一種kvm虛擬機通信方法
【專利摘要】本發(fā)明公開了一種KVM虛擬機通信方法，實現(xiàn)過程為：構(gòu)建虛擬機交互模型，該虛擬機交互模型基于可信計算和KVM的共享內(nèi)存建立；設(shè)置加密的專屬安全可信信道和加密的內(nèi)存?zhèn)蔚刂?，從而保障交互雙方虛擬機的可信性和它們之外的其他虛擬機的隔離性，完成虛擬機的通信。該一種KVM虛擬機通信方法與現(xiàn)有技術(shù)相比，將可信計算與共享內(nèi)存通信方法相結(jié)合應(yīng)用到KVM虛擬機中，驗證交互雙方的可信性，從而建立可信信道；采用加密共享內(nèi)存的偽地址而非單純加密傳輸內(nèi)容，相比傳統(tǒng)的方法更具靈活性和可信性，從而有效防止入侵者通過攻擊虛擬機而訪問共享內(nèi)存而導(dǎo)致的安全問題，實用性強，易于實現(xiàn)，易于推廣。
【專利說明】
一種KVM虛擬機通信方法
技術(shù)領(lǐng)域
[0001]本發(fā)明涉及計算機通信技術(shù)領(lǐng)域，具體地說是一種實用性強、KVM虛擬機通信方法。
【背景技術(shù)】
[0002]目前，一般的KVM虛擬機主要優(yōu)化了虛擬機間的通信效率，而其應(yīng)用的安全策略過于籠統(tǒng)，并未保障虛擬機的可信性。
[0003]如圖1所示，是目前流行的KVM虛擬機共享內(nèi)存的架構(gòu)模型。該架構(gòu)結(jié)合Virt1半虛擬化模型，從而有效提高了虛擬機的通信效率，然而該架構(gòu)模式下的共享內(nèi)存的實現(xiàn)并沒有進行安全性保護，入侵者一旦入侵虛擬機，便可以假冒其他虛擬機操作共享內(nèi)存或竊取及修改通信內(nèi)容。
[0004]隨著云計算和虛擬化的發(fā)展，處于同一物理主機上的虛擬機間的通信安全問題越來越多，針對云計算安全中的KVM虛擬化安全問題，本專利提出一種基于共享內(nèi)存和可信信道的KVM虛擬機通信方法，此專利將可信計算和共享內(nèi)存機制融入KVM虛擬化，從而有效保障KVM虛擬機之間通信的可信性和安全性。

【發(fā)明內(nèi)容】

[0005]本發(fā)明的技術(shù)任務(wù)是針對以上不足之處，提供一種實用性強、KVM虛擬機通信方法。
[0006]—種KVM虛擬機通彳g方法，其具體實現(xiàn)過程為:
構(gòu)建虛擬機交互模型，該虛擬機交互模型基于可信計算和KVM的共享內(nèi)存建立；
設(shè)置加密的專屬安全可信信道和加密的內(nèi)存?zhèn)蔚刂?，從而保障交互雙方虛擬機的可信性和它們之外的其他虛擬機的隔離性，完成虛擬機的通信。
[0007]虛擬機交互模型中有兩種虛擬機:Domain O的虛擬機MVM和Domain U的虛擬機VM，MVM為一個可信虛擬機，為其他虛擬機VM提供VTPM功能，并通過VTPM管理器實現(xiàn)對VTPM的訪問，每個MVM虛擬機中都部署一個包含秘鑰管理模塊、身份認證模塊和動態(tài)度量機制的TCB模塊，從而保障運行環(huán)境的可信性。
[0008]在建立虛擬機時，MVM的秘鑰管理模塊為其生成公鑰和私鑰，并將私鑰分配給虛擬機，公鑰保存在秘鑰管理模塊中；
虛擬機請求共享內(nèi)存時，首先進行請求虛擬機的身份驗證；
驗證通過后，密鑰管理模塊將加密后的內(nèi)存信息從源虛擬機中發(fā)送給目標虛擬機，這里的目標虛擬機即為上述請求虛擬機；
目標虛擬機接收到內(nèi)存信息后進行解密，確定信息未被篡改后，完成通信。
[0009]請求虛擬機的身份驗證過程為:
請求虛擬機將自己分配到的私鑰和內(nèi)存的偽地址進行數(shù)字簽名，通過QEMU將簽名后的偽地址、偽地址、目標虛擬機ID轉(zhuǎn)發(fā)給MVM虛擬機的秘鑰管理模塊，秘鑰管理模塊根據(jù)源虛擬機ID查找其對應(yīng)的公鑰，并對簽名后的偽地址進行解密，再與偽地址進行對比，若一致則請求未被篡改;然后再根據(jù)動態(tài)度量值參考表驗證程序的度量值是否變化，若未變化說明請求可信，可以繼續(xù);完成上述兩項對比后，即完成請求虛擬機的身份驗證。
[0010]發(fā)送加密信息給目標虛擬機的過程為:
完成請求虛擬機的身份驗證后，秘鑰管理模塊使用目的虛擬機ID對應(yīng)的公鑰對內(nèi)存?zhèn)蔚刂愤M行加密，并對內(nèi)存中的內(nèi)容進行加密，然后發(fā)加密內(nèi)存內(nèi)容、加密的內(nèi)存?zhèn)蔚刂?、源虛擬機ID給目標虛擬機，從而保證信道的可信。
[0011]目標虛擬機的解密過程為:
目標虛擬機使用私鑰解密加密的內(nèi)存?zhèn)蔚刂?，獲取偽地址，并讀取內(nèi)存中的內(nèi)容，然后使用相同的散列算法計算加密內(nèi)存內(nèi)容看是否和收到的加密內(nèi)存內(nèi)容一致，若一致說明共享內(nèi)存中的信息未被篡改，從而完成信息通信。
[0012]本發(fā)明的一種KVM虛擬機通信方法，具有以下優(yōu)點:
該發(fā)明的一種KVM虛擬機通信方法將可信計算與共享內(nèi)存通信方法相結(jié)合應(yīng)用到KVM虛擬機中，驗證交互雙方的可信性，從而建立可信信道;采用加密共享內(nèi)存的偽地址而非單純加密傳輸內(nèi)容，相比傳統(tǒng)的方法更具靈活性和可信性，從而有效防止入侵者通過攻擊虛擬機而訪問共享內(nèi)存而導(dǎo)致的安全問題，保證了虛擬機間通信交互過程中信息的安全性，具有通用性，實用性強，易于實現(xiàn)，易于推廣。
【附圖說明】
[0013]附圖1為現(xiàn)有KVM虛擬機共享內(nèi)存的架構(gòu)圖。
[0014]附圖2為本發(fā)明的虛擬機交互架構(gòu)圖。
[0015]附圖3為虛擬機間共享內(nèi)存可信通道的建立過程圖。
【具體實施方式】
[0016]下面結(jié)合附圖及具體實施例對本發(fā)明作進一步說明。
[0017]一種KVM虛擬機通信方法，以可信計算為基礎(chǔ)，通過KVM的共享內(nèi)存機制，采用加密的專屬安全可信信道和加密的內(nèi)存?zhèn)蔚刂?，從而保障交互雙方虛擬機的可信性和它們之外的其他虛擬機的隔離性。
[0018]其具體實現(xiàn)過程為:
構(gòu)建虛擬機交互模型，該虛擬機交互模型基于可信計算和KVM的共享內(nèi)存建立；
設(shè)置加密的專屬安全可信信道和加密的內(nèi)存?zhèn)蔚刂?，從而保障交互雙方虛擬機的可信性和它們之外的其他虛擬機的隔離性，完成虛擬機的通信。
[0019]在建立虛擬機時，MVM的秘鑰管理模塊為其生成公鑰和私鑰，并將私鑰分配給虛擬機，公鑰保存在秘鑰管理模塊中；
虛擬機請求共享內(nèi)存時，首先進行請求虛擬機的身份驗證；
驗證通過后，密鑰管理模塊將加密后的內(nèi)存信息從源虛擬機中發(fā)送給目標虛擬機，這里的目標虛擬機即為上述請求虛擬機；
目標虛擬機接收到內(nèi)存信息后進行解密，確定信息未被篡改后，完成通信。
[0020]具體為: 如附圖2、圖3所示，將圖1的模型與將可信平臺模塊(TPM)相結(jié)合，構(gòu)建出基于可信計算和共享內(nèi)存的虛擬機交互模型。該模型中共有兩種虛擬機:Domain O的虛擬機MVM和DomainU的虛擬機VM，MVM為一個可信虛擬機，為其他VM提供VTPM功能，并通過VTPM管理器實現(xiàn)對VTPM的訪問。每個虛擬機中都要部署一個包含秘鑰管理、身份認證和動態(tài)度量機制的TCB模塊，從而保障運行環(huán)境的可信性。
[0021]虛擬機請求共享內(nèi)存時，將自己分配到的私鑰和內(nèi)存的偽地址(LAdrress )進行數(shù)字簽名，即 SHA-1 (LAdrress)，通過QEMU將信息{ SHA-1(LAdrress) ,LAdrress，目標虛擬機ID}轉(zhuǎn)發(fā)給秘鑰管理模塊，秘鑰管理模塊根據(jù)源虛擬機ID查找其對應(yīng)的公鑰KUi，并對SHA-1(LAdrress)進行解密KUi(SHA-1 (LAdrress))，再與LAdrress進行對比，若一致則請求未被篡改。然后再根據(jù)動態(tài)度量值參考表驗證程序的度量值是否變化，若未變化說明請求可信，可以繼續(xù)。
[0022]完成以上請求虛擬機的身份驗證后，秘鑰管理使用目的虛擬機ID對應(yīng)的公鑰KUj對內(nèi)存?zhèn)蔚刂稬Adrress進行加密KUj(LAdrress)，并對內(nèi)存中的內(nèi)容Message進行加密SHA-1(Message)，然后發(fā)信息{ SHA-1(Message) ,KUj(LAdrress)，源虛擬機ID}給目標虛擬機，從而保證信道的可信。
[0023]目標虛擬機使用私鑰KRj解密KUj(LAdrress)獲取LAdrress，并讀取內(nèi)存中的內(nèi)容Mss，然后使用相同的散列算法計算SHA-1 (Mss)看是否和收到的SHA-1 (Message)—致，若一致說明共享內(nèi)存中的信息未被篡改。
[0024]上述【具體實施方式】僅是本發(fā)明的具體個案，本發(fā)明的專利保護范圍包括但不限于上述【具體實施方式】，任何符合本發(fā)明的一種KVM虛擬機通信方法的權(quán)利要求書的且任何所述技術(shù)領(lǐng)域的普通技術(shù)人員對其所做的適當(dāng)變化或替換，皆應(yīng)落入本發(fā)明的專利保護范圍。
【主權(quán)項】
1.一種KVM虛擬機通信方法，其特征在于，實現(xiàn)過程為: 構(gòu)建虛擬機交互模型，該虛擬機交互模型基于可信計算和KVM的共享內(nèi)存建立； 設(shè)置加密的專屬安全可信信道和加密的內(nèi)存?zhèn)蔚刂?，從而保障交互雙方虛擬機的可信性和它們之外的其他虛擬機的隔離性，完成虛擬機的通信。2.根據(jù)權(quán)利要求1所述的一種KVM虛擬機通信方法，其特征在于，虛擬機交互模型中有兩種虛擬機:Domain O的虛擬機MVM和Domain U的虛擬機VM，MVM為一個可信虛擬機，為其他虛擬機VM提供VTPM功能，并通過VTPM管理器實現(xiàn)對VTPM的訪問，每個MVM虛擬機中都部署一個包含秘鑰管理模塊、身份認證模塊和動態(tài)度量機制的TCB模塊，從而保障運行環(huán)境的可信性。3.根據(jù)權(quán)利要求2所述的一種KVM虛擬機通信方法，其特征在于，在建立虛擬機時，MVM的秘鑰管理模塊為其生成公鑰和私鑰，并將私鑰分配給虛擬機，公鑰保存在秘鑰管理模塊中； 虛擬機請求共享內(nèi)存時，首先進行請求虛擬機的身份驗證； 驗證通過后，密鑰管理模塊將加密后的內(nèi)存信息從源虛擬機中發(fā)送給目標虛擬機，這里的目標虛擬機即為上述請求虛擬機； 目標虛擬機接收到內(nèi)存信息后進行解密，確定信息未被篡改后，完成通信。4.根據(jù)權(quán)利要求3所述的一種KVM虛擬機通信方法，其特征在于，請求虛擬機的身份驗證過程為: 請求虛擬機將自己分配到的私鑰和內(nèi)存的偽地址進行數(shù)字簽名，通過QEMU將簽名后的偽地址、偽地址、目標虛擬機ID轉(zhuǎn)發(fā)給MVM虛擬機的秘鑰管理模塊，秘鑰管理模塊根據(jù)源虛擬機ID查找其對應(yīng)的公鑰，并對簽名后的偽地址進行解密，再與偽地址進行對比，若一致則請求未被篡改;然后再根據(jù)動態(tài)度量值參考表驗證程序的度量值是否變化，若未變化說明請求可信，可以繼續(xù);完成上述兩項對比后，即完成請求虛擬機的身份驗證。5.根據(jù)權(quán)利要求3所述的一種KVM虛擬機通信方法，其特征在于，發(fā)送加密信息給目標虛擬機的過程為: 完成請求虛擬機的身份驗證后，秘鑰管理模塊使用目的虛擬機ID對應(yīng)的公鑰對內(nèi)存?zhèn)蔚刂愤M行加密，并對內(nèi)存中的內(nèi)容進行加密，然后發(fā)加密內(nèi)存內(nèi)容、加密的內(nèi)存?zhèn)蔚刂?、源虛擬機ID給目標虛擬機，從而保證信道的可信。6.根據(jù)權(quán)利要求3所述的一種KVM虛擬機通信方法，其特征在于，目標虛擬機的解密過程為: 目標虛擬機使用私鑰解密加密的內(nèi)存?zhèn)蔚刂罚@取偽地址，并讀取內(nèi)存中的內(nèi)容，然后使用相同的散列算法計算加密內(nèi)存內(nèi)容看是否和收到的加密內(nèi)存內(nèi)容一致，若一致說明共享內(nèi)存中的信息未被篡改，從而完成信息通信。
【文檔編號】H04L29/06GK105933123SQ201610263316
【公開日】2016年9月7日
【申請日】2016年4月26日
【發(fā)明人】楊曉娟
【申請人】浪潮電子信息產(chǎn)業(yè)股份有限公司