(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111645208.5 (22)申请日 2021.12.3 0 (71)申请人 天翼物联科技有限公司 地址 210000 江苏省南京市秦淮区中山 南 路501号1101室 (72)发明人 陈天　黄勇军　陈楠　吴斯栋　 王雪艳　林睦楷　 (74)专利代理 机构 深圳市精英专利事务所 44242 代理人 武志峰 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种基于SGX的网络云安全优化方法、 系统 及相关介质 (57)摘要 本发明公开了一种基于SGX的网络云安全优 化方法、 装置及相关介质， 该方法包括： 对虚拟网 络功能描述符进行解析， 得到虚拟网络功能组件 的相关配置； 搭建虚拟主机和多个与所述虚拟网 络组件相互映射的SGX飞地； 对每一SGX飞地的可 信度进行本地认证， 并为每一SGX飞地设置认证 密钥； 基于认证密钥获取SGX飞地与虚拟网络功 能组件的映射关系； 当多个SGX 飞地中的第一SGX 飞地向第二SGX 飞地发起交互请求时， 对第一SGX 飞地和第二SGX飞地分配会话密钥； 根据映射关 系对所述第一SGX飞地和第二SGX飞地进行身份 认证， 并在身份认证通过后根据会话密钥进行数 据交互。 本发 明可解决飞地单点故障和资源受限 的问题， 实现对大型网元的支持， 以及对SGX进行 优化以提高可靠性。 权利要求书2页 说明书7页 附图4页 CN 114268507 A 2022.04.01 CN 114268507 A 1.一种基于SGX的网络云安全 优化方法， 其特 征在于， 包括： 通过虚拟网络功能管理器对虚拟网络功能描述符进行解析， 得到虚拟网络功能组件的 相关配置； 基于所述虚拟网络功能组件的相关配置， 利用虚拟基础设施管理器搭建虚拟主机和多 个与所述虚拟网络组件相互映射的SGX飞地； 对每一SGX飞地的可信度进行本地认证， 并为每一SGX飞地设置认证密钥； 基于所述认证密钥获取SGX飞地与虚拟网络功能组件的映射关系； 当多个SGX飞地 中的第一SGX飞地向第二SGX飞地发起交互请求时， 对所述第一S GX飞地 和第二SGX飞地分配会话密钥； 根据所述映射关系对所述第一SGX飞地和第二S GX飞地进行身份认证， 并在身份认证通 过后根据所述会话密钥进行 数据密封或者 解封， 以及数据交 互。 2.根据权利要求1所述的基于SGX的网络云安全优化方法， 其特征在于， 所述通过虚拟 网络功能管理器对虚拟网络功能描述符进行解析， 得到虚拟网络功能组件的相关配置， 包 括： 通过虚拟网络功能管理器对虚拟网络功能描述符进行解析， 明确普通虚拟网络功能组 件的相关配置和受保护虚拟网络功能组件的相关配置 。 3.根据权利要求2所述的基于SGX的网络云安全优化方法， 其特征在于， 所述基于所述 虚拟网络功能组件的相关配置， 利用虚拟基础设施管理器搭建虚拟主机和多个与所述虚拟 网络组件相互映射的SGX飞地， 包括： 根据所述受保护虚拟网络功能组件的数量， 利用虚拟基础 设施管理器搭建数量相同的 SGX飞地， 并使所述受保护虚拟网络功能组件与所述SGX飞地相互之间一 一映射。 4.根据权利要求3所述的基于SGX的网络云安全优化方法， 其特征在于， 所述基于所述 认证密钥获取SGX飞地与虚拟网络功能组件的映射关系， 包括： 基于所述认证密钥获取SGX飞地与受保护虚拟网络功能组件的映射关系。 5.根据权利要求1所述的基于SGX的网络云安全优化方法， 其特征在于， 所述根据所述 映射关系对所述第一SGX飞地和第二SGX飞地进行身份认证， 包括： 基于哈希算法对 对所述第一SGX飞地和第二SGX飞地进行身份认证。 6.根据权利要求5所述的基于SGX的网络云安全优化方法， 其特征在于， 所述基于哈希 算法对对所述第一SGX飞地和第二SGX飞地进行身份认证， 包括： 分别对所述第一SGX飞地和第二SGX飞地进行哈希计算， 得到所述第一SGX飞地的第一 身份认证值和所述第二SGX飞地的第二身份认证值； 基于所述映射关系， 分别获取所述第一SGX飞地和第二SGX飞地各自对应的第一虚拟网 络功能组件和第二虚拟网络功能组件； 分别对所述第 一虚拟网络功能组件和第 二虚拟网络功能组件进行哈希计算， 得到所述 第一虚拟网络功 能组件的第一映射身份认证值和所述第二虚拟网络功 能组件的第二映射 身份认证值。 7.根据权利要求6所述的基于SGX的网络云安全优化方法， 其特征在于， 所述基于哈希 算法对对所述第一SGX飞地和第二SGX飞地进行身份认证， 还 包括： 当所述第一身份认证值和第一映射身份认证值相等且所述第二身份认证值和第二映权　利　要　求　书 1/2 页 2 CN 114268507 A 2射身份认证值相等时， 则判定身份认证通过； 当所述第一身份认证值和第 一映射身份认证值不相等和/或所述第 二身份认证值和第 二映射身份认证值 不相等时， 则判定身份认证未通过； 将所述第一SGX飞地和第二SGX飞地各自对应的身份认证结果反馈 至对方。 8.一种基于SGX的网络云安全 优化装置， 其特 征在于， 包括： 解析单元， 用于通过虚拟网络功能管理器对虚拟网络功能描述符进行解析， 得到虚拟 网络功能组件的相关配置； 搭建单元， 用于基于所述虚拟网络功能组件的相关配置， 利用虚拟基础设施管理器搭 建虚拟主机和多个与所述虚拟网络组件相互映射的SGX飞地； 认证密钥设置单元， 用于对每一SGX飞地的可信度进行本地认证， 并为每一SGX飞地设 置认证密钥； 第一获取 单元， 用于基于所述认证密钥获取SGX飞地与虚拟网络功能组件的映射关系； 会话密钥分配单元， 用于当多个SGX飞地中的第一SGX飞地向第二SGX飞地发起交互请 求时， 对所述第一SGX飞地和第二SGX飞地分配会话密钥； 身份认证单元， 用于根据所述映射关系对所述第一S GX飞地和第二SGX飞地进行身份认 证， 并在身份认证通过后根据所述会话密钥进行 数据密封或者 解封， 以及数据交 互。 9.一种计算机设备， 其特征在于， 包括存储器、 处理器及存储在所述存储器上并可在所 述处理器上运行的计算机程序， 所述处理器执行所述计算机程序时实现如权利要求 1至7任 一项所述的基于SGX的网络云安全 优化方法。 10.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质上存储有计算机 程序， 所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的基于SGX的网络 云安全优化方法。权　利　要　求　书 2/2 页 3 CN 114268507 A 3