[发明专利]一种虚拟化环境中的数据擦除系统及方法

说明书

技术领域

本发明涉及云计算中的数据安全和用户隐私领域，特别是涉及在虚拟化环境下内存中的敏感数据的擦除系统及方法。

背景技术

虚拟化技术通过对计算、网络、存储资源的抽象，不同用户的客户机共享使用硬件资源，提高了资源的利用率，降低了IT管理的成本。然而用户运行在客户机中的进程地址空间内可能含有密码、隐私等敏感数据，现有的研究主要使用加密或者访问控制的方法保护客户机运行过程中内存中的页面内容，这两种保护敏感数据的方法存在以下问题：(1)加解密不可避免地对虚拟化平台运行效率产生影响，需要付出很大的计算成本；(2)访问控制的方法没有考虑到虚拟化环境中的共享属性，虚拟化平台存在虚拟机运行中动态增减内存，释放的内存分配给其他用户的情况，这时便存在敏感数据泄漏的风险；(3)如果程序在开发过程中没有加入释放数据时的数据擦除的功能，包含敏感数据的内存部分在进程释放后依然会存在泄露的风险，无疑增加了敏感数据泄露的时间窗口。

综上所述，迫切需要一种针对用户客户机内存中数据擦除的系统及方法，采用尽可能小的代价，缩短敏感数据被攻击的时间窗口，保障用户客户机内存数据的安全。

发明内容

本发明技术解决问题：克服现有技术的不足，提供一种虚拟化环境中的数据擦除系统及方法，以减小用户客户机运行时内存中存储的敏感数据面临的威胁，用尽可能小的代价，缩短敏感数据被攻击的时间窗口，保障用户的客户机内敏感数据的保密性。

本发明技术解决方案：一种虚拟化环境中的数据擦除系统，其特征在于所述系统采用Xen虚拟机架构，包括控制模块、进程监控模块、虚拟机自省模块和数据擦除模块；所述控制模块、虚拟机自省模块和数据擦除模块部署在管理域中，进程监控模块部署在虚拟机管理器，即VMM内核中；

控制模块：满足云服务提供商或者客户机用户的隐私需求，提供与进程监控模块通信的功能，并通过调用数据擦除模块的数据擦除部分实现数据擦除的功能；该模块包括用户接口部分、监控准备部分、消息监听部分、消息分析与传递部分；其中，用户接口部分提供本系统对外的功能接口；监控准备部分为进程退出事件的监控创建参数存储与传递的空间，并建立起用于事件发生通知的事件通道；消息监听部分通过事件通道监听并接收进程监控模块发送给控制模块的事件通知；消息分析与传递部分分析接收到的事件通知消息，在监控准备部分创建的参数空间中读取客户机id以及进程id，将这些参数传递给数据擦除模块；

进程监控模块：对客户机中进程退出事件进行监视和处理，并把发生进程退出事件的客户机id以及进程id传递给管理域中的控制模块；进程监控模块由控制逻辑设定和事件处理两部分构成，其中控制逻辑设定部分通过对客户机虚拟机控制域(Virtual Machine Control Structure，简称为VMCS)中调试寄存器以及相关控制位的设置，实现当客户机内发生进程退出事件时引发处理器异常产生虚拟机退出事件(VM_EXIT)，该事件被VMM内核截获后调用事件处理部分；事件处理部分实现对管理域和VMM内核参数空间的写入以及与控制模块的交互的功能，当有进程退出事件发生时，事件处理部分将发生进程退出事件的客户机id以及进程id信息写入控制模块创建的管理域与VMM内核的参数空间中，使用事件通道告知控制模块有进程退出事件发生；

虚拟机自省模块：该模块作为控制模块和数据擦除模块的辅助模块存在，提供在管理域读写不同客户机操作系统指定进程地址空间的接口，并提供访问客户机操作系统内部重要对象的接口；该模块包括操作系统识别部分、参数配置部分和数据存取部分；操作系统识别部分负责根据不同的操作系统在内存中数据结构的特点识别操作系统的类型和版本，数据存取部分实现在客户机进程地址空间某地址读取或写入数据，并为其它模块提供数据存取的接口；参数配置部分定义不同类型的客户机操作系统用于内存管理的数据结构在地址空间中的相对地址以及内部关键属性的偏移量；

数据擦除模块：接收控制模块传递过来的客户机id以及退出进程id的参数信息并实现对客户机内某进程数据区域的数据擦除功能；该模块包括消息解析部分，内存数据区遍历部分及数据擦除部分；其中消息解析部分通过控制模块传递的参数信息获得客户机id以及进程的id，识别客户机操作系统的类型以及版本号信息，调用对应的内存数据区遍历函数；内存数据区遍历部分读取虚拟机自省模块设置的客户机操作系统内存管理数据结构的相对地址以及关键属性的偏移量，访问用于进行内存管理的数据结构，实现内存数据区域的遍历；数据擦除部分实现对给定的进程地址空间内容的擦除功能。