[發明專利]一種基于可信計算的容器實時遷移方法

在審

• 申請號: 202210086611.7
• 申請日: 2022-01-25
• 公開（公告）號: CN114461340A
• 公開（公告）日: 2022-05-10
• 發明（設計）人: 王冠;殷劉智子
• 申請（專利權）人: 北京工業大學
• 主分類號: G06F9/455
• 分類號: G06F9/455
• 代理公司: 北京思海天達知識產權代理有限公司 11203
• 代理人: 劉萍

1.一種基于可信計算的容器實時遷移方法，其特征在于，該方法包括如下步驟：

遷移環境建立：平臺認證階段以及遷移雙方資源準備；

實時遷移階段：實時遷移階段包括預拷貝(Pre-copy Phrase)、停機階段(DowntimePhrase)和后拷貝階段(Post-copy Phrase)；

結束遷移階段：目的虛擬機接收到全部內存，遷移完成，清理源虛擬機數據。

2.根據權利要求1所述的容器實時遷移方法，其特征在于，所述遷移環境建立步驟具體包括：

該步驟包括平臺認證階段以及遷移雙方資源準備；實施步驟如下：

步驟1：源平臺P0的可信芯片F0通過對本地環境進行安全度量后，使用背書密鑰生成相應的身份認證密鑰AIK作為平臺的認證密鑰，記為硬件平臺認證密鑰，并通過硬件認證CA簽署證書證明其真實性；對于每個平臺，由平臺所有者的證書頒發機構為平臺所有者密鑰簽署證書以證明其真實性，用以識別平臺和它的所有者；當F0驗證F1是一個有效的目的地后，創建遷移會話；

步驟2：源平臺P0向遷移代理MA0發起執行遷移請求，并提供容器清單；清單中定義了允許的平臺所有者證書(POCA)，并且只允許遷移到這些平臺上；

步驟3：遷移代理MA0對選擇的目標平臺P1進行認證；MA0將可信芯片F1的平臺所有者證書(POCA)密鑰與清單中列出的授權目標平臺的POCA進行比較；當P1被認證為有效的目的地，此次遷移便獲得授權；

步驟4：遷移代理MA0向目的平臺P1發起會話請求，P1啟動遷移代理MA1并返回聯系信息；

步驟5：遷移代理MA0請求MA1提供證明報告，并發送一個隨機數Nonce；

步驟6：遷移代理MA1將證明請求轉發給可信芯片F1；F1創建包含Nonce和MA1的公鑰和度量信息的證明報告，并使用F1的芯片背書密鑰(EK)生成的身份認證密鑰(AIK)進行簽名；

步驟7：遷移代理MA0驗證帶有F1背書密鑰生成的AIK簽名的證明報告；成功驗證后，雙方身份認證完整，遷移環境建立完成。

3.根據權利要求1所述的容器實時遷移方法，其特征在于，所述實時遷移階段步驟具體包括：

本階段是實時遷移的核心流程；其中包括預拷貝(Pre-copy Phrase)、停機階段(Downtime Phrase)和后拷貝階段(Post-copy Phrase)三個部分；具體實施步驟如下：

步驟1：預拷貝階段(Pre-copy Phrase)

步驟1-1：遷移代理MA0指示源平臺P0交換虛擬機的加密內存頁；加密內存頁通過F0的SK密鑰進行加密，只有具有相應虛擬機上下文的實體才能解密；

步驟1-2：換出的內存和虛擬機的鏡像和容器清單被轉移到遷移代理MA1，MA1將虛擬機鏡像和加密的內存傳遞給P1，P1對鏡像和內存數據進行存儲；

步驟2：停機階段(Downtime Phrase)

步驟2-1：遷移代理MA0指示目的地平臺P1停止虛擬機時，停機階段開始；P1交換出所有剩余的內存頁；

步驟2-2：遷移代理MA0從F0那里獲得虛擬機上下文，F0持有解密內存的密鑰；此時虛擬機不再運行；

步驟2-3：虛擬機上下文被轉移到遷移代理MA1，同時數據鏡像被同步；此外，對虛擬機的執行至關重要的熱頁也被遷移了；

步驟2-4：遷移代理MA1準備執行虛擬機，指示可信芯片F1用F0的SK解密密鑰進行解密，并通過提供的虛擬機上下文創建正確的虛擬機環境；

步驟2-5：鏡像更新到虛擬機被停止時的狀態，目的平臺P1通過交換之前遷移代理MA0在虛擬機停機時所提供的熱頁來繼續執行虛擬機；

步驟3：后拷貝階段(Post-copy Phrase)

步驟3-1:所有剩余的內存頁被轉移，隨后被換入，直到虛擬機接收到全部內存，遷移完成。

4.根據權利要求1所述的容器實時遷移方法，其特征在于，所述結束遷移階段步驟具體包括：

上一階段結束后，目的虛擬機已經接收到全部內存，遷移部分完成；本階段將結束整個遷移活動；具體實施過程為：遷移代理MA0指示源平臺P0刪除相關信息，MA0移除容器清單，遷移結束。