支持動態(tài)遷移的加密卡設(shè)備虛擬化.pdf

1、虛擬化技術(shù)目前已經(jīng)發(fā)展到了一個相對成熟的階段，給政府機(jī)構(gòu)、企業(yè)都帶來很大益處，云平臺、數(shù)據(jù)中心也都離不開虛擬化技術(shù)。然而，隨著虛擬化技術(shù)的普及，虛擬化系統(tǒng)安全問題也逐漸開始暴露出來，這無疑阻礙了虛擬化技術(shù)的進(jìn)一步應(yīng)用。在虛擬化環(huán)境下引入加密卡設(shè)備是增強(qiáng)虛擬化平臺安全性的一個思路。然而由于加密卡設(shè)備的特殊性，對其虛擬化有普通 I/O設(shè)備虛擬化不曾有的難點。其中一個重要的問題是其動態(tài)遷移上的一些問題。
　　虛擬化加密卡設(shè)備的動態(tài)遷移，

2、需要解決如下幾個問題。其一，虛擬化加密卡的加解密任務(wù)是由物理服務(wù)器上的硬件加密卡完成的，當(dāng)遷移一個正在加密或解密的虛擬化加密卡時，由于硬件加密卡的不可遷移性，會造成虛擬化加密卡的加解密任務(wù)中斷。因此，保證虛擬化加密卡在動態(tài)遷移過程中，加密解任務(wù)的持續(xù)性是虛擬化加密卡動態(tài)遷移要解決的一個問題；其二是虛擬化加密卡設(shè)備在動態(tài)遷移過程中的安全性保證。作為安全設(shè)備，遷移過程中涉及到密鑰等敏感信息的遷移，所以必須保證在遷移過程中數(shù)據(jù)的安全性。其三是

3、虛擬化加密卡的動態(tài)遷移不能對虛擬機(jī)的遷移時間有較大的影響，包括總遷移時間和停機(jī)時間。
　　對于第一個問題，提出硬件加密卡的加密現(xiàn)場遷移的概念，保證了虛擬化加密卡加解密任務(wù)的持續(xù)性。針對第二個問題，設(shè)計了動態(tài)遷移協(xié)議，保證了遷移過程中的安全性。通過將虛擬化加密卡的動態(tài)遷移分別放在虛擬機(jī)動態(tài)遷移的不同階段完成，減小了虛擬化加密卡動態(tài)遷移對虛擬機(jī)動態(tài)遷移時間的影響。在KVM(Kernel-based Virtual Machine)平臺