[发明专利]虚拟机系统数据加密方法及设备

说明书

技术领域

本发明实施例涉及通信技术，尤其涉及一种虚拟机系统数据加密方法及设备。

背景技术

随着计算机技术的发展，虚拟化技术得到大面积的推广和应用。桌面虚拟化是在实现数据中心的物理服务器上安装虚拟机系统，由虚拟机系统模拟出操作系统运行所需要的硬件资源。操作系统运行在这些虚拟的硬件资源之上，可以达到多个操作系统共享物理服务器的硬件资源，从而提高资源利用率。

加密是保证数据的安全性的一种重要的手段，加密卡是为PC（PersonalComputer，个人计算机）提供加密服务的专用插卡式密码设备。在PC上插设加密卡，加密卡可以对PC上的数据或者从该PC流出的数据进行加密，以保证数据的安全性。通过加密卡进行数据加密，由于目密钥并不存放在内存中，因此更加安全。但是，对于安装有虚拟机系统的物理服务器，在物理服务器上插设加密卡时，由于现有技术中并没有加密卡的虚拟化技术，会导致在同一时刻，物理服务器上只有一台虚拟机独占加密卡进行加密业务，亟需提出一种解决方案。

发明内容

本发明实施例提供一种虚拟机系统数据加密方法及设备，以实现对物理服务器上的多个虚拟机的应用数据的加密支持。

第一方面，本发明实施例提供一种虚拟机系统数据加密方法，包括：

终端设备接收网络加密网关发送的经过传输层加密处理后的第一报文，将所述经过传输层加密处理后的第一报文进行传输层解密处理；

所述终端设备从解密后的第一报文中提取应用数据，通过所述终端设备上设置的硬件加密模块对所述应用数据进行硬件加密处理，其中，所述应用数据为虚拟机系统中的虚拟机产生的数据；

所述终端设备根据加密后的应用数据生成第二报文，对所述第二报文进行传输层加密处理，将传输层加密处理后的第二报文发送给所述网络加密网关。

在第一种可能的实现方式中，所述第一报文中包括用以标识密钥的密钥标识；

所述终端设备从解密后的第一报文中提取应用数据，通过所述终端设备上设置的硬件加密模块对所述应用数据进行硬件加密处理，具体为：

所述终端设备从所述解密后的第一报文中提取所述应用数据和所述密钥标识，将所述应用数据和所述密钥标识发送给所述硬件加密模块，所述硬件加密模块根据所述密钥标识确定密钥，通过所述密钥对所述应用数据进行加密，将加密后的应用数据返回给所述终端设备。

结合第一方面或第一方面的第一种可能的实现方式，在第二种可能的实现方式中，所述终端设备接收网络加密网关发送的经过传输层加密处理后的第一报文，具体为：

所述终端设备通过所述终端设备的虚拟桌面代理客户端模块与所述虚拟机的虚拟桌面代理模块建立的经由所述网络加密网关的虚拟通道，接收所述网络加密网关发送的所述经过传输层加密处理后的第一报文；

所述终端设备将传输层加密处理后的第二报文发送给所述网络加密网关，具体为：

所述终端设备将所述传输层加密处理后的第二报文通过所述虚拟通道发送给所述网络加密网关。

结合第一方面的第二种可能的实现方式，在第三种可能的实现方式中，所述终端设备通过所述终端设备的虚拟桌面代理客户端模块与所述虚拟机的虚拟桌面代理模块建立的经由所述网络加密网关的虚拟通道，接收所述网络加密网关发送的所述经过传输层加密处理后的第一报文之前，所述方法还包括：

所述终端设备的虚拟桌面代理客户端模块与所述虚拟机的虚拟桌面代理模块建立所述虚拟通道。

在第四种可能的实现方式中，所述方法还包括：

所述终端设备接收所述网络加密网关发送的经过传输层加密处理后的第三报文，将所述经过传输层加密处理后的第三报文进行传输层解密处理；

所述终端设备从解密后的第一报文中提取已加密的应用数据，通过所述终端设备上设置的硬件加密模块对所述已加密的应用数据进行硬件解密处理，其中，所述已加密的应用数据为虚拟机系统中的虚拟机产生的、经过所述终端设备的硬件加密模块硬件加密处理过的数据；

所述终端设备根据解密后的应用数据生成第四报文，对所述第四报文进行传输层加密处理，将传输层加密处理后的第四报文发送给所述网络加密网关。

第二方面，本发明实施例一种虚拟机系统数据加密方法，包括：

虚拟机根据接收到的所述虚拟机中的应用程序发送的应用数据生成第一报文，将所述第一报文发送给网络加密网关；