CN104951688B - 适用于Xen虚拟化环境下的专用数据加密方法及加密卡 - Google Patents

Abstract

本发明提供一种适用于Xen虚拟化环境下的专用数据加密方法及加密卡，加密卡包括：权限管理单元、数据分配单元、队列加工单元和业务处理单元；数据分配单元用于将数据加密卡的硬件映射为多个独立的缓冲资源池，并且，每一个缓冲资源池的一端唯一对应一个虚拟机；队列加工单元用于建立与每一个缓冲资源池唯一对应的一组输入队列和输出队列；输入队列用于接收到的来自与其唯一对应的缓冲资源池的加密业务请求；然后将各加密业务请求依次发送到业务处理单元；输出队列用于将接收到的来自业务处理单元的加密业务响应依次返回给与其唯一对应的缓冲资源池。多台虚拟机共享一个加密卡硬件，提高了加密卡硬件的使用效率；还具有数据安全性高的优点。

Description

适用于Xen虚拟化环境下的专用数据加密方法及加密卡

技术领域

本发明属于云计算技术领域，具体涉及一种适用于Xen虚拟化环境下的专用数据加密方法及加密卡。

背景技术

加密卡是为PC机提供加密服务的专用插卡式密码设备，通常通过应用程序接口API的方式为计算机应用系统提供各种安全保密服务，例如：数据加密、数字签名、信息完整性验证、身份认证和访问控制等，主要应用于电子政务、电子商务、电子金融等行业。通过在计算机与外部通信接口上安插特殊的加密卡，可以保证计算机输出的数据均经过加密卡的处理而难以被网络上的攻击者偷窃解读；同时，也只有安装了相应解密卡的计算机才可以正确收取被加密了的数据。也就是说，在物理环境中，通过各种加密设备可以保证数据的可靠性。

但是，目前在虚拟化环境下，一个加密卡硬件只能被唯一一台虚拟机使用；具有加密卡硬件使用效率低的问题。

发明内容

针对现有技术存在的缺陷，本发明提供一种适用于Xen虚拟化环境下的专用数据加密方法及加密卡，多台虚拟机共享一个加密卡硬件，提高了加密卡硬件的使用效率；还具有数据安全性高的优点。

本发明采用的技术方案如下：

本发明提供一种适用于Xen虚拟化环境下的专用数据加密方法，包括以下步骤：

S1，根据配置规则，将所述数据加密卡的硬件映射为多个独立的缓冲资源池，并且，每一个缓冲资源池的一端唯一对应一个虚拟机；所述缓冲资源池的另一端唯一对应一组输入队列和输出队列；

S2，当指定虚拟机需要使用所述数据加密卡进行加密业务处理时，所述指定虚拟机将加密业务请求发送到与其唯一对应的指定缓冲资源池；

S3，所述指定缓冲资源池再将所述加密业务请求发送到与其唯一对应的指定输入队列；

S4，所述指定输入队列按时间先后顺序排列不同时间接收到的加密业务请求；然后按照先到先服务原则，将各加密业务请求依次发送到所述数据加密卡的业务处理单元；

S5，所述业务处理单元处理所述加密业务请求，得到加密业务响应；然后将所述加密业务响应发送到指定输出队列；

S6，所述指定输出队列按照先到先服务原则，将接收到的各加密业务响应依次返回给所述指定缓冲资源池，所述指定缓冲资源池再将该加密业务响应返回给所述指定虚拟机。

优选的，S2中，还包括：

当指定虚拟机需要使用所述数据加密卡时，首先判断所述指定虚拟机是否具有使用所述数据加密卡的权限，如果有，则执行后续步骤；否则，拒绝其使用所述数据加密卡。

优选的，S4之后，还包括：

当所述指定输入队列输出某一加密业务请求到所述业务处理单元之后，即从所述指定输入队列中删除该加密业务请求。

优选的，S6之后，还包括：

当所述指定输出队列输出某一加密业务响应到所述指定虚拟机之后，即从所述指定输出队列中删除该加密业务响应。

本发明还提供一种适用于Xen虚拟化环境下的专用数据加密卡，包括：权限管理单元、数据分配单元、队列加工单元和业务处理单元；

所述权限管理单元用于管理本数据加密卡所对应的各虚拟机账户的权限；

所述数据分配单元用于将数据加密卡的硬件映射为多个独立的缓冲资源池，并且，每一个缓冲资源池的一端唯一对应一个虚拟机；还用于在驱动层分别对各个所述缓冲资源池进行管理；

所述队列加工单元用于建立与每一个所述缓冲资源池唯一对应的一组输入队列和输出队列；所述输入队列用于按时间先后顺序排列不同时间接收到的来自与其唯一对应的缓冲资源池的加密业务请求；然后按照先到先服务原则，将各加密业务请求依次发送到所述数据加密卡的业务处理单元；所述输出队列用于按照先到先服务原则，将接收到的来自业务处理单元的加密业务响应依次返回给与其唯一对应的缓冲资源池；

所述业务处理单元用于对接收到的来自输入队列的加密业务请求进行处理，得到加密业务响应；然后将所述加密业务响应返回给所述输出队列。

本发明的有益效果如下：

本发明提供的适用于Xen虚拟化环境下的专用数据加密方法及加密卡，为每一台虚拟机配置唯一的由虚拟资源池和输入输出队列组成的访问通道，每一台虚拟机通过唯一的访问通道访问加密卡的业务处理单元，通过共享业务处理单元进行业务处理，既提高了加密卡硬件的使用效率；还具有数据安全性高的优点。

附图说明

图1为本发明提供的专用数据加密卡的结构示意图。

具体实施方式

以下结合附图对本发明进行详细说明：

如图1所示，本发明提供一种适用于Xen虚拟化环境下的专用数据加密方法，包括以下步骤：

S1，根据配置规则，将所述数据加密卡的硬件映射为多个独立的缓冲资源池，并且，每一个缓冲资源池的一端唯一对应一个虚拟机；所述缓冲资源池的另一端唯一对应一组输入队列和输出队列。

实际应用中，每一个数据加密卡可存储一张配置表，该配置表用于存储虚拟机ID、缓冲资源池ID和输入输出队列ID的唯一对应关系，因此，每当数据加密卡接收到来自某一虚拟机的业务处理请求时，可通过查询该配置表，快速获得该虚拟机能够使用的缓冲资源池和输入输出队列，从而使该虚拟机快速使用数据加密卡进行业务处理。

另外，配置表还可以同时存储虚拟机ID对数据加密卡的操作权限，例如：是否可以创建本数据加密卡对应的新虚拟机，是否可以删除本数据加密卡对应的虚拟机等。

S2，当指定虚拟机需要使用所述数据加密卡进行加密业务处理时，所述指定虚拟机将加密业务请求发送到与其唯一对应的指定缓冲资源池；

本步骤中，为提高数据加密卡使用的安全性，还可以包括对虚拟机权限进行验证的过程，即：当指定虚拟机需要使用数据加密卡时，数据加密卡首先判断所述指定虚拟机是否具有使用所述数据加密卡的权限，如果有，则执行后续步骤；否则，拒绝其使用所述数据加密卡。

S3，所述指定缓冲资源池再将所述加密业务请求发送到与其唯一对应的指定输入队列；

S4，所述指定输入队列按时间先后顺序排列不同时间接收到的加密业务请求；然后按照先到先服务原则，将各加密业务请求依次发送到所述数据加密卡的业务处理单元；当指定输入队列输出某一加密业务请求到业务处理单元之后，即从指定输入队列中删除该加密业务请求。

S5，所述业务处理单元处理所述加密业务请求，得到加密业务响应；然后将所述加密业务响应发送到指定输出队列；

S6，所述指定输出队列按照先到先服务原则，将接收到的各加密业务响应依次返回给所述指定缓冲资源池，所述指定缓冲资源池再将该加密业务响应返回给所述指定虚拟机。当所述指定输出队列输出某一加密业务响应到所述指定虚拟机之后，即从所述指定输出队列中删除该加密业务响应。

具体的，由于一个数据加密卡被若干台虚拟机共享，为合理调度各虚拟机使用业务处理单元进行业务处理的效率，数据加密卡可设置一定的调度策略，以下仅列举几个具体的调度策略：(1)优先级调度策略：即：预先配置各虚拟机的优先级别；数据加密卡配置输入队列监听模块，用于实时监听各个虚拟机输入队列的空闲状态，一旦监听到优先级高的虚拟机输入队列中存在业务处理请求时，则优先处理该优先级别高的输入队列存储的请求，直到处理完成后，再处理其他低优先级的业务处理请求。例如：配置以下优先级别顺序：虚拟机1＞虚拟机2＞虚拟机3；若某一时刻，监听到虚拟机1和虚拟机2输入队列为空，而虚拟机3输入队列中存在处理请求，则业务处理单元处理虚拟机3输入队列的处理请求；一旦某一时刻监听到虚拟机1输入队列中存在处理请求时，则业务处理单元将当前正在处理的请求处理完毕后，立刻按顺序执行虚拟机1输入队列的请求，直到将虚拟机1输入队列所有请求均处理完毕后，再执行其他虚拟机输入队列中的请求。(2)轮询调度策略：即：数据加密卡配置输入队列监听模块，用于实时监听各个虚拟机输入队列的空闲状态，然后按顺序循环执行各虚拟机输入队列的请求。例如：如果某一时刻监听到虚拟机1输入队列按时间先后顺序存在AB两条请求；虚拟机2输入队列按时间先后顺序存在CDE三条请求；虚拟机3输入队列为空。则首先处理A请求，然后处理C请求；然后再处理B请求，然后再处理D请求，最后处理E请求。

本发明还提供一种适用于Xen虚拟化环境下的专用数据加密卡，包括：权限管理单元、数据分配单元、队列加工单元和业务处理单元。

(一)权限管理单元

权限管理单元用于管理本数据加密卡所对应的各虚拟机账户的权限。在数据加密卡使用过程中，当其通过PCI/PCIE接口与主机端连接时，可以在主机端使用特定的管理工具软件，对权限管理单元进行配置，例如：配置与本数据加密卡对应的各虚拟机的用户名和密码等。若在某一次数据加密卡使用过程中，没有对其进行配置，则数据加密卡工作于默认的初始状态或最近一次的配置状态。

通过权限管理单元，控制只有授权的虚拟机可以访问数据加密卡，提高了数据加密卡使用的安全性。

(二)数据分配单元

数据分配单元用于将数据加密卡的硬件映射为多个独立的缓冲资源池，并且，每一个缓冲资源池的一端唯一对应一个虚拟机；还用于在驱动层分别对各个所述缓冲资源池进行管理。

如图1所示，一个数据加密卡硬件对应三个独立的缓冲资源池，分别为缓冲资源池1、缓冲资源池2和缓冲资源池3；并且，缓冲资源池1唯一对应虚拟机1，缓冲资源池2唯一对应虚拟机2，缓冲资源池3唯一对应虚拟机3。

(三)队列加工单元

所述队列加工单元用于建立与每一个所述缓冲资源池唯一对应的一组输入队列和输出队列；所述输入队列用于按时间先后顺序排列不同时间接收到的来自与其唯一对应的缓冲资源池的加密业务请求；然后按照先到先服务原则，将各加密业务请求依次发送到所述数据加密卡的业务处理单元；所述输出队列用于按照先到先服务原则，将接收到的来自业务处理单元的加密业务响应依次返回给与其唯一对应的缓冲资源池。

仍以图1为例，缓冲资源池1唯一对应输入队列IP1和输出队列OP1；缓冲资源池2唯一对应输入队列IP2和输出队列OP2；缓冲资源池3唯一对应输入队列IP3和输出队列OP3。

(四)业务处理单元

所述业务处理单元用于对接收到的来自输入队列的加密业务请求进行处理，得到加密业务响应；然后将所述加密业务响应返回给所述输出队列。

综上所述，本发明提供的适用于Xen虚拟化环境下的专用数据加密方法及加密卡，为每一台虚拟机配置唯一的由虚拟资源池和输入输出队列组成的访问通道，每一台虚拟机通过唯一的访问通道访问加密卡的业务处理单元，通过共享业务处理单元进行业务处理，既提高了加密卡硬件的使用效率；还具有数据安全性高的优点。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (2)

1.一种适用于Xen虚拟化环境下的专用数据加密方法，其特征在于，包括以下步骤：

S1，根据配置规则，将所述数据加密卡的硬件映射为多个独立的缓冲资源池，并且，每一个缓冲资源池的一端唯一对应一个虚拟机；所述缓冲资源池的另一端唯一对应一组输入队列和输出队列；

S2，当指定虚拟机需要使用所述数据加密卡进行加密业务处理时，所述指定虚拟机将加密业务请求发送到与其唯一对应的指定缓冲资源池；

S3，所述指定缓冲资源池再将所述加密业务请求发送到与其唯一对应的指定输入队列；

S4，所述指定输入队列按时间先后顺序排列不同时间接收到的加密业务请求；然后按照先到先服务原则，将各加密业务请求依次发送到所述数据加密卡的业务处理单元；

S5，所述业务处理单元处理所述加密业务请求，得到加密业务响应；然后将所述加密业务响应发送到指定输出队列；

S6，所述指定输出队列按照先到先服务原则，将接收到的各加密业务响应依次返回给所述指定缓冲资源池，所述指定缓冲资源池再将该加密业务响应返回给所述指定虚拟机；

其中，S2中，还包括：

当指定虚拟机需要使用所述数据加密卡时，首先判断所述指定虚拟机是否具有使用所述数据加密卡的权限，如果有，则执行后续步骤；否则，拒绝其使用所述数据加密卡；

S6之后，还包括：

当所述指定输出队列输出某一加密业务响应到所述指定虚拟机之后，即从所述指定输出队列中删除该加密业务响应；

基于适用于Xen虚拟化环境下的专用数据加密方法的适用于Xen虚拟化环境下的专用数据加密卡，包括：权限管理单元、数据分配单元、队列加工单元和业务处理单元；

所述权限管理单元用于管理本数据加密卡所对应的各虚拟机账户的权限；

所述数据分配单元用于将数据加密卡的硬件映射为多个独立的缓冲资源池，并且，每一个缓冲资源池的一端唯一对应一个虚拟机；还用于在驱动层分别对各个所述缓冲资源池进行管理；

所述队列加工单元用于建立与每一个所述缓冲资源池唯一对应的一组输入队列和输出队列；所述输入队列用于按时间先后顺序排列不同时间接收到的来自与其唯一对应的缓冲资源池的加密业务请求；然后按照先到先服务原则，将各加密业务请求依次发送到所述数据加密卡的业务处理单元；所述输出队列用于按照先到先服务原则，将接收到的来自业务处理单元的加密业务响应依次返回给与其唯一对应的缓冲资源池；

所述业务处理单元用于对接收到的来自输入队列的加密业务请求进行处理，得到加密业务响应；然后将所述加密业务响应返回给所述输出队列；

由于一个数据加密卡被若干台虚拟机共享，为合理调度各虚拟机使用业务处理单元进行业务处理的效率，数据加密卡设置调度策略，包括：(1)优先级调度策略：即：预先配置各虚拟机的优先级别；数据加密卡配置输入队列监听模块，用于实时监听各个虚拟机输入队列的空闲状态，一旦监听到优先级高的虚拟机输入队列中存在业务处理请求时，则优先处理该优先级别高的输入队列存储的请求，直到处理完成后，再处理其他低优先级的业务处理请求；当配置以下优先级别顺序：虚拟机1＞虚拟机2＞虚拟机3；若某一时刻，监听到虚拟机1和虚拟机2输入队列为空，而虚拟机3输入队列中存在处理请求，则业务处理单元处理虚拟机3输入队列的处理请求；一旦某一时刻监听到虚拟机1输入队列中存在处理请求时，则业务处理单元将当前正在处理的请求处理完毕后，立刻按顺序执行虚拟机1输入队列的请求，直到将虚拟机1输入队列所有请求均处理完毕后，再执行其他虚拟机输入队列中的请求；(2)轮询调度策略：即：数据加密卡配置输入队列监听模块，用于实时监听各个虚拟机输入队列的空闲状态，然后按顺序循环执行各虚拟机输入队列的请求；如果某一时刻监听到虚拟机1输入队列按时间先后顺序存在AB两条请求；虚拟机2输入队列按时间先后顺序存在CDE三条请求；虚拟机3输入队列为空；则首先处理A请求，然后处理C请求；然后再处理B请求，然后再处理D请求，最后处理E请求。

2.根据权利要求1所述的适用于Xen虚拟化环境下的专用数据加密方法，其特征在于，S4之后，还包括：

当所述指定输入队列输出某一加密业务请求到所述业务处理单元之后，即从所述指定输入队列中删除该加密业务请求。