用于在公共云环境中保护消费者数据的装置与方法制造方法及图纸

提供了用于确保安全云环境的方法、系统、计算机可读介质和装置，其中公共云服务提供商可以从其云服务消费者的受信计算基（TCB）中移除其代码。用于确保安全云环境的方法将虚拟机监控器（VMM）、设备、固件和物理敌对者（其中不良管理员/技术员尝试直接访问云主机硬件）保持在消费者的虚拟机（VM）TCB外部。仅仅拥有该安全VM的消费者可以修改VM或访问VM的内容（如由消费者所确定的）。由消费者所确定的）。由消费者所确定的）。

Devices and methods for protecting consumer data in a public cloud environment

【技术实现步骤摘要】
用于在公共云环境中保护消费者数据的装置与方法


[0001]实施例涉及公共云的安全性，并且具体地使得公共云服务的消费者能够确保消费者在云中的过程执行以及消费者的私有数据被保护免受其他人、包括公共云服务提供商的访问和修改。

技术介绍

[0002]术语“云计算”用于描述基于网络的计算（典型地在因特网上）。根据维基百科，“云计算按需向计算机和其它设备提供共享的处理资源和数据。云计算是一种用于使能实现对可配置的计算资源（例如网络、服务器、存储、应用和服务）的共享池的普适、按需访问的模型，所述可配置的计算资源可以在最小管理努力的情况下被迅速地供应和释放。云计算和存储解决方案向用户和企业提供用于在第三方数据中心中存储并且处理其数据的各种能力。云计算依赖于资源共享来实现连贯性和规模经济，类似于网络上的公用设施（比如电网）。”（来源：Wikipedia, https://en.wikipedia.org/wiki/Cloud_computing，于2016年8月11日被访问，引用被省略）。
[0003]高容量网络、低成本计算机和存储设备目前的可用性以及广泛采用硬件虚拟化、面向服务的架构、以及自主和效用计算已经导致云计算中的增长。公司可以通过在计算需要增加时从云服务提供商请求附加的资源来按比例放大，然后在需求减小时再次按比例缩小。
[0004]云计算提供资源即服务。“云计算提供商根据不同的模型来供应其
‘
服务
’
，所述不同的模型中按国家标准和技术局（NIST）的三个标准模型是基础设施即服务（IaaS）、平台即服务（PaaS）、以及软件即服务（SaaS）。这些模型供应增加的抽象；它们因而通常被描绘为堆栈中的层，其中基础设施即堆栈充当底层；平台即服务充当中间层；并且软件即服务充当顶层。这些层可以独立于彼此地被实现。例如，可以在不使用底层PaaS或IaaS层的情况下提供在物理机器（裸金属）上所实现的SaaS；并且相反地，可以在IaaS上运行程序并且直接访问它，而不把它包装为SaaS。”（来源：Wikipedia, https://en.wikipedia.org/wiki/Cloud_computing，于2016年8月11日被访问，引用被省略）。
[0005]“NIST对云计算的定义将服务模型定义如下：软件即服务（SaaS）。被提供给消费者的能力是使用提供商的在云基础设施上运行的应用。自各种客户端设备、通过薄客户端接口、诸如web（网络）浏览器（例如基于web（网络）的电子邮件）或程序接口可访问应用。消费者不管理或控制底层云基础设施，包括网络、服务器、操作系统、存储装置或甚至单独的应用能力，其中可能的例外是：受限的用户特定的应用配置设置。
[0006]平台即服务（PaaS）。被提供给消费者的能力是往云基础设施上部署消费者创建或获取的应用，所述应用通过使用提供商所支持的编程语言、库、服务、以及工具来被创建。消费者不管理或控制底层云基础设施，包括网络、服务器、操作系统或存储装置，但是具有对所部署的应用的控制以及可能地具有针对应用托管环境的配置设置。
[0007]基础设施即服务（IaaS）。被提供给消费者的能力是供应处理、存储、网络、以及其它基本计算资源，其中消费者能够部署并且运行任意软件，其可以包括操作系统和应用。消费者不管理或控制底层云基础设施，但是具有对操作系统、存储装置和所部署的应用的控制；并且可能地具有对选择联网组件（例如主机防火墙）的受限的控制。（来源：Wikipedia, https://en.wikipedia.org/wiki/Cloud_computing，于2016年8月11日被访问，引用被省略）。
[0008]对于云计算的一个使能实现技术是虚拟化。“虚拟化软件将物理计算设备分离成一个或多个
‘
虚拟
’
设备，其中的每一个可以被容易地使用以及管理以执行计算任务。硬件虚拟化是将计算机虚拟化为完整的硬件平台、其组件部分的某些逻辑抽象，或者仅仅是对于运行各种操作系统所需的功能性。虚拟化向用户隐藏计算平台的物理特性，代替地呈现另一抽象计算平台”，通常被称为“虚拟机”。（来源：Wikipedia, https://en.wikipedia.org/wiki/Hardware_virtualization，于2016年8月11日被访问，引用被省略）。控制虚拟化的软件被称为“超级监督器”或“虚拟机监控器”。供应并且执行超级监督器/虚拟机监控器来代表消费者创建虚拟机是由公共云服务提供商所提供的服务的示例。
附图说明
[0009]图1是一框图，其示出了典型的虚拟机环境。
[0010]图2是一框图，其示出了根据本专利技术的一个实施例的虚拟机环境。
[0011]图3是根据本专利技术的一个实施例的云服务环境的框图。
[0012]图4是一图解，其示出了可以用于实现本专利技术的实施例的装置。
[0013]图5是根据本专利技术的一个实施例的、由云服务的消费者所执行的方法的流程图。
[0014]图6是根据本专利技术的一个实施例的、由云服务提供商所执行的方法的流程图。
[0015]图7是一图解，其示出了根据本专利技术的一个实施例的消费者域映像的组分。
[0016]图8是一图解，其示出了根据本专利技术的一个实施例的数据物理地址。
[0017]图9是一图解，其示出了根据本专利技术的一个实施例的虚拟到物理存储器映射。
[0018]图10是一图解，其示出了根据本专利技术的一个实施例的另一虚拟到物理存储器映射。
[0019]图11是一图解，其示出了根据本专利技术的一个实施例的通过云服务提供商所进行的、用于将域映像提供给消费者的初始步骤。
[0020]图12是一图解，其示出了根据本专利技术的一个实施例的在消费者和云服务提供商之间的、用于将域映像提供给消费者的消息。
[0021]图13是一图解，其示出了根据本专利技术的一个实施例的、消费者提供经加密的域映像。
[0022]图14是一图解，其示出了根据本专利技术的一个实施例的在云服务环境的组件之间的、用于对域映像进行加密并且建立密钥域的消息。
[0023]图15是一图解，其示出了根据本专利技术的一个实施例的在云服务环境的组件之间的、用于将消费者的经加密的域映像加载到能够有密钥域的服务器的存储器中的消息。
[0024]图16是一图解，其示出了根据本专利技术的一个实施例的密钥域的初始化。
[0025]图17是根据本专利技术的一个实施例的在执行“创建密钥域”操作中能够有密钥域的
服务器的CPU的操作方法的流程图。
[0026]图18是一图解，其示出了根据本专利技术的一个实施例的域映像的验证。
[0027]图19是一图解，其示出了根据本专利技术的一个实施例的在云服务环境的组件之间的、用于验证域映像的消息。
[0028]图20是根据本专利技术的一个实施例的在执行“散列密钥域”操作中能够有密钥域的服务器的CPU的操作方法的流程图。
[0029本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.至少一个计算机可读介质，包括指令，如果由处理器执行所述指令，则使计算机能够：响应于请求来自云服务提供商的服务，接收域管理器镜像和存储器位置相关地址信息；验证所述域管理器镜像；识别密钥域密钥，所述密钥域密钥要用于加密存储在具有密钥域能力的服务器的密钥域中的数据，其中所述密钥域包括所述具有密钥域能力的服务器的存储器的多个存储器位置；使用所述密钥域密钥和所述存储器位置相关地址信息来加密域启动镜像，使得经加密的域启动镜像被密码绑定到所述密钥域的至少一个存储器位置；加密所述密钥域密钥；以及将所述经加密的域启动镜像和经加密的密钥域密钥发送给所述具有密钥域能力的服务器，以使所述具有密钥域能力的服务器的处理器执行创建所述密钥域的指令。2.如权利要求1所述的至少一个计算机可读介质，其中：所述存储器位置相关地址信息包括所述具有密钥域能力的服务器的存储器中的入口点地址；并且所述经加密的域启动镜像被密码绑定以在所述入口点地址处开始执行。3.如权利要求1所述的至少一个计算机可读介质，其中：所述经加密的域启动镜像包括所述域管理器镜像；并且，所述存储器位置相关地址信息包括将通过执行所述域管理器镜像创建的域管理器的虚拟地址映射到所述密钥域的物理存储器位置的页表结构。4.如权利要求1所述的至少一个计算机可读介质，其中所述指令进一步使所述计算机能够：在所述具有密钥域能力的服务器的处理器能够切换到所述密钥域之前，基于预期存在于所述具有密钥域能力的服务器中的处理器状态来计算散列值；以及将所述散列值发送到所述具有密钥域能力的服务器。5.如权利要求1所述的至少一个计算机可读介质，其中所述指令进一步使所述计算机能够：修改所述域管理器镜像以包括由域镜像的剩余部分提供的功能的秘密密钥，其中所述域镜像的第一部分和经修改的域管理器镜像被包括在所述经加密的域启动镜像中。6.如权利要求1所述的至少一个计算机可读介质，其中：加密所述密钥域密钥的操作包括用所述具有密钥域能力的服务器的公钥来加密所述密钥域密钥。7.如权利要求1所述的至少一个计算机可读介质，其中所述指令进一步使所述计算机能够：使用所述密钥域密钥计算所述密钥域的至少一个存储器位置的完整性校验值；以及将所述完整性校验值发送到所述具有密钥域能力的服务器。8.一种计算机，包括：处理器；耦合到所述处理器的至少一个计算机可读介质；以及
所述计算机可读介质中的指令，如果由所述处理器执行所述指令，则使所述计算机能够：响应于请求来自云服务提供商的服务，接收域管理器镜像和存储器位置相关地址信息；验证所述域管理器镜像；识别密钥域密钥，所述密钥域密钥要用于加密存储在具有密钥域能力的服务器的密钥域中的数据，其中所述密钥域包括所述具有密钥域能力的服务器的存储器的多个存储器位置；使用所述密钥域密钥和所述存储器位置相关地址信息来加密域启动镜像，使得经加密的域启动镜像被密码绑定到所述密钥域的至少一个存储器位置；加密所述密钥域密钥；以及将所述经加密的域启动镜像和经加密的密钥域密钥发送给所述具有密钥域能力的服务器，以使所述具有密钥域能力的服务器的处理器执行创建所述密钥域的指令。9.如权利要求8所述...

【专利技术属性】
技术研发人员：DM德拉姆，RL萨希塔，BE亨特利，NM德什潘德，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：