广东虚拟服务器云主机云计算安全保障技术

海格云服务器

云计算安全目标：

1、保障合法云计算用户进行合法的访问行为。

2、避免合法云计算用户越权访问。

3、禁止非法用户的访问或系统管理员的非法访问。

针对上述安全目标，云计算系统一般采用以下安全保障技术。

身份认证机制:

1、云计算身份认证是云服务提供商验证服务使用者身份的过程。

2、用户拥有的数字身份是由一组特定数据表示的，云服务服务商对用户数字身份进行认证和授权。

3、云服务提供商需要鉴别真实的授权用户并为其提供服务。

访问控制机制:云计算访问控制用于在鉴别用户的合法身份后通过某种途径准许或限制用户访问资源的能力及范围。特别防止因非法用户的入侵或者合法用户的非法操作造成的关键资源破坏。

隔离机制：云计算隔离机制使得用户业务运行于封闭的安全环境中，便于云服务提供商管理用户。避免不同用户间的相互影响，降低租户受到非法用户攻击的安全风险。

数据加密技术:在数据的传输、存储、使用的全过程中对数据进行加密处理。设计适合云计算的加密算法，确保数据隐私性和使用效率间的平衡。

数据完整性保障技术:全面保障云计算系统中信息传输、存储、处理过程的数据完整性。确保数据不被破坏，一旦被破坏能及时发现并恢复数据。

审计与安全溯源技术:记录云计算系统中各用户及管理员的活动过程。发现异常时通过查询系统日志进行安全溯源与修复。

云计算系统的用户利用专用客户端或浏览器接入云平台来获取云服务，身份认证是作为用户合法获取云服务的第一道关卡。

身份认证方案:基于秘密信息的身份认证、基于信任物体的身份认证、基于生物特征的身份认证

云服务提供商根据所需的安全级别选择一种或多种认证策略，将用户的数字身份和物理身份对应起来。

使用数字安全身份模块进行身份认证应满足以下需求:

支持单点登录

集成多种认证及密码服务

阿里云泰山服务器

提供不同强度的认证方式

支持分布式可扩展架构

支持身份生命周期管理

云计算系统的身份管理标准和协议:

安全断言标记语言

开放授权协议

OpenlD：是一种开放、去中心化的网络身份认证系统，用户需要预先在OpenlD身份提供者处注册。OpenID采用基于URI的用户身份认证。

OpenlD主要由标识符、依赖方RP和OpenID提供方OP组成：

1、标识符为http/https形式的UR或可扩展的资源标识符XRI，XRI是一套与URI兼容的抽象标识符体系。

2、RP是需要对访问者的身份进行验证的Web系统或受保护的在线资源，依赖于OP提供的身份认证服务。

3、OP作为OpenID认证服务器，在为用户提供和管理标识符的同时。

4、还为用户提供在线身份认证服务是OpenID系统的核心。

OpenlD的认证流程如图所示:

1、首先，用户请求OpenlD的RP，并选择以OpenlD方式登录。

2、RP同意用户采用OpenlD方式登录。

3、用户重新登录，并让RP向自己提供标识符。

4、RP对标识符进行规范化处理，将用户的标识符规范化为OP确定的格式。

5、建立RP与OP之间的关联，并在网络中建立一条安全的密钥交换通道。

6、OP处理RP的关联请求。

7、RP向OP发送身份认证要求，同时将用户重定向到OP的身份认证入口处。

8、若用户是首次认证，则OP要求用户提交必要的认证信息，以便对其身份进行验证。

9、用户登录，并向OP提交必要的身份认证信息。

10、通过对用户的身份认证后，OP将结果通知RP，并缓存该用户的登录信息以实现单点登录。

11、RP对OP的反馈结果进行判断，决定是否允许该用户访问其资源。

12、当通过身份认证后，用户便可以使用该RP提供的服务。

访问控制机制

访问控制防止非法用户访问受保护的系统资源，确保合法用户访问受保护的系统资源，防止合法的用户对受保护的系统资源进行非授权的访问。

访问控制机制方案:

访问控制模型：根据访问策略建立角色，在用户访问时检查其对应的角色，判断是否具有访问特定资源的权限。

加密机制：在加密数据后对用户发放密钥，只有拥有密钥的用户才能解密其权限范围内的密文。

基于属性加密算法ABE的访问控制机制

基于属性的加密方案又可分为基于密钥策略的加密方案KP-ABE和基于密文策略的加密方案CP-ABE两类。

KP-ABE将密文与属性集关联，密钥与访问策略关联。

CP-ABE则将密文与访问策略关联密钥与属性集关联。

KP-ABE与CP-ABE的比较:

1、KP-ABE由服务器负责公开系统公钥并生成对应于访问策略的用户私钥，用户解密时也从服务器得到密钥，实现依赖于可信服务器。

2、CP-ABE中用户在加密数据后，确定具有某些相关属性的用户才能对此密文解密，不需要可信服务器。

3、CP-ABE在云存储环境下具有优势，可以实现不同用户对于存储在不可信云服务器上特定数据的不同访问权限的控制。

基于ABE算法的云访问控制模型工作流程:数据提供者、可信授权中心、云存储服务器、用户

1、可信授权中心生成主密钥和公开参数，将系统公钥传给数据提供者。

2、数据提供者收到系统公钥之后，采用策略树和系统公钥对文件加密，将密文和策略树上传到云服务器。

3、用户加入系统后，将自己的属性集上传给可信授权中心，并提交私钥申请，可信授权中心针对用户提交的属性集和主密钥计算生成私钥，将私钥传给用户。

4、用户下载感兴趣的数据。如果其属性集合满足密文数据的策略树结构，则可以解密密文;否则，访问数据失败。

CP-ABE保证数据隐私安全:

安全管理访问权限

广州云主机云服务器公司

数据加密密钥的产生和分发与用户本身的属性设置有关。

数据加密密钥的产生和分发中云服务提供商均未参与，增强了访问权限管理的安全性。

客户端加密控制

数据上传前在客户端进行加密。

传输和存储时，文件以密文形式存在，保证了数据的私密性。

混合加密密钥管理

使用对称密钥加密数据，保证了数据的安全性。

使用公钥密码体制对密钥进行加密，保证了密钥的安全性。

保证云端数据安全

通过身份认证阻止非授权用户访问合法用户保存在云端的数据。

通过签名密钥来保证云端数据不被篡改，

租户隔离技术

1、多租户架构指同一系统或应用实例可以服务于多个租户的架构。

2、多租户架构需确保租户业务、数据间的有效隔离。

3、各个租户在不同层次上共享资源的程度不同。

4、数据平面的隔离安全、程序平面的隔离安全、网络平面的隔离安全。

数据平面的隔离安全:

1、多租户数据共享存储隔离

2、多租户应用程序运行隔离

3、多租户数据网络传输隔离

数据加密技术：保障云计算中数据私密性最直接的方法。

典型的加密系统包含:数据、加密引擎和密钥管理

小型分组对称加密算法：速度快、效率高，实现简单；可靠性通过加密轮数保证；主要的运算是移位和异或

数据染色:数据是经过模糊化后上传，无法在多项式时间内还原原始数据；开销远低于传统加密方法

椭圆曲线加密:安全性依赖于解决椭圆曲线离散对数问题的难度。使用更小的密钥提供相当的或更高的安全级。

数据完整性验证

数据完整性要求数据在未经授权的情况下无法被修改或者损毁。

云数据完整性验证指用户和系统验证存储在云端的数据完整性和可用性。

数据完整性验证模型：

两方验证模型：

1、两方模型由用户和云服务提供商组成

2、用户将数据存储到云端，保留完整性验证必需的元数据信息。

3、用户使用数据时，向云服务提供商发出请求，云端返回用户数据。

4、用户验证数据的完整性时，通过挑战一应答模式,根据云服务提供商返回的证据来验证数据是否完整。

5、无论用户和还是云服务提供商，都不适合进行数据完整性验。

6、二者都无法保证提供公正、可信的验证结果，用户和云服务提供商二者互不信任。

支持公开审计的三方验证模型

1、用户授权第三方审计机构对云服务提供商进行挑战。

2、云服务提供商向第三方审计机构提供完整性证据。

3、第三方审计机构对数据完整性进行验证并将结果告知用户

基于区块链的数据完整性验证

1、区块链以共识算法保障节点间数据的一致性。

2、并以加密算法保证数据的安全性,同时通过时间戳和哈希值形成首尾相连的链式结构。

3、具有公开透明、可验证、不可篡改、可追溯等特征。

4、利用区块链技术可解决节点互信问题

5、通过多用户间的信息交流来达成行动协议共识，以完成可信的完整性验证。

云计算审计与安全溯源

云计算审计定义:证明云计算系统中的活动符合内部或外部要求的合规性机制，重点集中在评估安全管理和控制的有效性。

云计算审计内容：数据安全、操作系统安全、数据库系统安全网络安全、设备安全和环境安全。

云计算审计目标：掌握来自互联网外部对云计算系统及其用户的威胁。来自云服务提供商内部对云计算系统及其应用的威胁。

Amazon的AWS审计模块:

1、利用CloudTrail服务，AWS的审计模块记录了用户登录、软件调用、管理员行为、控制台操作等关键行为。

2、重点记录了用户访问哪些数据、何时可以访问这些数据。

3、保存访问记录，发生安全问题时查询溯源，做出针对性的修复。

安全溯源：高效检测网络攻击并找出攻击源，做出响应并及时阻断攻击，对于云计算系统的安全至关重要。云数据中心网络普遍采用了SDN技术，基于SDN的网络攻击检测溯源技术已经成为重要的研究方向。

通过控制器获取交换机信息，同时通过控制器接口获取所有的流表项，基于这两个信息构建基于流表项有向图。

更新交换机数组，对交换机进行统一记录选定被攻击者，并从交换机数组中筛选出被攻击者的相邻交换机。

利用基于流表项的有向图对所有相邻交换机进行遍历检测，如果检测到该交换机中存在相应的流表项并且匹配域完全匹配。

将该攻击流量的交换机，并加入攻击路径中，否则标记为转发普通流量的交换机。

遍历检测完所有的相邻交换机，得到攻击路径，追溯到攻击源。

移动云AI智启未来

超云服务器 维修