一种提高云中虚拟机间通信安全的方法技术

本发明专利技术涉及一种提高云中虚拟机间通信安全的方法。本发明专利技术通过引入密码设备为虚拟机间通信提供服务，密码设备具有传输加密、完整性认证\身份鉴别、数字签名等功能。针对云环境，密码设备安装到物理服务器的PCIE插槽中，在其基础上创建多个虚拟密码设备，提供给本物理服务器中运行的虚拟机使用。

A method to improve communication security between virtual machines in cloud computing

The invention relates to a method for improving communication security between virtual machines in a cloud. The invention provides services for communication between virtual machines by introducing cryptographic devices, which have the functions of transmission encryption, integrity authenticationidentity authentication, digital signature, etc. For the cloud environment, the cryptographic device is installed in the PCIE slot of the physical server, on which multiple virtual cryptographic devices are created for use by the virtual machine running in the physical server.

【技术实现步骤摘要】
一种提高云中虚拟机间通信安全的方法
本专利技术涉及一种提高云中虚拟机间通信安全的方法，属于通信安全的

技术介绍
随着云计算技术的应用越来越广泛，云计算的安全性受到业界的广泛重视。资源的集中和虚拟化、高度复杂和开放的业务场景、不安全的接口和数据传输等给云安全的保障带来了极大的挑战。保障云安全涉及的领域包括物理安全、数据安全、网络安全、身份和访问管理以及应用程序安全等，在引入了密码设备后，可以使用其中的密码服务，云中虚拟机间通信安全将大大增强。云计算蕴含着巨大的市场潜力，因而被视为计算机领域里最重要、发展最快的分支之一，更多的企业和个人用户开始使用云服务。由于应用范围大、用户广泛，云也成为黑客或各种恶意组织和个人为获取非法利益而攻击的目标，高安全、高可用和高可靠成为用户对云服务最期望的三大要求。对于高安全的要求，需要解决好云计算安全威胁问题，为云服务打下牢固的基础；如果没有安全基础，一旦被攻击者发现漏洞，用户的隐私和重要数据可能会被窃听或篡改，给用户带来重大损失，甚至直接影响到云计算提供者能否在市场上继续生存。在OpenStack云环境中，作为云服务的使用者，用户可以根据需要自行创建和使用虚拟机，分配给用户的虚拟机可能运行在单台和多台物理服务器上，虚拟机之间的数据交互、身份认证等，都是用户使用的基本功能，虚拟机间的通信需要有安全的机制去保护用户数据。目前大部分方案都是从软件角度出发，例如通过引入TLS等保密协议，对数据进行加解密操作，TSL中使用的密码算法会带来极大的性能开销，尤其是公钥算法，会占用大量CPU和内存资源，从而导致服务器运行缓慢和卡顿，影响到服务器上其他程序的正常运行。而在一般的商用云环境中，单台服务器上往往运行了大量虚拟机，资源显得非常宝贵。
技术实现思路
针对现有技术的不足，本专利技术提供一种提高云中虚拟机间通信安全的方法。专利技术概述本专利技术通过引入密码设备为虚拟机间通信提供服务，密码设备具有传输加密、完整性认证\身份鉴别、数字签名等功能。针对云环境，密码设备安装到物理服务器的PCIE插槽中，在其基础上创建多个虚拟密码设备，提供给本物理服务器中运行的虚拟机使用。本专利技术的技术方案一种提高云中虚拟机间通信安全的方法，包括步骤如下：1)与服务器对接：将物理密码设备安装到服务器的PCIE槽上，服务器的驱动程序自动识别物理密码设备，根据服务器上的已创建和预计创建的虚拟机总数量对物理密码设备进行虚拟化，得到足够的虚拟密码设备为虚拟机提供服务；所述虚拟密码设备包括虚拟密码卡；物理密码设备与服务器连接后，其运行消耗的资源不依赖于服务器，它不仅可作为虚拟机间通信数据的交换场所，还可以完成对数据的加解密及提供其他密码服务；2)虚拟密码卡绑定：虚拟机和虚拟密码卡通过虚拟密码设备提供的接口建议一一对应的绑定关系；绑定关系由虚拟机id和虚拟密码设备id确定；针对云中包括大量虚拟机的场景，密码卡还支持虚拟化技术，一台物理密码设备可根据需要虚拟出多个虚拟密码卡，为服务器上不同的虚拟机所使用；3)使用密码服务：虚拟密码卡绑定完成后，虚拟机通过调用虚拟密码设备提供的接口实现对密码服务的使用，虚拟密码设备自动进行数据加解密、数据保存和身份验证操作；虚拟机和虚拟密码卡通过接口建立好一一对应的绑定关系后，虚拟机即可方便地使用虚拟密码设备提供的传输加密、完整性认证\身份鉴别、数字签名等密码服务。根据本专利技术优选的，所述步骤3)之后还包括解除绑定的操作：虚拟机销毁或虚拟机迁移时，通过调用解除绑定接口，实现对虚拟密码卡绑定的解除。根据本专利技术优选的，物理密码设备内部设置有独立的运算单元，并对外提供密码算法接口。密码算法接口包括关键接口举例：CreateVirDevice创建虚拟密码设备BindVMAndVD将虚拟机和虚拟密码设备进行绑定OpenVirDevice打开虚拟密码设备SendDataToVirDevice虚拟机发送方往虚拟密码设备中写数据ReceiveDataFromVirDevice虚拟机接收方从虚拟密码设备获取数据CreateRandom获取随机数CreateKeypair创建秘钥对AES256Encrypt256位的AES加密接口AES256Decrypt256位的AES解密接口HashMD5SUMMD5摘要算法接口RsaSignAlgorithmRSA签名算法接口本专利技术的有益效果1.本专利技术所述提高云中虚拟机间通信安全的方法，引入物理密码设备后，解决了服务器为了信息安全直接调用软件接口而带来的性能损耗，同时将密码服务集中到硬件设备后，便于统一的更新、管理和松耦合，为使用方带来便利；2.本专利技术所述提高云中虚拟机间通信安全的方法，通过引入物理密码设备对虚拟机间的通信数据进行加解密操作，将消耗资源的运算放到密码设备中进行，不占用服务器CPU和内存资源，作为独立的中间介质为云中虚拟机提供密码服务；提高服务器的工作效率，避免影响到服务器上其他程序的正常运行。附图说明图1为在服务器的PCIE槽上安插物理密码设备的示意图；图2为本专利技术所述提高云中虚拟机间通信安全的方法原理图。具体实施方式下面结合实施例和说明书附图对本专利技术做进一步说明，但不限于此。实施例1如图1、2所示。一种提高云中虚拟机间通信安全的方法，包括步骤如下：1)与服务器对接：将物理密码设备安装到服务器的PCIE槽上，服务器的驱动程序自动识别物理密码设备，根据服务器上的已创建和预计创建的虚拟机总数量对物理密码设备进行虚拟化，得到足够的虚拟密码设备为虚拟机提供服务；所述虚拟密码设备包括虚拟密码卡；物理密码设备与服务器连接后，其运行消耗的资源不依赖于服务器，它不仅可作为虚拟机间通信数据的交换场所，还可以完成对数据的加解密及提供其他密码服务；2)虚拟密码卡绑定：虚拟机和虚拟密码卡通过虚拟密码设备提供的接口建议一一对应的绑定关系；绑定关系由虚拟机id和虚拟密码设备id确定；针对云中包括大量虚拟机的场景，密码卡还支持虚拟化技术，一台物理密码设备可根据需要虚拟出多个虚拟密码卡，为服务器上不同的虚拟机所使用；3)使用密码服务：虚拟密码卡绑定完成后，虚拟机通过调用虚拟密码设备提供的接口实现对密码服务的使用，虚拟密码设备自动进行数据加解密、数据保存和身份验证操作；虚拟机和虚拟密码卡通过接口建立好一一对应的绑定关系后，虚拟机即可方便地使用虚拟密码设备提供的传输加密、完整性认证\身份鉴别、数字签名等密码服务。实施例2如实施例1所述的提高云中虚拟机间通信安全的方法，进一步的，所述步骤3)之后还包括解除绑定的操作：虚拟机销毁或虚拟机迁移时，通过调用解除绑定接口，实现对虚拟密码卡绑定的解除。本文档来自技高网...

【技术保护点】
1.一种提高云中虚拟机间通信安全的方法，其特征在于，包括步骤如下：1)与服务器对接：将物理密码设备安装到服务器的PCIE槽上，服务器的驱动程序自动识别物理密码设备，根据服务器上的已创建和预计创建的虚拟机总数量对物理密码设备进行虚拟化，得到足够的虚拟密码设备为虚拟机提供服务；所述虚拟密码设备包括虚拟密码卡；2)虚拟密码卡绑定：虚拟机和虚拟密码卡通过虚拟密码设备提供的接口建议一一对应的绑定关系；绑定关系由虚拟机id和虚拟密码设备id确定；3)使用密码服务：虚拟密码卡绑定完成后，虚拟机通过调用虚拟密码设备提供的接口实现对密码服务的使用，虚拟密码设备自动进行数据加解密、数据保存和身份验证操作。

【技术特征摘要】
1.一种提高云中虚拟机间通信安全的方法，其特征在于，包括步骤如下：1)与服务器对接：将物理密码设备安装到服务器的PCIE槽上，服务器的驱动程序自动识别物理密码设备，根据服务器上的已创建和预计创建的虚拟机总数量对物理密码设备进行虚拟化，得到足够的虚拟密码设备为虚拟机提供服务；所述虚拟密码设备包括虚拟密码卡；2)虚拟密码卡绑定：虚拟机和虚拟密码卡通过虚拟密码设备提供的接口建议一一对应的绑...

【专利技术属性】
技术研发人员：陈小龙，安立峰，孙大军，赵斌，
申请(专利权)人：山东超越数控电子股份有限公司，
类型：发明
国别省市：山东,37