[发明专利]一种基于KVM虚拟机的用户数据隔离防护系统及方法

权利要求书

1.一种基于KVM虚拟机的用户数据防护系统，其特征在于，基于KVM虚拟机的用户数据防护系统包括对虚拟机镜像数据进行加密隔离保护的虚拟机镜像数据隔离防护模块、对虚拟机内存数据进行加密迁移和数据擦除处理的虚拟机内存数据隔离防护模块、提升显示协议数据隔离性的虚拟机显示协议数据隔离防护模块；

所述虚拟机镜像数据隔离防护模块包括采用硬件辅助软件的软硬融合加密方式对虚拟机磁盘读写进行加解密操作的镜像加密模块、将虚拟机进行和密钥分开存储实现机钥分离的机钥分离模块、对虚拟机镜像进行完整性校验的镜像完整性检查模块、对虚拟机磁盘进行数据擦除处理降低数据恢复可能性的镜像数据擦除模块；

所述虚拟机内存数据隔离防护模块包括对虚拟机迁移时的内存进行加密的内存加密迁移模块、对虚拟机内存数据进行擦除处理的内存数据擦除模块；

所述虚拟机显示协议数据隔离防护 模块包括对云平台接入终端进行认证管控的终端准入管控模块、对剪切板中数据进行策略管控的数据复制粘贴管控模块、采用基于黑白名单对虚拟机USB设备重定向功能进行管控的USB设备重定向管控模块；

对虚拟机镜像数据进行加密通过采用硬件辅助软件的软硬件融合方式对虚拟机磁盘读写进行加解密，KVM虚拟化平台改造QEMU IO虚拟化子系统，在虚拟机磁盘扇区的读写操作引入加解密，通过公私钥及加密密钥对虚拟机数据进行加解密，使最终通过网络写入存储服务器中的数据是密文数据；

对虚拟机镜像进行导出时，包括如下步骤：

A11、QEMU导出虚拟机镜像；

A12、判断镜像是否采用加密导出；若是，转到步骤A13，若否，转到步骤A16；

A13、通过管理引擎VDSM从密管系统获取待导出的虚拟机源镜像解密密钥和将要导出的目的镜像的加密密钥并逐级传给QEMU；

A14、QEMU使用解密密钥对待导出的虚拟机源镜像进行解密，生成将要导出的目的镜像；

A15、使用加密密钥对要导出的目的镜像加密导出，并将目的镜像的加密密钥id保存到镜像元数据中；

A16、操作结束；

对虚拟机镜像进行导入时，包括如下步骤：

A21、QEMU导入虚拟机镜像；

A22、判断镜像是否采用加密导入，若是，转到步骤A23，若否，转到步骤A26；

A23、根据待导入镜像元数据中加密密钥id从密管系统中获取对应的解密密钥和生成新的加密密钥；

A24、使用解密密钥对待导入镜像进行解密；

A25、使用加密密钥对解密后的镜像加密，导入虚拟机；

A26、操作结束；

对虚拟机进行机钥分离是将虚拟机镜像和密钥分开存储，虚拟机镜像数据存储在存储服务器中，密钥数据存储在密管系统中，加解密公私钥存储在加密卡硬件中，加解密算法有密管系统和加密卡进行保护，一机一钥，相互隔离；

对虚拟机镜像进行完整性检查及报警包括如下步骤：

A31、进入虚拟机池，创建新的虚拟机或者对虚拟机进行开机操作，进入步骤A32，对虚拟机进行关机操作，进入步骤A37；

A32、判断虚拟机是否基于模板，若是，进入步骤A33，若否，进入步骤A34；

A33、检测模板HASH值是否正确，若是，进入步骤A34，若否，进入步骤A36即报警；

A34、判断虚拟机是否具有Hash值，若是，进入步骤A35，若否，进入步骤A39即操作完成；

A35、校验虚拟机Hash值是否正确，若是，进入步骤A39即操作完成，若否，进入步骤A36；

A36、提示完整性错误；

A37、判断是否无状态或者自动池，若是，进入步骤A39，若否，进入步骤A38；

A38、创建虚拟机Hash值；

A39、操作完成；

对虚拟机镜像数据进行擦除，由管理引擎下发需要擦除的磁盘给计算节点，由虚拟机监视器完成对存储位置的擦除，包括如下步骤：

A41、管理引擎调用擦除接口函数；

A42、根据存储池ID和镜像ID判断磁盘镜像是否存在，若是，进入步骤A43，若否，进入步骤A46；

A43、判断磁盘镜像数据是否擦除，若是，进入步骤A44，若否，进入步骤A45；

A44、根据不同的擦除方式对磁盘文件进行复写，擦除方式分为1次、3次、6次、7次；

A45、删除磁盘文件；

A46、操作结束。