[发明专利]安全存储隔离

说明书

根据示例的一种计算机实施的方法包括：由计算系统的安全接口控制接收请求者访问计算系统的存储器中的页面的请求。该方法进一步包括：响应于确定请求者是不安全请求者且响应于安全存储位被设置，禁止访问该页面，而不执行授权检查。该方法进一步包括响应于确定该请求者是安全请求者，执行该授权检查。

背景技术

本发明总体上涉及计算机技术，并且更具体地涉及安全存储隔离。

云计算和云存储为用户提供在第三方数据中心中存储和处理他们的数据的能力。云计算促进快速且容易地向客户供应虚拟机(VM)的能力，而不需要客户购买硬件或为物理服务器提供地面空间。客户可以根据客户的变化的偏好或要求容易地扩展或收缩VM。通常，云计算提供商供应物理地驻留在提供商的数据中心处的服务器上的VM。客户通常关心VM中的数据的安全性，特别是因为计算提供者通常在同一服务器上存储多于一个客户的数据。客户可能期望他们自己的代码/数据与云计算提供者的代码/数据之间的安全，以及他们自己的代码/数据与在提供者的站点处运行的其他VM的代码/数据之间的安全。此外，客户可能期望来自提供者的管理员的安全性以及防止来自机器上运行的其他代码的潜在安全漏洞。

为了处理这样的敏感情况，云服务提供商可以实现安全控制以确保适当的数据隔离和逻辑存储隔离。在实现云基础架构中虚拟化的广泛使用导致云服务的客户的独特安全问题，因为虚拟化改变了操作系统(OS)与底层硬件(无论是其计算、存储或甚至联网硬件)之间的关系。这引入了虚拟化作为附加层，它本身必须被适当地配置、管理和安全。

通常，在主机管理程序的控制下作为访客运行的VM依赖于该管理程序来透明地为该访客提供虚拟化服务。这些服务包括存储器管理、指令仿真和中断处理。

在存储器管理的情况下，VM可以将其数据从盘移动(页面调入)以驻留在存储器中，并且VM还可以将其数据移回(页面调出)到盘。当页面驻留在存储器中时，VM(访客)使用动态地址转换(DAT)来将存储器中的页面从访客虚拟地址映射到访客绝对地址。此外，主机管理程序具有针对存储器中的访客页面的其自己的DAT映射(从主机虚拟地址到主机绝对地址)，且其可独立地且对访客透明地将访客页面页面调入和调出存储器。通过主机DAT表，管理程序提供存储器隔离或在两个单独的访客VM之间共享访客存储器。主机还能够访问访客存储器，以在必要时代表访客模拟访客操作。

发明内容

根据本文描述的一个或多个示例，一种计算机实现的方法包括：由计算系统的安全接口控制接收请求者访问计算系统的存储器中的页面的请求。该方法进一步包括：响应于确定请求者是不安全请求者且响应于安全存储位被设定，禁止访问所述页面，而不执行授权检查。该方法进一步包括响应于确定该请求者是安全请求者，执行该授权检查。

根据一个或多个示例，该授权检查包括用于验证该页面属于正在尝试访问该页面的安全域的检查。根据一个或多个示例，所述授权检查包括用于在所述安全页面驻留在存储器中时验证所述安全页面的不安全实体的映射的检查。根据一个或多个示例，所述方法包括：响应于来自不受信实体的请求，将所述页面标记为安全页面。根据一个或多个示例，所述方法包括：响应于将所述页面标记为所述安全页面，阻止任何不受信实体访问所述安全页面。根据一个或多个示例，所述方法包括：在将所述页面标记为所述安全页面之前并且响应于来自所述不受信实体的所述请求，由所述不受信实体发布导入命令，以准备所述页面的页面调入。根据一个或多个示例，安全接口控制包括固件、硬件或固件和硬件的组合；所述不受信实体包括管理程序；以及所述安全请求者包括虚拟机，所述虚拟机是由所述管理程序托管在安全域中的安全访客。根据一个或多个示例，该方法包括响应于该授权检查确定该安全请求者被授权，授予该请求者对该页面的访问。

根据本文描述的一个或多个示例，一种计算机实现的方法包括：由计算系统的安全接口控制接收请求者访问计算系统的存储器中的页面的请求。所述方法进一步包括：响应于确定所述请求者是不安全请求者且响应于安全存储位被设置，禁止访问所述页面，而不执行授权检查。该方法进一步包括响应于确定该请求者是安全请求者，执行该授权检查。