安全終端的虛擬桌面系統(tǒng)精品資料

1、安全終端的號電,桌面系統(tǒng)«通信技術(shù)雜志»2014年弟六期1終端信息殘留風險誠然虛擬化技術(shù)的出現(xiàn)解決了傳統(tǒng)業(yè)務(wù)平臺周有的安全風險0使整個系統(tǒng)易于管理易于配置0調(diào)查數(shù)據(jù)表明只有不到10%6的自呆面虛擬化用戶部署了安全工具專門針對處理虛擬化技術(shù)帶來的安全風險;僅有20%）的百呆面虛擬化用戶發(fā)現(xiàn)自己系統(tǒng)的安全風險考慮在未來試用安全工具進行虛擬化安全防護;剩下70%6的自呆面虛擬化用戶對于使他們的虛擬化環(huán)境的安全性沒有做任何的工作也沒有息識到虛擬化技術(shù)同樣可以帶來安全風險0自呆面虛擬化技術(shù)帶來的風險有些是顯而易見的比如服務(wù)器的映像并不周止在硬盤上而是出現(xiàn)在整個網(wǎng)絡(luò)上0在虛擬化實施過程

2、中實際的硬盤數(shù)據(jù)遷移息昧著虛擬服務(wù)器內(nèi)存頁會在整個網(wǎng)絡(luò)上存在0新的架構(gòu)、進程和管理系統(tǒng)以及組織結(jié)構(gòu)都會產(chǎn)生很多的潛在隱患0現(xiàn)實的問題是針對虛擬化的安全產(chǎn)品少之甚少面對各個虛擬化廠商和集成商在銷售過程中兀全避而不談自呆面虛擬化的風險僅討論帶來安全方面的保證也是使這個問題很難舁泰略的一個原因3。在自呆面虛擬化應(yīng)用環(huán)境中只要有訪問權(quán)限任何臺匕目匕終端都可以訪問云端的桌面環(huán)境0給用戶帶來接入上的便利的同時也引入了非常大的安全隱患0首先是終端合法性無法保障傳統(tǒng)的百呆面可以采用物理隔離的方式其他人無法進安全控制區(qū)域竊取資料0而在虛擬自呆面環(huán)境下若不采取終端控制手J段任息一臺知臺匕目匕終端都可接入系統(tǒng)這種安

3、全保障就不復(fù)存在了0其次是接入身份的真實性難以確保如果使用單純的用戶名密碼作為身份認證那么其泄至1略就息昧著對方可以在任何位置訪問你的自呆面系統(tǒng)并獲取相關(guān)數(shù)據(jù)0一種安全可罪的終端身份認證機制對虛擬自呆面應(yīng)用系統(tǒng)來說就顯日尤為重要0最后就是終端丟失后帶來的數(shù)據(jù)導(dǎo)泰略風險雖然自呆面虛擬化的終端僅存儲虛擬百呆面的顯示信息但是這些顯示信息在終端上都是明文狀態(tài)一旦終端丟失數(shù)據(jù)將完全泄露2安全終端設(shè)計針對桌面虛擬化時終端面臨的安全風險，安全終端主要從以下兩個方面進行設(shè)計考量。安全終端防護模塊見圖1。在用戶側(cè)采用USBKey作為強身份認證因子，提高傳統(tǒng)用戶名密碼的認證方式的安全性。終端自身從硬件、固件、軟件

4、三個層面實現(xiàn)自身安全性防護2.1USBKey虛擬化映射技術(shù)虛擬桌面要對系統(tǒng)中的物理資源和虛擬機資源做完整的管控對于資源的獲取要進行身份鑒別。虛擬桌面虛擬服務(wù)器需通過USB映射，利用傳統(tǒng)身份認證系統(tǒng)，實現(xiàn)USBKEY與口令結(jié)合的方式進行用戶身份鑒別。虛擬化管理平臺在進行USE3映射時可|以選擇|usb設(shè)備|類|型僅映|射|人體|工|程|學|與F的|USB設(shè)備|用于雙|因|子|設(shè)備US11KEY使|用|"存儲類型的USB設(shè)備可以禁止映射。但是，當前的VDI協(xié)議所支持的USB重定向功能無法實現(xiàn)同一個USBKey經(jīng)過重定向后在終端和虛擬桌面中都可以使用，進行傳輸通道的加密要求客戶端需要有密2

5、0 X 20碼設(shè)備存在以保證加密面中同樣需要硬件密碼據(jù)加密等操作0通過改向模塊實現(xiàn)USE3Key的虛US,重止向流程如圖2所重止向功臺匕目匕是以過濾驅(qū)未開啟USB;重止向功臺匕目匕時接將數(shù)據(jù)轉(zhuǎn)發(fā)到用戶端此時操作系統(tǒng)可以正常重止向功臺匕目匕后USE3Key獲并通過Spce協(xié)議通道Spice重止向模塊中(終何USB一Key的信息)重到虛擬自呆面USE3總線中的識別0USBKey虛擬化于當開啟了USB，重止向以識別并操作USB)一Key0術(shù)在于SpiceUISB重止向的USB一Key數(shù)據(jù)傳遞到遠時將數(shù)據(jù)發(fā)送到用戶端強度同時在虛擬自呆設(shè)備進行身份鑒止數(shù)造Spce協(xié)議中的USI3重-1止擬化功臺匕目匕目

6、、之，刖Spice協(xié)議示0在用戶端SpiceUSB動存在于操作系統(tǒng)中SpiceUSB重止向模塊直操作系統(tǒng)的USE3總線中檢測到USE3-Key0開啟US數(shù)據(jù)將被重止向模塊截傳輸?shù)教摂M自呆面中的端USEB總線將不再收到任止向模塊直接數(shù)據(jù)寫入實現(xiàn)虛擬自呆面對USI3-Key需要實現(xiàn)的關(guān)鍵技術(shù)在功臺匕目匕后用戶端仍然可USE3Key虛擬化的關(guān)鍵技模塊需要支持將截獲到端Spce重止向模塊的同USE3總線中從而實現(xiàn)終端和虛擬自呆面同時對USE3Key的訪問022硬件兀整性檢測安全終端上電啟動后由CPUJ和FPGA共同發(fā)起檢測掃描掛載在CPIJ總線上的心片讀取心片信息如發(fā)現(xiàn)NANDFLASHEEPROM等

7、不符合要求時驅(qū)動揚聲器進行報婺呂并將終端掛起止運行BOOTLOAE加程序0如果硬件占兀整性檢測通過表明所有心片均為出J一時配備未發(fā)生非法替換行為硬件的占兀整性可罪性得到保證允許進入下一階1殳運行BOOTLOAD限啟動程序加載系統(tǒng)023B(DOTLOA動程序在嵌入式系統(tǒng)中BOOTL.OADR是在操作系統(tǒng)內(nèi)核運行之刖加載運行的一1殳輕里級程序0大多數(shù)BOOTLOAE限包含兩種不同的操作模式:“啟動模式和下載模式0當BOOTLOAD）出運行在下載模式下目標機上的BOOTLOAD）出將通過用口和網(wǎng)絡(luò)等通信手1殳從主機下載文件更改啟動文件然后控制啟動流程0在安全終端中通過對BO(OT-L.AO【DEL的

8、止制開發(fā)使其運行在啟動模式下關(guān)閉下載模式網(wǎng)絡(luò)用口等調(diào)試接口系統(tǒng)只能從本地啟動0對本地文件鏡像(LINJUX內(nèi)核文件系統(tǒng)等)進行兀整性檢測防止文件被非法篡改0設(shè)置BOOTLAOD限1殳為只讀防止從LINJUX下修改BOOTLOAD限代碼0BOOTLOAD限的流程圖如圖3所示0弟一階1殳主要占兀成CPIJ相關(guān)設(shè)置內(nèi)存控制器初始化堆棧設(shè)置設(shè)置異常向里等工作0弟一階1殳BOOTLOAE限程序首先占兀成初始化FLASH設(shè)備系統(tǒng)內(nèi)存等0然后讀取存儲在FLASH中的BOOTLOAD）出啟動參數(shù)LINJUX內(nèi)核文件系統(tǒng)進行H1SH運算與預(yù)期值進行對比判斷驗證其兀整性可罪性0當發(fā)現(xiàn)與預(yù)期值不符時驅(qū)動揚聲器進行報

9、壑驅(qū)動顯卡心片在界面顯示報婺圖像并將終端掛起止啟動LINJUX內(nèi)核0當兀整性檢測正確時驅(qū)動顯卡心片在顯示器終端上展示安全終端LOGO0將內(nèi)核及文件系統(tǒng)讀入到內(nèi)存中調(diào)用內(nèi)核啟動LINUX024內(nèi)核和文件系統(tǒng)保護由UBOO-一啟動兀成后加載LINUX內(nèi)核并將系統(tǒng)控制權(quán)交給內(nèi)核0為保證整個系統(tǒng)的安全可罪通過止制編譯出需要的嵌入式內(nèi)核系統(tǒng)0件配置方案來深度裁男基本原則是只加載需要簡把不需要的硬件驅(qū)文件的大小0同時對用ro()t賬號只允許單用統(tǒng)內(nèi)核成功啟動以后本功臺匕目匕可以對硬件設(shè)還不具備應(yīng)用軟件運行作系統(tǒng)還需要進一步加過對主程序及啟動腳本終端的主程序遭到破解法實現(xiàn)指止密鑰用來加使用不同的密鑰用來加啟

10、動時需要指止解密的本中會使用密鑰用為runsh加密并編譯為二效的保護擦除工具被別時撻止用戶對FLASHEEP作0防止篡改BO()T-LOAD限內(nèi)核系統(tǒng)止制是根據(jù)硬出需要的內(nèi)核0定制的的驅(qū)動程序并力求精動剔除掉以減少內(nèi)核戶賬號嚴格控制關(guān)閉戶登錄、操作0LINIUX系就具備的操作系統(tǒng)的基備進行管理了0但是它所需要的占兀整環(huán)境操載所需的文件系統(tǒng)0通都進行加密保護防止或篡改0使用AES:加密算密受保護的文件分別密單獨的文件0由于在密鑰用所以在啟動腳了隱藏密鑰用內(nèi)容將進制文件這樣可以有人導(dǎo)泰力破解和篡改0同)ROM等存儲心片的寫操LINIUX內(nèi)核等文件03基于安全終端的虛擬由上文分析可知身份戶提供一個安

11、全可罪的端的可信賴性0據(jù)此設(shè)的虛擬桌面系統(tǒng)其邏該系統(tǒng)包含虛擬自呆面服控服務(wù)器、安全終端4過域控服務(wù)器的身份認接具體步驟如圖5所的工作時序如圖5所示戶執(zhí)行開機操作安全戶能夠接入的域的信息入USB一Key并輸入登錄信自呆面服務(wù)器發(fā)起登錄請域控服務(wù)器04)域控服查是否有權(quán)限訪問桌面桌面圖像的序列化視頻進行自呆面操作安全終加身份信息后發(fā)送至虛自呆面服務(wù)器執(zhí)行相應(yīng)動自呆面系統(tǒng)認證和終端防護能為用終端環(huán)境保證會話終計了一個基于安全終端輯結(jié)構(gòu)圖如圖4所示0務(wù)器、應(yīng)用服務(wù)器、域個部分0客戶端必須通證才能與服務(wù)器建立連示0安全終端與各系統(tǒng)各環(huán)節(jié)說明如下:1)用終端加電屏幕顯示用等待用戶選擇02)插息03)安全終

12、端向虛擬求;登錄請求被發(fā)送至務(wù)器校驗用戶身份檢05)虛擬百呆面服務(wù)器將流推送至用戶06)用戶端將鼠標、鍵盤動作附擬桌面服務(wù)器07)虛擬作向應(yīng)用服務(wù)器發(fā)起訪問請求08)應(yīng)用服務(wù)器檢查請求中包含的用戶身份響應(yīng)或拒絕用戶請求09)自呆面刷新后將新的視頻流重新推送至用戶010)用戶使用兀畢后確認注銷011)安全終端向虛擬自呆面管理器發(fā)起注銷請求012)虛擬自呆面服務(wù)器上的虛擬機執(zhí)行掛起并在一段時問不操作后轉(zhuǎn)入休眠013)安全終端執(zhí)行斷電重啟清除所有緩存信息04實驗分析為了驗證本系統(tǒng)對于安全性臺匕目匕的提升我們搭建了實驗環(huán)境并進行了簡單的安全性驗證實驗0硬件設(shè)備采用De川R710服務(wù)器安全終端以及USB

13、3Key虛擬化平臺技術(shù)采用KVP/Io實驗步驟如下：1)在網(wǎng)絡(luò)連接正常的情況下開機直接輸入登錄信息登錄記錄結(jié)果02)在網(wǎng)絡(luò)連接正常的情況下開機插入USE3-Key并輸入登錄信息登錄記錄結(jié)果03)修改系統(tǒng)的引導(dǎo)程序嘗試非正常引導(dǎo)04)終端重啟后讀取內(nèi)存信息0實驗結(jié)果如下：1)登錄失敗02)登陸成功03)系統(tǒng)拒絕修改引導(dǎo)04)內(nèi)存信息全部被清除0從實驗結(jié)果可以射技術(shù)之后使USI3中使用0攻擊者只有同/密碼才臺匕目匕進行身份冒可罪性0終端自身防護無法被惡息修改同時殘留任何用戶數(shù)據(jù)05結(jié)語自呆面虛擬化使用戶可對個人自呆面進行訪問0也帶來了新的安全風險全已經(jīng)成為用戶選擇大顧慮5?，F(xiàn)有安全自呆面服務(wù)器端的安全防措施比較薄弱0本文從險作為切入占八、分析了案0并對所使用的到相強因子認證和