[发明专利]一种容器保护方法、处理器、操作系统及计算机设备

说明书

本申请涉及一种容器保护方法、处理器、操作系统及计算机设备，属于计算机技术领域。该方法包括：在访问目标页表项指向的内存页时，获取所述目标页表项中的容器ID，其中，所述页表项中记录有所述容器ID对应的容器的虚拟地址与实际物理地址之间的映射关系；获取所述容器ID对应的密钥，其中，不同的容器ID对应的密钥不同；基于所述密钥对往所述内存页中写入的数据进行加密。本申请实施例中，通过对不同的容器分配不同的内存资源和密钥，使得在访问目标页表项指向的内存页时，基于页表项中的容器ID获取对应的密钥，并使用该密钥对容器的数据加密，使得即使运行在特权级的恶意代码也只能读取密文，能有效阻止恶意代码偷取容器的机密数据。

技术领域

本申请属于计算机技术领域，具体涉及一种容器保护方法、处理器、操作系统及计算机设备。

背景技术

由于容器运行在用户态(非特权级)，而处理器有特权级和非特权级(用户态)运行模式，特权级代码可以访问容器的所有内存数据，因此攻击者可以通过恶意特权级代码偷取容器的机密数据。

发明内容

鉴于此，本申请的目的在于提供一种容器保护方法、处理器、操作系统及计算机设备，以改善现有容器的机密数据容易被窃取的问题。

本申请的实施例是这样实现的：

第一方面，本申请实施例提供了一种容器保护方法，所述方法包括：在访问目标页表项指向的内存页时，获取所述目标页表项中的容器ID，其中，所述页表项中记录有所述容器ID对应的容器的虚拟地址与实际物理地址之间的映射关系；获取所述容器ID对应的密钥，其中，不同的容器ID对应的密钥不同；基于所述密钥对往所述内存页中写入的数据进行加密。本申请实施例中，通过对不同的容器分配不同的内存资源和密钥，使得在访问目标页表项指向的内存页时，基于页表项中的容器ID获取对应的密钥对容器数据进行加解密，其次不同的容器ID使用不同的加密密钥，并且容器的数据会被加密后保存在内存中，从而保证容器的加密数据不能被其他容器解密，即使运行在特权级的恶意代码也只能读取密文，能有效阻止恶意代码偷取容器的机密数据。

结合第一方面实施例的一种可能的实施方式，获取所述容器ID对应的密钥，包括：基于事先保存的容器ID与密钥的对应关系获取所述容器ID对应的密钥。本申请实施例中，基于事先保存的容器ID与密钥的对应关系能快速获得容器ID对应的密钥，节约内存访问的时间。

结合第一方面实施例的一种可能的实施方式，获取所述容器ID对应的密钥，包括：判断记录表中是否存在所述容器ID，其中，所述记录表用于记录容器ID与密钥的对应关系；在为是时，基于所述记录表中的记录信息获取所述容器ID对应的密钥；在为否时，从预设密钥池中随机选取一未被使用的密钥作为所述容器ID对应的密钥，并在所述记录表中记录所述容器ID与其密钥的对应关系。本申请实施例中，在访问内存页的过程中，在获取容器ID对应的密钥时，先判断记录表中是否存在该容器ID，若存在，表明在之前访问该容器ID对应的内存时，便已经为该容器ID分配过密钥，若不存在，则为该容器ID分配密钥，并将容器ID与其密钥的对应关系记录在记录表中，以便后续在访问该容器ID对应的内存时，基于该记录表获取保存的密钥，该方式无需事先为容器ID分配密钥，其密钥的分配过程可以是在访问内存页的过程中进行。

结合第一方面实施例的一种可能的实施方式，在基于事先保存的容器ID与密钥的对应关系获取所述容器ID对应的密钥之前，所述方法还包括：在接收到所述容器发送的密钥分配指令时，获取所述密钥分配指令中携带的所述容器ID；判断是否已经为所述容器ID分配过密钥；在为否时，为所述容器ID分配密钥，并保存分配的密钥与所述容器ID的对应关系。本申请实施例中，通过事先为容器ID分配密钥，使得在后续访问内存页的过程中可直接基于保存的容器ID与密钥的对应关系快速获得对应的密钥，并且在为容器ID分配密钥时，判断是否已经为其分配过密钥，以避免重复分配，使得同一个容器ID分配多个不同的密钥。