一种虚拟化环境下的密钥安全隔离方法及系统的制作方法
【技术领域】
[0001]本发明涉及一种虚拟化环境下的密钥安全隔离方法及系统，属于密码技术领域。
【背景技术】
[0002]随着云计算和虚拟化技术的飞速发展，传统密码技术在虚拟化环境中的应用遇到瓶颈。传统密码技术的安全性依赖于存储于硬件设备(如密码模块)中的密钥安全性，而现有设备单用户模式的设计不再适用于虚拟化环境的多用户需求。现有设备的密钥访问从本质上是基于索引方式的访问，用在虚拟化环境时，只能通过软件层或驱动层模拟多用户模式，设备内部仍是单用户模式，各虚拟机实际上是共享所有的设备资源。这样的方式在密钥泄露、非法访问等方面具有较大风险。一旦密钥泄露或者被非授权用户访问到，相应密码系统的安全性就失去了保障。
【发明内容】
[0003]本发明所要解决的技术问题是提供一种决虚拟化环境中的密钥隔离的安全性问题的虚拟化环境下的密钥安全隔离方法及系统。
[0004]本发明解决上述技术问题的技术方案如下:一种虚拟化环境下的密钥安全隔离方法，具体包括以下步骤:
[0005]步骤1:创建多个密码分区，并为每个密码分区建立授权许可；
[0006]步骤2:根据每个所述授权许可申请唯一对应的密码分区；
[0007]步骤3:每个密码分区接收一个虚拟机发送的认证请求，判断虚拟机是否通过认证，如果是，执行步骤4 ;否则，结束；
[0008]步骤4:每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机；
[0009]步骤5:所述虚拟机通过令牌访问对应的密码分区。
[0010]本发明的有益效果是:本发明支持密钥隔离的设备和方法，可以在虚拟化环境下的实现安全的密钥隔离；采用了密码分区的设计思想，采用了身份认证技术和令牌技术相结合的方式，有效地保证了虚拟化环境中密钥存储隔离和使用隔离，降低了非法访问密钥及密钥泄露等风险。
[0011 ] 在上述技术方案的基础上，本发明还可以做如下改进。
[0012]进一步，每个所述密码分区均可存储密钥，具备完整的密码运算功能。
[0013]进一步，每个所述令牌对应唯一的密码分区。
[0014]进一步，所述授权许可包括数字证书、秘钥、字符串或数字等。
[0015]进一步，获取令牌的虚拟机在每次访问密码分区时都必须携带令牌或以令牌为基础的认证码，所述密码分区对令牌或令牌为基础的认证码认证成功后，虚拟机才可进行操作。
[0016]本发明解决上述技术问题的技术方案如下:一种虚拟化环境下的密钥安全隔离系统，包括安全隔离设备和多个虚拟机；
[0017]所述安全隔离设备用于创建多个密码分区，并为每个密码分区建立授权许可；并根据每个所述授权许可申请唯一对应的密码分区；
[0018]所述安全隔离设备包括多个密码分区，每个所述密码分区接收一个虚拟机发送的认证请求，并判断虚拟机是否通过认证；
[0019]每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机；
[0020]所述虚拟机通过令牌访问对应的密码分区。
[0021]本发明的有益效果是:本发明支持密钥隔离的设备和方法，可以在虚拟化环境下的实现安全的密钥隔离；采用了密码分区的设计思想，采用了身份认证技术和令牌技术相结合的方式，有效地保证了虚拟化环境中密钥存储隔离和使用隔离，降低了非法访问密钥及密钥泄露等风险。
[0022]在上述技术方案的基础上，本发明还可以做如下改进。
[0023]进一步，所述安全隔离设备具备五种状态:初始状态、准备状态、就绪状态、工作状态和终止状态；
[0024]初始状态下，安全隔离设备内部是空白的，没有密码分区、密钥和令牌信息；
[0025]准备状态下，安全隔离设备内部已创建密码分区，建立各密码分区的授权许可，每个分区的授权许可均不相同，该授权许可用于申请密码分区；
[0026]就绪状态下，虚拟机用于已通过授权许可申请了密码分区，此状态下可接收认证请求，并判断是否通过认证；
[0027]工作状态下，虚拟机已通过密码分区的认证，此状态下可以对密码分区进行密钥管理，使用密码分区为虚拟机提供密码运算服务；
[0028]终止状态下，所有密码分区认证状态注销，并全部停止提供密钥管理及密码运算服务。
[0029]进一步，每个所述密码分区均可存储密钥，具备完整的密码运算功能。
[0030]进一步，每个所述令牌对应唯一的密码分区。
[0031]进一步，所述虚拟机在每次访问密码分区时都必须携带获得的令牌或以获得的令牌为基础的认证码，所述密码分区对令牌或令牌为基础的认证码认证成功后，虚拟机才可进行操作。
【附图说明】
[0032]图1为本发明所述的一种虚拟化环境下的密钥安全隔离方法流程图；
[0033]图2为本发明所述的一种虚拟化环境下的密钥安全隔离系统结构框图；
[0034]图3为本发明实施例中的密钥隔离示意图；
[0035]图4为本发明实施例中支持密钥安全隔离的设备工作状态转换图。
[0036]附图中，各标号所代表的部件列表如下:
[0037]1、安全隔离设备，2、虚拟机，3、密码分区。
【具体实施方式】
[0038]以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。
[0039]如图1所示，为本发明所述的一种虚拟化环境下的密钥安全隔离方法，具体包括以下步骤:
[0040]步骤1:创建多个密码分区，并为每个密码分区建立授权许可；
[0041]步骤2:根据每个所述授权许可申请唯一对应的密码分区；
[0042]步骤3:每个密码分区接收一个虚拟机发送的认证请求，判断虚拟机是否通过认证，如果是，执行步骤4 ;否则，结束；
[0043]步骤4:每个所述密码分区生成一个的令牌并返回到发出请求的对应虚拟机；
[0044]步骤5:所述虚拟机通过令牌访问对应的密码分区。
[0045]如图2所示，为本发明所述的一种虚拟化环境下的密钥安全隔离系统，包括安全隔呙设备1和多个虚拟机2 ；
[0046]所述安全隔离设备1用于创建多个密码分区及对应的授权许可；并根据每个所述授权许可申请唯一对应的密码分区3 ;
[0047]所述安全隔离设备1包括多个密码分区3，每个所述密码分区3接收一个虚拟机2发送的认证请求，并判断虚拟机2是否通过认证；
[0048]每个所述密码分区3生成一个的令牌并返回到发出请求的对应虚拟机2 ;
[0049]所述虚拟机2通过令牌访问对应的密码分区3。
[0050]如图3所示，本发明实施例提供的密钥隔离的方法与设备可以通过支持密码分区的密码模块结合虚拟机实现。本实施例包含以下步骤:
[0051]1、所述密码模块处于初始状态时，由超级管理员在密码模块中创建密码分区及授权许可；
[0052]2、虚拟机启动，用户使用超级管理员提供的授权许可向密码模块请求使用密码分区，同时创建密码分区的第一个管理员；
[0053]3、管理员向密码分区发送登录请求；
[005