CN111741068A - 一种虚拟机镜像链密钥模型及其数据加密密钥传输方法 - Google Patents

一种虚拟机镜像链密钥模型及其数据加密密钥传输方法 Download PDF

Info

Publication number
CN111741068A
CN111741068A CN202010430111.1A CN202010430111A CN111741068A CN 111741068 A CN111741068 A CN 111741068A CN 202010430111 A CN202010430111 A CN 202010430111A CN 111741068 A CN111741068 A CN 111741068A
Authority
CN
China
Prior art keywords
key
mirror image
virtual machine
chain
file
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202010430111.1A
Other languages
English (en)
Other versions
CN111741068B (zh
Inventor
卿昱
王进
刘晓毅
万抒
尚旭
金鑫
崔阳
林琦力
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Electronic Technology Cyber Security Co Ltd
Original Assignee
China Electronic Technology Cyber Security Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Electronic Technology Cyber Security Co Ltd filed Critical China Electronic Technology Cyber Security Co Ltd
Priority to CN202010430111.1A priority Critical patent/CN111741068B/zh
Publication of CN111741068A publication Critical patent/CN111741068A/zh
Application granted granted Critical
Publication of CN111741068B publication Critical patent/CN111741068B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1095—Replication or mirroring of data, e.g. scheduling or transport for data synchronisation between network nodes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种虚拟机镜像链密钥模型及其数据加密密钥传输方法，包括活动镜像，所述活动镜像包括后端镜像、镜像文件0、加密模块0和密钥ID0；所述后端镜像为后端文件，包括后端镜像、镜像文件、加密模块和密钥ID，相对现有的简单的虚拟机镜像密钥定义模型和匹配方法，本发明从虚拟机镜像链上数据安全的角度定义了镜像链上不同文件密钥的定义方法、文件和密钥的匹配方法，进一步增强了虚拟机镜像上文件链数据加密密钥的管理和传递机制，可以按需灵活定义镜像链上文件加密密钥，进一步提升了镜像链中用户数据的安全隔离防护能力，可以有效保护用户数据的安全性。

Description

一种虚拟机镜像链密钥模型及其数据加密密钥传输方法
技术领域
本发明涉及虚拟机镜像数据加密领域，具体涉及一种虚拟机镜像链密钥模型及其数据加密密钥传输方法。
背景技术
随着虚拟化***在企业信息化***中规模化应用，企业用户数据大量留存于虚拟机磁盘中，虚拟机磁盘数据安全问题变得尤为重要，需要采用可靠、灵活的密钥管理和传递方法对虚拟机镜像加密保护，防止数据泄露。
虚拟机通常包含一个或多个虚拟磁盘，虚拟磁盘由通过链式结构进行组织的虚拟机镜像提供，虚拟机镜像链式结构上的一个节点被称为快照，每个快照通过指明对应后端文件形成虚拟机镜像链。通常，虚拟化***通过虚拟机镜像制作成虚拟机模板，再通过虚拟机模板批量、快速创建新的虚拟机，新虚拟机既包含模板中原始虚拟机的数据，又包含自身新增的数据。基于模板创建的不同新虚拟机间使用相同的密钥加密保护，存在密钥泄露即可破解所有新虚拟机数据的安全风险，为了解决这一问题，需要具备对镜像链上不同文件进行隔离加密的能力，因此对镜像链上不同文件加密的密钥管理和密钥传递成为一大难点。
目前，业界仅支持对镜像链上文件使用单一密钥进行加密保护的方法，不支持镜像链上文件使用不同密钥进行隔离保护，欠缺对以下功能的支持：
基于模板创建的虚拟机；
创建快照的虚拟机；
发明内容
本发明的目的在于：增强虚拟化平台对虚拟机镜像数据的隔离防护，实现一个虚拟机使用独立密钥，保证单个用户虚拟机数据的安全隔离；甚至实现一个虚拟机镜像使用独立密钥，保证快照链上单个文件数据安全隔离。
本发明目的通过下述技术方案来实现：
一种虚拟机镜像链密钥模型，包括活动镜像，所述活动镜像包括后端镜像、镜像文件0、加密模块0和密钥ID0；
所述后端镜像为后端文件，包括后端镜像、镜像文件、加密模块和密钥ID。
更进一步的，所述活动镜像和后端镜像均包括后端文件定义模块。
本发明还提供了一种数据加密密钥传输方法，包括，
步骤1：对活动镜像的镜像文件和密钥进行匹配；
步骤2：对后端文件的镜像文件和密钥进行匹配。
更进一步的，所述步骤1具体包括，
步骤1-1：生成对密钥传输加密的随机密钥0；
步骤1-2：查找密钥0，并对密钥0进行加密生成密钥密文0；
步骤1-3：生成密钥别名0，建立随机密钥0和密钥密文0的匹配关系。
更进一步的，根据活动镜像所定义的密钥ID0查找密钥0。
更进一步的，根据权利要求3所述的虚拟机镜像链密钥方法，其特征在于：所述步骤2具体包括，
步骤2-1：生成对密钥传输加密的随机密钥i；
步骤2-2：查找密钥i，并对密钥i进行加密生成密钥密文i；
步骤2-3：根据镜像链中所定义后端文件i路径匹配密钥密文i和密钥别名i；
步骤2-4：继续步骤2-1～2-3，对后端文件i中的其他后端文件进行定义。
更进一步的，根据后端镜像中定义的密钥IDi查找密钥i。
更进一步的，还包括，
通过文件传递所有随机密钥，通过虚拟机启动命令传递密钥密文、密钥别名和加密算法。
前述本发明主方案及其各进一步选择方案可以自由组合以形成多个方案，均为本发明可采用并要求保护的方案；且本发明，(各非冲突选择)选择之间以及和其他选择之间也可以自由组合。本领域技术人员在了解本发明方案后根据现有技术和公知常识可明了有多种组合，均为本发明所要保护的技术方案，在此不做穷举。
本发明的有益效果：相对现有的简单的虚拟机镜像密钥定义模型和匹配方法，本发明从虚拟机镜像链上数据安全的角度定义了镜像链上不同文件密钥的定义方法、文件和密钥的匹配方法，进一步增强了虚拟机镜像上文件链数据加密密钥的管理和传递机制，可以按需灵活定义镜像链上文件加密密钥，进一步提升了镜像链中用户数据的安全隔离防护能力，可以有效保护用户数据的安全性。
附图说明
图1虚拟机镜像链密钥定义模型示意图；
图2简单的镜像和密钥匹配关系示意图；
图3镜像链上后端文件和密钥匹配流程。
具体实施方式
本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。
本说明书中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。
为了增强虚拟化平台对虚拟机镜像数据的隔离防护，有必要实现一个虚拟机使用独立密钥，保证单个用户虚拟机数据的安全隔离；甚至实现一个虚拟机镜像使用独立密钥，保证快照链上单个文件数据安全隔离。本发明研究了基于libvirt和QEMU的虚拟机镜像加密密钥的管理和传递机制，并提出了基于虚拟机镜像链上不同文件使用不同加密密钥对用户数据隔离防护的方法。
本发明主要分为两个功能部分：
1.镜像链上不同文件的密钥定义方法；
2.镜像链上文件和密钥的匹配方法。
1、镜像链上不同文件密钥的定义方法
目前，虚拟机镜像密钥仅支持简单的定义模型：支持定义活动镜像密钥和加密方式，不支持定义独立的后端文件密钥和加密方式。本发明在现有实现的基础上，改进了密钥定义方法，基于虚拟机镜像链式存储结构提出了虚拟机镜像链密钥定义模型，支持灵活定义独立的后端文件加密方式和密钥。改进后的虚拟机镜像链密钥定义模型如图1所示：
虚拟机镜像链密钥定义模型中，根据虚拟机镜像链类似单链表的组织方式，活动镜像定义中包含所指向的后端文件1定义信息，后端文件1定义中包含所指向的后端文件2定义信息，按此方法逐级包含，描述完整的镜像链信息。虚拟机镜像链密钥定义模型在虚拟机XML Domain所定义的虚拟磁盘中定义格式如下：
Figure BDA0002500239860000041
Figure BDA0002500239860000051
Figure BDA0002500239860000061
其中，活动镜像和后端文件均包含其镜像文件、后端文件，以及镜像文件加密方式、密钥ID，活动镜像和后端文件定义在代码实现中均可抽象为统一的结构，简化设计和实现。
2、镜像链上文件和密钥的匹配方法
目前，虚拟机镜像仅支持简单的镜像和密钥匹配关系：定义活动镜像密钥和加密方式并自动应用到后端文件，不支持灵活定义独立的后端文件密钥和加密方式，密钥传输采用了随机密钥进行加密保护，并对加密数据和随机密钥通过不同的途径传递，加密数据和随机密钥通过密钥别名建立匹配关系。简单的镜像和密钥匹配关系如图2所示：
简单的镜像和密钥匹配流程：
1.生成对密钥传输加密的随机密钥0；
2.根据活动镜像所定义的密钥ID0查找密钥0，对密钥0进行加密生成密钥密文0；
3.生成密钥别名0，建立随机密钥0和密钥密文0的匹配关系，通过命令行和文件进行传递。
本发明在简单的镜像和密钥匹配流程基础上，基于虚拟机镜像链密钥定义模型，提出了针对镜像链上后端文件和密钥匹配方法：在活动镜像和后端文件元数据中定义后端文件路径和密钥别名，通过后端文件路径和别名与定义的虚拟机XML Domain所定义的密钥ID匹配，与密钥ID匹配的密钥密文信息相关联。
镜像链上后端文件和密钥匹配流程如图3所示，包括：
1.生成对密钥传输加密的随机密钥0；
2.根据活动镜像所定义的密钥ID0查找密钥0，对密钥0进行加密生成密钥密文0；
3.生成密钥别名0，建立随机密钥0和密钥密文0的匹配关系；
4.根据虚拟机XML Domain中活动镜像所定义的后端文件信息；
a)生成对密钥传输加密的随机密钥1
b)根据后端文件中定义的密钥ID1查找密钥1，对密钥1进行加密生成密钥密文1；
c)根据镜像链中所定义后端文件路径匹配密钥密文1和密钥别名1；
d)如果后端文件1中有定义其后端文件，继续上述流程；
5.通过文件传递所有随机密钥，通过命令行传递密钥密文、密钥别名和加密算法；
上述说明示出并描述了本发明的一个优选实施例，但如前所述，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims (8)

1.一种虚拟机镜像链密钥模型，其特征在于：包括活动镜像，所述活动镜像包括后端镜像、镜像文件0、加密模块0和密钥ID0；
所述后端镜像为后端文件，包括后端镜像、镜像文件、加密模块和密钥ID。
2.根据权利要求1所述的虚拟机镜像链密钥模型，其特征在于：所述活动镜像和后端镜像均包括后端文件定义模块。
3.一种数据加密密钥传输方法，其特征在于：包括，
步骤1：对活动镜像的镜像文件和密钥进行匹配；
步骤2：对后端文件的镜像文件和密钥进行匹配。
4.根据权利要求3所述的数据加密密钥传输方法，其特征在于：所述步骤1具体包括，
步骤1-1：生成对密钥传输加密的随机密钥0；
步骤1-2：查找密钥0，并对密钥0进行加密生成密钥密文0；
步骤1-3：生成密钥别名0，建立随机密钥0和密钥密文0的匹配关系。
5.根据权利要求4所述的数据加密密钥传输方法，其特征在于：根据活动镜像所定义的密钥ID0查找密钥0。
6.根据权利要求3所述的数据加密密钥传输方法，其特征在于：根据权利要求3所述的虚拟机镜像链密钥方法，其特征在于：所述步骤2具体包括，
步骤2-1：生成对密钥传输加密的随机密钥i；
步骤2-2：查找密钥i，并对密钥i进行加密生成密钥密文i；
步骤2-3：根据镜像链中所定义后端文件i路径匹配密钥密文i和密钥别名i；
步骤2-4：继续步骤2-1～2-3，对后端文件i中的其他后端文件进行定义。
7.根据权利要求6所述的数据加密密钥传输方法，其特征在于：根据后端镜像中定义的密钥IDi查找密钥i。
8.根据权利要求4-7任一项所述的数据加密密钥传输方法，其特征在于：还包括，
通过文件传递所有随机密钥，通过虚拟机启动命令传递密钥密文、密钥别名和加密算法。
CN202010430111.1A 2020-05-20 2020-05-20 一种数据加密密钥传输方法 Active CN111741068B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010430111.1A CN111741068B (zh) 2020-05-20 2020-05-20 一种数据加密密钥传输方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010430111.1A CN111741068B (zh) 2020-05-20 2020-05-20 一种数据加密密钥传输方法

Publications (2)

Publication Number Publication Date
CN111741068A true CN111741068A (zh) 2020-10-02
CN111741068B CN111741068B (zh) 2022-03-18

Family

ID=72647458

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010430111.1A Active CN111741068B (zh) 2020-05-20 2020-05-20 一种数据加密密钥传输方法

Country Status (1)

Country Link
CN (1) CN111741068B (zh)

Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103069428A (zh) * 2010-06-07 2013-04-24 思科技术公司 不可信云基础设施中的安全虚拟机引导
CN103107994A (zh) * 2013-02-06 2013-05-15 中电长城网际***应用有限公司 一种虚拟化环境数据安全隔离方法和***
CN103516728A (zh) * 2013-10-14 2014-01-15 武汉大学 一种防止云平台虚拟机非法启动的镜像加解密方法
CN104156659A (zh) * 2014-08-14 2014-11-19 电子科技大学 一种嵌入式***的安全启动方法
WO2016106566A1 (zh) * 2014-12-30 2016-07-07 华为技术有限公司 虚拟化***中加解密的方法、装置和***
CN106293994A (zh) * 2015-05-15 2017-01-04 株式会社日立制作所 网络文件***中的虚拟机克隆方法和网络文件***
CN106911744A (zh) * 2015-12-23 2017-06-30 北京神州泰岳软件股份有限公司 一种镜像文件的管理方法和管理装置
CN107493204A (zh) * 2016-06-13 2017-12-19 阿里巴巴集团控股有限公司 一种镜像检测的方法以及装置
CN107943556A (zh) * 2017-11-10 2018-04-20 中国电子科技集团公司第三十二研究所 基于kmip和加密卡的虚拟化数据安全方法
US20190044927A1 (en) * 2018-09-27 2019-02-07 Intel Corporation Technologies for providing secure utilization of tenant keys
CN109814978A (zh) * 2018-12-15 2019-05-28 华南理工大学 基于多OpenStack平台的跨集群迁移方法及***
US20200034458A1 (en) * 2018-07-25 2020-01-30 Commvault Systems, Inc. Distributed and scalable client-based storage management
CN110806919A (zh) * 2019-09-25 2020-02-18 苏州浪潮智能科技有限公司 一种云环境下保护虚拟机镜像的方法及***
CN110955901A (zh) * 2019-10-12 2020-04-03 烽火通信科技股份有限公司 一种用于云计算平台虚拟机镜像文件的存储方法及服务器

Patent Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103069428A (zh) * 2010-06-07 2013-04-24 思科技术公司 不可信云基础设施中的安全虚拟机引导
CN103107994A (zh) * 2013-02-06 2013-05-15 中电长城网际***应用有限公司 一种虚拟化环境数据安全隔离方法和***
CN103516728A (zh) * 2013-10-14 2014-01-15 武汉大学 一种防止云平台虚拟机非法启动的镜像加解密方法
CN104156659A (zh) * 2014-08-14 2014-11-19 电子科技大学 一种嵌入式***的安全启动方法
WO2016106566A1 (zh) * 2014-12-30 2016-07-07 华为技术有限公司 虚拟化***中加解密的方法、装置和***
CN106293994A (zh) * 2015-05-15 2017-01-04 株式会社日立制作所 网络文件***中的虚拟机克隆方法和网络文件***
CN106911744A (zh) * 2015-12-23 2017-06-30 北京神州泰岳软件股份有限公司 一种镜像文件的管理方法和管理装置
CN107493204A (zh) * 2016-06-13 2017-12-19 阿里巴巴集团控股有限公司 一种镜像检测的方法以及装置
CN107943556A (zh) * 2017-11-10 2018-04-20 中国电子科技集团公司第三十二研究所 基于kmip和加密卡的虚拟化数据安全方法
US20200034458A1 (en) * 2018-07-25 2020-01-30 Commvault Systems, Inc. Distributed and scalable client-based storage management
US20190044927A1 (en) * 2018-09-27 2019-02-07 Intel Corporation Technologies for providing secure utilization of tenant keys
CN109814978A (zh) * 2018-12-15 2019-05-28 华南理工大学 基于多OpenStack平台的跨集群迁移方法及***
CN110806919A (zh) * 2019-09-25 2020-02-18 苏州浪潮智能科技有限公司 一种云环境下保护虚拟机镜像的方法及***
CN110955901A (zh) * 2019-10-12 2020-04-03 烽火通信科技股份有限公司 一种用于云计算平台虚拟机镜像文件的存储方法及服务器

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
JUAN WANG ET AL.: "Towards a Trusted Launch Mechanism for Virtual Machines in Cloud Computing", 《INTERNATIONAL CONFERENCE ON CLOUD COMPUTING》 *
龙恺 等: "虚拟机监控器的安全威胁及规避措施", 《信息安全与通信保密》 *

Also Published As

Publication number Publication date
CN111741068B (zh) 2022-03-18

Similar Documents

Publication Publication Date Title
US11108753B2 (en) Securing files using per-file key encryption
US11263020B2 (en) System and method for wiping encrypted data on a device having file-level content protection
CN103530201B (zh) 一种适用于备份***的安全数据去重方法和***
US8930691B2 (en) Dynamic symmetric searchable encryption
CN101587479B (zh) 面向数据库管理***内核的数据加解密***及其方法
EP2430789B1 (en) Protection of encryption keys in a database
EP2874151B1 (en) Method and apparatus for controlling access to encrypted data
CN104252605B (zh) 一种Android平台的文件透明加解密***及方法
CN105426775B (zh) 一种保护智能手机信息安全的方法和***
EP2651072A2 (en) Systems and methods for secure data sharing
US20140129848A1 (en) Method and Apparatus for Writing and Reading Hard Disk Data
CN111143870B (zh) 一种分布式加密存储装置、***及加解密方法
CN103955654A (zh) 基于虚拟文件***的u盘安全存储方法
CN111079188B (zh) mybatis字段加密解密装置及加密解密***
US20130097430A1 (en) Encrypting data and characterization data that describes valid contents of a column
US10284534B1 (en) Storage system with controller key wrapping of data encryption key in metadata of stored data item
CN108491724A (zh) 一种基于硬件的计算机接口加密装置及方法
US20110038479A1 (en) Developing initial and subsequent keyid information from a unique mediaid value
CN113568568B (zh) 一种基于分布式存储的硬件加密方法、***及装置
CN104361297A (zh) 一种基于Linux操作***的文件加解密方法
CN103049705B (zh) 一种基于虚拟化的安全存储方法、终端及***
CN111741068B (zh) 一种数据加密密钥传输方法
CN100550735C (zh) 多功能智能密钥设备及其安全控制的方法
GB2446200A (en) Encryption system for peer-to-peer networks which relies on hash based self-encryption and mapping
CN113656817A (zh) 数据加密方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant