CN105262590A - 一种虚拟化环境下的密钥安全隔离方法及系统 - Google Patents
一种虚拟化环境下的密钥安全隔离方法及系统 Download PDFInfo
- Publication number
- CN105262590A CN105262590A CN201510564211.2A CN201510564211A CN105262590A CN 105262590 A CN105262590 A CN 105262590A CN 201510564211 A CN201510564211 A CN 201510564211A CN 105262590 A CN105262590 A CN 105262590A
- Authority
- CN
- China
- Prior art keywords
- subregion
- password
- token
- virtual machine
- under
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Landscapes
- Storage Device Security (AREA)
Abstract
本发明涉及一种虚拟化环境下的密钥安全隔离方法及系统,方法包括:步骤1:创建多个密码分区,并为每一个密码分区建立授权许可;步骤2:根据每个所述授权许可申请唯一对应的密码分区;步骤3:每个密码分区接收一个虚拟机发送的认证请求,判断虚拟机是否通过认证,如果是,执行步骤4;否则,结束;步骤4:每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机;步骤5:所述虚拟机通过令牌访问对应的密码分区。本发明支持密钥隔离的设备和方法,可以在虚拟化环境下的实现安全的密钥隔离;采用了密码分区的设计思想,有效地保证了虚拟化环境中密钥存储隔离和使用隔离,降低了非法访问密钥及密钥泄露等风险。
Description
技术领域
本发明涉及一种虚拟化环境下的密钥安全隔离方法及系统,属于密码技术领域。
背景技术
随着云计算和虚拟化技术的飞速发展,传统密码技术在虚拟化环境中的应用遇到瓶颈。传统密码技术的安全性依赖于存储于硬件设备(如密码模块)中的密钥安全性,而现有设备单用户模式的设计不再适用于虚拟化环境的多用户需求。现有设备的密钥访问从本质上是基于索引方式的访问,用在虚拟化环境时,只能通过软件层或驱动层模拟多用户模式,设备内部仍是单用户模式,各虚拟机实际上是共享所有的设备资源。这样的方式在密钥泄露、非法访问等方面具有较大风险。一旦密钥泄露或者被非授权用户访问到,相应密码系统的安全性就失去了保障。
发明内容
本发明所要解决的技术问题是提供一种决虚拟化环境中的密钥隔离的安全性问题的虚拟化环境下的密钥安全隔离方法及系统。
本发明解决上述技术问题的技术方案如下:一种虚拟化环境下的密钥安全隔离方法,具体包括以下步骤:
步骤1:创建多个密码分区,并为每个密码分区建立授权许可;
步骤2:根据每个所述授权许可申请唯一对应的密码分区;
步骤3:每个密码分区接收一个虚拟机发送的认证请求,判断虚拟机是否通过认证,如果是,执行步骤4;否则,结束;
步骤4:每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机;
步骤5:所述虚拟机通过令牌访问对应的密码分区。
本发明的有益效果是:本发明支持密钥隔离的设备和方法,可以在虚拟化环境下的实现安全的密钥隔离;采用了密码分区的设计思想,采用了身份认证技术和令牌技术相结合的方式,有效地保证了虚拟化环境中密钥存储隔离和使用隔离,降低了非法访问密钥及密钥泄露等风险。
在上述技术方案的基础上,本发明还可以做如下改进。
进一步,每个所述密码分区均可存储密钥,具备完整的密码运算功能。
进一步,每个所述令牌对应唯一的密码分区。
进一步,所述授权许可包括数字证书、秘钥、字符串或数字等。
进一步,获取令牌的虚拟机在每次访问密码分区时都必须携带令牌或以令牌为基础的认证码,所述密码分区对令牌或令牌为基础的认证码认证成功后,虚拟机才可进行操作。
本发明解决上述技术问题的技术方案如下:一种虚拟化环境下的密钥安全隔离系统,包括安全隔离设备和多个虚拟机;
所述安全隔离设备用于创建多个密码分区,并为每个密码分区建立授权许可;并根据每个所述授权许可申请唯一对应的密码分区;
所述安全隔离设备包括多个密码分区,每个所述密码分区接收一个虚拟机发送的认证请求,并判断虚拟机是否通过认证;
每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机;
所述虚拟机通过令牌访问对应的密码分区。
本发明的有益效果是:本发明支持密钥隔离的设备和方法,可以在虚拟化环境下的实现安全的密钥隔离;采用了密码分区的设计思想,采用了身份认证技术和令牌技术相结合的方式,有效地保证了虚拟化环境中密钥存储隔离和使用隔离,降低了非法访问密钥及密钥泄露等风险。
在上述技术方案的基础上,本发明还可以做如下改进。
进一步,所述安全隔离设备具备五种状态:初始状态、准备状态、就绪状态、工作状态和终止状态;
初始状态下,安全隔离设备内部是空白的,没有密码分区、密钥和令牌信息;
准备状态下,安全隔离设备内部已创建密码分区,建立各密码分区的授权许可,每个分区的授权许可均不相同,该授权许可用于申请密码分区;
就绪状态下,虚拟机用于已通过授权许可申请了密码分区,此状态下可接收认证请求,并判断是否通过认证;
工作状态下,虚拟机已通过密码分区的认证,此状态下可以对密码分区进行密钥管理,使用密码分区为虚拟机提供密码运算服务;
终止状态下,所有密码分区认证状态注销,并全部停止提供密钥管理及密码运算服务。
进一步,每个所述密码分区均可存储密钥,具备完整的密码运算功能。
进一步,每个所述令牌对应唯一的密码分区。
进一步,所述虚拟机在每次访问密码分区时都必须携带获得的令牌或以获得的令牌为基础的认证码,所述密码分区对令牌或令牌为基础的认证码认证成功后,虚拟机才可进行操作。
附图说明
图1为本发明所述的一种虚拟化环境下的密钥安全隔离方法流程图;
图2为本发明所述的一种虚拟化环境下的密钥安全隔离系统结构框图;
图3为本发明实施例中的密钥隔离示意图;
图4为本发明实施例中支持密钥安全隔离的设备工作状态转换图。
附图中,各标号所代表的部件列表如下:
1、安全隔离设备,2、虚拟机,3、密码分区。
具体实施方式
以下结合附图对本发明的原理和特征进行描述,所举实例只用于解释本发明,并非用于限定本发明的范围。
如图1所示,为本发明所述的一种虚拟化环境下的密钥安全隔离方法,具体包括以下步骤:
步骤1:创建多个密码分区,并为每个密码分区建立授权许可;
步骤2:根据每个所述授权许可申请唯一对应的密码分区;
步骤3:每个密码分区接收一个虚拟机发送的认证请求,判断虚拟机是否通过认证,如果是,执行步骤4;否则,结束;
步骤4:每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机;
步骤5:所述虚拟机通过令牌访问对应的密码分区。
如图2所示,为本发明所述的一种虚拟化环境下的密钥安全隔离系统,包括安全隔离设备1和多个虚拟机2;
所述安全隔离设备1用于创建多个密码分区及对应的授权许可;并根据每个所述授权许可申请唯一对应的密码分区3;
所述安全隔离设备1包括多个密码分区3,每个所述密码分区3接收一个虚拟机2发送的认证请求,并判断虚拟机2是否通过认证;
每个所述密码分区3生成一个的令牌并返回到发出请求的对应虚拟机2;
所述虚拟机2通过令牌访问对应的密码分区3。
如图3所示,本发明实施例提供的密钥隔离的方法与设备可以通过支持密码分区的密码模块结合虚拟机实现。本实施例包含以下步骤:
1、所述密码模块处于初始状态时,由超级管理员在密码模块中创建密码分区及授权许可;
2、虚拟机启动,用户使用超级管理员提供的授权许可向密码模块请求使用密码分区,同时创建密码分区的第一个管理员;
3、管理员向密码分区发送登录请求;
4、密码分区内部认证管理员身份,如果认证成功,则生成临时令牌,返回给虚拟机,认证失败则拒绝后续请求;
5、认证成功后,虚拟机发给密码分区的所有请求都带有令牌信息,密码分区进行令牌认证,认证成功则处理请求,否则拒绝请求。
如图4所示,本发明实施例提供的密钥安全隔离设备具备五种状态,各状态定义如下:
初始状态101,设备内部是空白的,没有密码分区、密钥、令牌等信息;
准备状态102,设备内部设置超级管理员及建立分区,超级管理员生成每个分区的授权码(可以是数字证书、密钥或数字等,但不限于此)。每个分区的授权码均不相同,该授权码可用来申请密码分区;
就绪状态103,用户在虚拟机内通过提交分区授权码申请密码分区,获取令牌并添加该分区管理人员后的状态,此状态下管理人员可进行登录认证;
工作状态104,分区管理人员身份登录密码分区并通过认证后的状态,此状态下管理人员可以对密码分区进行密钥管理,使用该分区为应用系统提供密码运算服务;
终止状态105,分区管理人员全部注销登出,所有密码分区全部停止提供密钥管理及密码运算服务后的状态。
其密钥隔离方法与其工作流程如下:
步骤106,设备处于初始状态时,由超级管理员为设备创建分区,并为分区创建授权码,该授权码用于用户申请密码分区。该授权码可以是数字证书、密钥、一串数字等,但不限于此。每个分区的授权码与其他分区不同。
步骤107,设备处于准备状态时,虚拟机的用户使用分区授权码申请密码分区,若授权码验证成功,则相应的密码分区申请成功,同时用户建立该分区的管理人员,设备进入就绪状态。
步骤108,设备处于就绪状态时,分区管理人员进行登录认证,密码分区验证管理人员身份,认证通过则由密码分区生成令牌返回给虚拟机,该虚拟机获得密码分区的访问权限,设备进入工作状态。
步骤109,设备在工作状态时,虚拟机每次访问密码分区,都应带有令牌或以该令牌为基础的认证码(例如MAC、HMAC等,但不限于此),密码分区对令牌或基于令牌的认证码认证成功后,操作才可以执行,这些操作包括密钥管理、密码运算等。
步骤110,设备在工作状态时,所有分区管理人员注销登录,并停止提供管理及运算服务,设备进入终止状态。该状态下,超级管理员可以删除分区,同时也删除了分区内的密钥及其他信息。
本发明提供的安全隔离设备支持创建多个密码分区,每个分区均可存储密钥,具备完整的密码运算功能。该设备包括但不限于密码模块。
每个密码分区具备授权认证功能,可识别是否是合法用户访问分区。
每个已绑定用户的分区与对应的虚拟机之间具备共享的令牌(如128位随机数,但不限于此),每个令牌生成后将唯一对应一个密码分区。
以上所述仅为本发明的较佳实施例,并不用以限制本发明,凡在本发明的精神和原则之内,所作的任何修改、等同替换、改进等,均应包含在本发明的保护范围之内。
Claims (10)
1.一种虚拟化环境下的密钥安全隔离方法,其特征在于,具体包括以下步骤:
步骤1:创建多个密码分区,并为每个密码分区建立授权许可;
步骤2:根据每个所述授权许可申请唯一对应的密码分区;
步骤3:每个密码分区接收一个虚拟机发送的认证请求,判断虚拟机是否通过认证,如果是,执行步骤4;否则,结束;
步骤4:每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机;
步骤5:所述虚拟机通过令牌访问对应的密码分区。
2.根据权利要求1所述的一种虚拟化环境下的密钥安全隔离方法,其特征在于,每个所述密码分区均可存储密钥,具备完整的密码运算功能。
3.根据权利要求1所述的一种虚拟化环境下的密钥安全隔离方法,其特征在于,每个所述令牌对应唯一的密码分区。
4.根据权利要求1-3任一项所述的一种虚拟化环境下的密钥安全隔离方法,其特征在于,获取令牌的虚拟机在每次访问密码分区时都必须携带令牌或以该令牌为基础的认证码,所述密码分区对令牌或该令牌为基础的认证码认证成功后,虚拟机才可进行操作。
5.根据权利要求4所述的一种虚拟化环境下的密钥安全隔离方法,其特征在于,所述授权许可包括数字证书、密钥、字符串或数字。
6.一种虚拟化环境下的密钥安全隔离系统,其特征在于,包括安全隔离设备和多个虚拟机;
所述安全隔离设备用于创建多个密码分区,并为每个密码分区建立授权许可;并根据每个所述授权许可申请唯一对应的密码分区;
所述安全隔离设备包括多个密码分区,每个所述密码分区接收一个虚拟机发送的认证请求,并判断虚拟机是否通过认证;
每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机;
所述虚拟机通过令牌访问对应的密码分区。
7.根据权利要求6所述的一种虚拟化环境下的密钥安全隔离系统,其特征在于,所述安全隔离设备具备五种状态:初始状态、准备状态、就绪状态、工作状态和终止状态;
初始状态下,安全隔离设备内部是空白的,没有密码分区、密钥和令牌信息;
准备状态下,安全隔离设备内部已创建密码分区,建立各密码分区的授权许可,每个分区的授权许可均不相同,该授权许可用于申请密码分区;
就绪状态下,虚拟机用于已通过授权许可申请了密码分区,此状态下可接收认证请求,并判断是否通过认证;
工作状态下,虚拟机已通过密码分区的认证,此状态下可以对密码分区进行密钥管理,使用密码分区为虚拟机提供密码运算服务;
终止状态下,所有密码分区认证状态注销,并全部停止提供密钥管理及密码运算服务。
8.根据权利要求6所述的一种虚拟化环境下的密钥安全隔离系统,其特征在于,每个所述密码分区均可存储密钥,具备完整的密码运算功能。
9.根据权利要求6所述的一种虚拟化环境下的密钥安全隔离系统,其特征在于,每个所述令牌对应唯一的密码分区。
10.根据权利要求6-9任一项所述的一种虚拟化环境下的密钥安全隔离系统,其特征在于,所述虚拟机在每次访问密码分区时都必须携带获得的令牌或以获得的该令牌为基础的认证码,所述密码分区对令牌或该令牌为基础的认证码认证成功后,虚拟机才可进行操作。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201510564211.2A CN105262590A (zh) | 2015-09-07 | 2015-09-07 | 一种虚拟化环境下的密钥安全隔离方法及系统 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201510564211.2A CN105262590A (zh) | 2015-09-07 | 2015-09-07 | 一种虚拟化环境下的密钥安全隔离方法及系统 |
Publications (1)
Publication Number | Publication Date |
---|---|
CN105262590A true CN105262590A (zh) | 2016-01-20 |
Family
ID=55102112
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201510564211.2A Pending CN105262590A (zh) | 2015-09-07 | 2015-09-07 | 一种虚拟化环境下的密钥安全隔离方法及系统 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN105262590A (zh) |
Cited By (7)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN106357700A (zh) * | 2016-11-24 | 2017-01-25 | 济南浪潮高新科技投资发展有限公司 | 一种云环境下密码设备虚拟化方法 |
CN106371873A (zh) * | 2016-08-31 | 2017-02-01 | 苏州蓝海彤翔系统科技有限公司 | 应用程序启动请求处理方法、服务器及系统 |
CN107147491A (zh) * | 2017-06-01 | 2017-09-08 | 浙江九州量子信息技术股份有限公司 | 一种基于多终端通信的密钥服务架构及分配方法 |
CN107623676A (zh) * | 2017-07-31 | 2018-01-23 | 郑州云海信息技术有限公司 | 一种无代理杀毒虚拟机的授权方法及装置 |
CN114172650A (zh) * | 2022-02-14 | 2022-03-11 | 北京安盟信息技术股份有限公司 | 一种云计算环境下多用户密钥安全隔离方法及系统 |
CN115022095A (zh) * | 2022-08-09 | 2022-09-06 | 北京安盟信息技术股份有限公司 | 一种基于虚拟化技术的密码服务加速方法及装置 |
CN116260595A (zh) * | 2023-05-15 | 2023-06-13 | 豪符密码检测技术(成都)有限责任公司 | 一种云密码检测方法及系统 |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103209160A (zh) * | 2012-01-13 | 2013-07-17 | 中兴通讯股份有限公司 | 一种面向异构网络的认证方法及系统 |
CN104461678A (zh) * | 2014-11-03 | 2015-03-25 | 中国科学院信息工程研究所 | 一种在虚拟化环境中提供密码服务的方法和系统 |
CN104572170A (zh) * | 2013-10-10 | 2015-04-29 | 国际商业机器公司 | 用于提供隔离的熵元素和熵元素生成器的方法 |
-
2015
- 2015-09-07 CN CN201510564211.2A patent/CN105262590A/zh active Pending
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103209160A (zh) * | 2012-01-13 | 2013-07-17 | 中兴通讯股份有限公司 | 一种面向异构网络的认证方法及系统 |
CN104572170A (zh) * | 2013-10-10 | 2015-04-29 | 国际商业机器公司 | 用于提供隔离的熵元素和熵元素生成器的方法 |
CN104461678A (zh) * | 2014-11-03 | 2015-03-25 | 中国科学院信息工程研究所 | 一种在虚拟化环境中提供密码服务的方法和系统 |
Cited By (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN106371873A (zh) * | 2016-08-31 | 2017-02-01 | 苏州蓝海彤翔系统科技有限公司 | 应用程序启动请求处理方法、服务器及系统 |
CN106357700A (zh) * | 2016-11-24 | 2017-01-25 | 济南浪潮高新科技投资发展有限公司 | 一种云环境下密码设备虚拟化方法 |
CN107147491A (zh) * | 2017-06-01 | 2017-09-08 | 浙江九州量子信息技术股份有限公司 | 一种基于多终端通信的密钥服务架构及分配方法 |
CN107623676A (zh) * | 2017-07-31 | 2018-01-23 | 郑州云海信息技术有限公司 | 一种无代理杀毒虚拟机的授权方法及装置 |
CN107623676B (zh) * | 2017-07-31 | 2021-01-08 | 苏州浪潮智能科技有限公司 | 一种无代理杀毒虚拟机的授权方法及装置 |
CN114172650A (zh) * | 2022-02-14 | 2022-03-11 | 北京安盟信息技术股份有限公司 | 一种云计算环境下多用户密钥安全隔离方法及系统 |
CN115022095A (zh) * | 2022-08-09 | 2022-09-06 | 北京安盟信息技术股份有限公司 | 一种基于虚拟化技术的密码服务加速方法及装置 |
CN116260595A (zh) * | 2023-05-15 | 2023-06-13 | 豪符密码检测技术(成都)有限责任公司 | 一种云密码检测方法及系统 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN105262590A (zh) | 一种虚拟化环境下的密钥安全隔离方法及系统 | |
CN106973036B (zh) | 一种基于非对称加密的区块链隐私保护方法 | |
US10516527B1 (en) | Split-key based cryptography system for data protection and synchronization across multiple computing devices | |
CN106161402B (zh) | 基于云环境的加密机密钥注入系统、方法及装置 | |
CN105187362B (zh) | 一种桌面云客户端和服务端之间连接认证的方法及装置 | |
EP3232634B1 (en) | Identity authentication method and device | |
US20140270179A1 (en) | Method and system for key generation, backup, and migration based on trusted computing | |
CN104184743A (zh) | 面向云计算平台的三层认证系统及认证方法 | |
CN103534976A (zh) | 数据安全的保护方法、服务器、主机及系统 | |
CN103259663A (zh) | 一种云计算环境下的用户统一认证方法 | |
CN105718794B (zh) | 基于vtpm对虚拟机进行安全保护的方法及系统 | |
CN104767745A (zh) | 一种云端数据安全保护方法 | |
CN103780607B (zh) | 基于不同权限的重复数据删除的方法 | |
CN105528239B (zh) | 基于可信根服务器的虚拟可信平台模块的密钥管理方法 | |
CN103888429B (zh) | 虚拟机启动方法、相关设备和系统 | |
CN106060078B (zh) | 应用于云平台的用户信息加密方法、注册方法及验证方法 | |
CN106991298A (zh) | 应用程序对接口的访问方法、授权请求方法及装置 | |
CN107948156A (zh) | 一种基于身份的封闭式密钥管理方法及系统 | |
CN106302606B (zh) | 一种跨应用访问方法及装置 | |
CN105429752A (zh) | 一种云环境下用户密钥的处理方法及系统 | |
EP2702744A1 (en) | Method for securely creating a new user identity within an existing cloud account in a cloud system | |
CN106936588A (zh) | 一种硬件控制锁的托管方法、装置及系统 | |
CN101414913A (zh) | 基于虚拟化技术的计算机网络认证系统和方法 | |
CN106850612A (zh) | 一种面向云化系统的密码管理方法及系统 | |
CN107040520A (zh) | 一种云计算数据共享系统及方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
RJ01 | Rejection of invention patent application after publication |
Application publication date: 20160120 |
|
RJ01 | Rejection of invention patent application after publication |