網(wǎng)格計算系統(tǒng)中的安全體系研究.pdf

1、網(wǎng)格計算(GridComputing)一詞產(chǎn)生于20世紀90年代初，借鑒電力網(wǎng)的概念提出。網(wǎng)格計算系統(tǒng)(GridComputingSystem)是通過高速網(wǎng)絡(luò)將地域分散、系統(tǒng)異構(gòu)的各種計算資源集成為一個虛擬、透明的計算環(huán)境，形成龐大的全球性的計算體系，可以提供高性能的計算能力。網(wǎng)格主要被應(yīng)用于大規(guī)模、分布式、高性能的計算，為用戶提供了調(diào)用遠程計算資源的能力。網(wǎng)格的最終目的是希望用戶在使用網(wǎng)格計算能力解決問題時像使用電力一樣方便，用戶不用

2、去考慮得到的服務(wù)來自于哪個地理位置，由什么樣的計算設(shè)施提供。也就是說，網(wǎng)格給最終使用者提供的是一種通用的計算能力。 網(wǎng)格計算作為新一代的分布式計算方法，與傳統(tǒng)分布式計算有明顯的不同，主要區(qū)別表現(xiàn)在網(wǎng)格是沒有集中控制機制的情況下，通過對計算資源進行大規(guī)模共享，滿足應(yīng)用對高性能計算的要求，并且這種對計算資源進行的大規(guī)模共享是動態(tài)的、靈活的、安全的和協(xié)作式的。 由于網(wǎng)格作業(yè)一般需要在運行過程中動態(tài)申請啟動進程或釋放資源，而且網(wǎng)

3、格中不同的資源可能需要不同的認證和授權(quán)機制，這就決定了網(wǎng)格安全必須是標準的、自治的、可擴展的和透明的。網(wǎng)格計算系統(tǒng)必須解決的安全問題包括：對用戶、服務(wù)器的冒充，數(shù)據(jù)泄漏，復(fù)雜遠程攻擊，資源濫用，惡意程序，系統(tǒng)完整性威脅等等。 根據(jù)網(wǎng)格安全性的特點，本文就網(wǎng)格安全中使用的密碼體系進行了研究，主要研究內(nèi)容包括基于證書的認證和授權(quán)機制，基于口令的認證和授權(quán)機制，具體內(nèi)容如下： 1.安全服務(wù)中心(SSC)。在網(wǎng)格體系中，當前流行

4、的安全架構(gòu)比較多的傾向于采用由PKI體系為基礎(chǔ)的基于證書的認證授權(quán)架構(gòu)，其中比較典型的就是Globus開發(fā)包(GlobusToolkit，GT)。在最新版本的GT4當中，使用SOAP(SimpleObjectAccessProtocol)和SSL(SecureSocketsLayer)、TLS(TransportLayerSecurity)協(xié)議保證信息安全和傳輸安全。 本文提出了安全服務(wù)中心(SSC)方案，SSC充分利用現(xiàn)有成熟

5、的PKI安全體系，集成密鑰管理、密碼服務(wù)和硬件設(shè)備等于一體，提供了完整的安全解決方案。在GT中，利用SSC系統(tǒng)，我們實現(xiàn)了對SimpleCA，MyProxy，GSI-OpenSSH等的改進。改進后的系統(tǒng)與原系統(tǒng)相比，提高了系統(tǒng)的整體性能，提高了系統(tǒng)的穩(wěn)定性，提供良好的可擴展性，良好的訪問控制能力，提高了密鑰管理的安全級別，并可提供日志、統(tǒng)計等數(shù)據(jù)信息。 實驗數(shù)據(jù)表明，本文提出的系統(tǒng)RSA運算速度達到軟件系統(tǒng)20倍以上。通過SSC

6、對系統(tǒng)性能的提升程度與使用的硬件設(shè)備相關(guān)，整體系統(tǒng)損耗在30﹪至40﹪之間。 2.增強型團體授權(quán)服務(wù)機制。用戶在使用證書進行雙向身份認證后，可以確定服務(wù)器及客戶端的真實身份。為了進行對網(wǎng)格內(nèi)計算資源的訪問，用戶在認證后需要得到授權(quán)，從而擁有足夠權(quán)限操作資源。對用戶授權(quán)的管理是網(wǎng)格整個安全架構(gòu)中的另一重要組成部分，無法實現(xiàn)正確、合理、靈活的授權(quán)，網(wǎng)格資源就無法正常、合理的被用戶使用。 本文充分利用現(xiàn)有授權(quán)管理體系，即PMI

7、體系，進行網(wǎng)格內(nèi)權(quán)限的管理?；贕SI中的通用授權(quán)機制CAS和另一授權(quán)機制Akenti，設(shè)計了針對團體授權(quán)和資源提供者對資源靈活授權(quán)兩方面需求的授權(quán)機制。我們稱為增強型團體授權(quán)服務(wù)機制(EnhancedCommunityAuthorizationService，ECAS)。 本文提出的改進后的ECAS體系，使用屬性證書權(quán)威(AA)統(tǒng)一頒發(fā)、管理屬性證書，避免了多種授權(quán)機制的混亂；并且支持CAS機制中網(wǎng)格資源對團體的整體授權(quán)，以及

8、Akenti機制中對網(wǎng)格資源靈活的多重、獨立管理。 ECAS對原有機制存在的問題進行了改進，包括：避免了CAS服務(wù)器成為系統(tǒng)瓶頸的問題；避免了Akenti機制中由于資源管理員自行簽名，并管理權(quán)限策略造成的安全漏洞，改由LDAP服務(wù)器，統(tǒng)一查找、獲取權(quán)限控制信息。 ECAS由于采用了AA和AC，并且改進了權(quán)限證書的獲取、檢索過程，在系統(tǒng)整體的處理性能，安全性能、可擴展性能、使用的靈活性、可配置性等方面實現(xiàn)了改進。ECAS后

9、臺密碼運算調(diào)用了安全服務(wù)中心(SSC)，獲得了高性能的密碼運算服務(wù)。 3.基于口令的網(wǎng)格安全基礎(chǔ)設(shè)施。使用PKI體系的網(wǎng)格安全系統(tǒng)復(fù)雜性比較高，尤其在系統(tǒng)集成了PMI相關(guān)體系，利用屬性證書進行授權(quán)的情況下，用戶需要處理自己的身份證書、屬性證書、私有密鑰、公有密鑰、用戶口令等眾多信息。這給用戶的使用增加了難度，尤其那些安全知識比較少的用戶。 本文利用現(xiàn)有基于口令的認證和傳輸機制，設(shè)計了非證書安全架構(gòu)：基于口令的網(wǎng)格安全基礎(chǔ)

10、設(shè)施(Password-basedGridSecurityInfrastructure，PBGSI)，實現(xiàn)了僅僅使用口令，完成對用戶身份的認證，用戶對可信服務(wù)器的委托以及對通信安全的需求。 在雙向認證和委托服務(wù)中，PBGSI使用了基于AuthA協(xié)議的雙向認證協(xié)議，本文對AuthA協(xié)議流程進行了修改，通過時間戳等機制達到抵御攻擊的目的。本文提出的架構(gòu)中，用戶通過委托機制建立委托口令，在可信服務(wù)器上實現(xiàn)了權(quán)限委托、單點登錄。

11、 數(shù)據(jù)傳輸安全方面，提供兩種方式供用戶選擇，集成AuthA協(xié)議于TLS協(xié)議中，或者使用Chaffing&Winnowing(C&W)協(xié)議。C&W協(xié)議通過MAC保護數(shù)據(jù)，避免了數(shù)據(jù)傳輸過程中無用的反復(fù)加、解密等密碼運算。 PBGSI中擺脫了管理用戶證書、用戶私鑰的復(fù)雜操作，基于簡單秘密(用戶口令)對于客戶端、服務(wù)器雙向身份認證，用戶權(quán)限委托服務(wù)，以及數(shù)據(jù)的安全傳輸都有較好的支持。 PBGSI架構(gòu)完全基于用戶口令，為用戶提供

12、了易于使用的界面；通過身份認證以后授權(quán)可信任的服務(wù)器代表自己來行使訪問權(quán)限，實現(xiàn)合理的權(quán)限委托機制；安全傳輸過程中可以不進行加密、解密等算法運算操作，通過耗費網(wǎng)絡(luò)帶寬帶來系統(tǒng)性能的提升，從而提高系統(tǒng)整體的性能；在PBGSI中還使用了時間戳(Time-Stamp)等機制改進系統(tǒng)的整體安全級別。 4.使用認證密鑰交換協(xié)議實現(xiàn)授權(quán)管理機制。Abdalla等學(xué)者提出了基于口令的三方認證密鑰交換協(xié)議。協(xié)議實現(xiàn)了三方進行密鑰交換的情形中，密

13、鑰交換的雙方不共享秘密信息，而是雙方都與一個可信任第三方服務(wù)器共享秘密信息，通過第三方的協(xié)助，完成安全的密鑰交換。 本文對GPAKE協(xié)議流程和傳輸數(shù)據(jù)進行了改進，與PBGSI架構(gòu)結(jié)合，完成用戶向資源管理員提出訪問請求，直至獲得訪問權(quán)限進行安全訪問的過程。本文提出的授權(quán)訪問過程與PBGSI安全架構(gòu)相結(jié)合，可以完整的滿足網(wǎng)格系統(tǒng)中的各種應(yīng)用要求。 本文提出的授權(quán)訪問協(xié)議使用了三方認證密鑰交換協(xié)議，授權(quán)訪問過程中，資源管理方與

14、可信第三方授權(quán)服務(wù)器(AS)，以及AS與用戶之間通過改進的AuthA協(xié)議進行身份認證和密鑰交換，并由AS分發(fā)用戶和資源管理方使用的臨時密鑰。用戶和資源管理方認證、交換密鑰結(jié)束后通過改進版本TLS協(xié)議或者C&W協(xié)議進行通信。委托訪問的過程與授權(quán)訪問類似，區(qū)別在于資源管理方與代理服務(wù)器(PBProxy)進行認證，由PBProxy驗證Token內(nèi)的角色權(quán)限，并分發(fā)密鑰。 本文的授權(quán)訪問和委托訪問協(xié)議中，只使用簡單秘密信息進行身份認證和