[发明专利]基于虚拟化技术的计算机网络认证系统和方法

说明书

技术领域

本发明涉及虚拟化技术和信息安全技术，确切地说，涉及一种基于计算机虚拟化技术的网络认证系统和方法，属于信息安全领域和计算机虚拟化领域。

背景技术

网络认证系统(Network Authentication System)是当前网络应用中的一种常见服务系统。在网络认证系统中，用户在个人计算机等用户端上将个人的身份凭证信息(例如账号、密码等)发送给网络认证服务器端(简称网络认证端)，保证用户用于身份认证的凭证信息的安全，是网络安全的一个基本要素。身份凭证信息可能在用户端输入时或网络传输过程中被窃取或篡改。现在已有的多种成熟的网络安全传输协议可以有效的保护网络传送时的信息安全，但是保证在用户端输入身份凭证信息时的安全却依然是一个严峻的挑战。

当前的计算机使用环境中，病毒、木马等恶意代码广泛传播，成为了用户端信息安全的主要威胁。它们可以在操作系统中通过挂载钩子函数的方式来截取输入设备上的输入序列，也可以用扫描内存的方式来寻找用户已经输入的敏感信息，从而达到盗取用户账号、密码等身份凭证的目的。

当前，杀毒软件虽然得到了广泛的使用，但是，由于新的病毒、木马等恶意代码层出不穷，变异速度快，而杀毒软件更新通常滞后于新病毒、木马的出现，往往无法提供及时可靠的防护。于是出现了模拟键盘等保护输入的方法。诸如此类的方法防止了恶意代码对输入信息的直接截取，在一定程度上提高了的用户端输入敏感信息的安全性，但它们同样不能抵御内存扫描的威胁，而且给输入过程带来了额外的开销和不便，降低了用户体验。因此，业界普遍希望有更加安全有效方便的解决方案。

虚拟化技术的发展给敏感信息的安全保护带来了新思路。为了便于说明，下面我们先来解释一下基于虚拟化技术的计算机系统的基本结构。

在计算机虚拟化技术中，称为虚拟机监视器的软件可以支持一个或多个虚拟机，每个虚拟机就像一个计算机硬件一样可以运行独立的操作系统，这种运行在虚拟机上的操作系统称为客操作系统(Guest Operating System)。虚拟机监视器可以分为两种。一种称为裸机(Bare-Metal)虚拟机监视器，如图1所示，裸机虚拟机监视器直接运行在计算机硬件上支撑着虚拟机，虚拟机上运行着客操作系统。另一种虚拟机监视器运行在一个操作系统的环境上，这个操作系统称为主操作系统(Host Operating System)，而这种虚拟机监视器称为寄宿的(Hosted)虚拟机监视器。如图2所示，主操作系统直接运行在计算机硬件上，寄宿的虚拟机监视器运行在主操作系统上支持着虚拟机，虚拟机上运行着客操作系统。

虽然在虚拟化的计算机系统上各个操作系统之间可以通过网络或在虚拟机监视器的参与下直接进行通信，各个操作系统之间仍然是相互独立的。具体地说，在基于裸机虚拟机监视器的计算机系统中，多个客操作系统之间是相互独立的。在基于寄宿的虚拟机监视器的计算机系统中，主操作系统与客操作系统之间以及客操作系统与客操作系统之间也是相互独立的。这种由虚拟化技术所保证的操作系统间的隔离性特征，使得我们可以将安全级别较低的操作系统中的信息输入过程，转移到安全级别较高的操作系统中。这样，用户信息输入的安全不再受制于安全级别较低的操作系统，而是获得与安全级别较高的操作系统同样级别的安全性保证。

举例来说，在一个基于裸机虚拟机监视器的虚拟化计算机系统上，客操作系统A和客操作系统B具有不同的安全级别，A安全级别较低，而B安全级别较高。那么可以配置该虚拟化的计算机系统，当用户向客操作系统A输入敏感信息(比如账号、密码等)时，虚拟化的计算机系统首先由客操作系统B获取到输入的敏感信息并对其进行加密处理，再通过客操作系统A直接访问的虚拟输入设备传送给客操作系统A，那么客操作系统A获得的用户输入的敏感信息已经是加密处理了的，即使客操作系统A中的病毒、木马等恶意代码挂载钩子函数进行拦截，或者进行内存扫描，得到的也只是经过加密的敏感信息，从而有效保护了用户端敏感信息的安全。如果对需要输入身份凭证的网络应用采用这种保护机制，那么网络应用只需要将经过加密的身份凭证信息发送给网络认证端，由网络认证端解密出原始的身份凭证信息，并完成身份认证处理，就可以有效地提高网络认证的安全性。

发明内容

我们先明确一下本发明中使用的几个名词。