安全終端的虛擬桌面系統(tǒng)精品資料

1、安全終端的號電,桌面系統(tǒng)«通信技術雜志»2014年弟六期1終端信息殘留風險誠然虛擬化技術的出現解決了傳統(tǒng)業(yè)務平臺周有的安全風險0使整個系統(tǒng)易于管理易于配置0調查數據表明只有不到10%6的自呆面虛擬化用戶部署了安全工具專門針對處理虛擬化技術帶來的安全風險;僅有20%）的百呆面虛擬化用戶發(fā)現自己系統(tǒng)的安全風險考慮在未來試用安全工具進行虛擬化安全防護;剩下70%6的自呆面虛擬化用戶對于使他們的虛擬化環(huán)境的安全性沒有做任何的工作也沒有息識到虛擬化技術同樣可以帶來安全風險0自呆面虛擬化技術帶來的風險有些是顯而易見的比如服務器的映像并不周止在硬盤上而是出現在整個網絡上0在虛擬化實施過程

2、中實際的硬盤數據遷移息昧著虛擬服務器內存頁會在整個網絡上存在0新的架構、進程和管理系統(tǒng)以及組織結構都會產生很多的潛在隱患0現實的問題是針對虛擬化的安全產品少之甚少面對各個虛擬化廠商和集成商在銷售過程中兀全避而不談自呆面虛擬化的風險僅討論帶來安全方面的保證也是使這個問題很難舁泰略的一個原因3。在自呆面虛擬化應用環(huán)境中只要有訪問權限任何臺匕目匕終端都可以訪問云端的桌面環(huán)境0給用戶帶來接入上的便利的同時也引入了非常大的安全隱患0首先是終端合法性無法保障傳統(tǒng)的百呆面可以采用物理隔離的方式其他人無法進安全控制區(qū)域竊取資料0而在虛擬自呆面環(huán)境下若不采取終端控制手J段任息一臺知臺匕目匕終端都可接入系統(tǒng)這種安

3、全保障就不復存在了0其次是接入身份的真實性難以確保如果使用單純的用戶名密碼作為身份認證那么其泄至1略就息昧著對方可以在任何位置訪問你的自呆面系統(tǒng)并獲取相關數據0一種安全可罪的終端身份認證機制對虛擬自呆面應用系統(tǒng)來說就顯日尤為重要0最后就是終端丟失后帶來的數據導泰略風險雖然自呆面虛擬化的終端僅存儲虛擬百呆面的顯示信息但是這些顯示信息在終端上都是明文狀態(tài)一旦終端丟失數據將完全泄露2安全終端設計針對桌面虛擬化時終端面臨的安全風險，安全終端主要從以下兩個方面進行設計考量。安全終端防護模塊見圖1。在用戶側采用USBKey作為強身份認證因子，提高傳統(tǒng)用戶名密碼的認證方式的安全性。終端自身從硬件、固件、軟件

4、三個層面實現自身安全性防護2.1USBKey虛擬化映射技術虛擬桌面要對系統(tǒng)中的物理資源和虛擬機資源做完整的管控對于資源的獲取要進行身份鑒別。虛擬桌面虛擬服務器需通過USB映射，利用傳統(tǒng)身份認證系統(tǒng)，實現USBKEY與口令結合的方式進行用戶身份鑒別。虛擬化管理平臺在進行USE3映射時可|以選擇|usb設備|類|型僅映|射|人體|工|程|學|與F的|USB設備|用于雙|因|子|設備US11KEY使|用|"存儲類型的USB設備可以禁止映射。但是，當前的VDI協(xié)議所支持的USB重定向功能無法實現同一個USBKey經過重定向后在終端和虛擬桌面中都可以使用，進行傳輸通道的加密要求客戶端需要有密2

5、0 X 20碼設備存在以保證加密面中同樣需要硬件密碼據加密等操作0通過改向模塊實現USE3Key的虛US,重止向流程如圖2所重止向功臺匕目匕是以過濾驅未開啟USB;重止向功臺匕目匕時接將數據轉發(fā)到用戶端此時操作系統(tǒng)可以正常重止向功臺匕目匕后USE3Key獲并通過Spce協(xié)議通道Spice重止向模塊中(終何USB一Key的信息)重到虛擬自呆面USE3總線中的識別0USBKey虛擬化于當開啟了USB，重止向以識別并操作USB)一Key0術在于SpiceUISB重止向的USB一Key數據傳遞到遠時將數據發(fā)送到用戶端強度同時在虛擬自呆設備進行身份鑒止數造Spce協(xié)議中的USI3重-1止擬化功臺匕目匕目

6、、之，刖Spice協(xié)議示0在用戶端SpiceUSB動存在于操作系統(tǒng)中SpiceUSB重止向模塊直操作系統(tǒng)的USE3總線中檢測到USE3-Key0開啟US數據將被重止向模塊截傳輸到虛擬自呆面中的端USEB總線將不再收到任止向模塊直接數據寫入實現虛擬自呆面對USI3-Key需要實現的關鍵技術在功臺匕目匕后用戶端仍然可USE3Key虛擬化的關鍵技模塊需要支持將截獲到端Spce重止向模塊的同USE3總線中從而實現終端和虛擬自呆面同時對USE3Key的訪問022硬件兀整性檢測安全終端上電啟動后由CPUJ和FPGA共同發(fā)起檢測掃描掛載在CPIJ總線上的心片讀取心片信息如發(fā)現NANDFLASHEEPROM等

7、不符合要求時驅動揚聲器進行報婺呂并將終端掛起止運行BOOTLOAE加程序0如果硬件占兀整性檢測通過表明所有心片均為出J一時配備未發(fā)生非法替換行為硬件的占兀整性可罪性得到保證允許進入下一階1殳運行BOOTLOAD限啟動程序加載系統(tǒng)023B(DOTLOA動程序在嵌入式系統(tǒng)中BOOTL.OADR是在操作系統(tǒng)內核運行之刖加載運行的一1殳輕里級程序0大多數BOOTLOAE限包含兩種不同的操作模式:“啟動模式和下載模式0當BOOTLOAD）出運行在下載模式下目標機上的BOOTLOAD）出將通過用口和網絡等通信手1殳從主機下載文件更改啟動文件然后控制啟動流程0在安全終端中通過對BO(OT-L.AO【DEL的

8、止制開發(fā)使其運行在啟動模式下關閉下載模式網絡用口等調試接口系統(tǒng)只能從本地啟動0對本地文件鏡像(LINJUX內核文件系統(tǒng)等)進行兀整性檢測防止文件被非法篡改0設置BOOTLAOD限1殳為只讀防止從LINJUX下修改BOOTLOAD限代碼0BOOTLOAD限的流程圖如圖3所示0弟一階1殳主要占兀成CPIJ相關設置內存控制器初始化堆棧設置設置異常向里等工作0弟一階1殳BOOTLOAE限程序首先占兀成初始化FLASH設備系統(tǒng)內存等0然后讀取存儲在FLASH中的BOOTLOAD）出啟動參數LINJUX內核文件系統(tǒng)進行H1SH運算與預期值進行對比判斷驗證其兀整性可罪性0當發(fā)現與預期值不符時驅動揚聲器進行報

9、壑驅動顯卡心片在界面顯示報婺圖像并將終端掛起止啟動LINJUX內核0當兀整性檢測正確時驅動顯卡心片在顯示器終端上展示安全終端LOGO0將內核及文件系統(tǒng)讀入到內存中調用內核啟動LINUX024內核和文件系統(tǒng)保護由UBOO-一啟動兀成后加載LINUX內核并將系統(tǒng)控制權交給內核0為保證整個系統(tǒng)的安全可罪通過止制編譯出需要的嵌入式內核系統(tǒng)0件配置方案來深度裁男基本原則是只加載需要簡把不需要的硬件驅文件的大小0同時對用ro()t賬號只允許單用統(tǒng)內核成功啟動以后本功臺匕目匕可以對硬件設還不具備應用軟件運行作系統(tǒng)還需要進一步加過對主程序及啟動腳本終端的主程序遭到破解法實現指止密鑰用來加使用不同的密鑰用來加啟

10、動時需要指止解密的本中會使用密鑰用為runsh加密并編譯為二效的保護擦除工具被別時撻止用戶對FLASHEEP作0防止篡改BO()T-LOAD限內核系統(tǒng)止制是根據硬出需要的內核0定制的的驅動程序并力求精動剔除掉以減少內核戶賬號嚴格控制關閉戶登錄、操作0LINIUX系就具備的操作系統(tǒng)的基備進行管理了0但是它所需要的占兀整環(huán)境操載所需的文件系統(tǒng)0通都進行加密保護防止或篡改0使用AES:加密算密受保護的文件分別密單獨的文件0由于在密鑰用所以在啟動腳了隱藏密鑰用內容將進制文件這樣可以有人導泰力破解和篡改0同)ROM等存儲心片的寫操LINIUX內核等文件03基于安全終端的虛擬由上文分析可知身份戶提供一個安

11、全可罪的端的可信賴性0據此設的虛擬桌面系統(tǒng)其邏該系統(tǒng)包含虛擬自呆面服控服務器、安全終端4過域控服務器的身份認接具體步驟如圖5所的工作時序如圖5所示戶執(zhí)行開機操作安全戶能夠接入的域的信息入USB一Key并輸入登錄信自呆面服務器發(fā)起登錄請域控服務器04)域控服查是否有權限訪問桌面桌面圖像的序列化視頻進行自呆面操作安全終加身份信息后發(fā)送至虛自呆面服務器執(zhí)行相應動自呆面系統(tǒng)認證和終端防護能為用終端環(huán)境保證會話終計了一個基于安全終端輯結構圖如圖4所示0務器、應用服務器、域個部分0客戶端必須通證才能與服務器建立連示0安全終端與各系統(tǒng)各環(huán)節(jié)說明如下:1)用終端加電屏幕顯示用等待用戶選擇02)插息03)安全終

12、端向虛擬求;登錄請求被發(fā)送至務器校驗用戶身份檢05)虛擬百呆面服務器將流推送至用戶06)用戶端將鼠標、鍵盤動作附擬桌面服務器07)虛擬作向應用服務器發(fā)起訪問請求08)應用服務器檢查請求中包含的用戶身份響應或拒絕用戶請求09)自呆面刷新后將新的視頻流重新推送至用戶010)用戶使用兀畢后確認注銷011)安全終端向虛擬自呆面管理器發(fā)起注銷請求012)虛擬自呆面服務器上的虛擬機執(zhí)行掛起并在一段時問不操作后轉入休眠013)安全終端執(zhí)行斷電重啟清除所有緩存信息04實驗分析為了驗證本系統(tǒng)對于安全性臺匕目匕的提升我們搭建了實驗環(huán)境并進行了簡單的安全性驗證實驗0硬件設備采用De川R710服務器安全終端以及USB

13、3Key虛擬化平臺技術采用KVP/Io實驗步驟如下：1)在網絡連接正常的情況下開機直接輸入登錄信息登錄記錄結果02)在網絡連接正常的情況下開機插入USE3-Key并輸入登錄信息登錄記錄結果03)修改系統(tǒng)的引導程序嘗試非正常引導04)終端重啟后讀取內存信息0實驗結果如下：1)登錄失敗02)登陸成功03)系統(tǒng)拒絕修改引導04)內存信息全部被清除0從實驗結果可以射技術之后使USI3中使用0攻擊者只有同/密碼才臺匕目匕進行身份冒可罪性0終端自身防護無法被惡息修改同時殘留任何用戶數據05結語自呆面虛擬化使用戶可對個人自呆面進行訪問0也帶來了新的安全風險全已經成為用戶選擇大顧慮5?，F有安全自呆面服務器端的安全防措施比較薄弱0本文從險作為切入占八、分析了案0并對所使用的到相強因子認證和