CN114553478A - 一种基于国密的云服务器访问固态硬盘的安全系统和方法 - Google Patents

一种基于国密的云服务器访问固态硬盘的安全系统和方法 Download PDF

Info

Publication number
CN114553478A
CN114553478A CN202210038649.7A CN202210038649A CN114553478A CN 114553478 A CN114553478 A CN 114553478A CN 202210038649 A CN202210038649 A CN 202210038649A CN 114553478 A CN114553478 A CN 114553478A
Authority
CN
China
Prior art keywords
virtual machine
command
security
user
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210038649.7A
Other languages
English (en)
Inventor
李根岱
宫新伟
於乐凯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Chengdu Chuxun Science And Technology Co ltd
Original Assignee
Chengdu Chuxun Science And Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Chengdu Chuxun Science And Technology Co ltd filed Critical Chengdu Chuxun Science And Technology Co ltd
Priority to CN202210038649.7A priority Critical patent/CN114553478A/zh
Publication of CN114553478A publication Critical patent/CN114553478A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances

Abstract

本发明公开了一种基于国密的云服务器访问固态硬盘的安全系统及方法，在安全的策略中基于中国商密算法SM3、SM4和SM9。在NVMe安全盘中，首先安全管理员需要对用户进行身份标识验证；其次用户向安全管理员申请硬盘资源；再次用户和硬盘之间需要建立安全通道，来完成对硬盘的操作命令；最后，在写入数据时，根据用户标识对数据进行加密，在读出数据时，需要用户标识来完成解密。在该系统和方法中，实现了用户、命令、数据的三重验证。真正实现了在多用户系统并行操作时，其他用户，钓鱼软件甚至管理员也无法窃取用户数据的方案。

Description

一种基于国密的云服务器访问固态硬盘的安全系统和方法
技术领域
本发明涉及信息安全技术领域，尤其涉及一种基于国密的云服务器访问固态硬盘的安全系统和方法。
背景技术
随着云计算和虚拟化技术的蓬勃发展，各种软件和应用程序都部署在云端。这些不同的应用程序通过虚拟化技术，将存储设备抽象成为一个动态的资源池，多用户共享物理上的同一份存储设备，导致全新的安全问题。例如用户通过租赁虚拟机来获得云服务提供的计算资源，虚拟化层直接与用户进行交互，并对底层的硬件资源进行调用。因此，虚拟化安全是云计算安全的核心问题。例如虚拟机之间进行攻击，虚拟机管理员的非法程序对用户进行攻击等等。而由于当前硬盘多采用自加密的方式，当用户打开自己的硬盘资源后，其他用户可以伪装为该用户，来进行数据的盗窃。
发明内容
本发明的目的是针对现有技术的缺陷，提供了一种基于国密的云服务器访问固态硬盘的安全系统和方法。
为了实现以上目的，本发明采用以下技术方案：
一种基于国密的云服务器访问固态硬盘的安全系统，包括虚拟机硬件设备、虚拟机管理员、数个物理主机；虚拟机管理员分别与虚拟机硬件设备、数个物理主机连接；所述数个物理主机中的每个物理主机包括数个虚拟机、数个操作系统；
数个虚拟机中的每个虚拟机通过虚拟机管理员向虚拟机硬件设备读写数据；
虚拟机管理员基于国密算法SM9、SM3或SM4建立安全通道，并负责管理主密钥，和处理密钥生成中心的工作。
相应的，还提供一种基于国密的云服务器访问固态硬盘的安全方法，安全方法为：采用国密算法SM9、SM3或SM4构建加解密系统，虚拟机访问虚拟机硬件设备时进行身份验证，并申请硬盘资源，对虚拟机硬件设备的读写都是基于该虚拟机身份建立安全通道，在安全通道内对数据进行读写；在写入虚拟机硬件设备的数据中，加入虚拟机的用户信息对数据进行加密，读出数据时需要虚拟机的用户信息对数据进行解密。
进一步的，所述安全方法中当新虚拟机加入时，向虚拟机管理员进行注册操作方法包括：
S1.通过国密算法SM2密钥交换协议，新虚拟机和虚拟机管理员建立安全通道；
S2.新虚拟机向虚拟机管理员发送自己的用户标识；
S3.虚拟机管理员根据国密算法SM9协议，生成新虚拟机的加密私钥；
S4.虚拟机管理员判断在生成新虚拟机私钥的过程中是否更新加密主私钥和加密主公钥，若是，则需要更新所有已知虚拟机的加密私钥，并将更新后的加密私钥存储于虚拟机管理员的安全区域中，执行步骤S5；若否，则执行步骤S5；
S5.虚拟机管理员将生成的加密私钥发送至新虚拟机。
进一步的，所述步骤S4中更新加密主私钥和加密主公钥具体为：
A1.虚拟机管理员阻止新虚拟机的注册；
A2.虚拟机管理员使用上一次的加密信息，采用国密算法SM9的密钥交换协议，和虚拟机建立安全通道；
A3.将更新后的密钥信息发给虚拟机；
A4.重复步骤A2-A3，直到更新完所有虚拟机；
A5.开放新虚拟机的注册流程。
进一步的，所述安全方法中虚拟机完成注册后，向虚拟机管理员申请硬盘资源的方法包括：
S1.通过国密算法SM9密钥交换协议，虚拟机和虚拟机管理员建立安全通道；
S2.虚拟机向虚拟机管理员申请硬盘空间；
S3.虚拟机管理员分配硬盘空间，并将虚拟机自己的用户标识和分配硬盘空间发送至虚拟机硬件设备；
S4.虚拟机硬件设备建立硬盘空间和虚拟机的对应表；
S5.返回虚拟机硬件设备的硬盘标识和对应的分配硬盘空间给虚拟机。
进一步的，所述安全方法中当虚拟机向自己的空间发送命令时，在物理主机中的操作系统为每个虚拟机建立一个安全层，来完成安全会话的建立，具体包括：
S1.通过国密算法SM9密钥交换协议，虚拟机和虚拟机管理员建立安全通道；
S2.虚拟机向虚拟机硬件设备发起安全会话，虚拟机管理员产生会话密钥；
S3.虚拟机管理员使用产生的会话密钥完成命令的加解密操作。
进一步的，所述步骤S2中发起安全会话具体为：
B1.判断会话是否建立完成，若否，则执行步骤B2；若是，则执行步骤B3；
B2.在建立会话过程中虚拟机管理员更新了虚拟机或虚拟机硬件设备的密钥，则会话建立失败；当会话建立失败后，虚拟机向虚拟机管理员确认密钥更新完成，再重新建立会话，并执行步骤B4；
B3.在会话已经建立后虚拟机管理员更新了密钥，则继续进行会话，直到会话结束，并在下次建立会话时，使用更新后的密钥，并执行步骤B4；
B4.在会话已经建立后，虚拟机进行安全的读写擦操作。
进一步的，所述步骤B4中虚拟机进行安全的读写擦操作具体为：
C1.虚拟机的用户层将命令发送到虚拟机的安全层中；
C2.虚拟机的安全层将会话密钥作为参数传入驱动中；
C3.驱动生成写命令后，虚拟机管理员对命令通过国密算法SM4进行加密；
C4.虚拟机硬件设备收到命令后，使用会话密钥，虚拟机管理员对命令通过国密算法SM4进行解密；
C5.虚拟机管理员验证该命令的合法性，若合法，则执行该命令。
进一步的，所述步骤C2之后还包括：
若驱动和虚拟机硬件设备无法通过国密算法SM4完成加密和解密操作时，将虚拟机的用户标识和会话密钥通过国密算SM3操作，并放入NVMe命令的apptag中，虚拟机硬件设备收到命令后，根据访问的地址范围查找出虚拟机的用户标识。
进一步的，所述步骤C5之后还包括：
C6.当命令的合法性检查完成后，判断所述命令为写命令还是读命令，若为写命令，则根据虚拟机的用户的PIN码或用户标识对数据进行加密；若为写命令，则根据虚拟机的用户的PIN码进行数据的读取。
与现有技术相比，本发明提供的一种基于多用户，多虚拟机平台的数据存储安全系统及方法，用于解决在读写存储设备时，对用户身份进行验证，以及对传输过程的数据进行保护的问题。特别地，在传统的基于TCG的自加密盘中，一旦用户解锁了自己在硬盘中的数据，其他用户或者管理员也能访问这一片区域的数据。特别是一些钓鱼软件可能持续攻击该用户数据，一旦发现该用户解锁了存储设备的数据，会马上进行数据的盗窃。特别是在云虚拟机中，硬件资源是共享的，所以需要从用户到硬件资源池对数据进行保护。
在本发明的系统中，虚拟机管理员根据密钥交换协议，分配不同的身份标识给不同的虚拟机用户，虚拟机用户根据该标识向硬件资源池申请资源，且该资源属于该用户独享，直到用户释放该资源，或者虚拟机管理员回收该资源。
在用户的身份标识建立后，用户和硬件资源通过密钥交换协议，产生一个临时的会话密钥，用于本次用户活动中，对于用户和硬件资源的命令认证，直到该会话结束。
在数据的读写过程中，用户在和硬盘之间建立安全通道后，向硬盘发送数据PIN，如果没有发送数据PIN，硬盘根据用户标识产生一个数据PIN，用于数据加解密的初始向量的一部分，在数据读取时，需要输入相同的数据标识，才可以将数据解密，因此可以保证只有该用户才可以读取数据。
采用本发明后，对于硬盘的资源申请，对硬盘的操作命令和读写硬盘的数据都根据用户标识进行了加密。如果其他用户访问非该用户的数据区域，则该命令无法被硬盘执行，并返回命令错误给驱动。在该系统中，管理员只能负责分配和回收硬盘资源，如果管理员访问用户的数据区域，由于其无法获得用户和硬盘之间的会话密钥，因此也无法发出有效命令，从而无法获取用户数据。当硬盘丢失时，其他人无法获取用户的标识或者用户的PIN，因此也无法对数据进行解密。
同时，由于采用基于标识的安全认证策略，因此在云迁移过程中，用户和硬盘只要标识保持不变，那么就可以进行替换，并不影响数据的有效性。
附图说明
图1是实施例一提供的虚拟化结构示意图；
图2是实施例一提供的安全用户定义示意图；
图3是实施例二提供的命令发送流程示意图。
具体实施方式
以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。
本发明的目的是针对现有技术的缺陷，提供了一种基于国密的云服务器访问固态硬盘的安全系统和方法。
实施例一
本实施例提供一种基于国密的云服务器访问固态硬盘的安全系统，包括虚拟机硬件设备、虚拟机管理员、数个物理主机；虚拟机管理员分别与虚拟机硬件设备、数个物理主机连接；数个物理主机中的每个物理主机包括数个虚拟机、数个操作系统；
数个虚拟机中的每个虚拟机通过虚拟机管理员向虚拟机硬件设备读写数据；
虚拟机管理员基于国密算法SM9、SM3或SM4建立安全通道，并负责管理主密钥，和处理密钥生成中心的工作。
本实施例提供了一种多用户，多虚拟机平台的数据存储安全系统及方法，基于国密SM9和其他商密算法，用于解决在读写存储设备时，对用户身份进行验证，以及在传输过程的数据进行保护的问题。
本实施例将基于NVMe协议的固态硬盘作为例，但需要说明的是，本实施例的系统在应用过程中可扩展到其他存储设备中。
如图1所示，虚拟化结构包括虚拟机硬件设备、虚拟机管理员、多个物理主机；其中每个物理主机中包括多个操作系统，与多个操作系统相适配的虚拟机、安装于虚拟机内的应用程序。
在多虚拟机平台中，虚拟机指的是运行于物理主机上的虚拟主机，一台物理主机可以同时运行多个虚拟主机，而一个虚拟机平台可以支持多个物理主机。虚拟机访问的虚拟硬件设备也都是虚拟化的，是通过虚拟机管理员的虚拟化技术实现的。所以当运行于虚拟机中的应用程序进行数据的读写时，读写的是虚拟硬件设备硬盘中的数据，在通过虚拟机管理员虚拟机的转化后，变成访问物理硬盘的读写操作。
虚拟机硬件设备作为资源统一放入资源池中，所以不同的虚拟机可能访问同一个虚拟机硬件设备的不同存储卷。而且对于同一个虚拟机来说，也可能不同的应用程序在访问同一个虚拟机硬件设备。因此对于虚拟机硬件设备，需要有能力区分不同的虚拟机用户和对应的物理资源。
如图2所示，虚拟机和虚拟机硬件设备都可以看成不同的安全用户，在启动阶段需要向虚拟机管理员根据自己的用户标识申请私钥。根据国密算法SM9协议，虚拟机向虚拟机硬件设备的硬盘读写数据可以看作安全用户A(虚拟机)向安全用户B(虚拟机硬件设备)发送消息。其中，虚拟机管理员属于安全管理员用户ADMIN，负责管理主密钥，和处理密钥生成中心的工作。
在整个云安全系统中，所有的用户和硬盘虚拟机和虚拟机硬件设备都必须分配为一个用户标识，在对虚拟机和虚拟机硬件设备的硬盘进行迁移时，需要在新硬盘上分配同样的用户标识，来完成硬盘的替代工作。同样的，如果用户切换了虚拟机，只需要使用相同的用户标识，就可以完成用户在虚拟机之间的迁移。
本实施例在安全的策略中基于中国商密算法SM3、SM4和SM9。在NVMe安全盘中，首先安全管理员需要对用户进行身份标识验证；其次用户向安全管理员申请硬盘资源；再次用户和硬盘之间需要建立安全通道，来完成对硬盘的操作命令；最后，在写入数据时，根据用户标识对数据进行加密，在读出数据时，需要用户标识来完成解密。在该系统和方法中，实现了用户、命令、数据的三重验证。真正实现了在多用户系统并行操作时，其他用户，钓鱼软件甚至管理员也无法窃取用户数据的方案。
实施例二
本实施例提供一种基于国密的云服务器访问固态硬盘的安全方法，其中基于实施例一中的一种基于国密的云服务器访问固态硬盘的安全系统实现的。
本实施例采用国密算法SM9、SM3或SM4构建加解密系统，虚拟机访问虚拟机硬件设备时进行身份验证，并申请硬盘资源，对虚拟机硬件设备的读写都是基于该虚拟机身份建立安全通道，在安全通道内对数据进行读写；在写入虚拟机硬件设备的数据中，加入虚拟机的用户信息对数据进行加密，读出数据时需要虚拟机的用户信息对数据进行解密。
当新虚拟(新用户)机加入时，向虚拟机管理员(安全管理员)进行注册操作方法包括：
S1.通过国密算法SM2密钥交换协议，新用户和安全管理员建立安全通道；
S2.新用户向安全管理员发送自己的用户标识，例如身份证号，邮件或者手机号；
S3.安全管理员根据国密算法SM9协议，生成新用户的加密私钥；
S4.安全管理员判断在生成新用户私钥的过程中是否更新加密主私钥和加密主公钥，若是，则需要更新所有已知用户的加密私钥，并将更新后的加密私钥存储于安全管理员的安全区域中，执行步骤S5；若否，则执行步骤S5；
S5.安全管理员将生成的加密私钥发送至新用户。
在步骤S4中，当安全管理员需要更新加密主公钥和用户私钥具体为：
A1.安全管理员阻止新用户的注册；
A2.安全管理员使用上一次的加密信息，采用国密算法SM9的密钥交换协议，和用户建立安全通道；
A3.将更新后的密钥信息发给用户；
A4.重复步骤A2-A3，直到更新完所有用户；
A5.开放新用户的注册流程，即执行步骤S1。
当已有用户进行身份认证时，其步骤为：
根据SM9数字签名流程，将用户ID进行使用用户私钥进行签名；
S1.安全管理员对该签名进行验证。
S2.当虚拟机硬件设备(硬盘)加入资源池时，需要云管理员为该硬盘分配用户ID，然后向安全管理员进行相同的用户注册或者验证。
用户完成注册后，向安全管理员申请硬盘资源的方法包括：
S1.通过国密算法SM9密钥交换协议，用户和安全管理员建立安全通道；
S2.用户向安全管理员申请硬盘空间；
S3.安全管理员分配硬盘空间，并将用户自己的用户标识和分配硬盘空间发送至硬盘；
S4.硬盘建立硬盘空间和虚拟机的对应表；
S5.返回硬盘标识和对应的分配硬盘空间给用户。
当用户向自己的空间发送命令时，参考图3，在操作系统中为每个用户建立一个安全层，来完成安全会话的建立，具体包括：
S1.通过国密算法SM9密钥交换协议，用户和安全管理员建立安全通道；
S2.用户向硬盘发起安全会话，安全管理员产生会话密钥；
S3.安全管理员使用产生的会话密钥完成命令的加解密操作。
在本实施例中，步骤S2中发起安全会话具体为：
B1.判断会话是否建立完成，若否，则执行步骤B2；若是，则执行步骤B3；
B2.在建立会话过程中安全管理员更新了主机或硬盘的密钥，则会话建立失败；当会话建立失败后，用户向安全管理员确认密钥更新完成，再重新建立会话，并执行步骤B4；
B3.在会话已经建立后安全管理员更新了密钥，则继续进行会话，直到会话结束，并在下次建立会话时，使用更新后的密钥，并执行步骤B4；
B4.在会话已经建立后，用户进行安全的读写擦操作。
在本实施例中，步骤B4中虚拟机进行安全的读写擦操作具体为：
C1.虚拟机的用户层将命令发送到虚拟机的安全层中；
C2.虚拟机的安全层将会话密钥作为参数传入驱动中；
C3.驱动生成写命令后，安全管理员对命令通过国密算法SM4进行加密；
C4.硬盘收到命令后，使用会话密钥，安全管理员对命令通过国密算法SM4进行解密；
C5.安全管理员验证该命令的合法性，若合法，则执行该命令。
在本实施例中，步骤C2之后还包括：
若驱动和硬盘无法通过国密算法SM4完成加密和解密操作时，将用户的用户标识和会话密钥通过国密算SM3操作，并放入NVMe命令的apptag中，硬盘收到命令后，根据访问的地址范围查找出虚拟机的用户标识。
进一步的，所述步骤C5之后还包括：
C6.当命令的合法性检查完成后，判断命令为写命令还是读命令，若为写命令，则根据虚拟机的用户的PIN码或用户标识对数据进行加密；若为写命令，则根据虚拟机的用户的PIN码进行数据的读取。
在本实施例中，如果是写命令，则根据用户的PIN或者用户标识来对数据进行加密，其步骤为：
1.根据自加密盘的要求，如果用户输入了PIN，则采用用户的PIN，否则使用用户标识作为用户PIN；
2.根据用户PIN，TRNG的真随机数，进行基于SM4的KDF操作，生成KEK；
3.硬盘根据TRNG生成加密数据用的DEK；
4.使用KEK对DEK进行SM4的密钥封装操作，生成MEK，将MEK存储与硬盘中；
5.使用DEK对数据基于SM4进行加密。
如果是读命令，则根据用户的PIN进行数据的读取时，其步骤为：
1.如果密钥没有加载到解密模块，需要用户输入PIN或者根据用户的身份标识来生成KEK，然后使用KEK对MEK进行SM4解封操作，恢复DEK；
2.使用DEK对数据进行解密。
当执行擦除工作时，可以直接删除存储的MEK，从而完成数据的删除操作。
由于每一笔读写擦命令都需要验证用户的合法性，从而保证了当其他用户同时使用该硬盘时，也无法窃取当前用户的信息。
本实施例中对于自加密硬盘，当用户提供数据密钥时，使用数据密钥对数据进行加解密。当不提供数据密钥时，将用户标识作为数据密钥对数据进行加解密。
本实施例的用户将硬盘的IO操作命令发给硬盘驱动时，中间经过一个安全层，在安全层中，将命令加密方式，用户标识和会话密钥发送给硬盘驱动。如果选择命令自加密，那么驱动需要将读写命令先根据会话密钥进行SM4加密，然后再写入内存中。硬盘取出命令后，首先需要将命令进行SM4解密，验证命令正确性后方能执行命令。如果选择签名验证方式，那么驱动将用户标识根据会话密钥进行SM4加密，然后放入NVMe命令的apptag中，硬盘取出命令后，首先对apptag进行SM4解密，然后验证命令访问的区间符合该用户的合法访问区间，才可以进行访问。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种基于国密的云服务器访问固态硬盘的安全系统，其特征在于，包括虚拟机硬件设备、虚拟机管理员、数个物理主机；虚拟机管理员分别与虚拟机硬件设备、数个物理主机连接；所述数个物理主机中的每个物理主机包括数个虚拟机、数个操作系统；
数个虚拟机中的每个虚拟机通过虚拟机管理员向虚拟机硬件设备读写数据；
虚拟机管理员基于国密算法SM9、SM3或SM4建立安全通道，并负责管理主密钥，和处理密钥生成中心的工作。
2.一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述方法基于权利要求1中的一种基于国密的云服务器访问固态硬盘的安全系统；
安全方法为：采用国密算法SM9、SM3或SM4构建加解密系统，虚拟机访问虚拟机硬件设备时进行身份验证，并申请硬盘资源，对虚拟机硬件设备的读写都是基于该虚拟机身份建立安全通道，在安全通道内对数据进行读写；在写入虚拟机硬件设备的数据中，加入虚拟机的用户信息对数据进行加密，读出数据时需要虚拟机的用户信息对数据进行解密。
3.根据权利要求2所述的一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述安全方法中当新虚拟机加入时，向虚拟机管理员进行注册操作方法包括：
S1.通过国密算法SM2密钥交换协议，新虚拟机和虚拟机管理员建立安全通道；
S2.新虚拟机向虚拟机管理员发送自己的用户标识；
S3.虚拟机管理员根据国密算法SM9协议，生成新虚拟机的加密私钥；
S4.虚拟机管理员判断在生成新虚拟机私钥的过程中是否更新加密主私钥和加密主公钥，若是，则需要更新所有已知虚拟机的加密私钥，并将更新后的加密私钥存储于虚拟机管理员的安全区域中，执行步骤S5；若否，则执行步骤S5；
S5.虚拟机管理员将生成的加密私钥发送至新虚拟机。
4.根据权利要求3所述的一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述步骤S4中更新加密主私钥和加密主公钥具体为：
A1.虚拟机管理员阻止新虚拟机的注册；
A2.虚拟机管理员使用上一次的加密信息，采用国密算法SM9的密钥交换协议，和虚拟机建立安全通道；
A3.将更新后的密钥信息发给虚拟机；
A4.重复步骤A2-A3，直到更新完所有虚拟机；
A5.开放新虚拟机的注册流程。
5.根据权利要求2所述的一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述安全方法中虚拟机完成注册后，向虚拟机管理员申请硬盘资源的方法包括：
S1.通过国密算法SM9密钥交换协议，虚拟机和虚拟机管理员建立安全通道；
S2.虚拟机向虚拟机管理员申请硬盘空间；
S3.虚拟机管理员分配硬盘空间，并将虚拟机自己的用户标识和分配硬盘空间发送至虚拟机硬件设备；
S4.虚拟机硬件设备建立硬盘空间和虚拟机的对应表；
S5.返回虚拟机硬件设备的硬盘标识和对应的分配硬盘空间给虚拟机。
6.根据权利要求2所述的一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述安全方法中当虚拟机向自己的空间发送命令时，在物理主机中的操作系统为每个虚拟机建立一个安全层，来完成安全会话的建立，具体包括：
S1.通过国密算法SM9密钥交换协议，虚拟机和虚拟机管理员建立安全通道；
S2.虚拟机向虚拟机硬件设备发起安全会话，虚拟机管理员产生会话密钥；
S3.虚拟机管理员使用产生的会话密钥完成命令的加解密操作。
7.根据权利要求5所述的一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述步骤S2中发起安全会话具体为：
B1.判断会话是否建立完成，若否，则执行步骤B2；若是，则执行步骤B3；
B2.在建立会话过程中虚拟机管理员更新了虚拟机或虚拟机硬件设备的密钥，则会话建立失败；当会话建立失败后，虚拟机向虚拟机管理员确认密钥更新完成，再重新建立会话，并执行步骤B4；
B3.在会话已经建立后虚拟机管理员更新了密钥，则继续进行会话，直到会话结束，并在下次建立会话时，使用更新后的密钥，并执行步骤B4；
B4.在会话已经建立后，虚拟机进行安全的读写擦操作。
8.根据权利要求7所述的一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述步骤B4中虚拟机进行安全的读写擦操作具体为：
C1.虚拟机的用户层将命令发送到虚拟机的安全层中；
C2.虚拟机的安全层将会话密钥作为参数传入驱动中；
C3.驱动生成写命令后，虚拟机管理员对命令通过国密算法SM4进行加密；
C4.虚拟机硬件设备收到命令后，使用会话密钥，虚拟机管理员对命令通过国密算法SM4进行解密；
C5.虚拟机管理员验证该命令的合法性，若合法，则执行该命令。
9.根据权利要求8所述的一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述步骤C2之后还包括：
若驱动和虚拟机硬件设备无法通过国密算法SM4完成加密和解密操作时，将虚拟机的用户标识和会话密钥通过国密算SM3操作，并放入NVMe命令的apptag中，虚拟机硬件设备收到命令后，根据访问的地址范围查找出虚拟机的用户标识。
10.根据权利要求8所述的一种基于国密的云服务器访问固态硬盘的安全方法，其特征在于，所述步骤C5之后还包括：
C6.当命令的合法性检查完成后，判断所述命令为写命令还是读命令，若为写命令，则根据虚拟机的用户的PIN码或用户标识对数据进行加密；若为写命令，则根据虚拟机的用户的PIN码进行数据的读取。
CN202210038649.7A 2022-01-13 2022-01-13 一种基于国密的云服务器访问固态硬盘的安全系统和方法 Pending CN114553478A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210038649.7A CN114553478A (zh) 2022-01-13 2022-01-13 一种基于国密的云服务器访问固态硬盘的安全系统和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210038649.7A CN114553478A (zh) 2022-01-13 2022-01-13 一种基于国密的云服务器访问固态硬盘的安全系统和方法

Publications (1)

Publication Number Publication Date
CN114553478A true CN114553478A (zh) 2022-05-27

Family

ID=81671144

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210038649.7A Pending CN114553478A (zh) 2022-01-13 2022-01-13 一种基于国密的云服务器访问固态硬盘的安全系统和方法

Country Status (1)

Country Link
CN (1) CN114553478A (zh)

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103336746A (zh) * 2013-06-19 2013-10-02 江苏意源科技有限公司 一种安全加密u盘及其数据加密方法
CN103563278A (zh) * 2011-05-20 2014-02-05 西里克斯系统公司 保护加密的虚拟硬盘
CN104104692A (zh) * 2014-08-05 2014-10-15 山东中孚信息产业股份有限公司 一种虚拟机加密方法、解密方法及加解密控制系统
US20150012917A1 (en) * 2013-07-02 2015-01-08 Hillstone Networks, Inc. Distributed virtual security appliance and flow-based forwarding system using virtual machines
CN106063218A (zh) * 2014-12-30 2016-10-26 华为技术有限公司 虚拟化系统中加解密的方法、装置和系统
CN106453384A (zh) * 2016-11-09 2017-02-22 鹤荣育 一种安全云盘系统及其安全加密方法
CN108173889A (zh) * 2016-12-07 2018-06-15 北大方正集团有限公司 用户数据处理方法及用户数据处理装置
CN110198217A (zh) * 2019-05-20 2019-09-03 杭州电子科技大学 一种面向数据资源分块存储的用户安全访问结构及方法
CN111294211A (zh) * 2020-02-13 2020-06-16 山东方寸微电子科技有限公司 一种基于rndis的usb网卡数据加解密方法

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103563278A (zh) * 2011-05-20 2014-02-05 西里克斯系统公司 保护加密的虚拟硬盘
CN103336746A (zh) * 2013-06-19 2013-10-02 江苏意源科技有限公司 一种安全加密u盘及其数据加密方法
US20150012917A1 (en) * 2013-07-02 2015-01-08 Hillstone Networks, Inc. Distributed virtual security appliance and flow-based forwarding system using virtual machines
CN104104692A (zh) * 2014-08-05 2014-10-15 山东中孚信息产业股份有限公司 一种虚拟机加密方法、解密方法及加解密控制系统
CN106063218A (zh) * 2014-12-30 2016-10-26 华为技术有限公司 虚拟化系统中加解密的方法、装置和系统
CN106453384A (zh) * 2016-11-09 2017-02-22 鹤荣育 一种安全云盘系统及其安全加密方法
CN108173889A (zh) * 2016-12-07 2018-06-15 北大方正集团有限公司 用户数据处理方法及用户数据处理装置
CN110198217A (zh) * 2019-05-20 2019-09-03 杭州电子科技大学 一种面向数据资源分块存储的用户安全访问结构及方法
CN111294211A (zh) * 2020-02-13 2020-06-16 山东方寸微电子科技有限公司 一种基于rndis的usb网卡数据加解密方法

Similar Documents

Publication Publication Date Title
US8462955B2 (en) Key protectors based on online keys
JP5724118B2 (ja) 保護デバイス管理
CN101771689B (zh) 通过管理性引擎进行企业网单点登录的方法和系统
CN102948114B (zh) 用于访问加密数据的单次使用认证方法及系统
US8103883B2 (en) Method and apparatus for enforcing use of danbury key management services for software applied full volume encryption
KR101471379B1 (ko) 플랫폼 자원들의 도메인-인증 제어
JP5635539B2 (ja) リモートプリブート認証
US20180082050A1 (en) Method and a system for secure login to a computer, computer network, and computer website using biometrics and a mobile computing wireless electronic communication device
US20080181406A1 (en) System and Method of Storage Device Data Encryption and Data Access Via a Hardware Key
CN109558340B (zh) 一种基于可信认证的安全固态盘加密系统及方法
KR102030858B1 (ko) 디지털 서명 권한자 의존형 플랫폼 기밀 생성 기법
CN106161402A (zh) 基于云环境的加密机密钥注入系统、方法及装置
US20110314288A1 (en) Circuit, system, device and method of authenticating a communication session and encrypting data thereof
CN102404314A (zh) 远程资源单点登录
WO2021190197A1 (zh) 生物支付设备的认证方法、装置、计算机设备和存储介质
CN109274646B (zh) 基于kmip协议的密钥管理客户端服务端方法和系统及介质
US20140143896A1 (en) Digital Certificate Based Theft Control for Computers
US20170026385A1 (en) Method and system for proximity-based access control
WO2022020686A1 (en) Master key escrow process
CN112241306A (zh) 固件数据加载方法、装置、安全处理器、芯片及电子设备
CN109474431B (zh) 客户端认证方法及计算机可读存储介质
JP6581611B2 (ja) 認証鍵共有システムおよび認証鍵共有方法
CN105279453A (zh) 一种支持分离存储管理的文件分区隐藏系统及其方法
CN108390892B (zh) 一种远程存储系统安全访问的控制方法和装置
TWI789291B (zh) 用於認證在儲存裝置和主機裝置之間的資料傳輸之模組和方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination