DE112011104325B4

DE112011104325B4 - Computerlesbare Speichermedien zum Verschlüsseln und Entschlüsseln einer virtuellen Platte

Info

Publication number: DE112011104325B4
Application number: DE112011104325.2T
Authority: DE
Inventors: Jacques Fontignie; Claudio Marinelli; Marc Vuilleumier Stueckelberg; Luigi Pichetti
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2010-12-09
Filing date: 2011-11-03
Publication date: 2020-08-06
Anticipated expiration: 2031-11-04
Also published as: US9230118B2; US20130232329A1; JP5904505B2; US20160048461A1; CN103250163A; US20140380035A1; GB2499963B; US9230113B2; GB201311724D0; GB2499963A; US9626302B2; DE112011104325T5; CN103250163B; WO2012076266A1; JP2014505286A

Abstract

Computerlesbares Speichermedium (916), das maschinenausführbare Anweisungen enthält, die, wenn sie von einem Prozessor ausgeführt werden, den Prozessor dazu veranlassen, eine virtuelle Platte zu verschlüsseln; wobei die virtuelle Platte ein virtuelles Platten-Image aufweist; und wobei das Ausführen der maschinenausführbaren Anweisungen den Prozessor dazu veranlasst:- die virtuelle Platte zu empfangen (600);- die Größe der virtuellen Platte zu erhöhen (602);- einen Entschlüsselungs-Master-Bootdatensatz und ein Entschlüsselungsprogramm auf die virtuelle Platte zu schreiben (604);- mindestens einen Teil des virtuellen Platten-Image zu verschlüsseln (606), wobei das Entschlüsselungsprogramm entschlüsselungsmaschinenlesbare Anweisungen aufweist, um das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß einem Verschlüsselungsschlüssel (944) zu entschlüsseln.wobei das virtuelle Platten-Image in einen ersten (406) und zweiten Teil (408) unterteilt wird, wobei der zweite Teil des virtuellen Platten-Image in einem dritten Abschnitt (418) der virtuellen Platte gespeichert wird, wobei das Ausführen der Anweisungen den Prozessor außerdem dazu veranlasst, den ersten Teil des virtuellen Platten-Image in einen vierten Abschnitt (420) der virtuellen Platte zu kopieren;wobei der Entschlüsselungs-Master-Bootdatensatz in einen ersten Abschnitt (414) der virtuellen Platte geschrieben wird, wobei das Entschlüsselungsprogramm in einen zweiten Abschnitt (416) der virtuellen Platte geschrieben wird, wobei der erste Teil des virtuellen Platten-Image aus dem ersten und zweiten Abschnitt der virtuellen Platte kopiert wird; wobei das Ausführen der Anweisungen den Prozessor außerdem dazu veranlasst, den ersten (406') und zweiten (408') Teil der virtuellen Platte mindestens partiell zu verschlüsseln, undwobei die Größe der virtuellen Platte erhöht wird, um den vierten Abschnitt der virtuellen Platte und einen fünften Abschnitt (422) der virtuellen Platte zu erzeugen, wobei die Größe des fünften Abschnitts größer ist als die des zweite Abschnitts und wobei die kombinierte Größe des ersten und zweiten Abschnitts geringer oder gleich der Größe des vierten Abschnitts ist.

Description

Gebiet der Erfindung
Die Erfindung betrifft Virtualisierungs-Software für Computersysteme. Insbesondere betrifft die Erfindung den Schutz des Inhalts einer virtuellen Platte durch Verschlüsseln und Entschlüsseln der virtuellen Platte.
Hintergrund
Die Einrichtung oder Installation einer großen Zahl von Servern und Computersystemen mit spezifischer Software und spezifischen Anwendungen mithilfe herkömmlicher physischer Ressourcen ist immer kostspieliger geworden, in den letzten Jahren ist dieser Prozess durch den Einsatz von Virtualisierungs-Technologien vereinfacht worden, die virtuelle Platten oder Betriebssysteme mit vorkonfigurierten Softwarepaketen und Systemkonfigurationen bereitstellen.
Wenn eine große Zahl gleich konfigurierter Server benötigt wird, kann dieselbe virtuelle Platte immer wieder verwendet werden. Virtuelle Platten-Images können über das Internet verteilt werden. Doch die Pakete, die das virtuelle Platten-Image enthalten, können kritische Daten und Lizenzen enthalten. Zudem muss die unbefugte Verwendung des virtuellen Platten-Image verhindert werden. Gegenwärtig wird das ganze Platten-Image vor der Verteilung verschlüsselt.
Derzeit gibt es bereits eine Reihe von Dokumenten, die sich mit der Verarbeitung von virtullen Platten auseinandersetzt. Das Dokument EP 1 679 573 A1 beschreibt ein Verfahren für eine Aktualisierung von Speichern halten, die in einem Speicher eines Datenverarbeitungssystems gespeichert sind. Die Verarbeitung geschieht blockweise und die Daten werden zusätzlich durch Integritätsdaten geschützt.
Das Dokument WO 2008/049008 A2 beschreibt eine Registrierung und einen Zugriff auf virtuelle Systeme in einem „managed“ System. Dabei wird eine Erlaubnis für eine Ausführung von virtuellen Maschinen mithilfe von Compliance-Regeln kontrolliert. Das Verfahren lässt sich auf virtuelle Maschinen, virtuelle Vorrichtungen und virtuelle Anwendungen ausdehnen.
Dabei ist festzustellen, dass keine der bekannten Techniken eine elegante Verteilung von virtuellen Platten in einem Netzwerk von Computern und eine anschließende Anpassung dieser Platten an die lokalen Bedürfnisse adressiert.
Deshalb besteht ein Bedarf dafür, die Verteilung von verschlüsselten virtuellen Platten zu verbessern, die verschlüsselten Teile der virtuellen Platte schneller entschlüsseln und so einer regulären Verwendung durch eine virtuelle Maschine elegant zugänglich zu machen.
Kurzbeschreibung
Diese Aufgabe wird erfindungsgemäß durch die Gegenstände der unabhängigen Ansprüche gelöst. Weitere Ausführungsbeispiele ergeben sich aus den jeweiligen abhängigen Ansprüchen.
Die Erfindung stellt ein computerlesbares Speichermedium bereit, das Anweisungen zum Verschlüsseln einer virtuellen Platte enthält, ein computerlesbares Speichermedium, das Anweisungen zum Entschlüsseln einer verschlüsselten virtuellen Platte enthält, und ein computerlesbares Speichermedium mit einer verschlüsselten virtuellen Platte, das die virtuelle Platte in den unabhängigen Ansprüchen enthält. Ausführungsformen werden in den abhängigen Ansprüchen gegeben.
Das Verschlüsseln des gesamten virtuellen Platten-Image vor der Verteilung hat mehrere Nachteile. Erstens kann ein virtuelles Platten-Image, das in einem Format vorliegt, nicht ohne Entschlüsselung in ein anderes umgewandelt werden. Zweitens ist ein Administrator erforderlich, um das virtuelle Platten-Image zu entschlüsseln und zu installieren. Dies könnte ein Problem darstellen, da dem Administrator ein Verschlüsselungsschlüssel oder ein Berechtigungsnachweis für die Entschlüsselung des virtuellen Platten-Image bereitgestellt werden muss. Es ist ungewiss, ob der Endbenutzer oder Anbieter des virtuellen Plattensystems die Weitergabe des Verschlüsselungsschlüssels oder Berechtigungsnachweises an den Administrator wünscht.
Ausführungsformen der Erfindung können diese und weitere Probleme lösen, indem sie auf dem verschlüsselten virtuellen Platten-Image einen Verschlüsselungs-Master-Bootdatensatz anordnen, zusammen mit einem Entschlüsselungsprogramm zum Entschlüsseln eines mindestens partiell verschlüsselten virtuellen Platten-Image. Der Verschlüsselungs-Master-Bootdatensatz ist ein Master-Bootdatensatz, der zum Booten der virtuellen Maschine verwendet wird. Die virtuelle Maschine entschlüsselt das verschlüsselte virtuelle Platten-Image dann mithilfe des Entschlüsselungsprogramms und des kryptografischen Berechtigungsnachweises selbst. Dadurch entfällt die Notwendigkeit, dem Anbieter kryptografische Berechtigungsnachweise bereitzustellen.
Ausführungsformen der Erfindung können den Vorteil haben, dass die virtuelle Platte von der virtuellen Platte aus verschlüsselt oder entschlüsselt werden kann. Ausführungsformen der Erfindung können den Vorteil haben, dass das Verfahren eingerichtet werden kann, um nur benutzte Blöcke zu verschlüsseln. Dies führt zu einer schnelleren Verschlüsselung und zu einer Verringerung der zu verschlüsselnden Datenmenge. Ausführungsformen der Erfindung können den Vorteil haben, dass eine virtuelle Platte während der Verarbeitung verschlüsselt und entschlüsselt werden kann.
Zudem können nur Abschnitte der virtuellen Platte verschlüsselt werden. Zum Beispiel können die Blöcke der virtuellen Platte selektiv verschlüsselt werden. Die Abschnitte der virtuellen Platte, die Daten oder Datensätze enthalten, die für ein bestimmtes Format der virtuellen Platte spezifisch sind, können unverschlüsselt gelassen werden. Dies erlaubt die Umwandlung der virtuellen Platte ohne Entschlüsselung der virtuellen Platte.
Ein computerlesbares Speichermedium, wie hierein verwendet, umfasst jedes materielle Speichermedium, das Anweisungen speichern kann, die von einem Prozessor einer Computereinheit ausgeführt werden können. Das computerlesbare Speichermedium kann als computerlesbares nichtflüchtiges Speichermedium bezeichnet werden. Das computerlesbare Speichermedium kann auch als materielles computerlesbares Medium bezeichnet werden. In manchen Ausführungsformen kann ein computerlesbares Speichermedium auch in der Lage sein, Daten zu speichern, auf welche vom Prozessor der Computereinheit zugegriffen werden kann.
Zu Beispielen für computerlesbare Speichermedien gehören, ohne auf diese beschränkt zu sein: eine Diskette, ein magnetisches Festplattenlaufwerk, eine Solid-State-Festplatte, Flash-Speicher, ein USB-Thumb-Drive, Direktzugriffsspeicher (RAM), Nur-Lese-Speicher (ROM), eine optische Platte, eine magnetooptische Platte und die Registerdatei des Prozessors. Zu Beispielen für optische Platten gehören Compact Discs (CDs) und Digital Versatile Discs (DVDs) wie zum Beispiel CD-ROM-, CD-RW-, CD-R-, DVD-ROM-, DVD-RW- oder DVD-R-Discs. Der Begriff computerlesbares Speichermedium bezieht sich auch auf Aufzeichnungsmedien verschiedener Art, auf welche von der Computereinheit über ein Netzwerk oder eine Datenübertragungsverbindung zugegriffen werden kann. Zum Beispiel kann über einen Modem, über das Internet oder über ein lokales Netzwerk auf Daten zugegriffen werden.
Ein Computerhauptspeicher (computer memory) ist ein Beispiel für ein computerlesbares Speichermedium. Bei einem Computerhauptspeicher handelt es sich um einen Speicher, auf welchen ein Prozessor direkt zugreifen kann. Zu Beispielen für Computerhauptspeicher gehören, ohne auf diese beschränkt zu sein: Direktzugriffspeicher (RAM), Register und Registerdateien.
Ein Computermassenspeicher (computer storage) ist ein anderes Beispiel für ein computerlesbares Speichermedium. Bei einem Computermassenspeicher handelt es sich um ein nichtflüchtiges computerlesbares Speichermedium. Zu Beispielen für Computermassenspeicher gehören, ohne auf diese beschränkt zu sein: ein Festplattenlaufwerk, ein USB-Thumb-Drive, ein Diskettenlaufwerk, eine Smartcard, eine DVD, eine CD-ROM, und ein Solid-State-Festplattenlaufwerk. In manchen Ausführungsformen kann der Computermassenspeicher auch der prozessornahe Computerspeicher sein oder umgekehrt.
Eine Computereinheit oder ein Computersystem, wie hierin verwendet, bezieht sich auf jede Einheit, die einen Prozessor aufweist. Ein Prozessor, wie hierin verwendet, umfasst eine elektronische Komponente, die in der Lage ist, ein Programm oder eine maschinenausführbare Anweisung auszuführen. Bezugnahmen auf die Computereinheit, die „einen Prozessor“ aufweist, sind so zu interpretieren, dass sie mehr als einen Prozessor enthalten kann. Auch der Begriff Computereinheit ist so zu interpretieren, dass er sich möglicherweise auf eine Sammlung oder ein Netzwerk von Computereinheiten bezieht, die jeweils einen Prozessor aufweisen. Die Anweisungen vieler Programme werden von mehreren Prozessoren ausgeführt, die sich in derselben Computereinheit befinden können oder sogar über mehrere Computereinheiten hinweg verteilt sein können.
Eine Benutzerschnittstelle, wie hierin verwendet, ist eine Schnittstelle, die einem Benutzer (user) oder einem Anbieter (operator) die Interaktion mit einem Computer oder Computersystem erlaubt. Eine Benutzerschnittstelle kann dem Anbieter Information oder Daten bereitstellen und/oder vom Anbieter Information oder Daten empfangen. Die Anzeige von Daten oder Information auf einem Bildschirm oder einer grafischen Benutzerschnittstelle ist ein Beispiel für die Bereitstellung von Information an einen Anbieter. Der Empfang von Daten über eine Tastatur, eine Maus, eine Rollkugel, ein Touchpad, einen Stift, ein Grafiktablett, einen Joystick, ein Gamepad, eine Webcam, ein Headset, Schalthebel, ein Lenkrad, Pedale, einen Cyber-Handschuh, ein Dancepad, eine Fernsteuerung und einen Beschleunigungsmesser sind alles Beispiele für den Empfang von Information oder Daten von einem Anbieter.
Virtualisierungs-Software, ein Virtualisierungs-Programm und ein Virtualisierungs-Modul, wie hierin verwendet, beziehen sich alle auf Software oder auf einem Computer ausführbare Anweisungen, die einem Computersystem das Ausführen eines virtuellen Computersystems erlauben. Eine virtuelle Maschine oder ein virtuelles Computersystem, wie hierin verwendet, umfasst ein Computersystem, das durch Software, die auf einem Computersystem ausgeführt wird, virtuell realisiert oder simuliert wird.
Ein Verschlüsselungsschlüssel oder Verschlüsselungs-Berechtigungsnachweis, wie hierin verwendet, umfasst einen Schlüssel, einen Berechtigungsnachweis oder ein Kennwort, die von einem Entschlüsselungsalgorithmus verwendet werden können, um eine Datendatei zu entschlüsseln.
Eine virtuelle Platte, wie hierin verwendet, umfasst Daten, die von einem Virtualisierungs-Programm als virtuelles Platten-Image verwendet werden können. Eine virtuelle Platte kann ein Dateisystem enthalten, auf welches vom Virtualisierungs-System oder virtuellen System zugegriffen werden kann. Eine virtuelle Platte kann auch ein bootfähiges Betriebssystem enthalten.
In einem Ausführungsbeispiel wird durch die die Erfindung ein computerlesbares Speichermedium vorgesehen, das maschinenausführbare Anweisungen enthält, die, wenn sie von einem Prozessor ausgeführt werden, einen Prozessor dazu veranlassen, eine virtuelle Platte zu verschlüsseln. Die virtuelle Platte weist ein virtuelles Platten-Image auf. Das virtuelle Platten-Image ist ein Abbild eines bestehenden Plattendateisystems oder eines Plattendateisystems, das zum Erzeugen des virtuellen Platten-Image erstellt wird. Das Ausführen der maschinenausführbaren Anweisungen veranlasst den Prozessor dazu, die virtuelle Platte zu empfangen. Das Ausführen der maschinenausführbaren Anweisungen veranlasst den Prozessor außerdem dazu, die Größe der virtuellen Platte zu erhöhen. Die virtuelle Platte kann im Wesentlichen eine Datei sein, die auf dem computerlesbaren Speichermedium oder einem anderen computerlesbaren Speichermedium gespeichert wird. Die Größe der virtuellen Platte kann erhöht werden, indem am Anfang oder am Ende der virtuellen Platte Blöcke hinzugefügt werden. Das Ausführen der maschinenausführbaren Anweisungen veranlasst den Prozessor außerdem dazu, einen Entschlüsselungs-Master-Bootdatensatz und ein Entschlüsselungsprogramm in die virtuelle Platte zu schreiben. Der Entschlüsselungs-Master-Bootdatensatz ist ein Master-Bootdatensatz, der einen virtuellen Computer oder ein virtuelles Computersystem startet, wenn das virtuelle Platten-Image benutzt wird. Der Entschlüsselungs-Master-Bootdatensatz erlaubt dem virtuellen Computersystem, das Entschlüsselungsprogramm zum Entschlüsseln der virtuellen Platte auszuführen. Das Ausführen der maschinenausführbaren Anweisungen veranlasst den Prozessor außerdem dazu, mindestens einen Abschnitt des virtuellen Platten-Image zu verschlüsseln. Das Entschlüsselungsprogramm weist entschlüsselungsmaschinenlesbare Anweisungen auf, um das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß einem Verschlüsselungsschlüssel zu entschlüsseln. Das virtuelle Platten-Image wird so verschlüsselt, dass das virtuelle Platten-Image mit dem Entschlüsselungsprogramm gemäß dem Verschlüsselungsschlüssel entschlüsselt werden kann.
In manchen Ausführungsformen wird das gesamte virtuelle Platten-Image verschlüsselt. In anderen Ausführungsformen werden nur bestimmte Abschnitte des virtuellen Platten-Image verschlüsselt. Wenn zum Beispiel Abschnitte der virtuellen Platte nicht benutzt werden, brauchen diese Abschnitte des Platten-Image nicht verschlüsselt zu werden. Es kann auch ermittelt werden, ob bestimmte Abschnitte der virtuellen Platte sensible Information enthalten, deren Schutz durch Verschlüsselung wünschenswert ist, zum Beispiel Anwendungsprogramme oder sensible Daten. Das Entschlüsseln des virtuellen Platten-Image kann beschleunigt werden, indem Abschnitte der virtuellen Platte, die geschützt werden müssen, auf selektive Weise verwendet werden und Abschnitte, die nicht geschützt zu werden brauchen, nicht verschlüsselt werden.
Ausführungsformen der Erfindung haben mehrere Vorteile. Zum Beispiel ermöglicht der Zusatz des Entschlüsselungs-Master-Bootdatensatzes zur virtuellen Platte und das Entschlüsselungsprogramm es einem Endbenutzer, das Entschlüsseln des virtuellen Platten-Image durchzuführen. Dadurch entfällt für einen Administrator die Notwendigkeit, diese Aufgabe durchzuführen.
In einer anderen Ausführungsform wird das virtuelle Platten-Image in einen ersten und zweiten Teil unterteilt. Die virtuelle Platte wird in einen ersten, zweiten, dritten, vierten und fünften Abschnitt unterteilt. Das virtuelle Platten-Image umfasst am Anfang den ersten, zweiten und dritten Abschnitt der virtuellen Platte. Der zweite Teil des virtuellen Platten-Image wird in einem dritten Abschnitt der virtuellen Platte gespeichert. Das Ausführen der Anweisungen veranlasst den Prozessor außerdem dazu, den ersten Teil des virtuellen Platten-Image in einen vierten Abschnitt der virtuellen Platte zu kopieren. Der erste Teil des virtuellen Platten-Image wird aus dem ersten und zweiten Abschnitt der virtuellen Platte in den vierten Abschnitt der virtuellen Platte kopiert oder verschoben. Der Entschlüsselungs-Master-Bootdatensatz wird in den ersten Abschnitt der virtuellen Platte geschrieben. Wenn die virtuelle Platte in ein virtuelles System geladen wird und die virtuelle Platte vom virtuellen System gebootet wird, veranlasst der Entschlüsselungs-Master-Bootdaten das virtuelle System dazu, das Entschlüsselungsprogramm auszuführen.
Das Entschlüsselungsprogramm wird in den zweiten Abschnitt der virtuellen Platte geschrieben. Wie oben erwähnt, wird der erste Teil des virtuellen Platten-Image aus dem ersten und zweiten Abschnitt der virtuellen Platte kopiert. Der erste Teil des virtuellen Platten-Image wird aus dem ersten und zweiten Abschnitt der virtuellen Platte kopiert, bevor der Entschlüsselungs-Master-Bootdatensatz und das Entschlüsselungsprogramm jeweils in den ersten und zweiten Abschnitt der virtuellen Platte geschrieben werden. Das Ausführen der Anweisungen veranlasst den Prozessor außerdem dazu, den ersten und zweiten Teil der virtuellen Platte mindestens partiell zu verschlüsseln. Die Größe der virtuellen Platte wird erhöht, um den vierten Abschnitt der virtuellen Platte und einen fünften Abschnitt der virtuellen Platte zu erzeugen. Die Größe des fünften Abschnitts ist größer oder gleich dem des zweiten Abschnitts. Die kombinierte Größe des ersten und zweiten Abschnitts ist geringer oder gleich der Größe des vierten Abschnitts. Diese Ausführungsform der Erfindung kann vorteilhaft sein, da der Entschlüsselungs-Master-Bootdatensatz im ersten Abschnitt liegt und das virtuelle System dazu veranlasst, das Entschlüsselungsprogramm zu booten.
In einer anderen Ausführungsform wird der erste Teil des virtuellen Platten-Image zusammenhängend verschlüsselt. In dieser Ausführungsform wird der gesamte erste Teil des virtuellen Platten-Image als einzelne verschlüsselte Datendatei verschlüsselt.
In einer anderen Ausführungsform wird der zweite Teil des virtuellen Platten-Image zusammenhängend verschlüsselt. In dieser Ausführungsform wird der zweite Teil des virtuellen Platten-Image als einzelne Datendatei verschlüsselt.
In einer anderen Ausführungsform wird das virtuelle Platten-Image in Blöcke unterteilt. Wie hierin verwendet, ist ein Block ein Abschnitt oder ein Teilabschnitt von Daten einer Platte oder eines virtuellen Platten-Image. Die Daten in einem Block sind durch die Platte oder die virtuelle Platte adressierbar. Die Blöcke werden gemäß einer vorbestimmten Blockverschlüsselungsliste selektiv verschlüsselt. Die Blockverschlüsselungsliste ist eine Liste von Blöcken, die während der Verschlüsselung des virtuellen Platten-Image zu verschlüsseln sind. Zum Beispiel kann ein Anbieter bestimmen, welche Blöcke des virtuellen Platten-Image Daten enthalten, deren Schutz durch Verschlüsselung erwünscht ist. Diese Blöcke können zum Beispiel sensible Daten oder Information enthalten. Diese Blöcke können gleichermaßen auch Anwendungen enthalten, für die eine Lizenz erworben werden muss. Wenn das Programm über das Internet übertragen wird, kann es wünschenswert sein, die ausführbare Version des Codes oder Daten zu schützen.
In einer anderen Ausführungsform wird das virtuelle Platten-Image in Blöcke unterteilt. Das Ausführen der Anweisungen veranlasst den Prozessor dazu, jeden der Blöcke zu prüfen und eine Liste von unbenutzten Blöcken zu erstellen. Bestimmte Blöcke werden nur verschlüsselt, wenn sie nicht in der Liste unbenutzter Blöcke gefunden werden. Diese Ausführungsform ist besonders vorteilhaft, weil das computerlesbare Speichermedium die Verschlüsselung unbenutzter Blöcke vermeidet. Da die Blöcke nicht benutzt werden, ist deren Schutz nicht notwendig. In manchen virtuellen Dateisystemen können unbenutzte Daten zum Dateisystem gehören, aber nicht benutzt werden. Die virtuelle Platte kann verkleinert werden, indem diese Teile des Dateisystems nicht verschlüsselt werden.
Durch die vorgenannten Ausführungsformen des computerlesbaren Speichermediums werden auch andere Aspekte der Erfindung vorgesehen. Zum Beispiel wird durch die Erfindung ein Computersystem vorgesehen, das die maschinenlesbaren Anweisungen enthält oder aufweist, die auf einem computerlesbaren Speichermedium gemäß einer Ausführungsform der Erfindung enthalten sind. Gleichermaßen veranlasst das Ausführen der maschinenausführbaren Anweisungen den Prozessor dazu, verschiedene Schritte oder Aktionen durchzuführen, die auch ein Verfahren und computerimplementiertes Verfahren bereitstellen. Durch die ausführbaren Anweisungen auf dem computerlesbaren Speichermedium ergibt sich auch ein Computerprogrammprodukt und/oder ein Computersystem.
In einem weiteren Aspekt wird durch die Erfindung ein computerlesbares Speichermedium vorgesehen, das maschinenausführbare Anweisungen enthält, die, wenn sie von einem Prozessor ausgeführt werden, den Prozessor dazu veranlassen, eine verschlüsselte virtuelle Platte zu entschlüsseln. Die virtuelle Platte weist einen Entschlüsselungs-Master-Bootdatensatz, ein Entschlüsselungsprogramm und ein mindestens partiell verschlüsseltes virtuelles Platten-Image auf. Das Entschlüsselungsprogramm weist entschlüsselungsmaschinenlesbare Anweisungen auf, um das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß einem Verschlüsselungsschlüssel zu entschlüsseln. Das Ausführen der maschinenausführbaren Anweisungen veranlasst den Prozessor dazu, die verschlüsselte virtuelle Platte zu empfangen.
Das Ausführen der maschinenausführbaren Anweisungen veranlasst den Prozessor außerdem dazu, mit dem Entschlüsselungs-Master-Bootdatensatz eine virtuelle Maschine zu booten. Das Ausführen der maschinenausführbaren Anweisungen veranlasst den Prozessor außerdem dazu, den Verschlüsselungsschlüssel zu empfangen. Die Reihenfolge des Empfangs des Verschlüsselungsschlüssels ist nicht kritisch. Zum Beispiel kann der Prozessor den Verschlüsselungsschlüssel an jedem Punkt vor dem Entschlüsseln des virtuellen Platten-Image empfangen werden. Das Ausführen der maschinenausführbaren Anweisungen veranlasst den Prozessor außerdem dazu, das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß dem Verschlüsselungsschlüssel und dem Entschlüsselungsprogramm zu entschlüsseln. Die maschinenausführbaren Anweisungen veranlassen den Prozessor dazu, die virtuelle Maschine zu booten, und die virtuelle Maschine bootet das Betriebssystem auf der verschlüsselten virtuellen Platte über den Entschlüsselungs-Master-Bootdatensatz. Dies veranlasst die virtuelle Maschine dann dazu, das Entschlüsselungsprogramm auszuführen. Dann entschlüsselt das Entschlüsselungsprogramm das mindestens partiell verschlüsselte virtuelle Platten-Image. Sowohl der Verschlüsselungsschlüssel als auch das Entschlüsselungsprogramm werden zum Entschlüsseln des mindestens partiell verschlüsselten virtuellen Platten-Image benötigt.
In einer anderen Ausführungsform wird die Entschlüsselung des mindestens partiell verschlüsselten virtuellen Platten-Image während der Implementierung der virtuellen Maschine durchgeführt. Nach dem aktuellen Stand der Technik empfängt ein Administrator eine verschlüsselte virtuelle Platte, und der Administrator ist für deren Entschlüsselung verantwortlich. Dies ist aber in vielen Fällen unerwünscht, da der Endbenutzer oder Anbieter der virtuellen Maschine für das Durchführen der Entschlüsselung auf einen Administrator angewiesen ist. Ausführungsformen der Erfindung können den Vorteil haben, dass der Endbenutzer oder Anbieter die Entschlüsselung selbst durchführen kann.
In einer anderen Ausführungsform weist die virtuelle Platte einen ersten Abschnitt auf, der den Entschlüsselungs-Master-Bootdatensatz enthält. Die virtuelle Platte weist außerdem einen zweiten Abschnitt auf, der das Entschlüsselungsprogramm enthält. Die virtuelle Platte weist außerdem einen dritten Abschnitt auf, der einen zweiten Teil des virtuellen Platten-Image enthält. Die virtuelle Platte weist außerdem einen vierten Abschnitt auf, der einen ersten Teil der virtuellen Platte enthält. Der erste Teil der virtuellen Platte kann in manchen Ausführungsformen einen Master-Bootdatensatz zum Booten eines Betriebssystems enthalten, das im virtuellen Platten-Image enthalten ist. Dieser Master-Bootdatensatz im vierten Abschnitt kann verwendet werden, um die virtuelle Maschine zu booten, sobald die Entschlüsselung der mindestens partiell verschlüsselten virtuellen Platte abgeschlossen ist.
Die virtuelle Platte weist einen fünften Abschnitt auf, der Speicherplatz enthält. Die Größe des fünften Abschnitts ist größer als der des zweiten Abschnitts. Die kombinierte Größe des ersten und zweiten Abschnitts ist geringer oder gleich der Größe des vierten Abschnitts. Die kombinierte Größe des ersten und zweiten Abschnitts ist geringer oder gleich der Größe des vierten Abschnitts.
Das mindestens partiell verschlüsselte Platten-Image wird entschlüsselt, indem der zweite Teil des virtuellen Platten-Image entschlüsselt wird. Das mindestens partiell verschlüsselte virtuelle Platten-Image wird außerdem entschlüsselt, indem das Entschlüsselungsprogramm in den fünften Abschnitt der virtuellen Platte kopiert wird. Das mindestens partiell verschlüsselte virtuelle Platten-Image wird entschlüsselt, indem ein Abschnitt des ersten Teils des virtuellen Platten-Image entschlüsselt wird.
Das mindestens partiell verschlüsselte virtuelle Platten-Image wird außerdem entschlüsselt, indem der entschlüsselte Abschnitt des ersten Teils des virtuellen Platten-Image in den zweiten Abschnitt der virtuellen Platte kopiert wird. Das virtuelle Platten-Image wird außerdem entschlüsselt, indem der Rest des ersten Teils des virtuellen Platten-Image entschlüsselt wird. Das virtuelle Platten-Image wird außerdem entschlüsselt, indem der entschlüsselte Rest des ersten Teils des virtuellen Platten-Image in den ersten Abschnitt der virtuellen Platte kopiert wird. Das Durchführen der Entschlüsselung auf diese Weise kann den Vorteil haben, dass das Entschlüsseln an jedem Zeitpunkt unterbrochen werden kann. Zum Beispiel kann der fünfte Abschnitt eine Datendatei enthalten, die einen Status des Entschlüsselungsprozesses aufrechterhält.
In einer anderen Ausführungsform veranlasst das Ausführen der Anweisungen nach dem Kopieren des entschlüsselten Rests des ersten Teils des virtuellen Platten-Image in den ersten Abschnitt der virtuellen Platte den Prozessor außerdem dazu, Daten im vierten und fünften Abschnitt der virtuellen Platte zu löschen.
In einer anderen Ausführungsform veranlasst das Ausführen der Anweisungen nach dem Entschlüsseln des mindestens partiell verschlüsselten virtuellen Platten-Image die virtuelle Maschine außerdem dazu, neu zu booten.
Durch die vorgenannten Ausführungsformen des computerlesbaren Speichermediums werden auch andere Aspekte der Erfindung vorgesehen. Zum Beispiel ergibt sich durch die Erfindung ein Computersystem, das die maschinenlesbaren Anweisungen enthält oder aufweist, die auf einem computerlesbaren Speichermedium gemäß einer Ausführungsform der Erfindung enthalten sind. Gleichermaßen veranlasst das Ausführen der maschinenausführbaren Anweisungen den Prozessor dazu, verschiedene Schritte oder Aktionen durchzuführen, die auch zu einem Verfahren und auf einem Computer implementierte Verfahren führen. Durch die ausführbaren Anweisungen auf dem computerlesbaren Speichermedium ergibt sich auch ein Computerprogrammprodukt und/oder ein Computersystem.
In einem anderen Aspekt wird durch die Erfindung ein computerlesbares Speichermedium mit einer verschlüsselten virtuellen Platte vorgesehen, das eine virtuelle Platte enthält. Die virtuelle Platte weist einen Entschlüsselungs-Master-Bootdatensatz, ein Entschlüsselungsprogramm und ein mindestens partiell verschlüsseltes virtuelles Platten-Image auf. Das Entschlüsselungsprogramm weist maschinenausführbare Anweisungen auf, um die mindestens partiell verschlüsselte virtuelle Platte gemäß einem Verschlüsselungsschlüssel zu entschlüsseln. Mit anderen Worten, zum Entschlüsseln des mindestens partiell verschlüsselten virtuellen Platten-Image wird die Kombination aus dem Entschlüsselungsprogramm und dem Verschlüsselungsschlüssels verwendet.
Das Entschlüsselungsprogramm weist maschinenausführbare Anweisungen auf, die, wenn sie von einem Prozessor ausgeführt werden, den Prozessor dazu veranlassen, einen Verschlüsselungsschlüssel zu empfangen. In manchen Ausführungsformen kann die Eingabe des Verschlüsselungsschlüssels vom Entschlüsselungsprogramm angefordert werden, oder der Verschlüsselungsschlüssel kann von einem anderen Programm an das Entschlüsselungsprogramm übergeben werden. Zum Beispiel kann Virtualisierungs-Software zur Ausführung eines virtuellen Computersystems dem Entschlüsselungsprogramm einen Verschlüsselungsschlüssel übergeben. Die weitere Ausführung der maschinenausführbaren Anweisungen des Entschlüsselungsprogramms veranlasst den Prozessor dazu, das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß dem Verschlüsselungsschlüssel und dem Entschlüsselungsprogramm zu entschlüsseln.
In einer anderen Ausführungsform weist die virtuelle Platte einen ersten Abschnitt auf, der den Entschlüsselungs-Master-Bootdatensatz enthält. Die virtuelle Platte weist außerdem einen zweiten Abschnitt auf, der das Entschlüsselungsprogramm enthält. Die virtuelle Platte weist außerdem einen dritten Abschnitt auf, der einen zweiten Teil des virtuellen Platten-Image enthält. Die virtuelle Platte weist außerdem einen vierten Abschnitt auf, der einen ersten Teil der virtuellen Platte enthält. Die virtuelle Platte weist außerdem einen fünften Abschnitt auf, der Speicherplatz enthält. Die Größe des fünften Abschnitts ist größer oder gleich dem des zweiten Abschnitts. Die kombinierte Größe des ersten und zweiten Abschnitts ist geringer oder gleich der Größe des vierten Abschnitts.
In einer anderen Ausführungsform wird das mindestens partiell verschlüsselte virtuelle Platten-Image entschlüsselt, indem der zweite Teil des virtuellen Platten-Image entschlüsselt wird. Die virtuelle Platte wird außerdem entschlüsselt, indem das Entschlüsselungsprogramm in den fünften Abschnitt der virtuellen Platte kopiert wird. Das virtuelle Platten-Image wird außerdem entschlüsselt, indem ein Abschnitt des ersten Teils des virtuellen Platten-Image entschlüsselt wird. Die virtuelle Platte wird außerdem entschlüsselt, indem der entschlüsselte Abschnitt des ersten Teils des virtuellen Platten-Image in den zweiten Abschnitt der virtuellen Platte kopiert wird. Die virtuelle Platte wird außerdem entschlüsselt, indem der entschlüsselte Abschnitt eines ersten Teils des virtuellen Platten-Image in den zweiten Abschnitt der virtuellen Platte kopiert wird. Das virtuelle Platten-Image wird außerdem entschlüsselt, indem der Rest des ersten Teils des virtuellen Platten-Image entschlüsselt wird. Das virtuelle Platten-Image wird außerdem entschlüsselt, indem der entschlüsselte Rest des ersten Teils des virtuellen Platten-Image in den ersten Abschnitt der virtuellen Platte kopiert wird.
In einer anderen Ausführungsform enthält die virtuelle Platte eine Entschlüsselungsstatus-Datendatei zum Speichern des Fortschritts der Entschlüsselung des mindestens partiell verschlüsselten virtuellen Platten-Image. Das Ausführen der maschinenausführbaren Anweisungen des Entschlüsselungsprogramms veranlasst den Prozessor außerdem dazu, die Entschlüsselungsstatus-Datendatei während der Entschlüsselung des mindestens partiell verschlüsselten virtuellen Platten-Image zu aktualisieren. Das Ausführen der maschinenausführbaren Anweisungen des Entschlüsselungsprogramms veranlasst den Prozessor außerdem dazu, die Entschlüsselungsstatus-Datendatei zu prüfen, wenn die Entschlüsselung des mindestens partiell verschlüsselten virtuellen Platten-Image beginnt. Wenn die Entschlüsselung ursprünglich unterbrochen wurde, kann die Entschlüsselung durch Prüfen des Status der Entschlüsselungsstatus-Datendatei an einem Zwischenpunkt gestartet werden.
In einer anderen Ausführungsform veranlasst das Ausführen der Anweisungen nach dem Kopieren des entschlüsselten Rests des ersten Teils des virtuellen Platten-Image in den ersten Abschnitt der virtuellen Platte den Prozessor außerdem dazu, Daten im vierten und fünften Abschnitt der virtuellen Platte zu löschen.
In einer anderen Ausführungsform veranlasst das Ausführen der Anweisungen nach dem Entschlüsseln des mindestens partiell verschlüsselten virtuellen Platten-Image außerdem eine das Entschlüsselungsprogramm ausführende virtuelle Maschine dazu, neu zu booten.
Durch die vorgenannten Ausführungsformen des computerlesbaren Speichermediums werden auch andere Aspekte der Erfindung vorgesehen Zum Beispiel wird durch die Erfindung ein Computersystem vorgesehen, das die maschinenlesbaren Anweisungen enthält oder aufweist, die auf einem computerlesbaren Speichermedium gemäß einer Ausführungsform der Erfindung enthalten sind. Gleichermaßen veranlasst das Ausführen der maschinenausführbaren Anweisungen den Prozessor dazu, verschiedene Schritte oder Aktionen durchzuführen, durch die sich auch ein Verfahren und auf einem Computer implementierte Verfahren ergeben. Die ausführbaren Anweisungen auf dem computerlesbaren Speichermedium führen auch zu einem Computerprogrammprodukt und/oder einem Computersystem.
Figurenliste
Im Folgenden werden bevorzugte Ausführungsformen der Erfindung Bezug nehmend auf die Zeichnungen lediglich auf beispielhafte Weise ausführlicher beschrieben, wobei:

1 die Entschlüsselung einer virtuellen Platte 100 gemäß einer Ausführungsform der Erfindung veranschaulicht,
2 ein Entschlüsselungsbeispiel während des Imports des virtuellen Systems veranschaulicht,
3 die Entschlüsselung des virtuellen Platten-Image während der Implementierung veranschaulicht,
4a bis 4e ein auf Blöcken beruhendes Verfahren zum Verschlüsseln eines virtuellen Platten-Image gemäß einer Ausführungsform der Erfindung veranschaulichen,
5a bis 5d die Entschlüsselung des in 4a bis 4e verschlüsselten virtuellen Platten-Image veranschaulichen,
6 einen Ablaufplan zeigt, der ein Verfahren zum Verschlüsseln eines virtuellen Platten-Image gemäß einer weiteren Ausführungsform der Erfindung veranschaulicht,
7 einen Ablaufplan zeigt, der ein Verfahren zum Entschlüsseln eines virtuellen Platten-Image gemäß einer weiteren Ausführungsform der Erfindung veranschaulicht,
8 einen Ablaufplan zeigt, der ein Verfahren zum Entschlüsseln eines virtuellen Platten-Image gemäß einer weiteren Ausführungsform der Erfindung veranschaulicht, und
9 ein erstes Computersystem zur Verschlüsselung einer virtuellen Platte und ein zweites Computersystem zum Entschlüsselung einer virtuellen Platte veranschaulicht.

Ausführliche Beschreibung
Im Folgenden sind Elemente, die in diesen Figuren mit gleichen Bezugszeichen versehen sind, entweder vergleichbare Elemente oder führen eine äquivalente Funktion durch. Elemente, die bereits zuvor erläutert wurden, werden in den nachfolgenden Figuren nicht unbedingt erläutert, wenn die Funktion äquivalent ist.
1 veranschaulicht die Entschlüsselung einer virtuellen Platte 100 gemäß einer Ausführungsform der Erfindung. Die virtuelle Platte 100 weist ein virtuelles Platten-Image 102 auf, das verschlüsselt ist, und ein Entschlüsselungsprogramm 104 zum Entschlüsseln des virtuellen Platten-Image 102. In 1 wird auch ein Computersystem 106 gezeigt, das Virtualisierungs-Software zum Ausführen von virtuellen Computersystemen oder Maschinen enthält. In 1 werden ein Anbieter 108 und ein Benutzer 110 gezeigt. 1 veranschaulicht die Maßnahmen, die bei Verwendung einer virtuellen Platte 100 gemäß einer Ausführungsform der Erfindung vom Anbieter 108 und vom Benutzer 110 ergriffen werden. Die in 1 gezeigten Schritte sind zuerst das Booten der virtuellen Platte und deren Entschlüsselung. Schritt 1 ist mit 112 beschriftet. In diesem Schritt speichert der Anbieter 108 die virtuelle Platte 100 auf dem Computersystem 106. In Schritt 2, 114 bootet der Benutzer 110 mit der Virtualisierungs-Software die virtuelle Maschine auf einem Computersystem 106. In Schritt 3, 116 bootet das Entschlüsselungsprogramm 104 und fordert vom Benutzer 110 einen Berechtigungsnachweis oder ein Kennwort an. In Schritt 4, 118 stellt der Benutzer 110 dem Entschlüsselungsprogramm 104 den Berechtigungsnachweis oder das Kennwort bereit. In Schritt 5, 120 entschlüsselt das Entschlüsselungsprogramm 104 das virtuelle Platten-Image 102 unter Verwendung des Berechtigungsnachweises oder Kennworts. In Schritt 6, 122 bootet die virtuelle Maschine neu, und die virtuelle Maschine wird vom entschlüsselten virtuellen Platten-Image 102 aus gebootet.
Bei der Verwendung einer virtuellen Platte 100 gemäß einer Ausführungsform der Erfindung sind zwei verschiedene Anwendungsszenarien möglich. Die Entschlüsselung kann während des Imports des virtuellen Platten-Image 102 erfolgen, oder die Entschlüsselung kann während der Implementierung des virtuellen Platten-Image 102 erfolgen. Wenn das virtuelle Platten-Image 102 während des Imports des virtuellen Systems entschlüsselt wird, sind die Berechtigungsnachweise dem Anbieter bekannt und er übergibt sie dem Programm oder den Programmen zur Verwaltung der virtuellen Systeme. Die Programme zur Verwaltung des virtuellen Systems importieren dann das Image und entschlüsseln es während der Verarbeitung. Bei der zweiten Möglichkeit, der Entschlüsselung während der Implementierung, sind die Berechtigungsnachweise dem Anbieter nicht bekannt, und die Images werden ohne Entschlüsselung importiert. Das virtuelle Platten-Image wird in einer Datenbank für virtuelle Systeme gespeichert und der Benutzer wird bei der Implementierung zur Eingabe des Berechtigungsnachweises aufgefordert.
2 zeigt ein Entschlüsselungsbeispiel während des Importierens des virtuellen Systems. In 2 wird ein Computersystem 200 gezeigt, das als Server 202 für virtuelle System-Images dient. Der Server 202 für virtuelle System-Images liefert Abbilder von virtuellen Systemen, wenn dies von einem Anbieter 208 angefordert wird. Auch eine Datenablage 204 für virtuelle Platten wird vom Computersystem 200 gespeichert oder ist von diesem zugreifbar, wobei es sich hier um eine Datenablage für virtuelle Platten handelt, auf welche über den Server 202 für virtuelle Systemimages zugegriffen werden kann. Auch ein Entschlüsselungsmodul 206 ist vorhanden, das dem in 1 gezeigten Entschlüsselungsprogramm 104 entspricht. In Schritt 1 lädt der Anbieter 208 eine virtuelle Platte herunter. In Schritt 2, 212 fordert der Anbieter den Import der virtuellen Platte in das vom Server 202 für virtuelle System-Images verwaltete System an. In Schritt 3, 214 fordert der Server 202 für virtuelle System-Images vom Anbieter 208 einen Berechtigungsnachweis oder ein Kennwort an. In Schritt 4, 216 stellt der Anbieter 208 dem Server 202 für virtuelle System-Images die Berechtigungsnachweise oder Kennwörter bereit. Im Schritt 5 importiert der Server 202 für virtuelle System-Images das virtuelle Platten-Image von der virtuellen Platte und entschlüsselt das virtuelle Platten-Image während der Verarbeitung unter Verwendung der Berechtigungsnachweise oder Kennwörter, die vom Anbieter 208 bereitgestellt wurden.
3 veranschaulicht das Entschlüsseln des virtuellen Platten-Image während des Implementierens. In dieser Figur wird ein Computersystem 200 mit einem Server 202 für virtuelle Systemimages gezeigt, der virtuelle Platten-Images verwaltet, die in einer Datenablage 204 für virtuelle Platten gespeichert sind. Im Beispiel, das in 3 gezeigt wird, ist ein zweites Computersystem 300 vorhanden, das zur Entschlüsselung während des Implementierens des virtuellen Platten-Image verwendet wird. Das zweite Computersystem 300 läuft auf einem virtuellen Zielsystem 302. Im Zielsystem 302 befindet sich ein Betriebssystem-Implementierungs-Tool 301. Das Betriebssystem-Implementierungs-Tool 301 ist vorgesehen, um in einem virtuellen Platten-Image ein virtuelles System zu implementieren.
Im virtuellen Zielsystem befindet sich auch ein Entschlüsselungsmodul 303. Bei dem Entschlüsselungsmodul handelt es sich um ein Softwaremodul oder ein Entschlüsselungsprogramm zur Entschlüsselung eines virtuellen Platten-Image unter Verwendung eines Kennworts oder eines kryptografischen Berechtigungsnachweises. Ein Anbieter 304 und ein Benutzer 306 werden gezeigt. In einem ersten Schritt 1, der durch das Bezugszeichen 308 bezeichnet ist, fordert der Anbieter 304 das Implementieren eines virtuellen Systems auf dem zweiten Computersystem 300 an oder löst dieses aus. In einem zweiten Schritt 2 (durch das Bezugszeichen 310 bezeichnet) bootet das Zielsystem oder virtuelle System auf dem Betriebssystem-Implementierungs-Tool 301. In einem dritten Schritt 3 (durch das Bezugszeichen 312 bezeichnet) fordert das Betriebssystem-Implementierungs-Tool 301 vom Benutzer 306 ein kryptografisches Kennwort oder einen Berechtigungsnachweis an. In einem vierten Schritt 4 (durch das Bezugszeichen 314 bezeichnet) stellt der Benutzer 306 dem Betriebssystem-Implementierungs-Tool 301 das kryptografische Kennwort oder den Berechtigungsnachweis bereit. In einem fünften Schritt 5 (auch als 316 bezeichnet) lädt das Tool das virtuelle Platten-Image herunter und entschlüsselt es unter Verwendung des kryptografischen Kennworts oder Berechtigungsnachweises und des Entschlüsselungsmoduls 303. Nachdem das virtuelle Platten-Image entschlüsselt wurde, wird in Schritt 6 (auch als 318 bezeichnet) das Implementieren des virtuellen Systems am entschlüsselten virtuellen Platten-Image fortgesetzt.
Die 4a bis 4e veranschaulichen ein Verfahren zur Verschlüsselung eines virtuellen Platten-Image auf der Grundlage von Blöcken gemäß einer Ausführungsform der Erfindung. In 4a werden eine virtuelle Platte 400 und ein virtuelles Platten-Image 402 gezeigt. Die Blöcke, aus denen das virtuelle Platten-Image besteht, sind mit 1 bis n beschriftet. Zunächst bootet der Benutzer ein Verschlüsselungs-Tool oder -programm, um das virtuelle Platten-Image zu verschlüsseln. In einem ersten Schritt erhöht das Entschlüsselungs-Tool die Größe der virtuellen Platte. Dies wird in 4b veranschaulicht. Am Ende der virtuellen Platte 400 wird ein Bereich mit leeren Betriebssystemblöcken 404 erzeugt. In einem nächsten Schritt wird das virtuelle Platten-Image in einen ersten Teil 406 und einen zweiten Teil 408 unterteilt. Der erste Teil des virtuellen Platten-Image 406 wird in die leeren Betriebssystemblöcke 404 am Ende der virtuellen Platte 400 kopiert.
In 4d wird gezeigt, dass das Verschlüsselungs-Tool einen Entschlüsselungs-Master-Bootdatensatz 410 und ein Entschlüsselungsprogramm 412 in einen ersten und zweiten Teil der virtuellen Platte 400 kopiert. 4e veranschaulicht den letzten Schritt. Das Verschlüsselungs-Tool oder die Verschlüsselungssoftware verschlüsselt den ersten Teil des virtuellen Platten-Image 406' und verschlüsselt den zweiten Teil des virtuellen Platten-Image 408'. Alle Blöcke des verschlüsselten virtuellen Platten-Image 406', 408' können verschlüsselt werden, oder die Blöcke können selektiv verschlüsselt werden. Auch in 4e wird die virtuelle Platte 400 in fünf Abschnitte unterteilt gezeigt. Der erste Abschnitt der virtuellen Platte 414 enthält den Entschlüsselungs-Master-Bootdatensatz 410. Der zweite Abschnitt der virtuellen Platte 416 enthält das Entschlüsselungsprogramm 412. Der dritte Abschnitt der virtuellen Platte 418 enthält den verschlüsselten 408' zweiten Teil des virtuellen Platten-Image. Der vierte Abschnitt der virtuellen Platte 420 enthält den verschlüsselten 406' ersten Teil des virtuellen Platten-Image. Der fünfte Abschnitt der virtuellen Platte 422 liegt am Ende der virtuellen Platte 400. In verschiedenen Ausführungsformen kann der fünfte Abschnitt 422 Daten zur Aufzeichnung des Entschlüsselungsstatus, Protokolldaten, bei der Entschlüsselung verwendete temporäre Daten und Kombinationen daraus enthalten.
5a bis 5d veranschaulichen die Entschlüsselung des virtuellen Platten-Image 406', 408' einer virtuellen Platte 400, wenn sie von einer virtuellen Maschine aus gebootet wird. 5a ist mit 4e identisch. In einem ersten Schritt startet die virtuelle Maschine auf der virtuellen Platte 400 und bootet den Master-Bootdatensatz 410 der virtuellen Platte. Als Nächstes lädt der Master-Bootdatensatz 410 das Entschlüsselungsprogramm 412. Das Entschlüsselungsprogramm 412 fordert dann einen kryptografischen Berechtigungsnachweis oder ein Kennwort für die Entschlüsselung des verschlüsselten virtuellen Platten-Image 406', 408' an. In 5b wird der Entschlüsselungsprozess veranschaulicht. Zwei verschiedene Ansichten der virtuellen Platte 400 werden gezeigt. Die mit 500 beschrifteten Blöcke sind entschlüsselte Blöcke des zweites Teils des virtuellen Platten-Image. Die mit 502 beschrifteten Blöcke sind verschlüsselte Blöcke des zweiten Teils des virtuellen Platten-Image. In der oberen Ansicht von 5b ist nur der mit 4 beschriftete Block ein entschlüsselter Block 500. Der Rest des zweiten Teils des virtuellen Platten-Image ist verschlüsselt. Der untere Teil von 5b zeigt, dass alle Blöcke des zweiten Teils des virtuellen Platten-Image 408 entschlüsselte Blöcke 500 sind.
5c zeigt den weiteren Fortgang des Entschlüsselns der virtuellen Platte 400. Nachdem alle Blöcke des zweiten Teils des virtuellen Platten-Image 408 entschlüsselt worden sind, wird das Entschlüsselungsprogramm 412 in den fünften Abschnitt 422 der virtuellen Platte kopiert. Als Nächstes wird ein Abschnitt des ersten Teils des virtuellen Platten-Image 406' entschlüsselt und in den zweiten Abschnitt 416 der virtuellen Platte kopiert. Der Rest 506 des ersten Teils des virtuellen Platten-Image 406' wird entschlüsselt und in den ersten Abschnitt 414 der virtuellen Platte kopiert. Der Rest des ersten Teils des virtuellen Platten-Image 506 hat in dieser Ausführungsform den Master-Bootdatensatz 410 überschrieben. Der verschlüsselte erste Teil des virtuellen Platten-Image 406' und das Entschlüsselungsprogramm 412 können überschrieben werden, wodurch leere Betriebssystemblöcke 404 übrig bleiben. Die 5d entspricht der 4b. Diese zeigt, wie das in 5 veranschaulichte Verfahren angewandt wurde, um das mindestens partiell verschlüsselte virtuelle Platten-Image 402 der virtuellen Platte 400 zu entschlüsseln.
6 zeigt einen Ablaufplan, der eine Ausführungsform der Verschlüsselung eines virtuellen Platten-Image gemäß der Erfindung veranschaulicht. In Schritt 600 wird eine virtuelle Platte empfangen. Die virtuelle Platte weist ein virtuelles Platten-Image auf. In Schritt 602 wird die Größe der virtuellen Platte erhöht. In Schritt 604 werden ein Entschlüsselungs-Master-Bootdatensatz und ein Entschlüsselungsprogramm in die virtuelle Platte geschrieben. In Schritt 606 wird mindestens ein Abschnitt des virtuellen Platten-Image verschlüsselt.
7 zeigt einen Ablaufplan, der ein Verfahren zum Entschlüsseln einer virtuellen Platte gemäß einer Ausführungsform der Erfindung veranschaulicht. In Schritt 700 wird eine verschlüsselte virtuelle Platte empfangen. In Schritt 702 wird eine virtuelle Maschine durch einen auf der virtuellen Platte enthaltenen Entschlüsselungs-Master-Bootdatensatz gestartet. In Schritt 704 wird ein Verschlüsselungsschlüssel empfangen. Die virtuelle Platte weist eine mindestens partiell verschlüsselte virtuelle Platte auf. In Schritt 706 wird die mindestens partiell verschlüsselte virtuelle Platte mit einem auf der virtuellen Platte befindlichen Entschlüsselungsprogramm entschlüsselt. Das Entschlüsselungsprogramm verwendet den Verschlüsselungsschlüssel mit dem Entschlüsselungsprogramm, um die Entschlüsselung der mindestens partiell verschlüsselten virtuellen Platte durchzuführen.
8 zeigt einen Ablaufplan, der ein Verfahren zum Entschlüsseln einer verschlüsselten virtuellen Platte gemäß einer weiteren Ausführungsform der Erfindung veranschaulicht. In Schritt 800 wird eine verschlüsselte virtuelle Platte empfangen. In Schritt 802 wird mit dem Entschlüsselungs-Master-Bootdatensatz eine virtuelle Maschine gestartet. In Schritt 804 wird ein Verschlüsselungsschlüssel empfangen. In Schritt 806 wird ein zweiter Teil des virtuellen Platten-Imageunter Verwendung des Verschlüsselungsschlüssels und eines auf der virtuellen Platte befindlichen Entschlüsselungsprogramms entschlüsselt. In Schritt 808 wird das Entschlüsselungsprogramm in einen fünften Abschnitt der virtuellen Platte kopiert. In Schritt 810 wird ein Abschnitt eines ersten Teils des virtuellen Platten-Image entschlüsselt. In Schritt 812 wird der entschlüsselte Abschnitt des ersten Teils des virtuellen Platten-Image in den zweiten Abschnitt der virtuellen Platte kopiert. In Schritt 814 wird der Rest des ersten Teils des virtuellen Platten-Image entschlüsselt. In Schritt 816 wird der entschlüsselte Rest des ersten Teils des virtuellen Platten-Image in den ersten Abschnitt der virtuellen Platte kopiert. In Schritt 818 wird die virtuelle Maschine neu gebootet. Das in 8 veranschaulichte Verfahren entspricht dem Verfahren, das in 5 veranschaulicht wird.
9 zeigt zwei Computersysteme, ein erstes Computersystem 900 zum Verschlüsseln einer virtuellen Platte und ein zweites Computersystem 902 zum Entschlüsseln einer virtuellen Platte. Zwischen dem ersten Computersystem 900 und dem zweiten Computersystem 902 ist eine Netzwerkkommunikation 904 vorhanden. Das erste Computersystem weist eine Netzwerkschnittstelle 906 zum Anschluss an das Computernetzwerk 904 auf, und das zweite Computersystem 902 weist eine Netzwerkschnittstelle 908 zum Anschluss an das Computernetzwerk 904. Bei der Netzwerkverbindung 904 kann es sich um jede Standard-Computerschnittstelle wie z. B. eine Ethernet-Verbindung oder Internet-Verbindung handeln. Das erste Computersystem 900 weist einen Prozessor 910 auf, der mit einer Benutzerschnittstelle 912 und der Netzwerkschnittstelle 906 verbunden ist. Der Prozessor 910 ist auch mit einem Computermassenspeicher (computer storage) 914 und einem Computerhauptspeicher (computer memory) 916 verbunden.
Der Computerspeicher 914 enthält eine unverschlüsselte virtuelle Platte 918. Die unverschlüsselte virtuelle Platte enthält ein unverschlüsseltes virtuelles Platten-Image. Im Computerspeicher 914 befindet sich auch ein Entschlüsselungs-Master-Bootdatensatz 920. Im Computerspeicher 914 befindet sich auch ein Entschlüsselungsprogramm 922. Der Computerspeicher 914 enthält auch eine verschlüsselte virtuelle Platte 924. Die verschlüsselte virtuelle Platte 924 enthält einen Entschlüsselungs-Master-Bootdatensatz 920, ein Entschlüsselungsprogramm 922 und ein mindestens partiell verschlüsseltes virtuelles Platten-Image 923. Die verschlüsselte virtuelle Platte 924 kann auch ein mindestens partiell verschlüsseltes virtuelles Platten-Image enthalten. Der Computerhauptspeicher 916 enthält ein Verschlüsselungs-Tool 926. Ein Verschlüsselungs-Tool 926 ist ein Softwaremodul oder -programm, das maschinenausführbare Anweisungen enthält, die den Prozessor 910 dazu veranlassen, mit der unverschlüsselten virtuellen Platte 918, dem Entschlüsselungs-Master-Bootdatensatz 920 und dem Entschlüsselungsprogramm 922 die verschlüsselte virtuelle Platte 924 zu erzeugen. Das Verschlüsselungs-Tool 926 kann verwendet werden, um die in 4 und 6 veranschaulichten Verfahren zu realisieren. In manchen Ausführungsformen enthält der Computerhauptspeicher 916 auch ein Verschlüsselungsmodul und ein Modul zum Erzeugen von kryptografischen Berechtigungsnachweisen 930. Der Verschlüsselungsmodul 928 wird zur Verschlüsselung der unverschlüsselten virtuellen Platte 918 verwendet. Das Modul zum Erzeugen von kryptografischen Berechtigungsnachweisen 930 ist ein optionales Modul und kann verwendet werden, um kryptografische Berechtigungsnachweise zu erzeugen. Zum Beispiel kann das Modul zum Erzeugen von kryptografischen Berechtigungsnachweisen verwendet werden, um ein Verschlüsselungsschlüsselpaar für einen asymmetrischen Verschlüsselungsalgorithmus zu erzeugen.
Auch das zweite Computersystem 902 enthält einen Prozessor 932. Der Prozessor 932 ist mit der Netzwerkschnittstelle 908 und der Benutzerschnittstelle 934 verbunden. Der Prozessor 932 ist auch mit dem Computerspeicher 936 und Computerhauptspeicher 938 verbunden. Der Computerspeicher 936 enthält die verschlüsselte virtuelle Platte 924 vom ersten Computersystem 900. In dieser Ausführungsform wurde die Netzwerkverbindung 904 verwendet, um die verschlüsselte virtuelle Platte 924 zu übertragen. Im Computerspeicher 936 ist auch ein Verschlüsselungsschlüssel 944. Der Computerhauptspeicher 938 enthält ein Virtualisierungs-Modul 942. Das Virtualisierungs-Modul 942 erlaubt dem Prozessor 932, ein virtuelles Computersystem auszuführen und zu betreiben. Wie zu ersehen ist, sind das Virtualisierungs-Modul 942 und der Verschlüsselungsschlüssel 944 alles, was benötigt wird, um die verschlüsselte virtuelle Platte 924 zu entschlüsseln. Diese Figur veranschaulicht auch, wie ein Endbenutzer in der Lage sein kann, die verschlüsselte virtuelle Platte 924 ohne Hilfe eines Anbieters zu entschlüsseln.
Bezugszeichenliste

100: virtuelle Platte
102: virtuelles Platten-Image
104: Entschlüsselungsprogramm
106: Computersystem
108: Anbieter
110: Benutzer
112: Schritt 1
114: Schritt 2
116: Schritt 3
118: Schritt 4
120: Schritt 5
122: Schritt 6
200: Computersystem
202: Server für virtuelle System-Images
204: Ablage für virtuelle Platten
206: Entschlüsselungsmodul
208: Anbieter
210: Schritt 1
212: Schritt 2
214: Schritt 3
216: Schritt 4
218: Schritt 5
300: zweites Computersystem
301: Betriebssystem-Implementierungs-Tool
302: virtuelles Zielsystem
303: Entschlüsselungsmodul
304: Anbieter
306: Benutzer
308: Schritt 1
310: Schritt 2
312: Schritt 3
314: Schritt 4
316: Schritt 5
318: Schritt 6
400: virtuelle Platte
402: virtuelles Platten-Image
404: leere Betriebssystemblöcke
406: erster Teil des virtuellen Platten-Image
406': verschlüsselter erster Teil des virtuellen Platten-Image
408: zweiter Teil des virtuellen Platten-Image
408': verschlüsselter zweiter Teil des virtuellen Platten-Image
410: Entschlüsselungs-Master-Bootdatensatz
412: Entschlüsselungsprogramm
414: erster Abschnitt der virtuellen Platte
416: zweiter Abschnitt der virtuellen Platte
418: dritter Abschnitt der virtuellen Platte
420: vierter Abschnitt der virtuellen Platte
422: fünfter Abschnitt der virtuellen Platte
500: entschlüsselte Blöcke des zweiten Teils des virtuellen Platten-Image
502: verschlüsselte Blöcke des zweiten Teils des virtuellen Platten-Image
504: Abschnitt des ersten Teils des virtuellen Platten-Image
506: Rest des ersten Teils des virtuellen Platten-Image
900: erstes Computersystem
902: zweites Computersystem
904: Netzwerkverbindung
906: Netzwerkschnittstelle
908: Netzwerkschnittstelle
910: Prozessor
912: Benutzerschnittstelle
914: Computerspeicher
916: Computerhauptspeicher
918: unverschlüsselte virtuelle Platte
920: Entschlüsselungs-Master-Bootdatensatz
922: Entschlüsselungsprogramm
923: verschlüsseltes virtuelles Platten-Image
924: verschlüsselte virtuelle Platte
926: Verschlüsselungs-Tool
928: Verschlüsselungsmodul
930: Modul zum Erzeugen von kryptografischen Berechtigungsnachweisen
931: Verschlüsselungsschlüsselpaar
932: Prozessor
934: Benutzerschnittstelle
936: Computerspeicher
938: Computerhauptspeicher
940: entschlüsselte virtuelle Platte
942: Virtualisierungs-Modul
944: Verschlüsselungsschlüssel

Claims

Computerlesbares Speichermedium (916), das maschinenausführbare Anweisungen enthält, die, wenn sie von einem Prozessor ausgeführt werden, den Prozessor dazu veranlassen, eine virtuelle Platte zu verschlüsseln; wobei die virtuelle Platte ein virtuelles Platten-Image aufweist; und wobei das Ausführen der maschinenausführbaren Anweisungen den Prozessor dazu veranlasst: - die virtuelle Platte zu empfangen (600); - die Größe der virtuellen Platte zu erhöhen (602); - einen Entschlüsselungs-Master-Bootdatensatz und ein Entschlüsselungsprogramm auf die virtuelle Platte zu schreiben (604); - mindestens einen Teil des virtuellen Platten-Image zu verschlüsseln (606), wobei das Entschlüsselungsprogramm entschlüsselungsmaschinenlesbare Anweisungen aufweist, um das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß einem Verschlüsselungsschlüssel (944) zu entschlüsseln. wobei das virtuelle Platten-Image in einen ersten (406) und zweiten Teil (408) unterteilt wird, wobei der zweite Teil des virtuellen Platten-Image in einem dritten Abschnitt (418) der virtuellen Platte gespeichert wird, wobei das Ausführen der Anweisungen den Prozessor außerdem dazu veranlasst, den ersten Teil des virtuellen Platten-Image in einen vierten Abschnitt (420) der virtuellen Platte zu kopieren; wobei der Entschlüsselungs-Master-Bootdatensatz in einen ersten Abschnitt (414) der virtuellen Platte geschrieben wird, wobei das Entschlüsselungsprogramm in einen zweiten Abschnitt (416) der virtuellen Platte geschrieben wird, wobei der erste Teil des virtuellen Platten-Image aus dem ersten und zweiten Abschnitt der virtuellen Platte kopiert wird; wobei das Ausführen der Anweisungen den Prozessor außerdem dazu veranlasst, den ersten (406') und zweiten (408') Teil der virtuellen Platte mindestens partiell zu verschlüsseln, und wobei die Größe der virtuellen Platte erhöht wird, um den vierten Abschnitt der virtuellen Platte und einen fünften Abschnitt (422) der virtuellen Platte zu erzeugen, wobei die Größe des fünften Abschnitts größer ist als die des zweite Abschnitts und wobei die kombinierte Größe des ersten und zweiten Abschnitts geringer oder gleich der Größe des vierten Abschnitts ist.
Computerlesbares Speichermedium nach Anspruch 1, wobei der erste Teil des virtuellen Platten-Image zusammenhängend verschlüsselt ist und/oder wobei der zweite Teil des virtuellen Platten-Image zusammenhängend verschlüsselt ist.
Computerlesbares Speichermedium nach Anspruch 1, wobei das virtuelle Platten-Image in Blöcke unterteilt sind, wobei die Blöcke gemäß einer vorbestimmten Blockverschlüsselungsliste auf selektive Weise verschlüsselt sind.
Computerlesbares Speichermedium nach einem der vorherigen Ansprüche 1 oder 3, wobei das virtuelle Platten-Image in Blöcke unterteilt ist, wobei das Ausführen der Anweisungen den Prozessor dazu veranlasst, jeden der Blöcke zu prüfen und eine Liste der unbenutzten Blöcke zu erzeugen, und wobei bestimmte Blöcke nur verschlüsselt werden, wenn sie nicht in der Liste der unbenutzten Blöcke gefunden werden.
Computerlesbares Speichermedium (938), das maschinenausführbare Anweisungen enthält, die, wenn sie von einem Prozessor ausgeführt werden, den Prozessor dazu veranlassen, eine verschlüsselte virtuelle Platte zu entschlüsseln; wobei die virtuelle Platte aufweist: einen Entschlüsselungs-Master-Bootdatensatz, ein Entschlüsselungsprogramm und mindestens ein partiell verschlüsseltes virtuelles Platten-Image; wobei das Entschlüsselungsprogramm entschlüsselungsmaschinenlesbare Anweisungen aufweist, um das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß einem Verschlüsselungsschlüssel (944) zu entschlüsseln, wobei das Ausführen der maschinenausführbaren Anweisungen den Prozessor dazu veranlasst: - die verschlüsselte virtuelle Platte zu empfangen (700, 800); - mit dem Entschlüsselungs-Master-Bootdatensatz eine virtuelle Maschine zu booten (702, 802); - den Verschlüsselungsschlüssel zu empfangen (118, 216, 314, 704, 804); - das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß dem Verschlüsselungsschlüssel und dem Entschlüsselungsprogramm zu entschlüsseln (120, 218, 316, 706, 806, 808, 810, 812, 814, 816, 818), wobei die virtuelle Platte aufweist: einen ersten Abschnitt, der den Entschlüsselungs-Master-Bootdatensatz enthält, einen zweiten Abschnitt, der das Entschlüsselungsprogramm enthält, einen dritten Abschnitt, der einen zweiten Teil des virtuellen Platten-Image enthält, einen vierten Abschnitt, der einen ersten Teil der virtuellen Platte enthält, und einen fünften Abschnitt, der Speicherplatz enthält, wobei die Größe des fünften Abschnitts größer oder gleich dem zweiten Abschnitt ist, wobei die kombinierte Größe des ersten und zweiten Abschnitts geringer oder gleich der Größe des vierten Abschnitts ist, wobei das mindestens partiell verschlüsselte virtuelle Platten-Image entschlüsselt wird durch: - Entschlüsseln (806) des zweiten Teils des virtuellen Platten-Image; - Kopieren (808) des Entschlüsselungsprogramms in den fünften Abschnitt der virtuellen Platte; - Entschlüsseln (810) eines Abschnitts des ersten Teils des virtuellen Platten-Image; - Kopieren (812) des entschlüsselten Abschnitts des ersten Teils des virtuellen Platten-Image in den zweiten Abschnitt der virtuellen Platte; - Entschlüsseln (814) des Rests des ersten Teils des virtuellen Platten-Image; und - Kopieren (816) des entschlüsselten Rests des ersten Teils des virtuellen Platten-Image in den ersten Abschnitt der virtuellen Platte.
Computerlesbares Speichermedium nach Anspruch 5, wobei die Entschlüsselung des mindestens partiell verschlüsselten virtuellen Platten-Image während des Implementierens der virtuellen Maschine durchgeführt wird.
Computerlesbares Speichermedium nach Anspruch 5, wobei das Ausführen der Anweisungen den Prozessor nach dem Kopieren des entschlüsselten Rests des ersten Teils des virtuellen Platten-Image in den ersten Abschnitt der virtuellen Platte außerdem dazu veranlasst, Daten im vierten und fünften Abschnitt der virtuellen Platte zu löschen.
Computerlesbares Speichermedium nach einem der Ansprüche 5 bis 7, wobei das Ausführen der Anweisungen die virtuelle Maschine nach dem Entschlüsseln des mindestens partiell verschlüsselten virtuellen Platten-Image außerdem dazu veranlasst, neu zu booten.
Computerlesbares Speichermedium mit einer verschlüsselten virtuellen Platte (914, 936), das eine virtuelle Platte (924) enthält; wobei die virtuelle Platte aufweist: einen Entschlüsselungs-Master-Bootdatensatz (414), ein Entschlüsselungsprogramm (416) und ein mindestens partiell verschlüsseltes virtuelles Platten-Image (406', 408', 923); wobei das Entschlüsselungsprogramm maschinenausführbare Anweisungen aufweist, um das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß einem Verschlüsselungsschlüssel (944) zu entschlüsseln; wobei das Entschlüsselungsprogramm maschinenausführbare Anweisungen aufweist, die, wenn sie von einem Prozessor (932) ausgeführt werden, den Prozessor dazu veranlassen: - den Verschlüsselungsschlüssel zu empfangen (118, 216, 314, 704, 804); - das verschlüsselte, mindestens partiell verschlüsselte virtuelle Platten-Image gemäß dem Verschlüsselungsschlüssel und dem Entschlüsselungsprogramm zu entschlüsseln (120, 218, 316, 706, 806, 808, 810, 812, 814, 816). wobei die virtuelle Platte aufweist: - einen ersten Abschnitt (414), der den Entschlüsselungs-Master-Bootdatensatz enthält; - einen zweiten Abschnitt (416), der das Entschlüsselungsprogramm enthält, - einen dritten Abschnitt (418), der einen zweiten Teil des virtuellen Platten-Image (408') enthält; - einen vierten Abschnitt (420), der einen ersten Teil des virtuellen Platten-Image (406') enthält; und - einen fünften Abschnitt (422), der Speicherplatz enthält, wobei die Größe des fünften Abschnitts größer oder gleich dem zweiten Abschnitt ist, wobei die kombinierte Größe des ersten und zweiten Abschnitts geringer oder gleich der Größe des vierten Abschnitts ist.
Computerlesbares Speichermedium mit einer virtuellen Platte nach Anspruch 9, wobei das mindestens partiell verschlüsselte virtuelle Platten-Image entschlüsselt wird durch: - Entschlüsseln (806) des zweiten Teils des virtuellen Platten-Image; - Kopieren (808) des Entschlüsselungsprogramms in den fünften Abschnitt der virtuellen Platte; - Entschlüsseln (810) eines Abschnitts (504) des ersten Teils des virtuellen Platten-Image; - Kopieren (812) des entschlüsselten Abschnitts des ersten Teils des virtuellen Platten-Image in den zweiten Abschnitt der virtuellen Platte; - Entschlüsseln (814) des Rests des ersten Teils des virtuellen Platten-Image; und - Kopieren (816) des entschlüsselten Rests (506) des ersten Teils des virtuellen Platten-Image in den ersten Abschnitt der virtuellen Platte.
Computerlesbares Speichermedium mit einer virtuellen Platte nach Anspruch 9 oder 10, wobei die virtuelle Platte eine Entschlüsselungsstatus-Datendatei zum Speichern des Fortgang des Entschlüsselns des mindestens partiell verschlüsselten virtuellen Platten-Image enthält, wobei das Ausführen der maschinenausführbaren Anweisungen des Entschlüsselungsprogramms den Prozessor außerdem dazu veranlasst: - die Entschlüsselungsstatus-Datendatei während des Entschlüsselns des mindestens partiell verschlüsselten virtuellen Platten-Image zu aktualisieren; und - die Entschlüsselungsstatus-Datendatei beim Start der Entschlüsselung des mindestens partiell verschlüsselten virtuellen Platten-Image zu prüfen.
Verfahren zum Verschlüsseln einer virtuellen Platte, die ein virtuelles Platten-Image aufweist, wobei das Verfahren aufweist: - Empfangen (600) der virtuellen Platte; - Erhöhen (602) der Größe der virtuellen Platte; - Schreiben (604) eines Entschlüsselungs-Master-Bootdatensatzes und eines Entschlüsselungsprogramms in die virtuelle Platte; - Verschlüsseln (606) mindestens eines Abschnitts des virtuellen Platten-Image, wobei das Entschlüsselungsprogramm bereitgestellt wird, um das mindestens partiell verschlüsselte virtuelle Platten-Image gemäß einem Verschlüsselungsschlüssel (944) zu entschlüsseln, wobei das virtuelle Platten-Image in einen ersten (406) und zweiten Teil (408) unterteilt wird, wobei der zweite Teil des virtuellen Platten-Image in einem dritten Abschnitt (418) der virtuellen Platte gespeichert wird, wobei das Ausführen der Anweisungen den Prozessor außerdem dazu veranlasst, den ersten Teil des virtuellen Platten-Image in einen vierten Abschnitt (420) der virtuellen Platte zu kopieren; wobei der Entschlüsselungs-Master-Bootdatensatz in einen ersten Abschnitt (414) der virtuellen Platte geschrieben wird, wobei das Entschlüsselungsprogramm in einen zweiten Abschnitt (416) der virtuellen Platte geschrieben wird, wobei der erste Teil des virtuellen Platten-Image aus dem ersten und zweiten Abschnitt der virtuellen Platte kopiert wird; wobei das Ausführen der Anweisungen den Prozessor außerdem dazu veranlasst, den ersten (406') und zweiten (408') Teil der virtuellen Platte mindestens partiell zu verschlüsseln, und wobei die Größe der virtuellen Platte erhöht wird, um den vierten Abschnitt der virtuellen Platte und einen fünften Abschnitt (422) der virtuellen Platte zu erzeugen, wobei die Größe des fünften Abschnitts größer ist als die des zweite Abschnitts und wobei die kombinierte Größe des ersten und zweiten Abschnitts geringer oder gleich der Größe des vierten Abschnitts ist.