述第二随机数N2是否与初始生成的所述第二随机数N2是否一致，若一致，确定所述虚拟机通过认证。
[0230]本实施例的装置，可以用于执行图1所示方法实施例或图4所示方法实施例中云终端对应执行的技术方案，具备相应的功能模块，其实现原理类似，此处不再赘述。
[0231]本实施例的装置，主机的身份认证模块获取所述云终端对应的虚拟机的第二密钥K2，根据所述第二密钥K2和所述第一密钥Kl获得第一组合密钥，并采用所述第一组合密钥对第一随机数NI进行加密后，判断云终端是否能够将该第一随机数NI正确地解密，从而确定所述云终端是否通过认证；云终端根据所述第二密钥K2和自身保存的所述第一密钥Kl获得第二组合密钥，并采用所述第二组合密钥对第二随机数N2进行加密后，判断主机的身份认证模块是否能够将该第二随机数N2正确地解密，从而确定所述第二密钥K2对应的虚拟机是否通过认证；从而实现了 VM与云终端所代表的用户之间的双认证；并且，由于第一密钥Kl和第二密钥K2分别来自于云终端和主机，且需要配合使用才能对第一随机数NI以及第二随机数N2进行解密，因此，进一步提高了本实施例的身份认证方法抗攻击能力和安全性。
[0232]图6为本发明云终端实施例二的结构示意图，本实施例的云终端600在上述实施例的基础上，进一步增加了一些模块以使云计算环境下的身份认证系统的云终端配置方案更为完善。如图6所示，本实施例的装置还可以包括:云认证服务器认证模块504和选择模块505，其中，
[0233]云认证服务器认证模块504，可以用于向云认证服务器发送认证请求；
[0234]选择模块505，可以用于当认证通过时，云终端接收云认证服务器发送的虚拟机列表，并选择一个虚拟机；
[0235]所述发送模块501还可以用于，向所述云认证服务器发送登录所选择的虚拟机的请求，以使云管理服务器将所述选择的虚拟机的镜像下发到所述主机，并将所述选择的虚拟机对应的第二密钥K2通过安全通道迁移到所述主机中。
[0236]进一步地，所述云认证服务器认证模块504具体可以用于:
[0237]所述云终端向所述云认证服务器发送用户口令；和\或，
[0238]所述云终端提示用户插入智能卡，并将所述智能卡中的签名信息和所述智能卡的公钥数字证书发送给云认证服务器。
[0239]进一步地，所述发送模块501还可以用于:
[0240]在向主机的身份认证模块发送智能卡中的第一密钥Kl之前，向所述主机上的虚拟机发送登录请求，以使所述虚拟机将所述登录请求转发给所述主机的身份认证模块。
[0241]进一步地，所述发送模块501还可以用于:
[0242]在向主机的身份认证模块发送智能卡中的第一密钥Kl之前，向所述主机上的虚拟机发送登录请求，以使所述主机捕获所述登录请求，并将所述登录请求转发给所述主机的身份认证模块。
[0243]进一步地，所述发送模块501还可以用于:
[0244]在所述处理模块503确定所述第二密钥K2对应的虚拟机通过认证之后，向所述主机发送所述第二密钥K2对应的虚拟机通过认证的消息，以使所述主机采用所述第一组合密钥解密所述虚拟机镜像后，启动所述虚拟机。
[0245]进一步地，所述发送模块501还可以用于:
[0246]在所述发送模块向所述主机发送所述第二密钥K2对应的虚拟机通过认证的消息，以使所述主机采用所述第一组合密钥解密所述虚拟机镜像后，启动所述虚拟机之后，向所述主机发送关闭所述虚拟机的请求，以使所述主机采用所述第一组合密钥加密所述虚拟机镜像后，关闭所述虚拟机。
[0247]进一步地，所述第一密钥Kl和所述第二密钥K2均为对称密钥。
[0248]本实施例的云终端，可以用于执行本发明任意方法实施例中对应云终端执行的技术方案，具备相应的功能模块，其实现原理和技术效果类似，此处不再赘述。
[0249]图7为本发明主机实施例一的结构示意图，如图7所示，本实施例的主机700可以包括:身份认证模块701和虚拟机管理VMM层702，其中，所述身份认证模块701可以包括:
[0250]接收单元7011，可以用于接收云终端发送第一密钥Kl，所述第一密钥Kl由所述云终端的智能卡产生；
[0251]处理单元7012，可以用于获取所述云终端对应的虚拟机的第二密钥K2，根据所述第二密钥Κ2和所述第一密钥Kl获得第一组合密钥，生成第一随机数NI，并采用所述第一组合密钥加密所述第一随机数NI ；
[0252]发送单元7013，可以用于向所述云终端发送经过所述第一组合密钥加密的所述第一随机数NI和所述第二秘钥Κ2 ；
[0253]所述接收单元7011，还可以用于接收所述云终端采用第二组合密钥解密所述加密的第一随机数N1、并采用所述第二组合密钥对第一随机数NI进行再次加密后发送所述第一随机数NI和经过所述第二组合密钥加密的第二随机数Ν2 ;其中，所述第二组合秘钥为所述云终端根据所述第二密钥Κ2和自身保存的所述第一密钥Kl获得的；
[0254]所述处理单元7012，还可以用于采用所述第一组合密钥解密所述云终端发送的再次加密的第一随机数NI，，确定解密得到的所述第一随机数NI是否与初始生成的所述第一随机数NI是否一致，若一致，确定所述云终端通过认证；
[0255]所述处理单元7012，还可以用于根据所述第一组合密钥解密所述加密的第二随机数Ν2，并采用所述第一组合密钥对第二随机数Ν2进行再次加密；
[0256]所述发送单元7013，还可以用于当所述处理单元确定所述云终端通过认证时，向所述云终端发送经过所述第一组合密钥再次加密的所述第二随机数Ν2，以使所述云终端根据第二组合密钥解密所述再次加密的第二随机数Ν2，确定解密得到的所述第二随机数Ν2是否与初始生成的所述第二随机数Ν2是否一致，若一致，确定所述虚拟机通过认证。
[0257]本实施例的主机，可以用于执行图3所示方法实施例或图4所示方法实施例中主机对应执行的技术方案，具备相应的功能模块，其实现原理类似，此处不再赘述。
[0258]本实施例，主机的身份认证模块获取所述云终端对应的虚拟机的第二密钥Κ2，根据所述第二密钥Κ2和所述第一密钥Kl获得第一组合密钥，并采用所述第一组合密钥对第一随机数NI进行加密后，判断云终端是否能够将该第一随机数NI正确地解密，从而确定所述云终端是否通过认证；云终端根据所述第二密钥Κ2和自身保存的所述第一密钥Kl获得第二组合密钥，并采用所述第二组合密钥对第二随机数Ν2进行加密后，判断主机的身份认证模块是否能够将该第二随机数Ν2正确地解密，从而确定所述第二密钥Κ2对应的虚拟机是否通过认证；从而实现了 VM与云终端所代表的用户之间的双认证；并且，由于第一密钥Kl和第二密钥Κ2分别来自于云终端和主机，且需要配合使用才能对第一随机数NI以及第二随机数Ν2进行解密，因此，进一步提高了本实施例的身份认证方法抗攻击能力和安全性。
[0259]图8为本发明主机实施例二的结构示意图，本实施例的主机800在上述实施例的基础上，进一步增加了一些模块以使云计算环境下的身份认证系统的主机配置方案更为完善。如图8所示,本实施例的装置还可以包括:
[0260]虚拟机镜像接收模块703，可以用于接收云管理服务器在完成对所述云终端的认证之后根据所述云终端选择的虚拟机下发的虚拟机镜像；
[0261]密钥管理模块704，可以用于接收通过安全通道迁移的所述选择的虚拟机对应的第二密钥Κ2。
[0262]其中，虚拟机镜像接收模块703接收了虚拟机之后，主机上可以存储一个或多个虚拟机镜像，根据用户通过云终端的操作，也可以同时运行一个或多个虚拟机。
[0263]进一步地，针对VM启动后用户注销或者用户界面锁屏时，用户需要再次申请登录VM的场景，云终端与VM之间需要再次进行身份认证，因此主机还可以按照如下两种方式进行配置:
[0264]第一种方式，所述虚拟机镜像接收模块703所接收的虚拟机，可以用于在所述身份认证模块的接收单元接收云终端发送智能卡中的第一密钥Kl之前，接收所述云终端发送的登录请求；
[0265]所述虚拟机，还可以用于将所述登录请求转发给所述身份认证模块。
[0266]具体地，可以在每个用户虚拟机中配置身份认证请求捕获模块，用于将所述登录请求转发给所述身份认证模块。
[0267]可选地，第二种方式，所述虚拟机镜像接收模块703所接收的虚拟机，可以用于在所述身份认证模块的接收单元接收云终端发送智能卡中的第一密钥Kl之前，接收所述云终端发送的登录请求；
[0268]所述主机的VMM层702，还用于捕获所述登录请求，并将所述登录请求转发给所述身份认证模块701。
[0269]其中，可以在所述VMM层702中配置身份认证请求捕获模块，用于捕获所述登录请求，并将所述登录请求转发给所述身份认证模块701。
[0270]更进一步地，所述接收单元7011，还可以用于接收所述云终端发送的所述K2对应的虚拟机通过认证的消息；
[0271]所述VMM层702，可以用于采用所述第一组合密钥解密所述虚拟机镜像，并启动所述虚拟机。
[0272]进一步地，所述VMM层702，还可以用于在所述VMM层采用所述第一组合密钥解密所述虚拟机镜像，并启动所述虚拟机之后，采用所述第一组合密钥加密所述虚拟机镜像，并关闭所述虚拟机。
[0273]进一步地，所述VMM层702，还用于根据虚拟机镜像的标志位确定所述虚拟机当前是否处于加密状态。
[0274]进一步地，所述第一密钥Kl和所述第二密钥K2均为对称密钥。
[0275]进一步地，所述主机还可以包括:身份认证和密钥管理域，所述身份认证和密钥管理域为虚拟机VM0，所述身份认证模块701和密钥管理模块704可以位于所述VMO中。
[0276]本实施例的云终端，可以用于执行本发明任意方法实施例中对应主机执行的技术方案，具备相应的功能模块，其实现原理和技术效果类似，此处不再赘述。
[0277]图9为本发明身份认证系统实施例一的结构示意图，如图9所示，本实施例的身份认证系统900可以包括:云管理服务器901、主机902和云终端903，其中，所述云终端903可以采用本发明任意实施例所述的云终端，所述主机可以采用本发明任意实施例所述的主机，所述云管理服务器与所述主机连接，用于管理虚拟机镜像和所述虚拟机对应的第二密钥K2。
[0278]本实施例的身份认证系统，主机的身份认证模块获取所述云终端对应的虚拟机的第二密钥K2，根据所述第二密钥K2和所述第一密钥Kl获得第一组合密钥，并采用所述第一组合密钥对第一随机数NI进行加密后，判断云终端是否能够将该第一随机数NI正确地解密，从而确定所述云终端是否通过认证；云终端根据所述第二密钥K2和自身保存的所述第一密钥Kl获得第二组合密钥，并采用所述第二组合密钥对第二随机数N2进行加密后，判断主机的身份认证模块是否能够将该第二随机数N2正确地解密，从而确定所述第二密钥K2对应的虚拟机是否通过认证；从而实现了 VM与云终端所代表的用户之间的双认证；并且，由于第一密钥Kl和第二密钥K2分别来自于云终端和主机，且需要配合使用才能对第一随机数NI以及第二随机数N2进行解密，因此，进一步提高了本实施例的身份认证方法抗攻击能力和安全性。
[0279]图10为本发明身份认证系统实施例二的结构示意图，本实施例的身份认证系统1000在上述实施例的基础上，进一步增加了一个与云管理服务器互相独立的云认证服务器，以使云计算环境下的身份认证系统的配置方案更为完善。如图10所示，所述身份认证系统还可以包括:云认证服务器904，所述云认证服务器904与所述云管理服务器901连接，并通过网络与所述云终端903远程连接，用于管理所述云终端901对应的智能卡和第一密钥K1，以及对云终端901进行身份认证。
[0280]本实施例的身份认证系统，由于包括了独立于云管理服务器的云认证服务器，云认证服务器上不会有与VM对应的第二密钥K2的信息，即云认证服务器的管理员(智能卡USB Key的管理员)无法获得第二密钥K2，从而可以防止云认证服务器的管理员在非授权的情况下登录并使用VM ;并且，由于云管理服务器上不会有与USB Key对应的第一密钥Kl的信息，即云管理服务器的管理员无法获得第一密钥K1，从而可以防止云管理服务器的管理员在非授权的情况下登录并使用VM。
[0281]本领域普通技术人员可以理解:实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括:R0M、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
[0282]最后应说明的是:以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解:其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。
【主权项】
1.一种身份认证方法，其特征在于，包括: 云终端向主机的身份认证模块发送第一密钥K1，所述第一密钥Kl由所述云终端的智能卡产生； 所述主机的身份认证模块获取所述云终端对应的虚拟机的第二密钥K2，根据所述第