(计算机应用技术专业论文)信息网格安全机制的研究及应用.pdf_第1页
(计算机应用技术专业论文)信息网格安全机制的研究及应用.pdf_第2页
(计算机应用技术专业论文)信息网格安全机制的研究及应用.pdf_第3页
(计算机应用技术专业论文)信息网格安全机制的研究及应用.pdf_第4页
免费预览已结束,剩余1页可下载查看

下载本文档

版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领

文档简介

摘要 信息网格的出现消除了信息系统面临的信息孤岛问题,实现了真 正意义上的信息共享。然而,由于信息网格的异构性、动态性、用户 和资源数量大等特点,它所要解决的安全问题也变得更加复杂。信息 网格的安全问题是信息网格研究的主要方向之一,主要包括身份认 证、访问控制、安全通信和审计等。 现有的身份认证主要解决的是单个认证域内的认证,对于多个域 之间的身份认证,尤其是异构域之间的身份认证研究较少。论文在当 前网格安全基础设施弋s i 基础上,结合网格门户设计了多个域之间 的身份认证模型。 基于角色的访问控制是分布式环境中采用的主要访问控制策略。 然而由于信息网格环境的特殊性,现有的基于角色的访问控制必须经 过扩展才能很好地应用在网格中。另外,对资源的访问控制粒度的设 计是保证资源安全、有效访问的一个重要方面。论文对现有的基于角 色的访问控制进行扩展,给出了一种基于角色的细粒度访问控制模 型,并给出了总体设计框图。 最后,结合专家信息共享网格的具体要求,对身份认证、访问控 制和安全通信等分别进行了分析和设计,较好地解决了专家信息共享 网格的安全问题。 关键词身份认证,访问控制,信息网格,角色,细粒度 a bs t r a c t t h ea p p e a r a n c eo fi n f o r m a t i o ng r i de l i m i n a t e st h ep r o b l e mo f i s o l a t e d - i s l a n d ,i n f o r m a t i o n e x i s t i n g i ni n f o r m a t i o n s y s t e m ,a n d i m p l e m e n t sa c t u a li n f o r m a t i o ns h a r i n g b u t b e c a u s ei n f o r m a t i o ng r i di s i s o m e r o u sa n dd y n a m i c ,a n di to w n sm a n yu s e r sa n dr e s o u r c e s ,a n dt h e l i k e ,a l lt h ec h a r a c t e r sd e c i d e st h a tt h es e c u r i t yi s s u e s i tm u s ts o l v e b e c o m em o r ec o m p l e x t h es e c u r i t yo fi n f o r m a t i o ng r i d ,w h i c hm a i l y i n c l u d e si d e n t i t ya u t h e n t i c a t i o n ,a c e s sc o n t r o l ,s e c u r i t yc o r r e s p o n d e n c e a n da u d i t i n g ,i so n eo ft h em a i nd i r e c t i o n sr e s e a r c h e dn o w a d a y s t h ee x i s t i n gi d e n t i t ya u t h e n t i c a t i o nm e c h a n i s m sm a i l ys o l v et h e a u t h e n t i c a t i o np r o b l e mi nas i n g l ea u t h e n t i c a t i o nd o m a i n b u tt h e r ei sa l i t t l er e s e a r c hi nt h ef i e l do fm a n ya u t h e n t i c a t i o nd o m a i n s ,e s p e c i a l l yi n t h ef i e l do fm a n yi s o m e r o u sd o m a i n s t h i sp a p e rd e s i g n sau n i f o r m i d e n t i t ya u t h e n t i c a t i o nm o d e lo nt h eb a s i so ft h ee x i s i n gg r i ds e c u r i t y i n f r a s t r u c t u r e g s ia n dg r i dp o r t a l r o l e b a s e da c c e s sc o n t r o li st h em a i na c c e s sc o n t r o lp o l i c yu s e di n t h ed i s t r i b u t e ds y s t e m ,b u t ,b e c a u s eo ft h ep a r t i c u l a r i t yo fi n f o r m a t i o n g r i d ,e x i s t i n gr b a cm e c h a n i s mm u s tb ee x p a n d e di no r d e rt ob ef i n e l y u s e di nt h eg r i de n v i r o n m e n t f u r t h e r m o r e ,d e s i g no fa c c e s sc o n t r o lg a i n t or e s o u r c e si so n ei m p o r t a n ta s p e c tt oe n s u r et h a tr e s o u r c e sa r ea c c e s s e d e f f i c i e n t l ya n ds a f e l y t h i sp a p e re x p a n d st h ee x i s t i n gr b a ca n dd e s i g n s af i n e g r a i na u t h o r i z a t i o nm o d e lb a s e do nr b a c ,a n dg i v e si t sd e s i g n p i c t u r e a tl a s t ,t h i s p a p e ra n a l y s e sa n dd e s i g n si d e n t i t ya u t h e n t i c a t i o n , a c c e s sc o n t r o la n ds e c u r i t yc o r r e s p o n d e n c er e s p e c t i v e l ya c c o r d i n gt ot h e i d i o g r a p h i cr e q u i r e m e n t s o fe x p e r ti n f o r m a t i o ns h a r i n gg r i d f i n e l y s o l v ei d e n t i t ya u t h e n t i c a t i o n ,a c c e s sc o n t r o la n ds e c u r i t yc o r r e s p o n d e n c e i ne x p e r ti n f o r m a t i o ns h a r i n gg r i d k e yw o r d si d e n t i t ya u t h e n t i c a t i o n ,a c c e s sc o n t r o l ,i n f o r m a t i o ng r i d , r o l e ,f i n e - g r a i n i l 原创性声明 本人声明,所呈交的学位论文是本人在导师指导下进行的研究 工作及取得的研究成果。尽我所知,除了论文中特另t l d n 以标注和致谢 的地方外,论文中不包含其他人已经发表或撰写过的研究成果,也不 包含为获得中南大学或其他单位的学位或证书而使用过的材料。与我 共同工作的同志对本研究所作的贡献均已在论文中作了明确的说明。 作者签名:邀丝曼 日期: 2 笾年量月丝日 学位论文版权使用授权书 本人了解中南大学有关保留、使用学位论文的规定,即:学校 有权保留学位论文并根据国家或湖南省有关部门规定送交学位论文, 允许学位论文被查阅和借阅;学校可以公布学位论文的全部或部分内 容,可以采用复印、缩印或其它手段保存学位论文。同时授权中国科 学技术信息研究所将本学位论文收录到中国学位论文全文数据库, 并通过网络向社会公众提供信息服务。 日期:碰毗月乡日 硕士学位论文 第一章绪论 第一章绪论 网格n 捌是近年来逐渐兴起的一个研究领域,被称为下一代的因特网。传统 的i n t e r n e t 实现了计算机硬件的连通,w e b 实现了网页的连通,而网格则试图把 整个因特网上的各种资源整合成一台巨大的计算机,从而实现资源共享与协同工 作,充分利用资源,解决信息资源“孤岛问题。 网格在给人们提供便利的同时,也暴露出了一些比现有网络更加复杂的安全 问题,因而网格安全便成了一个必须解决的关键问题。网格可以跨越多企业、多 系统或者个人,它们对安全控制的需求和采用的安全策略可能完全不同,因此网 格的安全机制应该是通用的、全局的安全策略,需要与本地的安全策略协调和交 互,既要满足全局控制的需要,又可以满足用户自主控制的需求。 信息网格要解决的一个关键问题是信息共享的安全控制。信息网格的安全控 制机制主要包括身份认证机制口1 、授权访问控制机制h 1 和审计机制。授权是由其 中一方决定另一方可以拥有的权限,而认证指的是一方验证另一方的身份是否合 法或是否得到合法的授权,若认证通过,则允许其使用授权方指定的权限,否则 拒绝其申请。由于网格环境的许多特殊性,这就给访问控制与认证提出了新的挑 战。 1 1 课题研究背景 信息技术的飞速发展极大地改变了人们的生产和生活,信息系统的大量普及 己经成为信息社会的重要标志之一。与此同时,也出现了一些现有的信息技术所 不能解决的问题,如信息孤岛、适应性差等。需求永远是技术发展的动力,为了 解决这些问题,信息网格应运而生。 近些年来,随着网络评审的蓬勃发展,全国各部门、各省市、自治区都建立 了自己独立的专家库,积累了大量的专家信息。然而,由于这些专家库是相互独 立的,每个单独的专家库常常面临专家信息不足的问题,例如,对于某些冷门专 业,在某一省市该专业的专家只有几个甚至没有,这必然导致该省市在这个专业 的专家数偏少。同时,由于各个专家库的信息收集是相互独立的,多个专家库中 常常收集有同一专家的信息,而信息却不一致。基于这种现状,国家奖励办与教 育部计划建立全国专家信息共享网格,使全国的专家库形成一个有机的整体,促 进专家信息的共享以解决单个省市专家库信息不足的问题,统一管理专家信息以 避免同一个专家的信息在不同专家库不一致的问题,消除信息资源“孤岛 。 信息网格是用网格技术实现信息的共享、管理和提供信息服务的基于 硕士学位论文 第一章绪论 i n t e r n e t 的新一代信息平台和软件基础设施,它的目标是提高系统的动态性和开 放性,以低成本的方式实现i n t e m e t w e b 上的海量资源共享。主要解决广域分布、 异构信息源的互连和互操作问题,以满足企业、政府部门等组织信息共享的需求。 专家信息共享网格是建立在现有的i n t e r n e t 基础之上的,因而不可避免地会 遇到一些安全方面的问题。然而,信息网格不同于i n t e r n e t ,由于信息网格自身 的一些特殊性,这就决定了信息网格的安全问题不能只是依赖于现有的安全技 术,而是应该结合实际的情况对安全技术进行扩展和改进,使其能够适应信息网 格的需求。这无疑是一个极大的挑战。 现在,对于身份认证和访问控制的研究很多,而每种方案都各有优缺点。本 课题针对专家信息共享网格的安全需求,在分析和总结现有的网络和网格安全技 术的基础上,研究并给出了一套适合于专家信息共享网格的认证和授权模型,较 好地解决了专家信息共享网格的安全问题。 1 2 信息网格安全的国内外研究现状 网格安全的研究是伴随着网格计算技术的发展而不断深入的。网格安全发展 到现在已经取得了很多成果,下面对网格安全研究的现状进行介绍。网格安全是 在传统互联网安全技术基础上发展而来的,在传统的互联网环境下发展起来的主 要安全技术包括: 密码技术:对称加密,非对称加密,h a s h 函数,数字签名等; 安全传输协议:i p s e c i p v 6 ,s s l s s h ,s m i m e 等; 安全认证协议:p k i 和k e r b e r o s ; 访问控制技术:d a c m a c r b a c ,防火墙; w e bs e r v i c e s 安全技术:x m l 加密,x m l 签名,s o a p 安全等。 网格安全系统在构建时集成了这些技术,目前发展较好的网格安全体系结构 是g l o b u s 项目的g s i 以及基于o g s a 的网格安全体系结构。网格技术已经和w e b s e r v i c e s 技术融合在一起。网格安全设计上也考虑了这一变化,在采用o g s a 的 g l o b u s 网格中,最新的网格安全体系结构已经把w e bs e r v i c e s 安全和网格安全 结合在一起。 1 2 1 信息网格认证技术的研究现状 为支持网格环境下信息通信和使用的安全性,很多认证协议和认证证书被开 发和建立起来,主要有: ( 1 ) x 5 0 9 渊证书:是当前网格环境下应用范围最广的一种证书。x 5 0 9 证书 是随p k i 的形成而新发展起来的安全机制,当前版本是x 5 0 9 v 3 ,相对以前的版 2 硕士学位论文 第一章绪论 本,它加入了扩展字段,这极大地增进了证书的灵活性。x 5 0 9 证书实现了身份 的鉴别和认证、完整性、保密性和不可否认性等安全服务。 ( 2 ) k e r b e r o s 。刀认证协议:k e r b e r o s 最初是m i t ( 麻省理工学院) 为a t h e n a 项 目开发的,是t c p i p 网络设计的可信任的第三方认证协议。k e r b e r o s 提供了一 种在开放式网络环境下进行身份认证的方法,并允许个人访问网络中不同的机 器,它使网络上的用户可以相互证明自己的身份。 ( 3 ) 属性证书:它是一种轻量级的数字证书,这种数字证书不含公钥信息,只 包括证书所有人i d 、发行证书i d 、签名算法、有效期、属性等信息。一般的属 性证书的有效期都比较短暂,到了有效期的日期,证书会自动失效,这样可以避 免公钥证书在处理c r l 时的种种弊端。 ( 4 ) p k c s 证书:p k c s ( p u b l i ck e yc r y p t o g r a p h ys t a n d a r d s ,公钥密码标准) 是r s a 实验室发布的一系列的关于公钥技术的标准。p k c s 标准提供了基本的数 据格式定义和算法定义。 ( 5 ) s k p i 证书:s k p i 提倡使用以公钥作为用户的相关标志符,必要时名字和 其他身份信息可以和密钥结合。s k p i 的工作重点在于授权,不是身份,所以s k p i 证书也可以称为授权证书。s k p i 授权证书的主要目的就是传递许可证。同时, s k p i 证书也具备授权许可证的能力。 ( 6 ) p 6 p 证书:p g p ( p r e t t yg o o dp r i v a c y ) 是一种对电子邮件和文件进行加密 和数字签名的方法。p g p 规范了实体间传递信息和文件的报文格式,也规范了实 体间传递p g p 密钥( t g 称为p g p 证书) 的报文格式。 1 2 2 信息网格访问控制的研究现状 比较典型的基于网格的授权访问控制系统有:v o m s 姆1 ( v i r t u a lo r g a n i z a t i o n m a n a g e m e n ts e r v i c e ,虚拟组织管理服务) 、a k e n t i m ( c e r t i f i c a t e b a s e d a u t h o r i z a t i o np o l i c yi nap k ie n v i r o n m e n t ,公钥基础设施环境下基于证书 的授权策略) 、p e r m i s u ( p r i v i l e g ea n dr o l em a n a g e m e n ti n f r a s t r u c t u r e s t a n d a r d sv a l i d a t i o n ,特权和角色管理基础标准确认) 和c a s 1 ( c o m m u n i t y a u t h o r i z a t i o ns e r v i c e ,团体授权服务) 。这些授权系统在网格中的应用都是建 立在g l o b u st o o l k i t 的g s i 的基础之上的。下面分别具体介绍: ( 1 ) 虚拟域管理系统 v o m s 在d a t a g r i d 和d a t a t a g 项目中,管理虚拟域范围内的授权信息。v o m s 系统实际上是一个r d b m s 的前端,负责和客户进行双向身份验证。操作步骤如下: 客户端发送访问请求给v o m s 服务器: v o m s 服务器从后台数据库中取出信息进行匹配,并返回相应的证书给用 3 硕士学位论文第一章绪论 户;返回的证书包含用户和v o m s 服务器的证书及有效时间,所有的数据都由v o m s 服务器签名,这个证书是”p s e u d o - c e r t i f i c a t e ; 客户端检查返回信息的一致性和有效性; 用户客户端可以请求多个v o m s ,一个v o ( v i r t u a lo r g n i z a t i o n ,虚拟组 织) 有一个v o m s 服务器: 客户端生成一个代理证书,里面包含了v o m s 服务器返回的签名证书,提 交作业给g a t e k e e p e r ,g a t e k e e p e r 除了正常的证书检测外,还要检测代理证书中 的信息,根据自定义的权限来执行相应的命令。 v o m s 的管理包含三部分:a d m i n 、h i s t o r y 和c o r e 。其中a d m i n 用来加入或 删除用户和角色,h i s t o r y 主要用来修改日志和记费,c o r e 负责基本的签名属性 证书的签发。, 它的主要优点是:适用于分布域,授权灵活;把签名的属性证书加到x 5 0 9 证书的扩展里,可以不需要服务端的修改。 未来的发展方向是:使用标准的属性证书;验证关系数据库的复制机制;实 现更加完善的日志系统。 ( 2 ) a k e n t i 系统 a k e n t i 是美国l b n l 开发的一种授权基础架构,意图在高度分布的网络环境 中提供可扩展的安全服务。资源拥有者生成和签署用户条件证书。属性证书由 a a ( a t t r i b u t ea u t h o r i t y ,属性权威) 生成,c a 生成用户身份证书。a k e n t i 策略 引擎通过收集用户条件证书、属性证书,来决定是否授予用户访问资源的权利。 授权过程如下: 客户递交一份表明自己身份的证书给资源服务器申请某操作; 资源服务器验证客户的身份,然后向a k e n t i 策略引擎请求授权决定; a k e n t i 检查缓存服务器,搜寻客户的属性证书,如果失败,就访问分布在 i n t e r n e t 上的证书目录; a k e n t i 收集了所有的证书后,返回控制决定给资源服务器; 资源服务器根据a k e n t i 的决定来执行或者拒绝客户的操作请求。 a k e n t i 系统的优点在于本地策略管理和授权的细化。它的不足之处是:证书 管理不方便,因为是集中的策略管理,所以可扩展性不好;主要用于w e b 站点的 授权控制,适用范围有限。 : 未来的发展方向是:用后台进程来实现a k e n t i 策略引擎,增加不同证书的语 法,为证书定义基于x m l 的格式。因为x m l 通用,且有许多工具如d t d ( d o c u m e n t t y p ed e s c r i p t i o n ,文档类型描述) ,s a x ( s i m p l ea p if o rx m l ,x m l 简单应用程 序接口) 可以解析;其他应用如网络带宽控制等集成到a k e n t i 。 4 硕士学位论文 第一章绪论 ( 3 ) p e r m i s 系统 t p e r m i s 是英国s a lf o r d 大学开发的一种授权架构,它利用x 5 0 9 属性证书 来决定用户属性,专注于授权的通用性,能和其他任何验证系统集成,如 k e r b e r o s 、p k i 等,用户被给予了角色属性,就等于赋予了相应目标的权限。整 个授权策略文件用x m l ( e x t e n s i b l em a r k u pl a n g u a g e ,扩展标记语言) 表达, 类似于x a c m l ( e x t e n s i b l ea c c e s sc o n t r o lm a r k u pl a n g u a g e ,扩展访问控制标 记语言) ,但是更加简单。它的工作方式有p u s h 或者p u l l 模式。整个授权步骤 如下: 用户得到属性证书向a e f ( a u t h o r i z a t i o ne x e c u t i o nf u n c t i o n ,授权执 行函数) 提交授权访问; a e f 向p e r m i sa p i 发出授权决定请求,并等待结果返回; ( 耍) p e r m i sa p i 从l d a p 库罩获得策略文件,根据这个文件发出授权决定; 如果授权接受操作,就访问目的地址。 p e r m i s 最大的优势在于它的通用性,能与很多验证机制及很多应用集成在 一起。它的不足是:不是一个a a a ( a u t h e n t i c a t i o n ,a u t h o r i z a t i o n ,a u d i t ,认 证,授权,审计) 系统,不提供同志功能 ( 4 ) c a s 系统 c a s 是由g l o b u s 团队开发的,用来补充现有资源服务器的授权语言和策略。 当一个c a s 服务器部署后,必须为它生成一个证书。本地系统管理员通过g r i d m a p f i l e 文件来粗粒度地授予一些权利给c a s ,用户向c a s 服务器注册,c a s 服务器 在自身域的范围内给用户细粒度的授权。操作步骤如下: 用户到c a s 服务器上注册; c a s 服务器生成自己的身份证书,通知资源服务器,资源服务器通过本地 授权策略给予c a s 一定的权限; c a s 根据一定的策略来规定策略,确定客户对哪些资源有哪些权利; 用户要访问资源,先生成自己证书的代理证书。并用这个代理证书来向 c a s 服务器索取授权断言; 。 用户用有c a s 服务器授权断言的代理来请求作业,资源管理器利用代理证 书里嵌入的授权断言和c a s 服务器本身的权限的交集来确定最终用户的权限。 1 3 论文主要内容及结构安排 网格安全主要研究如何在多个管理域、多种安全策略,以及主体和客体动态 变化的条件下提供网格统一的安全方案。论文将在充分理解已有的密码技术、安 全传输技术、安全认证技术、访问控制技术、w e bs e r v i c e 安全技术等网络安全 5 硕士学位论文第一章绪论 技术和网格安全技术的基础上,研究网格环境下统一的认证与授权的解决方案。 这对于解决在不同安全机制和策略的虚拟组织中的服务的互相调用问题有着重 要的意义。 。 论文研究网格环境下统一的认证与授权的解决方案,主要完成了以下工作: ( 1 ) 分析了网格的特性和安全需求以及现有的网格环境下的认证与授权技 术; ( 2 ) 结合c r e d f e d 体系结构,给出一种网格环境下的统一身份认证模型; ( 3 ) 在基于角色的访问控制r b a c 9 6 的基础上,给出一种网格环境下基于角色 的细粒度的访问控制模型,并给出了总体设计框图; ( 4 ) 结合专家信息共享网格对身份认证、访问控制和安全通信等进行了分析 设计,并将其整合应用到专家信息共享网格中。 全文内容分为六章: 第一章为绪论部分,阐述了课题研究的背景,网格安全的研究现状,最后是 全文主要工作的概述。 第二章对信息网格安全的特点、需求以及网格安全机制进行概述,重点分析 了网格安全基础设施、团体授权服务以及相关的网络安全技术。 第三章主要研究信息网格环境下的身份认证机制,结合c r e d f e d 体系结构, 给出了一种信息网格环境下的统一身份认证模型;在r b a c 9 6 的基础上,给出了 一种基于角色的细粒度访问控制模型,并给出了总体设计框图。 , 第四章对专家信息共享网格的安全需求进行了分析,并给出了安全认证、访 问控制、安全通信等方面的设计。 第五章是全文的总结,方面对全文进行了总结,另一方面给出了进一步工 作的设想与展望。 6 硕士学位论文 第二章信息网格安全技术相关研究 第二章信息网格安全技术相关研究 信息网格n 2 1 有机地整合各种信息资源,实现跨组织的广域、分布、异构信息 的获取、部署和管理,允许用户和应用程序共享并安全访问异构的文件、数据库、 存储系统。其研究的核心问题是信息共享。信息网格要达到真正的信息共享,解 决的首要问题是信息资源的安全性。 2 1 信息网格安全特性和需求 在网格安全设计中,需要考虑网格的以下一些特性n 纠钔: ( 1 ) 网格是一个异构的环境。在计算网格中,不同的节点采用不同的硬件或 操作系统,从而给安全管理带来一定的困难。目前一般采用代理机制来解决环境 的异构性问题。 ( 2 ) 用户和资源数量很大,且参与使用资源的用户变化的频率高,所以用户 和使用资源的状况是实时变化的。 ( 3 ) 网格计算环境中的计算过程可在其执行过程中动态地请求、启动进程和 中请、释放资源。 ( 4 ) 各种资源需要不同的认证和授权机制,这此机制和策略的改变是根据具 体的网格环境而受限的。 ( 5 ) 资源和用户可属于多个组织机构。由于计算网格的分布性特点,与用户 和资源有关的各种属性可以跨越物理空间,属于多个组织机构。 网格特有的安全需求描述如下n 纠力: ( 1 ) 认证需求:一站式认证、代理、协同认证、资源认证、基于用户的信任关 系等: ( 2 ) 通信保护需求:灵活的信息保护策略、支持各种可靠的通信协议、支持独 立数据单元的安全通信等; ( 3 ) 授权需求:资源所有者授权、限制代理等: ( 4 ) 灵活的安全策略:互操作性、名称映射、用户可选的安全策略、证书安全 策略等; ( 5 ) 支持安全的组通信:动态的组密钥更新、组成员认证和安全通信等 2 2 典型的网格安全技术 目前,网格安全主要研究网格环境中的安全认证、通信加密、网格授权以及 7 硕士学位论文第二章信息网格安全技术相关研究 单一登录等n 9 1 。在这些研究中,g s i ,c a s 等在相应的安全问题中提出了较好的 解决方法。g s i 主要解决网格安全认证问题,c a s 提供相应的网格授权方法。 2 2 1 网格安全基础设施 g s i ( g r i ds e c u r i t yi n f r a s t r u c t u r e ,网格安全基础设施) 陋矧是g l o b u s 降捌 的安全基础构件工具包,是一个网格安全体系结构的实现。主要集中在网络传输 层和应用层,它的实现不仅符合g s s - a p i 硷( g e n e r i cs e c u r i t ys e r v i c ea p i , 通用安全服务编程接口) 标准,还对g s s a p i 进行了一定的扩展。g s i 能为网格 通信提供机密性、完整性和回放保护,并为网格用户提供单点登录和权限委托的 能力。它还包括一些用来对网格实体的身份进行认证的工具,并基于这些工具来 确定允许该实体执行哪些操作,即授权。 g s i 所有的功能都是基于公钥加密技术的,并使用w e b 服务社区中的各种标 准和规范实现了一系列的标准,其层次结构如图2 - 1 所示睁3 。它使用了x 5 0 9 终端实体证书来建立持久性的实体身份,例如用户和资源;并引入了x 5 0 9 代理 证书的概念,可以支持委托,并为临时和短期存在的实体建立身份。 m e s s a g e p r o t e c t i o n m e s s a g e 。l e v e l i l e s s a g e l e v e ls e c u r i t y s e c u r i t y ) l5 0 9c r e d e n t i a l s w u s e r n a a e sa n d p a s s w o r d s 虬a n dg r i d - m a p f i l e x 5 0 9p r o x y c e r t i f i c a t e s w s t r u s t ) l5 0 9e n de n t i t y c e r t i f i c a t e s w s s e c u r i t y 鸭- s e c u r c o n v e r s a t i o n s o p g r i d - m a p f il e u r n 龃e p a s s w o r d w s - s e c u r i t y s o a p t r a n s p o r t l e v e l s e c u r i t y - ) 【5 c r e d e n t i a l s s a m la n dg r i d - m a p f il e x 5 0 9p r o x y c e r t i f i c a t e s 髂一 t r u s t x 5 0 9e n de n t i t y c e r t i f i c a t e s 1 1 5 s o a p 图2 一lg s i 的层次结构及其所使用的安全标准 在g t 4 中,g s i 可以同时支持传输层的安全性和消息级的安全性。在g s i 中, 通过使用t l s ( t r a n s p o r tl a y e rs e c u r it y ,传输层安全协议) 和x 5 0 9 证书,可 以在传输层实现网格实体之间的身份认证。消息级的安全性实现了对 w s - s e c u r i t y 和w s s e c u r ec o n v e r s a t i o n 规范的支持。由于g t 4 消息是基于s o a p 8 硕士学位论文 第二章信息网格安全技术相关研究 ( s i m p l eo b j e c ta c c e s sp r o t o c o l ,简单对象访问协议) 的,消息级的安全性 可以为s o a p 消息提供安全保护,并确保消息的完整性。在g t 4 中由于消息级安 全性的性能并不可观,为了提高性能,传输层的安全性是默认设置的。今后随着 消息级安全性性能的提高,这种方式将会改变。 g s i 既提供了资源端工具,又提供了客户端工具。在资源端,g s i 工具包括 用来识别资源的x 5 0 9 证书。客户端工具包括用来创建代理证书的工具,以及用 来执行单点登录和权限委托的工具。客户机与目标资源使用证书相互进行身份认 证,并在第一次握手之后,建立一个安全的加密通信通道,该通道类似于支持安 全传输h t t p s 和s s h ( s e c u r i t ys h e l l ,安全外壳协议) 的t l s 中涉及的通道。客 户端可以选择将自己的证书委托给资源,让后续的资源访问得以继续,而不用再 进行任何干涉。资源利用网格映像文件将目前的证书与一个本地用户帐号关联在 一起。然后,它可以使用这个本地帐号的权限派生一些进程。另外,它可以利用 诸如c a s 之类的工具进行更细粒度的身份认证操作。 由于g l o b u s 项目的g s i 对安全处理做了大量的工作,使得在网格环境中的任 务提交与执行的安全性和方便性有了很大的提高。图2 2 为g l o b u s - 中安全鉴别 过程模型。 远端服务节点a g r 删 服务器 近端服务节点b 资 源代理 图2 - 2 网格环境中g s i 的安全鉴别过程模型 从图中可以看出g s i 等网格关键技术在网格环境中有以下作用: ( 1 ) 在进行任务提交与执行之前,用户与服务节点和服务设施需要获得安全 认证证书。即可使用命令行命令g r i d c e r tr e q u e s t 或其它安全函数来创建用于 安全鉴别的公钥、私钥和未签署过的安全证书。然后通过e - m a i l 或其它安全途 径把它提交安全认证中心。 9 硕士学位论文第二章信息网格安全技术相关研究 ( 2 ) 安全认证中心收到签署安全认证证书的请求后,会对用户或服务节点进 行考察,考察合格后,把签署过的安全认证证书返回给请求方。 ( 3 ) 用户在提交任务前,即可通过命令行命令g r i d - p r o x yi n i t 或其它的安全 函数创建一个临时的、局部的、有时间期限的用户代理,用户代理的安全证书由 用户签署,有给定的时间有效期。 ( 4 ) 用户代理与远端服务节点g a t e k e e p e r 之间进行相互安全鉴别,即对二者 的安全证书和身份进行鉴别。 ( 5 ) 通过相互安全鉴别后,用户代理把任务提交给g a t e k e e p e r ,由 g a t e k e e p e r 把任务交给任务管理者进行具体的处理。 ( 6 ) 如果任务在执行过程中需要其它的远程资源,也必须在任务进程与资源 代理之间进行相互安全鉴别,通过安全鉴别以后,任务进程才可以使用资源。 ( 7 ) 当任务执行完后,用户可通过g r i d p r o x y d e s t r o y 或对应的函数撤销用 户代理。 g s i 方案主要解决了网格环境下的认证以及消息保护的问题,它通过代理凭 证实现单点登陆和权限的委托,并通过映射文件实现授权,即把资源对用户的访 问控制转化为资源对本地帐号的访问控制。同时资源提供者和消费者可以通过 c a s 建立信任关系,也使得虚拟组织的扩展变得容易。但是g s i 的安全方案也存 在着以下几方面的不足陋嚣1 : 首先,g s i 在跨域认证时使用了基于k e r b e r o s 和x 5 0 9 证书的机制,同时 使用可信任第三方作为仲裁。但是c a 的设计思想当初只考虑了在i n t e r n e t 广域 网环境下的认证,并没有预见到网格环境下的新要求。在网格环境下,资源和用 户数量非常巨大,资源的协作可能需要大幅度的跨域访问请求,原先的c a 组织 方式在网格发展到一定时期后必然会带来瓶颈效应。 其次,在单点登录时,用户的登录还是基于传统的用户名密码机制,在网 格时代计算机的协同工作可以提供的计算能力将远远超过目前,所以如果我们仍 然是使用单一密钥的机制,并且单纯依赖加密机制本身的强度或者单一密钥的强 度来提供可靠性将是不可取的。因为在大规模协同工作时,攻破单一密码机制或 密钥所需要的时间将大幅度降低。 再次,g s i 的认证过程中,虽然实现了单点登录机制,并且为用户带来了很 多方便,可是同样留下了隐患。用户在登录时只需提交身份并验证一次,但是代 理把用户身份提交给验证服务器时,验证服务器完全有可能借助用户提供的身份 去越权访问一些资源,这个漏洞一旦被攻击者利用,后果是非常严重的。 最后,g s i 在授权的灵活性和可扩展性方面还有很大的不足,它缺乏基于策 略的带有良好扩展性的访问控制机制。g s i 的授权机制主要依赖对象间的映射和 l o 硕士学位论文第二章信息网格安全技术相关研究 多级管理制度来完成,所有访问控制决定都在本地做出。g s i 允许二个程序或进 程以用户的身份出现,并且授予用户相关权限,这种授权机制缺乏域间访问控制 规则,也缺乏扩展性。当用户数量剧增时,现有授权机制将无法满足大量资源权 限和用户请求之间的映射。 2 2 2 团体授权服务 为了解决g s i 的局限和不足,特别是在授权方面所面临的问题,g s i 引入了 c a s ( c o n u n u n i t ya u t h o r i z a t i o ns e r v i c e ,团体授权服务) m 1 ,并且应用于g l o b u s t o o l k i t3 2 及其后续版本中。c a s 是一个认证授权系统,它提供了一个细粒度 的网格资源访问控制方案。 c a s 系统主要思想可以概述为:资源的提供者通过加入一个虚拟组织v o 来 发布资源,资源的使用者如果要访问资源,首先需要加入该v o ,获得相应的权 限,然后再与资源的提供者交互。在c a s 系统中,资源的访问控制分为两个部分: v o 的访问控制和资源提供者直接的访问控制。 c a s 是建立在公钥认证和代理机制之上的基于角色的的团体授权技术m 1 ,其 中的团体可以是一个v o 中的全体或者部分用户,比如同一个局域网内部的机器 属于一个团体。一个团体被看成是一个整体,拥有一个g s i 颁发的团体证书,并 可以启动一个c a s 服务,授权该服务使用团体证书。团体是用户与资源服务器之 间的桥梁,在团体的c a s 服务器中维护了一张团体所有成员的角色和访问策略 表,同时,团体得到各资源服务器的授权,其内容保存在资源服务器本地的数据 库中。 在c a s 中,虚拟组织口蝌1 维护自己的一套策略,并把这些策略告知虚拟组织 的成员站点。然后,虚拟组织的成员站点综合本地策略和虚拟组织的策略进行实 施。 虚拟组织策略部分,通过c a s 服务器来管理。这部分策略包括如下内容: ( 1 ) 虚拟组织有关资源的存取控制策略:用户个体在v o 中拥有什么样的权 限,如:有那些用户可以读某些文件。 ( 2 ) c a s 服务器自己存取控制策略:例如谁可以进行授权,谁可以在v o 中进 行组管理。这些策略能够进行细粒度的表述,如:某个用户可能只拥有对某一特 定资源的授权,或者在某个特定的组中添加用户。 ( 3 ) 虚拟组织成员目录。 本地策略部分,即资源提供者针对有关虚拟组织策略,由资源提供者来维护。 资源提供者应用于非虚拟组织的成员的本地策略同样适用于虚拟组织成员。站点 可以为虚拟组织创建一个本地身份,然后通过更改本地配置,将通过虚拟组织授 硕士学位论文第二章信息网格安全技术相关研究 权的用户映射到该本地身份。这样,虚拟组织就可以使用本地机制将v o 作为一 个整体来制定策略。例如,可以改变文件所有者权限来允许v o 成员读写某一类 文件。资源通可以使用这种机制来维护针对多个v o 的策略,每一个v o 都有自己 的c a s 服务器。 通过允许资源提供者在享有对所属资源最终控制权的前提下,将一部分资源 块的访问权限作为一个整体授予某团体,由该团体自己管理资源细粒度的访问控 制权限,提供了一种可扩展的策略说明和实施机制资源提供者把某个团体可用资 源的使用权限分配给该团体的c a s 服务器,c a s 服务器使用所在团体的授权策略 管理并维护用户的资源使用权限,如根据用户身份建立具有不同访问权限的用户 组,而资源提供者依然使用本地授权策略,如g r i d m a pf i l e 等配置文件,来进 行授权管理,它参照本地策略根据用户所在团体的访问权限,同时结合该团体具 体授予用户的权限最终决定是否向用户提供相应服务。 一 i 嚣卜 团体策略 l 团体授予用户的k 一-_ 1 i资源访问权限i 服务器 认证信 息,授权 请求j 甩户 资源访问能力) 权限 授予 f 认证信息,资源请求,资源访问能力)i 一 资源请求响应 图2 - 3 授权服务机制流程 如图2 3 所示,当用户需要使用资源时,向c a s 服务器认证自己并提出资源 使用请求,c a s 服务器根据该组织策略决定此用户可以获得的资源使用能力并将 其授予用户,用户随后向资源服务器提出资源请求并同时出示从c a s 服务器处获 得的访问权限,资源服务器将根据本地访问控制策略验证该团体的访问权限,并 同时验证用户所出示的访问权限是否和此次资源请求相符,来决定是否做出服务 响应o 首先,这种结构将信任关系由原来的c p 改进为c + p ,其中c 为c o n s u m e r - - - 网格用户,p 为p r o v i d e r - 网格服务提供者,解决了可扩展性问题。 1 2 硕士学位论文第二章信息网格安全技术相关研究 其次,通过直接由c a s 服务器表述资源提供组织的策略,解决了策略的灵活 性和表现力问题。 最后,通过在可信第三方中具体实施策略,可以建立专门的策略服务器代表 某一虚拟组织内部的或多个完全不同的虚拟组织中的分支机构。为了实现c a s 系统,需要对g s i 实施三个主要的扩展:鉴于细粒度访问控制的受限代理证书; 描述受限代理证书携带权限的策略语言;方便系统实施的库和应用程序接口。 2 3 相关网络安全技术 网格安全是一个综合性的技术,它和传统的技术紧密相关,不对传统的技术 进行深入了解,就无法面对网格环境扩展传统技术来进行相关的工作。 2 3 1 密码技术 密码技术,是网络安全的基础核心技

温馨提示

  • 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

评论

0/150

提交评论