[发明专利]一种虚拟化环境下的密钥安全隔离方法及系统

说明书

技术领域

本发明涉及一种虚拟化环境下的密钥安全隔离方法及系统，属于密码技术领域。

背景技术

随着云计算和虚拟化技术的飞速发展，传统密码技术在虚拟化环境中的应用遇到瓶颈。传统密码技术的安全性依赖于存储于硬件设备(如密码模块)中的密钥安全性，而现有设备单用户模式的设计不再适用于虚拟化环境的多用户需求。现有设备的密钥访问从本质上是基于索引方式的访问，用在虚拟化环境时，只能通过软件层或驱动层模拟多用户模式，设备内部仍是单用户模式，各虚拟机实际上是共享所有的设备资源。这样的方式在密钥泄露、非法访问等方面具有较大风险。一旦密钥泄露或者被非授权用户访问到，相应密码系统的安全性就失去了保障。

发明内容

本发明所要解决的技术问题是提供一种决虚拟化环境中的密钥隔离的安全性问题的虚拟化环境下的密钥安全隔离方法及系统。

本发明解决上述技术问题的技术方案如下：一种虚拟化环境下的密钥安全隔离方法，具体包括以下步骤：

步骤1：创建多个密码分区，并为每个密码分区建立授权许可；

步骤2：根据每个所述授权许可申请唯一对应的密码分区；

步骤3：每个密码分区接收一个虚拟机发送的认证请求，判断虚拟机是否通过认证，如果是，执行步骤4；否则，结束；

步骤4：每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机；

步骤5：所述虚拟机通过令牌访问对应的密码分区。

本发明的有益效果是：本发明支持密钥隔离的设备和方法，可以在虚拟化环境下的实现安全的密钥隔离；采用了密码分区的设计思想，采用了身份认证技术和令牌技术相结合的方式，有效地保证了虚拟化环境中密钥存储隔离和使用隔离，降低了非法访问密钥及密钥泄露等风险。

在上述技术方案的基础上，本发明还可以做如下改进。

进一步，每个所述密码分区均可存储密钥，具备完整的密码运算功能。

进一步，每个所述令牌对应唯一的密码分区。

进一步，所述授权许可包括数字证书、秘钥、字符串或数字等。

进一步，获取令牌的虚拟机在每次访问密码分区时都必须携带令牌或以令牌为基础的认证码，所述密码分区对令牌或令牌为基础的认证码认证成功后，虚拟机才可进行操作。

本发明解决上述技术问题的技术方案如下：一种虚拟化环境下的密钥安全隔离系统，包括安全隔离设备和多个虚拟机；

所述安全隔离设备用于创建多个密码分区，并为每个密码分区建立授权许可；并根据每个所述授权许可申请唯一对应的密码分区；

所述安全隔离设备包括多个密码分区，每个所述密码分区接收一个虚拟机发送的认证请求，并判断虚拟机是否通过认证；

每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机；

所述虚拟机通过令牌访问对应的密码分区。

本发明的有益效果是：本发明支持密钥隔离的设备和方法，可以在虚拟化环境下的实现安全的密钥隔离；采用了密码分区的设计思想，采用了身份认证技术和令牌技术相结合的方式，有效地保证了虚拟化环境中密钥存储隔离和使用隔离，降低了非法访问密钥及密钥泄露等风险。

在上述技术方案的基础上，本发明还可以做如下改进。

进一步，所述安全隔离设备具备五种状态：初始状态、准备状态、就绪状态、工作状态和终止状态；

初始状态下，安全隔离设备内部是空白的，没有密码分区、密钥和令牌信息；

准备状态下，安全隔离设备内部已创建密码分区，建立各密码分区的授权许可，每个分区的授权许可均不相同，该授权许可用于申请密码分区；

就绪状态下，虚拟机用于已通过授权许可申请了密码分区，此状态下可接收认证请求，并判断是否通过认证；

工作状态下，虚拟机已通过密码分区的认证，此状态下可以对密码分区进行密钥管理，使用密码分区为虚拟机提供密码运算服务；

终止状态下，所有密码分区认证状态注销，并全部停止提供密钥管理及密码运算服务。

进一步，每个所述密码分区均可存储密钥，具备完整的密码运算功能。

进一步，每个所述令牌对应唯一的密码分区。

进一步，所述虚拟机在每次访问密码分区时都必须携带获得的令牌或以获得的令牌为基础的认证码，所述密码分区对令牌或令牌为基础的认证码认证成功后，虚拟机才可进行操作。

附图说明

图1为本发明所述的一种虚拟化环境下的密钥安全隔离方法流程图；

图2为本发明所述的一种虚拟化环境下的密钥安全隔离系统结构框图；