[发明专利]一种虚拟机安全隔离方法

说明书

本发明涉及一种虚拟机安全隔离方法，包括：获取虚拟机或虚拟机管理器所请求的内存页框物理地址，CPU运行时虚拟机标签。通过页框地址检查器查询页框属性表，得到内存页框物理地址对应的虚拟机标签。根据查询页框属性表获取的虚拟机标签,判断是否允许虚拟机或虚拟机管理器访问该内存页框。本发明能完全隔离虚拟机管理器对虚拟机物理内存访问和虚拟机之间的内存互访。如果与内存加密技术相结合，则能做到虚拟机之间或虚拟机管理器和虚拟机之间，完全的物理内存空间访问隔离同时又能对内存加密。如果单独使用，由于不需要内存加解密环节，在取得完全隔离虚拟机之间或虚拟机管理器和虚拟机之间访问的安全前提下，可以达到比AMD的SEV更好的内存访问效率。

技术领域

本发明涉及虚拟机安全，尤其是涉及一种虚拟机安全隔离方法。

背景技术

AMD的SEV(Secure Encrypted Virtualization)技术能实现对虚拟机管理器的物理内存和每个虚拟机的物理内存分别使用不同的密钥进行加密。对于密钥的管理只能通过特殊的安全处理器进行，CPU不能直接访问密钥，这样就可以隔离虚拟机间内存互访或虚拟机管理器对虚拟机内存的访问。

主要不足是1)对内存加解密会降低系统访问内存性能。2)不能阻止虚拟机管理器访问虚拟机加密以后的内存。3)缺乏数据的完整性保护。

发明内容

本发明主要提供一种虚拟机安全隔离方法,用于完全隔离虚拟机管理器对虚拟机物理内存访问和虚拟机之间的内存互访,且能与内存加密技术结合使用，做到完全隔离物理内存空间访问同时又能对内存加密。本发明的方案可以使得虚拟机防止软件攻击效果更好，同时又能保持良好的防硬件攻击能力。

为实现上述目的，本发明提供一种虚拟机安全隔离方法，方法包括：获取虚拟机或者虚拟机管理器所请求的内存页框的物理地址和CPU运行时虚拟机标签；通过页框地址检查器查询页框属性表，得到内存页框的物理地址对应的虚拟机标签；通过查询页框属性表得到的虚拟机标签判断是否允许虚拟机或者虚拟机管理器访问该内存页框。虚拟机标签也可称为虚拟机属性。

判断查询页框属性表得到的虚拟机标签是否允许虚拟机或者虚拟机管理器访问内存页框具体包括：判断虚拟机标签是否等于共享页框标识；判断CPU运行时虚拟机标签和查询页框属性表得到的虚拟机标签是否相等；上述两个判断中任意步骤判断为是，则允许访问，否则拒绝访问。

优选地，页框属性表中包含多个条目，每个条目记录一个内存页框与允许访问该内存页框的虚拟机或虚拟机管理器的对应信息。

优选地，查询页框属性表具体包括，用请求的物理地址减去系统主内存起始地址，得到的差除以页框大小，再乘以页框属性表条目大小，最后再用得到的乘积加上页框属性表基址，找到该物理地址对应的页框属性表条目地址，从而取得对应的虚拟机标签VMID。页框大小和页框属性表条目大小，单位为字节。

优选地，页框属性表的存储位置包括：主内存中划分出的一段连续或非连续物理内存，或者独立于主内存外的一块高速存储器。

优选地，页框地址检查器是一个硬件电路模块，能够根据给定内存页框的物理地址查询页框属性表。

优选地，还包括步骤：初始化页框属性表和更新页框属性表。

优选地，初始化页框属性表包括，当系统冷启动或重启后，系统根据页框属性表的配置会把页框属性表的物理地址范围空间告诉给安全处理器，当系统启动完成后，仅由安全处理器将页框属性表中的内容初始化为默认值。

优选地，更新页框属性表包括，虚拟机管理器删除、增加或修改nPT嵌套页表、sPT影子页表或PT页表条目，然后通知安全处理器，所述安全处理器将对页框地址对应的页框属性表条目写入更新后的虚拟机标签VMID。