支持動(dòng)態(tài)遷移的加密卡設(shè)備虛擬化.pdf

1、虛擬化技術(shù)目前已經(jīng)發(fā)展到了一個(gè)相對(duì)成熟的階段，給政府機(jī)構(gòu)、企業(yè)都帶來(lái)很大益處，云平臺(tái)、數(shù)據(jù)中心也都離不開(kāi)虛擬化技術(shù)。然而，隨著虛擬化技術(shù)的普及，虛擬化系統(tǒng)安全問(wèn)題也逐漸開(kāi)始暴露出來(lái)，這無(wú)疑阻礙了虛擬化技術(shù)的進(jìn)一步應(yīng)用。在虛擬化環(huán)境下引入加密卡設(shè)備是增強(qiáng)虛擬化平臺(tái)安全性的一個(gè)思路。然而由于加密卡設(shè)備的特殊性，對(duì)其虛擬化有普通 I/O設(shè)備虛擬化不曾有的難點(diǎn)。其中一個(gè)重要的問(wèn)題是其動(dòng)態(tài)遷移上的一些問(wèn)題。
　　虛擬化加密卡設(shè)備的動(dòng)態(tài)遷移，

2、需要解決如下幾個(gè)問(wèn)題。其一，虛擬化加密卡的加解密任務(wù)是由物理服務(wù)器上的硬件加密卡完成的，當(dāng)遷移一個(gè)正在加密或解密的虛擬化加密卡時(shí)，由于硬件加密卡的不可遷移性，會(huì)造成虛擬化加密卡的加解密任務(wù)中斷。因此，保證虛擬化加密卡在動(dòng)態(tài)遷移過(guò)程中，加密解任務(wù)的持續(xù)性是虛擬化加密卡動(dòng)態(tài)遷移要解決的一個(gè)問(wèn)題；其二是虛擬化加密卡設(shè)備在動(dòng)態(tài)遷移過(guò)程中的安全性保證。作為安全設(shè)備，遷移過(guò)程中涉及到密鑰等敏感信息的遷移，所以必須保證在遷移過(guò)程中數(shù)據(jù)的安全性。其三是

3、虛擬化加密卡的動(dòng)態(tài)遷移不能對(duì)虛擬機(jī)的遷移時(shí)間有較大的影響，包括總遷移時(shí)間和停機(jī)時(shí)間。
　　對(duì)于第一個(gè)問(wèn)題，提出硬件加密卡的加密現(xiàn)場(chǎng)遷移的概念，保證了虛擬化加密卡加解密任務(wù)的持續(xù)性。針對(duì)第二個(gè)問(wèn)題，設(shè)計(jì)了動(dòng)態(tài)遷移協(xié)議，保證了遷移過(guò)程中的安全性。通過(guò)將虛擬化加密卡的動(dòng)態(tài)遷移分別放在虛擬機(jī)動(dòng)態(tài)遷移的不同階段完成，減小了虛擬化加密卡動(dòng)態(tài)遷移對(duì)虛擬機(jī)動(dòng)態(tài)遷移時(shí)間的影響。在KVM(Kernel-based Virtual Machine)平臺(tái)