一种基于VT-d技术的虚拟机安全隔离框架研究.pdfVIP

2015年第ll期 一 种基于VT—d技术的虚拟机安全隔离 框架研究 杨永娇 ，严飞 ，于钊 。，张焕国 (1．广东电网有限责任公司信息中心，广东广州510080；2．武汉大学计算机学院，湖北武汉430072； 3．空天信息安全与可信计算教育部重点实验室，湖北武汉430072) 摘 要 ：虚拟化技术作为云计算IaaS服务的支撑，能从根本上解决云计算平台上虚拟机面临 的安全威胁问题。针对 目前云计算虚拟机隔离执行环境在设备 I／0和内存访问隔离方面的不足， 文章结合基于硬件辅助虚拟化的vT—d技术以及可信计算中虚拟可信平台模块 (vTPM)独立域的 思想，提出了一个在Xen云平台上的安全隔离框架。该框架中由vTPM独立域对虚拟机 内的数据 和代码进行加密保护，并基于独立域思想对虚拟机镜像本身加密 ；使用vT—d技术为虚拟机直接 分配网卡设备，并扩展XSM 安全模块，增加了虚拟机之间授权表策略控制。实验与分析表明，该 框架能够有效确保虚拟机之间的设备 I／O及 内存访问安全隔离，提升虚拟机隔离环境的安全性， 且能较好满足 系统运行性能。 关键词 ：虚拟化 ；可信计算 ；隔离 ；VT—d；虚拟可信平台模块 中图分类号 ：TP309 文献标识码 ：A 文章编号 ：1671—1122(2015)11—0007—08 中文引用格式 ：杨永娇，严飞，于钊，等 ．一种基于vT—d技术的虚拟机安全隔离框架研究 [J1．信息网 络安全，2015，(11)：7-14． 英文引用格式 ：YANGYJ，YANF，YUZ，eta1．ResearchonVT—dbasedVirtualMachineIsolation Framework[J]．NetinfoSecurity，2015，(11)：7—14． ResearchonVT-dbasedVirtualM achineIsolationFramework YANGYong-jiao，YANFei，YUZhao。，ZHANGHuanguo，。 f1．GuangdongPowerGridCo．，Ltd．，InformationCenter,GuangzhouGuangdong510080，China；2．Schoolof Computer,WuhanUniversity,WuhanHubei430072，China；3．KeyLaboratoryofAerospaceInformationSecuriyt andTrustedComputingMintryofEducation，WuhanUniversity，WuhanHubei430072，China) Abstract：ASthebasisofcloudcomputingIaaSservice．virtualizationtechnology can fundamentallysolvethethreatsthatthevirtualmachinesfaceon thecloudcomputingplatform．In view ofthedeficienciesofthecurrentcloudcomputingvirtualmachineisolation implementation environmentintheaspectofdeviceI／O andmemoryaccessisolation，thisPaperpresentssecurity isolationframeworkonaXencloudplatform．combiningtheidealofvirtualizationtechnology VT-dwithtrustedcomputingindependentdo