CN104092743A - 云环境下用户数据的保护方法及系统 - Google Patents

Abstract

本发明公开了一种云环境下用户数据的保护方法及系统，其中，保护方法包括以下步骤：接收用户通过第一网络发送的数据传输请求，并通过安SSL安全连接方式接收用户传输的数据；通过安全虚拟监督系统对数据进行加密，并通过云平台中运行的应用程序将加密后的数据拷贝至预设区域以进行操作；当数据传输至云平台的云存储设备进行保存时，读取预设区域中加密后的数据，并通过第二网络与SSL安全连接方式将从预设区域中读取的数据传输至云存储设备中。根据本发明实施例的方法，通过SSL安全连接方式进行数据传输，且通过安全虚拟监督系统对用户数据进行保护，以及对用户数据加密后进行存储，很好地保证了用户数据的安全性和私密性。

Description

云环境下用户数据的保护方法及系统

技术领域

本发明涉及系统安全技术领域，特别涉及一种云环境下用户数据的保护方法及系统。

背景技术

在云端服务中，虚拟化技术是根本与核心，也是云端服务最重要、最创新的部分，但其也是云端服务私密性问题的根源。由于云端服务使用的物理计算与存储介质不属于用户所有，当用户使用云端服务时，云端服务提供商会具有数据有限访问权。同时由于云端服务的虚拟化特性，正常用户和恶意用户会使用同一朵云中的资源，企业和企业的竞争对手也会使用同一朵云上的云服务，导致在云端上，恶意用户、企业的竞争对手乃至云端服务提供商都有可能会非法访问并窃取云端服务用户的私密数据。其中，在Gartner的一篇报告中指出，云计算中最重要的安全挑战是云服务提供商对其物理设备上的客户数据即用户数据的访问对于用户来说是不可见，导致无法保证用户数据的安全性和私密性。

发明内容

本申请是基于发明人对以下问题的认识和发现作出的：

近些年来，计算机科学和互联网技术飞速发展，大型企业、大型研究机构等拥有的各式各样的IT(Internet Technology，互联网技术)资源及IT基础架构也日趋庞大。然而，这些庞大的计算资源、存储资源、数据资源和软件资源等分散在网络各处，利用率低下，造成资源的浪费。因此，如何合理有效的利用已有的物理资源，避免浪费和重复建设，尽量提高资源利用率，使得这些资源创造出更多的价值一直是这些物理资源所有者关注的焦点。另外，众多中小企业、中小研究机构与个人急切需要各种IT资源，但却难以承担物理资源的采购、维护等开销，或者缺乏人员对这些IT资源进行维护与配置。因此，如何将大型企业与研究机构等拥有的各种大量IT物理资源整合起来，为用户提供一个虚拟的、可配置的、可扩展的、稳定的计算和存储虚拟环境，以尽量提高物理资源的利用率，就成为当前一个亟待解决的重要问题。

2007年9月，云计算作为一种全新的商业计算服务模式迅速发展起来，它将大量的计算机通过网络连接起来构成一个资源池，并使用软件对这些计算机进行统一抽象和自动化管理。云可以根据用户的需求动态的为用户分配计算能力、存储空间和软件服务等。具体地，云计算整体架构主要分为四个部分：基础设施层(IaaS)、平台层(PaaS)、软件服务层(SaaS)和对以上三层进行管理的云管理层。其中，基础设施层包含底层大量同构或是异构的物理计算与存储等资源，并对这些物理资源进行虚拟化，为上层提供统一的资源调度和使用接口；平台层负责提供操作系统及编程框架；软件服务层则为云服务用户提供一定的软件支持，进行软件的自动化安装等，使得用户申请到计算与存储资源的同时就可以进行各自的业务而无需自行安装与配置软件；云管理层则负责资源调度、管理与备份，用户注册、监控与计费等管理问题。

综上所述，“云”式的服务模式非常好的解决了上述问题，因此云存储，云计算等云端服务受到越来越多的关注。因此，国内外许多IT企业都推出了各自的云平台并为个人用户和企业用户提供多种多样的云服务。例如有针对个人的在线云文档服务Google Docs、在线云笔记服务Evernote、有道云笔记、在线云存储服务Dropbox、盛大网盘Everbox等；也有针对企业用户的云主机服务Google Cloud Platform、Sina AppEngine、云存储服务Amazon S3、微软的Azure Storage等。其中，许多著名的企业级应用都部署在这些平台上，如Dropbox、UbuntuOne、Tumblr，甚至Amazon自身的各种全球应用均基于Amazon S3。这些IT企业使用虚拟化技术将自身拥有的计算与存储资源整合为一个云，并为每个用户在云中分配一定的资源进行服务。

云端服务具有高度的弹性、可扩展性和可用性，随时随地可以访问，且用户不需要购买物理硬件，不需要对计算存储等环境进行配置、管理和维护。另外，由于云端服务充分整合了计算与存储资源，极大的提高了资源的利用率，充分降低了成本，用户仅需要为自己实际使用的资源进行少量付费就可以即时获得配置完备的云端服务。

由于云端服务的这些优良特性，越来越多的个人和企业用户将其应用与数据迁移到云端上来，但更多的用户却保持观望的态度。根据IDC(Internet Data Center，即互联网数据中心)调查结果显示人们对于按需云计算问题的担心程度排序中，安全问题排在第一位，其次才是性能、可用性、集成问题和可定制能力等问题。另外，根据国内专业调研机构CBI Research的相关数据表明：目前大约有80％左右的企业基于数据安全性的考虑，并不愿意将企业内部数据放在公有云上。对于个人用户而言，如何保证云平台上的个人隐私不被窃取和滥用是人们关注的焦点。对于企业用户而言，数据是企业的重要资产乃至核心竞争力，如何保证企业数据和服务在云平台上的私密性是一个企业决定是否使用云端服务的关键。然而，由于云计算中最重要的安全挑战是云服务提供商对其物理设备上的客户数据即用户数据的访问对于用户来说是不可见，即无法很好地保证用户数据的安全性和私密性，导致用户存在一定顾虑。

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。为此，本发明的一个目的在于提出一种对用户透明的保护用户数据的安全性和私密性的云环境下用户数据的保护方法。

本发明的另一个目的在于提出一种云环境下用户数据的保护系统。

为达到上述目的，本发明一方面实施例提出了一种云环境下用户数据的保护方法，包括以下步骤：接收用户通过第一网络发送的数据传输请求，并通过安全套阶层SSL(Secure Sockets Layer，安全套接层)安全连接方式接收所述用户传输的数据；通过安全虚拟监督系统对所述数据进行加密，并通过云平台中运行的应用程序将加密后的数据拷贝至预设区域以进行操作；以及当所述数据传输至所述云平台的云存储设备进行保存时，读取所述预设区域中加密后的数据，并通过第二网络与所述SSL安全连接方式将从所述预设区域中读取的数据传输至所述云存储设备中。

根据本发明实施例的云环境下用户数据的保护方法，通过SSL安全连接方式进行数据传输，以实现用户与云平台网络数据交互时，保证用户数据的私密性，并且通过安全虚拟监督系统对数据加密，并拷贝至预设区域，从而对运行中的用户应用程序进行保护，将内存中的实际物理地址和每个用户的虚拟地址匹配起来，防止系统管理员或者其他恶意用户访问用户在内存中的数据，以实现用户应用程序在云平台上运行时，保证用户数据的安全性和私密性。另外，通过安全虚拟监督系统，使用户实际存储在云平台上的数据为密文，当用户读出数据时，再进行解密返回给用户，整个过程对于用户是透明的，云平台管理员及其他恶意用户均无法截获和窃取正常用户的私密数据，更好地保证了用户数据的安全性和私密性。

另外，根据本发明上述实施例的云环境下用户数据的保护方法还可以具有如下附加的技术特征：

在本发明的一个实施例中，所述云平台中的应用程序部署在虚拟机中。

进一步地，在本发明的一个实施例中，该方法还包括：当所述用户访问所述云存储设备中的数据时，接收所述用户通过所述第一网络发送的数据访问请求；通过所述第二网络从所述云存储设备中获取所述数据，并通过所述安全虚拟监督系统进行解密，以通过所述第一网络发送给所述用户。

进一步地，在本发明的一个实施例中，所述接收用户通过第一网络发送的数据传输请求具体包括：接收所述用户请求文件，并通过分块形成多个文件块；向第一服务器请求每个文件块所在的第二服务器的地址与在所述第二服务器上的相应的位置；以及与所述第二服务器进行数据交互，以读取和写入所述每个文件块的数据，并反馈给所述用户。

另外，在本发明的一个实施例中，通过所述SSL安全连接方式写入所述文件块的数据。

本发明另一方面实施例提出的一种云环境下用户数据的保护系统，包括：接收模块，用于接收用户通过第一网络发送的数据传输请求，并通过安全套阶层SSL安全连接方式接收所述用户传输的数据；控制模块，所述控制模块与所述接收模块相连，所述控制模块包括安全虚拟监督系统，用于通过所述安全虚拟监督系统对所述数据进行加密和解密，并通过云平台中运行的应用程序将加密后的数据拷贝至预设区域以进行操作；以及传输模块，所述传输模块与所述控制模块相连，当所述数据传输至所述云平台的云存储设备进行保存时，用于读取所述预设区域中加密后的数据，并通过第二网络与所述SSL安全连接方式将从所述预设区域中读取的数据传输至所述云存储设备中。

根据本发明实施例的云环境下用户数据的保护系统，通过SSL安全连接方式进行数据传输，以实现用户与云平台网络数据交互时，保证用户数据的私密性，并且通过安全虚拟监督系统对数据加密，并拷贝至预设区域，从而对运行中的用户应用程序进行保护，将内存中的实际物理地址和每个用户的虚拟地址匹配起来，防止系统管理员或者其他恶意用户访问用户在内存中的数据，以实现用户应用程序在云平台上运行时，保证用户数据的安全性和私密性。另外，通过安全虚拟监督系统，使用户实际存储在云平台上的数据为密文，当用户读出数据时，再进行解密返回给用户，整个过程对于用户是透明的，云平台管理员及其他恶意用户均无法截获和窃取正常用户的私密数据，更好地保证了用户数据的安全性和私密性。

另外，根据本发明上述实施例的云环境下用户数据的保护系统还可以具有如下附加的技术特征：

其中，在本发明的一个实施例中，所述云平台中的应用程序部署在虚拟机中。

进一步地，在本发明的一个实施例中，所述接收模块还用于当所述用户访问所述云存储设备中的数据时，接收所述用户通过所述第一网络发送的数据访问请求。

进一步地，在本发明的一个实施例中，所述系统还包括：获取模块，所述获取模块与所述控制模块相连，用于通过所述第二网络从所述云存储设备中获取所述数据，并通过所述控制模块进行解密，以通过所述第一网络发送给所述用户。

进一步地，在本发明的一个实施例中，所述接收模块还用于接收所述用户请求文件，并通过分块形成多个文件块，并向第一服务器请求每个文件块所在的第二服务器的地址与在所述第二服务器上的相应的位置，以及与所述第二服务器进行数据交互，以读取和写入所述每个文件块的数据，并反馈给所述用户。

另外，在本发明的一个实施例中，所述接收模块通过所述SSL安全连接方式写入所述文件块的数据。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为根据本发明实施例的云环境下用户数据的保护方法的流程图；

图2(a)为根据本发明一个具体实施例的云环境下用户数据的保护方法的示意图；

图2(b)为根据本发明一个具体实施例的云环境下用户数据的保护系统的结构示意图；

图3(a)为根据本发明另一个实施例的云环境下用户数据的保护方法的示意图；

图3(b)为根据本发明另一个实施例的云环境下用户数据的保护系统的结构示意图；

图4为根据本发明一个实施例的用户读取数据的示意图；

图5为根据本发明另一个具体实施例的接收数据的示意图；

图6(a)为根据本发明一个实施例的向第一服务器请求文件的示意图；

图6(b)为根据本发明一个实施例的部分云环境下用户数据的保护系统的结构示意图；

图7(a)为根据本发明一个实施例的与第二服务器数据交互的示意图；

图7(b)为根据本发明一个实施例的另一部分云环境下用户数据的保护系统的结构示意图；

图8为根据本发明一个实施例的向云存储设备写入数据的示意图；

图9为根据本发明一个实施例的从云存储设备读取数据的示意图；

图10为根据本发明实施例的云环境下用户数据的保护系统的结构示意图；以及

图11为根据本发明一个具体实施例的云环境下用户数据的保护系统的结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

下文的公开提供了许多不同的实施例或例子用来实现本发明的不同结构。为了简化本发明的公开，下文中对特定例子的部件和设置进行描述。当然，它们仅仅为示例，并且目的不在于限制本发明。此外，本发明可以在不同例子中重复参考数字和/或字母。这种重复是为了简化和清楚的目的，其本身不指示所讨论各种实施例和/或设置之间的关系。此外，本发明提供了的各种特定的工艺和材料的例子，但是本领域普通技术人员可以意识到其他工艺的可应用于性和/或其他材料的使用。另外，以下描述的第一特征在第二特征之“上”的结构可以包括第一和第二特征形成为直接接触的实施例，也可以包括另外的特征形成在第一和第二特征之间的实施例，这样第一和第二特征可能不是直接接触。

在本发明的描述中，需要说明的是，除非另有规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是机械连接或电连接，也可以是两个元件内部的连通，可以是直接相连，也可以通过中间媒介间接相连，对于本领域的普通技术人员而言，可以根据具体情况理解上述术语的具体含义。

下面参照附图描述根据本发明实施例提出的云环境下用户数据的保护方法及保护系统，首先将参照附图描述根据本发明实施例提出的云环境下用户数据的保护方法。

为了解决相关技术中不能有效的在云端保护用户数据的私密性，本发明提出了一种云环境下用户数据的保护方法。如图1所示，该云环境下用户数据的保护方法包括以下步骤：

S101，接收用户通过第一网络发送的数据传输请求，并通过安全套阶层SSL安全连接方式接收用户传输的数据。

其中，为了保护用户数据在网络传输上的私密性，在用户数据传输过程中，仅将明文的用户数据暴露给用户本身和云平台中的应用程序部分，即在云平台中，确保明文的用户数据仅会出现在用户态内存空间中而不出现在内核态地址空间中。因此，在本发明的一个实施例中，参照图2所示，用户数据在用户即用户客户端与云平台和云平台内部进行传输时，通过SSL安全连接方式实现。具体地，SSL安全连接可以对数据传输的双方进行认证，确保数据发送目的地的正确性，可以对数据进行加密，防止数据在传输途中被窃取，可以维护数据的完整性，确保数据在传输过程中不被改变。

进一步地，参照图2(a)所示，由于使用了SSL安全连接，用户数据在传输前会先进行认证，传输时会在用户客户端的应用程序中的SSL模块中就被加密，之后再传递给用户客户端操作系统与硬件并通过第一网络进行传输，接收方即云平台的分布式文件系统硬件与操作系统得到数据后提交给应用程序的用户数据写入模块，用户数据在接收方的应用程序的SSL模块中被解密。其中，P指明文的用户数据，C指密文即加密后的用户数据。因此，在数据传输的整个过程中，操作系统与网络中的用户数据均为密文形式，明文形式的数据仅存在与云平台中的应用程序的用户态内存空间之中，可以有效防止攻击者通过伪装为数据接收者、网络监听、修改传输数据等手段窃取用户数据，可以防止云平台管理员监守自盗，利用操作系统或硬件在网络传输时窃取用户数据，能够保证用户数据在网络传输中的私密性。

S102，通过安全虚拟监督系统对数据进行加密，并通过云平台中运行的应用程序将加密后的数据拷贝至预设区域以进行操作。

进一步地，在本发明的一个实施例中，云平台中的应用程序部署在虚拟机中。

具体地，为了保护用户数据运行时的数据私密性，需要将操作系统与应用程序隔离开来。因此，在本发明的一个实施例中，参照图2(a)所示，本发明实施例在云平台中采用虚拟化的方法，将云平台中的应用都部署在虚拟机之中，并通过安全虚拟监督系统对虚拟机和物理机来进行管理和控制。其中，通过安全虚拟监督系统的管理，实现不允许虚拟机操作系统访问应用程序的用户态内存空间的目的。当云平台的操作系统为了对云平台中运行的应用程序提供系统服务需要对用户态内存空间访问操作时，安全虚拟监督系统将透明的把应用程序用户态内存空间中的数据即用户数据进行加密，然后将加密后的数据拷贝到预设区域中例如一个安全虚拟监督系统和操作系统共享的缓冲区，再由操作系统进行访问，以进行操作，实现了操作系统与应用程序的隔离，从而确保了用户数据在内存中的私密性。

S103，当数据传输至云平台的云存储设备进行保存时，读取预设区域中加密后的数据，并通过第二网络与SSL安全连接方式将从预设区域中读取的数据传输至云存储设备中。

其中，为了保护用户数据在存储时的私密性，因此，在本发明的一个实施例中，参照图3(a)所示，当云平台中的应用程序要将用户数据写入存储介质例如云存储设备时，安全虚拟监督系统会将用户数据加密，并将加密后的数据拷贝到一个安全虚拟监督系统与操作系统共享的缓冲区即预设区域中，其次操作系统读取这个缓冲区中的数据，并将读取的数据写入云存储设备中，即读取预设区域中加密后的数据，并通过第二网络与SSL安全连接方式传输至云平台的云存储设备中。在本发明的实施例中，存储在存储介质中的用户数据均为密文，因此存储介质即使发生了物理性的丢失也能确保用户数据的私密性。另外，在本发明实施例中，上述用户可以是个人或企业，上述第一网络以及第二网络可以是无线网络或有线网络。

另外，在本发明的一个实施例中，参照图4所示，用户程序使用数据时，先由操作系统读出存储介质中的数据，再经由安全虚拟监督系统进行解密后交由用户程序使用，具体包括以下步骤：

S401，当用户访问云存储设备中的数据时，接收用户通过第一网络发送的数据访问请求。

S402，通过第二网络从云存储设备中获取数据，并通过安全虚拟监督系统进行解密，以通过第一网络发送给用户。

进一步地，在本发明的一个实施例中，参照图5所示，接收用户通过第一网络发送的数据传输请求，具体包括以下步骤：

S501，接收用户请求文件，并通过分块形成多个文件块。

S502，向第一服务器请求每个文件块所在的第二服务器的地址与在第二服务器上的相应的位置。以及

S503，与第二服务器进行数据交互，以读取和写入每个文件块的数据，并反馈给所述用户。

具体而言，在本发明的一个实施例中，分布式文件系统是云平台的核心，因此需要对分布式文件系统的客户端和块数据服务器进行保护。因此，需要在分布式文件系统客户端和块数据服务器上部署安全虚拟机监督系统，而元数据服务器上则不需要部署安全虚拟机监督系统。具体地，参照图6(a)所示，在用户通过用户客户端向分布式文件系统客户端请求文件服务的时候，首先分布式文件系统客户端会向第一服务器即元数据服务器请求文件的元数据信息及文件块存储位置等信息。由于这个过程中并不涉及到用户文件的实际数据，所以在这个过程中不需要进行任何保护，所有的操作完全按照原有的分布式文件系统的流程进行。另外，在这个过程中，用户客户端首先向分布式文件系统客户端请求文件，分布式文件系统客户端会将文件进行分块，以形成多个文件块，并向第一服务器请求每个文件块所在的第二服务器即块服务器的地址与每个文件块在相应第二服务器上的位置，并且第一服务器向分布式文件系统客户端回馈这些信息，以完成文件元数据信息的交互。进一步地，分布式文件系统客户端得到文件元信息之后，与指定的第二服务器进行交互，以读写文件数据块即每个文件块的数据，并将读写后的文件信息传递给用户客户端。

进一步地，在本发明的一个实施例中，参照图7(a)所示，通过SSL安全连接方式写入文件块的数据。

其中，写入文件数据块即文件块的数据时，用户客户端的文件数据通过用户客户端的SSL模块进行加密传输，通过操作系统和硬件与第一网络传输到分布式文件系统客户端后再经过分布式文件系统客户端的SSL模块进行解密。进一步地，在分布式文件系统客户端中，文件会被进行分块等操作，其次通过分布式文件系统客户端的SSL模块进行加密后通过虚拟机操作系统和硬件与第二网络传输到第二服务器，再经过第二服务器的SSL模块解密，解密后的数据将被写入到第二服务器的本地硬盘之中。另外，在进行写入数据的系统调用时，会被安全虚拟机监督系统截获，安全虚拟机监督系统将存在与用户空间的文件数据进行加密，并将其拷贝到一个由安全虚拟机监督系统与虚拟机操作系统共享的缓冲区即预设区域中，其次将系统调用移交至虚拟机操作系统执行，因此写入到硬盘中的数据将是密文。在本发明的实施例中，在整个用户文件数据传输的过程中，SSL模块的存在保证了用户数据在各个应用程序间进行传递时，端到端的数据安全性和私密性。另外，通过在块数据服务器中将文件数据加密写入硬盘，从而保证了数据在物理硬盘上的安全性和私密性。

本发明实施例的方法可以确保用户每个文件数据块在网络传输、内存访问、硬盘存储这整个过程中的安全性与私密性，使攻击者即使获得了操作系统管理员权限，仍然无法对用户数据的安全性和私密性造成危害。然而，在整个传输过程中，用户数据在内存中的安全性和私密性却没有收到任何保护，因此下面将对用户数据在内存中的保护进行详细描述。

在此，将对用户数据在内存中的保护的两个子问题进行详细描述。其中，两个子问题分别为操作系统与应用程序的隔离问题和在DMA(Direct Memory Access，直接内存存取)过程中的用户数据的保护问题。首先将参照附图描述操作系统与应用程序的隔离问题。

具体地，相关技术中，现有的应用程序进程都会各自拥有独立的内存地址空间(虚拟地址空间)而操作系统会保留一部分内存地址空间(内核地址空间)仅供其自身使用。对于每一个应用程序进程来说内核地址空间的地址分布是相同的，除去内核地址空间外的虚拟地址空间被称为用户地址空间。对于应用程序进程来说，其自身仅能访问用户地址空间的内容而不能直接访问内核地址空间，如果需要访问内核地址空间，则需要使用操作系统提供的各种系统调用，在进行系统调用时，进程会从用户态切换至内核态，由操作系统来实现内核地址空间的访问操作，在系统调用返回时，应用程序进程会从内核态切换回用户态继续执行。但是，如果如上述所说，则操作系统却可以直接访问整个虚拟地址空间中的内容，导致无法保证用户数据的安全性和私密性。

进一步地，由于应用程序进程各自拥有独立的内存地址空间，但实际的物理内存地址空间仅有一个，所以每个应用程序进程会关联一个页表，这个页表保存了该应用程序进程的虚拟地址空间到实际的物理内存地址空间的地址映射。

具体地，对于每个应用程序进程来说，它的数据并非被其自身独自占有，操作系统可以访问所有应用程序进程的用户地址空间，所以每个应用程序进程的数据对于操作系统来说都是可见的。因此，如果攻击者获得了操作系统管理员的权限，则可以很容易的窃取到应用程序的各种数据信息。需要注意的是，现代商用操作系统的代码量庞大，接口众多，操作系统中的各种驱动程序良莠不齐、漏洞很多，所以操作系统很容易被攻破，导致攻击者获得操作系统管理员权限。综上所述，让操作系统可以直接访问到应用程序进程的用户地址空间的内容是非常不安全的。因此，为了保证用户数据的私密性，本发明实施例采用安全虚拟监督系统对虚拟机操作系统和应用程序之间做了良好的隔离。

具体而言，本发明实施例通过使用安全虚拟监督系统之后，受保护的应用程序进程会关联两个页表，一个是原始页表，另一个是仅包含内核地址空间映射的影子页表。其中，应用程序进程在用户态时使用原始页表，在内核态时使用影子页表。在本发明的一个实施例中，参照图8和9所示，当应用程序进程在内核态和用户态之间切换时会被安全虚拟监督系统所截获，安全虚拟监督系统负责切换应用程序的原始页表与影子页表。因此，当应用程序进程进行系统调用后在内核态运行时，由于使用了影子页表，影子页表中并不包含用户态地址空间的映射表项，所以操作系统不可能访问到应用程序进程用户态地址空间中的任何数据，从而严格的将操作系统与应用程序隔离开来，使攻击者即使获得了操作系统管理员权限，仍然无法威胁到用户数据的安全性和私密性，并且对于那些需要在内核态访问用户态地址空间数据的系统调用，本发明实施例通过安全虚拟监督系统对其进行截获，以将这些数据从用户态地址空间拷贝到内核态地址空间或从内核态地址空间拷贝到用户态地址空间，并在拷贝的过程中对于涉及到的用户文件数据的系统调用(例如：sys_write向云存储设备写入数据、sys_read向云存储设备读取数据等)中的数据进行加密或者解密处理以保证用户数据的安全性和私密性。

另外，相关技术中的DMA数据交换操作在应用程序进程的内核态地址空间和用户态地址空间均可进行。由于在DMA过程中可以任意访问应用程序进程的用户态地址空间，导致攻击者可以通过DMA的方式来窃取用户位于内存中的数据。其中，在相关技术中，可以通过硬件相应的技术(例如Intel的VT-d和AMD的SVM)保证虚拟计算平台上各个虚拟机间的DMA隔离，以确保一个虚拟机不会对另一个虚拟机的内存地址空间进行DMA访问，所以本发明实施例仅需要将一个虚拟机内部的各个应用程序进程及虚拟机操作系统的DMA访问隔离开来即可。

具体地，对于容许进行DMA访问的内存页面，其映射信息会保存在IOMMU的映射表中，只有通过该映射表进行查找才能进行相应的DMA访问操作。因此，在一个需要被保护的应用程序进程启动时，本发明实施例通过安全虚拟监督系统来检查这个映射表，删除受保护的应用程序用户地址空间的映射信息，仅保留内核地址空间的映射信息，并且在这个映射表更新时，安全虚拟监督系统会对更新的映射信息进行检查，以确保不会有受保护的应用程序进程用户地址空间的映射被添加进来，从而实现DMA访问仅能在内核态地址空间中进行的目的。另外，通过上述的操作系统与应用程序隔离问题的描述，从而得知拷贝到内核态的用户数据均进行了加密处理，全部为密文，所以在这种情况下非法的DMA访问也不会对用户数据的安全性和私密性造成影响，很好地保证了用户数据的安全性和私密性。

根据本发明实施例的云环境下用户数据的保护方法，通过SSL安全连接方式进行数据传输，以实现用户与云平台网络数据交互时，保证用户数据的私密性，并且通过安全虚拟监督系统对数据加密，并拷贝至预设区域，从而对运行中的用户应用程序进行保护，将内存中的实际物理地址和每个用户的虚拟地址匹配起来，防止系统管理员或者其他恶意用户访问用户在内存中的数据，以实现用户应用程序在云平台上运行时，保证用户数据的安全性和私密性。另外，通过安全虚拟监督系统，使用户实际存储在云平台上的数据为密文，当用户读出数据时，再进行解密返回给用户，整个过程对于用户是透明的，云平台管理员及其他恶意用户均无法截获和窃取正常用户的私密数据，很好地保证了用户数据的安全性和私密性。

图10为根据本发明实施例的云环境下用户数据的保护系统的结构示意图。参照图10所示，根据本发明实施例的云环境下用户数据的保护系统100包括：接收模块10、控制模块20和传输模块30。

其中，接收模块10用于接收用户通过第一网络发送的数据传输请求，并通过安全套阶层SSL安全连接方式接收用户传输的数据。控制模块20与接收模块10相连，控制模块20包括安全虚拟监督系统206，控制模块20用于通过安全虚拟监督系统206对数据进行加密和解密，并通过云平台中运行的应用程序将加密后的数据拷贝至预设区域以进行操作。传输模块30与控制模块20相连，当数据传输至云平台的云存储设备207进行保存时，传输模块30用于读取预设区域中加密后的数据，并通过第二网络与SSL安全连接方式将从预设区域中读取的数据传输至云存储设备207中。另外，在本发明的一个实施例中，云平台40的应用程序部署在虚拟机中。本发明实施例的保护方法，通过SSL安全连接方式进行数据传输，并通过安全虚拟监督系统对数据加密，并拷贝至预设区域，且对数据加密后进行存储，很好地保证了数据的安全性与私密性。

具体地，为了保护用户数据在网络传输上的私密性，在用户数据传输过程中，仅将明文的用户数据暴露给用户本身和云平台40中的应用程序部分，即在云平台40中，确保明文的用户数据仅会出现在用户态内存空间中而不出现在内核态地址空间中。因此，在本发明的一个实施例中，参照图2(b)所示，用户数据在用户即用户客户端201与云平台40和云平台40内部进行传输时，通过SSL安全连接方式实现。具体地，SSL安全连接可以对数据传输的双方进行认证，确保数据发送目的地的正确性，可以对数据进行加密，防止数据在传输途中被窃取，可以维护数据的完整性，确保数据在传输过程中不被改变。

进一步地，参照图2(b)所示，由于使用了SSL安全连接，用户数据在传输前会先进行认证，传输时会在用户客户端201的应用程序中的SSL模块202中就被加密，之后再传递给用户客户端操作系统与硬件并通过第一网络203进行传输，接收方即云平台40的分布式文件系统硬件与操作系统得到数据后提交给应用程序的用户数据写入模块204，用户数据在接收方的应用程序的SSL模块205中被解密。其中，P指明文的用户数据，C指密文即加密后的用户数据。因此，在数据传输的整个过程中，操作系统与网络中的用户数据均为密文形式，明文形式的数据仅存在与云平台40中的应用程序的用户态内存空间之中，可以有效防止攻击者通过伪装为数据接收者、网络监听、修改传输数据等手段窃取用户数据，可以防止云平台40管理员监守自盗，利用操作系统或硬件在网络传输时窃取用户数据，能够保证用户数据在网络传输中的私密性。

进一步地，在本发明的一个实施例中，云平台40中的应用程序部署在虚拟机中。

具体地，为了保护用户数据运行时的数据私密性，需要将操作系统与应用程序隔离开来。因此，在本发明的一个实施例中，参照图2(b)所示，本发明实施例在云平台40中采用虚拟化的方法，将云平台40中的应用都部署在虚拟机之中，并通过安全虚拟监督系统206对虚拟机和物理机来进行管理和控制。其中，通过安全虚拟监督系统206的管理，实现不允许虚拟机操作系统访问应用程序的用户态内存空间的目的。当云平台40的操作系统为了对云平台中运行的应用程序提供系统服务需要对用户态内存空间访问操作时，安全虚拟监督系统206将透明的把应用程序用户态内存空间中的数据即用户数据进行加密，然后将加密后的数据拷贝到预设区域中例如一个安全虚拟监督系统206和操作系统共享的缓冲区，再由操作系统进行访问，以进行操作，实现了操作系统与应用程序的隔离，从而确保了用户数据在内存中的私密性。

其中，为了保护用户数据在存储时的私密性，因此，在本发明的一个实施例中，参照图3(b)所示，当云平台40中的应用程序要将用户数据写入存储介质例如云存储设备207时，安全虚拟监督系统206会将用户数据加密，并将加密后的数据拷贝到一个安全虚拟监督系统206与操作系统共享的缓冲区即预设区域中，其次操作系统读取这个缓冲区中的数据，并将读取的数据写入云存储设备207中，即读取预设区域中加密后的数据，并通过第二网络与SSL安全连接方式传输至云平台40的云存储设备207中。在本发明的实施例中，存储在存储介质中的用户数据均为密文，因此存储介质即使发生了物理性的丢失也能确保用户数据的私密性。另外，在本发明实施例中，上述用户可以是个人或企业，上述第一网络以及第二网络可以是无线网络或有线网络。

进一步地，在本发明的一个实施例中，参照图10所示，接收模块10还用于当用户访问云存储设备207中的数据时，接收用户通过第一网络203发送的数据访问请求。

进一步地，在本发明的一个实施例中，参照图11所示，本发明实施例的云环境下用户数据的保护系统100还包括：获取模块50。获取模块50与控制模块20相连，获取模块50用于通过第二网络从云存储设备207中获取数据，并通过控制模块20进行解密，以通过第一网络203发送给用户。

进一步地，在本发明的一个实施例中，参照图11所示，接收模块10还用于接收用户请求文件，并通过分块形成多个文件块，且向第一服务器602请求每个文件块所在的第二服务器603的地址与在第二服务器603上的相应的位置，以及与第二服务器603进行数据交互，以读取和写入每个文件块的数据，并反馈给用户。其中，在本发明的一个实施例中，接收模块10通过SSL安全连接方式写入文件块的数据。

具体而言，在本发明的一个实施例中，分布式文件系统是云平台40的核心，因此需要对分布式文件系统的客户端和块数据服务器进行保护。因此，需要在分布式文件系统客户端601和块数据服务器上部署安全虚拟机监督系统206，而元数据服务器上则不需要部署安全虚拟机监督系统206。具体地，参照图6(b)所示，在用户通过用户客户端201向分布式文件系统客户端601请求文件服务的时候，首先分布式文件系统客户端601会向第一服务器602即元数据服务器请求文件的元数据信息及文件块存储位置等信息。由于这个过程中并不涉及到用户文件的实际数据，所以在这个过程中不需要进行任何保护，所有的操作完全按照原有的分布式文件系统的流程进行。另外，在这个过程中，用户客户端201首先向分布式文件系统客户端601请求文件，分布式文件系统客户端601会将文件进行分块，以形成多个文件块，并向第一服务器602请求每个文件块所在的第二服务器603即块服务器的地址与每个文件块在相应第二服务器603上的位置，并且第一服务器602向分布式文件系统客户端601回馈这些信息，以完成文件元数据信息的交互。进一步地，分布式文件系统客户端601得到文件元信息之后，与指定的第二服务器603进行交互，以读写文件数据块即每个文件块的数据，并将读写后的文件信息传递给用户客户端201。

其中，参照图7(b)所示，写入文件数据块即文件块的数据时，用户客户端201的文件数据通过用户客户端201的SSL模块202进行加密传输，通过操作系统和硬件与第一网络203传输到分布式文件系统客户端601后再经过分布式文件系统客户端601的SSL模块205进行解密。进一步地，在分布式文件系统客户端601中，文件会被进行分块等操作，其次通过分布式文件系统客户端601的SSL模块205进行加密后通过虚拟机操作系统和硬件与第二网络604传输到第二服务器603，再经过第二服务器603的SSL模块605解密，解密后的数据将被写入到第二服务器603的本地硬盘之中。另外，在进行写入数据的系统调用时，会被安全虚拟机监督系统206截获，安全虚拟机监督系统206将存在与用户空间的文件数据进行加密，并将其拷贝到一个由安全虚拟机监督系统206与虚拟机操作系统共享的缓冲区即预设区域中，其次将系统调用移交至虚拟机操作系统执行，因此写入到硬盘中的数据将是密文。在本发明的实施例中，在整个用户文件数据传输的过程中，SSL模块的存在保证了用户数据在各个应用程序间进行传递时，端到端的数据安全性和私密性。另外，通过在块数据服务器中将文件数据加密写入硬盘，从而保证了数据在物理硬盘上的安全性和私密性。

本发明实施例的方法可以确保用户每个文件数据块在网络传输、内存访问、硬盘存储这整个过程中的安全性与私密性，使攻击者即使获得了操作系统管理员权限，仍然无法对用户数据的安全性和私密性造成危害。然而，在整个传输过程中，用户数据在内存中的安全性和私密性却没有收到任何保护，因此下面将对用户数据在内存中的保护进行详细描述。

在此，将对用户数据在内存中的保护的两个子问题进行详细描述。其中，两个子问题分别为操作系统与应用程序的隔离问题和在DMA过程中的用户数据的保护问题。首先将参照附图描述操作系统与应用程序的隔离问题。

具体地，相关技术中，现有的应用程序进程都会各自拥有独立的内存地址空间(虚拟地址空间)而操作系统会保留一部分内存地址空间(内核地址空间)仅供其自身使用。对于每一个应用程序进程来说内核地址空间的地址分布是相同的，除去内核地址空间外的虚拟地址空间被称为用户地址空间。对于应用程序进程来说，其自身仅能访问用户地址空间的内容而不能直接访问内核地址空间，如果需要访问内核地址空间，则需要使用操作系统提供的各种系统调用，在进行系统调用时，进程会从用户态切换至内核态，由操作系统来实现内核地址空间的访问操作，在系统调用返回时，应用程序进程会从内核态切换回用户态继续执行。但是，如果如上述所说，则操作系统却可以直接访问整个虚拟地址空间中的内容，导致无法保证用户数据的安全性和私密性。

进一步地，由于应用程序进程各自拥有独立的内存地址空间，但实际的物理内存地址空间仅有一个，所以每个应用程序进程会关联一个页表，这个页表保存了该应用程序进程的虚拟地址空间到实际的物理内存地址空间的地址映射。

具体地，对于每个应用程序进程来说，它的数据并非被其自身独自占有，操作系统可以访问所有应用程序进程的用户地址空间，所以每个应用程序进程的数据对于操作系统来说都是可见的。因此，如果攻击者获得了操作系统管理员的权限，则可以很容易的窃取到应用程序的各种数据信息。需要注意的是，现代商用操作系统的代码量庞大，接口众多，操作系统中的各种驱动程序良莠不齐、漏洞很多，所以操作系统很容易被攻破，导致攻击者获得操作系统管理员权限。综上所述，让操作系统可以直接访问到应用程序进程的用户地址空间的内容是非常不安全的。因此，为了保证用户数据的私密性，本发明实施例采用安全虚拟监督系统206对虚拟机操作系统和应用程序之间做了良好的隔离。

具体而言，本发明实施例通过使用安全虚拟监督系统206之后，受保护的应用程序进程会关联两个页表，一个是原始页表，另一个是仅包含内核地址空间映射的影子页表。其中，应用程序进程在用户态时使用原始页表，在内核态时使用影子页表。在本发明的一个实施例中，参照图8和9所示，当应用程序进程在内核态和用户态之间切换时会被安全虚拟监督系统206所截获，安全虚拟监督系统负责切换应用程序的原始页表与影子页表。因此，当应用程序进程进行系统调用后在内核态运行时，由于使用了影子页表，影子页表中并不包含用户态地址空间的映射表项，所以操作系统不可能访问到应用程序进程用户态地址空间中的任何数据，从而严格的将操作系统与应用程序隔离开来，使攻击者即使获得了操作系统管理员权限，仍然无法威胁到用户数据的安全性和私密性，并且对于那些需要在内核态访问用户态地址空间数据的系统调用，本发明实施例通过安全虚拟监督系统206对其进行截获，以将这些数据从用户态地址空间拷贝到内核态地址空间或从内核态地址空间拷贝到用户态地址空间，并在拷贝的过程中对于涉及到的用户文件数据的系统调用(例如：sys_write、sys_read等)中的数据进行加密或者解密处理以保证用户数据的安全性和私密性。

另外，相关技术中的DMA(Direct Memory Access，存储器直接访问)数据交换操作在应用程序进程的内核态地址空间和用户态地址空间均可进行。由于在DMA过程中可以任意访问应用程序进程的用户态地址空间，导致攻击者可以通过DMA的方式来窃取用户位于内存中的数据。其中，在相关技术中，可以通过硬件相应的技术(例如Intel的VT-d和AMD的SVM)保证虚拟计算平台上各个虚拟机间的DMA隔离，以确保一个虚拟机不会对另一个虚拟机的内存地址空间进行DMA访问，所以本发明实施例仅需要将一个虚拟机内部的各个应用程序进程及虚拟机操作系统的DMA访问隔离开来即可。

具体地，对于容许进行DMA访问的内存页面，其映射信息会保存在IOMMU的映射表中，只有通过该映射表进行查找才能进行相应的DMA访问操作。因此，在一个需要被保护的应用程序进程启动时，本发明实施例通过安全虚拟监督系统206来检查这个映射表，删除受保护的应用程序用户地址空间的映射信息，仅保留内核地址空间的映射信息，并且在这个映射表更新时，安全虚拟监督系统206会对更新的映射信息进行检查，以确保不会有受保护的应用程序进程用户地址空间的映射被添加进来，从而实现DMA访问仅能在内核态地址空间中进行的目的。另外，通过上述的操作系统与应用程序隔离问题的描述，从而得知拷贝到内核态的用户数据均进行了加密处理，全部为密文，所以在这种情况下非法的DMA访问也不会对用户数据的安全性和私密性造成影响，很好地保证了用户数据的安全性和私密性。

根据本发明实施例的云环境下用户数据的保护系统，通过SSL安全连接方式进行数据传输，以实现用户与云平台网络数据交互时，保证用户数据的私密性，并且通过安全虚拟监督系统对数据加密，并拷贝至预设区域，从而对运行中的用户应用程序进行保护，将内存中的实际物理地址和每个用户的虚拟地址匹配起来，防止系统管理员或者其他恶意用户访问用户在内存中的数据，以实现用户应用程序在云平台上运行时，保证用户数据的安全性和私密性。另外，通过安全虚拟监督系统，使用户实际存储在云平台上的数据为密文，当用户读出数据时，再进行解密返回给用户，整个过程对于用户是透明的，云平台管理员及其他恶意用户均无法截获和窃取正常用户的私密数据，更好地保证了用户数据的安全性和私密性。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备(如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统)使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，"计算机可读介质"可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例(非穷尽性列表)包括以下：具有一个或多个布线的电连接部(电子装置)，便携式计算机盘盒(磁装置)，随机存取存储器(RAM)，只读存储器(ROM)，可擦除可编辑只读存储器(EPROM或闪速存储器)，光纤装置，以及便携式光盘只读存储器(CDROM)。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。另外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同限定。

Claims (11)

1.一种云环境下用户数据的保护方法，其特征在于，包括以下步骤：

接收用户通过第一网络发送的数据传输请求，并通过安全套阶层SSL安全连接方式接收所述用户传输的数据；

通过安全虚拟监督系统对所述数据进行加密，并通过云平台中运行的应用程序将加密后的数据拷贝至预设区域以进行操作；以及

当所述数据传输至所述云平台的云存储设备进行保存时，读取所述预设区域中加密后的数据，并通过第二网络与所述SSL安全连接方式将从所述预设区域中读取的数据传输至所述云存储设备中。

2.如权利要求1所述的方法，其特征在于，所述云平台中的应用程序部署在虚拟机中。

3.如权利要求1所述的方法，其特征在于，该方法还包括：

当所述用户访问所述云存储设备中的数据时，接收所述用户通过所述第一网络发送的数据访问请求；

通过所述第二网络从所述云存储设备中获取所述数据，并通过所述安全虚拟监督系统进行解密，以通过所述第一网络发送给所述用户。

4.如权利要求1所述的方法，其特征在于，所述接收用户通过第一网络发送的数据传输请求具体包括：

接收所述用户请求文件，并通过分块形成多个文件块；

向第一服务器请求每个文件块所在的第二服务器的地址与在所述第二服务器上的相应的位置；以及

与所述第二服务器进行数据交互，以读取和写入所述每个文件块的数据，并反馈给所述用户。

5.如权利要求4所述的方法，其特征在于，通过所述SSL安全连接方式写入所述文件块的数据。

6.一种云环境下用户数据的保护系统，其特征在于，包括：

接收模块，用于接收用户通过第一网络发送的数据传输请求，并通过安全套阶层SSL安全连接方式接收所述用户传输的数据；

控制模块，所述控制模块与所述接收模块相连，所述控制模块包括安全虚拟监督系统，用于通过所述安全虚拟监督系统对所述数据进行加密和解密，并通过云平台中运行的应用程序将加密后的数据拷贝至预设区域以进行操作；以及

传输模块，所述传输模块与所述控制模块相连，当所述数据传输至所述云平台的云存储设备进行保存时，用于读取所述预设区域中加密后的数据，并通过第二网络与所述SSL安全连接方式将从所述预设区域中读取的数据传输至所述云存储设备中。

7.如权利要求6所述的系统，其特征在于，所述云平台中的应用程序部署在虚拟机中。

8.如权利要求6所述的系统，其特征在于，所述接收模块还用于当所述用户访问所述云存储设备中的数据时，接收所述用户通过所述第一网络发送的数据访问请求。

9.如权利要求8所述的系统，其特征在于，还包括：

获取模块，所述获取模块与所述控制模块相连，用于通过所述第二网络从所述云存储设备中获取所述数据，并通过所述控制模块进行解密，以通过所述第一网络发送给所述用户。

10.如权利要求8所述的系统，其特征在于，所述接收模块还用于接收所述用户请求文件，并通过分块形成多个文件块，并向第一服务器请求每个文件块所在的第二服务器的地址与在所述第二服务器上的相应的位置，以及与所述第二服务器进行数据交互，以读取和写入所述每个文件块的数据，并反馈给所述用户。

11.如权利要求10所述的系统，其特征在于，所述接收模块通过所述SSL安全连接方式写入所述文件块的数据。