陳 飔（中國(guó)電子科技集團(tuán)公司電子科學(xué)研究院，北京 100041）

云計(jì)算安全保密體系架構(gòu)及其關(guān)鍵技術(shù)

陳 飔
（中國(guó)電子科技集團(tuán)公司電子科學(xué)研究院，北京 100041）

云計(jì)算環(huán)境下的安全保密技術(shù)是目前網(wǎng)絡(luò)信息安全界關(guān)注的研究熱點(diǎn)。綜合考慮傳統(tǒng)安全保密技術(shù)體系和云計(jì)算平臺(tái)特點(diǎn)，從物理安全、數(shù)據(jù)安全、通信安全、網(wǎng)絡(luò)安全與新興技術(shù)等方面對(duì)安全保密技術(shù)體系進(jìn)行優(yōu)化調(diào)整，提出了云計(jì)算環(huán)境下的安全保密技術(shù)體系架構(gòu)，并對(duì)云計(jì)算安全保密關(guān)鍵技術(shù)進(jìn)行了深入研究和分析，為云計(jì)算環(huán)境的安全性奠定了基礎(chǔ)。

云計(jì)算安全；數(shù)據(jù)加密；身份認(rèn)證；虛擬化安全

DOI：10.16640/j.cnki.37-1222/t.2016.16.264

0　引言

云計(jì)算的安全性研究已經(jīng)是網(wǎng)絡(luò)信息安全界關(guān)注的超級(jí)熱點(diǎn)［1］，云計(jì)算安全的快速發(fā)展和廣泛應(yīng)用，將從根本上改變信息傳輸?shù)姆绞?，增加各行各業(yè)的創(chuàng)新活力和信息附加值，大大發(fā)掘信息資源，為建立新型的安全保密技術(shù)體系提供新思路和新辦法。

在傳統(tǒng)的信息安全防護(hù)基礎(chǔ)之上，進(jìn)一步提高物理隔離、訪問(wèn)控制、數(shù)據(jù)加密、容災(zāi)恢復(fù)、身份認(rèn)證等技術(shù)能力，研究云計(jì)算安全保密相關(guān)的應(yīng)用模式以及體系架構(gòu)特性，盡可能減少云計(jì)算環(huán)境下的數(shù)據(jù)安全損失［2］，對(duì)于構(gòu)建云計(jì)算的安全保密技術(shù)體系具有良好的理論意義與廣泛的實(shí)際應(yīng)用價(jià)值。

1　安全保密技術(shù)體系

安全保密技術(shù)體系主要包括物理安全保密技術(shù)、平臺(tái)安全保密技術(shù)、數(shù)據(jù)安全保密技術(shù)、通信安全保密技術(shù)和網(wǎng)絡(luò)安全保密技術(shù)五大類，這些安全保密技術(shù)相互配合、互為支撐，構(gòu)成了安全保密的技術(shù)體系。從信息系統(tǒng)和信息網(wǎng)絡(luò)的物理層安全、網(wǎng)絡(luò)安全、平臺(tái)安全、應(yīng)用安全和用戶終端安全等不同層面保護(hù)信息的機(jī)密性、完整性、可用性、可控性和不可否認(rèn)性，并且隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù)以及各種入侵與攻擊技術(shù)的不斷完善和提高，要采用可信計(jì)算技術(shù)、內(nèi)網(wǎng)監(jiān)控技術(shù)等來(lái)彌補(bǔ)傳統(tǒng)安全保密手段的不足，這就為降低安全保密管理的難度和成本，提供信息系統(tǒng)和信息網(wǎng)絡(luò)的安全可控性和可用性，奠定了技術(shù)基礎(chǔ)［3］。

2　云計(jì)算安全保密技術(shù)體系

云計(jì)算是信息技術(shù)領(lǐng)域的重大進(jìn)步，與傳統(tǒng)軟件架構(gòu)相比，云計(jì)算能夠提供自助、動(dòng)態(tài)可伸縮、可計(jì)量方式對(duì)共享資源實(shí)現(xiàn)按需訪問(wèn)，因此應(yīng)用云安全技術(shù)建設(shè)一個(gè)高安全性的標(biāo)準(zhǔn)私有云計(jì)算平臺(tái)，在一個(gè)彈性、共享、易管理的云計(jì)算平臺(tái)基礎(chǔ)之上實(shí)現(xiàn)信息管控，為云計(jì)算環(huán)境下的安全保密體系建設(shè)打好基礎(chǔ)。根據(jù)云計(jì)算平臺(tái)特點(diǎn)，從物理安全保密、平臺(tái)安全保密、數(shù)據(jù)安全保密、通信安全保密、網(wǎng)絡(luò)安全保密與新技術(shù)等方面對(duì)安全保密技術(shù)體系進(jìn)行優(yōu)化調(diào)整，提出了云計(jì)算安全保密技術(shù)體系架構(gòu)，如圖1所示。

圖1　云計(jì)算安全保密技術(shù)體系

3　關(guān)鍵技術(shù)

3.1物理隔離技術(shù)

物理隔離是指涉密網(wǎng)信息系統(tǒng)不直接或間接連接公共信息網(wǎng)絡(luò)，即使使用云計(jì)算技術(shù)，也只有物理隔離才能確保涉密網(wǎng)信息系統(tǒng)不受來(lái)自公共信息網(wǎng)絡(luò)的攻擊威脅。此外，物理隔離也為涉密網(wǎng)信息系統(tǒng)劃定了明確的安全邊界，便于安全保密管理。應(yīng)用云計(jì)算技術(shù)建設(shè)的涉密信息系統(tǒng)仍延用基礎(chǔ)環(huán)境中的屏蔽線纜、防電磁泄漏等安全手段進(jìn)行保護(hù)，為了防止違規(guī)連接互聯(lián)網(wǎng)，在云計(jì)算平臺(tái)上將終端登錄設(shè)備和云終端操作系統(tǒng)映射綁定，綁定后為云終端操作系統(tǒng)部署違規(guī)管理系統(tǒng)，該系統(tǒng)具有違規(guī)外聯(lián)控制和報(bào)警功能，部署后能夠及時(shí)發(fā)現(xiàn)違規(guī)外聯(lián)行為，立即阻斷連接并報(bào)警，同時(shí)記錄違規(guī)外聯(lián)信息。

3.2數(shù)據(jù)加密技術(shù)

為防止數(shù)據(jù)原始文件被竊取，通常使用的技術(shù)手段是對(duì)原始數(shù)據(jù)文件進(jìn)行數(shù)據(jù)加密。在云計(jì)算環(huán)境中，采用數(shù)據(jù)隔離機(jī)制防止其他用戶對(duì)數(shù)據(jù)的訪問(wèn)，而為了防止服務(wù)提供者對(duì)數(shù)據(jù)的竊取主要是采用數(shù)據(jù)加密的方式。在云計(jì)算中數(shù)據(jù)加密的具體應(yīng)用形式為：在用戶端使用用戶密鑰對(duì)數(shù)據(jù)進(jìn)行加密，并上傳至云計(jì)算環(huán)境，在使用時(shí)進(jìn)行實(shí)時(shí)解密，避免將解密后的數(shù)據(jù)存放在任何物理介質(zhì)上［4］。

3.3身份認(rèn)證技術(shù)

身份和訪問(wèn)管理：在云平臺(tái)中網(wǎng)絡(luò)管理員能夠創(chuàng)建、管理和刪除基于角色的身份，為用戶配置一個(gè)或多個(gè)角色，進(jìn)行用戶生命周期管理。管理員通過(guò)對(duì)數(shù)據(jù)的訪問(wèn)權(quán)限進(jìn)行授權(quán)，達(dá)到降低攻擊風(fēng)險(xiǎn)的目的，從而實(shí)時(shí)的將潛在的身份盜竊隱患通知給用戶或者管理者。用戶通過(guò)存儲(chǔ)訪問(wèn)接口向云存儲(chǔ)服務(wù)商提出請(qǐng)求，云存儲(chǔ)服務(wù)商需要先鑒別用戶身份的合法性，而后再驗(yàn)證用戶是否有權(quán)限訪問(wèn)資源或進(jìn)行某種操作，從而實(shí)現(xiàn)對(duì)非法用戶訪問(wèn)的集中管控。

3.4虛擬化安全

云計(jì)算平臺(tái)的最基本的單元是虛擬機(jī)，而虛擬機(jī)安全就是云計(jì)算平臺(tái)安全的最基本要求。虛擬化安全是云計(jì)算區(qū)別于傳統(tǒng)計(jì)算模式的重要特點(diǎn)之一，虛擬化技術(shù)是將底層的硬件全面虛擬化，建立一個(gè)按需部署的資源共享和管控的平臺(tái)，根據(jù)各種不同數(shù)據(jù)和業(yè)務(wù)的需求，選配出各種互相隔離的應(yīng)用，形成一個(gè)服務(wù)導(dǎo)向的IT基礎(chǔ)架構(gòu)，從而為用戶提供一種以出租IT基礎(chǔ)設(shè)施資源為形式的云計(jì)算服務(wù)。

虛擬化安全分為兩個(gè)方面：一個(gè)是虛擬化軟件安全；另一個(gè)客戶端或虛擬服務(wù)器安全。

（1）虛擬化軟件安全：是指建立必要的安全控制措施，限制對(duì)Hypervisor層的軟件修改、物理和邏輯訪問(wèn)。

（2）虛擬服務(wù)器安全：虛擬服務(wù)器或客戶端面臨的安全威脅，包括盜取主機(jī)密鑰，對(duì)服務(wù)端口進(jìn)行竊聽(tīng)，對(duì)虛擬機(jī)鏡像文件進(jìn)行完整性修改等等，鑒于以上各種威脅，需要采取以下措施：①選擇使用具有可信計(jì)算平臺(tái)模塊的虛擬服務(wù)器；②為了實(shí)現(xiàn)邏輯隔離，在每臺(tái)虛擬服務(wù)器上分配一個(gè)獨(dú)立的硬盤分區(qū)；③每臺(tái)虛擬服務(wù)器應(yīng)采用VLAN和不同IP網(wǎng)段的方式進(jìn)行邏輯隔離，并通過(guò)VPN進(jìn)行通信虛擬服務(wù)器間的網(wǎng)絡(luò)連接；④注重文件和數(shù)據(jù)備份［5］。

4　結(jié)束語(yǔ)

云計(jì)算是當(dāng)前發(fā)展十分迅速的新興產(chǎn)業(yè)，具有廣闊的發(fā)展前景，同時(shí)也面臨著前所未有的安全保密技術(shù)挑戰(zhàn)。在現(xiàn)有的安全保密技術(shù)體系的基礎(chǔ)上，結(jié)合新時(shí)期云計(jì)算環(huán)境下的安全保密技術(shù)的新要求，建立云計(jì)算安全保密技術(shù)體系架構(gòu)，系統(tǒng)闡述已有技術(shù)的變化和更新，以及云計(jì)算環(huán)境下的新興前沿技術(shù)，為云計(jì)算的安全環(huán)境打下堅(jiān)實(shí)的基礎(chǔ)。

［1］郭春梅，畢學(xué)堯，楊帆.云計(jì)算安全技術(shù)研究與趨勢(shì)［J］.信息網(wǎng)絡(luò)安全，2010（04）：736-739.

［2］羅恩韜.云計(jì)算中安全解決方案研究［D］.湖南：中南大學(xué)，2012.

［3］王宇，閻慧.信息安全保密技術(shù)［M］.北京：國(guó)防工業(yè)出版社，2012：24.

［4］鄭宇帆.云計(jì)算與云安全框架研究［J］.科技資訊，2013（11）：4-6.

［5］房晶.云計(jì)算的虛擬化安全和單點(diǎn)登錄研究［D］.北京：北京交通大學(xué)，2011.

陳飔（1988-），女，北京人，碩士研究生，中國(guó)電子科技集團(tuán)公司電子科學(xué)研究院助理工程師，研究方向：安全保密。