[发明专利]一种基于容器化的密钥存储方法及系统

说明书

本发明公开了一种基于容器化的密钥存储方法及系统，所述方法将需要使用密钥的应用程序隔离部署在容器内；启动容器，容器内初始化生成密钥；使用容器自身实例ID将密钥加密存储在数据库中；初始化后，在容器内部挂载内存文件系统；将密钥文件使用当前实例ID进行解密，落地在容器内的内存文件系统中。所述系统包括容器镜像模块、容器实例模块、被隔离的虚拟内存文件模块。本发明实现一机一密的密钥文件明文不落地，本发明极大的保证了密钥的安全性，可靠性，并为制止非法利用密钥数据提供了有力的保障。

技术领域

本发明属于密钥存储的技术领域，具体涉及一种基于容器化的密钥存储方法及系统。

背景技术

密钥文件已经逐渐成为网络安全不可或缺的一部分。但是网络的飞速发展，信息的大爆炸，网络骇客入侵逆向，密钥文件难免外泄甚至盗版。更多黑色产业非法出卖信息，出卖技术数据以谋取更多的利益。

创新点：使用容器化技术将加密种子单独设置，容器实例不同则加密种子KEY不同。使用Linux mnt namespace技术将密钥文件落地在不同域的文件系统中，密钥文件系统层隔离。使用Linux内存文件系统技术，将虚拟化的内存文件系统挂载到不同的mntnamespace中进行隔离，将密钥释放到内存文件系统中，密钥不落地存储在任何硬盘，分布式网络文件系统中。使用Linux cgroup技术限定内存文件系统的访问权限，使用大小，将权限固定到应用访问级别。无论从运行时刻的入侵，代码反汇编，到关机拆硬盘，都无法通过任何方法拿到密钥文件，并解决任意时刻掉电密钥落地的风险。

传统的密钥文件往往硬编码在代码中或在运行时刻解密到磁盘、网络集群、网络分布式文件系统中使用，当被入侵者拿到后台或网络文件系统被攻破，意外断电、非法拆盘的情况，密钥文件很容易外泄。密钥文件一旦被互联网公开，任何人得到都可直接解密并利用，原公司产品将受到很大的损失。

发明内容

本发明的目的在于提供一种基于容器化的密钥存储方法，旨在解决现有技术中数据使用时解密在磁盘的临时目录而带来的密钥丢失的巨大风险的问题，使密钥管理更加安全可靠。

本发明的目的还在于提供一种基于容器化的密钥存储系统，旨在解决密钥文件丢失的风险，实现密钥管理更加安全可靠。

本发明主要通过以下技术方案实现：一种基于容器化的密钥存储方法，将需要使用密钥的应用程序隔离部署在容器内；启动容器，容器首次初始化生成密钥；使用容器自身实例ID将密钥加密存储在数据库中；后续启动，在容器内部挂载内存文件系统；将密钥文件使用当前实例ID进行解密，并落地在容器内的内存文件系统中。

为了更好地实现本发明，进一步的，应用程序使用Linux内存文件系统技术，使用Linux mount memory技术虚拟化出一片内存作为内存文件系统使用；应用程序使用LinuxNamespace中mnt namespace技术，将虚拟化出的内存文件系统在容器内进行挂载；使用Linux namespace技术，将虚拟化出的内存文件系统在容器内的mnt namespace中进行安全隔离。

为了更好地实现本发明，进一步的，应用程序使用Linux cgroup技术，将已经挂载并隔离的内存文件系统的读写访问权限限制在应用内访问，并限制虚拟内存文件系统的大小；后续启动应用程序根据容器实例ID生成种子KEY，并对数据库中的密钥文件进行解密，将解密后的密钥放入已经隔离的虚拟内存文件系统中，并配置应用程序密钥路径，让应用程序可以正常访问密钥文件。

为了更好地实现本发明，进一步的，首先构建执行环境，主要包括以下步骤：

步骤S100：构建镜像：使用DockerFile构建应用程序基础rootfs，并将rootfs打成一个tar包文件；

步骤S200：导入镜像：使用docker命令，将rootfs.tar包导入容器，生成容器镜像；