一種在虛擬化環(huán)境中提供密碼運(yùn)算服務(wù)的系統(tǒng)和方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于計(jì)算機(jī)安全技術(shù)領(lǐng)域，特別涉及一種在虛擬化環(huán)境中提供密碼運(yùn)算服務(wù)的系統(tǒng)和方法。
【背景技術(shù)】
[0002]隨著云計(jì)算的不斷發(fā)展，虛擬化技術(shù)也越發(fā)得到廣泛應(yīng)用。利用虛擬化技術(shù)，可以在單一的計(jì)算機(jī)物理平臺上同時運(yùn)行多臺虛擬機(jī)(Virtual Machine，簡稱VM)。虛擬化技術(shù)有著諸多的優(yōu)點(diǎn)。首先，虛擬機(jī)監(jiān)控器(Virtual Machine Monitor，簡稱VMM)能夠?qū)ξ锢砥脚_的資源進(jìn)行統(tǒng)一管理，并監(jiān)控其之上運(yùn)行的虛擬機(jī)；其次，虛擬化技術(shù)確保了不同虛擬機(jī)之間的彼此隔離，一臺虛擬機(jī)上的服務(wù)并不會影響到其它虛擬機(jī)；最后，虛擬機(jī)可以快捷方便地復(fù)制、移動等。
[0003]使用虛擬化技術(shù)，能夠?yàn)閺V大的網(wǎng)絡(luò)用戶群體提供虛擬桌面辦公等多種方便、快捷的服務(wù)。參與到這個模式中的群體大致可劃分為兩類:管理員與普通用戶。其中，管理員是指負(fù)責(zé)對整個虛擬化環(huán)境進(jìn)行后臺的維護(hù)與管理的群體，普通用戶則是指僅使用虛擬化環(huán)境對外提供的虛擬機(jī)功能(例如虛擬桌面辦公等)而無權(quán)訪問虛擬化環(huán)境后臺的群體。
[0004]在上述的虛擬桌面辦公情況下，管理員需要對虛擬化環(huán)境中的多臺虛擬機(jī)進(jìn)行集中化的管理。當(dāng)前的虛擬化管理平臺主要有oVirt, RHEV, Xen-Center, Virt-Manager等，利用虛擬化管理平臺，可以方便地在云計(jì)算環(huán)境中的多個物理平臺上搭建虛擬化環(huán)境，并對虛擬化環(huán)境中的各類資源進(jìn)行統(tǒng)一有效的管理，尤其是對于虛擬機(jī)可以進(jìn)行創(chuàng)建、復(fù)制、移動、備份等工作。虛擬化平臺的結(jié)構(gòu)主要包括如下組件:宿主機(jī)(host)，即虛擬機(jī)運(yùn)行所基于的物理平臺，為虛擬機(jī)的運(yùn)行提供實(shí)際的硬件平臺。一個云計(jì)算環(huán)境中可以有多臺宿主機(jī)，每臺宿主機(jī)上可以運(yùn)行多臺虛擬機(jī)；客戶虛擬機(jī)(guest VM)，即運(yùn)行在宿主機(jī)上的虛擬機(jī)，由于虛擬機(jī)監(jiān)控器的存在，一臺宿主機(jī)上可以運(yùn)行多臺彼此獨(dú)立的客戶虛擬機(jī)，每臺客戶虛擬機(jī)擁有獨(dú)立的操作系統(tǒng)以及應(yīng)用；管理中心(manager)，它負(fù)責(zé)對整個虛擬化平臺環(huán)境中的主機(jī)、虛擬機(jī)、網(wǎng)絡(luò)等資源進(jìn)行統(tǒng)一管理；存儲系統(tǒng)(storage)，用于存儲虛擬化平臺中包括客戶機(jī)磁盤映象在內(nèi)的各類數(shù)據(jù)資源。
[0005]當(dāng)前許多計(jì)算機(jī)應(yīng)用的實(shí)現(xiàn)依賴于密碼學(xué)。例如通過密碼學(xué)中的密碼算法，能夠?qū)崿F(xiàn)數(shù)據(jù)加密、完整性驗(yàn)證、證書簽名等應(yīng)用。密碼算法的基本假設(shè)是:攻擊者無法獲得密鑰，只有密鑰的所有者能夠訪問密鑰。但這一假設(shè)在實(shí)際的信息系統(tǒng)中往往難以保證。在傳統(tǒng)的計(jì)算機(jī)系統(tǒng)中，攻擊者可以通過多種攻擊手段竊取密鑰:一方面，攻擊者可以通過軟件或者硬件的攻擊方法直接從計(jì)算機(jī)內(nèi)存中竊取密鑰數(shù)據(jù)；另一方面，攻擊者也可以通過側(cè)信道攻擊等間接攻擊方法還原出密鑰數(shù)據(jù)。
[0006]針對密鑰安全問題，通常有兩種解決方案:一種是開發(fā)硬件密碼設(shè)備，這類方案用專用的硬件來進(jìn)行密鑰的存儲、運(yùn)算等工作。但是許多硬件密碼設(shè)備和虛擬化環(huán)境并不能很好地結(jié)合，難以在虛擬化環(huán)境平臺中部署。
[0007]另一種解決方案是利用軟件方法開發(fā)安全的密碼運(yùn)算服務(wù)。基于軟件開發(fā)的密碼運(yùn)算服務(wù)成本較低，大規(guī)模的部署較為容易，并且能夠很好地與虛擬化環(huán)境相結(jié)合。一個方案是中國科學(xué)院信息工程研究所提出的虛擬密碼設(shè)備方案。該方案設(shè)計(jì)了運(yùn)行在虛擬機(jī)監(jiān)控器中的虛擬密碼管理器，用以對宿主機(jī)上的可用密碼計(jì)算資源(可以是虛擬機(jī)監(jiān)控器執(zhí)行的軟件密碼算法實(shí)現(xiàn))進(jìn)行管理，創(chuàng)建虛擬的密碼運(yùn)算設(shè)備(稱為虛擬密碼設(shè)備，用以存儲分配給客戶虛擬機(jī)的密鑰資源，客戶虛擬機(jī)通過虛擬的設(shè)備接口與之進(jìn)行通信)供客戶虛擬機(jī)使用。當(dāng)客戶虛擬機(jī)需要進(jìn)行密碼運(yùn)算時，會向虛擬密碼設(shè)備發(fā)送密碼運(yùn)算請求，由虛擬密碼設(shè)備管理器完成密碼運(yùn)算，并將運(yùn)算結(jié)果返回給客戶虛擬機(jī)。
[0008]具體的，上述的虛擬密碼設(shè)備方案以QEMU-KVM下的實(shí)現(xiàn)為例(稱為virt1_ct)，如圖5所示。Virt1-Ct的主要目標(biāo)是計(jì)算過程中的所有密鑰和敏感中間狀態(tài)不能被客戶虛擬機(jī)訪問。密鑰以文件的形式存儲在宿主機(jī)的磁盤中，通過指定密鑰文件的路徑為客戶虛擬機(jī)分配密鑰實(shí)體。密碼計(jì)算時，可以根據(jù)客戶虛擬機(jī)發(fā)來的消息，直接調(diào)用密碼算法實(shí)現(xiàn)軟件來進(jìn)行相應(yīng)的密碼運(yùn)算操作。虛擬密碼設(shè)備管理器在QEMU-KVM中實(shí)現(xiàn)，集成在QEMU進(jìn)程中。虛擬密碼設(shè)備和客戶虛擬機(jī)之間的計(jì)算請求和結(jié)果的傳遞采用Virt1技術(shù)實(shí)現(xiàn)，Virt1的基本結(jié)構(gòu)框架如圖6所示:其中前端驅(qū)動(frondend，如virt1-blk、virt1-net等)是在客戶虛擬機(jī)中存在的驅(qū)動程序模塊，而后端處理程序(backend)是在QEMU中實(shí)現(xiàn)的。在QEMU-KVM下的實(shí)現(xiàn)中，前端驅(qū)動是virt1-ct，而后端處理程序調(diào)用密碼算法實(shí)現(xiàn)軟件(在virt1-ct中，使用OpenSSL軟件包)來進(jìn)行相應(yīng)的密碼操作。
[0009]前后端驅(qū)動間還定義了兩層來支持客戶虛擬機(jī)與QEMU之間的通信。其中，包括虛擬隊(duì)列(virtqueues)接口，它在概念上將前端驅(qū)動程序附加到后端處理程序，虛擬隊(duì)列通過調(diào)用下層virt1-ring使前端驅(qū)動程序與后端處理程序在相同應(yīng)用二進(jìn)制接口(ABI:Applicat1n Binary Interface)下，能夠相互發(fā)送及接受數(shù)據(jù)。因此，虛擬隊(duì)列被視為客戶虛擬機(jī)和虛擬機(jī)監(jiān)控器的銜接點(diǎn)。Virt1-ct實(shí)例化的虛擬隊(duì)列按照功能可分為兩類:一類用于虛擬機(jī)監(jiān)控器和客戶虛擬機(jī)之間傳遞設(shè)備管理消息，另一類則用于傳遞密碼服務(wù)消息。每一對虛擬隊(duì)列都分別連接虛擬機(jī)監(jiān)控器和客戶虛擬機(jī)，可以支持客戶虛擬機(jī)向虛擬機(jī)監(jiān)控器發(fā)送消息或者從其處接受消息。Virt1-ring實(shí)現(xiàn)了環(huán)形緩沖區(qū)(ringbuffer)，用于保存前端驅(qū)動和后端處理程序執(zhí)行的信息，并且它可以一次性保存前端驅(qū)動的多次1/0請求，并且交由后端驅(qū)動去批量處理。在virt1-ct中，客戶虛擬機(jī)動態(tài)申請內(nèi)存，并把地址通過PCI配置接口發(fā)送給虛擬密碼設(shè)備管理器，虛擬密碼設(shè)備管理器通過添加一個偏移得到該內(nèi)存區(qū)域的虛擬地址。兩者通過該共享的內(nèi)存區(qū)域進(jìn)行通信。
[0010]不同于以往架構(gòu)中由客戶虛擬機(jī)本身進(jìn)行密碼運(yùn)算，Virt1-ct所有的密碼運(yùn)算都在虛擬機(jī)監(jiān)控器中完成，即便攻擊者攻占了客戶虛擬機(jī)，也無法竊取密鑰數(shù)據(jù)，實(shí)現(xiàn)了虛擬化環(huán)境中的密鑰安全防護(hù)。
[0011]雖然上述的虛擬密碼設(shè)備方案一定程度解決了密碼服務(wù)的安全問題，但仍然存在不足:虛擬密碼設(shè)備對應(yīng)的密鑰文件由口令保護(hù)，故而在啟動客戶虛擬機(jī)的時候，需要負(fù)責(zé)虛擬密碼設(shè)備的管理員在宿主機(jī)端輸入口令。這樣便無法向使用客戶虛擬機(jī)的普通用戶提供便捷、友好的安全密碼服務(wù)，無法實(shí)現(xiàn)集中式的管理。如果密鑰文件以明文存儲，則無須管理員輸入口令，但是就無法提供安全的密碼服務(wù)?；谶@些問題，需要設(shè)計(jì)新的系統(tǒng)和方法，對虛擬密碼設(shè)備進(jìn)行統(tǒng)一的、集中式的管理，同時給使用虛擬機(jī)的普通用戶提供友好的使用接口。

【發(fā)明內(nèi)容】

[0012]本發(fā)明提供了一種在虛擬化環(huán)境中提供密碼運(yùn)算服務(wù)的方法和系統(tǒng)。該方案在虛擬化管理平臺中融合了安全的密碼運(yùn)算服務(wù)(該服務(wù)由虛擬密碼設(shè)備來實(shí)現(xiàn))。一方面，通過虛擬化管理平臺能夠?qū)μ摂M密碼設(shè)備進(jìn)行集中化的統(tǒng)一管理，并提供友好的操作接口 ；另一方面，虛擬化平臺也可以為其管理的客戶虛擬機(jī)提供安全的密碼運(yùn)算服務(wù)(該服務(wù)由虛擬密碼設(shè)備來實(shí)現(xiàn))，解決了客戶虛擬機(jī)中的密鑰安全問題。
[0013]具體來說，本發(fā)明的技術(shù)方案如下:
[0014]—種在虛擬化環(huán)境中提供密碼運(yùn)算服務(wù)的系統(tǒng)，該系統(tǒng)中包含以下三個子系統(tǒng):
[0015]配置子系統(tǒng):部署于虛擬化平臺的管理中心，為管理員/普通用戶提供輸入虛擬密碼設(shè)備相關(guān)信息(包括密鑰文件名、密鑰文件保護(hù)口令)的接口，為客戶虛擬機(jī)指定所使用的密鑰，以便之后為客戶虛擬機(jī)創(chuàng)建虛擬密碼設(shè)備。配置子系統(tǒng)支持兩種不同方式的密鑰文件分配操作:(I)密鑰文件名和保護(hù)口令都由管理員輸入，或者(2)密鑰文件名由管理員輸入、保護(hù)口令由普通用戶輸入。
[0016]密鑰文件存儲子系統(tǒng):部署于虛擬化平臺的存儲系統(tǒng)，用于存儲密鑰文件(密鑰可以是非對稱密碼算法的私鑰、或者對稱密碼算法的對稱密鑰)，密鑰文件中的密鑰數(shù)據(jù)用口令進(jìn)行保護(hù)。具體來講，可以對保護(hù)口令使用Hash算法，生成256bit的AES密鑰，來對密鑰文件中的數(shù)據(jù)進(jìn)行加密。
[0017]虛擬機(jī)運(yùn)行子系統(tǒng):部署于每臺宿主機(jī)，根據(jù)配置子系統(tǒng)的輸入，從密鑰文件存儲子系統(tǒng)中獲取相應(yīng)的密鑰文件，為相應(yīng)的客戶虛擬機(jī)創(chuàng)建虛擬密碼設(shè)備，并運(yùn)行客戶虛擬機(jī)，為其提供密碼運(yùn)算服務(wù)。
[0018]—種采用上述系統(tǒng)在虛擬化環(huán)境中提供密碼運(yùn)算服務(wù)的方法，該方法包括以下步驟:
[0019]I)管理員/普通用戶通過配置子系統(tǒng)輸入配置給客戶虛擬機(jī)的密鑰文件名和保護(hù)口令。若保護(hù)口令需要由管理員輸入，則管理員在輸入密鑰文件名的同時輸入相應(yīng)的保護(hù)口令；若保護(hù)口令需要由普通用戶輸入，則在管理員事先已經(jīng)指定密鑰文件的情況下，由普通用戶在啟動客戶虛擬機(jī)時根據(jù)