[发明专利]一种基于特权分离的虚拟化隔离方法

说明书

技术领域

本发明涉及信息安全技术领域，尤其涉及一种基于特权分离的虚拟化隔离方法。

背景技术

现有的Xen类型的系统虚拟机包括：一个虚拟机Domain0和多个虚拟机DomainU。虚拟机Domain0提供系统虚拟机的管理服务，具有直接访问硬件设备和管理其他虚拟机DomainU的特权。虚拟机DomainU不能直接访问硬件资源。Xen类型的系统虚拟机中，设备驱动在虚拟机Domain0中，通过虚拟机Domain0中的设备驱动来完成硬件设备的访问。当虚拟机DomainU与硬件设备进行数据交换时，数据经过虚拟机Domain0中的设备驱动进行传输，但由于设备驱动中含有的漏洞比较多，数据可能被非法用户获取，不能保障数据安全交换。

发明内容

本发明要解决的技术问题是，提供一种基于特权分离的虚拟化隔离方法，克服现有技术中系统虚拟机中Domain0权限过大，虚拟机DomainU与硬件设备进行数据交换时，不能保障数据安全交换。

本发明采用的技术方案是，所述基于特权分离的虚拟化隔离方法，一个Xen类型的系统虚拟机包括：一个虚拟机Domain0和多个虚拟机DomainU，所述虚拟机Domain0提供对所述系统虚拟机的管理服务；

该方法包括：

步骤一，针对任一虚拟机DomainU，在所述虚拟机DomainU中构建最上层 虚拟域，最上层虚拟域包括：虚拟机DomainU管理域、虚拟机DomainU应用域和独立设备驱动域；

步骤二，当所述虚拟机DomainU进行数据存储时，将虚拟机DomainU应用域中的存储数据传输给虚拟机DomainU管理域，所述虚拟机DomainU管理域对所述存储数据进行加密处理，将加密后的所述存储数据传输给独立设备驱动域，独立设备驱动域将加密后的所述存储数据传输给外设的硬件存储设备进行存储。

进一步的，所述虚拟机DomainU管理域包括：虚拟机DomainU管理域内核和所述虚拟机DomainU应用域对应的安全服务。

进一步的，所述虚拟机DomainU管理域内核包括：所述系统虚拟机中的微型操作系统；

所述虚拟机DomainU管理域的功能模块由系统虚拟机中的虚拟机Domain0通过Linux系统内核构建；通过对Linux系统内核进行裁剪及重新配置编译，对虚拟机DomainU管理域的功能模块进行替换或删减；

虚拟机DomainU管理域的功能模块包括：文件操作模块、块设备前端驱动模块、块设备后端驱动模块、数据加密模块、接口模块和密钥模块。

进一步的，所述独立设备驱动域的确定过程，包括：通过将系统虚拟机中的独立设备驱动域从虚拟机Domain0中分离出来，放入虚拟机DomainU的最上层虚拟域中。

进一步的，所述加密处理的过程包括：由虚拟机DomainU管理域中的数据加密模块采用128位AES算法对所述存储数据进行加密运算。

进一步的，在步骤二中，所述将虚拟机DomainU应用域中的存储数据传输给虚拟机DomainU管理域，具体包括：

虚拟机DomainU管理域加载所述块设备前端驱动模块，通过所述块设备前端驱动模块绑定虚拟机DomainU应用域，将虚拟机DomainU应用域中的存储数据传输给虚拟机DomainU管理域。

进一步的，在步骤二中，将加密后的所述存储数据传输给独立设备驱动域， 具体包括：

虚拟机DomainU管理域加载所述块设备后端驱动模块，通过所述块设备后端驱动模块绑定独立设备驱动域，将虚拟机DomainU管理域中所述加密后的存储数据传输给所述外部的独立设备驱动域。

采用上述技术方案，本发明至少具有下列优点：

本发明所述基于特权分离的虚拟化隔离方法，通过对Xen类型的系统虚拟机中虚拟机Domain0的特权进行分离，将漏洞较多的设备驱动独立出来，形成独立驱动域实现虚拟机DomainU与硬件设备之间数据的安全交换，并构建虚拟机DomainU管理域，通过虚拟机DomainU管理域对数据进行加密，克服现有技术中系统虚拟机中虚拟机Domain0权限过大，提高了虚拟机DomainU与硬件设备进行数据交换时数据安全交换保护能力。

附图说明

图1为本发明第一实施例的基于特权分离的虚拟化隔离方法流程图；

图2为本发明第二实施例的基于特权分离的虚拟化隔离方法虚拟机DomainU最上层虚拟域构成示意图。

具体实施方式