CN112579112B - 一种镜像安全处理、部署方法、装置及存储介质 - Google Patents

Abstract

本申请实施例提供一种镜像安全处理、部署方法、装置及存储介质。在本申请的一些实施例中，获取待处理的镜像压缩包文件；利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理；调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件。通过先利用对称密钥对镜像压缩包进行加密，进而再利用非对称私钥对对称密钥进行加密，能够有效提高镜像压缩包安全保护效果，同时还能获得较高的加密效率。

Description

一种镜像安全处理、部署方法、装置及存储介质

技术领域

本申请计算机技术领域，尤其涉及一种镜像安全处理、部署方法、装置及存储介质。

背景技术

随着计算机技术的不断发展，越来越多的软件产品得到开发、应用。软件在开发完成之后，会根据需求方指定的方式进行交付以及安装。

在实际应用中，当软件完成开发之后，会生成产品包，在产品包里面包括主程序代码、安装脚本、文档说明、数据库、软件平台等所需的依赖文件。在进行文件交付的时候，有的为了方便直接将产品包压缩成镜像压缩包就进行交付、安装。有的可能会利用对称密钥将产品包进行压缩、加密处理，生成加密状态的镜像压缩包。即便如此，在对称密钥跟随加密镜像压缩包文件一起传输的时候，这种加密方式也很容易被破解。破解之后，明文镜像压缩包中的内容就完全可见，很容易被窃取。

因此，需要一种能够实现镜像包的安全交付与部署的方案。

发明内容

本申请的多个方面提供一种镜像安全处理、部署方法、装置及存储介质，用以为镜像压缩包的交付和部署提供有效安全保护的方案。

本申请实施例提供一种镜像安全处理方法，应用于服务端，所述方法包括：

获取待处理的镜像压缩包文件；

利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理；

调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；

基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件。

可选地，所述利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理，包括：

解析所述待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件；

利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件。

可选地，所述镜像压缩包文件中还包括层级信息索引文件；

生成至少一个加密层级系统文件之后，还包括：

基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；

基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

可选地，所述基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件，包括：

基于所述至少一个加密层级系统文件、所述重构层级信息索引文件和所述消息验证码MAC配置生成加密镜像压缩包文件。

可选地，所述调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥，包括：

调用包含imgcrypt的USBkey加密工具；

基于所述USBkey加密工具获取或生成非对称公钥；

基于所述非对称公钥对所述对称密钥进行加密处理。

可选地，所述调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥，包括：

调用包含imgcrypt的KMS加密工具；

通过所述KMS加密工具获取或生成非对称公钥；

基于非对称公钥对所述对称密钥进行加密处理。

可选地，所述对称密钥的生成方式，包括：

生成所述镜像压缩包文件中各所述层级系统文件对应的层级摘要；

基于多个所述层级摘要，生成分别对应的多个不同的对称密钥。

可选地，生成加密镜像压缩包文件之后，还包括：

发送所述加密镜像压缩包文件给镜像需求方；其中，所述非对称密钥加密工具中的非对称公钥由所述镜像需求方提供的。

第二方面，本申请实施例提供一种镜像安全部署方法，应用于服务端，所述方法包括：

基于第一方面所述镜像安全处理方法进行镜像安全部署方法，包括：

确定待部署的加密镜像压缩包文件的部署环境；

基于所述部署环境，从对应的解密工具获取非对称私钥；

利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；

基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署。

可选地，确定所述待部署的镜像压缩包文件中待解密的所述层级系统文件；

基于所述非对称私钥，对至少一个所述层级系统文件分别对应的至少一个加密对称密钥进行解密，得到至少一个对称密钥；

基于至少一个所述对称密钥对至少一个所述层级系统文件分别进行解密，以便对所述待部署的镜像压缩包文件进行部署操作。

可选地，若所述部署环境为实体机设备，建立所述本地设备与所述USBkey的连接；

将所述USBkey的Hostname修改为install-key；

基于本地设备从USBkey获取非对称私钥。

可选地，若所述部署环境为云容器，基于KMS控制台获取所述非对称私钥。

本申请实施例提供一种镜像安全处理装置，应用于客户端，所述装置包括：

确定模块，用于确定待部署的加密镜像压缩包文件的部署环境；

获取模块，用于基于所述部署环境，从对应的解密工具获取非对称私钥；

解密模块，用于利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；

所述解密模块，还用于基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署。

本申请实施例提供一种存储有计算机程序的计算机可读存储介质，当所述计算机程序被一个或多个处理器执行时，致使所述一个或多个处理器执行包括以下的动作：

确定待部署的加密镜像压缩包文件的部署环境；

基于所述部署环境，从对应的解密工具获取非对称私钥；

利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；

基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署。

在本申请的一些实施例中，获取待处理的镜像压缩包文件；利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理；调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件。通过上述方案，先利用对称密钥对镜像压缩包进行加密，进而再利用非对称私钥对对称密钥进行加密，能够有效提高镜像压缩包安全保护效果，同时还能获得较高的加密效率。

此外，在通过上述方案得到加密后的镜像压缩包之后，可以进一步对镜像压缩包进行安全部署。具体来说，先确定待部署的镜像压缩包文件的部署环境（比如本地设备或者云容器）；基于所述部署环境，从对应的解密工具获取非对称私钥；利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署。通过上述方案，在进行镜像压缩包的部署的时候，对镜像压缩包解压之后，得到加密对称密钥。利用非对称私钥对加密对称密钥进行解密，得到对称密钥。进而需要利用对称密钥对镜像压缩包进行解密。使得在镜像压缩包在部署过程中，能够有效确保对称密钥的安全，进而能够有效提高镜像压缩包在部署过程中的安全效果。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的一种镜像安全处理方法的流程示意图；

图2为本申请实施例提供的一种imgcrypt工具镜像压缩包文件加密的流程示意图；

图3为本申请实施例提供的举例说明镜像安全处理的流程示意图；

图4为本申请实施例提供的一种镜像安全部署方法的流程示意图；

图5为本申请实施例提供的一种镜像安全处理装置的结构示意图；

图6为本申请实施例提供的一种镜像安全部署装置的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在本申请实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本申请实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义，“多种”一般包含至少两种，但是不排除包含至少一种的情况。

取决于语境，如在此所使用的词语“如果”、“若”可以被解释成为“在……时”或“当……时”或“响应于确定”或“响应于检测”。类似地，取决于语境，短语“如果确定”或“如果检测（陈述的条件或事件）”可以被解释成为“当确定时”或“响应于确定”或“当检测（陈述的条件或事件）时”或“响应于检测（陈述的条件或事件）”。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的商品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种商品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的商品或者系统中还存在另外的相同要素。

软件产品在开发完成后，会根据需要交付给需求方，并根据需求方指定的环境进行安装部署。在交付和安装的过程中，通常采用镜像压缩包的方式进行交付和安装部署。然而，在交付过程中，若镜像压缩包被非法拦截并解压，那么会导致压缩包中的各种文件都被非法人员获取并了解产品整体结构。同样，在镜像压缩包安装部署过程中，现有技术中通常是解压后直接获得软件产品各种文件后就可以进行部署。若部署环境不设定访问权限或者限制措施不到位，很容易被非法访问部署环境并获取到镜像压缩包中的系统文件目录，以及业务程序。

为了使得软件产品的镜像压缩包在交付和部署过程中获得更好的保护效果，特提出本申请技术方案。以下结合附图，详细说明本申请各实施例提供的技术方案。

图1为本申请实施例提供的一种镜像安全处理方法的流程示意图。本方法主要应用于服务端，这里所说的服务端可以是本地服务端也可以是云服务器等，在本申请技术方案中并不做具体限制。本申请镜像安全处理方法具体包括如下步骤：

101：获取待处理的镜像压缩包文件。

102：利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理。

103：调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥。

104：基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件。

在实际应用中，由开发人员对软件产品进行开发，在完成开发工作之后生成软件产品。为了便于软件产品的交付，通常会基于软件产品生成镜像压缩包，进而将压缩包拷贝到本地设备或者云容器中。如前文所述可知，在镜像压缩包文件交付过程中，容易被非法解压获取软件产品相关文件，因此，为了确保镜像压缩包文件的交付安全，在得到镜像压缩文件之后，需要对其进行进一步的安全处理。具体来说，

在获取到需要进行安全处理的镜像压缩包文件之后，利用对称密钥对镜像压缩包文件进行加密处理。因为对称密钥相对于非对称密钥来说，对数据量较大的镜像压缩包文件进行加密处理的速度要更快。然而，仅仅通过对称密钥进行加密的安全性还是不够，还需要采取更进一步的安全加密措施。在本申请技术方案中，则采用非对称加密方式对对称密钥进行加密。由于非对称加密方式仅用于对对称密钥的加密工作，因此，可以很快完成对对称密钥的加密工作。

进而，在获得加密后的镜像压缩包文件之后，结合加密对称密钥进行配置重新生成加密后的加密镜像压缩包文件。

通过上述方案，在利用对称密钥对镜像压缩包文件进行加密之后，再利用非对称密钥对对称密钥进行加密处理，进而，基于加密后的镜像压缩包文件和加密对称密钥生成加密镜像压缩包文件。能够有效提升镜像压缩包文件的安全效果。

在本申请一个或者多个实施例中，所述利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理，包括：解析所述待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件。利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件。进而，基于所述至少一个加密层级系统文件和所述加密对称密钥配置生成加密镜像压缩包文件。

在实际应用中，对待安全处理的镜像压缩包文件进行解析，可以得到镜像压缩包文件中包含的至少一个层级系统文件（layer）。在利用对称密钥加密的时候，不对整体镜像压缩包进行加密，而是采用对解析得到的各个层级系统文件（layer）分别进行加密的方式，进而可以得到各个层级系统文件都处于被加密状态。再利用加密层级文件和加密对称密钥进行配置生成加密镜像压缩包文件。

需要说明的是，在进行加密的过程中，可以采用imgcrypt工具对镜像压缩包文件进行加密。例如，如图2为本申请实施例提供的一种imgcrypt工具镜像压缩包文件加密的流程示意图。从图2中可以看到，对镜像包进行压缩打包，得到待处理的镜像压缩包文件，将镜像压缩包文件导入到imgcrypt工具当中，利用需求方提供的非对称公钥对各个层级系统文件进行加密处理，导出加密镜像压缩包文件。当然，在实际应用中，还可以 VeraCrypt等各种适用加密工具，用户可以根据自己的实际需要进行选择。这里仅作为举例说明，并不构成对本申请技术方案的限制。

基于上述实施例，解析待处理的镜像压缩包文件，其中，所述镜像压缩包文件中包含至少一个层级系统文件；利用生成的对称密钥对所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件；调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；基于至少一个所述加密层级系统文件和所述加密对称密钥进行配置生成加密镜像压缩包文件。通过上述方案，先利用对称密钥对镜像压缩包中各层级系统文件分别进行加密，即便实现了镜像压缩包的解压，但是也无法看到镜像压缩包中包含的各种文件内容和系统构成，能够有效提高镜像压缩包安全保护效果。

在本申请一个或者多个实施例中，所述镜像压缩包文件中还包括层级信息索引文件。生成至少一个加密层级系统文件之后，还包括：基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

在实际应用中，利用对称密钥对每个层级系统文件分别进行加密，可以得到加密后的层级系统文件，并将加密后的层级系统文件存储到指定位置。进而，结合对称密钥、加密后的层级系统文件计算消息验证码MAC（Message Authentication Codes）。在得到MAC之后，进一步利用消息验证码MAC和加密对称密钥对层级信息索引文件（Manifest）进行重新构建配置。

进一步的，利用基于所述至少一个加密层级系统文件、所述重构层级信息索引文件和所述消息验证码MAC配置生成加密镜像压缩包文件。manifest 文件中保存了很多和当前平台有关的信息，利用Manifest可以索引到所需要的层级系统文件（layer）。通过上述方案，利用对称密钥实现了针对各个层级系统文件的加密，即便被非法解压，得到的也是处于加密状态的层级系统文件，也无法直接了解到软件产品的整体架构。

在本地应用场景中，由于镜像压缩包需要在本地设备进行部署，因此，为了便于部署与解密，可以利用USBkey实现，具体来说，包括：调用包含imgcrypt的USBkey加密工具；基于所述USBkey加密工具获取或生成非对称公钥；基于所述非对称公钥对所述对称密钥进行加密处理。例如，当确定某个软件产品需要安装到本地设备上，为了安全，需要将通过imgcrypt工具对镜像压缩包文件进行加密。

在云容器应用场景中，由于镜像压缩包需要在云容器中进行部署，因此为了便于部署与解密，可以利用KMS（ Key Management Service）实现，具体来说，包括：调用包含imgcrypt的KMS加密工具；通过所述KMS加密工具获取或生成非对称公钥；基于非对称公钥对所述对称密钥进行加密处理。此外，还可以利用基于云的硬件安全模块（Cloud HardwareSecurity Module，CHSM）

在本申请一个或者多个实施例中，所述对称密钥的生成方式，包括：生成所述镜像压缩包文件中各所述层级系统文件对应的层级摘要；基于多个所述层级摘要，生成分别对应的多个不同的对称密钥。通过该方式，可以为每个需要加密的层级系统文件生成一个专用的对称密钥，能够有效提升各个层级系统文件以及镜像压缩包文件的安全效果。进而，在利用非对称公钥分别对各个不同的对称密钥进行加密处理，得到多个加密对称密钥。需要说明的是，在生成对称密钥或者加密对称密钥的时候，可以通过唯一标识建立与层级系统文件之间的唯一对应关系。为了后续进行解密的过程中可以准确的利用对应的对称密钥对其进行解密。

在本申请一个或者多个实施例中，生成加密镜像压缩包文件之后，还包括：发送所述加密镜像压缩包文件给镜像需求方；其中，所述非对称密钥加密工具中的非对称公钥由所述镜像需求方提供的。在实际应用中，非对称密钥包含非对称公钥和非对称私钥，这个是由需求方提供的，需求方将非对称公钥可以发送给软件开发方，以便软件开发方可以利用非对称公钥进行加密工作。而非对称私钥则由需求方自己保存，在进行解密的时候，需求方可以利用非对称私钥对加密对称密钥进行解密。从而，能够有效提高安全保护效果。即便公钥被泄露，也不会影响加密对称密钥的安全防护效果。

为了便于理解本方案，下面具体举例说明镜像安全处理的过程。如图3为本申请实施例提供的举例说明镜像安全处理的流程示意图。

从图3中可以看到，向imgcrypt工具中导入明文镜像压缩包，进而对该明文镜像压缩包进行解析，得到各个层级系统文件layer。利用随机计算得到的对称密钥（可以是一个也可以是多个，具体可参考上述实施例）对层级系统文件，比如每层字节流layer进行加密，进一步的，计算消息验证码MAC。

在得到对称密钥之后，利用需求方提供的非对称公钥对对称密钥进行加密，过程如下：登陆USBkey loginDevice()，获取非对称公钥或者创建非对称公钥getPublicKeyOrCreate()，进行加密初始化EncryptInit()，对对称密钥进行加密Encrypt()，进而可以得到加密对称密钥。

在对镜像压缩包文件进行解析的时候，还得到了Manifest层级信息索引文件。利用加密对称密钥、Manifest文件、加密层级系统文件以及消息验证码MAC共同配置生成加密镜像压缩包文件。

图4为本申请实施例提供的一种镜像安全部署方法的流程示意图。本方法主要应用于本地设备或者云容器。本申请镜像安全部署方法具体包括如下步骤：

401：确定待部署的加密镜像压缩包文件的部署环境。

402：基于所述部署环境，从对应的解密工具获取非对称私钥。

403：利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥。

404：基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署。

如前文所述可知图1对应实施例是生成加密镜像压缩包文件。在对镜像压缩包进行加密的时候是利用对称密钥进行加密的，然后利用非对称公钥对对称密钥再进行加密。因此，在部署的时候，首先需要根据实际部署环境选择合适的解密、部署方式对经过图1对应实施例得到的加密镜像压缩包文件进行解密部署。

在一些应用场景中，为了提升镜像压缩包文件的安全保护效果，采用对镜像压缩包文件中各层级系统文件分别进行加密的方式。因此，在进行解密的时候， 确定所述待部署的镜像压缩包文件中待解密的所述层级系统文件；基于所述非对称私钥，对至少一个所述层级系统文件分别对应的至少一个加密对称密钥进行解密，得到至少一个对称密钥；基于至少一个所述对称密钥对至少一个所述层级系统文件分别进行解密，以便对所述待部署的镜像压缩包文件进行部署操作。

在通过上述方案得到加密镜像压缩包之后，可以进一步对镜像压缩包进行安全部署。具体来说，先确定待部署的镜像压缩包文件的部署环境（比如本地设备或者云容器）；基于所述部署环境，从对应的解密工具获取非对称私钥；基于所述非对称私钥，对所述待部署的镜像压缩包文件中包含的至少一个层级系统文件进行解密，以便对所述待部署的镜像压缩包文件进行部署操作。通过上述方案，在进行镜像压缩包的部署的时候，对镜像压缩包解压之后，可以看到镜像压缩包中包含的各层级系统文件，这些层级系统文件仍然是处于加密状态的，进而需要利用非对称私钥对镜像压缩包中各个层级系统文件进行解密。使得在镜像压缩包在部署过程中，即便对镜像压缩包进行了解压，所看到的文件也是处于加密状态的文件，能够有效提高镜像压缩包在部署过程中的安全效果。

在实际应用中，所述基于所述部署环境，从对应的解密工具获取非对称私钥，包括：若所述部署环境为实体机设备，建立所述本地设备与所述USBkey的连接；将所述USBkey的Hostname修改为install-key；基于本地设备从USBkey获取非对称私钥。例如，在需要进行部署的时候，通过USB接口将USBkey接入到本地设备，进而利用USBkey对加密镜像压缩文件进行解密，具体来说可以利用非对称私钥对加密对称密钥进行解密，然后在利用对称密钥对各个层级系统文件分别进行解密，得到解密后的镜像压缩包文件。从而实现镜像压缩包文件的本地部署。

在实际应用中，所述基于所述部署环境，从对应的解密工具获取非对称私钥，包括：若所述部署环境为云容器，基于KMS控制台获取所述非对称私钥。例如，在将需要部署的软件产品对应的加密镜像压缩包文件传入到对应的云容器当中之后，可以借助KMS对该加密镜像压缩包文件进行解密，具体来说可以利用非对称私钥对加密对称密钥进行解密，然后在利用对称密钥对各个层级系统文件分别进行解密，得到解密后的镜像压缩包文件。

如图5为本申请实施例提供的一种镜像安全处理装置的结构示意图。从图5中可以看到包括如下模块：

获取模块51，用于获取待处理的镜像压缩包文件。

加密模块52，用于利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理。

生成模块53，用于调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥。

所述生成模块53，还用于基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件。

可选地，加密模块52，用于解析所述待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件；利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件。

所述镜像压缩包文件中还包括层级信息索引文件。可选地，生成模块53，还用于基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

可选地，生成模块53，还用于基于所述至少一个加密层级系统文件、所述重构层级信息索引文件和所述消息验证码MAC配置生成加密镜像压缩包文件。

可选地，生成模块53，还用于调用包含imgcrypt的USBkey加密工具；

基于所述USBkey加密工具获取或生成非对称公钥；

基于所述非对称公钥对所述对称密钥进行加密处理。

可选地，生成模块53，还用于调用包含imgcrypt的KMS加密工具；通过所述KMS加密工具获取或生成非对称公钥；基于非对称公钥对所述对称密钥进行加密处理。

可选地，生成模块53，还用于生成所述镜像压缩包文件中各所述层级系统文件对应的层级摘要；基于多个所述层级摘要，生成分别对应的多个不同的对称密钥。

可选地，还包括：发送模块54，用于发送所述加密镜像压缩包文件给镜像需求方；其中，所述非对称密钥加密工具中的非对称公钥由所述镜像需求方提供的。

本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，当所述计算机程序被一个或多个处理器执行时，致使所述一个或多个处理器执行包括以下的动作：

获取待处理的镜像压缩包文件；

利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理；

调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；

基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件。

如图6为本申请实施例提供的另一种镜像安全处理装置的结构示意图。如图6所示包括如下模块：

确定模块61，用于确定待部署的加密镜像压缩包文件的部署环境；

获取模块62，用于基于所述部署环境，从对应的解密工具获取非对称私钥；

解密模块63，用于利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；

所述解密模块63，还用于基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署。

可选地，解密模块63，还用于确定所述待部署的镜像压缩包文件中待解密的所述层级系统文件；基于所述非对称私钥，对至少一个所述层级系统文件分别对应的至少一个加密对称密钥进行解密，得到至少一个对称密钥；基于至少一个所述对称密钥对至少一个所述层级系统文件分别进行解密，以便对所述待部署的镜像压缩包文件进行部署操作。

可选地，获取模块62，还用于若所述部署环境为实体机设备，建立所述本地设备与所述USBkey的连接；将所述USBkey的Hostname修改为install-key；基于本地设备从USBkey获取非对称私钥。

可选地，获取模块62，还用于若所述部署环境为云容器，基于KMS控制台获取所述非对称私钥。

本申请实施例还提供一种存储有计算机程序的计算机可读存储介质，当所述计算机程序被一个或多个处理器执行时，致使所述一个或多个处理器执行包括以下的动作：

确定待部署的加密镜像压缩包文件的部署环境；

基于所述部署环境，从对应的解密工具获取非对称私钥；

利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；

基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署。

基于上述实施例可知，获取待处理的镜像压缩包文件；利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理；调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件。通过上述方案，先利用对称密钥对镜像压缩包进行加密，进而再利用非对称私钥对对称密钥进行加密，能够有效提高镜像压缩包安全保护效果，同时还能获得较高的加密效率。

本申请实施例还可以基于开放容器协议（Open Container Initiative，OCI）加密规范进行加解密。

此外，在通过上述方案得到加密后的镜像压缩包之后，可以进一步对镜像压缩包进行安全部署。具体来说，先确定待部署的镜像压缩包文件的部署环境（比如本地设备或者云容器）；基于所述部署环境，从对应的解密工具获取非对称私钥；利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署。通过上述方案，在进行镜像压缩包的部署的时候，对镜像压缩包解压之后，得到加密对称密钥。利用非对称私钥对加密对称密钥进行解密，得到对称密钥。进而需要利用对称密钥对镜像压缩包进行解密。使得在镜像压缩包在部署过程中，能够有效确保对称密钥的安全，进而能够有效提高镜像压缩包在部署过程中的安全效果。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本发明是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中创建的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中创建的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中创建的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器 (CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器 (RAM) 和/或非易失性内存等形式，如只读存储器 (ROM) 或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存 (PRAM)、静态随机存取存储器 (SRAM)、动态随机存取存储器 (DRAM)、其他类型的随机存取存储器 (RAM)、只读存储器 (ROM)、电可擦除可编程只读存储器 (EEPROM)、快闪存储体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘 (DVD) 或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体 (transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (13)

1.一种镜像安全处理方法，其特征在于，所述方法包括：

获取待处理的镜像压缩包文件；

利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理；

调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；

基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件，具体包括：基于开放容器协议，利用至少一个加密层级系统文件、重构层级信息索引文件和消息验证码MAC配置生成加密镜像压缩包文件；以便所述加密镜像压缩包文件被非法解压时使得层级系统文件处于加密状态；

其中，所述加密层级系统文件的生成方式包括：解析所述待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件；利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件；

所述镜像压缩包文件中还包括通过对所述镜像压缩包文件解析得到层级信息索引文件；所述重构层级信息索引文件的生成方式包括：基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

2.根据权利要求1所述的方法，其特征在于，所述调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥，包括：

调用包含imgcrypt的USBkey加密工具；

基于所述USBkey加密工具获取或生成非对称公钥；

基于所述非对称公钥对所述对称密钥进行加密处理。

3.根据权利要求1所述的方法，其特征在于，所述调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥，包括：

调用包含imgcrypt的KMS加密工具；

通过所述KMS加密工具获取或生成非对称公钥；

基于非对称公钥对所述对称密钥进行加密处理。

4.根据权利要求1所述的方法，其特征在于，所述对称密钥的生成方式，包括：

生成所述镜像压缩包文件中各所述层级系统文件对应的层级摘要；

基于多个所述层级摘要，生成分别对应的多个不同的对称密钥。

5.根据权利要求1所述的方法，其特征在于，生成加密镜像压缩包文件之后，还包括：

发送所述加密镜像压缩包文件给镜像需求方；其中，所述非对称加密工具中的非对称公钥由所述镜像需求方提供的。

6.一种镜像安全部署方法，其特征在于，所述方法包括：

确定待部署的加密镜像压缩包文件的部署环境；

基于所述部署环境，从对应的解密工具获取非对称私钥；

利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；

基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署，具体包括：基于开放容器协议，利用至少一个加密层级系统文件、重构层级信息索引文件和消息验证码MAC配置生成加密镜像压缩包文件；以便所述加密镜像压缩包文件被非法解压时使得层级系统文件处于加密状态；

其中，所述加密层级系统文件的生成方式包括：解析待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件；利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件；

所述镜像压缩包文件中还包括通过对所述镜像压缩包文件解析得到层级信息索引文件；所述重构层级信息索引文件的生成方式包括：基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

7.根据权利要求6所述的方法，其特征在于，所述基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署，包括：

确定所述待部署的镜像压缩包文件中待解密的层级系统文件；

基于所述非对称私钥，对至少一个所述层级系统文件分别对应的至少一个加密对称密钥进行解密，得到至少一个对称密钥；

基于至少一个所述对称密钥对至少一个所述层级系统文件分别进行解密，以便对所述待部署的镜像压缩包文件进行部署操作。

8.根据权利要求7所述的方法，其特征在于，所述基于所述部署环境，从对应的解密工具获取非对称私钥，包括：

若所述部署环境为实体机设备，建立本地设备与USBkey的连接；

将所述USBkey的Hostname修改为install-key；

基于所述本地设备从USBkey获取非对称私钥。

9.根据权利要求7所述的方法，其特征在于，所述基于所述部署环境，从对应的解密工具获取非对称私钥，包括：

若所述部署环境为云容器，基于KMS控制台获取所述非对称私钥。

10.一种镜像安全处理装置，其特征在于，所述装置包括：

获取模块，用于获取待处理的镜像压缩包文件；

加密模块，用于利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理；

生成模块，用于调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；

所述生成模块，还用于基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件，具体包括：基于开放容器协议，利用至少一个加密层级系统文件、重构层级信息索引文件和消息验证码MAC配置生成加密镜像压缩包文件；以便所述加密镜像压缩包文件被非法解压时使得层级系统文件处于加密状态；

其中，所述加密层级系统文件的生成方式包括：解析所述待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件；利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件；

所述镜像压缩包文件中还包括通过对所述镜像压缩包文件解析得到层级信息索引文件；所述重构层级信息索引文件的生成方式包括：基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

11.一种存储有计算机程序的计算机可读存储介质，其特征在于，当所述计算机程序被一个或多个处理器执行时，致使所述一个或多个处理器执行包括以下的动作：

获取待处理的镜像压缩包文件；

利用随机生成的对称密钥对所述镜像压缩包文件进行加密处理；

调用非对称加密工具对所述对称密钥进行加密处理，生成加密对称密钥；

基于加密处理后镜像压缩包文件和所述加密对称密钥配置生成加密镜像压缩包文件，具体包括：基于开放容器协议，利用至少一个加密层级系统文件、重构层级信息索引文件和消息验证码MAC配置生成加密镜像压缩包文件；以便所述加密镜像压缩包文件被非法解压时使得层级系统文件处于加密状态；

其中，所述加密层级系统文件的生成方式包括：解析所述待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件；利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件；

所述镜像压缩包文件中还包括通过对所述镜像压缩包文件解析得到层级信息索引文件；所述重构层级信息索引文件的生成方式包括：基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

12.一种镜像安全处理装置，其特征在于，所述装置包括：

确定模块，用于确定待部署的加密镜像压缩包文件的部署环境；

获取模块，用于基于所述部署环境，从对应的解密工具获取非对称私钥；

解密模块，用于利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；

所述解密模块，还用于基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署，具体包括：基于开放容器协议，利用至少一个加密层级系统文件、重构层级信息索引文件和消息验证码MAC配置生成加密镜像压缩包文件；以便所述加密镜像压缩包文件被非法解压时使得层级系统文件处于加密状态；

其中，所述加密层级系统文件的生成方式包括：解析待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件；利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件；

所述镜像压缩包文件中还包括通过对所述镜像压缩包文件解析得到层级信息索引文件；所述重构层级信息索引文件的生成方式包括：基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

13.一种存储有计算机程序的计算机可读存储介质，其特征在于，当所述计算机程序被一个或多个处理器执行时，致使所述一个或多个处理器执行包括以下的动作：

确定待部署的加密镜像压缩包文件的部署环境；

基于所述部署环境，从对应的解密工具获取非对称私钥；

利用所述非对称私钥对加密对称密钥进行解密，得到至少一个对称密钥；

基于所述对称密钥对所述加密镜像压缩包文件进行解密，以便对所述待部署的加密镜像压缩包文件在所述部署环境中进行部署，具体包括：基于开放容器协议，利用至少一个加密层级系统文件、重构层级信息索引文件和消息验证码MAC配置生成加密镜像压缩包文件；以便所述加密镜像压缩包文件被非法解压时使得层级系统文件处于加密状态；

其中，所述加密层级系统文件的生成方式包括：解析待处理的镜像压缩包文件，获得所述镜像压缩包文件中包含至少一个层级系统文件；利用生成的对称密钥对所述镜像压缩包文件中所述至少一个层级系统文件进行加密处理，生成至少一个加密层级系统文件；

所述镜像压缩包文件中还包括通过对所述镜像压缩包文件解析得到层级信息索引文件；所述重构层级信息索引文件的生成方式包括：基于所述加密层级系统文件，以及对称密钥计算生成消息验证码MAC；基于所述消息验证码MAC和所述加密对称密钥对所述层级信息索引文件进行重构，生成重构层级信息索引文件。

Images