被配置為將密碼功能組件的密碼功能映射至所述虛擬密碼模塊，其中，所述密碼功能包括密碼計(jì)算或密鑰管理。本申請(qǐng)實(shí)施例的虛擬密碼模塊所呈現(xiàn)的密碼計(jì)算、密鑰管理都是在宿主機(jī)側(cè)的密碼資源中完成，因而更容易實(shí)現(xiàn)合規(guī)性，更容易進(jìn)行安全控制。

技術(shù)領(lǐng)域

本申請(qǐng)涉及密碼處理領(lǐng)域，具體而言涉及一種提供密碼資源的方法、系統(tǒng)及宿主機(jī)。

背景技術(shù)

隨著云計(jì)算的不斷發(fā)展，虛擬化技術(shù)也越發(fā)得到廣泛應(yīng)用。利用虛擬化技術(shù)，可以在單一的物理平臺(tái)上模擬并運(yùn)行多臺(tái)客戶虛擬機(jī)(VM)。虛擬化技術(shù)能夠?qū)⒂?jì)算機(jī)的各種實(shí)體資源，如服務(wù)器、網(wǎng)絡(luò)、內(nèi)存及存儲(chǔ)等，予以抽象、轉(zhuǎn)換后呈現(xiàn)出來，打破實(shí)體結(jié)構(gòu)間的不可切割的障礙，使用戶可以比原本的組態(tài)更好的方式來應(yīng)用這些資源。這些資源的新虛擬部分是不受現(xiàn)有資源的架設(shè)方式，地域或物理組態(tài)所限制。

虛擬化是云計(jì)算的核心技術(shù)。云計(jì)算是與信息技術(shù)、軟件、互聯(lián)網(wǎng)相關(guān)的一種服務(wù)，將各種計(jì)算資源共享，形成資源池，稱為“云服務(wù)”，能夠?yàn)樽鈶籼峁┌葱璺?wù)、按使用量計(jì)費(fèi)，具備高度可擴(kuò)展性的服務(wù)。

另一方面，在云計(jì)算和虛擬化技術(shù)中，越來越需要使用密碼技術(shù)保證安全性。例如通過密碼學(xué)中的密碼算法實(shí)現(xiàn)應(yīng)用系統(tǒng)所需的數(shù)據(jù)加密、完整性驗(yàn)證、數(shù)字簽名等應(yīng)用。但是由于VM本身是虛擬化出的一種呈現(xiàn)，所以無法象在實(shí)體計(jì)算機(jī)上一樣，直接在VM上部署合規(guī)可靠的密碼模塊，實(shí)現(xiàn)密鑰的安全產(chǎn)生、安全管理以及安全的密碼計(jì)算。

因此如何在虛擬機(jī)上部署合規(guī)可靠的密碼功能成了亟待解決的技術(shù)問題。

發(fā)明內(nèi)容

本申請(qǐng)實(shí)施例的目的在于提供一種提供密碼資源的方法、系統(tǒng)及宿主機(jī)，采用本申請(qǐng)實(shí)施例的技術(shù)方案能夠在云計(jì)算和虛擬化場(chǎng)景下，將實(shí)體機(jī)(或稱為宿主機(jī))側(cè)各種類型的異構(gòu)密碼能力映射到運(yùn)行于實(shí)體機(jī)上的虛擬機(jī)中(例如，具有各種類型的異構(gòu)密碼能力的密碼功能組件在實(shí)體機(jī)中的呈現(xiàn)形式為一個(gè)Linux內(nèi)核模塊或虛擬的PCI設(shè)備)；采用本申請(qǐng)實(shí)施例的技術(shù)方案可以通過租用帶有密碼模塊的虛擬機(jī)，并使用密碼模塊的功能為業(yè)務(wù)系統(tǒng)提供密碼功能或服務(wù)，可以將其封裝為各種應(yīng)用接口或網(wǎng)絡(luò)服務(wù)，形成虛擬化形式的密碼產(chǎn)品(例如，云簽名驗(yàn)證服務(wù)器、云密碼機(jī)、云證書管理系統(tǒng)、云電子發(fā)票、云VPN等)；使用本申請(qǐng)實(shí)施例的技術(shù)方案，虛擬機(jī)中的虛擬密碼模塊向外所呈現(xiàn)的密碼計(jì)算、密鑰管理都是在實(shí)體機(jī)側(cè)的密碼資源中完成，因而更容易實(shí)現(xiàn)合規(guī)性，更容易進(jìn)行安全控制。

第一方面，本申請(qǐng)實(shí)施例提供一種宿主機(jī)，其上至少運(yùn)行一個(gè)虛擬機(jī)，所述宿主機(jī)包括：運(yùn)行于所述虛擬機(jī)的虛擬密碼模塊；虛擬密碼后端模塊，被配置為將由密碼功能組件實(shí)現(xiàn)的密碼功能映射至所述虛擬密碼模塊，其中，所述密碼功能包括密碼計(jì)算或者密鑰管理。

本申請(qǐng)實(shí)施例虛擬機(jī)中的虛擬密碼模塊所呈現(xiàn)的密碼計(jì)算、密鑰管理都是在宿主機(jī)側(cè)的密碼資源中完成，因而更容易實(shí)現(xiàn)合規(guī)性，更容易進(jìn)行安全控制。

在一些實(shí)施中，所述虛擬密碼模塊包括：驅(qū)動(dòng)模塊，被配置為驅(qū)動(dòng)所述虛擬密碼后端模塊和所述密碼功能組件完成所述密碼計(jì)算或者密鑰管理；管理模塊，被配置為啟動(dòng)初始化操作以使所述密碼功能組件至少產(chǎn)生主密鑰；應(yīng)用程序接口，被配置為接收來自于用戶的密碼服務(wù)指令并接收來自于所述密碼功能組件的密碼信息。

本申請(qǐng)實(shí)施例部署在虛擬機(jī)中的虛擬密碼模塊可以使得相關(guān)人員通過管理模塊完成密鑰管理相關(guān)的操作，可以使用戶通過應(yīng)用程序接口發(fā)出密碼服務(wù)指令并進(jìn)一步由驅(qū)動(dòng)模塊驅(qū)動(dòng)虛擬密碼后端模塊和密碼功能組件以從密碼功能組件中獲取所需的密碼服務(wù)。

在一些實(shí)施例中，所述虛擬密碼后端模塊運(yùn)行于虛擬化容器中，其中，所述虛擬機(jī)運(yùn)行與所述虛擬化容器中。

本申請(qǐng)實(shí)施例通過虛擬化容器可以隔離密碼映射操作的全流程，保證了密碼服務(wù)的安全可靠。