[发明专利]基于云计算的认证方法及系统

说明书

本发明实施例提供一种基于云计算的认证方法及系统。该方法适用于云计算系统。该系统包括代理端设备以及服务端设备，代理端设备中部署有密码模块。该方法包括：对于代理端设备中已创建的虚拟机，在虚拟机中部署代理模块；采集代理端设备的设备信息；若采集到设备信息，则基于设备信息初始化密码模块以得到签名密钥对，并向服务端设备申请双证书；将申请到的双证书以及签名密钥对存储到密码模块中，以实现对虚拟机的动态监测。该方法中，通过在代理端设备中部署外置的密码模块，避免对设备内置TPM模块的依赖，拓展安全认证的适用范围，从IaaS层开始实现云计算设备的安全认证，提高认证方案的自动化程度，提高认证效率。

技术领域

本发明涉及软件技术领域，尤其涉及一种基于云计算的认证方法及系统。

背景技术

随着云计算的蓬勃发展，云计算安全性正成为该领域的重要问题之一。

目前，对于云主机没有相关的设备认证机制。相关技术中，创建一个新的虚拟机（Virtual Machine，VM）后，云平台通常会直接分配相关资源给用户，并不关注虚拟机的安全认证。

为解决这一问题，目前提出安迈科技（American Megatrends Inc，AMI）的TruE解决方案。上述解决方案针对的是容器平台，在容器服务层做认证，仅能够对容器运行环境负责。如果应用程序所处虚拟机存在问题（入侵、容器逃逸等），仍会影响容器内程序的运行，带来安全问题。

发明内容

本发明实施例提供一种基于云计算的认证方法及系统，用以提高虚拟机运行环境的安全性。

第一方面，本发明实施例提供一种基于云计算的认证方法，该方法适用于云计算系统，该系统包括代理端设备以及服务端设备，该服务端设备包括认证服务器，代理端设备中部署有密码模块；该方法包括：

对于代理端设备中已创建的虚拟机，在所述虚拟机中部署代理模块；

采集所述代理端设备的设备信息，所述设备信息包括系统参数以及密码模块的属性信息；

若采集到所述设备信息，则基于所述设备信息初始化密码模块以得到签名密钥对，并向服务端设备申请双证书，其中双证书包括签名证书以及加密证书；

将申请到的双证书以及签名密钥对存储到密码模块中，以实现对所述虚拟机的动态监测。

进一步可选地，所述方法还包括：通过所述代理模块向监控服务器上报所述虚拟机所处状态。

进一步可选地，所述基于所述设备信息初始化密码模块以得到签名密钥对，包括：

基于所述系统参数以及所述密码模块的属性信息生成公钥基础设施（Public KeyInfrastructure，PKI）体系中的摘要；生成所述虚拟机的签名密钥对。

进一步可选地，若所述服务端设备包括证书管理服务器，所述代理模块为可信代理模块，则所述向服务端设备申请双证书，将申请到的双证书以及签名密钥对存储到密码模块中，包括：

通过可信代理模块创建证书签名请求并发送给证书管理服务器，所述证书签名请求包括PKI体系中的摘要和挑战码；接收证书管理服务器反馈的双证书，以将双证书以及对应的签名密钥对存储到所述密码模块中。

进一步可选地，所述方法还包括：向所述服务端设备发送携带有本地设备标识的挑战码获取请求；接收所述服务端设备下发的挑战码，其中，挑战码用于生成证书签名请求。

进一步可选地，所述服务端设备包括认证服务器；所述方法还包括：接收到双证书中的加密证书之后，向服务端设备申请挑战码；响应认证服务器反馈的挑战码，向认证服务器发送签名值，其中，签名值经过加密证书的加密，签名值包括基础设施即服务IaaS虚拟机的资产标识；通过认证服务器采用加密证书对应私钥对签名值进行解密以及验证，并向通过验证的代理端设备反馈对应的密钥保护方法。