1.引言

    云計算(Cloud Computing)通過互聯(lián)網(wǎng)和虛擬化技術將分散的信息、軟硬件平臺等資源和服務集中共享，并根據(jù)需求以動態(tài)伸縮的方式向用戶提供服務，而用戶通過終端特別是移動終端向服務商獲取資源。

    云計算在硬件和操作系統(tǒng)的基礎設施之上，形成包括管理軟件、虛擬化組件和云計算管理系統(tǒng)等系統(tǒng)和管理平臺，并在此基礎上提供各種虛擬機，開展具體的云計算使用服務，同時實現(xiàn)對計算資源的動態(tài)分配叫。根據(jù)其資源所在的層次，云計算服務相應地分為三類，即：基礎設施即服務(Infrustructure as a Service，IaaS)，平臺即服務(Platform as a Service，PaaS)，軟件即服務(Software as a Service，SaaS)。其中，IaaS提供計算資源的服務，主要表現(xiàn)為存儲與計算，如亞馬遜的EC2；PaaS提供實施開發(fā)的平臺環(huán)境和能力，如Google的APP Engine；SaaS提供云計算基礎之上的各種應用，如Facebook、網(wǎng)頁游戲等。

    在享受云計算提供便利服務的同時，云計算帶來的安全隱患也不容忽視。

    當前在信息系統(tǒng)的各個環(huán)節(jié)均有一些保護方案，比如針對軟件應用的360安全衛(wèi)士等。但是云計算安全指云環(huán)境下數(shù)據(jù)與應用的安全保護，需要關注云計算環(huán)境中各個環(huán)節(jié)的信息與運作的保護，是一個范圍較廣的概念，孤立的研究單個環(huán)節(jié)如終端、平臺等的保護并不能實現(xiàn)系統(tǒng)的信息與操作的安全保護。

    常見的基于瀏覽器的電腦殺毒軟件可看作是一種云計算安全服務的雛形。除了對操作系統(tǒng)與應用的操作保護，在網(wǎng)絡環(huán)境中對數(shù)據(jù)、信息與應用的加密分發(fā)、共享和存儲等也需要以云計算服務的方式提供。此外，云計算時代，大數(shù)據(jù)中有效信息的分解跟蹤也可以加密服務的形式實現(xiàn)。以上與網(wǎng)絡與信息安全相關的服務在目前的云計算框架下很難實現(xiàn)，需要重新定義內(nèi)嵌加密功能的網(wǎng)絡架構來實現(xiàn)云計算的安全服務，即密云計算。

    2.密云計算

    密云計算是一種新型的安全云計算架構，它首先需從系統(tǒng)層次上提供對信息安全保護，同時也能夠讓用戶方便準確地獲得計算資源與服務。在密云計算環(huán)境下，任何的交互均在保密的環(huán)境下實現(xiàn)，數(shù)據(jù)的處理與傳輸也都通過加密解密方式進行的。加密技術是實現(xiàn)數(shù)據(jù)安全與保護的重要手段，因此，可靠的密鑰體系對實現(xiàn)數(shù)據(jù)的認證與保護發(fā)揮著不可或缺的作用。

    2.1 密即服務

    在密云計算環(huán)境下，加密解密天然地集成于密云環(huán)境，作為一種服務提供給用戶，實現(xiàn)可伸縮的數(shù)據(jù)與信息交流的安全。比如，在用戶訪問云端的郵件服務時，用戶終端的密鑰與服務端的密鑰進行交互認證，云服務器自動提供加密的通道與數(shù)據(jù)加密服務給請求者。另一方而，在云端的郵件信息則是通過服務器對用戶的密鑰進行加/解密。服務器本身提供的是加/解密服務，在用戶或其他實體密鑰缺失的情況下，不能對相應的數(shù)據(jù)進行處理和保存。這種服務不僅僅是軟件平臺和架構服務，也是將認證與加/解密有機結合，形成密云系統(tǒng)中的“密服務”(Crypto Service)提供給用戶。密云服務可根據(jù)客戶需求由云端提供，它可以包括對數(shù)據(jù)的加密、對用戶操作的加密，甚至是對用戶自身存在的加密，從而形成了密云環(huán)境下的“密即服務”( Crypto as a Service，CaaS)。

    2.2 密云服務的特點

    網(wǎng)絡環(huán)境下的基本密服務包括用戶認證與信息加解密。用戶認證是在數(shù)據(jù)交互時，用戶對參與方身份真實性的確定和對自身身份真實性的保證。密云體系中，可以非對稱密碼方法實現(xiàn)這一功能。密云中所有的實體均以分配的私鑰作為身份認證的標識，從構建云計算基礎架構的各單元到形成云平臺的各個環(huán)節(jié)，以及實現(xiàn)具體云服務的虛擬化硬件功能，都有各自的密鑰標識。不但如此，在云計算的結構基礎設施上所產(chǎn)生的各種事件也分配唯一的密鑰，可以實現(xiàn)對事件本身的簽名認證。在密服務中，參與操作的各方以自己的私鑰來對自身操作與處理數(shù)據(jù)的可靠性提供保障，通過公私鑰配合實現(xiàn)數(shù)信息的保密傳遞加密。此外還可以進一步衍生出信息溯源、數(shù)據(jù)歸集等多種密服務。結合上述服務，密云體系可以從結構上保證信息及交互的安全性與可信性。

    為實現(xiàn)這樣的服務，密云計算采用的密鑰技術需要滿足如下要求。首先，這種密鑰技術應該能夠對云計算設計的各個單元要素進行認證。其次它能夠實現(xiàn)對各個要素的加解密，不僅可以在數(shù)據(jù)層次上加/解密，還應該可以在云計算的各個要素，包括：基礎架構、平臺和軟件上進行加解密。尤其重要的是，體系中的公鑰獲取應該是不依賴于第三方的自認證密鑰。當前的非對稱體系如PKI等并不完全適用。在自認證的密鑰體系下，用戶與云端可以以內(nèi)在的方式建立互信，而不用擔心非認證用戶的入侵或第三方的劫持，從而減少了云計算安全的隱患。

    3.自認證密鑰及其在密云計算的實現(xiàn)

    3.1 非對稱密鑰體系

    在網(wǎng)絡環(huán)境中，非對稱的加密方式被證明是一種有效的信息保護手段。在非對稱密鑰體系下，用戶采用公私鑰對的形式進行數(shù)據(jù)的認證和加密：發(fā)送方可通過私鑰對發(fā)送數(shù)據(jù)進行加密，而接收方可利用發(fā)送方的公鑰進行解密，從而達到數(shù)據(jù)認證傳送的目的；在認證的基礎上，發(fā)送方可用接收方的公鑰對傳送數(shù)據(jù)進行加密，而接收方可用其自身的私鑰對接收數(shù)據(jù)進行解密，從而達到數(shù)據(jù)加密傳輸?shù)哪康摹?/p>

    目前主流的非對稱密鑰應用基于PKI體系，而PKI體系中的公鑰獲取與認證均借助第三方認證中心和在線數(shù)據(jù)庫的支持，公鑰的傳遞同樣也會占用大量的網(wǎng)絡資源困。在云計算的應用中，存在著海量的數(shù)據(jù)交換和認證事件，從而對CA(Certificate Authorny)即認證中心的響應也提出了更高的要求。另一方而，PKI體系將密鑰集中保存，但認證中心一旦被破壞，將影響整個系統(tǒng)的安全。隨著云計算應用規(guī)模的擴大，基于PKI的密鑰體系，在實際應用中將會受到很大的限制。

    3.2 自認證密鑰體系及基本操作

    自認證密鑰是一類特殊的非對稱密鑰體系，其公鑰獲取與認證完全在本地進行，不依賴于第三方，如認證中心(Certificate Authority，CA)這樣的機構。在信息交互時，發(fā)送方與接收方均可以根據(jù)對方提供的公開標識來自行確定相應的公鑰，并對對方的私鑰簽名進行驗證；另外，用戶可根據(jù)任意其他用戶的公開標識確定其公鑰，利用該用戶的公鑰對數(shù)據(jù)進行加密和傳輸，從而實現(xiàn)了與特定用戶之間的數(shù)據(jù)交互與共享。這些過程中，公鑰的獲得由參與操作各方獨自實現(xiàn)，減少了網(wǎng)絡資源消耗，提高了數(shù)據(jù)加密與認證的安全性。

    3.2.1自認證密鑰分發(fā)

    自認證密鑰體系最重要一環(huán)是密鑰的產(chǎn)生與發(fā)放，其實現(xiàn)具有多種形式，兩種常用的形式如下：在小規(guī)模的應用情況下，可以將公鑰數(shù)據(jù)庫打包分發(fā)給每一個用戶，這樣用戶與其他用戶進行加密操作時，可以自行地通過本地的數(shù)據(jù)庫來查詢對應用戶的公鑰，完成其操作；而在應用規(guī)模較大的情況下，可以采用密鑰生成函數(shù)的形式來實現(xiàn)，即輸入用戶公開標識通過本地函數(shù)即時產(chǎn)生公鑰，如組合公鑰方法。

    以組合公鑰方法為例，自認證密鑰體系密鑰分發(fā)如圖1所示。申請密鑰的實體將其唯一標識ID傳遞給密鑰產(chǎn)生中心(Key Veneration Center，KVC)，KVC對其ID信息進行某種變換，即圖1中對應的私鑰矩陣可產(chǎn)生用戶的私鑰。密鑰產(chǎn)生中心在向實體傳遞其私鑰的同時，還將體系的公鑰矩陣傳遞給實體。這樣用戶在己知其他用戶唯一標識信息的情況下，就可以通過公鑰矩陣生成其公鑰，即公鑰的獲取不依賴于第三方，實現(xiàn)了自認證的過程。

圖1 自認證密鑰體系結構圖

    3.2.2身份認證

    自認證體系的身份認證不需要第三方參與，僅在交互雙方進行。具體實現(xiàn)過程如下：

    (1)用戶Alice利用其私鑰及標識ID對信息進行加密，形成具有用戶Alice簽名的信息，即簽名碼；

    (2)通過網(wǎng)絡環(huán)境，將Alice的簽名碼傳遞給用戶Bob，Bob根據(jù)Alice公開標識唯一ID查詢其公鑰，利用公鑰完成簽名碼的認證過程；

    (3)認證器若能恢復出信息m，則認證成功；否則認證失敗。

    圖2中給出了一種實現(xiàn)的流程圖。注意其過程在認證參與雙方進行，無第三方參與。

圖2 基于自認證非對稱密鑰體系的數(shù)據(jù)認證過程

    3.2.3數(shù)據(jù)加密與交換

    由于對稱加密方法數(shù)據(jù)處理速度快，自認證密鑰體系下的大數(shù)據(jù)加密可采用非對稱與對稱方法結合的形式，與傳統(tǒng)實現(xiàn)類似。具體的流程如圖3所示。

    圖3 數(shù)據(jù)加密傳輸過程

    (1)加密過程：①用戶Alice利用對稱密碼將數(shù)據(jù)Data，通過對稱加密器將數(shù)據(jù)進行加密，形成加密的數(shù)據(jù)；②用戶Alice根據(jù)用戶Bob的唯一標識ID利用KMC分發(fā)的公鑰生成器產(chǎn)生用戶Bob的公鑰；③利用Bob的公鑰，通過非對稱加密器將對稱密碼進行加密，形成加密的密碼；①發(fā)送加密的密碼與加密的數(shù)據(jù)。

    (2)解密過程：①用戶Bob接收到加密數(shù)據(jù)集；Bob利用自身的私鑰通過密碼解密器對接收到的加密密碼進行解密，得到解密的密碼；②Bob利用解密后的密碼通過數(shù)據(jù)解密器對加密的數(shù)據(jù)進行解密，獲得明文數(shù)據(jù)。

    3.3 密云計算中的擴展服務

    在上述基本操作的基礎上，可進一步衍生出用于密云計算更加完備的服務，如信道保護、信息溯源、大數(shù)據(jù)中信息的歸集等。在密云計算環(huán)境中，傳輸信道自身也被授予唯一的密鑰標識，可根據(jù)需求用自身私鑰對當前傳輸數(shù)據(jù)簽名，實現(xiàn)對數(shù)據(jù)真實性的認證，避免了信道劫持等不安全因素。對于重要信息，發(fā)送者和經(jīng)手者均需要簽名。通過對傳輸數(shù)據(jù)簽名的分析，可實現(xiàn)對信息的溯源。此外，網(wǎng)絡中任意的信息都可以密鑰為依據(jù)連接起來，用戶可在復雜的網(wǎng)絡大數(shù)據(jù)中方便地找到與自己相關的數(shù)據(jù)，即以密鑰實現(xiàn)信息的歸集。另一方而由于有標識密鑰的保護，需要保護的信息不會被外界所破解。這一特性在網(wǎng)絡大數(shù)據(jù)時代尤為重要。

    4.結束語

    文中介紹了一種新型的安全云計算框架，即為基于自認證密鑰的密云計算。這一框架可實現(xiàn)原生的云計算環(huán)境中數(shù)據(jù)的安全服務，即“密即服務”，為云計算數(shù)據(jù)安全共享傳輸提供了有力地保證。本文的密云計算構建于自認證非對稱密鑰技術。這樣密服務的實現(xiàn)，包括用戶與服務器云端、用戶與用戶間的操作可真正以點對點的方式建立互信。這一過程中，公鑰的獲取不需要類似CA認證中心這樣的機構，而是通過本地數(shù)據(jù)庫查詢或者自動生成等方式獲得，從而在提高網(wǎng)絡資源應用效率的同時，更是降低了非認證用戶的入侵或第三方劫持的可能性。基于自認證的密云計算除了網(wǎng)絡安全的優(yōu)勢，其基于標識密鑰的數(shù)據(jù)標定方式還可以實現(xiàn)在大數(shù)據(jù)中準確的獲取有效信息，方便實現(xiàn)信息歸集和溯源，實現(xiàn)網(wǎng)絡大數(shù)據(jù)的高效處理。

核心關注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。

轉載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標題：基于自認證密鑰的安全云計算

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/10839515627.html