1.引言
云計(jì)算(Cloud Computing)通過(guò)互聯(lián)網(wǎng)和虛擬化技術(shù)將分散的信息、軟硬件平臺(tái)等資源和服務(wù)集中共享，并根據(jù)需求以動(dòng)態(tài)伸縮的方式向用戶提供服務(wù)，而用戶通過(guò)終端特別是移動(dòng)終端向服務(wù)商獲取資源。
云計(jì)算在硬件和操作系統(tǒng)的基礎(chǔ)設(shè)施之上，形成包括管理軟件、虛擬化組件和云計(jì)算管理系統(tǒng)等系統(tǒng)和管理平臺(tái)，并在此基礎(chǔ)上提供各種虛擬機(jī)，開(kāi)展具體的云計(jì)算使用服務(wù)，同時(shí)實(shí)現(xiàn)對(duì)計(jì)算資源的動(dòng)態(tài)分配叫。根據(jù)其資源所在的層次，云計(jì)算服務(wù)相應(yīng)地分為三類，即：基礎(chǔ)設(shè)施即服務(wù)(Infrustructure as a Service，IaaS)，平臺(tái)即服務(wù)(Platform as a Service，PaaS)，軟件即服務(wù)(Software as a Service，SaaS)。其中，IaaS提供計(jì)算資源的服務(wù)，主要表現(xiàn)為存儲(chǔ)與計(jì)算，如亞馬遜的EC2；PaaS提供實(shí)施開(kāi)發(fā)的平臺(tái)環(huán)境和能力，如Google的APP Engine；SaaS提供云計(jì)算基礎(chǔ)之上的各種應(yīng)用，如Facebook、網(wǎng)頁(yè)游戲等。
在享受云計(jì)算提供便利服務(wù)的同時(shí)，云計(jì)算帶來(lái)的安全隱患也不容忽視。
當(dāng)前在信息系統(tǒng)的各個(gè)環(huán)節(jié)均有一些保護(hù)方案，比如針對(duì)軟件應(yīng)用的360安全衛(wèi)士等。但是云計(jì)算安全指云環(huán)境下數(shù)據(jù)與應(yīng)用的安全保護(hù)，需要關(guān)注云計(jì)算環(huán)境中各個(gè)環(huán)節(jié)的信息與運(yùn)作的保護(hù)，是一個(gè)范圍較廣的概念，孤立的研究單個(gè)環(huán)節(jié)如終端、平臺(tái)等的保護(hù)并不能實(shí)現(xiàn)系統(tǒng)的信息與操作的安全保護(hù)。
常見(jiàn)的基于瀏覽器的電腦殺毒軟件可看作是一種云計(jì)算安全服務(wù)的雛形。除了對(duì)操作系統(tǒng)與應(yīng)用的操作保護(hù)，在網(wǎng)絡(luò)環(huán)境中對(duì)數(shù)據(jù)、信息與應(yīng)用的加密分發(fā)、共享和存儲(chǔ)等也需要以云計(jì)算服務(wù)的方式提供。此外，云計(jì)算時(shí)代，大數(shù)據(jù)中有效信息的分解跟蹤也可以加密服務(wù)的形式實(shí)現(xiàn)。以上與網(wǎng)絡(luò)與信息安全相關(guān)的服務(wù)在目前的云計(jì)算框架下很難實(shí)現(xiàn)，需要重新定義內(nèi)嵌加密功能的網(wǎng)絡(luò)架構(gòu)來(lái)實(shí)現(xiàn)云計(jì)算的安全服務(wù)，即密云計(jì)算。
2.密云計(jì)算
密云計(jì)算是一種新型的安全云計(jì)算架構(gòu)，它首先需從系統(tǒng)層次上提供對(duì)信息安全保護(hù)，同時(shí)也能夠讓用戶方便準(zhǔn)確地獲得計(jì)算資源與服務(wù)。在密云計(jì)算環(huán)境下，任何的交互均在保密的環(huán)境下實(shí)現(xiàn)，數(shù)據(jù)的處理與傳輸也都通過(guò)加密解密方式進(jìn)行的。加密技術(shù)是實(shí)現(xiàn)數(shù)據(jù)安全與保護(hù)的重要手段，因此，可靠的密鑰體系對(duì)實(shí)現(xiàn)數(shù)據(jù)的認(rèn)證與保護(hù)發(fā)揮著不可或缺的作用。
2.1 密即服務(wù)
在密云計(jì)算環(huán)境下，加密解密天然地集成于密云環(huán)境，作為一種服務(wù)提供給用戶，實(shí)現(xiàn)可伸縮的數(shù)據(jù)與信息交流的安全。比如，在用戶訪問(wèn)云端的郵件服務(wù)時(shí)，用戶終端的密鑰與服務(wù)端的密鑰進(jìn)行交互認(rèn)證，云服務(wù)器自動(dòng)提供加密的通道與數(shù)據(jù)加密服務(wù)給請(qǐng)求者。另一方而，在云端的郵件信息則是通過(guò)服務(wù)器對(duì)用戶的密鑰進(jìn)行加/解密。服務(wù)器本身提供的是加/解密服務(wù)，在用戶或其他實(shí)體密鑰缺失的情況下，不能對(duì)相應(yīng)的數(shù)據(jù)進(jìn)行處理和保存。這種服務(wù)不僅僅是軟件平臺(tái)和架構(gòu)服務(wù)，也是將認(rèn)證與加/解密有機(jī)結(jié)合，形成密云系統(tǒng)中的“密服務(wù)”(Crypto Service)提供給用戶。密云服務(wù)可根據(jù)客戶需求由云端提供，它可以包括對(duì)數(shù)據(jù)的加密、對(duì)用戶操作的加密，甚至是對(duì)用戶自身存在的加密，從而形成了密云環(huán)境下的“密即服務(wù)”( Crypto as a Service，CaaS)。
2.2 密云服務(wù)的特點(diǎn)
網(wǎng)絡(luò)環(huán)境下的基本密服務(wù)包括用戶認(rèn)證與信息加解密。用戶認(rèn)證是在數(shù)據(jù)交互時(shí)，用戶對(duì)參與方身份真實(shí)性的確定和對(duì)自身身份真實(shí)性的保證。密云體系中，可以非對(duì)稱密碼方法實(shí)現(xiàn)這一功能。密云中所有的實(shí)體均以分配的私鑰作為身份認(rèn)證的標(biāo)識(shí)，從構(gòu)建云計(jì)算基礎(chǔ)架構(gòu)的各單元到形成云平臺(tái)的各個(gè)環(huán)節(jié)，以及實(shí)現(xiàn)具體云服務(wù)的虛擬化硬件功能，都有各自的密鑰標(biāo)識(shí)。不但如此，在云計(jì)算的結(jié)構(gòu)基礎(chǔ)設(shè)施上所產(chǎn)生的各種事件也分配唯一的密鑰，可以實(shí)現(xiàn)對(duì)事件本身的簽名認(rèn)證。在密服務(wù)中，參與操作的各方以自己的私鑰來(lái)對(duì)自身操作與處理數(shù)據(jù)的可靠性提供保障，通過(guò)公私鑰配合實(shí)現(xiàn)數(shù)信息的保密傳遞加密。此外還可以進(jìn)一步衍生出信息溯源、數(shù)據(jù)歸集等多種密服務(wù)。結(jié)合上述服務(wù)，密云體系可以從結(jié)構(gòu)上保證信息及交互的安全性與可信性。
為實(shí)現(xiàn)這樣的服務(wù)，密云計(jì)算采用的密鑰技術(shù)需要滿足如下要求。首先，這種密鑰技術(shù)應(yīng)該能夠?qū)υ朴?jì)算設(shè)計(jì)的各個(gè)單元要素進(jìn)行認(rèn)證。其次它能夠?qū)崿F(xiàn)對(duì)各個(gè)要素的加解密，不僅可以在數(shù)據(jù)層次上加/解密，還應(yīng)該可以在云計(jì)算的各個(gè)要素，包括：基礎(chǔ)架構(gòu)、平臺(tái)和軟件上進(jìn)行加解密。尤其重要的是，體系中的公鑰獲取應(yīng)該是不依賴于第三方的自認(rèn)證密鑰。當(dāng)前的非對(duì)稱體系如PKI等并不完全適用。在自認(rèn)證的密鑰體系下，用戶與云端可以以內(nèi)在的方式建立互信，而不用擔(dān)心非認(rèn)證用戶的入侵或第三方的劫持，從而減少了云計(jì)算安全的隱患。
3.自認(rèn)證密鑰及其在密云計(jì)算的實(shí)現(xiàn)
3.1 非對(duì)稱密鑰體系
在網(wǎng)絡(luò)環(huán)境中，非對(duì)稱的加密方式被證明是一種有效的信息保護(hù)手段。在非對(duì)稱密鑰體系下，用戶采用公私鑰對(duì)的形式進(jìn)行數(shù)據(jù)的認(rèn)證和加密：發(fā)送方可通過(guò)私鑰對(duì)發(fā)送數(shù)據(jù)進(jìn)行加密，而接收方可利用發(fā)送方的公鑰進(jìn)行解密，從而達(dá)到數(shù)據(jù)認(rèn)證傳送的目的；在認(rèn)證的基礎(chǔ)上，發(fā)送方可用接收方的公鑰對(duì)傳送數(shù)據(jù)進(jìn)行加密，而接收方可用其自身的私鑰對(duì)接收數(shù)據(jù)進(jìn)行解密，從而達(dá)到數(shù)據(jù)加密傳輸?shù)哪康摹?/p>
目前主流的非對(duì)稱密鑰應(yīng)用基于PKI體系，而PKI體系中的公鑰獲取與認(rèn)證均借助第三方認(rèn)證中心和在線數(shù)據(jù)庫(kù)的支持，公鑰的傳遞同樣也會(huì)占用大量的網(wǎng)絡(luò)資源困。在云計(jì)算的應(yīng)用中，存在著海量的數(shù)據(jù)交換和認(rèn)證事件，從而對(duì)CA(Certificate Authorny)即認(rèn)證中心的響應(yīng)也提出了更高的要求。另一方而，PKI體系將密鑰集中保存，但認(rèn)證中心一旦被破壞，將影響整個(gè)系統(tǒng)的安全。隨著云計(jì)算應(yīng)用規(guī)模的擴(kuò)大，基于PKI的密鑰體系，在實(shí)際應(yīng)用中將會(huì)受到很大的限制。
3.2 自認(rèn)證密鑰體系及基本操作
自認(rèn)證密鑰是一類特殊的非對(duì)稱密鑰體系，其公鑰獲取與認(rèn)證完全在本地進(jìn)行，不依賴于第三方，如認(rèn)證中心(Certificate Authority，CA)這樣的機(jī)構(gòu)。在信息交互時(shí)，發(fā)送方與接收方均可以根據(jù)對(duì)方提供的公開(kāi)標(biāo)識(shí)來(lái)自行確定相應(yīng)的公鑰，并對(duì)對(duì)方的私鑰簽名進(jìn)行驗(yàn)證；另外，用戶可根據(jù)任意其他用戶的公開(kāi)標(biāo)識(shí)確定其公鑰，利用該用戶的公鑰對(duì)數(shù)據(jù)進(jìn)行加密和傳輸，從而實(shí)現(xiàn)了與特定用戶之間的數(shù)據(jù)交互與共享。這些過(guò)程中，公鑰的獲得由參與操作各方獨(dú)自實(shí)現(xiàn)，減少了網(wǎng)絡(luò)資源消耗，提高了數(shù)據(jù)加密與認(rèn)證的安全性。
3.2.1自認(rèn)證密鑰分發(fā)
自認(rèn)證密鑰體系最重要一環(huán)是密鑰的產(chǎn)生與發(fā)放，其實(shí)現(xiàn)具有多種形式，兩種常用的形式如下：在小規(guī)模的應(yīng)用情況下，可以將公鑰數(shù)據(jù)庫(kù)打包分發(fā)給每一個(gè)用戶，這樣用戶與其他用戶進(jìn)行加密操作時(shí)，可以自行地通過(guò)本地的數(shù)據(jù)庫(kù)來(lái)查詢對(duì)應(yīng)用戶的公鑰，完成其操作；而在應(yīng)用規(guī)模較大的情況下，可以采用密鑰生成函數(shù)的形式來(lái)實(shí)現(xiàn)，即輸入用戶公開(kāi)標(biāo)識(shí)通過(guò)本地函數(shù)即時(shí)產(chǎn)生公鑰，如組合公鑰方法。
以組合公鑰方法為例，自認(rèn)證密鑰體系密鑰分發(fā)如圖1所示。申請(qǐng)密鑰的實(shí)體將其唯一標(biāo)識(shí)ID傳遞給密鑰產(chǎn)生中心(Key Veneration Center，KVC)，KVC對(duì)其ID信息進(jìn)行某種變換，即圖1中對(duì)應(yīng)的私鑰矩陣可產(chǎn)生用戶的私鑰。密鑰產(chǎn)生中心在向?qū)嶓w傳遞其私鑰的同時(shí)，還將體系的公鑰矩陣傳遞給實(shí)體。這樣用戶在己知其他用戶唯一標(biāo)識(shí)信息的情況下，就可以通過(guò)公鑰矩陣生成其公鑰，即公鑰的獲取不依賴于第三方，實(shí)現(xiàn)了自認(rèn)證的過(guò)程。
圖1 自認(rèn)證密鑰體系結(jié)構(gòu)圖
3.2.2身份認(rèn)證
自認(rèn)證體系的身份認(rèn)證不需要第三方參與，僅在交互雙方進(jìn)行。具體實(shí)現(xiàn)過(guò)程如下：
(1)用戶Alice利用其私鑰及標(biāo)識(shí)ID對(duì)信息進(jìn)行加密，形成具有用戶Alice簽名的信息，即簽名碼；
(2)通過(guò)網(wǎng)絡(luò)環(huán)境，將Alice的簽名碼傳遞給用戶Bob，Bob根據(jù)Alice公開(kāi)標(biāo)識(shí)唯一ID查詢其公鑰，利用公鑰完成簽名碼的認(rèn)證過(guò)程；
(3)認(rèn)證器若能恢復(fù)出信息m，則認(rèn)證成功；否則認(rèn)證失敗。
圖2中給出了一種實(shí)現(xiàn)的流程圖。注意其過(guò)程在認(rèn)證參與雙方進(jìn)行，無(wú)第三方參與。
圖2 基于自認(rèn)證非對(duì)稱密鑰體系的數(shù)據(jù)認(rèn)證過(guò)程
3.2.3數(shù)據(jù)加密與交換
由于對(duì)稱加密方法數(shù)據(jù)處理速度快，自認(rèn)證密鑰體系下的大數(shù)據(jù)加密可采用非對(duì)稱與對(duì)稱方法結(jié)合的形式，與傳統(tǒng)實(shí)現(xiàn)類似。具體的流程如圖3所示。
圖3 數(shù)據(jù)加密傳輸過(guò)程
(1)加密過(guò)程：①用戶Alice利用對(duì)稱密碼將數(shù)據(jù)Data，通過(guò)對(duì)稱加密器將數(shù)據(jù)進(jìn)行加密，形成加密的數(shù)據(jù)；②用戶Alice根據(jù)用戶Bob的唯一標(biāo)識(shí)ID利用KMC分發(fā)的公鑰生成器產(chǎn)生用戶Bob的公鑰；③利用Bob的公鑰，通過(guò)非對(duì)稱加密器將對(duì)稱密碼進(jìn)行加密，形成加密的密碼；①發(fā)送加密的密碼與加密的數(shù)據(jù)。
(2)解密過(guò)程：①用戶Bob接收到加密數(shù)據(jù)集；Bob利用自身的私鑰通過(guò)密碼解密器對(duì)接收到的加密密碼進(jìn)行解密，得到解密的密碼；②Bob利用解密后的密碼通過(guò)數(shù)據(jù)解密器對(duì)加密的數(shù)據(jù)進(jìn)行解密，獲得明文數(shù)據(jù)。
3.3 密云計(jì)算中的擴(kuò)展服務(wù)
在上述基本操作的基礎(chǔ)上，可進(jìn)一步衍生出用于密云計(jì)算更加完備的服務(wù)，如信道保護(hù)、信息溯源、大數(shù)據(jù)中信息的歸集等。在密云計(jì)算環(huán)境中，傳輸信道自身也被授予唯一的密鑰標(biāo)識(shí)，可根據(jù)需求用自身私鑰對(duì)當(dāng)前傳輸數(shù)據(jù)簽名，實(shí)現(xiàn)對(duì)數(shù)據(jù)真實(shí)性的認(rèn)證，避免了信道劫持等不安全因素。對(duì)于重要信息，發(fā)送者和經(jīng)手者均需要簽名。通過(guò)對(duì)傳輸數(shù)據(jù)簽名的分析，可實(shí)現(xiàn)對(duì)信息的溯源。此外，網(wǎng)絡(luò)中任意的信息都可以密鑰為依據(jù)連接起來(lái)，用戶可在復(fù)雜的網(wǎng)絡(luò)大數(shù)據(jù)中方便地找到與自己相關(guān)的數(shù)據(jù)，即以密鑰實(shí)現(xiàn)信息的歸集。另一方而由于有標(biāo)識(shí)密鑰的保護(hù)，需要保護(hù)的信息不會(huì)被外界所破解。這一特性在網(wǎng)絡(luò)大數(shù)據(jù)時(shí)代尤為重要。
4.結(jié)束語(yǔ)
文中介紹了一種新型的安全云計(jì)算框架，即為基于自認(rèn)證密鑰的密云計(jì)算。這一框架可實(shí)現(xiàn)原生的云計(jì)算環(huán)境中數(shù)據(jù)的安全服務(wù)，即“密即服務(wù)”，為云計(jì)算數(shù)據(jù)安全共享傳輸提供了有力地保證。本文的密云計(jì)算構(gòu)建于自認(rèn)證非對(duì)稱密鑰技術(shù)。這樣密服務(wù)的實(shí)現(xiàn)，包括用戶與服務(wù)器云端、用戶與用戶間的操作可真正以點(diǎn)對(duì)點(diǎn)的方式建立互信。這一過(guò)程中，公鑰的獲取不需要類似CA認(rèn)證中心這樣的機(jī)構(gòu)，而是通過(guò)本地?cái)?shù)據(jù)庫(kù)查詢或者自動(dòng)生成等方式獲得，從而在提高網(wǎng)絡(luò)資源應(yīng)用效率的同時(shí)，更是降低了非認(rèn)證用戶的入侵或第三方劫持的可能性。基于自認(rèn)證的密云計(jì)算除了網(wǎng)絡(luò)安全的優(yōu)勢(shì)，其基于標(biāo)識(shí)密鑰的數(shù)據(jù)標(biāo)定方式還可以實(shí)現(xiàn)在大數(shù)據(jù)中準(zhǔn)確的獲取有效信息，方便實(shí)現(xiàn)信息歸集和溯源，實(shí)現(xiàn)網(wǎng)絡(luò)大數(shù)據(jù)的高效處理。
核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://m.hanmeixuan.com/
本文標(biāo)題：基于自認(rèn)證密鑰的安全云計(jì)算
本文網(wǎng)址：http://m.hanmeixuan.com/html/consultation/10839515627.html
相關(guān)文章
