專利名稱：一種虛擬磁盤映像加密管理系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及云計(jì)算或虛擬化環(huán)境中數(shù)據(jù)保護(hù)的系統(tǒng)。
背景技術(shù)：
云計(jì)算是當(dāng)前發(fā)展十分迅猛的新興產(chǎn)業(yè)，被認(rèn)為是繼微型計(jì)算機(jī)、互聯(lián)網(wǎng)后的第三次IT革命。主流IT公司、電信運(yùn)營(yíng)商以及新興的創(chuàng)新公司都將大量精力投入于云計(jì)算中，目前已構(gòu)成了一個(gè)較為完整的云計(jì)算生態(tài)環(huán)境。除了技術(shù)上的融合、創(chuàng)新，云計(jì)算還為社會(huì)信息化帶來了全新的服務(wù)模式，各種各樣的產(chǎn)品和服務(wù)都以云命名，如云計(jì)算、云軟件、云存儲(chǔ)、云安全、云災(zāi)備等。云計(jì)算這一新興事物在給社會(huì)帶來效益的同時(shí)也帶來了一些新的安全問題，由于虛擬化和多租戶的引入，如數(shù)據(jù)隔離、隱私保護(hù)等安全問題也日益受人們關(guān)注。ForresterResearch公司在2009年的調(diào)查顯示，有51 %的中小型企業(yè)認(rèn)為安全性和隱私問題是它們尚未選擇云服務(wù)的最主要原因。云環(huán)境中的數(shù)據(jù)安全可分為幾個(gè)方面，從數(shù)據(jù)的區(qū)域來劃分，有1.邊界內(nèi)部安全，如虛擬化環(huán)境邊界、主機(jī)的邊界、虛擬機(jī)的邊界，以及虛擬網(wǎng)絡(luò)及子網(wǎng)的邊界安全等。2.邊界之間的安全，如用戶與虛擬化環(huán)境之間、虛擬機(jī)與虛擬機(jī)之間、用戶A的數(shù)據(jù)與用戶B的數(shù)據(jù)之間的隔離安全等。3.邊界的嵌套安全，如虛擬化環(huán)境邊界相對(duì)于主機(jī)邊界、主機(jī)邊界相對(duì)于虛擬機(jī)邊界等。從數(shù)據(jù)的狀態(tài)來劃分，可分為1.動(dòng)態(tài)數(shù)據(jù)。動(dòng)態(tài)數(shù)據(jù)可分為如下兩種狀態(tài)a)傳輸態(tài)的數(shù)據(jù)，如邊界A到邊界B之間傳輸?shù)臄?shù)據(jù)、被拷貝的內(nèi)存數(shù)據(jù)、共享的內(nèi)存數(shù)據(jù)等。b)運(yùn)算態(tài)的數(shù)據(jù)，如在CPU或虛擬CPU中進(jìn)行運(yùn)算的數(shù)據(jù)。2.靜態(tài)數(shù)據(jù)，如虛擬機(jī)磁盤中的數(shù)據(jù)、共享存儲(chǔ)中的用戶數(shù)據(jù)等。目前，大部分的云或虛擬化環(huán)境中的數(shù)據(jù)安全產(chǎn)品仍沿用傳統(tǒng)的方式，在虛擬機(jī)中安裝加密驅(qū)動(dòng)，加密磁盤某一卷或分區(qū)的數(shù)據(jù)，這一方式能有效保護(hù)用戶的數(shù)據(jù)安全，但也未充分利用虛擬化環(huán)境的特點(diǎn)。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題是，提供一種虛擬磁盤映像加密管理系統(tǒng)及方法，以充分利用虛擬化的特點(diǎn)，更高效、安全的保護(hù)用戶虛擬機(jī)中的數(shù)據(jù)。為了解決上述技術(shù)問題，本發(fā)明公開了一種虛擬磁盤映像加密管理系統(tǒng)，至少包括對(duì)稱密鑰管理中心以及安裝于各虛擬化監(jiān)視器中的虛擬機(jī)加密磁盤映像管理代理，其中所述虛擬機(jī)加密磁盤映像管理代理，向所述對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息，根據(jù)所獲取的密鑰信息，生成虛擬機(jī)加密磁盤映像，并根據(jù)用戶操作管理虛擬機(jī)加密磁盤映像，所述管理包括虛擬機(jī)加密磁盤映像的掛載、打開、快照、遷移以及刪除操作；所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理。較佳地，上述系統(tǒng)中，所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理指所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，生成虛擬機(jī)加密磁盤映像的密鑰信息，再將生成的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理；或者所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將本地已保存的虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理。較佳地，上述系統(tǒng)中，所述對(duì)稱密鑰管理中心，根據(jù)所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，還確定發(fā)起請(qǐng)求的客戶端是否為認(rèn)證的客戶端，僅當(dāng)發(fā)起請(qǐng)求的客戶端為認(rèn)證的客戶端時(shí),才生成虛擬機(jī)加密磁盤映像加密密鑰。較佳地，上述系統(tǒng)中，所述虛擬機(jī)加密磁盤映像管理代理分為可qemu-kvm代理和對(duì)稱密鑰管理客戶端，其中qemu-kvm代理，根據(jù)虛擬機(jī)加密磁盤的通用唯一標(biāo)識(shí)碼(UUID)提交密鑰請(qǐng)求給所述對(duì)稱密鑰管理客戶端和接收返回的密鑰信息，根據(jù)返回的密鑰信息生成虛擬機(jī)加密磁盤映像，以及根據(jù)用戶操作對(duì)生成的虛擬機(jī)加密磁盤映像進(jìn)行管理，所述管理包括虛擬機(jī)加密磁盤映像的掛載、打開、快照、遷移以及刪除操作；對(duì)稱密鑰管理客戶端，根據(jù)qemu-kvm代理提交的密鑰請(qǐng)求與對(duì)稱密鑰管理中心通信，并將對(duì)稱密鑰管理中心發(fā)送的密鑰信息返回給qemu-kvm代理。較佳地，上述系統(tǒng)中，所述對(duì)稱密鑰管理客戶端與對(duì)稱密鑰管理中心通信指所述對(duì)稱密鑰管理客戶端將根據(jù)虛擬機(jī)加密磁盤的UUID向所述對(duì)稱密鑰管理中心發(fā)送加密密鑰生成請(qǐng)求；或者根據(jù)虛擬機(jī)加密磁盤的UUID向所述對(duì)稱密鑰管理中心發(fā)送加密密鑰獲取請(qǐng)求。較佳地，上述系統(tǒng)中，所述對(duì)稱密鑰管理中心包括密碼生成模塊、存儲(chǔ)密鑰和虛擬機(jī)信息的數(shù)據(jù)庫(kù)模塊和對(duì)稱密鑰管理服務(wù)模塊，其中密碼生成模塊，采用密碼學(xué)安全的成熟偽隨機(jī)數(shù)生成算法，提供分組密鑰AES的密鑰生成；數(shù)據(jù)庫(kù)表模塊，存儲(chǔ)有各虛擬機(jī)加密磁盤映像文件名稱及其對(duì)應(yīng)虛擬機(jī)、用戶信息，其中，包含的表項(xiàng)包括虛擬機(jī)加密磁盤映像UUID、用戶ID、對(duì)稱密鑰ID、加密后的對(duì)稱密鑰、密鑰生成時(shí)間、密鑰最近修改時(shí)間、密鑰狀態(tài)；對(duì)稱密鑰管理服務(wù)模塊，為各虛擬機(jī)加密磁盤映像管理代理提供管理服務(wù)，所述管理服務(wù)包括查詢密鑰、刪除密鑰以及更新密鑰。較佳地，上述系統(tǒng)中，所述密碼生成模塊生成128位、192位以及256位AES分組密鑰。本發(fā)明還公開了一種虛擬磁盤映像加密管理方法，包括安裝于各虛擬化監(jiān)視器中的虛擬機(jī)加密磁盤映像管理代理向網(wǎng)絡(luò)側(cè)的對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息；所述對(duì)稱密鑰管理中心接收所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理；所述虛擬機(jī)加密磁盤映像管理代理根據(jù)所獲取的密鑰信息，生成虛擬機(jī)加密磁盤映像，根據(jù)用戶操作對(duì)所生成的虛擬機(jī)加密磁盤映像進(jìn)行管理，其中，所述管理包括虛擬機(jī)加密磁盤映像的掛載、打開、快照、遷移以及刪除操作。較佳地，上述方法中，所述對(duì)稱密鑰管理中心接收所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理指所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，生成虛擬機(jī)加密磁盤映像的密鑰信息，再將生成的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理；或者所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將本地已保存的虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理。較佳地，上述方法中，所述對(duì)稱密鑰管理中心，根據(jù)所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，還確定發(fā)起請(qǐng)求的客戶端是否為認(rèn)證的客戶端，僅當(dāng)發(fā)起請(qǐng)求的客戶端為認(rèn)證的客戶端時(shí),才生成虛擬機(jī)加密磁盤映像加密密鑰。較佳地，上述方法中，所述虛擬機(jī)加密磁盤映像管理代理向網(wǎng)絡(luò)側(cè)的對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息指所述虛擬機(jī)加密磁盤映像管理代理根據(jù)虛擬機(jī)加密磁盤的通用唯一標(biāo)識(shí)碼(UUID)向所述對(duì)稱密鑰管理中心發(fā)送加密密鑰生成請(qǐng)求；或者根據(jù)虛擬機(jī)加密磁盤的UUID向所述對(duì)稱密鑰管理中心發(fā)送加密密鑰獲取請(qǐng)求。本申請(qǐng)技術(shù)方案保護(hù)整個(gè)虛擬機(jī)磁盤映像的安全，從而保護(hù)云或虛擬化環(huán)境下用戶的數(shù)據(jù)安全。并且，方便了云或虛擬化管理中心對(duì)加密虛擬機(jī)磁盤映像的管理。


圖1為本實(shí)施例中虛擬磁盤映像加密管理系統(tǒng)的整體框架示意圖；圖2為圖1所示虛擬磁盤映像加密管理系統(tǒng)的體系結(jié)構(gòu)圖；圖3為本實(shí)施例中虛擬機(jī)加密磁盤映像打開流程圖。
具體實(shí)施例方式為使本發(fā)明的目的、技術(shù)方案和優(yōu)點(diǎn)更加清楚明白，下文將結(jié)合附圖對(duì)本發(fā)明技術(shù)方案作進(jìn)一步詳細(xì)說明。需要說明的是，在不沖突的情況下，本申請(qǐng)的實(shí)施例和實(shí)施例中的特征可以任意相互組合。實(shí)施例1本申請(qǐng)發(fā)明人提出，可利用虛擬化平臺(tái)KVM(kernel-based VirtualMachine,虛擬機(jī))自身的特性和加密功能，在虛擬化監(jiān)視器中安裝虛擬機(jī)磁盤映像加密代理，通過代理控制磁盤映像的加密、打開等操作，并向外提供虛擬機(jī)磁盤映像管理API (ApplicationProgramming Interface,應(yīng)用程序編程接口 );通過獨(dú)立的密鑰管理中心管理加密密鑰并驗(yàn)證代理和用戶的身份，保證密鑰的安全，從而保護(hù)虛擬機(jī)磁盤映像文件和磁盤中數(shù)據(jù)的安全?；谏鲜鏊枷耄緦?shí)施例提供一種虛擬磁盤映像加密管理系統(tǒng)，至少包括虛擬機(jī)加密磁盤映像管理代理和對(duì)稱密鑰管理中心。其中，虛擬機(jī)加密磁盤映像管理代理，安裝于每個(gè)虛擬化監(jiān)視器中，根據(jù)用戶操作與對(duì)稱密鑰管理中心交互，向?qū)ΨQ密鑰管理中心請(qǐng)求主機(jī)中安裝的虛擬機(jī)加密磁盤的密鑰信息、根據(jù)所獲取的密鑰信息，生成虛擬機(jī)加密磁盤映像，并根據(jù)用戶操作管理虛擬機(jī)加密磁盤映像；其中，虛擬機(jī)加密磁盤映像管理API涵蓋虛擬機(jī)運(yùn)行全生命周期，包括虛擬機(jī)加密磁盤映像的生成、打開、快照、遷移、刪除等操作。具體地，虛擬機(jī)加密磁盤映像管理代理可分為可利用KVM虛擬化平臺(tái)特性的qemu-kvm代理和對(duì)稱密鑰管理客戶端。qemu-kvm代理，負(fù)責(zé)虛擬機(jī)加密磁盤映像管理API (即虛擬機(jī)加密磁盤映像的生成、掛載、打開、快照、遷移、刪除等操作)，以及提交密鑰請(qǐng)求給對(duì)稱密鑰管理客戶端和接收返回的密鑰信息。對(duì)稱密鑰管理客戶端，負(fù)責(zé)與對(duì)稱密鑰管理中心通信、將密鑰信息返回給qemu-kvm代理。虛擬機(jī)加密磁盤映像管理代理的工作過程如下qemu-kvm代理向?qū)ΨQ密鑰管理客戶端請(qǐng)求生成或獲取虛擬機(jī)加密磁盤映像的密鑰信息，此時(shí)，對(duì)稱密鑰管理客戶端經(jīng)與密鑰管理中心交互后返回所請(qǐng)求的密鑰信息給qemu-kvm代理。其中，進(jìn)一步地，對(duì)稱密鑰管理客戶端與對(duì)稱密鑰管理中心的通信包括如下操作根據(jù)相應(yīng)的虛擬機(jī)加密磁盤的唯一標(biāo)識(shí)UUID (由qemu-kvm代理生成的，再由對(duì)稱密鑰管理客戶端發(fā)送給密鑰管理中心)(通用唯一標(biāo)識(shí)碼)請(qǐng)求生成加密密鑰；或者根據(jù)相應(yīng)的虛擬機(jī)加密磁盤的唯一標(biāo)識(shí)UUID請(qǐng)求獲取保存在對(duì)稱密鑰管理中心的加密密鑰。對(duì)稱密鑰管理中心，根據(jù)虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求進(jìn)行虛擬機(jī)加密磁盤映像加密密鑰的生成、保存和管理。優(yōu)選地，對(duì)稱密鑰管理中心只為經(jīng)認(rèn)證的虛擬機(jī)加密磁盤映像管理代理提供服務(wù)，其可從云或虛擬機(jī)管理中心獲取必要的用戶管理信息，根據(jù)獲取的用戶管理信息，來判斷發(fā)起管理操作的客戶端是否為認(rèn)證的客戶端，如果是，再為認(rèn)證的客戶端的虛擬機(jī)加密磁盤映像進(jìn)行對(duì)應(yīng)的管理操作。對(duì)稱密鑰管理中心從虛擬化管理中心獲取必要的用戶信息，指當(dāng)密鑰管理中心接收對(duì)稱密鑰管理客戶端請(qǐng)求時(shí)，查詢?cè)苹蛱摂M化管理中心或云或虛擬化管理中心主動(dòng)發(fā)送信息，以驗(yàn)證密鑰請(qǐng)求由用戶發(fā)起而非從云計(jì)算中心內(nèi)部發(fā)起，進(jìn)一步加強(qiáng)用戶的數(shù)據(jù)安全。具體地，對(duì)稱密鑰管理中心包括一個(gè)提供隨機(jī)生成安全對(duì)稱密鑰的密碼生成模塊，一個(gè)存儲(chǔ)密鑰和虛擬機(jī)信息的數(shù)據(jù)庫(kù)模塊和一個(gè)對(duì)外提供對(duì)稱密鑰管理服務(wù)模塊。密碼生成模塊，采用密碼學(xué)安全的成熟偽隨機(jī)數(shù)生成算法，提供分組密鑰AES的密鑰生成，可生成128位、192位以及256位AES分組密鑰。數(shù)據(jù)庫(kù)表模塊，存儲(chǔ)有各虛擬機(jī)加密磁盤映像文件名稱及其對(duì)應(yīng)虛擬機(jī)、用戶信息，其中包含的表項(xiàng)包括虛擬機(jī)加密磁盤映像UUID、用戶ID、對(duì)稱密鑰ID、加密后的對(duì)稱密鑰、密鑰生成時(shí)間、密鑰最近修改時(shí)間、密鑰狀態(tài)等。對(duì)稱密鑰管理服務(wù)模塊，為各虛擬機(jī)加密磁盤映像管理代理(即其中的對(duì)稱密鑰管理客戶端)提供服務(wù)，主要過程為對(duì)稱密鑰管理客戶端向?qū)ΨQ密鑰管理中心的對(duì)稱密鑰管理服務(wù)模塊發(fā)送請(qǐng)求，對(duì)稱密鑰管理服務(wù)模塊通過客戶端證書和用戶使用信息(可保存在本地，或者實(shí)時(shí)查詢?cè)苹蛱摂M化管理中心獲得)驗(yàn)證客戶端身份是否合法，若合法則響應(yīng)對(duì)稱密鑰管理客戶端的請(qǐng)求，修改數(shù)據(jù)庫(kù)中信息或發(fā)送所請(qǐng)求的密鑰信息。包括請(qǐng)求密鑰、查詢密鑰、刪除密鑰以及更新密鑰等。下面結(jié)合附圖，說明實(shí)用應(yīng)用中上述虛擬磁盤映像加密管理系統(tǒng)可基于圖1所示的網(wǎng)絡(luò)框架。該圖顯示了管理系統(tǒng)安裝部署的典型環(huán)境、所需組件以及安裝的位置。本系統(tǒng)部署環(huán)境為云或虛擬化環(huán)境，圖1以桌面云為例，存在桌面云管理中心以及虛擬化管理中心(VCenter)。虛擬化環(huán)境中存在多臺(tái)主機(jī)，每臺(tái)主機(jī)安裝虛擬化平臺(tái)，在虛擬化平臺(tái)中運(yùn)行多臺(tái)虛擬機(jī),通過共享存儲(chǔ)storage保存虛擬機(jī)磁盤映像文件。本系統(tǒng)在每臺(tái)主機(jī)的虛擬化平臺(tái)層，即虛擬機(jī)監(jiān)視器中安裝一個(gè)代理，負(fù)責(zé)管理虛擬機(jī)加密磁盤映像及提供管理API，通過一個(gè)獨(dú)立的密鑰管理中心提供加密所需的對(duì)稱密鑰。具體地，虛擬磁盤映像加密管理系統(tǒng)的結(jié)構(gòu)如圖2所示。其是對(duì)圖1中整體框架的抽象和對(duì)其中關(guān)鍵組件的具體化。虛擬磁盤映像加密管理系統(tǒng)主要由兩大組件構(gòu)成，虛擬機(jī)加密磁盤映像管理代理和對(duì)稱密鑰管理中心。其中虛擬機(jī)加密磁盤映像管理代理安裝于每臺(tái)物理主機(jī)中，對(duì)稱密鑰管理中心為一臺(tái)獨(dú)立的物理設(shè)備。虛擬機(jī)加密磁盤映像管理代理由qemu-kvm代理和對(duì)稱密鑰管理客戶端兩個(gè)組件組成，qemu-kvm代理通過KVM虛擬化平臺(tái)的qemu-kvm模塊管理虛擬機(jī)磁盤映像文件,實(shí)現(xiàn)加密磁盤映像文件的生成、打開、快照、遷移、刪除等功能，并向外提供管理API，管理API包括(I)虛擬機(jī)加密磁盤映像生成功能生成空的虛擬機(jī)加密磁盤映像；(2)虛擬機(jī)加密磁盤映像打開功能打開已生成的虛擬機(jī)加密磁盤映像；(3)虛擬機(jī)加密磁盤映像快照功能為已有的虛擬機(jī)磁盤映像做快照，以在必要時(shí)恢復(fù)虛擬機(jī)狀態(tài)；(4)加密虛擬機(jī)遷移功能支持將加密虛擬機(jī)從一臺(tái)物理主機(jī)遷移至另一臺(tái)安裝有該管理代理的物理主機(jī)；(5)虛擬機(jī)加密磁盤映像刪除功能等。對(duì)稱密鑰管理中心由三個(gè)主要模塊組成A、提供隨機(jī)生成安全對(duì)稱密鑰的密碼模塊；B、存儲(chǔ)密鑰和虛擬機(jī)信息的數(shù)據(jù)庫(kù)模塊；C、對(duì)外提供對(duì)稱密鑰管理服務(wù)的模塊。模塊A采用密碼學(xué)安全的隨機(jī)數(shù)生成算法，實(shí)際應(yīng)用時(shí)根據(jù)實(shí)際情況決定采用合適的算法。模塊A可生成128位、192位、256位的AES分組密碼密鑰。
模塊B保存必要的密鑰信息，包括虛擬機(jī)加密磁盤映像UUID、用戶ID、對(duì)稱密鑰ID、加密后的對(duì)稱密鑰、密鑰生成時(shí)間、密鑰最近修改時(shí)間、密鑰狀態(tài)等。其中對(duì)稱密鑰用密文保存，方法為使用密鑰管理中心的主密鑰加密后保存在數(shù)據(jù)庫(kù)中。對(duì)稱密鑰管理中心的主密鑰應(yīng)保持定期自動(dòng)更新，更新周期根據(jù)實(shí)際應(yīng)用環(huán)境決定。模塊C整合模塊A和B，以C/S模式提供對(duì)稱密鑰管理服務(wù)，客戶端為安裝在虛擬機(jī)加密磁盤映像管理代理中的對(duì)稱密鑰管理客戶端。服務(wù)端和客戶端通過SSL加密協(xié)議通信，通過預(yù)裝在服務(wù)端和客戶端中的證書來認(rèn)證。一次典型的服務(wù)器和客戶端通訊步驟為(I)客戶端向服務(wù)端發(fā)起連接；(2)服務(wù)端和客戶端進(jìn)行雙向認(rèn)證并協(xié)商產(chǎn)生會(huì)話密鑰；(3)客戶端發(fā)送請(qǐng)求；(4)服務(wù)端響應(yīng)請(qǐng)求；(5)會(huì)話結(jié)束。虛擬機(jī)加密磁盤映像管理全生命周期需要系統(tǒng)中各個(gè)組件的協(xié)作，圖3以在桌面云環(huán)境中虛擬機(jī)加密磁盤映像打開為例描述了各組件之間的關(guān)聯(lián)順序。圖3中各步驟分別為(I)桌面管理中心向虛擬機(jī)加密磁盤映像管理代理發(fā)送啟動(dòng)虛擬機(jī)命令；(2)管理代理通過qemu-kvm調(diào)用虛擬化平臺(tái)相關(guān)命令；(3) qemu-kvm判斷虛擬機(jī)磁盤映像為加密格式，等待管理代理輸入磁盤映像的加密密鑰；(4)管理代理使用虛擬機(jī)加密磁盤映像的UUID向密鑰管理中心詢問密鑰；(5)密鑰管理中心對(duì)代理進(jìn)行認(rèn)證后向桌面管理中心查詢對(duì)應(yīng)虛擬機(jī)的使用狀態(tài)；(6)桌面管理中心返回虛擬機(jī)的使用狀態(tài)；(7)密鑰管理中心根據(jù)上一步返回信息決定是否發(fā)送密鑰給代理。虛擬機(jī)加密磁盤映像管理全生命周期中的其他如創(chuàng)建、快照、遷移、刪除等操作于上述步驟類似，這里不再贅述。實(shí)施例2本實(shí)施例提供一種虛擬磁盤映像加密管理方法，包括如下步驟操作步驟100，安裝于各虛擬化監(jiān)視器中的虛擬機(jī)加密磁盤映像管理代理向網(wǎng)絡(luò)側(cè)的對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息；步驟200，對(duì)稱密鑰管理中心接收所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理；優(yōu)選地，對(duì)稱密鑰管理中心在收到根據(jù)虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，還需要確定發(fā)起請(qǐng)求的客戶端是否為認(rèn)證的客戶端，僅當(dāng)發(fā)起請(qǐng)求的客戶端為認(rèn)證的客戶端時(shí)，才將該虛擬機(jī)加密磁盤的密鑰信息發(fā)送給虛擬機(jī)加密磁盤映像管理代理。步驟300，虛擬機(jī)加密磁盤映像管理代理根據(jù)所獲取的密鑰信息，生成虛擬機(jī)加密磁盤映像，根據(jù)用戶操作對(duì)所生成的虛擬機(jī)加密磁盤映像進(jìn)行管理，其中，所述管理包括虛擬機(jī)加密磁盤映像的掛載、打開、快照、遷移以及刪除操作。要說明的是，在上述方法中，述虛擬機(jī)加密磁盤映像管理代理向網(wǎng)絡(luò)側(cè)的對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息時(shí)，可以根據(jù)虛擬機(jī)加密磁盤的通用唯一標(biāo)識(shí)碼(UUID)向?qū)ΨQ密鑰管理中心發(fā)送加密密鑰生成請(qǐng)求或者加密密鑰獲取請(qǐng)求。而對(duì)應(yīng)的地，對(duì)稱密鑰管理中心接收所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí),可能即時(shí)生成虛擬機(jī)加密磁盤映像的密鑰信息，再將生成的密鑰信息發(fā)送給虛擬機(jī)加密磁盤映像管理代理。也可能已為該虛擬機(jī)加密磁盤生成過密鑰信息，此時(shí)，對(duì)稱密鑰管理中心將本地已保存的密鑰信息發(fā)送給虛擬機(jī)加密磁盤映像管理代理即可。上述方法實(shí)現(xiàn)過程中的其他細(xì)節(jié)可參見上述實(shí)施例1對(duì)應(yīng)的描述，在此不贅述。本領(lǐng)域普通技術(shù)人員可以理解上述方法中的全部或部分步驟可通過程序來指令相關(guān)硬件完成，所述程序可以存儲(chǔ)于計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)中，如只讀存儲(chǔ)器、磁盤或光盤等?？蛇x地，上述實(shí)施例的全部或部分步驟也可以使用一個(gè)或多個(gè)集成電路來實(shí)現(xiàn)。相應(yīng)地，上述實(shí)施例中的各模塊/單元可以采用硬件的形式實(shí)現(xiàn)，也可以采用軟件功能模塊的形式實(shí)現(xiàn)。本申請(qǐng)不限制于任何特定形式的硬件和軟件的結(jié)合。以上所述，僅為本發(fā)明的較佳實(shí)例而已，并非用于限定本發(fā)明的保護(hù)范圍。凡在本發(fā)明的精神和原則之內(nèi)，所做的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
1.一種虛擬磁盤映像加密管理系統(tǒng)，其特征在于，該系統(tǒng)至少包括對(duì)稱密鑰管理中心以及安裝于各虛擬化監(jiān)視器中的虛擬機(jī)加密磁盤映像管理代理，其中 所述虛擬機(jī)加密磁盤映像管理代理，向所述對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息，根據(jù)所獲取的密鑰信息，生成虛擬機(jī)加密磁盤映像，并根據(jù)用戶操作管理虛擬機(jī)加密磁盤映像，所述管理包括虛擬機(jī)加密磁盤映像的掛載、打開、快照、遷移以及刪除操作； 所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理。
2.如權(quán)利要求1所述的系統(tǒng)，其特征在于，所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理指 所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，生成虛擬機(jī)加密磁盤映像的密鑰信息，再將生成的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理；或者 所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將本地已保存的虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理。
3.如權(quán)利要求2所述的系統(tǒng)，其特征在于， 所述對(duì)稱密鑰管理中心，根據(jù)所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，還確定發(fā)起請(qǐng)求的客戶端是否為認(rèn)證的客戶端，僅當(dāng)發(fā)起請(qǐng)求的客戶端為認(rèn)證的客戶端時(shí)，才生成虛擬機(jī)加密磁盤映像加密密鑰。
4.如權(quán)利要求1、2或3所述的系統(tǒng)，其特征在于，所述虛擬機(jī)加密磁盤映像管理代理分為可qemu-kvm代理和對(duì)稱密鑰管理客戶端，其中 qemu-kvm代理，根據(jù)虛擬機(jī)加密磁盤的通用唯一標(biāo)識(shí)碼(UUID)提交密鑰請(qǐng)求給所述對(duì)稱密鑰管理客戶端和接收返回的密鑰信息，根據(jù)返回的密鑰信息生成虛擬機(jī)加密磁盤映像，以及根據(jù)用戶操作對(duì)生成的虛擬機(jī)加密磁盤映像進(jìn)行管理，所述管理包括虛擬機(jī)加密磁盤映像的掛載、打開、快照、遷移以及刪除操作； 對(duì)稱密鑰管理客戶端，根據(jù)qemu-kvm代理提交的密鑰請(qǐng)求與對(duì)稱密鑰管理中心通信，并將對(duì)稱密鑰管理中心發(fā)送的密鑰信息返回給qemu-kvm代理。
5.如權(quán)利要求4所述的系統(tǒng)，其特征在于，所述對(duì)稱密鑰管理客戶端與對(duì)稱密鑰管理中心通信指 所述對(duì)稱密鑰管理客戶端將根據(jù)虛擬機(jī)加密磁盤的UUID向所述對(duì)稱密鑰管理中心發(fā)送加密密鑰生成請(qǐng)求；或者 根據(jù)虛擬機(jī)加密磁盤的UUID向所述對(duì)稱密鑰管理中心發(fā)送加密密鑰獲取請(qǐng)求。
6.如權(quán)利要求4所述的系統(tǒng)，其特征在于，所述對(duì)稱密鑰管理中心包括密碼生成模塊、存儲(chǔ)密鑰和虛擬機(jī)信息的數(shù)據(jù)庫(kù)模塊和對(duì)稱密鑰管理服務(wù)模塊，其中 密碼生成模塊，采用密碼學(xué)安全的成熟偽隨機(jī)數(shù)生成算法，提供分組密鑰AES的密鑰生成； 數(shù)據(jù)庫(kù)表模塊，存儲(chǔ)有各虛擬機(jī)加密磁盤映像文件名稱及其對(duì)應(yīng)虛擬機(jī)、用戶信息，其中，包含的表項(xiàng)包括虛擬機(jī)加密磁盤映像UUID、用戶ID、對(duì)稱密鑰ID、加密后的對(duì)稱密鑰、密鑰生成時(shí)間、密鑰最近修改時(shí)間、密鑰狀態(tài)；對(duì)稱密鑰管理服務(wù)模塊，為各虛擬機(jī)加密磁盤映像管理代理提供管理服務(wù)，所述管理服務(wù)包括查詢密鑰、刪除密鑰以及更新密鑰。
7.如權(quán)利要求6所述的系統(tǒng)，其特征在于， 所述密碼生成模塊生成128位、192位以及256位AES分組密鑰。
8.—種虛擬磁盤映像加密管理方法，其特征在于，該方法包括 安裝于各虛擬化監(jiān)視器中的虛擬機(jī)加密磁盤映像管理代理向網(wǎng)絡(luò)側(cè)的對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息； 所述對(duì)稱密鑰管理中心接收所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理； 所述虛擬機(jī)加密磁盤映像管理代理根據(jù)所獲取的密鑰信息，生成虛擬機(jī)加密磁盤映像，根據(jù)用戶操作對(duì)所生成的虛擬機(jī)加密磁盤映像進(jìn)行管理，其中，所述管理包括虛擬機(jī)加密磁盤映像的掛載、打開、快照、遷移以及刪除操作。
9.如權(quán)利要求8所述的方法，其特征在于，所述對(duì)稱密鑰管理中心接收所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理指 所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，生成虛擬機(jī)加密磁盤映像的密鑰信息，再將生成的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理；或者 所述對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將本地已保存的虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理。
10.如權(quán)利要求9所述的方法，其特征在于， 所述對(duì)稱密鑰管理中心，根據(jù)所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，還確定發(fā)起請(qǐng)求的客戶端是否為認(rèn)證的客戶端，僅當(dāng)發(fā)起請(qǐng)求的客戶端為認(rèn)證的客戶端時(shí)，才生成虛擬機(jī)加密磁盤映像加密密鑰。
11.如權(quán)利要求8、9或10所述的方法，其特征在于，所述虛擬機(jī)加密磁盤映像管理代理向網(wǎng)絡(luò)側(cè)的對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息指 所述虛擬機(jī)加密磁盤映像管理代理根據(jù)虛擬機(jī)加密磁盤的通用唯一標(biāo)識(shí)碼(UUID)向所述對(duì)稱密鑰管理中心發(fā)送加密密鑰生成請(qǐng)求；或者 根據(jù)虛擬機(jī)加密磁盤的UUID向所述對(duì)稱密鑰管理中心發(fā)送加密密鑰獲取請(qǐng)求。
全文摘要
本發(fā)明公開了一種虛擬磁盤映像加密管理系統(tǒng)及方法，涉及信息安全技術(shù)領(lǐng)域。本發(fā)明公開的系統(tǒng)至少包括虛擬機(jī)加密磁盤映像管理代理，向所述對(duì)稱密鑰管理中心請(qǐng)求獲取密鑰信息，根據(jù)所獲取的密鑰信息，生成虛擬機(jī)加密磁盤映像，并根據(jù)用戶操作管理虛擬機(jī)加密磁盤映像；對(duì)稱密鑰管理中心，收到所述虛擬機(jī)加密磁盤映像管理代理的請(qǐng)求時(shí)，將虛擬機(jī)加密磁盤映像的密鑰信息發(fā)送給所述虛擬機(jī)加密磁盤映像管理代理。本發(fā)明還公開了一種虛擬磁盤映像加密管理方法。本申請(qǐng)技術(shù)方案保護(hù)整個(gè)虛擬機(jī)磁盤映像的安全，從而保護(hù)云或虛擬化環(huán)境下用戶的數(shù)據(jù)安全。并且，方便了云或虛擬化管理中心對(duì)加密虛擬機(jī)磁盤映像的管理。
文檔編號(hào)H04L9/32GK103020543SQ20121059348
公開日2013年4月3日 申請(qǐng)日期2012年12月31日 優(yōu)先權(quán)日2012年12月31日
發(fā)明者汪宏, 葉潤(rùn)國(guó), 胡振宇 申請(qǐng)人:北京啟明星辰信息技術(shù)股份有限公司, 北京啟明星辰信息安全技術(shù)有限公司