虚拟化云计算平台安全机制研究

　　1云计算及安全机制

　　随着云计算技术由提出到逐渐普及实现，安全问题也越来越突出，甚至成为制约云计算技术发展的重要因素。当前云计算的安全问题主要体现在[1]：①云服务的可靠性。云计算平台服务供应商提供的计算资源、存储资源等应该是完整且可靠的，杜绝使用过程中频繁发生云服务不可用现象；同时还要确保云服务具备一定的容灾容错能力；②云服务的可信性。云计算平台提供的云服务要取得用户的信任，以使用户敢于将业务数据存放到云端。在保证数据可信的同时，还要保证数据的安全保密性；③隐私性及保障性。面向最终用户提供的云服务要具备隐私保护，将大量用户的数据集中到云计算平台时，云端要有完善的管理机制。

　　由上述安全问题可以看出，云计算平台面临的安全性主要有两个方面：一是用户自身的信息不泄漏，并可以在需要数据信息时直接从云计算平台中获取这些信息；二是约束恶意系统及恶意应用。针对云计算平台面临的这两方面安全问题，本文主要介绍云计算平台中传输和存储数据过程中的安全机制，云计算平台中的可信增强技术以及对恶意应用的约束机制。

　　信息加密技术是保证用户自身的信息不泄漏的关键，云计算平台涉及到的云端客户端在传输数据时都要对数据进行加密处理。信息加密技术可以在对重要的数据进行加密后再传输，以隐藏原本的信息内容，通过该方式可以保证用户数据不被非法窃取，从而有效防止了用户自身信息的泄漏。信息加密技术包括算法和密钥两个重要的组成部分，加密算法将原始数据和密钥进行一系列数学运算后得到密文；加密后的密文只有借助密钥才能恢复成为原来的内容。根据加密密钥和解密密钥是否相同，可以将加密算法分为对称加密算法和非对称加密算法两大类，对称加密算法的加密密钥和解密密钥相同，非对称加密算法的加密密钥和解密密钥不同。对称加密算法的典型代表是DES，DES算法对数据进行加密时，明文按照64位进行分组，密钥的长度也是64位，但只有其中的54位参与加密运算，足够长的分组长度和足够大的密钥空间有效防止了对明文进行穷举攻击的可能性，保证了加密信息的安全性。非对称加密算法的典型代表是RSA算法，RSA算法是依赖于大数分解的，即得到两个大素数的乘积是容易的，但再对此乘积进行因式分解操作是极其困难的，所以可以把此乘积作为加密密钥，RSA算法目前可以抵御所有的密码攻击。

　　2云计算平台中可信增强技术

　　云计算平台要保证它们提供的云服务可以被正常执行，而且不会被恶意使用，在此过程中云计算的可信性不可忽略，而行为一致性又是云计算可信性的一个关键问题；操作系统的复杂性、单一内核性以及巨大的代码量决定了云计算平台难以确信整个平台的行为一致性。

　　“计算机可信”指的是计算机系统提供可验证的可信服务的能力，也就是说要保证计算机系统有序地提供正确的服务。一般而言影响云计算平台云服务可信性的因素主要有3个：失败（Failure）、错误（Error）及故障（Fault）[2]。“失败”指的是云计算平台由原先可以正常提供云服务到目前无法正常提供云服务。产生这种问题的原因可能是因为云计算平台在提供服务时没有遵循要求的规范，或者云服务的设计规范是错误的。“错误”指的是云计算平台的各个子模块之间的交互状态出现异常，“错误”状态不一定会导致云计算平台产生“失败”状态，但假如“错误”状态积累到一定程度时，会引起云计算平台“失败”状态的产生。“故障”是引起“错误”状态的可能原因。

　　由影响云计算平台云服务可信性的因素可以看出，要显著提高云计算平台的可信性，最好的解决方法是从云计算平台的故障着手。提高计算机可信性的方法主要有故障预防、故障预测、故障包容以及故障移除等。故障预防指的是借助质量控制方法，优化云管理平台设计，以此预防故障的发生。故障预测是指评估云管理平台的状态，预测故障是否会发生、何时会发生。故障包容是指利用错误检测、修复以及重新配置的方式在故障发生时仍然可以正常使用云管理平台。当故障发生时，可以通过验证、诊断以及修复的方式移除故障。

　　虚拟化技术是提高可信性的重要技术，在虚拟环境中，不同虚拟机中的应用环境是相互隔离的，已经在一定程度上具有了可信性。另外，虚拟机监控器能够完全控制虚拟机及操作系统，所以使得虚拟机监控器中的可信增强技术具备可能性。目前，虚拟技术主要应用在云计算平台可信性的如下方面[3]：①云计算平台的安全性。实现虚拟化的软件层（VMM）和应用软件环境间是完全隔离的，即使操作系统被入侵，VMM中的安全日志、入侵检测等安全服务也不会被破坏，因此使云计算平台具备良好的抗攻击性；②可信计算。传统的可信计算的可信基选择的是操作系统，而操作系统注重的是开放性而非安全性。基于虚拟化的云计算平台的可信基是虚拟机监控器，其复杂性和大小远远小于操作系统，所以充当可信基比操作系统更具有优势；③容错冗余。冗余技术复制可能出错的计算组成部分，并进行协调。假设提供云服务的平台上有一个主虚拟机和n个虚拟机备份，且这些虚拟机部署在不同的处理器上，那么这样的冗余技术就可以经受多达n次故障。

　　可信计算平台在实现上有若干方式，主要包括TPM芯片、远程证明等。TPM芯片是嵌入到主板上的独立芯片，作用是度量云计算平台的环境，从而提高云服务的安全性。TPM芯片提供了一个信任根，当响应云服务的虚拟机启动时，信任根记录进入BIOS前接收到控制权的系统部件，接下来启动的每个部件都会记录下一个得到控制权的系统部件，TPM芯片正是通过这样的方式对云服务做出响应的。除了响应云服务外，TPM芯片还提供对数据、签名以及密钥的安全存储。在云计算平台的虚拟环境中，为使虚拟机得到可信计算技术的支持，有必要对TPM设备进行虚拟化，其中典型的例子是IBM开发的vTPM。

　　当用户通过网络访问云计算平台时，远程证明（RemoteAttestation）可以使用户确认云计算平台是否处于可信状态。用户首先向云计算平台发出可信验证请求，该请求包含一个随机数。然后TPM芯片利用数字签名技术对云计算平台完整性度量结果和此随机数进行数字签名。用户在收到云计算平台的反馈后，根据随机数数值确认是否来自目的TPM，最后根据云计算平台的完整性度量结果决定要访问的云计算平台是否可信[4]。基于属性证明（PropertyBasedAttestation，简称PBA）的方法对远程证明做了改进，此方法中用户关心的并不是度量结果hash值，而是云计算平台是否保持了完整性，通过hash值与属性证书绑定的方法，用户能够借助展示属性证书的方式来证明云计算平台的可信性。

　　3行为约束机制

　　行为约束本质上是监控、管理并约束行为主体的活动，以保证行为主体不会对活动客体造成危害。当用户访问云计算平台时，对用户可以做的操作进行限制，约束限制其访问特权，避免不当操作对云计算平台产生的恶意影响，这就是行为约束机制在云管理平台中应用的目的。一般而言行为约束机制有“一致性”和“强制性”两个特性。行为约束的一致性保证所有的用户在访问云计算平台时采用一种约束机制。行为约束的强制性指的是无论用户意愿如何都要遵守行为约束机制的约束。在目前的云计算平台中，行为约束机制一般提供双向约束。

　　云计算平台中的行为约束机制包含云计算平台内部和外部两个层次[5]：①在云计算平台外部约束云计算平台与使用其云服务的用户之间的关系；②在云计算平台内部约束多个用户的数据与云平台中的操作系统之间的关系。外部行为约束机制的约束主体是云服务的用户，客体是云计算平台。行为约束机制认为云计算平台和云服务使用者之间的关系是不可靠的，云服务的使用者要确定云计算平台提供的用户是否可靠、用户使用的数据是否能够正常存储、程序是否可以正常执行。另外，经常会有多个用户同时访问云计算平台，所以云计算平台也需要确认这些用户所使用的服务不会影响云计算平台的正常运行，不同用户之间的数据及服务不会与其他用户产生冲突。内部约束行为机制也有两个方面：一方面云计算平台要解决多用户的数据保护及服务环境隔离问题；另一方面，因为现存的云计算平台采用的操作系统都是基于传统的计算模式的，会存在一定的安全隐患，所以云计算平台要解决内部操作系统不可靠的问题。

　　在当前的云计算平台中，虚拟化监控器CHAOS系统中使用了行为约束机制来增强安全性，以在不可信环境中保护云计算服务。CHAOS系统把用户应用分为正常应用和受约束的应用两类，正常应用不受CHAOS系统的行为约束，而受约束的应用操作涉及到操作系统时都要经过CHAOS系统的判断决策，如果操作不影响云计算平台的正常运行，此受约束的应用操作就会被允许；如果操作会给云计算平台带来安全隐患，此受约束的应用操作就会被禁止。

　　参考文献：

　　[1]刘玮，王丽宏.云计算应用及其安全问题研究[J].计算机研究与发展，2012（10）.

　　[2]姜政伟，刘宝旭.云计算安全威胁与风险分析[J].信息安全与技术，2012（11）.

　　[3]张唯维.云计算用户数据传输与存储安全方案研究[D].北京：北京邮电大学，2011.

　　[4]宋筱宁.面向电信的云计算平台安全关键技术研究[D].南京：南京邮电大学，2012.

　　[5]李秋红.中国云计算技术开发的问题与对策研究[D].锦州：渤海大学，2012.