跨域虛擬通信安全模型設計及通信技術

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了跨域虛擬通信安全模型設計及通信技術范文，希望能給你帶來靈感和參考，敬請閱讀。

摘要：虛擬機不僅具有硬件系統的所有功能，還能夠解決硬件設備不兼容的問題，從而實現了信息資源共享，提高了運行的流暢度。在部署虛擬機時，將多臺虛擬機進行跨域連接，可以提供更多的功能與服務，滿足用戶多樣化的使用需求。但是在跨域信息交流中，也面臨著信息泄露等通信安全問題。文章首先介紹了現階段常用的幾種跨域虛擬機通信安全模型，包括PROCESS-A、TEDCM等，隨后分析了通信安全模型的數據結構，信息交互操作實現過程，以及安全風險的分析與控制策略。

關鍵詞：跨域虛擬機；通信安全；信息交互；風險分析

在信息泄露問題日益嚴重的背景下，如何保障虛擬機間通信安全就成為人們關注的焦點問題。跨域虛擬機雖然也能夠起到一定的安全保護效果，但是不能從源頭上解決入侵破壞帶來的信息泄露風險。本文從設計通信安全模型方面展開研究，利用安全模型實現對通信環境的監控和維護，從而為虛擬機跨域通信營造了安全環境，具有更強的實用性。

1跨域虛擬機間通信安全模型設計

1.1PROCESS-A

在Xen虛擬機中，XenStore的主要作用是連接應用軟件和底層硬件，保證了底層硬件能夠根據應用軟件下達的各項指令作出相應的動作。PROCESS-A就是基于XenStore的這一功能，從而實時、全面地掌握物理主機上的運行信息。特權虛擬機通過識別信息來源，將發送該信息的物理主機定義為A。同時，根據控制指令，將信息發往的目標主機定義為B。判斷A和B是否為同一臺物理主機。如果判定結果為“是”，說明信息交換在物理主機內部完成，這種情況下只需要啟用物理主機上的殺毒軟件或安全系統（如防火墻），即可達到保障通信安全的目的；如果判定結果為“否”，說明信息交換在兩臺不同的物理主機之間完成，這種情況下就需要利用TEDCM安全通信機制，保證跨域虛擬機的通信安全。

1.2TEDCM

基于TEDCM構建的通信安全模型，主要實現兩種功能：其一，核實被保護信息的發出系統和發往系統是否位于同一臺物理主機。其二，經核實信息發出與接收的兩臺虛擬機，均位于相同的物理主機，調用系統內部的鉤子函數，通過提取信息特征對其做加密保護，借助于前端驅動、后端驅動然后完成信息傳輸；經核實信息發出與接收的兩臺虛擬機，位于不同的物理主機，基于鉤子函數加密之后，借助于真實網卡、外置通訊裝置等，將信息傳輸到另一臺物理主機上的虛擬機。其流程如圖1所示。結合上述流程可以發現，TEDCM功能的實現，首先要依賴于鉤子函數對于傳輸信息特征值的提取。而鉤子函數判斷并提取特征信息的關鍵，就在于PROCESS-A。根據系統執行PROCESS-A的結果，可以準確判斷發出該信息的虛擬機，與將要接受該信息的虛擬機，是否位于相同物理主機上。如果是同一臺物理主機上的內部通信，說明該信息在發送前已經被加密，此時TEDCM要進行解密；如果是不同物理主機上的跨域通信，為了保證信息在外部網絡中的傳輸安全，此時TEDCM要進行加密。

1.3安全分析

Xen虛擬機由兩部分組成，即特權虛擬機和非特權虛擬機。在部署安全模型時，為提高響應速度和減輕虛擬機運行負載，需要將安全模式放在特權虛擬機上。當位于不同物理主機上的兩臺虛擬機進行信息交互時，同時啟動加/解密系統。此時，虛擬機將加密后的信息，依次通過前端、后端驅動，進入到帶有安全模型的特權虛擬機中。在接收信息后，安全模型調用鉤子函數，利用該函數可以快速檢索XenStore中存儲的表數據。完成一邊數據檢索后，鉤子函數作出判斷并根據判斷結果執行相應的動作。若判斷結果為“否”，經過加密后的數據可以通過通信回路，從虛擬機轉到物理主機，再經由物理主機上的網卡以及外部網絡，傳輸到指定的另一臺物理主機上。經過虛擬化處理后，信息進入到特權虛擬機上，XenStore執行解密操作，依次經過后端、前端驅動后，最終達到另一臺虛擬機上。

2跨域虛擬機間通信安全模型實現

2.1相應的數據結構

2.1.1基于特權虛擬機的安全模型基于TEDCM安全通信機制的安全模型，其正常運行與功能實現需要使用到netfilter框架。安全模型啟動之后，首先要進行初始化設置，可以通過一個init（）程序來實現，如圖2所示。上述程序除了進行安全模型的初始化處理外，還具有兩個判斷功能。功能之一是對所有輸入的數據包進行判斷，目的在于識別這些數據包的來源；功能之二是對所有輸出的數據包進行判斷，目的在于識別這些數據包的去向。其判斷依據主要是IP地址，通過IP是否一致最終判斷兩臺虛擬機是否部署在同一臺物理主機上。

2.1.2基于非特權虛擬機的安全模型非特權虛擬化操作系統發送消息抵達前端后，會進入blkif_queue_request函數中，對保存在數組中的數據進行加/解密處理，根據DES加解密的特點，里面有一個循環條件。循環加密流程為：安全模型提取前端驅動中的特征數據，執行判斷條件“全部數據是否執行加/解密處理”。此時TEDCM會對所有送達的數據進行逐一驗證。完成第一遍篩選后，根據驗證結果執行相應的動作。若結果判定為“是”，則循環加密程序結束；反之，若結果判定為“否”，則重新返回，進行第二遍加/解密。完成處理后再進行第二次驗證，驗證結束后進行條件判定，重復上述步驟，直到所有數據均完成加/解密處理后，跳出循環條件，完成整個循環加/解密流程。

2.2模型的使用

TEDCM安全模型是基于Linux環境開發的，上文中提到的netfilter也是Linux系統中的一種通用框架。在模型的使用過程中，只需要借助于Makefile文件，就能夠實現對各類文件夾、數據包的篩選與判斷，從而簡化了安全模型在信息加密和風險識別等方面的流程，提高了該安全模型的運行效率。尤其是對于跨域虛擬機之間的大數據流量，也能夠完全滿足安全檢測需求，對提高通信安全效果有積極幫助。另外，TEDCM安全模型使用C語言進行編程，豐富了數據結構、提高了設計自由度，讓TEDCM安全模型的功能更加強大。

3跨域虛擬機間通信技術研究

3.1信息交互操作實現過程

早期的Xen虛擬機，多采用半虛擬化技術，在程序運行時需要借助于物理主機上的客戶端，雖然其性能更加優越，但是在信息交互時也面臨著更大的風險。因此，在進行跨域通信時，半虛擬化技術已經逐漸被淘汰。相比之下，Xen虛擬機的完全虛擬化運行方式，則可以將所有程序，甚至包括客戶端都包含在虛擬機以內，保證了運行環境的安全。基于完全虛擬化環境的信息交互操作，需要考慮的問題有：（1）信息借助于何種路徑完成通信？（2）該通訊路徑的安全環境如何，以及可能存在何種安全風險？（3）在明確風險的基礎上，應制定何種策略來保障通信安全？

3.1.1基于一臺物理主機的操作理論上來說，一臺物理主機盡可能少部署虛擬化操作系統，可以降低不同系統之間在信息交互時發生串擾的概率。但是在實際工作中，出于成本、功能等方面的考慮，每臺物理主機上可能同時運行了若干虛擬化操作系統。這種情況下，就對Xen虛擬機的可操作性和協調能力提出了極高的要求。為了實現這一功能，在特權虛擬機中只保留了后端驅動，而將前端驅動分別置于不同的客戶虛擬機中。不同虛擬機之間的通信路徑如圖3所示。圖3位于同一物理主機上的客戶虛擬機，分別設有一個前端驅動。并且利用通用接口，與特權服務器上的后端驅動相連接。具體的流程為：客戶端虛擬機上的任何一項指令（包括信息的輸出與輸入指令），首先到達本機的前端驅動上。但是在虛擬化操作系統中，該指令無法直接傳達到底層的設備。這種情況下，就需要通過跨域通信的方式，讓前端驅動中的信息傳遞到位于特權虛擬機上的后端驅動。然后從特權虛擬機上，實現控制信息與底層設備的連接，實現程序響應或控制設備動作。

3.1.2基于不同兩臺物理主機的操作隨著云技術的發展，各類云平臺的出現為虛擬機的跨域通信帶來了更多的方便。目前，云存儲因為具有容量上限更高、安全性能更好等諸多優勢，已經逐漸取代了傳統的物理服務器，成為一種主流選擇。將虛擬化操作系統置于兩臺云服務器中，開展信息交互的路徑如圖4所示。結合圖4可知，客戶虛擬機指令或消息以后，首先到達本機的前端驅動上。然后借助于通用接口，準備向特權虛擬機的后端驅動傳輸。在傳輸過程中，Xen虛擬機的監視程序（VMM）啟動，并且對數據包進行檢測和過濾，確保該信息的安全性。通過檢測之后，數據包到的后端驅動，并經過特短虛擬機最終傳輸到物理主機上的網卡中。

3.2風險分析

在風險分析時，需要重點關注的內容有：其一，選擇實力較強、信譽良好的虛擬化供應商，有助于保證虛擬機間通信環境的安全性；其二，加強對信息交互過程的實時監控，避免跨域通信過程中出現信息泄露或攔截等風險。在信息傳輸前進行加密，在信息接收后再進行解密，同時還要加強對傳輸媒介的監管，才能讓整個通信流程更加安全，避免涉密信息的丟失、泄露，確保通信安全。

4結束語

大數據時代的網絡通信需求激增，用虛擬機代替物理主機，除了降本增效外，還可以為用戶提供更加便捷的操作和更加豐富的功能，因此得到了推廣使用。隨著虛擬機應用越來越廣泛，隨之而來的跨域通信也成為常態，保障跨域通信的信息安全，成為當下研究的熱門課題。通過設計基于TEDCM的安全模型，以及加強虛擬通信路徑安全管理等綜合措施，營造出安全水平較高的跨域通信環境，進而支持虛擬機功能的更好發揮。

參考文獻：

[1]郭晶，杜平.面向云計算虛擬化的信息安全防護方案研究[J].信息安全與技術，2020（1）：31-33.

[2]李鼎基，糜澤羽，吳保東，等.基于跨虛擬機零下陷通信的加速器虛擬化框架[J].軟件學報，2020（10）：147-148.

[3]關振宇，陳永江，李大偉，等.一種基于區塊鏈的車聯網跨域認證方案[J].網絡空間安全，2020（9）：62-69.

[4]陳子瑜，覃濤，涂艷麗，等.資源池入池虛擬機標準化配置模型研究[J].電信科學，2019（S1）：12-13.

[5]董貴山，陳宇翔，李洪偉，等.異構環境中基于區塊鏈的跨域認證可信度研究[J].通信技術，2019（6）：75-76.

作者：計策 肖軍 呂翔 單位：中國人民解放軍31401部隊