CN108322307A - 基于内核内存共享的容器间通讯系统及方法 - Google Patents

Abstract

本发明涉及基于内核内存共享的容器间通讯系统及方法，所述系统包括内核层和用户层，其中，内核层通过其内设置的Lxczone驱动模块与用户层的授权认证模块连接；所述授权认证模块用于在安全容器与通用容器间进行数据传输时进行数据加密，或用于在安全容器与通用容器间进行系统切换或应用迁移时进行授权认证，从而防止数据泄漏。所述方法包括安全容器在经过授权认证模块授权认证通过后，向通用容器进行系统切换或应用迁移；或在进行数据加密的情况下，与通用容器进行数据传输。本发明实现了宿主系统内系统切换、数据传输及应用迁移操作时的安全性、一致性及完整性。

Description

基于内核内存共享的容器间通讯系统及方法

技术领域

本发明涉及计算机安全技术领域，具体涉及一种基于内核内存共享的容器间通讯系统及方法。

背景技术

由于Android系统的开放性和功能性，越来越多的用户为了满足不同的应用需求，提出了在一台手机上的设置不同安全等级的两个或多个Android操作系统平台，如一个平台用于生活、另一个平台用于工作。这样一方面可以保护用户隐私，一方面将公私应用分开。

同时，随着虚拟化技术的快速发展，和Android系统的硬件系统的不断升级，市场上出现了越来越多的双系统Android手机。但是世面上现有的双系统手机有很多出现了系统切换慢或致崩溃、双系统间数据迁移时效率低、系统间数据迁移时不能对数据进行加密及授权等安全隐患的问题。

bridge模式是docker默认的，也是开发者最常使用的网络模式。在这种模式下，docker为容器创建独立的网络栈，保证容器内的进程使用独立的网络环境，实现容器之间、容器与宿主机之间的网络栈隔离。同时，通过宿主机上的docker0网桥，容器可以与宿主机乃至外界进行网络通信。

图1为现有的docker bridge的网络模式示意图，其中，Docker Container可表示 手机系统，如图1所示：容器从原理上是可以与宿主机乃至外界的其他机器通信的。同一宿 主机上，容器之间都是连接到docker0这个网桥上的，它可以作为虚拟交换机使容器可以相 互通信。并且为了使外界可以方位容器中的进程，docker采用了端口绑定的方式，也就是通 过iptables的NAT，将宿主机上的端口流量转发到容器内的端口上。

然而，此种方法存在以下几个方面的弊端：

1、bridge模式的容器与外界通信时，必定占用宿主机上的端口，从而与宿主机竞争端口资源，对宿主机端口的管理会是一个比较大的问题。

2、由于容器与外界通信是基于三层上iptables NAT，性能和效率上的损耗是可以 预见的。

3、通过TCP网络通信在容器、宿主OS间传输数据，有很大的安全隐患，没有对传输数据做安全验证。

4、容器连接在主机网络中可能引起安全问题。

发明内容

为解决现有技术的不足，本发明提供了一种基于内核内存共享的容器间通讯系统，包括内核层和用户层，其中，内核层通过其内设置的Lxczone驱动模块与用户层的授权认证模块连接；所述授权认证模块用于在安全容器与通用容器间进行数据传输时进行数据加密，或用于在安全容器与通用容器间进行系统切换或应用迁移时进行授权认证，从而防止数据泄漏。

其中，安全容器与通用容器间进行数据传输时，所述授权认证模块将通过其中的数据编码为密文数据。

其中，安全容器与通用容器间进行系统切换或应用迁移时，所述授权认证模块通过pin码、安全策略或指纹认证措施实现授权认证。

其中，Lxczone驱动模块通过向用户层暴露虚拟设备文件dev/lxczone建立与用户层的应用程序进程的通信通道。

其中，Lxczone驱动模块通过Lxczone ioctl函数与用户层的应用程序进程交换数据。

其中，Lxczone驱动模块通过Lxczone write、read函数读写数据，并通过数据包中的cmd域区分不同的请求。

其中，Lxczone驱动模块通过Lxczone thread write函数发送请求或返回结果，通过Lxczone thread read函数读取结果。

本发明另外提供了一种基于内核内存共享的容器间通讯方法：安全容器在经过授权认证模块授权认证通过后，向通用容器进行系统切换或应用迁移；或者，安全容器在由授权认证模块进行数据加密的情况下，与通用容器进行数据传输。

本发明提供的基于内核内存共享的容器间通讯方法，包括如下步骤：

S1：打开设备文件；

S2：将设备文件内容映射到安全容器进程的虚拟内存空间；

S3：将数据传输、系统切换或应用迁移对应的数据写入内核层共享内存区；

S4：通知授权认证模块通信要求；

S5：从内核层共享内存区读取请求数据；

S6：判断请求数据类型；

S7：若请求数据类型为数据传输，则利用不同数据类型密钥进行加密传输数据；若请求数据类型为系统切换或应用迁移，则验证是否有权限；

S8：若请求数据类型为系统切换或应用迁移，在无权限的情况下，返回步骤S3；在有权限的情况下，在通用容器按照相同的方法操作完步骤S1-S3后，通知通用容器进行相应操作。

本发明提供的基于内核内存共享的容器间通讯系统及方法，实现了宿主系统内系统切换、数据传输或应用迁移操作时的安全性。

附图说明

图1：现有的docker bridge的网络模式示意图；

图2：本发明的基于内核内存共享的容器间通讯系统结构示意图；

图3：本发明的授权认证模块的工作原理示意图；

图4：本发明的数据传输示意图；

图5：本发明的基于内核内存共享的容器间通讯方法的工作流程图。

附图标记说明

10 用户层

11 授权认证模块

12 安全容器

13 通用容器

20 内核层

21 Lxczone驱动模块

22 应用软件模块

具体实施方式

为了对本发明的技术方案及有益效果有更进一步的了解，下面配合附图详细说明本发明的技术方案及其产生的有益效果。

图2为本发明的基于内核内存共享的容器间通讯系统结构示意图，如图2所示，针对现有技术的容器间通信技术传输效率低下，无法对传输数据进行安全验证及加密传输的问题，为了保证在同宿主的Docker容器间进行系统切换、数据传输及应用迁移时能够高效、快速且安全地进行通信，本发明提供了一种基于内核内存共享的容器间通讯系统，包括内核层20和用户层10，其中，内核层20通过其内设置的Lxczone驱动模块21与用户层10的授权认证模块11连接；所述授权认证模块11用于在安全容器12与通用容器13间进行数据传输时进行数据加密，或用于在安全容器12与通用容器13间进行系统切换或应用迁移时进行授权认证，从而防止数据泄漏。

具体实施时，Lxczone驱动模块21内的驱动程序向用户空间暴露了一个虚拟设备文件/dev/lxczone，使得应用程序进程可以间接地通过它来建立通信通道。在驱动的实现过程中，主要通过Lxczone ioctl函数与用户空间的进程交换数据。Lxczone write、read用来读写数据，数据包中有一个cmd域用来区分不同的请求。Lxczone thread write函数用于发送请求或返回结果，而Lxczone thread read函数则用于读取结果。与传统的进程间通信机制相比，利用Lxczone通信机制在进程间传输数据时，只需要执行一次拷贝操作，因此，它不仅提高了效率，而且节省了内存空间。

图3及图4分别为本发明的授权认证模块的工作原理示意图及数据传输示意图，如图3-图4所示，通用容器13向安全容器12传递信息(应用迁移、系统切换或数据传输)时，直接经过应用软件模块22传递明文数据即可，而安全容器12向通用容器13传递信息(应用迁移、系统切换或数据传输)时，需要经过授权认证模块11的认证，只有满足认证条件才可以进行操作。

具体实施时，安全容器12与通用容器13间进行数据传输时，所述授权认证模块11可将通过其中的数据编码为密文数据；安全容器12与通用容器13间进行系统切换或应用迁移时，所述授权认证模块11可通过pin码、安全策略或指纹认证措施实现授权认证。

授权认证模块11在本发明提供的基于内核内存共享的容器间通讯系统中可实现的功能如下：

1、可以利用pin码、安全策略、指纹认证等措施来保证传输过程的认证问题。

2、可以在安全容器12与通用容器13之间进行大量的数据通信，方便图片、视频等大文件的传输。

3、可以灵活定制安全容器12与通用容器13之间的通信协议和扩展传输的数据类型，首先，安全容器12与通用容器13之间的数据传输，尤其是从安全容器12操作系统向通用容器13操作系统传输信息，需要安全通信协议做保证，不能够让通用容器13操作系统得到未经授权的信息，同时也得保证数据传输过程中的私密性；另外，安全容器12与通用容器13之间根据应用需求可能会进行各种类型的数据传输，比如图片、视频、音频、系统切换事件、通讯录导入、应用软件的迁移、安全容器12操作系统提供给普通容器13操作系统的安全访问接口(具体可参照TEE规范)等(如图4所示)。

本发明另外提供了一种基于内核内存共享的容器间通讯方法：安全容器在经过授权认证模块授权认证通过后，向通用容器进行系统切换或应用迁移；或者，安全容器在由授权认证模块进行数据加密的情况下，与通用容器进行数据传输。

因此，本发明提供的基于内核内存共享的容器间通讯方法，要求在安全容器12与通用容器13间进行数据传输时，需要调用宿主OS(宿主系统/宿主容器)的授权认证模块11进行安全性验证和数据加密操作。

图5为本发明的基于内核内存共享的容器间通讯方法工作流程图，如图5所示，本发明提供的基于内核内存共享的容器间通讯方法，具体可包括如下步骤：

S1：打开设备文件，具体实施时，可利用open()函数打开设备文件；

S2：将设备文件内容映射到安全容器进程的虚拟内存空间，具体实施时，可通过mmap()函数实现；

S3：将数据传输、系统切换或应用迁移对应的数据写入内核层共享内存区，具体实施时，可通过ioctl()函数实现；

S4：通知授权认证模块通信要求；

S5：从内核层共享内存区读取请求数据；

S6：判断请求数据类型；

S7：若请求数据类型为数据传输，则利用不同数据类型密钥进行加密传输数据；若请求数据类型为系统切换或应用迁移，则验证是否有权限；

S8：若请求数据类型为系统切换或应用迁移，在无权限的情况下，返回步骤S3；在有权限的情况下，在通用容器按照相同的方法操作完步骤S1-S3后，通知通用容器进行相应操作。

通用容器在收到通知后，所进行的操作包括：

S9：判断请求类型；

S10：若请求类型为系统切换，则响应相应操作；若请求类型为应用迁移，则判断是否能读到数据；

S11：在请求类型为应用迁移的情况下，若有数据，则根据消息类型，分类显示处理并删除内存区已处理数据；若没有数据，则显示没有最新数据。

综上，本发明提出了一种基于内核内存共享的同宿主Docker容器间高速、安全的通信方案。通过在宿主系统上实现面向内核内存共享的专用虚拟字符设备驱动和专用数据安全性验证的授权认证模块，Docker容器间的通信进程通过该设备驱动中实现的内存映射方法将同一块内核内存空间映射到宿主OS的授权认证加密进程的地址空间中，进行安全性等验证后，再映射到相应容器进程的地址空间中，在不破坏容器隔离特性的基础上实现容器间的内存共享；在该内核内存共享空间设计实现了面向连接的通信模型，并提供用户级的应用程序接口，实现同宿主Docker容器间的安全、高速互联。

本发明所能实现的有益效果为：

1、在应用程序的数据传输过程中，只需要执行一次拷贝操作，不仅提高了效率，也节省了内存空间，解决了现有技术进行容器间数据传输时效率低下的问题。

2、通过在容器间系统切换、应用迁移时，采用了PIN码、指纹、安全策略等安全手段验证，保证了系统切换的安全性。

3、通过对容器间数据传输过程进行了加密，保证了传输数据的安全性。

4、解决了现有技术进行容器间数据传输时宿主系统的管理混乱问题以及容器间系统切换的授权认证问题、数据传输时未加密的安全问题、应用迁移的权限问题等。

本发明中，所谓的“Docker容器”，是指一个开源的应用容器引擎，使开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的Linux机器上，也可以实现虚拟化。容器完全使用沙箱机制，相互之间不会有任何接口。

本发明中，所谓的“内存映射”，是指由一个文件到一块内存的映射。Linux平台允许应用程序通过内存映射函数mmap，把文件内容映射到进程的虚拟内存空间，通过对这段内存的读取和修改，来现实对文件的读取和修改，而不需要再调用read，write等操作。

本发明中，所谓的“内存共享”，是指允许两个或多个进程共享一给定的存储区，因为数据不需要来回复制，所以是最快的一种进程间通信机制。

本发明中，所谓的“宿主系统”，又叫原生操作系统，本文的宿主系统为Android系统，虚拟机及容器也是Android系统。

本发明中，所谓的“容器间通讯”，是指同宿主Docker容器之间的系统切换、数据共享、应用迁移等操作。

本发明中，所谓的“安全加密芯片”，是指把一些密码、指纹等隐私信息保存在一个独立芯片里面。

本发明中，所谓的“PAM认证模块”，是指由Sun提出的一种认证机制。它通过提供一些动态链接库和一套统一的API，将系统提供的服务和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系统中添加新的认证手段。

虽然本发明已利用上述较佳实施例进行说明，然其并非用以限定本发明的保护范围，任何本领域技术人员在不脱离本发明的精神和范围之内，相对上述实施例进行各种变动与修改仍属本发明所保护的范围，因此本发明的保护范围以权利要求书所界定的为准。

Claims (9)

1.一种基于内核内存共享的容器间通讯系统，其特征在于：包括内核层和用户层，其中，内核层通过其内设置的Lxczone驱动模块与用户层的授权认证模块连接；所述授权认证模块用于在安全容器与通用容器间进行数据传输时进行数据加密，或用于在安全容器与通用容器间进行系统切换或应用迁移时进行授权认证，从而防止数据泄漏。

2.如权利要求1所述的基于内核内存共享的容器间通讯系统，其特征在于：安全容器与通用容器间进行数据传输时，所述授权认证模块将通过其中的数据编码为密文数据。

3.如权利要求1所述的基于内核内存共享的容器间通讯系统，其特征在于：安全容器与通用容器间进行系统切换或应用迁移时，所述授权认证模块通过pin码、安全策略或指纹认证措施实现授权认证。

4.如权利要求1所述的基于内核内存共享的容器间通讯系统，其特征在于：Lxczone驱动模块通过向用户层暴露虚拟设备文件/dev/lxczone建立与用户层的应用程序进程的通信通道。

5.如权利要求4所述的基于内核内存共享的容器间通讯系统，其特征在于：Lxczone驱动模块通过Lxczone ioctl函数与用户层的应用程序进程交换数据。

6.如权利要求5所述的基于内核内存共享的容器间通讯系统，其特征在于：Lxczone驱动模块通过Lxczone write、read函数读写数据，并通过数据包中的cmd域区分不同的请求。

7.如权利要求6所述的基于内核内存共享的容器间通讯系统，其特征在于：Lxczone驱动模块通过Lxczone thread write函数发送请求或返回结果，通过Lxczone thread read函数读取结果。

8.一种基于内核内存共享的容器间通讯方法，其特征在于：安全容器在经过授权认证模块授权认证通过后，向通用容器进行系统切换或应用迁移；或者，安全容器在由授权认证模块进行数据加密的情况下，与通用容器进行数据传输。

9.如权利要求8所述的基于内核内存共享的容器间通讯方法，其特征在于，包括如下步骤：

S1：打开设备文件；

S2：将设备文件内容映射到安全容器进程的虚拟内存空间；

S3：将数据传输、系统切换或应用迁移对应的数据写入内核层共享内存区；

S4：通知授权认证模块通信要求；

S5：从内核层共享内存区读取请求数据；

S6：判断请求数据类型；

S7：若请求数据类型为数据传输，则利用不同数据类型密钥进行加密传输数据；若请求数据类型为系统切换或应用迁移，则验证是否有权限；

S8：若请求数据类型为系统切换或应用迁移，在无权限的情况下，返回步骤S3；在有权限的情况下，在通用容器按照相同的方法操作完步骤S1-S3后，通知通用容器进行相应操作。