云計算中的虛擬化技術與虛擬化安全

陳思錦　吳韶波　高雪瑩

摘 要：云計算是將CPU、存儲、I/O設備、網絡、內存等資源通過虛擬化技術抽象成為一個動態的資源池，為用戶提供按需分配的服務的計算模式。虛擬化技術是云計算的核心技術之一，虛擬化安全是云計算安全的核心問題。對云計算中的虛擬化技術和虛擬化安全問題進行研究，提出將同態加密算法應用于云計算的虛擬化安全問題，以實現保障用戶的數據安全性的同時提高加密解密的算法效率。

關鍵詞：云計算；虛擬化；虛擬化安全；同態加密算法

中圖分類號：TP316 文獻標識碼：A 文章編號：2095-1302（2015）03-00-02

0 引 言

近年來，云計算的應用范圍越來越廣泛，并正在逐漸取代傳統的計算模式，成為各大互聯網公司爭相發展的核心技術。虛擬化技術是云計算的核心技術之一，云計算服務提供商通過虛擬化軟件將硬件資源虛擬化為巨大的動態的資源池，動態的、按需分配的為用戶提供計算資源。虛擬化技術是云計算較傳統計算模式最顯著的特點，同時，虛擬化技術帶來的安全問題也是傳統計算模式所不具有的，是云計算安全特有的核心問題[1]。目前對于虛擬化安全的研究，主要集中在虛擬機隔離，虛擬機滲透，和虛擬機遷移等方面。可以采用的安全措施有訪問控制，構造可信鏈和對用戶數據和傳輸的信令進行加密等。目前，云服務提供商使用傳統的數據加密算法對用戶存儲在云中的數據進行加密。由于傳統的數據加密算法不能對密文直接進行操作，必須先將密文解密，再對明文進行操作，之后對結果進行加密，因此產生了潛在的明文數據泄露風險[2]。本文提出使用同態加密算法對用戶數據進行加密操作。同態加密算法是近年來密碼學中研究的熱點之一，同態加密算法可以實現在不對密文進行解密的前提下，直接對密文進行相關操作，操作結果與對明文進行解密再進行相同操作并對結果進行加密的最終輸出一致。同態加密算法保證了用戶數據安全性的同時，由于省去了解密和加密的操作，提高了云存儲中的大數據的處理效率[3]。

1 虛擬化技術

云計算使用虛擬化技術在服務器的硬件資源與用戶之間加設虛擬化層，虛擬化層負責與用戶進行交互，并調用底層所有的硬件設備及計算資源。云計算的虛擬化模型如圖1所示。

圖1 云計算虛擬化模型

用戶通過租賃云平臺中的虛擬機來獲得云服務提供商的服務，而虛擬化層負責用戶虛擬機的創建，銷毀，遷移等操作。目前主流的虛擬化架構包括裸金屬架構和寄居架構[4]。裸金屬架構如圖2所示。

圖2 裸金屬架構

在裸金屬架構下，不需要為服務器預裝操作系統，虛擬化軟件直接部署在服務器的硬件資源上，虛擬機管理器VMM（Virtual Machine Monitor）負責從實際的物理資源到虛擬資源的映射操作，VMM負責為用戶分配虛擬機。當用戶請求訪問物理資源時，VMM將對這些請求進行處理，并對相應的信令進行模擬，之后操作底層的硬件設備，并將結果返回給用戶。目前，裸金屬虛擬化架構的實現方式包括硬件輔助的完全虛擬化和軟件輔助的完全虛擬化以及半虛擬化架構。硬件輔助的完全虛擬化架構必須對服務器的CPU進行修改，使新的處理器可以理解虛擬化信令，并對信令進行處理，最后將處理結果通過異常的方式返回給VMM。硬件輔助的完全虛擬化架構的典型代表是Intel Virtualization Technology （VT-x），Microsoft的Hyper-V技術和AMD 的 AMD-V技術。軟件輔助的完全虛擬化架構不需要對服務器的處理器進行修改，但是VMM必須對所有指令進行處理，將指令進行動態翻譯，從而實現對硬件資源的操作，這種虛擬化架構的執行效率低下，指令轉換引擎的工作效率對性能的影響很大。軟件輔助的完全虛擬化的典型代表是VMware ESX Server，VMware Station和Microsoft的Virtual Server等。完全虛擬化架構不需要對用戶操作系統做任何更改，所有指令轉換都由VMM或更改后的處理器完成，性能較差。與其相對應的虛擬化架構是半虛擬化架構，半虛擬化架構通過修改用戶操作系統的內核，將不能夠進行虛擬化的信令進行更改以實現客戶操作系統與虛擬化平臺的兼容性，半虛擬化架構的性能優越，是目前各互聯網公司主要發展的虛擬化技術[5]。半虛擬化技術的典型代表是Xen。

2 虛擬化安全

用戶通過租賃虛擬機來獲得云服務提供的計算資源，虛擬化層直接與用戶進行交互，并對底層的硬件資源進行調用。因此，虛擬化安全是云計算安全的核心問題。目前，虛擬環境中主要存在以下幾種攻擊方式。

（1）對管理虛擬機的攻擊，由于管理虛擬機負責所有用戶虛擬機的創建，刪除，移植等操作，并且對于用戶虛擬機具有最高的管理權限，因此一旦管理虛擬機被攻破，則所有的用戶數據都將完全暴露給攻擊者。對于管理虛擬機的攻擊被公認為虛擬環境中最嚴重的攻擊，也是攻擊者首選的攻擊方式。

（2）虛擬機之間的攻擊，攻擊者可能會通過一臺虛擬機來獲取另一臺虛擬機的訪問權限，從而監控另一臺虛擬機的網絡流量等參數，或者對其配置文件進行修改，訪問其敏感數據，使其強制離線等。

（3）Dos攻擊，由于所有用戶的虛擬資源都來自于服務器的硬件資源，因此Dos（Denial Of Service）攻擊可以被加入到虛擬環境中，從而造成可以使用的資源緊缺，造成虛擬環境無法響應用戶的正常資源請求[6]。

（4）虛擬機移植攻擊，由于用戶的虛擬機是被動態創建出來為用戶提供特定服務的，當服務結束或用戶申請離線后，該虛擬機將被銷毀，其對應的真實物理資源將被分配給之后請求資源的用戶。由于先前的用戶的操作會在此物理資源上留下痕跡，攻擊者有可能通過獲取此痕跡來獲取用戶操作特性或用戶數據占用空間大小等參數，從而進一步分析獲取用戶敏感數據[7]。

目前對于云計算的虛擬化安全的防護措施主要從以下幾個方面來實施：

（1）訪問控制：通過制定嚴格的訪問控制策略，以保證用戶不能訪問超出自己權限的文件，從而實現對敏感數據的保護[8]。

（2）構造可信鏈：通過在云服務器中添加硬件可信模塊的手段，構造可信鏈，從而保證虛擬服務器認證的安全性[9]。

（3）數據加密：尋求更加高效安全的數據加密算法，對用戶存儲于云端的數據進行加密，保證只有秘鑰的持有者才可以訪問加密數據。從而保障用戶數據的隱私性與安全性。

3 同態加密算法

由于云平臺中存儲著海量的用戶數據，并且對數據的操作及其頻繁，傳統的加密算法需要對數據進行解密之后才能進行相應操作，產生了安全風險的同時，降低了云計算的操作效率。同態加密算法可以實現對密文直接進行操作，操作結果與對密文先解密再進行操作最后將結果進行加密的最終輸出一致。因此，同態加密算法非常適合作為對云存儲中的用戶數據的加密算法，既保證了用戶數據始終處于加密狀態，增強了數據安全性，同時由于省去了加密解密的操作，提高了算法的執行效率。

同態加密算法最初是由Rivest等人在文章“On data banks and privacy homomorphic”中提出的。最初對同態加密算法的研究，只停留在僅僅可以滿足對特定的運算滿足同態性，直到2009年，Gentry提出了第一個全同態加密算法。全同態加密算法可以實現對密文進行任意有效操作，而操作結果與對密文先進行解密再進行相同操作，最后對結果進行加密的輸出一致，目前對于全同態加密算法的研究主要集中在整數范圍內全同態加密算法的實現，現今比較主流的同態加密算法包括，Rivest算法，Domingo算法，DGHV算法和CAFED算法[10]。由于同態加密算法的高效性與安全性，使得其很適合于作為云存儲中的數據加密算法。將用戶數據通過全同態加密算法進行加密后存儲于云端，用戶掌握唯一秘鑰。云服務提供方可以對用戶數據進行如備份，檢索等必要的操作，但不能對數據進行解密，既保障了用戶數據的安全性和隱私性，也提高了云端對數據的處理效率。

4 結 語

本文主要介紹了目前云計算的虛擬化的關鍵技術和虛擬化安全的關鍵因素，并提出將全同態加密算法應用于云存儲中對大數據的加密操作，以實現用戶數據的安全性和隱私性，同時實現云服務提供商對用戶數據更加高效安全的進行處理。尋求更加簡單高效的整數范圍內的全同態加密算法是未來云計算安全中對于加密算法研究改進的主要趨勢。

參考文獻

[1]馮登國， 張敏， 張妍， 等. 云計算安全研究[J]. 軟件學報， 2011， 22（1）：71-83.

[2] Luo X， Yang L， Ma L， et al. Virtualization security risks and solutions of Cloud Computing via divide-conquer strategy[C]//Multimedia Information Networking and Security （MINES）， 2011 Third International Conference on. IEEE， 2011： 637-641.

[3] 夏超. 同態加密技術及其應用研究[D]. 合肥：安徽大學， 2013.

[4] 李雙權， 王燕偉. 云計算中服務器虛擬化技術探討[J]. 郵電設計技術， 2011 （10）： 27-33.

[5] 邵長庚. Xen 云環境虛擬機安全隔離技術研究與實現[D]. 成都：電子科技大學， 2013.

[6] 房晶， 吳昊， 白松林. 云計算的虛擬化安全問題[J]. 電信科學， 2012， 28（4）： 135-140.

[7] Sabahi F. Virtualization-level security in cloud computing[C]//Communication Software and Networks （ICCSN）， 2011 IEEE 3rd International Conference on. IEEE， 2011： 250-254.

[8] 張勇， 仇李寅， 盧致旭. 虛擬機與宿主機之間的文件訪問控制[J]. 信息安全與通信保密， 2010 （1）： 109-112.

[9]禹聰. 一種基于特權分離和時間鎖的虛擬機隔離機制研究[D].鄭州：信息工程大學，2013.

[10] 湯殿華， 祝世雄， 曹云飛. 整數上全同態加密方案的重加密技術[J]. 信息安全與通信保密， 2012 （1）： 76-79.