智能终端虚拟化及安全隔离技术

doi:10.11959/j.issn.1000-0801.2018099

电信科学 ›› 2018, Vol. 34 ›› Issue (2): 99-109.doi: 10.11959/j.issn.1000-0801.2018099

智能终端虚拟化及安全隔离技术

黄勇军,金华敏,刘国荣,刘东鑫,汪来富,沈军

中国电信股份有限公司广州研究院，广东广州 510630

修回日期:2018-01-30 出版日期:2018-02-01 发布日期:2018-02-13
作者简介:黄勇军（1970-），男，中国电信股份有限公司广州研究院副院长、高级工程师，国务院特殊津贴专家，长期从事通信网络发展规划、新技术应用研究等工作，主要研究方向为IP网技术、云计算和网络安全。|金华敏（1972-），男，中国电信股份有限公司广州研究院高级工程师，主要研究方向为IP网、云计算、大数据安全和网络安全。|刘国荣（1978-），男，中国电信股份有限公司广州研究院高级工程师，主要研究方向为移动互联网安全和云计算安全。|刘东鑫（1985-），男，中国电信股份有限公司广州研究院工程师，曾获得 CCIE、CISSP和CISA等认证。主要研究方向为网络与信息安全、大数据安全。|汪来富（1976-），男，中国电信股份有限公司广州研究院高级工程师，主要研究方向IP网、云计算、大数据安全和网络安全。|沈军（1976-），女，中国电信股份有限公司广州研究院高级工程师，主要研究方向为云计算安全、移动互联网安全及SDN/NFV安全等。
基金资助:
国家高技术研究发展计划（“863”计划）基金资助项目(2015AA017205)

Virtualization and isolation technology in intelligent terminals

Yongjun HUANG,Huamin JIN,Guorong LIU,Dongxin LIU,Laifu WANG,Jun SHEN

Guangzhou Research Institute of China Telecom Co.,Ltd.,Guangzhou 510630,China

Revised:2018-01-30 Online:2018-02-01 Published:2018-02-13
Supported by:
The National High Technology Research and Development Program of China (863 Program)(2015AA017205)

摘要/Abstract

摘要：

随着智能终端能力及安全需求的提升，在服务器和桌面机上发展起来的虚拟化技术，也逐渐在智能终端上发展和应用。对智能终端虚拟化及安全隔离技术的应用场景、各类实现技术进行了分析探讨，并对各种技术以及与服务器虚拟化及其安全需求进行了对比分析。

关键词: 智能终端, 虚拟化, 隔离

Abstract:

With the improvement of computing capability and security requirements for intelligent terminals,the virtualization technology has been gradually developed and applied,which is originally created in the server and desktop computer industry.The application scenarios,a variety of different implementation and security requirements of virtualization were analyzed by contrasting to the computer servers.

Key words: intelligent terminal, virtualization, isolation

中图分类号:

TP309.1

黄勇军,金华敏,刘国荣,刘东鑫,汪来富,沈军. 智能终端虚拟化及安全隔离技术[J]. 电信科学, 2018, 34(2): 99-109.

Yongjun HUANG,Huamin JIN,Guorong LIU,Dongxin LIU,Laifu WANG,Jun SHEN. Virtualization and isolation technology in intelligent terminals[J]. Telecommunications Science, 2018, 34(2): 99-109.

图/表 17

图1

图2

图3

图4

图5

图6

图7

图8

图9

图10

图11

图12

图13

图14

图15

表1

表2

服务器虚拟化与移动终端虚拟化对比"

	服务器虚拟化	移动终端虚拟化	对安全的影响/差异
使用目的	资源复用为主	安全隔离为主	为增强安全隔离效果，可部分牺牲资源使用效率
使用场景	多用户、多系统；对外提供服务	个人化、双/多系统	移动终端使用者、场景固定，双/多系统安全需求存在差异，可根据使用场景进行资源分配、安全增强；可用性要求相对低
设备及虚拟机管理	内部管理员统一管理，可获取虚拟机快照、绕过虚拟机安全防护机制	一般不提供对虚拟机文件管理；提供系统更新、设备调试等管理接口	服务器虚拟机文件备份、恢复存在数据泄露、篡改甚至镜像文件替换的风险，需采取机制防范管理风险；移动终端虚拟化存在远程升级、终端调试风险
虚拟机使用	动态创建、使用和回收	虚拟机固定安装	服务器虚拟化中，攻击者可通过在同一物理机上新建虚拟机实施各类攻击，如侧信道攻击；移动终端不能新创建虚拟机，但仍可能通过其中一台虚拟机攻击另一台
虚拟机通信	作为服务器，具有强通信需求	仅作为通信客户端；虚拟机间一般不需建立网络连接	移动终端虚拟化层的通信隔离相对简单
硬件设备	支持x86、x86_64、IA64、PowerPC、MIPS以及ARM等架构	ARM架构	安全特性受硬件架构的影响；移动虚拟化可利用ARM TrustZone技术增强安全性
	服务器与存储系统间存在多种连接关系；存储设备隔离问题复杂	单一终端共用存储，采用FAT 格式的外部存储设备存在隔离问题	移动终端可针对应用场景进行存储设备的隔离，普通应用场景的安全性不降低
操作系统	支持Windows、UNIX/Linux等主流操作系统	目前主要支持 Linux 内核/Android系统	操作系统虚拟化可针对Android系统安全机制进行优化

表2

参考文献 6

[1]	中国互联网信息中心. 第40次《中国互联网络发展状况统计报告》[R/OL].(2017-08-04)[2017-10-20]. .
	CNNIC. Fortieth statistical report on the development of china internet network[R/OL].(2017-08-04)[2017-10-20]. .
[2]	360互联网安全中心. 《2017 年中国手机安全风险报告》[R/OL].(2017-05-12)[2017-10-20]. .
	360 Internet Security Center. 2017 China mobile phone safety risk report[R/OL].(2017-05-12)[2017-10-20]. .
[3]	全球平台. Global Platform 卡片规范[S/OL].(2017-04-10)[2017-10-20]. .
	Global Platform. Global Platform card specification[S/OL].(2017-04-10)[2017-10-20]. .
[4]	Security on ARM Trustzone. SoC and CPU system-wide approach to security[EB/OL].(2017-02-10)[2017-10-20]. .
[5]	Security in an ARMv8 System V1.0[EB/OL].(2017-03-17)[2017-10-20]. .
[6]	INTEGRITY Multivisor. Virtualization architecture for secure systems[EB/OL].(2017-10-02)[2017-11-20]. .

	类型		特点	典型技术/产品	优点	缺点
终端侧	基于硬件隔离		硬件分区	TrustZone、SIM/UIM/USIM等智能卡TEE	实现应用安全隔离；	需终端支持，定制或出厂支持；
	系统层虚拟化	平台虚拟化	Hypervisor+多内核	VMware MVP、OKL4、Red Bend/VLX、Citrix/Xen	可抵御内核级的攻击，安全性更高	技术门槛高；未标准化（除 TEE），不同厂商技术难以互通
	系统层虚拟化	操作系统虚拟化	内核+多用户空间	Android container、L4Android	可抵御内核级的攻击，安全性更高	技术门槛高；未标准化（除 TEE），不同厂商技术难以互通
	应用层虚拟化	安全沙箱	独立运行环境、数据隔离	MobileIron、McAfee安全容器	可适应不同终端、系统，支持范围广	难以防范内核攻击
	应用层虚拟化	编程语言虚拟化	Runtime+中间指令	Dalvik、ART	可适应不同终端、系统，支持范围广	难以防范内核攻击
平台侧	应用程序虚拟化		运行环境+应用进程	VMware ThinApp、Citrix XenApp		需平台支持
	虚拟移动设施		云端运行	Nubo
	桌面虚拟化		云端运行	VMware View、Citrix XenDesktop

[1]	刘爱华, 骆汉光, 温建中, 占治国. 面向多模态网络的隔离转发技术研究[J]. 电信科学, 2023, 39(6): 52-60.
[2]	唐鑫新, 曾学文, 凌致远, 宋磊. 可编程数据平面技术综述[J]. 电信科学, 2023, 39(4): 1-16.
[3]	乔稳, 王晓征, 孙震强, 任赣, 刘云新, 杨爱东, 王鹏, 王达, 叶晓舟, 欧阳晔. 下一代电信IT架构演进初探：业务功能虚拟化（BFV）[J]. 电信科学, 2022, 38(6): 143-155.
[4]	吴晓春, 洪晨, 张岳, 张俊楠, 周静静. 基于微服务架构的粒度可变服务功能链映射算法[J]. 电信科学, 2022, 38(12): 11-26.
[5]	张岳, 张俊楠, 吴晓春, 洪晨, 周静静. 基于改进灰狼优化算法的服务功能链映射算法[J]. 电信科学, 2022, 38(11): 57-72.
[6]	张学智, 赵婧博, 赵慧杰. 5G行业无线专网技术与业务需求模型[J]. 电信科学, 2021, 37(8): 96-104.
[7]	全硕, 王旭亮, 朱泽亚. 5G+时代的软件定义安全技术架构研究与实践[J]. 电信科学, 2021, 37(12): 60-71.
[8]	谢景昭, 单炜, 肖畅, 马铁, 陈力, 虞红芳, 孙罡. Klonet：面向技术创新的网络模拟实验平台[J]. 电信科学, 2021, 37(10): 66-75.
[9]	侯慧芳,李雪芳,潘洁,丁志刚. 5G承载网数据采集和安全管控演进思路[J]. 电信科学, 2020, 36(9): 154-159.
[10]	雷波,王江龙,赵倩颖,余勇志,杨明川. 基于计算、存储、传送资源融合化的新型网络虚拟化架构[J]. 电信科学, 2020, 36(7): 42-54.
[11]	曹畅,张帅,刘莹,唐雄燕. 基于通信云和承载网协同的算力网络编排技术[J]. 电信科学, 2020, 36(7): 55-62.
[12]	马栋捷,金成强,陈园,陈铁明. GreyFan：一种Wi-Fi隐蔽信道攻击框架[J]. 电信科学, 2019, 35(9): 85-97.
[13]	刘增义, 雷波, 杨明川. 人工智能在NFV中的应用[J]. 电信科学, 2019, 35(5): 1-8.
[14]	陈天骄,刘江,黄韬. 人工智能在网络编排系统中的应用[J]. 电信科学, 2019, 35(5): 9-16.
[15]	冯博昊,周华春. 移动边缘计算场景下网络服务灵活适配的解决方案[J]. 电信科学, 2019, 35(3): 18-24.

智能终端虚拟化及安全隔离技术

Virtualization and isolation technology in intelligent terminals

在线阅读

PDF下载

可视化

摘要/Abstract

引用本文

使用本文

图/表 17

参考文献 6

相关文章 15

Metrics

推荐阅读 0