CN108572861A - 一种虚拟可信根的保护方法、系统、设备及存储介质 - Google Patents

一种虚拟可信根的保护方法、系统、设备及存储介质 Download PDF

Info

Publication number
CN108572861A
CN108572861A CN201810385807.XA CN201810385807A CN108572861A CN 108572861 A CN108572861 A CN 108572861A CN 201810385807 A CN201810385807 A CN 201810385807A CN 108572861 A CN108572861 A CN 108572861A
Authority
CN
China
Prior art keywords
root
key
virtual credible
physics
trusted root
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201810385807.XA
Other languages
English (en)
Inventor
许鑫
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inspur Beijing Electronic Information Industry Co Ltd
Original Assignee
Inspur Beijing Electronic Information Industry Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inspur Beijing Electronic Information Industry Co Ltd filed Critical Inspur Beijing Electronic Information Industry Co Ltd
Priority to CN201810385807.XA priority Critical patent/CN108572861A/zh
Publication of CN108572861A publication Critical patent/CN108572861A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种虚拟可信根的保护方法，包括：创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；创建用于保护虚拟可信根数据的虚拟可信根保护密钥；采用第一物理可信根硬件密钥对虚拟可信根保护密钥进行加密。本发明中的第一物理可信根硬件密钥存在于物理可信根硬件之中，由于硬件的物理特性实现了对第一物理可信根硬件密钥的隔离与保护，提升了虚拟可信根数据的安全性，有利于虚拟可信根的推广使用。本发明还公开了一种虚拟可信根的保护系统、设备及计算机可读存储介质，具有如上保护方法相同的有益效果。

Description

一种虚拟可信根的保护方法、系统、设备及存储介质
技术领域
本发明涉及信息安全领域，特别是涉及一种虚拟可信根的保护方法，本发明还涉及一种虚拟可信根的保护系统、设备及存储介质。
背景技术
信息安全是制约计算机发展的关键因素之一，而可信根技术可以对计算机中的关键数据进行保护，提高了计算机的安全系数，现有技术中，物理机中的物理可信根能够利用自身硬件的物理特性实现物理可信根数据的隔离与保护，而对于虚拟机中的虚拟可信根来说，虚拟可信根数据以程序的形式存在于虚拟磁盘中，没有经过硬件的隔离与保护，因此现有技术中利用虚拟可信根保护密钥来保护虚拟可信根数据，只有利用保护密钥对虚拟可信根数据进行解密后，才能读取虚拟可信根数据，然而虚拟可信根保护密钥同样是没有经过硬件的隔离与保护的，安全性较差，一旦虚拟可信根保护密钥被窃取，那么虚拟可信根数据同样会被窃取，存在较大安全隐患，限制了虚拟可信根在一些对安全性要求较高的领域的应用。
因此，如何提供一种解决上述技术问题的方案是本领域技术人员目前需要解决的问题。
发明内容
本发明的目的是提供一种虚拟可信根的保护方法，提升了虚拟可信根数据的安全性，有利于虚拟可信根的推广使用；本发明的另一目的是提供一种虚拟可信根的保护系统、设备及存储介质，提升了虚拟可信根数据的安全性，有利于虚拟可信根的推广使用。
为解决上述技术问题，本发明提供了一种虚拟可信根的保护方法，包括：
创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；
创建用于保护虚拟可信根数据的虚拟可信根保护密钥；
采用所述第一物理可信根硬件密钥对所述虚拟可信根保护密钥进行加密。
优选地，所述采用所述第一物理可信根硬件密钥保护所述虚拟可信根保护密钥之后，该保护方法还包括：
在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令；
接收存储于所述目的平台的物理可信根硬件内部的第二物理可信根硬件密钥；
采用所述第二物理可信根硬件密钥为所述第一物理可信根硬件密钥加密；
控制加密过的所述第一物理可信根硬件密钥迁移至所述目的平台。
优选地，所述在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令之后，该方法还包括：
控制所述虚拟可信根保护密钥通过与所述目的平台之间的传输通道迁移至所述目的平台。
优选地，所述控制加密过的所述第一物理可信根硬件密钥迁移至所述目的平台具体为：
控制加密过的所述第一物理可信根硬件密钥通过与所述目的平台之间的传输通道迁移至所述目的平台。
优选地，所述虚拟可信根保护密钥为对称密钥。
为解决上述技术问题，本发明还提供了一种虚拟可信根的保护系统，包括：
第一创建模块，用于创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；
第二创建模块，用于创建用于保护虚拟可信根数据的虚拟可信根保护密钥；
保护模块，用于采用所述第一物理可信根硬件密钥保护所述虚拟可信根保护密钥。
优选地，该保护系统还包括：
发送模块，用于在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令；
接收模块，用于接收存储于所述目的平台的物理可信根硬件内部的第二物理可信根硬件密钥；
加密模块，用于采用所述第二物理可信根硬件密钥为所述第一物理可信根硬件密钥加密；
迁移模块，用于控制加密过的所述第一物理可信根硬件密钥迁移至所述目的平台。
优选地，所述迁移模块还用于：
控制所述虚拟可信根保护密钥通过与所述目的平台之间的传输通道迁移至所述目的平台。
为解决上述技术问题，本发明还提供了一种虚拟可信根的保护设备，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序时实现如上任一项所述虚拟可信根的保护方法的步骤。
为解决上述技术问题，本发明还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上任一项所述虚拟可信根的保护方法的步骤。
本发明提供了一种虚拟可信根的保护方法，包括：创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；创建用于保护虚拟可信根数据的虚拟可信根保护密钥；采用第一物理可信根硬件密钥对虚拟可信根保护密钥进行加密。
可见，本发明中，能够采用创建的存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥对虚拟可信根保护密钥进行保护，此种情况下，即使虚拟可信根保护密钥被窃取，但是虚拟可信根保护密钥已经被第一物理可信根硬件密钥加密成为密文的形式，且第一物理可信根硬件密钥存在于物理可信根硬件之中，由于硬件的物理特性实现了对第一物理可信根硬件密钥的隔离与保护，提升了虚拟可信根数据的安全性，有利于虚拟可信根的推广使用。
本发明还提供了一种虚拟可信根的保护系统、设备及计算机可读存储介质，具有如上保护方法相同的有益效果。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对现有技术和实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的一种虚拟可信根的保护方法的流程示意图；
图2为本发明提供的一种虚拟可信根的保护系统的结构示意图；
图3为本发明提供的一种虚拟可信根的保护设备的结构示意图。
具体实施方式
本发明的核心是提供一种虚拟可信根的保护方法，提升了虚拟可信根数据的安全性，有利于虚拟可信根的推广使用；本发明的另一核心是提供一种虚拟可信根的保护系统、设备及存储介质，提升了虚拟可信根数据的安全性，有利于虚拟可信根的推广使用。
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
请参考图1，图1为本发明提供的一种虚拟可信根的保护方法的流程示意图，包括：
步骤S1：创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；
具体的，创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥具体可以为首先获取物理可信根所有者身份，然后再创建第一物理可信根硬件密钥，其中，物理可信根所有者身份可以作为基于虚拟操作系统模拟器QEMU的物理可信根管理模块管理物理可信根的基础，对于物理可信根的所有操作都可以基于物理可信根的所有者身份进行，然后可以通过物理可信根指令创建可用的第一物理可信根硬件密钥，物理可信根管理模块可以通过密码学功能接口操作物理可信根基于该密钥进行加解密操作，这两步可以看作是对于QEMU在部署完毕使用前，对于物理可信根的初始化操作。
具体的，第一物理可信根硬件密钥存储于自身平台的物理可信根硬件内部，由于物理可信根硬件的物理特性，其内部拥有独立于计算机系统的运算模块与存储模块，通过计算机系统无法获取其内部的数据，只有利用物理可信根硬件提供的索引才可以使用第一物理可信根硬件密钥，安全性较高。
其中，此处的第一物理可信根硬件密钥可以为对称密钥，也可以为非对称密钥，本发明实施例在此不做限定。
具体的，本发明实施例可以在以QEMU和KVM(Keyboard Video Mouse)为基础的虚拟化平台上进行。
步骤S2：创建用于保护虚拟可信根数据的虚拟可信根保护密钥；
具体的，虚拟可信根保护密钥为软件密钥，虚拟机可以利用其对虚拟可信根的输入输出操作进行加解密保护。
步骤S3：采用第一物理可信根硬件密钥对虚拟可信根保护密钥进行加密。
具体的，虚拟机中的虚拟可信根管理模块可以采用物理可信根管理模块提供的密码学功能使用第一物理可信根硬件密钥来对虚拟可信根保护密钥进行加密，此种情况下，虽然虚拟可信根保护密钥以程序的形式存在于计算机系统中，其安全性不高，但是它被第一物理可信根硬件密钥加密成为密文的形式，只有通过第一物理可信根硬件密钥才能将虚拟可信根保护密钥转换成明文的形式进行使用，然而使用第一物理可信根硬件密钥的途径为使用物理可信根硬件为计算机所有者提供的索引来使用第一物理可信根硬件密钥，没有此索引的情况下无法使用第一物理可信根硬件密钥，也就无法使用虚拟可信根保护密钥对虚拟可信根数据进行解密，提高了虚拟可信根保护密钥及虚拟可信根数据的安全性。
具体的，在对虚拟可信根保护密钥加密后便已经将其保护起来，在后续需要使用虚拟可信根保护密钥时可以使用第一物理可信根硬件密钥对其进行解密恢复，例如，在基于QEMU的虚拟机中，当虚拟机启动时，QEMU可以通过密码学功能接口操作物理可信根中的第一物理可信根硬件密钥对虚拟可信根保护密钥进行解密，当虚拟可信根进行输入或输出操作时，QEMU中的虚拟可信根管理模块可以使用保护密钥对输入或输出过程进行对应的加解密操作。
当然，除了基于QEMU外，虚拟机还可以基于例如开放源代码虚拟机监视器XEN或者虚拟机VMvare等，本发明实施例在此不做限定。
本发明提供了一种虚拟可信根的保护方法，包括：创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；创建用于保护虚拟可信根数据的虚拟可信根保护密钥；采用第一物理可信根硬件密钥对虚拟可信根保护密钥进行加密。
可见，本发明中，能够采用创建的存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥对虚拟可信根保护密钥进行保护，此种情况下，即使虚拟可信根保护密钥被窃取，但是虚拟可信根保护密钥已经被第一物理可信根硬件密钥加密成为密文的形式，且第一物理可信根硬件密钥存在于物理可信根硬件之中，由于硬件的物理特性实现了对第一物理可信根硬件密钥的隔离与保护，提升了虚拟可信根数据的安全性，有利于虚拟可信根的推广使用。
在上述实施例的基础上：
作为一种优选的实施例，采用第一物理可信根硬件密钥保护虚拟可信根保护密钥之后，该保护方法还包括：
在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令；
具体的，本发明实施例中的步骤皆为在需要进行虚拟机的迁移时进行，其中向目的平台发送的密钥迁移指令可以为用户主动发出，也可以为程序设定自动发出等，本发明实施例在此不做限定。
其中，在某些情况下用户可能会需要进行虚拟机的迁移，此时可以首先在原平台与目的平台之间建立传输通道，然后再进行虚拟机的迁移操作。
接收存储于目的平台的物理可信根硬件内部的第二物理可信根硬件密钥；
具体的，目的平台在接收到密钥迁移指令后，可以创建一个新的密钥储存在目的平台的物理可信根硬件内部作为第二物理可信根硬件密钥，也可以将目的平台的物理可信根硬件内部原有的闲置的密钥作为第二物理可信根硬件密钥，本发明实施例在此不做限定。
其中，上文提到的原平台可以为第一物理可信根硬件密钥及虚拟可信根保护密钥所在的平台。
其中，虚拟机内部可以划分多个模块，例如基于QEMU的虚拟机可以包括物理可信根管理模块、虚拟可信根保护密钥管理模块、迁移模块等。其中：
物理可信根管理模块可以用于操作物理可信根，负责物理可信根中密钥的管理及维护，通过物理可信根的密码学功能保护虚拟可信根保护密钥；
虚拟可信根保护密钥管理模块可以用于保护虚拟可信根，负责对虚拟可信根数据进行加解密保护，保障虚拟可信根数据在磁盘中以密文状态存在，数据加载时被恢复为密文；
迁移模块可以用于物理可信根中的密钥在源平台和目的平台之间的迁移工作，保障虚拟可信根保护密钥迁移至目的平台时对应的物理可信根中的密钥已迁移至目的平台，同时可以负责虚拟可信根数据迁移。
采用第二物理可信根硬件密钥为第一物理可信根硬件密钥加密；
具体的，原平台可以在接收到第二物理可信根硬件密钥之后，采用第二物理可信根硬件密钥将第一物理可信根硬件密钥进行加密保护，将其转换成为密文的形式。
控制加密过的第一物理可信根硬件密钥迁移至目的平台。
具体的，原平台可以控制密文形式的第一物理可信根硬件密钥迁移至目的平台，由于第一物理可信根硬件密钥在迁移过程中是以密文的形式存在，因此即使在迁移过程中第一物理可信根硬件密钥被恶意窃取，窃取者也无法将第一物理可信根硬件密钥进行解密使用，保障了迁移过程中的第一物理可信根硬件密钥的安全性。
具体的，对于迁移的具体形式，本发明实施例在此不做限定。
其中，在将第一物理可信根硬件密钥迁移至目的平台后，目的平台可以采用第二物理可信根硬件密钥对第一物理可信根硬件密钥进行解密。
作为一种优选的实施例，在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令之后，该方法还包括：
控制虚拟可信根保护密钥通过与目的平台之间的传输通道迁移至目的平台。
考虑到现有技术中在进行虚拟机的迁移时，无法将虚拟可信根保护密钥进行一并迁移，只能通过用户自主地将虚拟可信根保护密钥迁移至目的平台，例如通过U盘拷贝到虚拟可信根保护密钥之后转移到目的平台，本发明实施例中，通过与目的平台之间的传输通道迁移虚拟可信根保护密钥可以实现虚拟可信根保护密钥与虚拟机一并进行自动化地迁移，无需再通过用户手动的迁移虚拟可信根保护密钥，提高了工作效率。
当然，除了通过与目的平台之间的传输通道迁移虚拟可信根保护密钥外，还可以采用其他的形式来迁移虚拟可信根保护密钥，本发明实施例在此不做限定。
另外，在第一物理可信根硬件密钥及虚拟可信根保护密钥迁移完毕后，可以正常地执行虚拟机的迁移流程，待迁移工作全部完成后，在目的平台可以使用虚拟可信根保护密钥来保护虚拟可信根数据。
另外，对于虚拟可信根保护密钥与第一物理可信根硬件密钥的迁移顺序，本发明实施例不做限定。
作为一种优选的实施例，控制加密过的第一物理可信根硬件密钥迁移至目的平台具体为：
控制加密过的第一物理可信根硬件密钥通过与目的平台之间的传输通道迁移至目的平台。
具体的，本发明实施例中，第一物理可信根硬件密钥的迁移过程可以通过原平台与目的平台之间的传输通道完成，无需用户手动操作转移第一物理可信根硬件密钥，进一步提高了工作效率。
当然，除了通过与目的平台之间的传输通道传输第一物理可信根硬件密钥外，还可以采用其他的形式进行密钥迁移，本发明实施例在此不做限定。
作为一种优选的实施例，虚拟可信根保护密钥为对称密钥。
具体的，对称密钥加密又叫专用密钥加密，即发送和接收数据的双方必使用相同的密钥对明文进行加密和解密运算，对称密钥在处理较大的文件数据时，具有处理速度快的优势。
当然，虚拟可信根保护密钥也可以采用非对称密钥，本发明实施例在此不做限定。
请参考图2，图2为本发明提供的一种虚拟可信根的保护系统，包括：
第一创建模块1，用于创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；
第二创建模块2，用于创建用于保护虚拟可信根数据的虚拟可信根保护密钥；
保护模块3，用于采用第一物理可信根硬件密钥保护虚拟可信根保护密钥。
作为一种优选的实施例，该保护系统还包括：
发送模块，用于在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令；
接收模块，用于接收存储于目的平台的物理可信根硬件内部的第二物理可信根硬件密钥；
加密模块，用于采用第二物理可信根硬件密钥为第一物理可信根硬件密钥加密；
迁移模块，用于控制加密过的第一物理可信根硬件密钥迁移至目的平台。
作为一种优选的实施例，迁移模块还用于：
控制虚拟可信根保护密钥通过与目的平台之间的传输通道迁移至目的平台。
对于本发明提供的虚拟可信根的保护系统的介绍请参照上述保护方法的实施例，本发明实施例在此不再赘述。
请参考图3，图3为本发明提供的一种虚拟可信根的保护设备，包括：
存储器4，用于存储计算机程序；
处理器5，用于执行计算机程序时实现如上任一项虚拟可信根的保护方法的步骤。
对于本发明提供的虚拟可信根的保护设备的介绍请参照上述保护方法的实施例，本发明实施例在此不再赘述。
本发明还提供了一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现如上任一项虚拟可信根的保护方法的步骤。
对于本发明提供的计算机可读存储介质的介绍请参照上述保护方法的实施例，本发明实施例在此不再赘述。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者设备中还存在另外的相同要素。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其他实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种虚拟可信根的保护方法，其特征在于，包括：
创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；
创建用于保护虚拟可信根数据的虚拟可信根保护密钥；
采用所述第一物理可信根硬件密钥对所述虚拟可信根保护密钥进行加密。
2.根据权利要求1所述的保护方法，其特征在于，所述采用所述第一物理可信根硬件密钥保护所述虚拟可信根保护密钥之后，该保护方法还包括：
在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令；
接收存储于所述目的平台的物理可信根硬件内部的第二物理可信根硬件密钥；
采用所述第二物理可信根硬件密钥为所述第一物理可信根硬件密钥加密；
控制加密过的所述第一物理可信根硬件密钥迁移至所述目的平台。
3.根据权利要求2所述的保护方法，其特征在于，所述在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令之后，该方法还包括：
控制所述虚拟可信根保护密钥通过与所述目的平台之间的传输通道迁移至所述目的平台。
4.根据权利要求2所述的保护方法，其特征在于，所述控制加密过的所述第一物理可信根硬件密钥迁移至所述目的平台具体为：
控制加密过的所述第一物理可信根硬件密钥通过与所述目的平台之间的传输通道迁移至所述目的平台。
5.根据权利要求1所述的保护方法，其特征在于，所述虚拟可信根保护密钥为对称密钥。
6.一种虚拟可信根的保护系统，其特征在于，包括：
第一创建模块，用于创建存储于自身平台的物理可信根硬件内部的第一物理可信根硬件密钥；
第二创建模块，用于创建用于保护虚拟可信根数据的虚拟可信根保护密钥；
保护模块，用于采用所述第一物理可信根硬件密钥保护所述虚拟可信根保护密钥。
7.根据权利要求6所述的保护系统，其特征在于，该保护系统还包括：
发送模块，用于在需要进行虚拟机的迁移时，向目的平台发送密钥迁移指令；
接收模块，用于接收存储于所述目的平台的物理可信根硬件内部的第二物理可信根硬件密钥；
加密模块，用于采用所述第二物理可信根硬件密钥为所述第一物理可信根硬件密钥加密；
迁移模块，用于控制加密过的所述第一物理可信根硬件密钥迁移至所述目的平台。
8.根据权利要求7所述的保护系统，其特征在于，所述迁移模块还用于：
控制所述虚拟可信根保护密钥通过与所述目的平台之间的传输通道迁移至所述目的平台。
9.一种虚拟可信根的保护设备，其特征在于，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序时实现如权利要求1至5任一项所述虚拟可信根的保护方法的步骤。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述虚拟可信根的保护方法的步骤。
CN201810385807.XA 2018-04-26 2018-04-26 一种虚拟可信根的保护方法、系统、设备及存储介质 Pending CN108572861A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810385807.XA CN108572861A (zh) 2018-04-26 2018-04-26 一种虚拟可信根的保护方法、系统、设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810385807.XA CN108572861A (zh) 2018-04-26 2018-04-26 一种虚拟可信根的保护方法、系统、设备及存储介质

Publications (1)

Publication Number Publication Date
CN108572861A true CN108572861A (zh) 2018-09-25

Family

ID=63574316

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810385807.XA Pending CN108572861A (zh) 2018-04-26 2018-04-26 一种虚拟可信根的保护方法、系统、设备及存储介质

Country Status (1)

Country Link
CN (1) CN108572861A (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110109731A (zh) * 2019-04-19 2019-08-09 苏州浪潮智能科技有限公司 一种云环境下虚拟可信根的管理方法与系统
CN110378131A (zh) * 2019-06-25 2019-10-25 苏州浪潮智能科技有限公司 一种利用可信根管理cryptsetup密钥的方法、系统及装置
CN110472400A (zh) * 2019-08-22 2019-11-19 山东浪潮人工智能研究院有限公司 一种基于人脸识别的可信计算机系统及实现方法
CN111159716A (zh) * 2019-12-24 2020-05-15 联想(北京)有限公司 一种安全保护方法及电子设备
CN113987599A (zh) * 2021-12-28 2022-01-28 苏州浪潮智能科技有限公司 一种固件可信根的实现方法、装置、设备和可读存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105528239A (zh) * 2016-01-15 2016-04-27 北京工业大学 基于可信根服务器的虚拟可信平台模块的密钥管理方法
CN105912953A (zh) * 2016-05-11 2016-08-31 北京北信源软件股份有限公司 一种基于可信启动的虚拟机数据保护方法
US20160315768A1 (en) * 2015-04-22 2016-10-27 Alibaba Group Holding Limited Method, apparatus, and system for cloud-based encryption machine key injection
CN106656492A (zh) * 2017-01-13 2017-05-10 浪潮(北京)电子信息产业有限公司 一种tpm芯片的密钥迁移方法及装置
CN107465689A (zh) * 2017-09-08 2017-12-12 大唐高鸿信安（浙江）信息科技有限公司 云环境下的虚拟可信平台模块的密钥管理系统及方法
CN107483187A (zh) * 2017-08-02 2017-12-15 浪潮(北京)电子信息产业有限公司 一种基于可信密码模块的数据保护方法及装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160315768A1 (en) * 2015-04-22 2016-10-27 Alibaba Group Holding Limited Method, apparatus, and system for cloud-based encryption machine key injection
CN105528239A (zh) * 2016-01-15 2016-04-27 北京工业大学 基于可信根服务器的虚拟可信平台模块的密钥管理方法
CN105912953A (zh) * 2016-05-11 2016-08-31 北京北信源软件股份有限公司 一种基于可信启动的虚拟机数据保护方法
CN106656492A (zh) * 2017-01-13 2017-05-10 浪潮(北京)电子信息产业有限公司 一种tpm芯片的密钥迁移方法及装置
CN107483187A (zh) * 2017-08-02 2017-12-15 浪潮(北京)电子信息产业有限公司 一种基于可信密码模块的数据保护方法及装置
CN107465689A (zh) * 2017-09-08 2017-12-12 大唐高鸿信安（浙江）信息科技有限公司 云环境下的虚拟可信平台模块的密钥管理系统及方法

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110109731A (zh) * 2019-04-19 2019-08-09 苏州浪潮智能科技有限公司 一种云环境下虚拟可信根的管理方法与系统
CN110378131A (zh) * 2019-06-25 2019-10-25 苏州浪潮智能科技有限公司 一种利用可信根管理cryptsetup密钥的方法、系统及装置
CN110472400A (zh) * 2019-08-22 2019-11-19 山东浪潮人工智能研究院有限公司 一种基于人脸识别的可信计算机系统及实现方法
CN110472400B (zh) * 2019-08-22 2021-06-01 浪潮集团有限公司 一种基于人脸识别的可信计算机系统及实现方法
CN111159716A (zh) * 2019-12-24 2020-05-15 联想(北京)有限公司 一种安全保护方法及电子设备
CN113987599A (zh) * 2021-12-28 2022-01-28 苏州浪潮智能科技有限公司 一种固件可信根的实现方法、装置、设备和可读存储介质
CN113987599B (zh) * 2021-12-28 2022-03-22 苏州浪潮智能科技有限公司 一种固件可信根的实现方法、装置、设备和可读存储介质
WO2023123850A1 (zh) * 2021-12-28 2023-07-06 苏州浪潮智能科技有限公司 一种固件可信根的实现方法、装置、设备和可读存储介质

Similar Documents

Publication Publication Date Title
CN108572861A (zh) 一种虚拟可信根的保护方法、系统、设备及存储介质
CN103748827B (zh) 用于无线数据保护的系统和方法
CN104160407B (zh) 利用存储控制器总线接口以确保存储设备和主机之间的数据传输安全
US8391494B1 (en) Systems and methods for protecting enterprise rights management keys
KR101565223B1 (ko) 인플레이스 암호화 시스템 및 방법
WO2019104988A1 (zh) Plc的安全处理单元及其总线仲裁方法
US9215067B2 (en) Achieving storage efficiency in presence of end-to-end encryption using downstream decrypters
US20030088783A1 (en) Systems, methods and devices for secure computing
CN103106372A (zh) 用于Android系统的轻量级隐私数据加密方法及系统
CN104392188A (zh) 一种安全数据存储方法和系统
US20080235521A1 (en) Method and encryption tool for securing electronic data storage devices
CN101593252B (zh) 一种计算机对usb设备进行访问的控制方法和系统
CN104834873A (zh) 一种用于云数据信息加密解密的u盘及实现方法
US8891773B2 (en) System and method for key wrapping to allow secure access to media by multiple authorities with modifiable permissions
CN102495986A (zh) 计算机系统中实现避免加密数据被盗用的调用控制方法
CN103294969A (zh) 文件系统挂载方法和装置
CN104463020B (zh) 存储器数据完整性保护的方法
US8639941B2 (en) Data security in mobile devices
CA2773293A1 (en) Multiple independent encryption domains
CN101561855A (zh) 一种计算机对usb设备进行访问的控制方法和系统
CN104023009B (zh) 一种Web系统许可证验证方法
CN104780048A (zh) 一种轻量级的镜像文件加密系统和方法
CN204669402U (zh) 一种基于u盘的云数据信息加密解密系统
Benadjila et al. Secure storage—Confidentiality and authentication
CN112688999B (zh) 云存储模式下基于TrustZone的密钥使用次数管理方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20180925