一种基于冗余跳变的虚拟机动态迁移方法

在5G核心网虚拟化环境中,虚拟机共用同一物理服务器会带来一系列的安全问题,如发生侧信道攻击、虚拟节点溢出攻击等,造成用户隐私信息泄露。现有基于虚拟机动态迁移的防御方法是一种有效的主动防御技术,但虚拟机频繁迁移导致了迁移资源开销大和迁移安全性低的问题。为此,提出一种基于冗余跳变的虚拟机迁移方法,对不同虚拟机的迁移频率建立评估计算模型,在保证虚拟机隐私信息安全的前提下减小虚拟机迁移频率,对部分虚拟机采用冗余跳变的方法,以应对虚拟机频繁迁移带来的安全风险。实验结果表明,与现有虚拟机动态迁移方法相比,该方法在取得相同安全防护效果的同时,能够缩短平均迁移收敛时间并降低迁移开销。     

具有瀑布特征的可信虚拟平台信任链模型

将虚拟化技术与可信计算相结合构建的可信虚拟平台及其信任链模型是目前的一个研究热点。目前大部分的研究成果采用在虚拟平台上扩展传统信任链的构建方法,不仅模型过粗且逻辑不完全合理,而且还存在底层虚拟化平台和顶层用户虚拟机两条分离的信任链问题。为此,提出一种具有瀑布特征的信任链模型——TVP-QT,该模型以硬件可信平台模块（TPM）为起点,在底层虚拟化平台和顶层用户虚拟机信任链之间加入可信衔接点。当信任链从底层虚拟化平台传递到可信衔接点时,由可信衔接点负责对用户虚拟机的可信虚拟平台模块（vTPM）进行度量,之后将控制权交给vTPM,由vTPM负责对用户虚拟机启动的组件及应用进行度量。该模型中可信衔接点具有承上启下的瀑布特征,能满足虚拟化环境的层次性和动态性特征,保证了整个可信虚拟平台的可信性。不仅从理论上证明了该模型的正确性,而且对实例系统的分析和讨论也表明了该模型的通用性与可行性;在Xen中对该模型进行了仿真实验,实验结果表明该信任链传递理论可以保证可信虚拟化环境在整个运行过程是安全可信的。     

云计算中基于动态虚拟化电子流密码的安全存储*

为提高云计算模型中用户重要数据安全性和虚拟机磁盘完整性验证的计算效率,提出一种云计算中基于电子流密码的安全动态更新存储策略。首先,云服务提供商引入虚拟化的概念来维护虚拟化服务器、存储等,实现虚拟机的即时安全迁移。同时,引入了一种基于安全电子流密码的模型,加密/解密使用ChaCha20方法,用于在云数据中心保持对用户敏感数据的适当安全性,实现虚拟机磁盘中数据的安全虚拟化和动态更新。其次,提出了一种新的Merkle哈希散列B+树的动态版本(DMBHT),该方法不需要随机Oracle签名方案,而采用q-SDH安全短签名,在DBHT的叶级上采用有效的码率作为伪删除码(Tornado-z码),可有效保持虚拟机磁盘之间的完整性和真实性。最后,仿真实验结果表明,所提算法可实现快速的更新和安全的修改,验证了所提算法的有效性。     

云服务中虚拟机与虚拟可信平台模块数据迁移的研究

主要研究数据存储的基础设施的安全保护。以开源的基础设施Xen的虚拟化可信平台模块vTPM为基础,研究迁移方法中的四个基本需求,再对虚拟机及其虚拟可信平台模块vTPM的运行环境做分析。采用身份加密机制、安全通道以及虚拟迁移等技术,完成安全的数据迁移。最后通过实验对该迁移机制进行安全性分析,得出了此迁移方法是有效且可靠的。     

虚拟机动态迁移远程属性证明简

随着互联网和企业提高资源利用率,其基础技术虚拟化技术发展迅速。同时虚拟化的动态迁移,是实现资源调度灵活性和可行性必要条件。动态迁移涉及方面广,导致安全问题突出。在Xen虚拟化的平台下,引入了虚拟PCR（vPCR）和属性的概念,利用可信属性认证协议将数据与系统安全属性封装起来保护,同时保护多个虚拟机系统中数据的安全,不受虚拟机系统配置变化的影响,保证虚拟机动态迁移安全性。     

高效能计算机系统虚拟化技术研究

高效能计算机对系统的性能、安全性、可靠性和易用性等方面提出了更高的要求。虚拟机技术由于具有安全性好、配置和管理灵活等特点,已广泛应用于服务整合和安全管理等领域。但是,由于虚拟机技术在性能、管理和体系结构适用性等方面原因,在高性能并行计算机系统上尚未真正实用。我们提出了一种面向高性能并行计算机的虚拟化技术:高性能虚拟计算域(HPVZ)。HPVZ技术在保证系统性能的前提下,提供了具有用户独立可定制运行环境、服务质量管理、安全隔离和动态迁移的虚拟化高性能计算环境。测试表明,HPVZ在保证用户可以获得高性能计算机的原始计算能力的基础上,方便了用户使用,并改变了高性能计算机的传统使用模式。     

基于虚拟机迁移的资源调度机制研究

虚拟化技术不仅有效提高服务器资源的利用率,而且实现资源重组管理,从而能有效满足不同用户的多样性需求.而云计算技术能否得到广泛应用则取决于虚拟化资源的调度能否及时、可靠地保障用户服务质量.因此实现高效、灵活的动态虚拟机迁移对云计算具有十分重要的意义.针对云数椐中心环境,提出一种基于虚拟机迁移的资源调度模型,该模型不仅有效提高云服务资源的管理及利用,从而提高用户满意度.     

一种基于Xen的信任虚拟机安全访问设计与实现

结合信任计算技术与虚拟化技术,提出了一种基于Xen的信任虚拟机安全访问机制,为用户提供了一种有效的安全访问敏感数据的模式。其核心思想是利用虚拟机的隔离性,为数据信息应用提供一个专用的隔离环境,同时利用信任计算技术保证该虚拟平台配置状态的可信性。     

基于私有云环境的虚拟化数据安全加密技术

随着私有云环境在各领域的广泛应用，私有云环境安全需求日益增强。针对私有云环境下的云安全防护需求，提出一种基于私有云环境的虚拟化加密技术，为私有云环境中Hypervisor层提供虚拟机数据安全防护。该虚拟化加密技术可通过虚拟化层安全模块、安全管理服务、安全策略管理以及密钥与认证管理实现虚拟机IO数据的加解密处理。     

云计算下负载均衡的多维QoS约束任务调度机制

高效的任务调度机制能够更好地满足用户的QoS需求,实现各物理主机间的负载均衡,从而提高云计算环境的整体性能。而传统的任务调度往往只考虑任务的响应时间或安全性等,且负载均衡策略是静态的。根据云计算的弹性化和虚拟化等新特性,综合考虑任务的性能QoS和信任QoS,提出一种在云计算环境下的任务调度机制,采用虚拟机迁移技术实现动态负载均衡。通过在CloudSim2.1仿真环境下的分析和比较,该任务调度机制不但可以提高用户满意度,而且可以有效实现负载均衡。     

虚拟化技术下的安全

随着作为云底层的虚拟化技术的蓬勃发展,在很多机构中,虚拟化技术已经成为其基础IT架构中的重要组成部分,许多虚拟化技术的优势也在各个部门中体现,如：服务器整合、更快更强大的硬件、简单的使用方法、灵活的快照技术,强大的故障迁移能力以及灾备能力等.在虚拟化技术应用越来越广泛的今天,虚拟化的安全问题也成为了这种繁荣背后的隐患.虚拟化技术的安全缺陷主要包括：宿主系统的安全、虚拟网络的安全、虚拟系统的安全以及主机系统和虚拟系统之间的控制安全等.     

Architectural virtualization extensions: A systems perspective

Owing to the increase in demand for virtualization in recent years, both Intel and AMD have added virtualization extensions to the Intel 64 architecture. These architectural extensions provide hardware support aimed at improving the performance of system virtual machines (VM). Although extensive studies on various aspects of system VMs, in particular Xen but also KVM, have been reported in the literature, there has been no work specifically focused on Intel’s virtualization extensions. The survey presented here is a comprehensive study of the Intel 64 architecture’s architectural virtualization extensions and their use in system virtual machines, as exemplified by KVM. We describe a novel evaluation environment used in this study. Using this environment, we show and explain the correlation between architectural limitations of the hardware extensions and the performance of virtualization. The present review also describes the implementation and performance of a Virtio block device.     

基于I/O前后端模型的密码卡软件虚拟化

密码技术是云计算安全的基础,支持SR-IOV虚拟化的高性能密码卡适用于云密码机,可以为云计算环境提供虚拟化数据加密保护服务,满足安全需求.针对该类密码卡在云密码机使用过程中存在的兼容性不好、扩充性受限、迁移性差以及性价比低等问题,本文提出了基于I/O前后端模型的密码卡软件虚拟化方法,利用共享内存或者VIRTIO作为通信方式,通过设计密码卡前后端驱动或者服务程序,完成多虚拟机与宿主机的高效通信,实现常规密码卡被多虚拟机共享.该方法可以有效地降低云密码机的硬件门槛,具有兼容性好、性能高、易扩展等特点,在信创领域具有广阔的应用前景.     

Security-Preserving Live Migration of Virtual Machines in the Cloud

Hypervisor-based process protection is a novel approach that provides isolated execution environments for applications running on untrusted commodity operating systems. It is based on off-the-shelf hardware and trusted hypervisors while it meets the requirement of security and trust for many cloud computing models, especially third-party data centers and a multi-tenant public cloud, in which sensitive data are out of the control of the users. However, as the hypervisor extends semantic protection to the process granularity, such a mechanism also breaks the platform independency of virtual machines and thus prohibits live migration of virtual machines, which is another highly desirable feature in the cloud. In this paper, we extend hypervisor-based process protection systems with live migration capabilities by migrating the protection-related metadata maintained in the hypervisor together with virtual machines and protecting sensitive user contents using encryption and hashing. We also propose a security-preserving live migration protocol that addresses several security threats during live migration procedures including timing-related attacks, replay attacks and resumption order attacks. We implement a prototype system base on Xen and Linux. Evaluation results show that performance degradation in terms of both total migration time and downtime are reasonably low compared to the unmodified Xen live migration system.     

云环境下面向拟态防御的反馈控制方法

云环境下的虚拟化技术,给用户带来了一些数据和隐私安全问题。针对云环境中虚拟机单一性、同质性和静态性等问题,文章提出一种云环境下面向拟态防御的反馈控制方法。该方法以云中虚拟机为基础,利用拟态防御技术对虚拟机进行拟态化封装,通过反馈控制架构对其实现闭环负反馈控制,并基于异构虚拟机动态轮换改变执行环境,保证虚拟机系统环境的随机性。实验表明该设计实现了对用户服务的错误容忍、可疑虚拟机检测和动态轮换,增加攻击者利用漏洞攻击的难度。     

Docker容器化下的遥感算法程序集成方法

目的 近年来，随着我国遥感技术的快速发展，遥感数据呈现出大数据的特点，遥感数据的时效性增强，针对新环境下遥感算法编程语言众多，程序运行和部署环境需求多样，程序的集成和部署困难的问题，提出了一种遥感算法程序快速封装与Docker容器化系统集成架构。方法 该系统架构主要包括：1）遥感算法程序的镜像自动化封装制作；2）镜像的分发管理，达到算法程序镜像的共享；3）遥感信息产品生产流程的容器化编排服务，将相关联的算法程序镜像串联，以满足特定遥感信息产品的生产；4）容器的调度运行，调用镜像，实现特定遥感产品的容器化运行。本文在上述容器化系统集成架构下，以Landsat5数据的NDVI、NDWI信息产品的生产作为容器化生产实例，并同物理机、KVM （kernel-based virtual machine）虚拟机在运行时间、内存占用量、部署效率等性能进行了对比。结果 Docker容器虚拟化环境下的产品生产和物理机环境下在运行时间和内存占用量上几无差别，优于KVM虚拟机。Docker容器虚拟化环境和KVM虚拟机环境下在部署上能够节省大量时间，相比于物理机环境能够提高部署效率。结论 容器化的系统集成方式能够有效解决遥感算法程序集成和部署困难的问题，有利于遥感算法程序的复用和流程的共享，提高系统集成效率，具备较强的遥感数据实时快速处理能力。     

虚拟化安全服务器研究与设计

随着服务器虚拟化技术的推广与发展,深圳供电局开始引入虚拟化应用来提高硬件资源使用率,虚拟化技术在给深圳供电局带来便利的同时也暴露一些安全问题,例如出现针对虚拟化操作系统的新型攻击,在虚拟环境下无法有效实现访问控制、流量检测及安全审计等隐患。通过对虚拟化环境基础架构及虚拟化环境信息安全整体防护的探讨,提出一套适用于深圳供电局的虚拟化安全服务器解决方案。     

Virtio network paravirtualization driver: Implementation and performance of a de-facto standard

One of the techniques used to improve I/O performance of virtual machines is paravirtualization. Paravirtualized devices are intended to reduce the performance overhead on full virtualization where all hardware devices are emulated. The interface of a paravirtualized device is not identical to that of the underlying hardware. The OS of the virtual guest machine must be ported in order to use a paravirtualized device. In this paper, the network virtualization done by the Kernel-based Virtual Machine (KVM) is described. The KVM model is different from other Virtual Machines Monitors (VMMs) because the KVM is a Linux kernel model and it depends on hardware support. In this work, the overhead of using such virtual networks is been measured. A paravirtualized model by using the virtio [38] network driver is described, and some performance results of web benchmark on the two models are presented.     

云环境下基于BN模型的虚拟机安全部署模型

针对云计算环境下多用户共享硬件资源带来的安全风险,提出了虚拟机安全邵署模型CVDBN,基于BN模 型设计了安全部署规则,以满足云计算环境下利益冲突用户对于虚拟机部署的安全隔离需求。最后设计了虚拟机安 全部署模块和安全部署算法。仿真实验结果证明了该模型和算法的有效性和可用性。