樊文生,华铭轩

(1.海司信息化部 北京100041; 2. 中国电子科技集团公司第三十研究所，四川 成都 610041)

摘　要：在典型的IaaS云中，用户使用云服务需要通过虚拟机实现。最近有研究表明，在大多数常用的加密协议(如SSL/TLS等)中，至关重要的加密密钥，可能被攻击者通过跨虚拟机的旁路攻击截获。针对这种攻击方式，提出了一种云虚拟机密钥保护系统，通过将加密密钥随机分割为多个分片，并将每个分片存储于不同的虚拟机中，能有效保护云中的加密密钥，抵御各类跨虚拟机的旁路攻击。此外，云虚拟机密钥保护系统会周期性地对加密密钥进行重新分割，即便攻击者能够截获局部的加密密钥，也无法进行还原。将云虚拟机密钥保护系统作为一种对应用软件透明的扩展库，运行在亚马逊EC2云的web服务器，取得了较好的成果。

关键词：虚拟机；密钥分割；云

doi:10.3969/j.issn.1002-0802.2015.06.021

基于分片的云虚拟机安全保护技术

樊文生1,华铭轩2

(1.海司信息化部 北京100041; 2. 中国电子科技集团公司第三十研究所，四川 成都 610041)

摘要：在典型的IaaS云中，用户使用云服务需要通过虚拟机实现。最近有研究表明，在大多数常用的加密协议(如SSL/TLS等)中，至关重要的加密密钥，可能被攻击者通过跨虚拟机的旁路攻击截获。针对这种攻击方式，提出了一种云虚拟机密钥保护系统，通过将加密密钥随机分割为多个分片，并将每个分片存储于不同的虚拟机中，能有效保护云中的加密密钥，抵御各类跨虚拟机的旁路攻击。此外，云虚拟机密钥保护系统会周期性地对加密密钥进行重新分割，即便攻击者能够截获局部的加密密钥，也无法进行还原。……