云計(jì)算環(huán)境中高保證隔離模型及關(guān)鍵技術(shù)研究.pdf

1、高保證系統(tǒng)指的是那些給出了確切證據(jù)證實(shí)該系統(tǒng)能夠滿足一系列重要安全屬性的系統(tǒng)，主要體現(xiàn)在系統(tǒng)安全功能的可靠、完備以及可驗(yàn)證性等方面。高保證系統(tǒng)對(duì)系統(tǒng)的安全性有著嚴(yán)格的要求，因而該系統(tǒng)在設(shè)計(jì)和分析時(shí)也需要嚴(yán)格進(jìn)行考慮。但是對(duì)高保證系統(tǒng)的具體設(shè)計(jì)和實(shí)現(xiàn)并不容易，面臨的問題包括系統(tǒng)結(jié)構(gòu)過于復(fù)雜導(dǎo)致對(duì)其進(jìn)行形式化的描述和驗(yàn)證非常困難、系統(tǒng)的可信計(jì)算基(Trusted Computing Base，TCB)的規(guī)模會(huì)隨著安全功能的增多而變得過于龐大

2、、需要對(duì)當(dāng)前的計(jì)算和網(wǎng)絡(luò)環(huán)境進(jìn)行改造以適應(yīng)對(duì)信息進(jìn)行安全標(biāo)記的處理能力等。
　　多獨(dú)立安全級(jí)（Multiple Independent Levels of Security and Safety，MILS）的概念為高保證安全系統(tǒng)的設(shè)計(jì)提供了新的思路，MILS將傳統(tǒng)的多級(jí)安全系統(tǒng)分割成了多個(gè)單級(jí)安全的組件域，通過少量的多級(jí)安全組件將這些安全域連接起來。多獨(dú)立安全級(jí)基于隔離和信息流控制的概念，支持在一個(gè)系統(tǒng)中同時(shí)存在可信和不可信的組件

3、，最終確保整個(gè)安全解決方案無法被旁路、可評(píng)估、總是被調(diào)用并且無法篡改。
　　云計(jì)算技術(shù)與MILS的思想在很大程度上契合，結(jié)合MILS概念構(gòu)建的私有云，能夠利用云計(jì)算的硬件資源復(fù)用和動(dòng)態(tài)資源的組織和分配機(jī)制等優(yōu)勢(shì)，可以快速、靈活地構(gòu)建安全域，同時(shí)這些安全域也能夠?yàn)椴煌Z義環(huán)境的操作系統(tǒng)、應(yīng)用、數(shù)據(jù)庫、網(wǎng)絡(luò)協(xié)議等提供高度的兼容性，從而使得諸如商用操作系統(tǒng)等不可信的組件可以得到應(yīng)用，有效減小了TCB的規(guī)模。但是云計(jì)算自身的安全問題使得云

4、計(jì)算技術(shù)與MILS和高保證系統(tǒng)相結(jié)合會(huì)讓云計(jì)算的使用者無法完全信任云計(jì)算環(huán)境，這導(dǎo)致能否使用云計(jì)算技術(shù)構(gòu)建滿足高保證安全要求的系統(tǒng)尚存疑問;同時(shí)盡管基于MILS的滿足高保證安全要求的云環(huán)境相對(duì)而言降低了系統(tǒng)的復(fù)雜度，但是仍然缺乏一個(gè)整體的形式化描述和驗(yàn)證，難以滿足CC標(biāo)準(zhǔn)的EAL4級(jí)以上的要求;最后，基于MILS的云計(jì)算系統(tǒng)中，安全措施之間彼此的支撐和協(xié)調(diào)關(guān)系難以得到驗(yàn)證，是否能夠滿足系統(tǒng)整體的安全策略尚未可知。MILS思想的一個(gè)核心問

5、題就是隔離，而恰恰隔離也是云計(jì)算所面臨的關(guān)鍵問題之一，能否在租戶之間形成可靠的隔離，決定了租戶數(shù)據(jù)的安全，同時(shí)影響了租戶對(duì)云計(jì)算的信任程度;能否有效隔離不同的應(yīng)用（組），決定了不同級(jí)別的信息是否串流，或單一的安全缺陷是否能威脅到整個(gè)系統(tǒng)。本文針對(duì)云計(jì)算環(huán)境下高保證的隔離問題進(jìn)行研究，主要的貢獻(xiàn)包括:
　　(1)在云計(jì)算環(huán)境中，由于基礎(chǔ)設(shè)施的擁有者和維護(hù)者與基礎(chǔ)設(shè)施的使用者并不相同，因此彼此之間存在一種對(duì)手關(guān)系。所以，為了增強(qiáng)云計(jì)算

6、使用者對(duì)云計(jì)算服務(wù)的信心，云計(jì)算服務(wù)提供者應(yīng)當(dāng)采取一定的措施向使用者證明其服務(wù)的可信，以贏取使用者的信任。關(guān)于可信云的研究探討了這個(gè)問題，并指出增強(qiáng)服務(wù)的透明性是提高云計(jì)算服務(wù)可信度的有效方法，即允許使用者參與云計(jì)算平臺(tái)的管理，使其能夠自主制定與自己相關(guān)的安全策略，對(duì)自己的數(shù)據(jù)和業(yè)務(wù)進(jìn)行控制，同時(shí)云服務(wù)提供者應(yīng)當(dāng)提供關(guān)于自身的可信證明，確保由提供者負(fù)責(zé)的部分符合使用者的安全預(yù)期。在這一思想的基礎(chǔ)上，本文提出了一種多級(jí)管理機(jī)制，明確了云服

7、務(wù)提供者和使用者的職責(zé)，使使用者能夠參與到對(duì)自己的數(shù)據(jù)、應(yīng)用以及資源的安全維護(hù)和管理中，提升了使用者的信心。在這一多級(jí)管理機(jī)制的基礎(chǔ)上，本文提出了一種租戶隔離模型，描述了租戶與租戶之間的隔離關(guān)系，包括租戶的管理，以及租戶對(duì)自身租用的資源的訪問控制等。
　　另外，由于云環(huán)境中用于承載應(yīng)用的虛擬資源是動(dòng)態(tài)分布的，同時(shí)與物理平臺(tái)并不存在綁定關(guān)系，因此應(yīng)用的邊界往往會(huì)隨著資源的變化而變化。這一特性使得租戶的隔離必須以面向應(yīng)用的抽象資源的隔

8、離為基礎(chǔ)，以確保租戶之間的隔離不會(huì)因?yàn)槌橄筚Y源的隔離不當(dāng)而失效。因此本文提出了一種應(yīng)用的隔離模型，從租戶應(yīng)用的角度，描述了云環(huán)境中資源的分配和調(diào)度，確保了在云計(jì)算動(dòng)態(tài)資源分配的前提下，不同應(yīng)用能夠保持隔離狀態(tài)，為租戶的隔離提供基礎(chǔ)。
　　(2)由于云計(jì)算系統(tǒng)過于龐大和復(fù)雜，因此對(duì)其進(jìn)行整體的形式化描述和驗(yàn)證相當(dāng)困難。而對(duì)于云計(jì)算系統(tǒng)來說，虛擬機(jī)之間的“感知”和“影響”可以用無干擾理論提供的信息流語義進(jìn)行描述。信息流能夠有效描述系統(tǒng)

9、中的交互過程，因此可以用來分析復(fù)雜系統(tǒng)的安全屬性。本文結(jié)合云計(jì)算自身的特性，從信息流的角度分析了云計(jì)算系統(tǒng)中的隔離問題，形式化描述了云計(jì)算系統(tǒng)中的信息流動(dòng)過程，提出了相應(yīng)的隔離規(guī)則，并證明了這些規(guī)則符合無干擾模型定義的信息流安全。
　　(3)在進(jìn)行復(fù)雜系統(tǒng)的設(shè)計(jì)時(shí)，往往采用自頂向下的方法，即從一個(gè)原始而抽象的體系結(jié)構(gòu)出發(fā)，對(duì)其一步步細(xì)化，最終達(dá)到具體的、可實(shí)現(xiàn)的細(xì)節(jié)架構(gòu)。但是在這一細(xì)化過程中，由于系統(tǒng)整體結(jié)構(gòu)在不斷變化，因此系統(tǒng)最

10、初的安全性設(shè)計(jì)、安全功能之間的支撐關(guān)系能否得到保留，并不能得到保證。TCB層次化擴(kuò)展是一種用于描述計(jì)算機(jī)系統(tǒng)中安全功能之間彼此支撐關(guān)系的概念，從一個(gè)TCB初始核心出發(fā)，經(jīng)過逐層擴(kuò)展，最終形成一個(gè)由可信管道連接起來的TCB子集組成的層次化結(jié)構(gòu)。TCB層次化擴(kuò)展與系統(tǒng)結(jié)構(gòu)細(xì)化方法盡管在細(xì)節(jié)上存在諸多不同，但是仍然能夠用TCB層次化擴(kuò)展的思想來指導(dǎo)系統(tǒng)結(jié)構(gòu)細(xì)化。通過在系統(tǒng)結(jié)構(gòu)細(xì)化的過程中引入管道的概念，設(shè)計(jì)了一種新的自項(xiàng)向下的結(jié)構(gòu)化設(shè)計(jì)模型，

11、確保安全功能之間彼此支撐的關(guān)系不會(huì)在細(xì)化過程中被破壞，同時(shí)系統(tǒng)原始的安全性能夠得到保留。這一模型能夠解決MILS系統(tǒng)設(shè)計(jì)中面臨的安全功能之間缺乏聯(lián)系的問題，同時(shí)這種模型對(duì)設(shè)計(jì)、實(shí)現(xiàn)原型系統(tǒng)具有指導(dǎo)作用。
　　(4)實(shí)現(xiàn)了一種私有云環(huán)境的原型系統(tǒng)來對(duì)本文提出的部分關(guān)鍵技術(shù)進(jìn)行了驗(yàn)證。其中構(gòu)建了三個(gè)子網(wǎng)絡(luò)的私有云環(huán)境;云中不同的應(yīng)用（組）之間使用openflow技術(shù)彼此隔離，同時(shí)這種隔離具有靈活性以及動(dòng)態(tài)響應(yīng)等特征;用戶的數(shù)據(jù)通過加密

12、通道的方法進(jìn)行存儲(chǔ)和隔離，并使用單向傳輸進(jìn)行在隔離基礎(chǔ)上的共享;使用虛擬桌面分離了用戶終端和操作平臺(tái)，并使用基于中間人的虛擬桌面信息流控制機(jī)制來確保用戶終端和操作平臺(tái)之間信息流的可控。
　　綜上所述，本文著重討論了高保證安全條件下的云計(jì)算環(huán)境中的隔離問題，包括租戶隔離、應(yīng)用隔離、信息流隔離等，對(duì)于能否真正運(yùn)用云計(jì)算構(gòu)建滿足高保證安全要求的計(jì)算環(huán)境，以及云計(jì)算技術(shù)與MILS思想相結(jié)合能否推動(dòng)高保證系統(tǒng)的進(jìn)一步發(fā)展，具有十分積極的理論