CN111190694A - 一种基于鲲鹏平台的虚拟化安全加固方法及装置 - Google Patents

Abstract

本申请公开了一种基于鲲鹏平台的虚拟化安全加固方法及装置，用以解决虚拟化技术中的安全防护能力较低的问题。预先部署有基于鲲鹏处理器的管理服务器与若干运行服务器，所述管理服务器管理所述若干运行服务器，所述若干运行服务器分别运行有若干虚拟机系统，所述方法包括：所述管理服务器根据自身的鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；所述若干运行服务器分别根据鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；所述管理服务器与所述各运行服务器，分别基于相应的数字证书，在所述管理服务器与各运行服务器之间建立安全套接层通道，以便进行加密通信。

Description

一种基于鲲鹏平台的虚拟化安全加固方法及装置

技术领域

本申请涉及信息安全技术领域，尤其涉及一种基于鲲鹏平台的虚拟化安全加固方法及装置。

背景技术

虚拟化，是指通过虚拟化技术，在一台服务器上同时运行多个虚拟机系统，并且每个虚拟机系统内的应用程序都可以在相互独立的空间内运行而互不影响，从而显著提高服务器的工作效率。

但是，虚拟化技术带来的资源的虚拟化和集中化，使不同的虚拟化主机间的网络及逻辑边界越来越难于控制及防护。在这种情况下，传统方式下的网络防火墙、网络入侵检测防护等技术都失去了应有的安全防护作用。

因此，虚拟化技术中的安全防护问题，成为亟待解决的一个问题。

发明内容

本申请实施例提供一种基于鲲鹏平台的虚拟化安全加固方法及装置，用以解决虚拟化技术中的安全防护问题。

本申请实施例提供的一种基于鲲鹏平台的虚拟化安全加固方法，预先部署有基于鲲鹏处理器的管理服务器与若干运行服务器，所述管理服务器管理所述若干运行服务器，所述若干运行服务器分别运行有若干虚拟机系统，所述方法包括：

所述管理服务器根据自身的鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

所述若干运行服务器分别根据鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

所述管理服务器与所述各运行服务器，分别基于相应的数字证书，在所述管理服务器与各运行服务器之间建立安全套接层通道，以便进行加密通信。

本申请实施例提供的一种基于鲲鹏平台的虚拟化安全加固装置，预先部署有基于鲲鹏处理器的管理服务器与若干运行服务器，所述管理服务器管理所述若干运行服务器，所述若干运行服务器分别运行有若干虚拟机系统，包括：

第一生成模块，所述管理服务器根据自身的鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

第二生成模块，所述若干运行服务器分别根据鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

通信模块，所述管理服务器与所述各运行服务器，分别基于相应的数字证书，在所述管理服务器与各运行服务器之间建立安全套接层通道，以便进行加密通信。

本申请实施例提供一种基于鲲鹏平台的虚拟化安全加固方法及装置，本方法基于鲲鹏处理器的内置加密模块，采用国密算法，生成各服务器的数字证书的密钥。通过对各个通信过程建立安全套接层通道，经过双向认证，确保数据不会被轻易截获与篡改，保证通信过程中的数据安全性，提升虚拟化环境的安全防护能力。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的基于鲲鹏平台的虚拟化安全加固方法流程图；

图2为本申请实施例提供的基于鲲鹏平台的虚拟化安全加固装置结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

图1为本申请实施例提供的基于鲲鹏平台的虚拟化安全加固方法流程图，具体包括以下步骤：

S101：部署基于鲲鹏处理器的管理服务器与若干运行服务器。

在本申请实施例中，首先，可基于鲲鹏平台部署管理服务器与若干运行服务器。其中，鲲鹏平台为基于鲲鹏处理器的服务器，鲲鹏处理器为一种高性能数据中心处理器，具有高性能，高带宽，高集成度，高效能四大特点。

具体的，基于鲲鹏处理器部署的若干服务器可视为一整个虚拟化系统。该系统包括一个管理服务器与若干运行服务器，管理服务器与各个运行服务器之间，以及各个运行服务器相互之间，均可进行通信。

其中，管理服务器由管理员进行控制，管理员可通过一定的用户操作界面，对管理服务器进行操作，从而控制与管理服务器连接的若干运行服务器。各个运行服务器上分别可运行有若干虚拟机系统，于是，管理服务器也可对若干虚拟机系统进行控制。

具体的，管理员通过管理服务器进行的操作可包括：向相应的运行服务器发送指令，接收各运行服务器上传的数据，向各运行服务器返回相应的数据，对数据库中存储的数据进行管理，等等。其中，管理服务器向运行服务器发送的指令可包括创建新的虚拟机系统，创建用户，等等。

S102：根据鲲鹏平台的内置加密模块，采用国密算法，分别生成管理服务器与若干运行服务器的数字证书的密钥。

在本申请实施例中，为了确保管理服务器与各个运行服务器之间、以及各个运行服务器相互之间的通信安全，可在安装部署各个服务器时，通过认证中心(CertificateAuthority，CA)为管理服务器以及各个运行服务器颁布数字证书。其中，认证中心是具有一定权威力的认证机构，通过认证中心发布的数字证书，可对数字证书的所有者的身份进行验证。

具体的，认证中心在制作数字证书时，可通过鲲鹏平台的内置加密模块，采用国密算法，生成数字证书中相应服务器对应的公钥，并将公钥写入数字证书中。其中，数字证书的内容包括数字证书的发布机构、数字证书的有效期、数字证书所有者对应的公钥、数字证书的所有者、认证中心签名时所使用的算法、指纹和指纹算法。

通过鲲鹏平台的内置加密模块生成各个服务器的数字证书的密钥，无需外接其他的加密设备，使该虚拟化系统可在不借助外部系统、组件或装置的情况下，实现系统的虚拟化环境的安全防护。

S103：基于相应的数字证书，在管理服务器与各运行服务器之间建立安全套接层通道，进行加密通信。

在本申请实施例中，基于各服务器的数字证书，可为各服务器之间的通信建立安全套接层(Secure Sockets Layer，SSL)通道，从而通过SSL技术实现加密通信。

在一个实施例中，管理服务器与运行服务器之间的通信可包括：管理服务器向运行服务器发送指令、管理服务器与运行服务器之间进行数据传输等。

具体的，当管理服务器向运行服务器发送指令时，管理服务器与运行服务器之间的通信过程如下：

首先，相应的运行服务器在接收到管理服务器发送的指令后，为了验证管理服务器的身份，可获取管理服务器的数字证书。同时，运行服务器可获取管理服务器采用自己的私钥进行加密后的密文以及相应的明文。

其次，运行服务器可采用获得的数字证书中的公钥，对获得的密文进行解密，若解密得到的结果与获得的明文一致，表示验证通过。运行服务器可确定管理服务器的身份合法。

之后，运行服务器可将自己的数字证书发送给管理服务器，使管理服务器对自己的身份进行验证与确认。

双方均验证通过后，运行服务器可将自己支持的所有加密方案(即国密算法)发送给管理服务器。管理服务器从中选择要采用的对称加密算法，并采用运行服务器的公钥，对确定出的对称加密算法进行加密后，发送给运行服务器。

之后，运行服务器可采用自己的私钥进行解密，根据解密得到的对称加密算法，生成密钥后，将密钥发送给管理服务器。

最终，管理服务器与运行服务器之间可采用对称加密算法以及相应的，进行加密通信。

通过建立SSL通道，进行管理服务器与运行服务器的双向认证，可确保在管理服务器与运行服务器的通信过程中，相关的通信数据，包括指令内容、数据内容等，不会被轻易截获与篡改，从而保证数据的安全性，也确保双方的正常通信不会被干扰。

在一个实施例中，该虚拟化系统包括一个数据库，数据库由管理服务器进行管理，系统中所有运行服务器的相关数据，都可通过管理服务器，存储在数据库中。因此，为了确保数据库的访问安全，可在管理服务器与数据库之间同样也建立SSL通道，以实现数据库的加密访问。具体的管理服务器与数据库之间的通信过程与管理服务器与运行服务器之间的通信过程的原理基本相同，本申请在此不再赘述。

通过在管理服务器与数据库之间建立SSL通道，限制了对数据库进行访问的条件，提升了数据库访问的安全性，有利于增强数据存储的安全性，确保数据库不会被非法入侵，以造成数据泄露。

进一步地，为了加强数据库中数据存储的安全性，可从数据库存储的所有数据中，确定一定的敏感字段，包括涉及个人隐私、机密的用户的住址、密码等数据，进行加密存储。其中，具体的加密等过程可由管理服务器完成。

这样，能够进一步增强数据存储的安全性，保证数据不会轻易被不法分子得知，从而保证数据不会轻易泄露。

在一个实施例中，系统中包括两种用户：管理员与普通用户。管理员为系统的管理人员，可通过对管理服务器的操作，控制系统中的各运行服务器。普通用户为各虚拟机系统的使用者，可通过相应的用户终端，对运行服务器中运行的虚拟机系统进行操作。

于是，为了进一步加强系统的安全性，可在各运行服务器与用户终端之间也建立SSL通道，对用户终端与各运行服务器之间的通信过程也进行加密通信。具体的用户终端与运行服务器之间的通信过程与管理服务器与运行服务器之间的通信过程的原理基本相同，本申请在此不再赘述。

这样能够保证用户与运行服务器进行交互时，在交互过程中的通信数据不会被轻易截获与篡改，确保通信数据的安全性，确保用户使用虚拟机系统的安全性，也确保用户账户的安全性。

在一个实施例中，在某些情况下，各运行服务器之间也可能会进行通信，例如，虚拟机系统从一台运行服务器迁移到另一台运行服务器中，等。因此，为了确保各运行服务器之间通信的安全性，可在各运行服务器相互之间建立SSL通道，以对虚拟机系统的迁移等通信过程进行安全防护。这样能够确保虚拟机系统能够实现安全迁移，确保迁移过程中的数据的安全性。

在本申请实施例中，基于鲲鹏处理器的内置加密模块，生成各个服务器的数字证书，并通过对虚拟化系统中管理服务器与运行服务器之间、各运行服务器相互之间、以及运行服务器与用户终端之间的通信过程建立SSL通道，可确保每次通信过程中数据的安全性，防止通信过程中的数据被篡改，也防止通信数据被轻易截获，以此保证系统中的每次通信过程的安全与顺利进行，从而保证整个虚拟化环境的安全性。

以上为本申请实施例提供的基于鲲鹏平台的虚拟化安全加固方法，基于同样的发明思路，本申请实施例还提供了相应的基于鲲鹏平台的虚拟化安全加固装置，如图2所示。

图2为本申请实施例提供的基于鲲鹏平台的虚拟化安全加固装置结构示意图，具体包括：

第一生成模块201，所述管理服务器根据自身的鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

第二生成模块202，所述若干运行服务器分别根据鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

通信模块203，所述管理服务器与所述各运行服务器，分别基于相应的数字证书，在所述管理服务器与各运行服务器之间建立安全套接层通道，以便进行加密通信。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (7)

1.一种基于鲲鹏平台的虚拟化安全加固方法，其特征在于，预先部署有基于鲲鹏处理器的管理服务器与若干运行服务器，所述管理服务器管理所述若干运行服务器，所述若干运行服务器分别运行有若干虚拟机系统，所述方法包括：

所述管理服务器根据自身的鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

所述若干运行服务器分别根据鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

所述管理服务器与所述各运行服务器，分别基于相应的数字证书，在所述管理服务器与各运行服务器之间建立安全套接层通道，以便进行加密通信。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述管理服务器与鲲鹏平台数据库，基于各自的数字证书，在所述管理服务器与数据库之间建立安全套接层通道，进行数据库的加密访问。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述运行服务器与所述用户终端，基于各自的数字证书，在所述运行服务器与用户终端之间建立安全套接层通道，进行加密通信。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述若干运行服务器基于各自的数字证书，在所述若干运行服务器相互之间建立安全套接层通道，进行虚拟机系统的迁移。

5.根据权利要求1所述的方法，其特征在于，基于相应的数字证书，在所述管理服务器与各运行服务器之间建立安全套接层通道，进行加密通信，具体包括：

运行服务器接收所述管理服务器发送的指令；

根据所述管理服务器的数字证书，对所述管理服务器的身份及密钥进行验证；

向所述管理服务器发送自己的数字证书，以使所述管理服务器进行验证；

确定采用的加密算法，进行加密通信。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

确定所述管理服务器与各运行服务器的共同数据库中的敏感字段，对确定出的敏感字段进行加密存储。

7.一种基于鲲鹏平台的虚拟化安全加固装置，其特征在于，预先部署有基于鲲鹏处理器的管理服务器与若干运行服务器，所述管理服务器管理所述若干运行服务器，所述若干运行服务器分别运行有若干虚拟机系统，所述装置包括：

第一生成模块，所述管理服务器根据自身的鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

第二生成模块，所述若干运行服务器分别根据鲲鹏处理器的加密模块，采用国密算法，生成自身的数字证书的密钥；

通信模块，所述管理服务器与所述各运行服务器，分别基于相应的数字证书，在所述管理服务器与各运行服务器之间建立安全套接层通道，以便进行加密通信。

Images