用于远程存储的数据的保护方案制造技术

本公开涉及一种用于远程存储的数据的保护方案。系统可以包括，例如包括至少一个虚拟机(VM)的至少一个设备；以及受信的执行环境(TEE)。TEE可以包括用于对从至少一个VM接收的数据进行加密和解密的加密服务。在一个实施例中，该至少一个虚拟机可以包括用于与加密服务中的接口进行交互的加密代理。例如，加密代理可以向加密服务注册，此时，可以生成与该至少一个VM相对应的加密密钥。在验证加密代理的注册之后，加密服务可以利用于该至少一个VM相对应的加密密钥来对从加密代理接收的数据进行加密和解密。加密服务可以随后将加密后或解密后的数据返回给加密代理。

【技术实现步骤摘要】
【国外来华专利技术】
本公开设及数据安全，并且更加具体而言，设及用于保护存储在诸如云存储系统 等的远程资源上的数据的安全的方案。
技术介绍
电子设备(例如，计算设备）中的数据管理朝向更加分布式的架构发展。例如，尽管 传统上数据被存储在设备本地的永久存储器中，但是现在数据可W被远程地存储在远程资 源中。示例远程资源可W是基于云的计算解决方案，其包括经由诸如互联网等的广域网 (WAN)可访问的至少一个计算设备(例如，服务器）。当使用远程存储的数据架构时，存在可 W被实现的多种好处。例如，数据不仅可W对生成该数据的设备是可访问的，还对可W得益 于能够访问数据而不考虑数据的位置的其它设备(例如，移动计算设备、移动通信设备等） 是可访问的。其它设备可W经由到互联网的有线或无线连接来访问远程资源上的数据。此 夕h远程存储的数据可W对诸如火灾、天气紧急状态、停电等的灾难事件更容忍，运是因为 基于云的资源通常被建立为利用更加实质的事件保护、备份资源等来对运样的事件负责。 尽管远程存储的数据的益处可能是显而易见的，但是也存在一些风险。例如，将各 种数据(例如，该数据可W包括机密信息)存储在单个位置中用户向可能具有恶意意图的黑 客呈现了诱人的目标。在将数据存储在远程资源上之前对该数据进行加密可W帮助防止黑 客获得访问，然而，用于执行加密的工具也必须被保护。例如，当用户负责在将数据存储在 远程资源上之前对数据进行加密时，恶意软件(rootkit)和其它高特权的攻击可能能够获 得对存储在用户的设备上的加密密钥的访问。将对数据加密的责任移动至远程资源(例如， 基于云的存储设备提供者)不能缓解该问题，运是因为相同类型的攻击可能用于访问存储 在远程资源(例如，服务器)中的加密密钥。【附图说明】 随着W下的【具体实施方式】的展开并且根据对附图的参照，所要求保护的主题的各 种实施例的特征和优点将变得显而易见，其中，相同的附图标记指代相同的部件，并且在附 图中： 图1示出了根据本公开的至少一个实施例的用于针对远程存储的数据的保护方案 的示例配置； 图2示出了根据本公开的至少一个实施例的用于设备的示例配置； 图3示出了根据本公开的至少一个实施例的用于针对远程存储的数据的保护方案 的第二示例配置；[000引图4示出了根据本公开的至少一个实施例的用于针对远程存储的数据的保护方案 的第=示例配置； 图5示出了根据本公开的至少一个实施例的用于虚拟机启动的示例操作； 图6示出了根据本公开的至少一个实施例的用于力幡服务启动的示例操作；W及 图7示出了根据本公开的至少一个实施例的用于针对远程存储的数据的保护方案 的示例操作。 尽管将参照说明性实施例展开W下的【具体实施方式】，但是运些实施例的许多替 换、修改和变形对本领域技术人员来说将是显而易见的。【具体实施方式】 本公开设及用于远程存储的数据的保护方案。示例系统可W包括至少一个设备， 其包括至少一个虚拟机。该至少一个虚拟机可W用于处理数据，处理数据可W包括将数据 存储在远程资源上。在运方面，该至少一个设备还可W包括加密服务可W在其中执行的受 信的执行环境。加密服务可W用于对从至少一个虚拟机接收的数据进行加密或解密。在一 个实施例中，至少一个虚拟机可W包括加密代理。加密代理可W用于将数据提供给加密服 务器W用于加密或解密。例如，加密代理可W向加密服务注册，此时，可W生成与该至少一 个虚拟机的相对应的加密密钥。在验证加密代理已经被注册之后，加密服务可W利用与至 少一个虚拟机相对应的加密密钥来对从加密代理接收的数据进行加密或解密，并且随后将 加密后或解密后的数据返回给加密代理。 在一个实施例中，至少一个设备可W包括例如至少一个虚拟机W及受信的执行环 境。该至少一个虚拟机可W用于对该至少一个设备中的数据进行处理。受信的执行环境可 W至少包括加密服务，其用于对从至少一个虚拟机被提供至该加密服务的数据进行加密或 解密。 在相同或不同的实施例中，该至少一个虚拟机可W包括用于将数据提供给加密服 务的加密代理。加密服务可W至少包括例如加密接口和解密接口，W用于与加密代理进行 交互。加密服务还可W用于在接受来自至少一个虚拟机的用于加密或解密的数据之前，对 加密代理进行注册。受信的执行环境还可W包括与至少一个虚拟机相对应的加密密钥，当 加密代理被注册时，由加密服务生成该加密密钥。根据本公开，为了至少保护加密服务和加 密密钥，受信的执行环境可W基于安全飞地技术。加密服务还可W用于使用加密密钥来对 由加密代理提供的数据进行加密或解密。 在相同或不同的实施例中，至少一个设备还可W包括通信模块，其用于将加密后 的数据发送给远程资源，或者接收来自远程资源的加密后的数据。远程资源可W包括例如 经由广域网可访问的多个网络化的计算设备，所述多个网络化的计算设备至少包括用于存 储加密后的数据的存储器模块。在可替换的配置中，至少一个设备可W包括至少经由广域 网可访问的多个网络化的计算设备，所述多个网络化的计算设备还至少包括用于存储加密 后的数据的存储器模块。根据本公开的至少一个实施例的示例方法可W包括在受信的执行 环境内执行的加密服务上接收来自至少一个虚拟机的数据，对在加密服务中接收到的数据 进行加密或解密，W及将加密或解密后的数据提供给至少一个虚拟机。 图1示出了根据本公开的至少一个实施例的用于针对远程存储的数据的保护方案 的示例配置。系统100可W包括例如设备102和远程资源104。设备102可W包括包含了能够 处理和存储数据的资源在内的任何设备。设备102的示例可W包括但不限于，移动通信设备 (例如，基于Android?操作系统、沿S猿、Windows⑥操作系统、Blackberry?操作系 统、Palm⑩操作系统、SymMan⑧操作系统等的蜂窝手持设备或智能电话等）、移动计算设 备（例如，像iPad嚴、Sur化Ce瑕、GalaxyTab?、Kindle巧re?等的平板计算机、包括由英 特尔公司制造的低功率忍片组的Untaibook?、上网本、笔记本计算机、膝上型计算机、掌 上型计算机、智能手表等）、通常固定的计算设备(例如，桌上型计算机、机顶盒设备、智能电 视(TV)、音频和/或视频电子会议系统等）。远程资源104可W包括例如经由例如互联网等的 WAN(例如，"基于云"的数据存储解决方案)可访问的至少一个计算设备(例如，服务器）。重 要的是注意到，尽管图1仅公开了与远程资源104进行交互的单个设备102,但根据本公开， 一个W上的设备1〇2(例如，多个设备)同时与远程资源104进行交互是可能的。[001引设备102可W包括例如至少一个虚拟机(VM) 102和受信的执行环境(T邸）106AdVM 106可W是在计算设备中的被呈现给设备102中的应用层的硬件的基于软件的抽象。由此， VM 106A、VM 106B、……、VM 106n(下文中的VM 106A…n)中的每个可W操作作为设备102内 的单独的计算设备。设备102中的虚拟机管理器(VMM)或"管理程序化ypervisor)"可W监视 和控制VM 106A-'n的操作。T邸108可W包括设备102中的安全工作空间，在该安全工作空 间中，已知的好的程序可W执行、机密信息可本文档来自技高网...

【技术保护点】
至少一个设备，包括：至少一个虚拟机，用于处理所述至少一个设备中的数据；以及受信的执行环境，其至少包括加密服务，所述加密服务用于对从所述至少一个虚拟机被提供给所述加密服务的数据进行加密或解密。

【技术特征摘要】
【国外来华专利技术】

【专利技术属性】
技术研发人员：H·内利特尔塔，S·迪帕克，T·兰加拉詹，A·S·凯沙瓦穆尔蒂，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国;US