公钥加密体系下的HDFS身份认证过程改进与实现.docVIP

公钥加密体系下的HDFS身份认证过程改进与实现 　　摘要：针对HDFS集群环境中Kerberos协议身份认证机制所面临的时间同步问题、KDC安全问题、字典攻击问题以及抵赖机制问题，提出了一种基于公钥加密体系改进HDFs环境下Kerberos协议的身份认证机制，首先，分析现存HDFs体系下的身份认证过程，并提出认证过程所面临的安全问题；其次，结合公钥加密机制与数据签名机制对HDFS下的Kerbems协议进行了针对性的修正，并给出了改进后Kerberos协议在HDFS环境下详细的身份认证工作流程；最后，根据公钥加密特点以及HDFs集群特性，充分分析论证了改进Kerbems在HDFS环境下的可行性.实验表明，在公钥级安全保证下，改进后的Kerberos协议与现有的身份认证机制相比在认证请求达到120次以上后时间性能优势明显，为HDFs集群提供了更可靠、更高效的身份认证解决方案. 　　关键词：云计算；Had00p Distributed File system；身份认证；Kerberos；公钥加密 　　DoI：10.15938/j.jhust.2016.04.003 　　中图分类号：TP99 　　文献标志码：A 　　文章编号：1007-2683（2016）04-0013-06 　　0引言 　　Hadoop是Apache基金会旗下一款具备PT级数据存储与分析能力的分布式系统基础架构，作为云计算领域内海量数据的存储与计算的核心技术取得了广泛的应用，该架构主要由分布式文件系统HDFS（Hadoop Distributed File System）与分布式编程模型Mapreduce两个核心组件组成.HDFS是Google的分布式文件系统GFS（Goode File Sys-tern）的开源实现，为Hadoop平台提供基础的分布式文件存储服务，是整个Hadoop得以运行的基础。在身份认证安全方面，HDFS是基于Kerberos协议实现的.但鉴于对称密钥机制下的Kerberos其安全性面临着很大的不足，很多学者也做了相关的研究.张晓提出了一种基于PKI改进的Kerberos协议，该方案通过使用公钥加密机制代替对称密钥机制使得认证协议安全性达到了公钥级别，但在时间效率上却有着不足，邵叶秦等提出了一种公钥加密机制与私钥加密机制相结合的Kerberos协议，在安全性和时间上均有所提高，但由于对称密钥是由密钥分发中心KDC生成，在对称密钥交换上存在安全漏洞.李延改等提出了一种基于数字证书CA的HDFS环境下的认证及安全传输机制，该改进为通信双方提供证明自身身份的数字证书，实现了通信双方的身份认证，但管理过于繁多的数字证书增加了使用者的开销。 　　本文将在综合分析HDFS现存Kerberos认证机制的基础上，充分利用公钥加密机制与对称密钥加密机制各自特点，将对称密钥的生成管理方由集中式的KDC改变为分布式的集群服务申请者，以期最终给出一套完善的HDFS环境下的Kerberos协议身份认证机制。 　　1.Kerberos应用分析 　　Hadoop在设计之初，默认整个集群是在一个可信任的域中，并没有为集群引入各实体间的认证机制，随着Hadoop应用的不断普及Hadoop设计者也逐渐意识到集群存在的安全性问题，针对Hadoop的安全缺陷，自Hadoopl.0.0版本后，为其引入了基于Kerberos协议的第三方安全身份认证机制，用于保障各通信节点间的可信性。 　　1.1基于Kerberos协议下的HDFS认证机制 　　Kerberos最初是由MIT研发的，当前最新的协议版本为Kerberos V5，该协议可为处于不安全的网络环境下通信的双方提供可信认的身份认证机制，该协议在网络安全与身份认证领域有着广泛的应用，HDFS下Kerberos的基本原理：在Hadoop集群中建立一个集中保存客户端、DataNode以及NameNode的用户名和密码的认证中心KDC，进行用户的身份认证和授权工作，KDC在是由两个逻辑上相互独立的认证服务器AS和票据发放服务器TGS组成的，Hadoop集群下的任何需要申请服务的用户在申请服务时，首先通过与AS服务器通信获得票据授权票据TGT，然后利用TGT与TGS服务器通信获取用于服务的票据Ticket，最后用户利用票据Ticket与所需服务提供节点通信取得服务。 　　HDFS下Kerberos协议具体实现过程如图4所示 　　1.2 HDFS下Kerberos协议安全性分析 　　通过为HDFS引入Kerberos协议，解决了原有HDFS集群所遇到的如下安全问题 　　1）非法用户利用Hadoop集群的动态扩展特性，伪装成DataNode节点服务器加入到HDFS集群内，接收NameNode分派的文件数据