用于遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)的保護(hù)方案的制作方法
【技術(shù)領(lǐng)域】
[0001] 本公開(kāi)設(shè)及數(shù)據(jù)安全，并且更加具體而言，設(shè)及用于保護(hù)存儲(chǔ)在諸如云存儲(chǔ)系統(tǒng) 等的遠(yuǎn)程資源上的數(shù)據(jù)的安全的方案。
【背景技術(shù)】
[0002] 電子設(shè)備(例如，計(jì)算設(shè)備）中的數(shù)據(jù)管理朝向更加分布式的架構(gòu)發(fā)展。例如，盡管 傳統(tǒng)上數(shù)據(jù)被存儲(chǔ)在設(shè)備本地的永久存儲(chǔ)器中，但是現(xiàn)在數(shù)據(jù)可W被遠(yuǎn)程地存儲(chǔ)在遠(yuǎn)程資 源中。示例遠(yuǎn)程資源可W是基于云的計(jì)算解決方案，其包括經(jīng)由諸如互聯(lián)網(wǎng)等的廣域網(wǎng) (WAN)可訪問(wèn)的至少一個(gè)計(jì)算設(shè)備(例如，服務(wù)器）。當(dāng)使用遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)架構(gòu)時(shí)，存在可 W被實(shí)現(xiàn)的多種好處。例如，數(shù)據(jù)不僅可W對(duì)生成該數(shù)據(jù)的設(shè)備是可訪問(wèn)的，還對(duì)可W得益 于能夠訪問(wèn)數(shù)據(jù)而不考慮數(shù)據(jù)的位置的其它設(shè)備(例如，移動(dòng)計(jì)算設(shè)備、移動(dòng)通信設(shè)備等） 是可訪問(wèn)的。其它設(shè)備可W經(jīng)由到互聯(lián)網(wǎng)的有線或無(wú)線連接來(lái)訪問(wèn)遠(yuǎn)程資源上的數(shù)據(jù)。此 夕h遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)可W對(duì)諸如火災(zāi)、天氣緊急狀態(tài)、停電等的災(zāi)難事件更容忍，運(yùn)是因?yàn)?基于云的資源通常被建立為利用更加實(shí)質(zhì)的事件保護(hù)、備份資源等來(lái)對(duì)運(yùn)樣的事件負(fù)責(zé)。
[0003] 盡管遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)的益處可能是顯而易見(jiàn)的，但是也存在一些風(fēng)險(xiǎn)。例如，將各 種數(shù)據(jù)(例如，該數(shù)據(jù)可W包括機(jī)密信息)存儲(chǔ)在單個(gè)位置中用戶向可能具有惡意意圖的黑 客呈現(xiàn)了誘人的目標(biāo)。在將數(shù)據(jù)存儲(chǔ)在遠(yuǎn)程資源上之前對(duì)該數(shù)據(jù)進(jìn)行加密可W幫助防止黑 客獲得訪問(wèn)，然而，用于執(zhí)行加密的工具也必須被保護(hù)。例如，當(dāng)用戶負(fù)責(zé)在將數(shù)據(jù)存儲(chǔ)在 遠(yuǎn)程資源上之前對(duì)數(shù)據(jù)進(jìn)行加密時(shí)，惡意軟件(rootkit)和其它高特權(quán)的攻擊可能能夠獲 得對(duì)存儲(chǔ)在用戶的設(shè)備上的加密密鑰的訪問(wèn)。將對(duì)數(shù)據(jù)加密的責(zé)任移動(dòng)至遠(yuǎn)程資源(例如， 基于云的存儲(chǔ)設(shè)備提供者)不能緩解該問(wèn)題，運(yùn)是因?yàn)橄嗤愋偷墓艨赡苡糜谠L問(wèn)存儲(chǔ) 在遠(yuǎn)程資源(例如，服務(wù)器)中的加密密鑰。
【附圖說(shuō)明】
[0004] 隨著W下的【具體實(shí)施方式】的展開(kāi)并且根據(jù)對(duì)附圖的參照，所要求保護(hù)的主題的各 種實(shí)施例的特征和優(yōu)點(diǎn)將變得顯而易見(jiàn)，其中，相同的附圖標(biāo)記指代相同的部件，并且在附 圖中：
[0005] 圖1示出了根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的用于針對(duì)遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)的保護(hù)方案 的示例配置；
[0006] 圖2示出了根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的用于設(shè)備的示例配置；
[0007] 圖3示出了根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的用于針對(duì)遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)的保護(hù)方案 的第二示例配置；
[000引圖4示出了根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的用于針對(duì)遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)的保護(hù)方案 的第=示例配置；
[0009] 圖5示出了根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的用于虛擬機(jī)啟動(dòng)的示例操作；
[0010] 圖6示出了根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的用于力幡服務(wù)啟動(dòng)的示例操作；W及
[0011] 圖7示出了根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的用于針對(duì)遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)的保護(hù)方案 的示例操作。
[0012] 盡管將參照說(shuō)明性實(shí)施例展開(kāi)W下的【具體實(shí)施方式】，但是運(yùn)些實(shí)施例的許多替 換、修改和變形對(duì)本領(lǐng)域技術(shù)人員來(lái)說(shuō)將是顯而易見(jiàn)的。
【具體實(shí)施方式】
[0013] 本公開(kāi)設(shè)及用于遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)的保護(hù)方案。示例系統(tǒng)可W包括至少一個(gè)設(shè)備， 其包括至少一個(gè)虛擬機(jī)。該至少一個(gè)虛擬機(jī)可W用于處理數(shù)據(jù)，處理數(shù)據(jù)可W包括將數(shù)據(jù) 存儲(chǔ)在遠(yuǎn)程資源上。在運(yùn)方面，該至少一個(gè)設(shè)備還可W包括加密服務(wù)可W在其中執(zhí)行的受 信的執(zhí)行環(huán)境。加密服務(wù)可W用于對(duì)從至少一個(gè)虛擬機(jī)接收的數(shù)據(jù)進(jìn)行加密或解密。在一 個(gè)實(shí)施例中，至少一個(gè)虛擬機(jī)可W包括加密代理。加密代理可W用于將數(shù)據(jù)提供給加密服 務(wù)器W用于加密或解密。例如，加密代理可W向加密服務(wù)注冊(cè)，此時(shí)，可W生成與該至少一 個(gè)虛擬機(jī)的相對(duì)應(yīng)的加密密鑰。在驗(yàn)證加密代理已經(jīng)被注冊(cè)之后，加密服務(wù)可W利用與至 少一個(gè)虛擬機(jī)相對(duì)應(yīng)的加密密鑰來(lái)對(duì)從加密代理接收的數(shù)據(jù)進(jìn)行加密或解密，并且隨后將 加密后或解密后的數(shù)據(jù)返回給加密代理。
[0014] 在一個(gè)實(shí)施例中，至少一個(gè)設(shè)備可W包括例如至少一個(gè)虛擬機(jī)W及受信的執(zhí)行環(huán) 境。該至少一個(gè)虛擬機(jī)可W用于對(duì)該至少一個(gè)設(shè)備中的數(shù)據(jù)進(jìn)行處理。受信的執(zhí)行環(huán)境可 W至少包括加密服務(wù)，其用于對(duì)從至少一個(gè)虛擬機(jī)被提供至該加密服務(wù)的數(shù)據(jù)進(jìn)行加密或 解密。
[0015] 在相同或不同的實(shí)施例中，該至少一個(gè)虛擬機(jī)可W包括用于將數(shù)據(jù)提供給加密服 務(wù)的加密代理。加密服務(wù)可W至少包括例如加密接口和解密接口，W用于與加密代理進(jìn)行 交互。加密服務(wù)還可W用于在接受來(lái)自至少一個(gè)虛擬機(jī)的用于加密或解密的數(shù)據(jù)之前，對(duì) 加密代理進(jìn)行注冊(cè)。受信的執(zhí)行環(huán)境還可W包括與至少一個(gè)虛擬機(jī)相對(duì)應(yīng)的加密密鑰，當(dāng) 加密代理被注冊(cè)時(shí)，由加密服務(wù)生成該加密密鑰。根據(jù)本公開(kāi)，為了至少保護(hù)加密服務(wù)和加 密密鑰，受信的執(zhí)行環(huán)境可W基于安全飛地技術(shù)。加密服務(wù)還可W用于使用加密密鑰來(lái)對(duì) 由加密代理提供的數(shù)據(jù)進(jìn)行加密或解密。
[0016] 在相同或不同的實(shí)施例中，至少一個(gè)設(shè)備還可W包括通信模塊，其用于將加密后 的數(shù)據(jù)發(fā)送給遠(yuǎn)程資源，或者接收來(lái)自遠(yuǎn)程資源的加密后的數(shù)據(jù)。遠(yuǎn)程資源可W包括例如 經(jīng)由廣域網(wǎng)可訪問(wèn)的多個(gè)網(wǎng)絡(luò)化的計(jì)算設(shè)備，所述多個(gè)網(wǎng)絡(luò)化的計(jì)算設(shè)備至少包括用于存 儲(chǔ)加密后的數(shù)據(jù)的存儲(chǔ)器模塊。在可替換的配置中，至少一個(gè)設(shè)備可W包括至少經(jīng)由廣域 網(wǎng)可訪問(wèn)的多個(gè)網(wǎng)絡(luò)化的計(jì)算設(shè)備，所述多個(gè)網(wǎng)絡(luò)化的計(jì)算設(shè)備還至少包括用于存儲(chǔ)加密 后的數(shù)據(jù)的存儲(chǔ)器模塊。根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的示例方法可W包括在受信的執(zhí)行 環(huán)境內(nèi)執(zhí)行的加密服務(wù)上接收來(lái)自至少一個(gè)虛擬機(jī)的數(shù)據(jù)，對(duì)在加密服務(wù)中接收到的數(shù)據(jù) 進(jìn)行加密或解密，W及將加密或解密后的數(shù)據(jù)提供給至少一個(gè)虛擬機(jī)。
[0017] 圖1示出了根據(jù)本公開(kāi)的至少一個(gè)實(shí)施例的用于針對(duì)遠(yuǎn)程存儲(chǔ)的數(shù)據(jù)的保護(hù)方案 的示例配置。系統(tǒng)100可W包括例如設(shè)備102和遠(yuǎn)程資源104。設(shè)備102可W包括包含了能夠 處理和存儲(chǔ)數(shù)據(jù)的資源在內(nèi)的任何設(shè)備。設(shè)備102的示例可W包括但不限于，移動(dòng)通信設(shè)備 (例如，基于Android?操作系統(tǒng)、沿S猿、Windows⑥操作系統(tǒng)、Blackberry?操作系 統(tǒng)、Palm⑩操作系統(tǒng)、SymMan⑧操作系統(tǒng)等的蜂窩手持設(shè)備或智能電話等）、移動(dòng)計(jì)算設(shè) 備（例如，像iPad嚴(yán)、Sur化Ce瑕、GalaxyTab?、Kindle巧re?等的平板計(jì)算機(jī)、包括由英 特爾公司制造的低功率忍片組的Untaibook?、上網(wǎng)本、筆記本計(jì)算機(jī)、膝上型計(jì)算機(jī)、掌 上型計(jì)算機(jī)、智能手表等）、通常固定的計(jì)算設(shè)備(例如，桌上型計(jì)算機(jī)、機(jī)頂盒設(shè)備、智能電 視(TV)、音頻和/或視頻電子會(huì)議系統(tǒng)等）。遠(yuǎn)程資源104可W包括例如經(jīng)由例如互聯(lián)網(wǎng)等的 WAN(例如，"基于云"的數(shù)據(jù)存儲(chǔ)解決方案)可訪問(wèn)的至少一個(gè)計(jì)算設(shè)備(例如，服務(wù)器）。重 要的是注意到，盡管圖1僅公開(kāi)了與遠(yuǎn)程資源104進(jìn)行交互的單個(gè)設(shè)備102,但根據(jù)本公開(kāi)， 一個(gè)W上的設(shè)備1〇2(例如，多個(gè)設(shè)備)同時(shí)與遠(yuǎn)程資源104進(jìn)行交互是可能的。
[001引設(shè)備102可W包括例如至少一個(gè)虛擬機(jī)(VM) 102和受信的執(zhí)行環(huán)境(T邸）106AdVM 106可W是在計(jì)算設(shè)備中的被呈現(xiàn)給設(shè)備102中的應(yīng)用層的硬件的基于軟件的抽象。由此， VM 106A、VM 106B、……、VM 106n(下文中的VM 106A…n)中的每個(gè)可W操作作為設(shè)備102內(nèi) 的單獨(dú)的計(jì)算設(shè)備。設(shè)備102中的虛擬機(jī)管理器(VMM)或"管理程序化ypervisor)"可W監(jiān)視 和控制VM 106A-'n的操作。T邸108可W包括設(shè)備102中的安全工作空間，在該安全工作空 間中，已知的好的程序可W執(zhí)行、機(jī)密信息可W W安全的方式被存儲(chǔ)等。例如，T邸108可W 基于由英特爾公司開(kāi)發(fā)的安全飛地技術(shù)。SE可W提供安全的和硬件加密的計(jì)算W及系統(tǒng)存 儲(chǔ)器內(nèi)部的存儲(chǔ)區(qū)域，該存儲(chǔ)區(qū)域中的內(nèi)容不能由特權(quán)代碼解密或者甚至通過(guò)到存儲(chǔ)器總 線的硬件探針的應(yīng)用來(lái)解密。當(dāng)TEE 108駐留在SE內(nèi)部時(shí)，根據(jù)本公開(kāi)的實(shí)施例使得入侵者 無(wú)法對(duì)TEE 108的內(nèi)容進(jìn)行解密。
[0019] 例如，SE可W被可視化為用于保護(hù)應(yīng)用程序、數(shù)據(jù)等的虛擬安全區(qū)。應(yīng)用程序開(kāi)發(fā) 者可W指定必須被保護(hù)的存儲(chǔ)器區(qū)域，運(yùn)創(chuàng)造了安全區(qū)。運(yùn)時(shí)候，存在可用的安全區(qū)，但是 沒(méi)有值被存儲(chǔ)在其內(nèi)部。應(yīng)用程序開(kāi)發(fā)者可W隨后將代碼置于受保護(hù)的存儲(chǔ)器區(qū)域中并且 可W初始化任何必要的數(shù)據(jù)。運(yùn)時(shí)候，代碼和數(shù)據(jù)可能已經(jīng)被置于安全區(qū)的內(nèi)部，但是還都 不是秘密的，因?yàn)槿魏稳丝赡芤呀?jīng)觀