ОБЛАСТЬ ТЕХНИКИ

[0001] Настоящее технические решение относится к области обработки цифровых данных, в частности к методам управления резервными копиями компьютерных устройств.

УРОВЕНЬ ТЕХНИКИ

[0002] Для вычислительных мощностей, в частности серверных кластеров, центров управления данными (ЦОД), системами облачного вычисления и т.п., которые предоставляют конечному пользователю возможность обмена и обработки больших объемов данных, критически важным является поддержание стабильной работоспособности и защищенности вычислительной инфраструктуры и конфиденциальности данных пользователя.

[0003] Одним из важных аспектов для реализации защищенной среды для удаленных вычислительных устройств (УВУ), например, серверов, является контроль их состояния с защитой оперативной памяти для формирования резервных копий и их последующего восстановления доверенным пользователем. Данный процесс может быть осуществлен с помощью шифрования состояния оперативной памяти с помощью криптографических ключей.

[0004] Примером такой технологии является решение компании AMD Secure Encrypted Virtualization (SEV) (https://www.amd. com/system/f les/TechDocs/SEV-SNP--strengthening-- которая обеспечивает аппаратное шифрование оперативной памяти на центральном процессоре (контроллере памяти), что обеспечивает повышенную защищенность при управлении вычислительными кластерами. Данный подход также раскрывается в заявке на изобретение US 20180165224 Al (ATI Technologies ULC, 14.06.2018), в которой описывается подход в изоляции доступа между виртуальными машинами (ВМ) с проверкой целостности параметров при шифровании их состояния в оперативной памяти.

[0005] Однако, данный подход имеет ограничение, которое приводит к уязвимости системы, в той части, что технология AMD SEV предназначен для изоляции ВМ (друг от друга и от внешних сущностей) с помощью шифрования области оперативной памяти (ООП), т.е. ключ для шифрования ООП вырабатывает центральным процессором УВУ в момент старта ВМ и использует после, сохраняя ее в контуре ООП. В настоящее время для создания резервной копии состояния ВМ часто применяют технологию «мгновенного снимка», упрощенно - копирование ООП в файл. Так как данные ООП были зашифрованы центральным процессором при записи туда, то и резервная копия окажется зашифрованной. Чтобы расшифровать ее в будущем для восстановления, придется хранить на УВУ ключ шифрования, что приводит к снижению защищенности информации на УВУ.

[0006] Заявленное решение направлено на устранение недостатков, присущих аналогам, поскольку ключ всегда сохраняется у пользователя, а не на УВУ, на который он передается в момент восстановления РК, при этом ключ не покидает контур процессора, что не позволяет обеспечить возможность расшифровки снимка ООП для восстановления состояния устройства и повышает безопасность данных.

СУЩНОСТЬ ИЗОБРЕТЕНИЯ

[0007] Для решения технической проблемы в части повышения защиты резервных копий состояний удаленных устройств, предлагается новый метод шифрования и восстановления резервных копий с помощью квантового распределения ключей (КРК).

[0008] Техническим результатом является повышение защищенности резервных копий за счет процесса их защиты с помощью симметричных криптографических ключей, передаваемых по квантовому каналу, каждый из которых соответствует определенной резервной копии.

[0009] Заявленный технический результат достигается за счет осуществления компьютерно-реализуемого способа безопасного управления резервными копиями состояний удаленных вычислительных устройств (УВУ), с функцией шифрования оперативной памяти на центральном процессоре, с помощью квантового распределения ключей (КРК), при выполнении которого: формируют связь между УВУ, по меньшей мере одним устройством пользователя и устройством для КРК (УКРК), при этом УКРК создает квантовый канал, которым соединяет УВУ с устройствами пользователей, а УВУ и устройства пользователей соединены с помощью сети передачи данных; осуществляют с помощью УКРК формирование симметричных криптографических ключей, один из которых передается на устройство пользователя для хранения в реестре ключей, а второй передается на УВУ, при получении ключа на УВУ, с помощью центрального процессора создается резервная копия (РК) его состояния, при которой выполняется шифрование состояния его оперативной памяти в заданный момент времени и передача зашифрованного состояния для хранения в постоянное хранилище данных; причем восстановление РК состояния УВУ осуществляется с помощью этапов, на которых: формируют команду от устройства пользователя на восстановление РК, при этом упомянутая команда содержит криптографический ключ, с помощью которого была сформирована требуемая РК, зашифрованный с помощью нового симметричного ключа, полученного от УКРК; в ответ на полученную команду осуществляют передачу в оперативную память УВУ требуемой РК; с помощью УКРК передают на центральный процессор УВУ упомянутый новый симметричный ключ и расшифровывают первичный ключ; восстанавливают состояние УВУ с помощью обращения центрального процессора с соответствующим криптографическим ключом к РК, размещенной в оперативной памяти и содержащей соответствующее состояние зашифрованной оперативной памяти УВУ.

[0010] В одном из частных примеров осуществления способа формирование РК происходит периодически в заданные временные промежутки, или при формировании команды с помощью устройств пользователей.

[ООН] В другом частном примере осуществления способа УВУ представляет собой сервер.

[0012] В другом частном примере осуществления способа ключи динамически обновляются с помощью устройства КРК для каждой новой РК.

[0013] В другом частном примере осуществления способа устройство КРК является отдельным устройством или частью УВУ, или устройства пользователя.

[0014] В другом частном примере осуществления способа устройство КРК выбирается из группы: плата расширения, чип, оптический сопроцессор.

[0015] В другом частном примере осуществления способа формируемые симметричные включи дополнительно записываются в защищенном модуле хранения (HSM).

[0016] В другом частном примере осуществления способа вычислительное устройство представляет собой виртуальную машину.

[0017] В другом частном примере осуществления способа при формировании РК, процессор выполняет шифрование состояния УВУ через гипервизор. [0018] В другом частном примере осуществления способа дополнительно при получении ключа на УВУ от УКРК, центральный процессор УВУ генерирует симметричный ключ, с помощью которого выполняется предварительное шифрование РК. [0019] В другом частном примере осуществления способа симметричный ключ, сгенерированный центральным процессором, шифруется с помощью ключа, полученного от УКРК, и сохраняется на устройстве пользователя.

[0020] Заявленное техническое решение также осуществляется с помощью системы для безопасного управления резервными копиями УВУ, с функцией шифрования оперативной памяти на центральном процессоре, с помощью КРК, в которой: формируют связь между УВУ, по меньшей мере одни устройством пользователя и УКРК, при этом УКРК создает квантовый канал, которым соединяет УВУ с устройствами пользователей, а УВУ и устройство пользователя соединены с помощью сети передачи данных ; осуществляют с помощью УКРК формирование симметричных криптографических ключей, один из которых передается на устройство пользователя для хранения в реестре ключей, а второй передается на УВУ, при получении ключа на УВУ, с помощью центрального процессора создается резервная копия (РК) его состояния, при которой выполняется шифрование состояния его оперативной памяти в заданный момент времени и передача зашифрованного состояния для хранения в постоянное хранилище данных; причем восстановление РК состояния УВУ осуществляется с помощью формирования команды от устройства пользователя на восстановление РК, при этом упомянутая команда содержит криптографический ключ, с помощью которого была сформирована требуемая РК, зашифрованный с помощью нового симметричного ключа, полученного от УКРК; в ответ на полученную команду осуществляют передачу в оперативную память УВУ требуемой РК; с помощью УКРК передают на центральный процессор УВУ упомянутый новый симметричный ключ и расшифровывают первичный ключ; восстанавливают состояние УВУ с помощью обращения центрального процессора с соответствующим криптографическим ключом к РК, размещенной в оперативной памяти и содержащей соответствующее состояние зашифрованной оперативной памяти УВУ. [0021] В одном из частных примеров осуществления системы формирование РК происходит периодически в заданные временные промежутки, или при формировании команды с помощью устройств пользователей.

[0022] В другом частном примере осуществления системы УВУ представляет собой сервер.

[0023] В другом частном примере осуществления системы ключи динамически обновляются с помощью устройства КРК для каждой новой РК.

[0024] В другом частном примере осуществления системы устройство КРК является отдельным устройством или частью УВУ, или устройства пользователя.

[0025] В другом частном примере осуществления системы устройство КРК выбирается из группы: плата расширения, чип, оптический сопроцессор.

[0026] В другом частном примере осуществления системы дополнительно содержится аппаратный модуль безопасности (HSM), обеспечивающий хранение формируемых симметричных ключей.

[0027] В другом частном примере осуществления системы вычислительное устройство представляет собой виртуальную машину.

[0028] В другом частном примере осуществления системы дополнительно при получении ключа на УВУ от УКРК, центральный процессор УВУ генерирует симметричный ключ, с помощью которого выполняется предварительное шифрование РК. [0029] В другом частном примере осуществления системы симметричный ключ, сгенерированный центральным процессором, шифруется с помощью ключа, полученного от УКРК, и сохраняется на устройстве пользователя.

[0030] В другом частном примере осуществления системы при формировании РК, процессор выполняет шифрование состояния УВУ через гипервизор.

КРАТКОЕ ОПИСАНИЕ ЧЕРТЕЖЕЙ

[0031] Фиг. 1А иллюстрирует общую схему заявленного решения.

[0032] Фиг. 1Б иллюстрирует схему обмена ключами при формировании РК УВУ.

[0033] Фиг. 1В иллюстрирует схему доступа к РК.

[0034] Фиг. 2 иллюстрирует блок-схему заявленного способа управления РК.

[0035] Фиг. 3 иллюстрирует общий вид вычислительной системы. ОСУЩЕСТВЛЕНИЕ ИЗОБРЕТЕНИЯ

[0036] На Фиг. 1 представлена общая схема заявленного решения, на которой представлены объединенные посредством квантового канала и сети передачи данных (130) УВУ (100), устройство пользователя (110) и УКРК (120). В общем случае УВУ (100) представляет собой сервер, обеспечивающий взаимодействие с несколькими пользовательскими устройствами (110), например, компьютерами, смартфонами и т.п. УКРК (120) может выполняться как в виде самостоятельного устройства, обеспечивающего генерирование криптографических симметричных ключей, так и являться частью одного из пользовательских устройств (110), либо же частью УВУ.

[0037] Взаимодействие элементов в рамках настоящего технического решения организовано с помощью использования двух типов связи, в частности, стандартизованной вычислительной сети (130), например, Интернет или Интранет, а также квантового канала связи, обеспечивающего КРК. Квантовое распределение ключей (КРК) — метод передачи ключа, который использует квантовые явления для гарантии безопасной связи. Этот метод позволяет двум сторонам, соединенным по открытому каналу связи, создать общий случайный ключ, который известен только им, и использовать его для шифрования и расшифрования сообщений распределение ключе Й).

[0038] Связь с УВУ (100) обеспечивается посредством двух типов каналов передачи данных: квантового канал, формируемого УКРК (120), в частности, оптического канала (например, оптоволокно), и сетевого интерфейса (105), например, WLAN, Ethernet и др.

[0039] УКРК (120) может выполняться в виде отдельного системного блока, платы расширения внутри компьютера (например, PCI-Е), чипа на материнской плате, оптического сопроцессор в едином конструктиве с центральным процессором (с использованием интегрированной оптики). УКРК (120) обеспечивает квантовое формирование симметричных ключей, которые формируются на УВУ (100) и устройстве пользователя (110). В частном примере, представлено на Фиг. 1А, УКРК (120) является частью устройств УВУ (100) и устройства пользователя (110).

[0040] Основным критерием для осуществления заявленного технического решения является исполнения УВУ (100) с функцией шифрования оперативной памяти (102) на лету с помощью центрального процессора (101), обеспечивая передачу информации как в ОЗУ (102), так и в ПЗУ (103) в зашифрованном виде. В части ПЗУ (103) может применяться любое пригодное устройство энергонезависимого типа, известное из уровня техники для обеспечения постоянного хранения данных, например, HDD, SSD, флэш-память и т.п. [0041] Как представлено на Фиг. 1Б, при каждом формировании УКРК (120) нового симметричного ключа, соответствующий ключ сохраняется в соответствующем реестре ключей (112), при его обработке с помощью процессора (111) устройства (110). Реестр (112) может храниться как на устройстве пользователя (110), так и на внешнем, связанным с ним любым пригодным способом связи устройстве, например, в аппаратном модуле безопасности (HSM, от англ. Hardware Security Module). Второй ключ, сформированный в контуре УВУ (100), хранится в ЦПУ (101), например, в энергозависимой памяти ЦПУ (101) и обновляется при формировании нового ключа УКРК (120).

[0042] Генерирование ключей УКРК (120) осуществляется динамически в заданный временной промежуток или по запросу устройства пользователя (110), что, как было указано выше, порождает новый симметричный ключ, который по квантовому каналу передается на УВУ (100) для создания РК его состояния, а второй - на устройство (110) для его сохранения в реестре (112). Каждый ключ (Ключ 1, Ключ 2, Ключ 3 .... Ключ п) соответствует одному состоянию УВУ (100) - SI, S2, S3... Sn, в определенный момент времени.

[0043] Под «состоянием», сохраняемым как РК, понимается набор данных, содержащийся, например, в оперативной памяти, в вычислительных реестрах процессора, на жестких дисках и файловых хранилищах. Упомянутый набор данных за счет его сохранения в заданный момент времени позволяет в последующем вернуться к этому состоянию, например, в случае потери данных в аварийных ситуациях, утраты и замены УВУ (100), а также при проведении исследований в области компьютерных наук для доказательства воспроизводимости.

[0044] Как схематично представлено на Фиг. 1В, при формировании РК, текущее состояние УВУ (100) шифруется с помощью ЦПУ (101), который получает симметричный ключ, сгенерированный УКРК (120) в соответствующий момент времени - Кн. Зашифрованное состояние УВУ (100) в виде РК может передаваться на хранение в ПЗУ (103), устройство пользователя (110), другое УВУ, связанное с УВУ (100), облачное хранилище данных и т.п.

[0045] В качестве алгоритмов шифрования могут применяться известные из уровня техники решения, например, XOR, AES, PRINCE, Кузнечик, Магма и др.

[0046] Расшифровка требуемого состояния, например, S2, с помощью ЦПУ (101), осуществляется при получении РК2, содержащей ключ К2, которая зашифрована текущим ключом Кн, и получении ЦПУ (101) соответствующей команды от процессора (111) устройства (110), для доступа к ключу К2 и обращении к ОЗУ (102) с сохраненной РК2 в зашифрованном виде. Более детально процесс выполнения способа будет описан далее. [0047] На Фиг. 2 представлено описание процесса управления РК с помощью заявленного способа (200). На первом шаге (201) УКРК (120) осуществляет формирование симметричного ключа. Данное формирование может происходить в момент загрузки УВУ (100) и инициации подключения к устройству пользователя (110), или при сбое УВУ (100), или принудительной команде от устройства пользователя (110). В соответствии с КРК, симметричный ключ формируется на УВУ (100) и устройстве пользователя (110), и сохраняется в хранилище ключей (111) на устройстве пользователя (110), и в ЦПУ (101)..

[0048] Сохранение состояния УВУ (100) на этапе (202) осуществляется с помощью шифрования полученным от УКРК (120) ключом состояния оперативной памяти УВУ (100), формируя тем самым РК, которая после ее формирования сохраняется для дальнейшего использования, например, в ПЗУ (103) или внешнее хранилище данных.

[0049] Для управления созданными РК (РК1, РК2, РКЗ и т.д.), восстановление доступа к ним на этапе (203) осуществляется с помощью формирования команды от устройства пользователя (110). При создании такой команды УКРК (120) производит формирование нового симметричного ключа Кн и его передачу (этап 204) по квантовому каналу на устройство пользователя (110) и в ЦПУ (101). На устройстве пользователя (110) выполняется шифрование предыдущего ключа (этап 205), с помощью которого была зашифрована требуемая РК, например, ключа К2, связанного с РК2.

[0050] На этапе (206) УВУ (100) получает упомянутую команду на доступ к РК2, которая содержит ключ К2, зашифрованный новым ключом Кн, сгенерированным в текущий момент времени УКРК (120). ЦПУ (101), получив симметричный ключ Кн от УКРК (120) и команду от устройства (110) осуществляет доступ к ключу К2 для восстановления РК2.

[0051] При этом зашифрованная команда, равно как и криптографические ключи не покидают контур ЦПУ (101), что исключает возможность их перехвата при обмене данными. Все операции по расшифрованию команды от устройства (110) выполняются строго в контуре ЦПУ (101).

[0052] На этапе (207) ЦПУ (101) с помощью извлеченного требуемого симметричного ключа К2 осуществляют доступ к требуемой РК2. Состояние УВУ (100), сохраненное в РК2, передается также в зашифрованном виде из ПЗУ (103) (или иного хранилища РК) в ОЗУ (102), к которой осуществляет обращение ЦПУ (101) для восстановления состояния УВУ (100), хранимого в РК2.

[0053] Также, в частном варианте, ЦПУ (101) может вырабатывать криптографический ключ, в частности, симметричный ключ, с помощью которого выполняется предварительное шифрование РК, а только после этого шифрование с помощью симметричного ключа, полученной от УКРК (120). Ключ, выработанный ЦПУ (101) и зашифрованный ключом от УКРК (120), также передается в реестр ключей (111) на устройстве пользователя (110).

[0054] При случае, когда устройство пользователя (110) выполняется в виде виртуальной машины, шифрование может также осуществляться через гипервизор, управляемый ЦПУ (101) и обеспечивающий среду взаимодействия с виртуальными машинами, управляемыми через УВУ (100).

[0055] В реестре ключей (111) каждый ключ может содержать дополнительную информацию о состоянии УВУ (100), связанным с соответствующей РК. Также, в реестре (111) может содержаться конфигурация УВУ для его замены на аналогичный в случае выхода из строя одного из УВУ.

[0056] На Фиг. 3 представлен общий пример вычислительной системы на базе вычислительного компьютерного устройства (300), например, компьютер, сервер, ноутбук, смартфон и т.п., которое может применяться для полной или частичной реализации заявленного способа (100). В общем случае устройство (300) содержит такие компоненты, как: один или более процессоров (301), по меньшей мере одну оперативную память (302), средство постоянного хранения данных (303), интерфейсы ввода/вывода (304), средство В/В (305), средства сетевого взаимодействия (306).

[0057] Процессор (301) устройства выполняет основные вычислительные операции, необходимые для функционирования устройства (300) или функционала одного или более его компонентов. Процессор (301) исполняет необходимые машиночитаемые команды, содержащиеся в оперативной памяти (302).

[0058] Память (302), как правило, выполнена в виде ОЗУ и содержит необходимую программную логику, обеспечивающую требуемый функционал. Средство хранения данных (303) может выполняться в виде HDD, SSD дисков, рейд массива, сетевого хранилища, флэш-памяти, оптических накопителей информации (CD, DVD, MD, Blue-Ray дисков) и т.п. Средство (303) позволяет выполнять долгосрочное хранение различного вида информации, например, истории обработки запросов (логов), идентификаторов пользователей, данные камер, изображения и т.п.

[0059] Интерфейсы (304) представляют собой стандартные средства для подключения и работы с камерами (20) или иными вычислительными устройствами. Интерфейсы (304) могут представлять, например, USB, RS232, RJ45, LPT, COM, HDMI, PS/2, Lightning, FireWire и т.п. Выбор интерфейсов (304) зависит от конкретного исполнения устройства (300), которое может представлять собой персональный компьютер, мейнфрейм, серверный кластер, тонкий клиент, смартфон, ноутбук и т.п., а также подключаемых сторонних устройств.

[0060] В качестве средств В/В данных (305) может использоваться: клавиатура, джойстик, дисплей (сенсорный дисплей), проектор, тачпад, манипулятор мышь, трекбол, световое перо, динамики, микрофон и т.п.

[0061] Средства сетевого взаимодействия (306) выбираются из устройства, обеспечивающий сетевой прием и передачу данных, например, Ethernet карту, WLAN/Wi- Fi модуль, Bluetooth модуль, BLE модуль, NFC модуль, IrDa, RFID модуль, GSM модем и т.п. С помощью средства (406) обеспечивается организация обмена данными по проводному или беспроводному каналу передачи данных, например, WAN, PAN, ЛВС (LAN), Интранет, Интернет, WLAN, WMAN или GSM, квантовый канал передачи данных, спутниковая связь и т.п.

[0062] Компоненты устройства (300), как правило, сопряжены посредством общей шины передачи данных.

[0063] В настоящих материалах заявки было представлено предпочтительное раскрытие осуществление заявленного технического решения, которое не должно использоваться как ограничивающее иные, частные воплощения его реализации, которые не выходят за рамки испрашиваемого объема правовой охраны и являются очевидными для специалистов в соответствующей области техники.