[发明专利]硬件支持的虚拟化密码服务

说明书

技术领域

本发明涉及虚拟机技术，尤其涉及虚拟化密码服务。

背景技术

随着计算设备变得越来越强大并且越来越有能力，计算设备上的一个或多个虚拟环境的执行已变得更实际。每一虚拟环境包括计算设备的硬件抽象，使得在该虚拟环境内执行的计算机可执行指令不能表明它们不是直接在所抽象的硬件上执行的。然而，从物理计算设备的角度来看，虚拟环境只不过是一系列正在执行的计算机可执行指令(非常像任何其他进程或应用)以及一个或多个数据文件。由此，尽管在虚拟环境中执行的计算机可执行指令可感觉到硬盘驱动器或其他计算机可读存储设备的存在，但从物理计算设备的角度来看，这一硬盘驱动器只不过是可用与存储在和这一物理计算设备通信耦合的存储介质上的任何其他数据文件相同的方式来处理的数据文件。

由于存储在通信耦合到物理计算设备的存储介质上的单个文件可在虚拟计算环境的上下文中表示整个卷，或甚至整个存储设备，因此将这一文件复制到另一计算设备能使得该另一计算设备能够获得对可能已被在虚拟环境内执行的计算机可执行指令使用或存储的可能敏感或机密的信息的访问。具体地，由于在虚拟计算环境内执行的计算机可执行指令不能检测到底层计算硬件中的差别，因此如果在虚拟计算环境的上下文中表示整个卷或存储设备的文件从一个物理计算设备复制到另一个可能恶意的计算设备，则在虚拟计算环境内执行的计算机可执行指令不能保护它们自身。

为了保护虚拟计算环境使用和生成的数据，可从虚拟计算的外部向该虚拟环境内部表示卷或存储设备的文件应用各种保护方法。例如，直接在物理计算设备上执行的计算机可执行指令可加密虚拟计算环境内表示卷或存储设备的文件。或者，可使用访问控制方法来限制对虚拟计算环境内表示卷或存储设备的文件的访问。然而，如果虚拟计算环境内表示卷或存储设备的文件被复制到另外的非授权用户对其具有管理权限的另一计算设备，则可绕过访问控制方法。并且，尽管加密虚拟计算环境内表示卷或存储设备的文件可能不能被容易地绕过，但是它也会在虚拟计算环境由服务器计算设备主存时引入大量困难。具体地，加密虚拟计算环境内表示卷或存储设备的文件会在每次需要解密这一文件时，如在每次重新引导主存该虚拟计算环境的服务器时，要求用户输入口令或其他解密信息。由于现代服务器场可能包括数以万计的服务器，这一用户密集要求是不切实际的。

发明内容

虚拟化密码服务可以是呈现虚拟计算设备所基于的硬件抽象的系统管理程序(hypervisor)的一部分。该虚拟化密码服务可以支持可在虚拟计算环境本身内执行的现有保护机制。通过这样做，该虚拟化密码服务可以利用硬件安全设备，如可作为主存虚拟计算环境的物理计算设备的一部分来获得的可信平台模块(TPM)。以此方式，虚拟计算环境的安全性可被绑定到主存该虚拟计算环境的具体物理计算设备的硬件。

在一个实施例中，该虚拟化密码服务可向在虚拟计算环境内执行并实现加密和解密的加密机制提供密钥，加密机制可利用该密钥来在虚拟计算环境内保护这一机制可用于加密数据并且这一机制解密数据可能所需的一个或多个密钥。

在另一实施例中，从虚拟化密码服务提供且由在虚拟计算环境内执行的加密机制选择的密钥可由虚拟化密码服务提供给作为物理计算设备的一部分的TPM，该物理计算设备主存虚拟计算设备。TPM然后可利用TPM专用密钥来保护这些密钥，并且由此将虚拟化密码服务提供的密钥的保护绑定到计算设备的硬件。

在又一实施例中，当在虚拟计算环境内执行的加密机制寻求解密先前加密的信息时，它能向虚拟化密码服务请求执行这一解密所需的密钥。该虚拟化密码服务然后能够将相关信息提供给TPM，TPM能执行必要的解密并返回相关密钥。虚拟化密码服务然后能将相关密钥提供给在虚拟计算环境内执行的加密机制。

在再一实施例中，通过用其他物理计算设备的TPM的TPM专用密钥来保护与虚拟化密码服务以及在虚拟计算环境内执行的加密机制的操作相关的密钥，这些密钥可被复制到主存该虚拟计算环境的各实例的物理计算设备。

提供本发明内容以便以简化形式介绍将在以下的具体实施方式中进一步描述的一些概念。本发明内容并不旨在标识所要求保护的主题的访问控制特征或必要特征，也不旨在用于限制所要求保护的主题的范围。

当参考附图阅读以下具体实施方式时，将使得其它特征和优点是显而易见的。

附图说明

以下具体实施方式在结合附图参考时可得到最佳的理解，附图中：

图1是包括TPM的示例性计算设备的框图；

图2是由示例性计算设备主存的示例性虚拟计算环境的框图；

图3是使用虚拟化密码服务的虚拟存储设备的示例性加密的框图；