管理程序和虚拟机保护制造技术

本发明专利技术公开涉及管理程序和虚拟机保护。根据一种实施例的方法包括接收让管理程序运行虚拟机的请求、利用处理器确定所述虚拟机是否被授权使用具有关于所述虚拟机的属性的元数据的数据结构来运行、利用处理器使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机、当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，从密钥授权机构接收解密密钥、使用所述解密密钥解锁和/或解密所述虚拟机、以及在计算机系统上运行所述虚拟机。在附加实施例中描述了其它系统、方法和计算机程序产品。

Management procedures and virtual machine protection

The invention relates to a management program and a virtual machine protection. According to a digital signature method embodiment includes receiving a running virtual machine management program to determine the request, the virtual machine is authorized to use the data structure on the metadata has the attributes of the virtual machine to run, using the processor using the data structure using the processor to determine whether the management program is authorized the operation of the virtual machine, when it is determined that the virtual machine is authorized to determine the operation and management program is authorized to run the virtual machine, from the key authorization mechanism receives the decryption key and the decryption key to unlock and / or decrypt the virtual machine, as well as in the computer system running on the virtual machine using the. In additional embodiments, other systems, methods, and computer program products are described.

【技术实现步骤摘要】
【国外来华专利技术】管理程序和虚拟机保护
本专利技术涉及数据保护，并且更具体地，本专利技术涉及使用具有撤销能力的集中式授权机构的管理程序和虚拟机(VirtualMachine，VM)安全框架。
技术介绍
在计算中，VM是特定计算机系统的仿真。虚拟机基于计算机体系架构和实际或假设计算机的功能来操作，并且它们的实现可以涉及专用硬件、软件或其组合。管理程序(有时称为虚拟机监视器)是能够创建和/或运行VM的一段计算机软件、固件和/或硬件。此外，覆盖网络可以使用特定数量的VM来实现，其中管理程序控制联网分组进出每个VM的处理，这些VM中的一个或多个可以与覆盖网络相关联。数据保护和安全性在VM和管理程序之间变得越来越重要。随着技术随时间变化，恶意活动和盗窃行为转变为利用所创建的新漏洞。此外，易受这种攻击的数据的敏感性凸显了这些威胁的重要性和影响。当今，除了保护VM和管理程序以及其它VM监视器的标准防病毒程序之外，其它的不多。通常当恶意VM启动时，它甚至会在被这些标准防病毒程序识别之前造成损坏。此外，利用当前的备份和复制实践，一旦恶意软件被引入到虚拟网络，就几乎不可能从用户的系统组合中完全去除该恶意软件。
技术实现思路
根据一种实施例，一种方法包括接收让管理程序运行虚拟机的请求、利用处理器使用具有关于所述虚拟机的属性的元数据的数据结构来确定所述虚拟机是否被授权运行、利用处理器使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机、当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，从密钥授权机构接收解密密钥、使用所述解密密钥解锁和/或解密所述虚拟机、以及在计算机系统上运行所述虚拟机。根据另一种实施例，一种计算机程序产品包括具有包含在其中的程序指令的计算机可读存储介质，所述程序指令能由处理器读取和/或执行，以使所述处理器：由所述处理器接收让管理程序运行虚拟机的请求、由所述处理器使用具有关于所述虚拟机的属性的元数据的数据结构来确定所述虚拟机是否被授权运行、由所述处理器使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机、当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，由所述处理器从密钥授权机构接收解密密钥、由所述处理器使用所述解密密钥解锁和/或解密所述虚拟机、以及由所述处理器运行所述虚拟机。根据还有的另一种实施例，一种系统包括处理器和与处理器集成和/或能由处理器执行的逻辑，所述逻辑被配置为：接收让管理程序运行虚拟机的请求、使用具有关于所述虚拟机的属性的元数据的数据结构来确定所述虚拟机是否被授权运行、使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机、当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，从密钥授权机构接收解密密钥、使用所述解密密钥解锁和/或解密所述虚拟机、以及运行所述虚拟机。当结合通过示例的方式示出本专利技术的原理的附图考虑时，本专利技术的其它方面和实施例将从以下的详细描述中变得显而易见。附图说明现在将仅通过示例的方式参照附图描述本专利技术的实施例，附图中：图1图示了根据一种实施例的网络体系架构。图2示出了根据一种实施例的、可以与图1的服务器和/或客户端相关联的代表性硬件环境。图3是根据一种实施例的系统。图4是根据一种实施例的方法的流程图。图5是根据一种实施例的方法的流程图。具体实施方式做出以下描述是为了说明本专利技术的一般原理而不是意在限定本文所要求保护的专利技术性概念。此外，本文所述的特定特征可以结合其它所述特征在各种可能的组合与置换中的每一种当中使用。除非在本文中另外专门定义，否则所有术语都要赋予其最广泛可能的解释，包括从本说明书暗示的意义以及本领域技术人员所理解的和/或如在词典、论文等中定义的意义。还必须指出，如在本说明书和所附权利要求中所使用的，除非另外指出，否则单数形式“一”、“一个”和“该”包括复数的指示物。还应当理解，当在本说明书中使用时，术语“包括”和/或“包含”指定所述特征、整数、步骤、操作、元件和/或部件的存在，但不排除一个或多个其它特征、整数、步骤、操作、元件、部件和/或其组合的存在或添加。以下描述公开了用于使用具有撤销能力的集中式授权机构来实现管理程序和VM安全框架的系统、方法和计算机程序产品的若干优选实施例。因此，本文所描述的各种实施例优选地能够提高管理程序和VM中的保护，如将在下面进一步详细描述的。在一种一般的实施例中，一种方法包括接收让管理程序运行虚拟机的请求、使用具有关于所述虚拟机的属性的元数据的数据结构来确定所述虚拟机是否被授权运行、使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机、当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，从密钥授权机构接收解密密钥、使用所述解密密钥解锁和/或解密所述虚拟机、以及运行所述虚拟机。在另一种一般的实施例中，一种计算机程序产品包括具有包含在其中的程序指令的计算机可读存储介质，所述程序指令能由处理器读取和/或执行，以使所述处理器：由所述处理器接收让管理程序运行虚拟机的请求、由所述处理器使用具有关于所述虚拟机的属性的元数据的数据结构来确定所述虚拟机是否被授权运行、由所述处理器使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机、当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，由所述处理器从密钥授权机构接收解密密钥、由所述处理器使用所述解密密钥解锁和/或解密所述虚拟机、以及由所述处理器运行所述虚拟机。在还有的另一种一般的实施例中，一种系统包括处理器和与处理器集成和/或能由处理器执行的逻辑，所述逻辑被配置为：接收让管理程序运行虚拟机的请求、使用具有关于所述虚拟机的属性的元数据的数据结构来确定所述虚拟机是否被授权运行、使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机、当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，从密钥授权机构接收解密密钥、使用所述解密密钥解锁和/或解密所述虚拟机、以及运行所述虚拟机。图1图示了根据一种实施例的体系架构100。如图1所示，提供了包括第一远程网络104和第二远程网络106的多个远程网络102。网关101可以耦合在远程网络102和邻近网络108之间。在本体系架构100的上下文中，网络104、106可以各自采取任何形式，包括但不限于LAN、诸如互联网的WAN、公共交换电话网(PSTN)、内部电话网等等。在使用中，网关101用作从远程网络102到邻近网络108的入口点。这样，网关101可以用作能够引导到达网关101的给定数据分组的路由器，以及为给定分组提供进出网关101的实际路径的交换机。还包括的是耦合到邻近网络108并且可经由网关101从远程网络102访问的至少一个数据服务器114。应当注意，(一个或多个)数据服务器114可以包括任何类型的计算设备/组件。耦合到每个数据服务器114的是多个用户设备116。这样的用户设备116可以包括台式计算机、膝上型计算机、手持式计算机、打印机或任何其它类型的逻辑。应当注意，在一种实施例中，用户设备111也可以直接耦合到网络中的任一个。外围设备120或外围设备系列120(例如，传真机、打印机、联网和本文档来自技高网...

【技术保护点】
一种方法，包括：接收让管理程序运行虚拟机的请求；利用处理器使用数据结构来确定所述虚拟机是否被授权运行，所述数据结构具有关于所述虚拟机的属性的元数据；利用所述处理器使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机；当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，从密钥授权机构接收解密密钥；使用所述解密密钥解锁和/或解密所述虚拟机；以及在计算机系统上运行所述虚拟机。

【技术特征摘要】
【国外来华专利技术】2014.09.17 US 14/489,3201.一种方法，包括：接收让管理程序运行虚拟机的请求；利用处理器使用数据结构来确定所述虚拟机是否被授权运行，所述数据结构具有关于所述虚拟机的属性的元数据；利用所述处理器使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机；当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，从密钥授权机构接收解密密钥；使用所述解密密钥解锁和/或解密所述虚拟机；以及在计算机系统上运行所述虚拟机。2.如权利要求1所述的方法，其中所述数据结构包括具有所述元数据的首部，其中使用所述数字签名对所述首部进行数字签名。3.如权利要求1所述的方法，其中所述元数据被用来确定是否已从原始状态修改了所述数据结构。4.如权利要求1所述的方法，其中所述解密密钥使得能够解密整个所述虚拟机。5.如权利要求1所述的方法，其中所述解密密钥使得能够解密存储在所述虚拟机中的第二解密密钥，其中所述第二解密密钥使得能够解密所述虚拟机的剩余部分。6.如权利要求1所述的方法，包括：使用所述管理程序的一组可执行程序来计算管理程序指纹；以及使用所述管理程序指纹执行所述虚拟机和所述管理程序之间的交叉验证，其中当所述交叉验证不成功时，拒绝运行所述虚拟机的所述请求。7.如权利要求6所述的方法，其中所述虚拟机和所述管理程序处于允许执行所述交叉验证的配对关系。8.如权利要求1所述的方法，其中当确定所述虚拟机未被授权运行时，或者当确定所述管理程序未被授权运行所述虚拟机时，拒绝运行所述虚拟机的所述请求。9.一种计算机程序产品，包括具有包含在其中的程序指令的计算机可读存储介质，所述程序指令能由处理器读取和/或执行以使所述处理器：由所述处理器接收让管理程序运行虚拟机的请求；由所述处理器使用数据结构来确定所述虚拟机是否被授权运行，所述数据结构具有关于所述虚拟机的属性的元数据；由所述处理器使用所述数据结构的数字签名来确定所述管理程序是否被授权运行所述虚拟机；当确定所述虚拟机被授权运行并且确定所述管理程序被授权运行所述虚拟机时，由所述处理器从密钥授权机构接收解密密钥；由所述处理器使用所述解密密钥解锁和/或解密所述虚拟机；以及由所述处理器运行所述虚拟机。10.如权利要求9所述的计算机程序产品，其中所述数据结构包括具有所述元数据的首部，其中使用所述数字签名对所述首部进行数字签名。11.如权利要求9所述的计算机程序产品，其中所述元数据被用来确定是否已从原始状态修改了所述数据结构。12....

【专利技术属性】
技术研发人员：T·W·比什，D·C·雷德，G·E·迈克布里奇，R·A·威尔普，A·帕拉梭罗，N·坎德尔沃尔，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：美国,US