基于VPE的可信虚拟域构建机制.pdfVIP

第34卷第 12期 通 信 学 报 、，0l_34 No．12 2013年 12月 Jouma】onCommunications December20l3 doi：l0．3969／j．issn．1000—436x．2013．12．019 基于VPE的可信虚拟域构建机制 王丽娜 -．，张浩 r一，余荣威 一，高汉军 ．一，甘宁 ， f1．武汉大学 空天信息安全与可信计算教育部重点实验室，湖北 武汉 430072；2．武汉大学 计算机学院，湖北 武汉 430072) 摘 要：针对现有可信虚拟域构建方式无法满足云计算灵活配置等特性的问题，结合云计算企业内部敏感数据的 防泄漏需求，提出了基于VPE的可信虚拟域构建方法 TVD．VPE。TVD—VPE利用分离式设备驱动模型构建虚拟 以太网VPE，通过后端驱动截获数据分组，并进行边界安全策略检查，最后对满足策略的数据帧进行加密。同时， 还设计了可信虚拟域加入退／出协议确保用户虚拟机安全加入／退出，为边界安全策略的部署设计了面向可信虚拟 域的管理协议，同时为高特权用户的跨域访问设计了跨域访问协议。最后，实现了原型系统并进行了功能测试及 性能测试，测试结果证明本系统可以有效地防止非法访问，同时系统对Xen的网络性能的影响几乎可以忽略。 关键词：虚拟以太网；边界安全策略；可信虚拟域加入协议：可信虚拟域管理协议；跨域访问协议；分离式设备 驱动 中图分类号：TP309 文献标识码：A 文章编号：1000—436X(2013)12．0167．11 Buildingmechanism oftrustedvirtualdomainviatheVPE WANGLi．naI_，zHANGHao-’，YURong—wei，-，GAOHan-jun ，GANNing，。 (1．KeyLaboratoryofAerospaceInformationandTrustedComputing(WuhanUniversity)，MinistryofEducation，Wuhan430072，China； 2．ComputerSchool，WuhanUniversity,Wuhan430072，China) Abstract：Duetolackofflexiblenetworkingcontrol，mostexitingtrustedvirtualdomaindeploymentapproachesfailto provideelasticandsecureinterconnection．A turstedvirtualdomainarchitectureTVD—VPEWasproposedincloudcom— putingenterpriseswhichgreatlyenhancessensitivedataprotection．TVD—VPEconstructsavirtualprivateethemetbased onseparatedevicedriver,VPE capturesnetworkpacketsatthebackenddriverandcheckswhetherthepacketscomply withbordersecuritystrategy,naddataframesareencryptedamongtrustedvirtualdomainstoensurethesecurityofsensi— tivedata．Simultaneously,fourprotocolswereproposed．TVDJoP，VDExPprotocolforanynewVMjoininginorexit— ingTVD securely,TVDMPprotocolofrdeployingbordersecuriyt strategy,andInte