一種雲計算中虛擬機鏡像導入方法及裝置的製作方法

2023-08-05 22:23:21

專利名稱：一種雲計算中虛擬機鏡像導入方法及裝置的製作方法
技術領域：
本發明涉及計算機網絡技術，特別涉及一種雲計算中虛擬機鏡像導入方法及裝置。
背景技術：
雲計算(Cloud computing)，是一種新興的共享基礎架構的方法，它可以將巨大
的系統池連接在一起以提供各種IT服務。它使得超級計算能力通過網際網路自由流通成 為了可能。也就是說。雲計算是一種面向網際網路的分布式計算服務，按照服務類型大 致可以分為三類將基礎設施作為服務IAAS、將平臺作為服務PAAS和將軟體作為服務 SAAS.企業與個人用戶無需再投入昂貴的硬體購置成本，只需要通過網際網路來購買租賃 計算力，「把你的計算機當作網際網路的接入口。提供資源的網絡被稱為「雲」。其中， 雲分為公有雲、私有雲和混合雲。目前，在現有雲計算應用中虛擬機鏡像導入或導出架構中，特權虛擬機和雲管 理伺服器之間的虛擬機鏡像的導入或導出沒有進行安全性檢查和校驗。導出的虛擬機鏡 像在不同的私有雲中進行遷移的時候，或者虛擬機鏡像從公有雲遷移到私有雲時，沒有 進行身份限制，這樣可以使其他私有雲外的虛擬機鏡像也可以被引入該私有雲中。也就是說，在對現有技術的研究和實踐過程中，本發明的發明人發現，現有的 實現方式中，由於在私有雲中導出的虛擬機鏡像文件沒有身份標識認證，那麼實際上新 的虛擬機鏡像從公有雲遷移入該私有雲中或者舊的鏡像再次進入到該雲中的時候，沒有 進行身份驗證而直接允許導入並運行，如果該鏡像被偽裝或者加入了一些惡意的不符合 該私有雲安全性限制條件的服務或者代碼，將會對整個私有雲安全造成嚴重的威脅。

發明內容
本發明提供一種雲計算中虛擬機鏡像導入及裝置，以解決非法虛擬機鏡像導入 的問題。為解決上述技術問題，本發明還提供一種雲計算中虛擬機鏡像導入方法，所述 方法包括接收導入的虛擬機鏡像；提取所述虛擬機鏡像的數據籤名；對所述數據籤名進行解密，得到所述虛擬機鏡像的哈希值；計算所述虛擬機鏡像的原始哈希值；若判斷得到的所述哈希值與計算的原始哈希值相同，則允許所述虛擬機鏡像導 入。優選的，所述提取所述虛擬機鏡像的數據籤名包括從所述特權虛擬機中獲取所述數據籤名的位置信息；根據所述位置信息提取所述虛擬機鏡像中的數據籤名。
優選的，所述對所述數據籤名進行解密，得到所述虛擬機鏡像的哈希值包括利用發送端的公鑰對所述數據籤名進行解密，如果解密成功，則得到所述虛擬 機鏡像的哈希值；或者利用自身的私鑰對所述數據籤名進行解密，如果解密成功，則得到所述虛擬機 鏡像的哈希值。本發明還一種雲計算中虛擬機鏡像導入裝置，包括接收單元，用於接收導入的虛擬機鏡像；提取單元，用於提取所述虛擬機鏡像的數據籤名；解密單元，用於對所述數據籤名進行解密，得到所述虛擬機鏡像的哈希值；計算單元，用於計算所述虛擬機鏡像的原始哈希值；判斷單元，用於判斷獲得的所述哈希值與計算的原始哈希值是否相同；導入單元，用於在判斷單元的判斷結果相同時，允許所述虛擬機鏡像導入。優選的，所述提取單元包括位置信息獲取單元，用於從所述特權虛擬機中獲取所述數據籤名的位置信息；提取單元，用於根據所述位置信息獲取單元獲取的位置信息提取所述虛擬機鏡 像中的數據籤名。優選的，所述解密單元包括第一解密單元，用於利用發送端的公鑰對所述數據籤名進行解密，如果解密成 功，則得到所述虛擬機鏡像的哈希值；和/或第二解密單元，用於利用自身的私鑰對所述數據籤名進行解密，如果解密成 功，則得到所述虛擬機鏡像的哈希值。優選的，所述雲計算中虛擬機鏡像導入裝置集成在雲管理伺服器中或獨立部位。本發明為導入的虛擬機鏡像的身份的合法性進行判斷，避免不合法的虛擬機鏡 像的啟動和運行對私有雲內部的潛在安全威脅，如惡意攻擊，機密竊取等。在私有雲 外部使用該鏡像，不能被校驗通過。這種方法的實現在一定程度上保證了鏡像的私有化 (雲內部使用)。也就是說，本發明由於導入的虛擬機(VM)鏡像上添加了數據籤名，即 通過安全校驗機制，加上屬於某一私有雲的籤名校驗，形成身份校驗層，使得不符合安 全校驗條件的虛擬機鏡像不能被導入該雲，從而避免潛在的雲主機汙染，同時也提高了 虛擬機鏡像的安全導入。


圖1為本發明提供的一種雲計算中虛擬機鏡像導出方法的流程圖；圖2為本發明提供的一種雲計算中虛擬機鏡像導入方法的流程圖；圖3為本發明提供的一種雲計算中虛擬機鏡像導入方法的應用實例的流程圖；圖4為本發明提供的一種雲計算中虛擬機鏡像導出裝置的結構示意圖；圖5為本發明提供的一種雲計算中虛擬機鏡像導入裝置的結構示意圖；圖6為本發明提供的一種雲計算中虛擬機鏡像導出和導入系統的結構示意圖。
具體實施例方式為了使本技術領域的人員更好地理解本發明實施例的方案，下面結合附圖和實 施方式對本發明實施例作進一步的詳細說明。請參閱圖1，為本發明提供的一種雲計算中虛擬機鏡像導出方法的流程圖，所述 方法包括步驟101 在導出虛擬機鏡像時，計算所述虛擬機鏡像的哈希值；其中，在特權虛擬機(即管理雲管理伺服器的伺服器)導出虛擬機(VM)鏡像 時，可以利用安全哈希SHAl、哈希MD2、哈希MD4、哈希MD5算法計算所述虛擬機鏡 像的哈希值，具體的計算過程已是成熟技術，在此不再贅述。步驟102 對所述哈希值進行加密，得到所述虛擬機鏡像的數據籤名；一種加密的方法為利用自身的私鑰對所述哈希值進行加密，得到所述虛擬機 鏡像的數據籤名；另一種加密的方法為利用接收端的公鑰對所述哈希值進行加密得到所述虛擬 機鏡像的數據籤名。這兩種算法實時之前，發送端與接收端互相通知自身的公鑰，以便後續對所述 虛擬機鏡像的數據籤名進行加密/解密。也就是說，本發明中的公鑰算法是不對稱加密算法，它使用兩把完全不同但又 是完全匹配的一對鑰匙一公鑰和私鑰。在使用不對稱加密算法加密文件時，只有使用匹 配的一對公鑰和私鑰，才能完成對明文的加密和解密過程。發信方加密明文時可以採用 接信方的公鑰加密，接信方解密密文時使用私鑰才能完成，而且發信方(加密者)知道收 信方的公鑰，只有收信方(解密者)才是唯一知道自己私鑰的人。其中，不對稱加密算法的基本原理是，如果發信方想發送只有收信方才能解讀 的加密信息，發信者使用自己的私鑰加密信件，收信者使用發信者的公鑰解密信件。顯 然，採用不對稱加密算法，收發信雙方在通信之前，收信方必須將自己早已隨機生成的 公鑰送給發信方，而自己保留私鑰。由於不對稱算法擁有兩個密鑰，因而特別適用於分 布式系統中的數據加密。廣泛應用的不對稱加密算法有RSA算法和美國國家標準局提出 的DSA。以不對稱加密算法為基礎的加密技術應用非常廣泛。步驟103 將所述數據籤名添加到導出的所述虛擬機鏡像中。可以將所述數據籤名添加到導出的所述虛擬機鏡像的頭部、尾部或中間，也可 以添加到所述虛擬機鏡像的任意一個處，只要在所述數據籤名中佔用固定大小的字節即 可。 其中，本發明中的數字籤名是一種採用公鑰加密算法對電子信息進行籤名的方 法。其實現原理以對一個文件進行數字籤名和校驗的過程為例文件發送方首先依據 某種摘要算法生成發送文件的一組摘要信息(特徵信息)，並用自己的私鑰對其進行加 密(即「籤名」)形成籤名文件，然後將原文件和籤名文件一起發給接收方。接收方首 先計算出原文件的摘要信息，並用發送者提供的公鑰解密籤名文件，同時得到另外一個 摘要信息，通過對兩個摘要信息的比對就可以確認文件信息是否完整正確，這就是「校 驗」。 優選的，所述方法還可以包括記錄添加到所述虛擬機鏡像中的所述數據籤名的位置信息。並將所述位置信息發送給雲管理伺服器，以便於雲管理伺服器根據所述位 置信息提取導入的所述虛擬機鏡像的數據籤名。本發明通過為導出的虛擬機鏡像添加數據籤名，即身份校驗層(IDcheck)保證 虛擬機鏡像在導出之後加上相應的私有雲的數字籤名，這樣再次導入該虛擬機鏡像的時 候，因為有了數據籤名的信息，如果該數據籤名的信息合法，私有雲系統(比如雲管理 伺服器)就會允許導入並運行該虛擬機鏡像；如果要導入的虛擬機鏡像不包含數字籤名 的信息，或者籤名校驗失敗，則不會允許導入。本發明考慮到虛擬機鏡像文件一般都比較大，通常都可有幾個GB，甚至幾十個 GB的。可以採用速度較快的SHAl對鏡像進行HASH運算，但並不限於此，計算出該 虛擬機鏡像的哈希值，再對這個哈希值進行RSA公鑰算法的數字籤名，最後把籤名存儲 在已導出的虛擬機鏡像的尾部(或者頭部等)。還請參閱圖2，為本發明還提供一種雲計算中虛擬機鏡像導入方法的流程圖，所 述方法包括步驟201 接收導入的虛擬機鏡像；也就是說，雲管理伺服器接收特權虛擬機發送的虛擬機鏡像，即該虛擬機鏡像 對於特權虛擬機就是導出，對於雲管理伺服器就是導入。步驟202 提取所述虛擬機鏡像的數據籤名；具體包括從所述特權虛擬機中獲取所述數據籤名的位置信息，並根據所述位置信息提取 所述虛擬機鏡像中的數據籤名。步驟203 對所述數據籤名進行解密，得到所述虛擬機鏡像的哈希值；具體包括利用發送端的公鑰對所述數據籤名進行解密，如果解密成功，則得 到所述虛擬機鏡像的哈希值；或者利用自身的私鑰對所述數據籤名進行解密，如果解密 成功，，則得到所述虛擬機鏡像的哈希值。步驟204 計算所述虛擬機鏡像的原始哈希值；具體可以利用安全哈希SHAl、哈希MD2、哈希MD4、哈希MD5算法計算所述
虛擬機鏡像的哈希值。步驟205:若判斷得到的所述哈希值與計算的原始哈希值相同，則允許所述虛 擬機鏡像導入。本發明的目的就是在需要導入，或者已經導出的虛擬機(VM)鏡像上通過安全 校驗機制，加上屬於某一私有雲的籤名校驗，形成身份校驗層，使得不符合安全校驗條 件的虛擬機鏡像不能被導入該雲，從而避免潛在的雲主機汙染，同時也提高了虛擬機鏡 像的安全導入導出。為了並於本領域技術人員的理解，下面以具體的應用實例來說明。還請參參閱圖3，為本發明提供的一種雲計算中虛擬機鏡像導入方法的應用實 例，具體包括步驟301:雲管理伺服器接收特權虛擬機(即管理雲管理伺服器的設備，可以是 伺服器等)發送的虛擬機鏡像；即接收導入的虛擬機鏡像；步驟302 雲管理伺服器提取所述虛擬機鏡像的數據籤名；具體包括雲管理伺服器從所述特權虛擬機中獲取所述數據籤名的位置信息(比如虛擬機鏡像中的頭部、尾部、中部或任意的固定字節)，並根據所述位置信息提取所述虛擬機鏡 像中的數據籤名。步驟303:雲管理伺服器判斷所述數據籤名是否合法，如果合法，執行步驟
304 ；否則執行步驟309 ；其中，判斷所述數據籤名是否合法的依據為包括利用發送端的公鑰對所述數 據籤名進行解密，如果解密成功，則所述數據籤名合法；或者利用自身的私鑰對所述數 據籤名進行解密，如果解密成功，則所述數據籤名合法。具體的解密過程詳見上述，在此不再贅述。步驟304:雲管理伺服器判斷所述數據籤名是否有效；如果有效，執行步驟
305；否則，執行步驟309;步驟305 雲管理伺服器得到所述數據籤名中的哈希值；步驟306 雲管理伺服器計算所述虛擬機鏡像的原始哈希值；也就是，雲管理伺服器根據除所述數據籤名外的虛擬機鏡像計算原始哈希值， 具體可以利用安全哈希SHAl、哈希MD2、哈希MD4、哈希MD5算法計算所述虛擬機鏡 像的哈希值。但並不限於此，還可以是其他的哈希算法。步驟307 雲管理伺服器判斷獲得的所述哈希值與計算的原始哈希值是否相 同，若是，執行步驟308;否則，執行步驟309;步驟308 允許所述虛擬機鏡像導入；步驟309:不允許所述虛擬機鏡像導入。本實施例中，考慮到如下幾種Hack情況如果導入的虛擬機鏡像不帶數字籤 名，則校驗失敗，不允許導入；如果虛擬機帶了數字籤名，可是非該私有雲的數字籤名 (使用對應公鑰解密失敗)，則校驗失敗，不允許導入；如果數字籤名正確，說明是該私 有雲的鏡像，那麼校驗原始的虛擬機的Hash值，由於對於一個鏡像來說Hash值是唯一 的，那如果這個鏡像被篡改，或者在該私有雲外部被使用了，一定會汙染到該鏡像，再 次計算該鏡像的Hash值一定與原來保存在數字籤名裡的Hash值不一樣，校驗失敗，不允 許導入，這種方法對該虛擬機鏡像還進行了完整性校驗，防止了篡改虛擬機的數據。即，本發明中的應用是在現有的平臺中，加入了安全校驗，實現IAAS私有雲中 的安全的虛擬機鏡像的導入導出架構。本發明主要應用於雲計算，解決非法虛擬機鏡像的導入，而引起的私有雲汙染 的問題。同時也避免了惡意虛擬機鏡像(即本發明的虛擬機鏡像文件)對私有雲的安全 威脅，如惡意攻擊，機密竊取等。進一步，還防止了針對數據籤名合法的帶有私有雲信息的鏡像，而通過在私有 雲外修改鏡像並再次導入欺騙私有雲系統的HACK手段。防止該私有化的鏡像信息被帶 入私有雲外啟動，以及獲取機密信息。基於上述方法的實現過程，本發明還提供一種雲計算中虛擬機鏡像導出裝置， 其結構示意圖詳見圖4，所述裝置包括計算單元41、加密單元42和添加單元43，其 中，計算單元41，用於在導出虛擬機鏡像時，計算所述虛擬機鏡像的哈希值；加密單元 42，用於對所述哈希值進行加密，得到所述虛擬機鏡像的數據籤名；添加單元43，用於 將所述數據籤名添加到導出的所述虛擬機鏡像中。
其中，所述加密單元包括第一加密單元和/或第二加密單元，其中，第一 加密單元，用於利用自身的私鑰對所述哈希值進行加密，得到所述虛擬機鏡像的數據籤 名；第二加密單元，用於利用接收端的公鑰對所述哈希值進行加密得到所述虛擬機鏡像 的數據籤名。優選的，所述添加單元具體用於將數據籤名添加到導出的所述虛擬機鏡像的 頭部、尾部或中間。所述裝置還進一步包括記錄單元，用於記錄所述添加單元添加到所述虛擬機 鏡像中的所述數據籤名的位置信息。還請參閱圖5，為本發明提供一種雲計算中虛擬機鏡像導入裝置的結構示意圖， 所述裝置包括接收單元51，提取單元52，解密單元53，計算單元54，判斷單元55， 導入單元56，其中，所述接收單元51，用於接收導入的虛擬機鏡像；所述提取單元52， 用於提取所述虛擬機鏡像的數據籤名；所述解密單元53，用於對所述數據籤名進行解 密，得到所述虛擬機鏡像的哈希值；計算單元54，用於計算所述虛擬機鏡像的原始哈希 值；判斷單元55，用於判斷獲得的所述哈希值與計算的原始哈希值是否相同；導入單元 56，用於在判斷單元的判斷結果相同時，允許所述虛擬機鏡像導入。優選的，所述提取單元包括位置信息獲取單元和提取單元，其中，位置信息 獲取單元，用於從所述特權虛擬機中獲取所述數據籤名的位置信息；提取單元，用於根 據所述位置信息獲取單元獲取的位置信息提取所述虛擬機鏡像中的數據籤名。優選的，所述解密單元包括第一解密單元和/或第二解密單元，其中，第一 解密單元，用於利用發送端的公鑰對所述數據籤名進行解密，如果解密成功，則所述數 據籤名合法；第二解密單元，用於利用自身的私鑰對所述數據籤名進行解密，如果解密 成功，則所述數據籤名合法。還請參閱圖6，為本發明提供一種雲計算中虛擬機鏡像導入和導出系統的結構示 意圖，所述系統包括雲計算中虛擬機鏡像導出裝置61和雲計算中虛擬機鏡像導入裝置 62，其中，所述雲計算中虛擬機鏡像導出裝置詳見所述；所述雲計算中虛擬機鏡像導入 裝置詳見上述，在此不再贅述。本發明中，為導出的虛擬機鏡像添加數據籤名(身份認證)，保證了虛擬機鏡像 在私有雲(或者混合雲)的部署，導入導出的身份合法性判斷，避免不合法的虛擬機鏡像 的啟動和運行對私有雲內部的潛在安全威脅，如惡意攻擊，機密竊取等。虛擬機鏡像私有化通過修改虛擬機鏡像(增加了籤名數據信息)，改變了虛擬 機鏡像的大小和內容，使得在不知道該機制的情況下，在私有雲外部使用該鏡像，不能 被校驗通過。這種方法的實現在一定程度上保證了鏡像的私有化(雲內部使用)。防止虛擬機鏡像防的篡改對虛擬機鏡像進行了 HASH，並保存在數字籤名 中，使得任何在雲外部，或內部修改過該虛擬機的使得鏡像汙染，都會因為在導入之 前，算得的HASH值不一樣而拒絕導入。在發明中，諸如第一和第二等之類的關係術語僅僅用來將一個實體或者操作與 另一個實體或操作區分開來，而不一定要求或者暗示這些實體或操作之間存在任何這種 實際的關係或者順序。而且，術語「包括」、「包含」或者其任何其他變體意在涵蓋非 排他性的包含，從而使得包括一系列要素的過程、方法、物品或者設備不僅包括那些要素，而且還包括沒有明確列出的其他要素，或者是還包括為這種過程、方法、物品或者 設備所固有的要素。在沒有更多限制的情況下，由語句「包括一個......」限定的要素，
並不排除在包括所述要素的過程、方法、物品或者設備中還存在另外的相同要素。通過以上的實施方式的描述，本領域的技術人員可以清楚地了解到本發明可借 助軟體加必需的通用硬體平臺的方式來實現，當然也可以通過硬體，但很多情況下前者 是更佳的實施方式。基於這樣的理解，本發明的技術方案本質上或者說對現有技術做 出貢獻的部分可以以軟體產品的形式體現出來，該計算機軟體產品可以存儲在存儲介質 中，如ROM/RAM、磁碟、光碟等，包括若干指令用以使得一臺計算機設備(可以是個 人計算機，伺服器，或者網絡設備等)執行本發明各個實施例或者實施例的某些部分所 述的方法。以上所述僅是本發明的優選實施方式，應當指出，對於本技術領域的普通技術 人員來說，在不脫離本發明原理的前提下，還可以作出若干改進和潤飾，這些改進和潤 飾也應視為本發明的保護範圍。
權利要求
1.一種雲計算中虛擬機鏡像導入方法，其特徵在於，包括 接收導入的虛擬機鏡像；提取所述虛擬機鏡像的數據籤名；對所述數據籤名進行解密，得到所述虛擬機鏡像的哈希值； 計算所述虛擬機鏡像的原始哈希值；若判斷得到的所述哈希值與計算的原始哈希值相同，則允許所述虛擬機鏡像導入。
2.根據權利要求1所述的方法，其特徵在於，所述提取所述虛擬機鏡像的數據籤名包括從所述特權虛擬機中獲取所述數據籤名的位置信息； 根據所述位置信息提取所述虛擬機鏡像中的數據籤名。
3.根據權利要求1或2所述的方法，其特徵在於，所述對所述數據籤名進行解密，得 到所述虛擬機鏡像的哈希值包括利用發送端的公鑰對所述數據籤名進行解密，如果解密成功，則得到所述虛擬機鏡 像的哈希值；或者利用自身的私鑰對所述數據籤名進行解密，如果解密成功，則得到所述虛擬機鏡像 的哈希值。
4.一種雲計算中虛擬機鏡像導入裝置，其特徵在於，包括 接收單元，用於接收導入的虛擬機鏡像；提取單元，用於提取所述虛擬機鏡像的數據籤名；解密單元，用於對所述數據籤名進行解密，得到所述虛擬機鏡像的哈希值； 計算單元，用於計算所述虛擬機鏡像的原始哈希值； 判斷單元，用於判斷獲得的所述哈希值與計算的原始哈希值是否相同； 導入單元，用於在判斷單元的判斷結果相同時，允許所述虛擬機鏡像導入。
5.根據權利要求4所述的裝置，其特徵在於，所述提取單元包括位置信息獲取單元，用於從所述特權虛擬機中獲取所述數據籤名的位置信息； 提取單元，用於根據所述位置信息獲取單元獲取的位置信息提取所述虛擬機鏡像中 的數據籤名。
6.根據權利要求4或5所述的裝置，其特徵在於，所述解密單元包括第一解密單元，用於利用發送端的公鑰對所述數據籤名進行解密，如果解密成功， 則得到所述虛擬機鏡像的哈希值；和/或第二解密單元，用於利用自身的私鑰對所述數據籤名進行解密，如果解密成功，則 得到所述虛擬機鏡像的哈希值。
7.根據權利要求4或5所述的裝置，其特徵在於，所述雲計算中虛擬機鏡像導入裝置 集成在雲管理伺服器中或獨立部署。
全文摘要
本發明提供一種雲計算中虛擬機鏡像導入方法及裝置。所述雲計算中虛擬機鏡像導入方法包括接收導入的虛擬機鏡像；提取所述虛擬機鏡像的數據籤名；對所述數據籤名進行解密，得到所述虛擬機鏡像的哈希值；計算所述虛擬機鏡像的原始哈希值；若判斷得到的所述哈希值與計算的原始哈希值相同，則允許所述虛擬機鏡像導入。本發明以解決非法虛擬機鏡像導入的問題，從而保證了虛擬機鏡像的安全導入。
文檔編號G06F9/455GK102024123SQ20101059753
公開日2011年4月20日 申請日期2010年12月20日 優先權日2010年12月20日
發明者任海寶, 宋卓, 徐安, 沈啟龍, 牛立新, 王鵬, 胡中 申請人:北京世紀互聯工程技術服務有限公司