基于云數(shù)據(jù)的應(yīng)用訪問(wèn)安全控制

摘 要：本文提出了一種授權(quán)無(wú)限訪問(wèn)控制策略和臨時(shí)授權(quán)有限訪問(wèn)控制策略，授權(quán)無(wú)限訪問(wèn)控制策略解決了應(yīng)用需要無(wú)限時(shí)的用戶(hù)離線(xiàn)、在線(xiàn)情況下都可以處理用戶(hù)提交的處理任務(wù)的需求，臨時(shí)授權(quán)的有限訪問(wèn)控制策略解決了用戶(hù)需要使用應(yīng)用來(lái)臨時(shí)處理某些數(shù)據(jù)的需求。

關(guān)鍵詞：云存儲(chǔ)；數(shù)據(jù)加密；訪問(wèn)控制；數(shù)據(jù)安全

中途分類(lèi)號(hào)：TP308

云計(jì)算基礎(chǔ)設(shè)施之一是提供可靠、安全的數(shù)據(jù)存儲(chǔ)中心，因此，存儲(chǔ)安全是云計(jì)算領(lǐng)域的安全話(huà)題之一。云存儲(chǔ)應(yīng)用中的存儲(chǔ)安全包括數(shù)據(jù)加密存儲(chǔ)、安全策略管理、安全日志和審計(jì)。安全日志和審計(jì)為監(jiān)控系統(tǒng)和活動(dòng)用戶(hù)提供必要的審計(jì)信息[1]。特別是對(duì)數(shù)據(jù)的訪問(wèn)進(jìn)行安全控制尤為重要，在為用戶(hù)提供安全和方便分享的權(quán)衡中，對(duì)數(shù)據(jù)的訪問(wèn)控制機(jī)制是一個(gè)需要研究的課題。

Amazon S3[2]的S3、EMC Atmos Online[3]等都提供云存儲(chǔ)服務(wù)，他們都是通過(guò)訪問(wèn)控制列表ACLs來(lái)控制數(shù)據(jù)的訪問(wèn)權(quán)限，只有授權(quán)的用戶(hù)或者應(yīng)用才能訪問(wèn)，但是對(duì)數(shù)據(jù)的共享會(huì)受到ACLs最大數(shù)量的限制。Hassan Takabi等提出了基于屬性加密的訪問(wèn)控制策略[4]。在為用戶(hù)提供實(shí)時(shí)、離線(xiàn)、友好、安全、方便的云計(jì)算服務(wù)的情況下，參考Danny Harnik等人的數(shù)據(jù)安全訪問(wèn)機(jī)制[5]，提出了本文的數(shù)據(jù)訪問(wèn)控制機(jī)制。

1 方案設(shè)計(jì)

應(yīng)用對(duì)用戶(hù)數(shù)據(jù)如下的兩種授權(quán)訪問(wèn)方式：應(yīng)用訪問(wèn)用戶(hù)空間下特定目錄；應(yīng)用訪問(wèn)用戶(hù)空間下非特定目錄或文件。

1.1 應(yīng)用訪問(wèn)特定目錄

應(yīng)用訪問(wèn)特定目錄，這個(gè)特定目錄是專(zhuān)供某些應(yīng)用訪問(wèn)，這個(gè)特定目錄訪問(wèn)權(quán)限的生命周期是從用戶(hù)選擇使用該應(yīng)用到用戶(hù)取消使用該應(yīng)用的一段時(shí)間。這種授權(quán)訪問(wèn)機(jī)制主要用于用戶(hù)非在線(xiàn)情況下使用應(yīng)用。

當(dāng)用戶(hù)選擇使用這個(gè)應(yīng)用后，就會(huì)在用戶(hù)的空間中有一個(gè)對(duì)應(yīng)的應(yīng)用使用目錄，這個(gè)目錄可以是新創(chuàng)建的，也可以是與應(yīng)用公用目錄。相當(dāng)于用戶(hù)授權(quán)應(yīng)用使用這個(gè)目錄，這樣應(yīng)用可以很方便的訪問(wèn)該目錄。

圖1 應(yīng)用訪問(wèn)特定目錄流程

（1）用戶(hù)在選擇訂購(gòu)應(yīng)用后，會(huì)將應(yīng)用與訪問(wèn)目錄的對(duì)應(yīng)關(guān)系在安全/策略管理中保存下來(lái)，即訪問(wèn)控制列表（ACL）。

（2）用戶(hù)在應(yīng)用中發(fā)起使用請(qǐng)求后，用戶(hù)既可以退出應(yīng)用或者離線(xiàn)。

（3）應(yīng)用會(huì)向安全/策略管理系統(tǒng)發(fā)起獲取訪問(wèn)目錄的權(quán)限信息，安全/策略管理系統(tǒng)對(duì)訪問(wèn)信息等屬性通過(guò)AES-256進(jìn)行對(duì)稱(chēng)加密，對(duì)其中的一些屬性通過(guò)HMAC-SHA1算法進(jìn)行簽名，加密完成后返回給應(yīng)用。

（4）應(yīng)用向存儲(chǔ)數(shù)據(jù)系統(tǒng)發(fā)起訪問(wèn)請(qǐng)求，并將加密的屬性信息和簽名傳送到存儲(chǔ)數(shù)據(jù)系統(tǒng)，系統(tǒng)對(duì)其中的屬性信息通過(guò)HMAC-SHA1算法進(jìn)行簽名后與傳遞過(guò)來(lái)的簽名進(jìn)行比對(duì)，看是否符合要求。

（5）校驗(yàn)成功后，應(yīng)用就可以操作對(duì)象數(shù)據(jù)。

1.2 應(yīng)用訪問(wèn)非特定目錄或文件

應(yīng)用訪問(wèn)用戶(hù)存儲(chǔ)空間下的所有文件或者目錄，這個(gè)文件或者目錄訪問(wèn)權(quán)限的生命周期很短，從用戶(hù)授權(quán)到發(fā)起數(shù)據(jù)請(qǐng)求大概在幾分鐘或者幾十秒內(nèi)。這種授權(quán)訪問(wèn)機(jī)制主要用于戶(hù)用在線(xiàn)的情況下使用某種應(yīng)用。

授權(quán)訪問(wèn)機(jī)制不需要預(yù)先在ACL中有該應(yīng)用的使用權(quán)限，當(dāng)用戶(hù)臨時(shí)需要應(yīng)用對(duì)某個(gè)文件進(jìn)行處理時(shí)而發(fā)起的臨時(shí)授權(quán)，只會(huì)保存這種發(fā)起訪問(wèn)授權(quán)的日志記錄。

圖2 應(yīng)用訪問(wèn)非特定目錄或者文件流程

（1）用戶(hù)發(fā)起使用應(yīng)用對(duì)某個(gè)文件進(jìn)行處理，需要將用戶(hù)的訪問(wèn)信息等發(fā)送到安全管理系統(tǒng)

（2）安全管理系統(tǒng)對(duì)接收到的訪問(wèn)信息等屬性通過(guò)AES-256進(jìn)行對(duì)稱(chēng)加密，對(duì)其中的一些屬性通過(guò)HMAC-SHA1算法進(jìn)行簽名，加密完成后返回給客戶(hù)端。安全管理系統(tǒng)記錄下這次授權(quán)的日志信息。

（3）客戶(hù)端通過(guò)重定向或者再次調(diào)用應(yīng)用的接口方式將加密后的訪問(wèn)信息、簽名等發(fā)送給應(yīng)用

（4）應(yīng)用將訪問(wèn)信息、簽名等發(fā)送到云存儲(chǔ)數(shù)據(jù)系統(tǒng)，系統(tǒng)對(duì)其中的屬性信息通過(guò)HMAC-SHA1算法進(jìn)行簽名后與傳遞過(guò)來(lái)的簽名進(jìn)行比對(duì)，看是否符合要求。

（5）校驗(yàn)成功后應(yīng)用就可以操作數(shù)據(jù)

2 結(jié)束與展望

本文提出的數(shù)據(jù)訪問(wèn)控制機(jī)制能夠在保證安全性的條件下，使用戶(hù)能夠快速方便的使用應(yīng)用實(shí)時(shí)處理存儲(chǔ)空間中的數(shù)據(jù)。數(shù)據(jù)訪問(wèn)安全控制還存在很多問(wèn)題，在保證數(shù)據(jù)安全又方便其他應(yīng)用來(lái)使用數(shù)據(jù)將會(huì)在后續(xù)工作中繼續(xù)研究。

參考文獻(xiàn)：

[1]洪澄，張敏，馮登國(guó).AB-ACCS：一種云存儲(chǔ)密文訪問(wèn)控制方法[J].計(jì)算機(jī)研究與發(fā)展，2010（47）（增刊）：259?265.

[2]Amazon Simple Storage Service（S3）.Amazon，http：//aws.amazon.com/s3/.，accessed Oct 12，2011.

[3]Atmos Online Programmer’s Guide.EMC，https：//community.emc.com/docs/DOC-3481， accessed Oct 12，2011.

[4]Danny Harnik，Elliotk Kolodner.Secure access mechanism for cloud storage.Scalable Computing：Practice and Experience Volume 12，Number 03：317-336.

[5]Hassan Takabi，James B.D.Joshi.Security and Privacy Challenges in Cloud Computing Environments.IEEE Security and Privacy，08：24-31，2010.

作者簡(jiǎn)介：郭漢龍（1977-），男，湖北人，碩士，軟件工程師，主要研究方向：云存儲(chǔ)。

作者單位：中國(guó)電信股份有限公司，上海 200433