（计算机应用技术专业论文）网格审计策略及其应用研究.pdf

南京邮电大学硕士研究生学位论文 中文摘要 摘要 随着互联网的迅猛发展，一方面网络资源日益丰富，同时又有些任务得不到足够的资 源执行。网格理论的提出使得在网络中利用空闲互联网资源执行任务成为一种解决本地资 源不足的有效方案。 伴随着网格的发展，各种适用于网格的安全技术应运而生，并随着网格的发展不断改 进。但是，网格环境复杂，这些技术不能完全保证网格计算的安全性。审计技术实现对网 格中各种信息的审计，是我们发现和解决问题的一种有效途径，弥补了安全方面的不足。 本文侧重于网格审计方面的研究，在前人工作的基础上，针对网格的特征和发展状况， 完成了以下工作： 1 对移动代理和网格系统进行分析，设计了一个基于移动代理的网格审计模型。该 模型对不同类型节点的功能和审计重点进行了探讨，针对性地提出了一些适应网格审计需 求的策略，并进行了详细阐述。 2 根据网格的特性，本文在分布式日志审计策略的基础上，提出了根据任务的相关 性，在相关终端间对日志进行加密的动态日志审计策略。该策略选择具有任务相关性的一 组节点，在这些节点中对日志进行逐次加密，并对密文进行审计。经过实验仿真，该策略 提高了审计效率，有效地解决因网格终端众多而导致网格资源利用率低的问题。 3 针对网格任务因终端中断等原因造成执行异常导致资源重复利用的问题，本文提 出了基于日志审计的任务现场保存策略。经过分析，该策略在保证网格任务安全性的同时， 提高任务的执行效率，降低网格的负担。同时在网格审计策略的基础上，提出了基于通信 流量特征融合的安全审计。实验表明，该方案能够快速有效地检测出异常的网格流量，并 根据相似度判断出入侵的性质。 最后，对本文的工作进行了总结，并提出了下一阶段研究的重点。 关键词：移动代理，审计模型，秘密审计，现场保存，特征融合 南京邮电大学硕士研究生学位论文英文摘要 a b s t r a c t w i t ht h er a p i dd e v e l o p m e n to fi n t e r a c t ，n e t w o r kr e s o u r c e sa l eb e c o m i n gr i c h e r , i th a sa l s o b r o u g h tt h ec o n t r a d i c t i o nt h a tal o to fr e s o u r c e sa l es p a r ea n ds o m em i s s i o n sd on o th a v e a d e q u a t er e s o u r c e s t oc a r r yo u t g r i dm a k e st h et h e o r yo nt h eu s eo ff r e ei n t e r n e tr e s o u r c e si nt h e n e t w o r ka sam a n d a t et os o l v et h es h o r t a g eo fl o c a lp r o g r a m s w i t ht h ed e v e l o p m e n to f 班d ，a d a p t a t i o no ft h eg r i dc o m p u t i n gm o d e ls e c u r i t ys y s t e ma n d s a f e t yt e c h n o l o g yc a m ei n t ob e i n g s o m es e c u r i t yt e c h n o l o g yh a sb e e no rw i l ls o o nb eu s e di n v a r i o u se x p e r i m e n ta n da p p l i c a t i o n 鲥d ，a n dc o n t i n u o u s l yb e i n gi m p r o v e dw i t ht h ed e v e l o p m e n t o f 鲥d h o w e v e r , g r i di sc o m p l e x ，i ti sd i f f i c u l tt oe n s u r eh i g h - s e c u r i t y a u d i tt e c h n o l o g yi sa l l e f f e c t i v ew a yi nd i s c o v e r i n ga n d r e s o l v i n gt h ep r o b l e m s ，r e m e d y i n gt h ed e f i c i e n c i e si ns e c u r i t y t h i sp a p e rf o c u s e so nt h er e s e a r c ho ft h ea u d i lb a s e do nt h ep i r o rw o r ka n dd i r e c t e dt ot h e d e v e l o p m e n to fg r i ds e c u r i t y , t h ef o l l o w i n gw o r ki sa c c o m p l i s h e d ： 1 t h em o b i l ea g e n ta n dt h e 西da l ea n a l y s e d ，a n dam o b i l ea g e n t - b a s e dg i r da u d i tm o d e li s d e s i g n e d t h em o d e ld i s c u s s e dt h ef u n c t i o n sa n da u d i tf o c u sa b o u td i f f e r e n tt y p e so fn o d e s s o m en e wa u d i ts t r a t e g i e sw h i c hm e e tt h en e e do f 两da r e p r o p o s e d 2 t h ep a p e rs u g g e s t sas o l u t i o no nt h eb a s i so fs e c r e td i s t r i b u t e dl o ga u d i ts t r a t e g y , w h i c h c a nb em o r ee f f e c t i v et oi m p r o v et h er e s o u r c eu t i l i t y , m a k i n gt h ed e l a yi nt h ep r o c e s so fs e c r e t a u d i t i n gh a sb e e ne f f e c t i v e l yc o n t r o l l e d s a i ds t r a t e g ya c h i e v e st h ee x p e c t e do b j e c t sv i a s i m u l a t i o n 3 at a s ki m p l e m e n t a t i o ns t r a t e g yb a s e do nt h el o ga u d i ta n ds c e n e p r e s e r v a t i o ni sr a i s e d ， d i r e c tt ot h ep r o b l e mt h a tr e s o u r s e sa r er e u s e d ，w h i c hc a ng u a r a n t e es e c u r i t yo ft h eg d dt a s k s ， r a i s et h ee f f i c i e n c ya n dr e d u c et h eb u r d e no l lt h en e t w o r k s e c u r i t ya u d i ts t r a t e g yb a s e do nt h e i n t e g r a t i o no ft h ef l o wc h a r a c t e r i s t i c si sa l s or a i s e d e x p e r i m e n t ss h o wt h a tt h i ss t r a t e g yc a r l e f f e c t i v e l yd e t e c ta b n o r m a lf l o wo fn e t w o r k ，a n dj u d g et h ep r o p e r t i e so fi n v a s i o n sa c c o r d i n gt o s i m i l a r i t y f i n a l l y , t h ew o r k i ss u m m a r i z e da n d g i v e st h ef o c u so ft h ef u r t h e rr e s e a r c h k e yw o r d s ：m o b i l ea g e n t ，a u d i tm o d e l ，s e c r e ta u d i t ，s c e n ep r e s e r v a t i o n ，f e a t u r ef u s i o n i j 南京邮电大学硕士研究生学位论文 缩略词 缩略词 c g p 2 p g g g p s o a p s s h o s i o g s a o g s i w s v o w s r f u d d i d e s k q m l e c d s a c a s s l s o a t c s e c p d r a p a m a m a e s n m 【p s a u a 缩略词 英文全称 c o m p u t a t i o n a lg r i d p e e r t op e e r g r e a tg l o b a lg r i d p u b l i ck e y 胁s t r u c t u r e s i m p l eo b j e c ta c c e s sp r o t o c o l s e c u r es h e l l o p e ns y s t e mi n t e r c o n n e c t i o n o p e ng r i ds e r v i c e sa r c h i t e c t u r e o p e ng r i ds e r v i c e si n f r a s t r u c t u r e w ，e bs e r v i c e v i r t u a lo r g a n i z a t i o n 踞bs e r v i c er e s o u r c ef r a m e w o r k u n i v e r s a ld e s c r i p t i o n ，d i s c o v e r ya n di n t e g r a t i o n d a t ae n c r y t i o ns t a n d a r d k n o w l e d g eq u e r ya n dm a n i p u l a t i o nl a n g u a g e e l l i p t i cc u r v es i g n a t u r ea l g o r i t h m c e r t i f i c a t ea u t h o r i t y s e c u r es o c k e t sl a y e r s e r v i c eo r i e n t e da r c h i t e c t u r e s t r u s t e dc o m p u t e rs y s t e me v a l u a t i o nc r i t e r i a p r o t e c t i o n ，d e t e c t i o n ，r e s p o n s e a p p l i c a t i o np r o c e s sa u d i t m o b i l ea g e n t m o b i l ea g e n te s t a b l i s h m e n t s i m p l en e t w o r km a n a g e m e n tp r o t o c o l s e r v e ra g e n t u s e ra g e n t v 中文全称 计算网格 点对点 环球网格 公共密钥基础 简单对象访问协议 安全s h e l l 开放式系统互联模型 开放网格服务基础 开放网格服务基础结构 网络服务 虚拟组织 网络服务资源框架 统一描述、发现和集成协议 数据加密标准 知识查询与操纵语言 椭圆曲线数字签名 认证机构 安全套接层 面向对象结构 可信任计算机系统评量基准 保护、检测、响应 应用过程审计 移动代理 移动代理服务设施 简单网络管理协议 服务代理 用户代理 南京邮电大学硕士研究生学位论文 缩略词 s i a a s t n s d a s s e r v e ri n i t i a t o r a u d i ta g e n t s e r v i c et e r m i n a l n e ts e r v e r d i s t r i b u t i o na u d i ts t r a t e g y v i 服务发起方 审计代理 服务终端 网络服务器 分布式审计策略 南京邮电大学学位论文独创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究 工作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢的 地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包 含为获得南京邮电大学或其它教育机构的学位或证书而使用过的材 料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了 明确的说明并表示了谢意。 研究生签名：摊日期：叫 南京邮电大学学位论文使用授权声明 南京邮电大学、中国科学技术信息研究所、国家图书馆有权保留 本人所送交学位论文的复印件和电子文档，可以采用影印、缩印或其 他复制手段保存论文。本人电子文档的内容和纸质论文的内容相一 致。除在保密期内的保密论文外，允许论文被查阅和借阅，可以公布 ( 包括刊登) 论文的全部或部分内容。论文的公布( 包括刊登) 授权 南京邮电大学研究生部办理。 研究生签名j 瑾馥导师签名：趱期：幽 南京邮电大学硕士研究生学位论文 第章绪论 1 1 引言 第一章绪论 网格【l 】的概念最初是在1 9 9 5 年提出的。从广义上讲，网格是把整个互联网整合成一台 巨大的超级计算机，实现计算资源、存储资源、数据资源、信息资源、知识资源、专家资 源的全面共享。从狭义的角度，网格一般被称为计算网格( c o m p u t a t i o n a lg r i d ) ，即主要用 于解决科学与计算问题的网格。网格计算，就是指将分布的计算机组织起来协同解决复杂 的科学与工程计算问题。网格资源，主要是指分布的计算机资源。网格比较确切的定义是： 建立在i n t e m e t 、w e b 等技术之上的综合软硬件的基础设施，采用开放、统一、标准的协议， 通过对大规模分散资源的有效共享，为动态参与的多个机构所组成的虚拟组织协同完成某 项科学、工程或工业上的应用提供可扩展的、安全的、一致的、普及的、不同等级质量的 服务。 什么才是真正的网格，这一问题历来存在着争论。2 0 0 2 年7 月，i a nf o s t e r 在什么 是网格? 判断是否网格的三个标准【2 】一文中，限定网格必须同时满足三个条件：( 1 ) 在非 集中控制的环境中协同使用资源；( 2 ) 使用标准的、开放的和通用的协议和接1 2 1 ( i a nf o s t e r 认为目前只有g l o b u s 才算得上标准协议) ；( 3 ) 提供非平凡的服务。这三个条件非常严格， 象p 2 p 、s u ng r i de n g i n e 、c o n d o r 、e n t r o p i a 、m u l t i c l u s t e r 等都被排除在网格之外。但并 不是所有人都同意这一观点，例如，有许多人赞同广义的网格概念，称为巨大全球网格 g g g ( g r e a tg l o b a lg r i , i ) ，它不仅包括计算网格、数据网格、信息网格、知识网格、商业网 格，还包括一些已有的网络计算模式，例如对等计算p 2 p ( p e e r t op e e r ) 、寄生计算等。 可以这样认为，i a nf o s t e r 赞成的是一种狭义的“网格观”，而g g g 则是一种广义的 “网格观 。所有的这些都离不开一个概念共享，即计算资源、存储资源、数据资源、 信息资源、软件资源、存储资源、通信资源、知识资源、专家资源等的共享。 传统的分布式系统是一种多处理器的计算机系统，系统采用分布式计算结构，即把原 来系统内中央处理器处理的任务分散给各个相应的处理器，实现不同功能的各个处理器相 互协调，共享系统的外设与软件。这样就加快了系统的处理速度，简化了主机的逻辑结构。 网格计算是一种新的高性能的分布式计算方法，与传统分布式计算的主要区别在于：在没 有集中控制机制的情况下，通过对计算资源进行大规模共享，满足应用对高性能计算要求， 并且这种对计算资源进行大规模共享是动态的、柔性的、安全的和协作式的。 南京邮电大学硕士研究生学位论文 第一章绪论 网格安全控制可分为两个部分，一部分是通信安全的控制，一部分是安全访问控制。 安全通信控制是指在网络上保持通信数据的安全性和完整性，以及各个通信端的不可否认 性；访问安全控制目的，在于用来保护各种资源不被非授权使用。 在网格应用中，网格的各个节点通过i n t e m e t 相互连接在一起，各种信息也是通过 i n t e m e t 进行交流的，网格系统中的各个组成部分又可以动态地加入或退出网格系统。所以 网格安全的要求就要相对的严格了许多。此外，由于网格计算是基于i n t e m e t 网的，所以 对于非法访问及非法攻击要有较强的防御能力，在遭受破坏时能减少损失，保持系统的安 全运行和各种信息的安全。因此，网格安全问题是基于i n t e m e t 的覆盖面更广的安全问题， 其解决方案也就相应的比较复杂。 1 2 网格安全研究现状 网格安全的研究，现在主要集中在安全体系结构和安全技术方面的研究。五层沙漏模 型1 3 是一种以协议为中心的协议结构，o g s a ( o p e ng r i ds e r v i c e s a r c h i t e c t u r e ) 模型4 羽是五 层结构与w e bs e r v i c e 相结合而成的，以服务为中心，有利于更灵活的资源共享机制的实 现【7 ，8 】。从k e r b e r o s 票据到x 5 0 9 证书1 1 ，随着安全体系的发展，适应安全体系的安全机 制也得到飞速发展。网络安全方面，为了适应网格新特征和日益繁忙的网络，制定了 w s p o l i c y 、w s t r u s t 和w s s e c u r ec o n v e r s a t i o n 等安全规范【1 2 1 ，更多的规范也在制定中。 可以看出，网格安全的研究方向比较集中，但与网格安全相关的其它方面研究还没有形成 热点，特别是本文所要研究的网格审计方面。 网格是一个迅速发展的新技术，目前的网格研究已经取得了一些技术上的突破，如 g l o b u s 的g t 4 1 3 , 1 4 1 ，但是仍未实现大规模的应用。相信在不久的将来，网格将逐渐与w e b 相融合，许多应用都将在网格的基础平台上得以实施，从而形成一个新的蓬勃发展的产业。 网格安全作为网格实际应用的保障，其重要性不言而喻。传统的加密算法如m d 5 1 5 1 、s h a 1 受到严峻的考验，伪造符合x 5 0 9 协议认证的证书已成为可能，这些都使我们进一步认识 到网格安全还面临着很多困难。使用更为安全的密码标准，只是网格安全所面临的问题之 一。我们需要继续努力，推动网格的实际应用。 具体地说，网格计算所面临的安全问题 1 6 , 1 7 1 可以分为三类：现有系统和技术的集成； 不同主机环境协同工作的能力；相互影响的主机环境之间的信任关系。因此，解决网格环 境的安全问题可分为以下三个研究领域： ( 1 ) 集成解决方案。着重解决如何使用现有的服务以及接口应该被抽象成可扩展的体 系结构。 2 南京邮电大学硕士研究生学位论文 第一章绪论 ( 2 ) 协同工作能力解决方案。着重解决如何在有着不同安全机制和策略的虚拟组织中 的服务的互相调用问题。 ( 3 ) 信任策略解决方案。着重解决如何在动态网格环境下定义、管理、执行信任策略。 以上所述是如何解决网格中的安全问题。审计做为一种能够发现网格安全问题的安全 防范技术，不能算是真正意义上的安全技术，但是缺少了审计，网格安全就不可能得到充 分的保证，网格中隐藏的危机将很难被发掘出来。因此，审计是与网格安全技术息息相关 的，对网格安全问题的研究需要得到网格审计技术的支持，两者的有效结合，能够保证网 格的安全性日益完善。 目前，网格的研究主要在美国和欧洲。英国政府已投资1 亿英镑，用来研制“英国国 家网格 御kn a t i o n a lo d d ) 。美国政府用于网格技术基础研究经费则已达5 亿美元。美国 军方正规划实施一个宏大的网格计划，叫做“全球信息网格( g l o b a li n f o r m a t i o ng r i d ) ， 预计在2 0 2 0 年完成。作为这个计划的一部分，美国海军和海军陆战队已启动了一个耗资 1 6 0 亿美元历时8 年的项目，包括系统的研制、建设、维护和升级。 日本与韩国的网格计划已经启动，并各自成立了全国网格论坛。日本在2 0 0 3 年启动 了“国家研究网格 和“商务网格 。韩国的网格计划之一是n g r i d ，2 0 0 2 - 2 0 0 6 的五年 计划将投资3 5 0 0 万美元，但不包括网络和高性能计算机的投入，后者每年投入为1 5 0 0 万 美元。台湾也启动了“知识创新网格”的三年科研计划，总投资为3 0 0 0 万美元。 随着网格研究在学术界的加速，信息产业界的大公司也相继公布了与网格目标一致的 研究开发计划。惠普、i b m 、微软、s u n 等公司最近取得共识，支持x m l 、s o a p t l 8 1 、u d d i 等万维网标准，从而更有利于开发新一代的网络应用，即万维网服务。其目的是将因特网 上的资源和信息汇聚在一起，组合成企业和消费者所需要的服务。惠普推出了e s p e a k 万 维网服务平台；i b m 用它的w e b s p h e r e 平台和一系列中间件实现万维网服务；微软的路线 是通过其n e t 计划和c # 语言实现万维网服务；s u n 则通过o p e nn e t w o r ke n v i r o n m e n t ( s u no n e ) 计划和j a v a 平台来实现它。另外，i b m 最近宣布，将投资4 0 亿美元，启动 一个全公司的“网格计算创新计划 ；s u n 则在2 0 0 0 年9 月公布了其网格引擎软件。 国际上的网格研究主要采用开放源码、公开合作的模式。全球网格论坛( g l o b a l g r i d f o r u m ) 是目前主要的合作组织，我们可以从其网址找到关于网格研究现状的信息。 目前比较有影响的研究计划有g l o b u s 、l e g i o n 、i n f o r m a t i o np o w e rg r i d 、e u r o c n i d 、d i s t r i b u t e d t e r a s c a l ef a c i l i t y 等。 在国内，中国科学院计算技术研究所对网格技术的研究已较为深入。计算所的网格技 术研究在尽量使用国际上已有的先进技术的同时，坚持自己的创新。有特色，才能参与国 南京邮电大学硕士研究生学位论文 第一章绪论 际标准的制订。计算所网格研究的最大特色是“服务网格 的思想，而国际上的网格研究 目前主要面向科学计算。 1 3 本文工作与章节安排 网格安全研究，主要体现在对现有的安全技术和解决方案进行改进，或提出新的适合 网格计算的安全技术。审计是安全机制的最后防线，现有成熟的审计机制是基于分布式等 系统结构的，尚未形成一套完整的适用于网格需求的标准。本文主要是对现在尚未成为热 点研究内容的网格审计方面的问题进行研究，旨在对网格审计进行研究，探讨出一套适合 网格应用的审计方案，使得网格审计能够保证网格计算的快速安全有效。 现在的网格应用重点，在于利用互联网空闲资源进行科学计算。由于网络资源的安全 性得不到保证，在现有的网格安全技术条件下，还不能完全满足对网格计算安全性的要求， 使得这一类网格计算具有极高的动态性和安全隐患：同时，现有的审计技术还不能解决网 格系统中终端分布广和动态性大的问题。因此，需要对网格审计策略进行充分的研究，形 成一个符合网格要求的有效审计体制，保证在网格系统发生危险后，能够及时的发现并解 决问题。本文针对网格计算对审计的要求，主要进行了以下工作： 1 对移动代理和网格系统进行分析，设计了一个基于移动代理的网格审计模型。该 模型对不同类型节点的功能和审计重点进行了探讨，针对性地提出了一些适应网格审计需 求的策略，并进行了详细阐述。 2 根据网格的特性，本文在分布式日志秘密审计策略的基础上，提出了根据任务的 相关性在相关终端间对日志进行加密的动态日志审计策略，能够有效解决因网格终端较多 而带来资源利用率不高的问题，使得秘密审计在加密过程中的系统资源消耗和时延得到有 效的控制。该策略将任务具有相关性终端的日志信息进行逐次加密，在保证安全性的基础 上减轻了系统的负担。 3 在日志审计的基础上，针对网格中某些任务异常中止导致资源重复利用的问题， 本文提出了基于现场保存和日志审计的子任务执行方案，能够在保证网格计算任务安全性 的同时，提高子任务执行的效率，降低网络的负担，具有较好的应用前景。在网格审计策 略的基础上，提出了基于通信流量特征融合的安全审计，实验表明，这种方案能够快速有 效地检测出异常的网络流量，并能根据相似度给出入侵性质的参考。 本论文的章节安排如下： 第一章是绪论，简要介绍了网格的发展背景和当前国内外的发展现状，并提出了网格 技术中存在的一些热点问题。 4 南京邮电大学硕士研究生学位论文 第一章绪论 第二章是网格安全技术的综述，对网格安全技术的发展进行了较全面的论述，包括网 格的发展历史、安全体系的概念和模型以及网格安全技术的最新发展动态。 第三章主要对移动代理技术和常见的审计模型进行分析，在此基础上，提出了基于移 动代理的网格审计系统模型的实现方案，并对审计模型的具体实现进行了阐述。 第四章是对网格日志的秘密审计策略进行研究。首先分析分布式网络中的日志审计策 略，通过分析网格日志审计的需求，提出了一种网格日志秘密审计策略。并通过实验检验 了该审计策略效果。 第五章研究了网格日志审计的应用。首先讨论了基于日志审计的任务现场保存策略， 通过现场保存和对任务日志进行准实时审计方法的结合，实现了任务执行效率的提高；结 合特征融合的概念，针对日志审计，提出了服务器端和终端的通信日志中重要特征融合以 进行审计的思想，并进行了实验。 南京邮电大学硕士研究生学位论文 第二章网格安全技术综述 第二章网格安全技术综述 随着网格技术的飞速发展，对网格安全技术的要求也日益提高。网格是基于互联网的 网络分布式技术，需要面对比网络更为复杂的安全状况。 网格的动态性和网格资源的异构与多样性【1 9 1 ，是网格区别于一般分布式计算的主要方 面，符合网格需求的网格安全应该是标准的、自主的自治的、可扩展的和透明的。网格安 全的设计目标有以下5 点： ( 1 ) 支持在网格计算环境中主体之间的安全通信，防止主体假冒和数据泄漏： ( 2 ) 需要支持跨虚拟组织边界的安全，避免采用集中管理的安全系统； ( 3 ) 需要支持网格用户的“单一登录”，包括跨多个资源和站点的计算所进行的信任委 托和信任转移。 ( 4 ) 需要支持资源和站点的实时接入和退出，避免由于突发情况非正常退出而造成的 安全上的漏洞。 ( 5 ) 在增加安全性的同时，应避免网格结构复杂性的急剧上升，兼顾安全和效率。 本章在分析研究网格安全需求的基础上，介绍了网格相关的安全技术，包括网格中应 用的保密、通信安全、安全认证、安全协议和安全体系结构等，同时对审计技术也进行了 详细介绍，最后介绍了网格中比较有名的g l o b u s 项目相关的内容。 2 1 网格安全需求 2 1 1 网格体系结构 要实现网格安全，我们首先需要对网格的体系结构【2 0 1 及标准有一定的认识。自网格提 出之日起，网格服务标准的制订就一直进行着，各种标准相继提出，而每次不同标准的融 合统一进程都使网格标准逐渐成熟和完善。 传统的五层沙漏模型将网格系统分为构造层、连接层、资源层、汇集层和应用层。该 模型是以协议为中心的协议结构，强调各个协议在各层中的地位和作用。它是在o s i 七层 体系结构的基础上演化而来的，每一层都定义了相应的协议和服务。 网格体系结构已经有了定的研究，可以分为四种主要形式：( 1 ) 抽象层次结构，( 2 ) 积木块结构，( 3 ) 概念空间结构，( 4 ) 混合结构。 在抽象层次结构中，最重要最有代表性的就是五层沙漏结构。五层沙漏结构的提出比 o g s a 要早，它是一种以“协议 为中心的结构，强调协议在网格的资源共享和互操作中 6 南京邮电大学硕士研究生学位论文 第二章网格安全技术综述 的地位。为此，根据与底层具体物理资源的距离，从下到上将网格划分为五层，分别是构 造层、连接层、资源层、汇聚层和应用层。五层结构的一个重要特点，就是“沙漏”形状， 其原因就在于各层协议的数量是不同的，对于最核心的部分，要求既能实现上层各种协议 向自身协议的映射，同时又能实现自身协议向下层其它各种协议的映射，同时核心协议在 所有支持网格计算的地点都应该得到支持，所以核心协议的数量不应该太多，这样核心协 议就形成了协议层次结构中的一个瓶颈。在五层结构中，资源层和连接层共同组成这一核 心的瓶颈部分，如图2 1 所示。 图2 1 五层沙漏模型 在传统的沙漏模型的影响下，提出了基于“服务 的网格体系结构o g s a 。o g s a t 4 - - 6 1 模型是五层结构与w e bs e r v i c e 相结合而成的，o g s a 将所有的资源都定义成“服务 ， 并使用一系列的标准协议和接口进行连接。o g s a 与沙漏结构的主要区别在于，o g s a 是 以服务为中心的【7 一，将各种资源都抽象为服务，有利于更灵活的资源共享机制的实现。该 体系结构的基本组件，是开放网格服务基础结构( o p e ng r i ds e r v i c e si n f r a s t r u c t u r e o g s i ) 。 该规范成功地解决了一些与分布式系统相关的问题( 生命周期、命名、引用和状态管理) 。 同时，当该规范采用某些w e b 服务概念，特别是实例寻址、有状态服务的概念和w e b 服 务最佳实践指南时，会存在一些松散性。随着有状态w e b 服务和相关性的出现，以及 w s - a d d r e s s i n g 和相关规范的成熟，这些问题最终将会得到解决。o g s a 过分强调网格服 务和w e b 服务的差别，导致了两者之间不能更好地融合在一起，而且o g s i 规范过于注重 服务，而没有对资源和服务进行区分。o g s i 使用目前的w e b 服务和x m l 工具不能良好 工作，其过于采用x m l 模式可能造成移植性差的问题。 在o g s a 中，可以基于简单的基本的服务，形成更复杂、更高级、更抽象的服务。比 如一个复杂的计算问题所需要的服务，包括网络、存储、数据查询、计算资源等各方面的 服务，可以将这些基本的服务组织起来，形成一个高级的抽象服务，从而方便地为应用提 供支持。 图2 2 网格服务组成关系 图2 2 是网格服务组成关系的示意图。例如，一个高级的抽象服务可以由a 、b 、c - - 个 不同的服务组成，而a 和c 又分别是由其它的更具体的服务组成的，d 、e 、f 共同完成a 服 务的功能，而g 和h 完成c 服务的功能。 以网格服务为中心的模型具有如下好处：( 1 ) 由于网格环境中所有的组件都是虚拟化 的，因此，通过提供一组相对统一的核心接口，所有的网格服务都基于这些接口实现，就 可以很容易地构造出具有层次结构的、更高级别的服务，这些服务可以跨越不同的抽象层 次，以一种统一的方式来看待；( 2 ) 虚拟化也使得将多个逻辑资源实例映射到相同的物理 资源上成为可能，在对服务进行组合时不必考虑具体的实现，可以以底层资源组成为基础， 在虚拟组织( v i r t u a lo r g a n i z a t i o n ) 中进行资源管理。通过网格服务的虚拟化，可以将 通用的服务语义和行为，无缝地映射到本地平台的基础设施上。 网格服务框架w s r f ( w e bs e r v i c er e s o u r c ef r a m e w o r k ) 2 1 2 2 1 ，是在o g s i 的基础上发展 起来的。o g s i 在实际应用中存在着一些问题，它没有一个比较清晰的对各种功能的界定， 在一个界定中混杂了太多的材料，它将一切资源都划分为服务的行为，可能导致资源管理 利用的混乱。w s r f 定义出一个通用且开放的架构，利用w e b 服务对具有状态属性的资源 进行存取，并包含描述状态属性的机制，另外也包含如何将机制延伸至w e b 服务中的方式。 它的提出加速了网格和w e b 服务的融合，以及科研与实际的接轨。w e b 服务和网格在起步 阶段有着较大的差距，随着技术和需求的发展，w e b 服务和网格逐渐地相互渗透，o g s i 已经尝试了将w e b 服务应用于网格。w s r f 是被提议的w e b 服务规范的一部分，定义了 一系列的标准。w s r f 使用了与平台无关的x m l 语言定义如何描述和访问各类资源，并 明确的将服务及服务所使用的状态资源区别开来，以便制订标准。w s r f 采用了与网格服 务完全不同的定义：资源是有状态的，服务是无状态的。在w s r f 中，安全策略是通过 w sp o l i c y 和w s s e c u r i t yp o l i c y l 2 3 1 实现的。 2 1 2 网格系统的安全要求 南京邮电大学硕士研究生学位论文 第二章网格安全技术综述 网格安全与网络安全不同，需要解决授权转移、代理与各服务器间的安全通讯等问题。 例如：在网格计算中，有时需要将一个大的任务分解成若干子任务，并将这些子任务发送 到网格的各个服务终端( 以下简称终端) 执行；在网格中，需要设置代理对子任务的执行 进行合理的安排，并对各个子任务进行监控。在这种网格中，代理行使的权限是基于服务 发起方的，需要拥有服务发起方的授权特征；子任务之间在任务执行时也会与代理进行通 信，需要保障这部分通讯的安全和完整；终端可能由于各种原因中断服务，此时，如何保 证这些子任务的顺利进行非常重要。在上述过程中，我们需要一系列的网络服务标准来控 制这些子任务的通讯，在子任务非正常退出后，能迅速地恢复并将子任务分配到网格中的 其它资源服务器端。 网格系统的安全要求包括：认证、访问控制、数据的保密性和完整性、抗抵赖性。其 中的重点，是对认证和访问控制的要求。在访问中必须提供认证机制，即用户可以通过相 互间的认证来确认各方身份的合法性，同时在任何时候也尽可能不要改变访问控制。要使 一个网格满足这样的安全要求，就必须使其符合以下条件： ( 1 ) 单一的登录点。用户只需要在开始计算的时候进行一次认证，计算过程中的服务 和通讯则不需要再进行认证。 ( 2 ) 信用凭证保证用户凭证( 密码、密钥等) 必须受到保护。 ( 3 ) 局部安全方案的互用性。当安全解决方案能提供域问访问控制机制时，对局部资 源的访问应由本地安全机制决定。但是，改变局部资源来适应域间访问是不现实的，这要 求有一个或多个实体，作为局部资源的远程客户佣户代理。 ( 4 ) 可公开性。要求代码在多个测试床上可公开、可执行。 ( 5 ) 统一的认证机构。域间访问要求用最小的、通用的方法来表示安全主体( 如一个 用户或一个资源) ，因此必须使用标准的认证标准。 ( 6 ) 支持安全组通信。通信可能包括许多过程，这些过程需要一个组来协调活动的进 程。因此，需要支持动态组的安全通信。 ( 7 ) 支持多项实施方案。安全策略不能专为一项特定的应用技术而制定。它应该可以 应用于大量的基于公钥和密码的系统中。 2 1 3 网格的安全策略 为了满足系统的安全要求，网格的安全策略般需要考虑以下几个方面： ( 1 ) 网格环境包括多个信任域。 该策略元素说明网格安全策略必须集成一个局部可管理的用户和资源的异构集合。总 9 南京邮电大学硕士研究生学位论文 第二章网格安全技术综述 体上，网格环境将不限制或不影响局部安全策略。这样，我们既不用代替局部安全策略， 也不能覆盖局部策略决定。因此，网格安全策略必须集中于域间相互作用和映射域间操作 为局部安全策略。 ( 2 ) 单一信任域内的操作仅受局部安全策略的影响。 网格安全策略没有在局部操作中额外增加安全操作和服务。局部安全策略可通过许多 种方法来执行，包括防火墙、k e r b e r o s 和s s h 。 ( 3 ) 对每个信任域，都存在一个从全局到局部主体的映像。 实际上，每个资源用户将有两个名字，个全局名字和一个局部资源名字。全局名字 到局部名字的映像是特定的位置说明。 ( 4 ) 位于不同信任域的实体间的操作要求相互鉴别。 ( 5 ) 一个被鉴别的全局主体映像为一个局部主体被看作等同于局部主体的本地认证。 换言之，在一个信任域内，网格鉴别策略和局部映像的结合满足于主机域内的安全对 象。 ( 6 ) 所有访问控制决定都由局部主体在本地做出。 该策略组成部分要求访问控制决定权保留在局部系统管理员手中。 ( 7 ) 一个程序或过程可以代表用户操作，从属于用户权利的子集。 该策略对支持长生命周期程序的执行是必须的，这些程序可以获得动态资源而无需额 外的用户相互作用。它也要求支持过程的创建。 ( 8 ) 代表同一信任域内同一主体的过程可以共享一个单一的信用集。 网格计算可能包含一个单一资源上的上百个进程。该策略组成部分通过避免为每个过 程创建一个唯一凭证，使安全结构可扩展到大规模的并行应用。 2 2 网格安全技术 网格安全研究涉及很多方面，包括密码技术、安全传输技术、安全认证技术、访问控 制技术、w e bs e r v i c e 安全技术，从网格安全结构、系统模型到网络安全协议、加密算法和 安全应用支持等。 2 2 1 密码技术 密码学是最基本的网络安全技术，是用来保证信息安全的一种必要的手段。密码算法 的目的是为了保护信息的保密性、完整性和安全性，简单地说就是信息的防伪造与防窃取。 1 9 7 7 年美国的数据加密标准( d e s ) 公布导致密码学被广泛地研究，现在密码学已经得到了 1 0 南京邮电大学硕士研究生学位论文 第二章网格安全技术综述 空前的发展。 密码学的鼻祖香农提出了一些概念和基本理论，论证了只有一种密码算法是理论上不 可解的，那就是o n et i m ep a d d i n g ，这种算法要求采用一个随机的二进制序列作为密钥， 与待加密的二进制序列按位异或，其中密钥的长度不小于待加密的二进制序列的长度，而 且一个密钥只能使用一次，但该算法在事实上是不可行的，而其它算法都是理论上可解的。 所以采用的密码算法做到事实上不可解就可以了，当一个密码算法已知的破解算法的时间 复杂度是指数级时，称该算法为事实上不可解的。 密码算法可以看作是一个复杂的函数变换，c = 仃mk e y ) ，c 代表密文，即加密后得 到的字符序列，m 代表明文即待加密的字符序列，k e y 表示密钥，是秘密选定的一个字符 序列。密码学的一个原则是“一切秘密寓于密钥之中 ，算法可以公开。当加密完成后， 可以将密文通过不安全渠道送给收信人，只有拥有解密密钥的收信人可以对密文进行解密 即反变换得到明文，密钥的传递必须通过安全渠道。 基于密钥的密码算法分为公开密码算法和对称密码算法。当前公开密码算法的速度， 比起对称密码算法，要慢的多，这使得公开密码算法在大数据量的加密中应用有限，以至 于在很多情况下是不可行的。可以用以下两步过程来代替： ( 1 ) 用随机生成的对称密钥来加密数据。 ( 2 ) 用授权接收者的公钥来加密这个对称密钥。 2 2 2 安全认证机制 网络环境的复杂性决定了关注安全性的重要性。网络的安全机制伴随着网络的诞生一 直在发展，现在已经形成了许多成熟的安全机制。 1 公钥基础设施( p r d ) 公钥基础设施是“p u b l i ck e yi n f r a s t r u c t u r e ”的缩写。简单地说，p k i 技术就是利用公钥 理论和技术建立的提供信息安全服务的基础设施。公钥体制是目前应用最广泛的一种加密 体制，在这一体制中，加密密钥与解密密钥各不相同，发送信息的人利用接收者的公钥发 送加密信息，接收者再利用自己专有的私钥进行解密。这种方式既保证了信息的机密性， 又能保证信息具有不可抵赖性。目前，公钥体制广泛地用于c a ( c e r t i f i c a t ea u t h o r i t y ) 认证、 数字签名和密钥交换等领域。 到目前为止，完善并正确实施的p k i 系统是全面解决所有网络交易和通信安全问题的 最佳途径