摘 要：隨著云計(jì)算技術(shù)的發(fā)展，云中數(shù)據(jù)安全性越來(lái)越多的受到關(guān)注，為使云中的數(shù)據(jù)計(jì)算、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)通信更加安全，通過(guò)分析主要風(fēng)險(xiǎn)及現(xiàn)有安全措施，提出通過(guò)通信信道加密技術(shù)加強(qiáng)云計(jì)算數(shù)據(jù)通信的安全，從而提升云計(jì)算數(shù)據(jù)安全性。

關(guān)鍵詞：云計(jì)算；數(shù)據(jù)安全；數(shù)據(jù)加密；訪問(wèn)控制；信道加密

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：2095-2163（2015）02-

Improve the Security of Cloud Computing Data with Encrypting the Communication Channel

ZHANG Jianzhen

（ShanXi Institute of Mechanical & Electrical Engineering， ChangZhi ShanXi 046000，China）

Abstract： With the development of cloud computing， the security of cloud data gets more and more attention， in order to make the data in the cloud computing， data storage， data communication be more secure， this paper analyzes main risk and the existed security measures， puts forward through encrypting the communication channel to strengthening communications security， which could promote cloud computing data security.

Keywords： Cloud Computing； Data Security； Data Encryption； Access Control； Channel Encryption

0 引 言

自2010年以來(lái)，云服務(wù)得到廣泛的應(yīng)用，云計(jì)算、云存儲(chǔ)、云平臺(tái)幾乎滲透到工作、學(xué)習(xí)、生活的各個(gè)領(lǐng)域，許多企業(yè)紛紛搭建云平臺(tái)以提供云服務(wù)，還有一些企業(yè)則開(kāi)始遷移企業(yè)數(shù)據(jù)至云平臺(tái)，以節(jié)約成本、提高效率。由于云計(jì)算對(duì)網(wǎng)絡(luò)的依賴，使其除了云計(jì)算技術(shù)本身安全性外，同時(shí)更要考慮計(jì)算機(jī)網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)。如何保障云中數(shù)據(jù)的安全性，成為云技術(shù)發(fā)展的重要課題。

1 云計(jì)算數(shù)據(jù)風(fēng)險(xiǎn)分析

云計(jì)算的一個(gè)主要特征就是網(wǎng)絡(luò)依賴，其一切服務(wù)均通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)來(lái)實(shí)現(xiàn)，用戶的數(shù)據(jù)存放在云端，無(wú)論使用PaaS、IaaS還是SaaS服務(wù)，均需要通過(guò)網(wǎng)絡(luò)與用戶通信。因此，云計(jì)算在平臺(tái)架構(gòu)、網(wǎng)絡(luò)連接、用戶訪問(wèn)等環(huán)節(jié)均存在安全風(fēng)險(xiǎn)。

1.1 平臺(tái)架構(gòu)

2010年以來(lái)，OpenStack提供了最簡(jiǎn)單可行的私有云平臺(tái)架構(gòu)技術(shù)，支持僅通過(guò)5臺(tái)計(jì)算機(jī)建立一個(gè)正常運(yùn)行的簡(jiǎn)單云計(jì)算平臺(tái)，5臺(tái)計(jì)算機(jī)功能分別是計(jì)算服務(wù)器nova、存儲(chǔ)服務(wù)器swift、鏡像管理服務(wù)器glance、身份與訪問(wèn)管理服務(wù)器keystone和Web服務(wù)接口Horizon，其中計(jì)算服務(wù)器Nova是OpenStack的核心，負(fù)責(zé)管理和優(yōu)化云計(jì)算資源配置[1]。因此，如果Nova節(jié)點(diǎn)出現(xiàn)故障（SPoF，single point of failure），將直接導(dǎo)致OpenStack云平臺(tái)的崩潰，云中數(shù)據(jù)的可用性也不復(fù)存在[2]。

1.2 網(wǎng)絡(luò)連接

由于云計(jì)算對(duì)網(wǎng)絡(luò)的依賴性，所以一般網(wǎng)絡(luò)存在的安全風(fēng)險(xiǎn)在云計(jì)算中同樣存在，如中間節(jié)點(diǎn)、網(wǎng)絡(luò)設(shè)備、連接設(shè)備等構(gòu)成云計(jì)算網(wǎng)絡(luò)每個(gè)環(huán)節(jié)的安全性，不僅如此，云計(jì)算平臺(tái)構(gòu)建的網(wǎng)絡(luò)連接本身也將是云中數(shù)據(jù)安全的重要一環(huán)。

1.3 用戶訪問(wèn)

分布式虛擬技術(shù)是云計(jì)算關(guān)鍵技術(shù)之一，在云中，用戶不僅不清楚自己的數(shù)據(jù)儲(chǔ)存在哪臺(tái)服務(wù)器上，也不了解服務(wù)器具體放置何處，用戶之間通過(guò)分布式虛擬技術(shù)實(shí)現(xiàn)共享計(jì)算或存儲(chǔ)資源，此時(shí)若用戶之間安全隔離不夠，就使得一些惡意用戶利用溢出等攻擊技術(shù)讀取共享區(qū)數(shù)據(jù)，從而使得用戶數(shù)據(jù)被竊取、篡改或丟失。

2 云計(jì)算數(shù)據(jù)安全主要措施

為保障云中數(shù)據(jù)安全，目前采用的安全保障措施主要包括數(shù)據(jù)加密和采用訪問(wèn)控制策略。

2.1 數(shù)據(jù)加密

采用數(shù)據(jù)加密技術(shù)是實(shí)現(xiàn)用戶信息在云計(jì)算環(huán)境下安全存儲(chǔ)與安全隔離[3]的有效手段，目前比較流行的數(shù)據(jù)加密方法有同態(tài)加密[4-6]和基于屬性的加密。同態(tài)加密使云端在不知道用戶明文數(shù)據(jù)m情況下，對(duì)加密的用戶數(shù)據(jù)e直接進(jìn)行操作，如同對(duì)明文進(jìn)行操作，另外也有類似的半同態(tài)或somewhat同態(tài)加密技術(shù)?；趯傩缘募用苁褂糜脩舻膶傩约献鳛楣€對(duì)用戶數(shù)據(jù)加密[7]，若一個(gè)訪問(wèn)用戶要解密一個(gè)密文，則要求該用戶的屬性集合與公鑰的屬性集合相同屬性的數(shù)量達(dá)到要求數(shù)量才能解密。但加密數(shù)據(jù)的密鑰管理往往成為另一個(gè)新的問(wèn)題。

2.2 訪問(wèn)控制

用戶訪問(wèn)云中數(shù)據(jù)時(shí)，必須經(jīng)過(guò)云服務(wù)商CSP認(rèn)證，因此，云服務(wù)商需要采用訪問(wèn)控制策略來(lái)控制用戶對(duì)云中數(shù)據(jù)和云服務(wù)的訪問(wèn)[8]。由于云計(jì)算中，用戶都有自己的數(shù)字ID，因此基于身份的加密IBE和簽名IBS的IBACC認(rèn)證協(xié)議廣泛用于云計(jì)算身份認(rèn)證，采用此身份認(rèn)證方式，可以進(jìn)行實(shí)時(shí)身份監(jiān)控、權(quán)限認(rèn)證和證書(shū)檢查，從而防止來(lái)自惡意用戶的越權(quán)訪問(wèn)。訪問(wèn)控制不能就消息傳輸過(guò)程的安全性作出反應(yīng)。

3 通信信道加密保障安全

正如密碼學(xué)上經(jīng)典的Alice和Bob通信問(wèn)題，目前保障云中數(shù)據(jù)安全的方法無(wú)論加密消息本身還是在Alice和Bob之間設(shè)置訪問(wèn)控制協(xié)議，均各有利弊。為保障云中數(shù)據(jù)的安全可靠，除采用數(shù)據(jù)加密和訪問(wèn)控制外，充分借鑒計(jì)算機(jī)網(wǎng)絡(luò)通信加密技術(shù)提出通過(guò)信道加密來(lái)保障云數(shù)據(jù)安全。OSI通信模型中，加密可以發(fā)生在通信低層如物理層、數(shù)據(jù)鏈路層，也可以發(fā)生在如應(yīng)用層等較高層。物理層與數(shù)據(jù)鏈路層等低層加密也叫鏈—鏈加密（link-by-link encryption），即通過(guò)該鏈路的所有數(shù)據(jù)將被加密；發(fā)生在較高層（如應(yīng)用層）的加密叫端—端加密（end-to-end encryption），數(shù)據(jù)傳輸?shù)酱颂帟r(shí)被有選擇性地加密，并且只在最后的接收端解密[9]。以下為加密具體實(shí)現(xiàn)方法。

3.1 鏈—鏈加密

鏈—鏈加密方法是在標(biāo)準(zhǔn)物理層接口處添加硬件設(shè)備，在線加密，每一次鏈接僅需要一組密鑰。通過(guò)物理接口的所有數(shù)據(jù)將被加密，如數(shù)據(jù)、路由信息、協(xié)議等，對(duì)用戶透明，發(fā)送端與接收端之間的任務(wù)智能交換或節(jié)點(diǎn)要處理數(shù)據(jù)必須對(duì)其進(jìn)行解密，因此鏈—鏈加密以后，由于所有數(shù)據(jù)被加密，竊聽(tīng)者得不到任何關(guān)于數(shù)據(jù)結(jié)構(gòu)的信息，也無(wú)法猜測(cè)數(shù)據(jù)來(lái)源及目的地，偵聽(tīng)到的僅是貌似隨機(jī)的位序列。由于鏈路加密需要對(duì)每個(gè)物理鏈路加密，只要有一處沒(méi)加密就會(huì)危及整個(gè)網(wǎng)絡(luò)安全。因此，對(duì)于大網(wǎng)絡(luò)，鏈—鏈加密開(kāi)銷將變大，且中間節(jié)點(diǎn)數(shù)據(jù)易被暴露。鏈路加密原理如圖1所示。

圖1鏈路加密原理模型

Fig.1 Link encryption principle model

3.2 端—端加密

端—端加密方法主要是在通信模型的較高層——網(wǎng)絡(luò)層或傳輸層之間添加加密設(shè)備，加密設(shè)備根據(jù)OSI模型低三層的協(xié)議理解數(shù)據(jù)，由于端—端加密只加密傳輸中的數(shù)據(jù)單元，不處理路由信息，因而省去了通信中在物理層加解密信息的繁瑣，數(shù)據(jù)單元可以保持加密狀態(tài)，直到傳輸結(jié)束。端—端加密獨(dú)立于網(wǎng)絡(luò)所用的通信結(jié)構(gòu)，加密和解密離線完成，因此密鑰管理相對(duì)復(fù)雜。由于路由信息不加密，因此攻擊者將可根據(jù)路由信息分析通信雙方，通信時(shí)間及時(shí)長(zhǎng)等。端—端加密原理如圖2所示。

圖2端—端加密原理模型

Fig.2 P2P encryption principle model

3.3 組合加密

根據(jù)鏈—鏈加密與端—端加密的優(yōu)缺點(diǎn)，考慮一種針對(duì)云計(jì)算有效的網(wǎng)絡(luò)安全方式，即加密每個(gè)物理鏈路同時(shí)加密數(shù)據(jù)單元，從而既避開(kāi)了端—端加密攻擊者對(duì)路由信息的分析，也提升了鏈—鏈加密中間節(jié)點(diǎn)數(shù)據(jù)的安全性。密鑰管理方面，用戶仍采用離線的端—端加密，網(wǎng)絡(luò)管理員負(fù)責(zé)物理層在線的鏈—鏈加密。

4 結(jié)束語(yǔ)

隨著云計(jì)算技術(shù)的發(fā)展，云服務(wù)不斷滲透人們生活的方方面面，但是由于云計(jì)算模式下數(shù)據(jù)異地存儲(chǔ)導(dǎo)致數(shù)據(jù)超出人們的掌控范圍，數(shù)據(jù)安全成為時(shí)下普遍關(guān)注的焦點(diǎn)。數(shù)據(jù)加密與訪問(wèn)控制是最常規(guī)的安全措施，作為云計(jì)算數(shù)據(jù)傳輸?shù)摹案咚俟贰薄ㄐ判诺劳蝗藗兯鲆?，?shù)據(jù)安全環(huán)環(huán)相扣，只要其中任何一個(gè)環(huán)節(jié)出現(xiàn)漏洞，均會(huì)導(dǎo)致功虧一簣。通過(guò)數(shù)據(jù)加密、訪問(wèn)控制、信道加密三位一體的安全措施，相信在一定程度上解決云計(jì)算數(shù)據(jù)安全問(wèn)題，但隨著網(wǎng)絡(luò)技術(shù)的高新、快速發(fā)展，有效的安全手段仍需要不斷深入研究，力爭(zhēng)實(shí)現(xiàn)防患于未然。

參考文獻(xiàn)：

[1] 陳伯龍，程志鵬.云計(jì)算與OpenStack[M].北京：電子工業(yè)出版社，2013.

[2] 曾文琦，葉家煒，楊陽(yáng)，等.面向應(yīng)用服務(wù)的虛擬機(jī)性能評(píng)估[J].計(jì)算機(jī)工程與設(shè)計(jì)，2014（10）： 156-158.

[3] 張啟云.云計(jì)算中數(shù)據(jù)安全問(wèn)題研究[J].計(jì)算機(jī)光盤(pán)軟件與應(yīng)用， 2012（6）：25-26.

[4] 吳旭東.云計(jì)算數(shù)據(jù)安全研究[A].第26次全國(guó)計(jì)算機(jī)安全學(xué)術(shù)交流會(huì)論文集[C]. 上海：信息網(wǎng)絡(luò)安全， 2011：38-40.

[5] Marten van Dijk and Craig Gentry and Shai Halevi and Vinod Vaikuntanathan.Full Homomorphic Encryption over the Integers[C]//Eurocrypt.Nice，F(xiàn)rance：ICAR，2010.

[6] 彭偉.面向云計(jì)算安全的同態(tài)加密技術(shù)應(yīng)用研究[D]. 重慶：重慶大學(xué)， 2014.

[7] 程玉柱，胡伏湘.云計(jì)算中數(shù)據(jù)資源的安全加密機(jī)制[J].長(zhǎng)沙民政職業(yè)技術(shù)學(xué)院學(xué)報(bào)， 2013（2）：132-134.

[8] 楊健，汪海航，王劍，俞定國(guó).云計(jì)算安全問(wèn)題研究綜述[J].小型微型計(jì)算機(jī)系統(tǒng)， 2012（3）：473-477.

[9] 吳世忠，祝世雄，張文政，等.應(yīng)用密碼學(xué)Applied Cryptography [M].北京：機(jī)械工業(yè)出版社， 2012 ：150-154.

1 作者簡(jiǎn)介：張建珍（1980-），女，山西文水人，碩士，講師，主要研究方向：信息技術(shù)、網(wǎng)絡(luò)安全、云計(jì)算。