PKI在云平台中应用探析.docVIP

PKI在云平台中应用探析 　　摘 要： 公共网络的不安全性给信息的安全传输构成了严重威胁，对于如何保障信息在网络传输中的安全，人们提出了保密性、完整性、不可否认性和身份验证性等要求。分析PKI在云平台中的应用。PKI已成为网络安全建设的基础和核心，是数据安全传输的基本保障。 　　关键词： PKI；安全传输；云计算 　　云计算源自于商业概念，它利用服务器集群的分布式运算为用户提供计算、数据存储及应用程序服务，将整合后的计算资源、数据资源、应用资源商品化，使用户可以按需付费的方式访问云服务器和数据中心。云服务提供商将成千上万台计算机相互连接形成协同工作的网络，对用户提供统一的使用接口，用户可以不再像以前那样自己购买硬件设备、构建基础设施、开发或维护应用软件，借助“云”处理和存储数据的功能，所有这些服务都可以付费的方式从“云”中获得，用户所需的只???任何可以上Internet的设备。 　　1 系统框架设计 　　本系统框架是基于“云”中大规模认证和安全传输的需求设计的，在保留PKI系统和云计算平台基本架构的基础上，将两个相对独立的系统进行有机组合，实现方式是把云计算平台的服务目录和PKI的RA整合到一台服务器中。这样做的目的是： 　　① 既可以响应用户的云服务请求和操作，又方便在用户使用云服务之前对其进行身份信息的审核与认证； 　　② 存储和管理云用户委派的代理证书，通过该代理证书代表用户访问和使用云服务； 　　③ CA可以离线操作，避免了直接面对云中的威胁，一定程度上保护了CA的安全； 　　④ RA分担原来由CA完成的对证书申请进行身份审核的工作，减轻了CA负担； 　　⑤ 进一步强化云服务提供商的优势地位，提高其声誉和用户对它的信任。 　　下面对系统主要部分的功能进行简介： 　　1）根CA是PKI系统最权威的认证中心，是CA与用户建立信任关系的基础和信任的起点，负责管理子CA、制定根策略等。依靠根CA之间的交叉认证实现了信任的传递，扩大了PKI安全域范围，有效满足了分布式系统的安全需求。 　　2）子CA负责管理RA，定期发布CRL，向用户和云服务提供商签发、撤销和更新证书。 　　3）RA对提交证书申请的用户身份进行审核，审核通过后，向子CA提交证书申请；充当安全代理。 　　4）LDAP/OCSP服务器向外界提供用户身份和证书状态信息查询功能。 　　PKI在选定服务目录作为其RA之前，必须对云服务提供商进行严格审查，要注意的问题有： 　　① 对服务商进行安全性测试； 　　② PKI策略与云服务商规章有无冲突之处； 　　③ PKI和云服务商的权限与职责划分是否科学明确，这一点非常重要； 　　④ 服务商是否能长期平稳发展。完成审查后，PKI向云服务商颁发CA签发的证书。 　　用户（可以是个人、系统和应用）使用服务商提供的云客户端API，通过Web浏览器创建账户，进行云计算服务的注册，注册功能在服务目录（即RA）上实现。RA审核用户的信息是否具有获得证书的权利，当用户通过RA的审核后，RA将用户的信息以安全的途径传给CA，CA利用自己私钥签发证书后，将证书发送给RA和用户，同时保存至证书库中、更新LDAP服务器。CA可以将用户证书备份至多台服务目录，以便在一台登录服务器失效后保证用户可以通过其他服务目录访问“云”。 　　2 身份认证协议 　　在一个PKI系统中，用户和云服务商的证书均由一个具有公信力、申请者都信任的CA签发，因此两者可实现相互识别和信任。用户使用云服务之前应相互认证身份，流程如下： 　　1）云服务本地生成一随机数R1，将R1发送给用户，本地保留R1； 　　2）用户R1后用私钥签名，然后在本地生成随机数R2，并保留R2，之后将对R1的签名值、自己的证书ID和R2一起发给云服务端； 　　3）云服务收到用户发送的签名值、证书ID和R2后，访问PKI系统获取用户证书，并检查该ID证书的签名、有效期，若证书有效则用得到的证书对R1签名值进行验证； 　　4）云服务端用私钥对R2签名，然后将R2签名值和自己的证书ID发送用户； 　　5）用户收到云服务端发送来的R2签名值和证书ID后，根据证书ID到PKI服务器查询证书。若该证书有效则对R2签名值进行验证； 　　6）通过安全鉴别后，根据其权限生成服务资源列表，进行本地授权，用户可以与服务资源（SaaS、IaaS、PaaS）交互。 　　3 访问控制管理 　　对用户访问控制的管理就是对用户权限的管理，授权发生在认证之后，设置用户权限是通过为其制定的策略实现的。所谓策略，就是一个由多个权限组成的文件，规定了用户对哪些资源有哪些权限。用户在使用云服务前，必须通过系统的策略评估，以决定用户对资源是否有权访问和操作。用户只能访问相应权限的