当今世界,各类云服务层出不穷,各大互联网厂商纷纷推出了自己的云平台。但是随着云计算技术的普及,云平台的安全性也开始倍受人们争议。由于用户需要将自己的数据甚至隐私密钥上传至云端,或者在云端执行关键而隐私的任务,而在各种攻击方式层出不穷的今天,云端任务这些数据的安全性保证和关键任务的正确成功地执行保证成为了两大难题。由于虚拟机内核一般采用开源的Linux,其开源的特性和千万行代码量导致Linux系统不可避免存在漏洞,这些漏洞使得云环境上的任务执行更加不可靠,因为攻击者可能会利用这些漏洞攻击虚拟机的内核,甚至攻击到宿主机和其他虚拟机,或者篡改一些关键数据。针对以上问题,本文利用硬件和虚拟化扩展,实现了云上虚拟机内任务执行安全性和数据安全性的保障策略。在虚拟机任务执行安全性方面,虽然Linux有了页表保护,但是页表本身并未受到保护,因此其无法有效地虚拟机内部任务有效地执行。本文在研究了Intel x86架构下硬件机制和页表权限,分析总结了三种保护虚拟机安全性的架构,包括一阶段页表权限保护,二阶段页表权限保护,以及一二阶段综合的权限保护。本文发现二阶段页表权限在一定程度上依赖于一阶段页表,由此归纳了一些硬件设计上的不足,并设计对页表保护的权限位控制,使用Hypervisor保护虚拟机页表,并使用VMFUNC的机制加速了页表修改过程,消除了内核修改页表导致下陷的开销。随后本文通过实验证明基于VMFUNC的MIX-PT架构比基于Hypercall实现的架构性能更优,具体表现为在进程创建相关测试中提高30%左右。攻击者除了针对云环境下虚拟机任务的执行,还可能对任务的数据进行攻击,这些数据中包含了个人信息,密钥等重要内容。本文利用了SPP硬件机制,在Linux和KVM上实现了一套基于SPP硬件的数据保护,在虚拟机中可以通过系统调用,为一段内存使用SPP硬件机制。此外,由于SPP机制是针对128字节为单位的保护,相比于4K字节,前者在更细粒度上提供了写保护。但是测试结果发现,硬件上的SPP机制由于增加了额外一层页表,其开销也不可避免地增加,且额外的开销大约是没有SPP保护时候的300倍,但是由于SPP机制只是用于保护一些少量的关键数据,因此在安全性与性能的开销折中上,SPP还是值得考虑的。