云服務(wù)資源安全保護機制關(guān)鍵技術(shù)研究.pdf

1、近年來，云計算以其所具有的彈性的服務(wù)組合方式、低碳化的能源消耗和集成化的服務(wù)模式等特性，受到國內(nèi)外學者和企業(yè)的關(guān)注與青睞。云服務(wù)資源分布式的存儲結(jié)構(gòu)和組合式的服務(wù)模式，在為用戶提供便捷的云服務(wù)的同時，也存在著安全隱患。云安全已經(jīng)成為制約云計算技術(shù)發(fā)展和應(yīng)用的主要問題，本文主要圍繞以下幾個方面展開研究。
　　1、云計算環(huán)境中服務(wù)資源安全特征屬性描述粒度過粗，跨域服務(wù)資源之間所處的環(huán)境安全性能不易度量與評估。
　　2、跨域服務(wù)資

2、源授權(quán)訪問過程需要第三方驗證機構(gòu)參與，遠程驗證效率較低，服務(wù)資源身份信息等敏感屬性存在泄露風險。
　　3、云服務(wù)資源安全屬性缺乏統(tǒng)一的、通用的結(jié)構(gòu)化知識描述體系，資源組合和遷移的動態(tài)性為訪問控制規(guī)則管理與維護增加了難度，服務(wù)資源之間之間容易產(chǎn)生授權(quán)規(guī)則的沖突和冗余情況。
　　4、服務(wù)組合授權(quán)規(guī)則之間可能存在循環(huán)依賴和授權(quán)可達性問題。針對開放環(huán)境中的服務(wù)資源缺乏有效地評估資源規(guī)則的動態(tài)行為的方法，可能增加不必要的資源屬性協(xié)商開

3、銷。
　　本文從分析云計算體系結(jié)構(gòu)和服務(wù)資源部署方式出發(fā)，對開放環(huán)境中云服務(wù)資源之間信任驗證和訪問控制問題進行了研究。具體的研究內(nèi)容包含如下:
　　1、針對云計算環(huán)境中服務(wù)資源安全特征屬性描述粒度過粗，資源環(huán)境安全性無法度量的情況，設(shè)計了支持細粒度跨域授權(quán)的訪問控制框架PBTCAC。該框架按照云服務(wù)資源所屬層次，將云服務(wù)資源安全屬性分為系統(tǒng)屬性、平臺屬性和服務(wù)屬性，構(gòu)建了可信云安全屬性描述體系。PBTCAC框架為云服務(wù)資源訪

4、問授權(quán)過程提供了結(jié)構(gòu)化的可信云安全屬性描述體系，可擴展的屬性推理機制和敏感信息保護機制。
　　2、針對基礎(chǔ)架構(gòu)層可信云計算遠程證明方案Privacy-CA和DAA可能存在的問題進行了分析。提出一種基于屬性協(xié)商機制的信任驗證方法。該方法利用域內(nèi)可信資源的TPM公鑰信息構(gòu)建的環(huán)方程對消息進行簽名與信任驗證，提供無須第三方參與的驗證雙方可信證明。與可信計算的常用遠程證明方法相比較，這種方法在隱藏證明方身份的同時，具有計算效率高、證明過程

5、便捷的特點，適合跨域資源訪問環(huán)境。通過設(shè)計的安全模型對方案安全性進行了證明，并對性能進行了對比分析。利用Hadoop平臺下的應(yīng)用實驗，驗證方法的有效性和可行性。
　　3、對XACML授權(quán)規(guī)則推理引擎中的推理問題進行分析，利用動態(tài)描述邏輯DDL對資源屬性本體和授權(quán)規(guī)則本體進行形式化描述。通過構(gòu)建本體知識組成的概念知識庫、實例知識庫和動作知識庫，對于屬性一致性和規(guī)則可滿足性等推理問題進行研究。在此基礎(chǔ)上，構(gòu)建了基于屬性的細粒度訪問控制

6、模型，設(shè)計了具有DDL語義的屬性概念子模型、實例子模型和動作子模型，并把訪問控制過程中的推理問題歸結(jié)為子模型可滿足性問題。
　　4、針對XACML規(guī)則沖突問題進行深入研究，分別從概念層次結(jié)構(gòu)和傳遞授權(quán)操作兩個方面對沖突原因進行了分析。利用構(gòu)建的基于DDL的規(guī)則推理模型和知識庫結(jié)構(gòu)，對層次資源屬性繼承授權(quán)規(guī)則沖突和屬性傳遞授權(quán)規(guī)則沖突設(shè)計了檢測算法。將這些沖突檢測問題歸結(jié)為基于DDL的模型可滿足性驗證問題。利用動態(tài)描述邏輯的Tabl

7、eau公式擴展規(guī)則，證明了DDL模型的可滿足性和驗證過程的可判定性。通過實驗說明了推理引擎在授權(quán)推理和規(guī)則檢測上的可行性和有效性。
　　5、在研究陌生服務(wù)資源間屬性協(xié)商機制的基礎(chǔ)上，通過引入時態(tài)算子構(gòu)建基于時序動態(tài)描述邏輯的屬性協(xié)商形式化表示模型。對協(xié)商過程中的協(xié)商可達性問題和屬性循環(huán)依賴問題進行了分析，將這些問題歸結(jié)為時序DDL公式的可滿足性問題。設(shè)計了基于Tableau規(guī)則的時序DDL可滿足性驗證方法。證明了該方法能夠在多項式