[發明專利]一種基于可信計算的容器實時遷移方法

在審

• 申請號: 202210086611.7
• 申請日: 2022-01-25
• 公開（公告）號: CN114461340A
• 公開（公告）日: 2022-05-10
• 發明（設計）人: 王冠;殷劉智子
• 申請（專利權）人: 北京工業大學
• 主分類號: G06F9/455
• 分類號: G06F9/455
• 代理公司: 北京思海天達知識產權代理有限公司 11203
• 代理人: 劉萍

本發明公開一種基于可信計算的容器實時遷移方法。操作系統虛擬化與容器已經成為云計算中的關鍵技術。數據中心和云供應商對計算資源的控制使用戶數據面臨泄露的風險并降低了用戶對數據的實際控制，帶來了容器遷移過程的安全威脅。本發明引入遷移代理的概念，借助可信平臺模塊提出一種在安全的加密虛擬機中遷移容器的方法。目的地平臺的真實性和完整性在數據傳輸之前通過遠程認證來驗證，遷移過程中容器內的進程保持不變，也不必重新啟動。容器內數據通過遷移代理間的安全會話進行傳輸，其完整性和保密性在遷移過程中以及在目的地平臺上都得到了保證，提升了容器遷移的安全性。

技術領域

本發明屬于虛擬化安全技術領域，具體為一種基于可信計算的容器實時遷移方法。

背景技術

容器化已經成為一種流行的方法，以可擴展的方式部署和運行軟件。服務或應用程序作為進程組被隔離在容器中，使用操作系統(OS)級別的虛擬化。

所有運行容器所需的文件都在一個可移植和獨立的鏡像(Image)中提供。同樣，數據中心和云計算中的共享資源變得越來越普遍。在一個系統出現資源短缺或維護的情況下，將運行中的容器遷移到另一個系統可以確保服務的持續執行和可用性。

容器從一個系統轉移到另一個系統，并在目標系統繼續執行而不中斷，在這一過程中需要采取適當的措施來保護容器數據，防止惡意平臺運營商利用了平臺漏洞進行攻擊或者非法訪問。

運行容器的基礎設施和相應的管理工具通常由數據中心供應商提供。然而數據和應用程序的完整性和保密性并不總是由數據中心的運營商保證。本發明通過可信計算技術確保數據在傳輸、靜止和使用中的完整性和保密性，同時提供一個透明的容器遷移過程。

可信計算技術：可信計算技術是指從物理安全的可信根出發，在計算環境中構筑從可信根到應用的完整可信鏈條，以為系統提供可信度量、可信存儲、可信報告等可信支撐功能，支持系統應用的可信運行?？尚庞嬎慵夹g明確了信息系統的可信應從一個物理保護的、具備可信密碼服務的可信根出發，通過一環套一環的可信擴展過程，將可信從可信根擴展到整個系統?？尚庞嬎慵夹g明確了可信存儲、可信報告和可信度量等機制的實施方式，提出了比較完整的可信體系實施的工程方法。

可信報告和可信認證：一般使用可信報告和可信認證機制來遠程證明用戶身份和平臺可信性?？尚艌蟾婧涂尚耪J證機制的基礎是可信根中的背書密鑰(EK，EndorsementKey)。背書密鑰是系統的可信報告根，是一組非對稱密鑰，在每個可信根中唯一存在。EK一般用于用戶和認證中心的關鍵鑒別密鑰生成過程，在平臺上生成與用戶身份對應的AIK，平臺用戶可以使用AIK產生可信報告，向外界證明當前可信根的寄存器狀態以及可信根中密鑰的一些信息。利用可信報告中的這些信息，結合可信平臺上的安全機制，實現對用戶身份以及平臺當前可信狀況的遠程認證。

CRIU：CRIU(Checkpoint/Restore In Userspace)是一個Linux軟件，它可以凍結一個正在運行的容器(或一個單獨的應用程序)，并將其狀態檢查點到磁盤上。保存的數據可以用來恢復應用程序，并完全按照凍結時的狀態運行。利用這一功能，應用程序或容器的實時遷移、快照、遠程調試和其他許多事情現在都可以實現。

虛擬機實時遷移：又稱為熱遷移(Live Migration)。是指在保證虛擬機上服務正常運行的同時，虛擬機在不同的物理主機之間進行遷移，其邏輯步驟與離線遷移幾乎完全一致。不同的是，為了保證遷移過程中虛擬機服務的可用，遷移過程僅有非常短暫的停機時間。遷移的前面階段，服務在源主機運行，當遷移進行到一定階段，目的主機已經具備了運行系統的必須資源，經過一個非常短暫的切換，源主機將控制權轉移到目的主機，服務在目的主機上繼續運行。對于服務本身而言，由于切換的時間非常短暫，用戶感覺不到服務的中斷，因而遷移過程對用戶是透明的。實時遷移適用于對服務可用性要求很高的場景。