PKI在云平台中的应用探析
开篇：润墨网以专业的文秘视角，为您筛选了一篇PKI在云平台中的应用探析范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！
摘 要： 公共网络的不安全性给信息的安全传输构成了严重威胁，对于如何保障信息在网络传输中的安全，人们提出了保密性、完整性、不可否认性和身份验证性等要求。分析pki在云平台中的应用。PKI已成为网络安全建设的基础和核心，是数据安全传输的基本保障。
关键词： PKI；安全传输；云计算
云计算源自于商业概念，它利用服务器集群的分布式运算为用户提供计算、数据存储及应用程序服务，将整合后的计算资源、数据资源、应用资源商品化，使用户可以按需付费的方式访问云服务器和数据中心。云服务提供商将成千上万台计算机相互连接形成协同工作的网络，对用户提供统一的使用接口，用户可以不再像以前那样自己购买硬件设备、构建基础设施、开发或维护应用软件，借助“云”处理和存储数据的功能，所有这些服务都可以付费的方式从“云”中获得，用户所需的只是任何可以上Internet的设备。
1 系统框架设计
本系统框架是基于“云”中大规模认证和安全传输的需求设计的，在保留PKI系统和云计算平台基本架构的基础上，将两个相对独立的系统进行有机组合，实现方式是把云计算平台的服务目录和PKI的RA整合到一台服务器中。这样做的目的是：
① 既可以响应用户的云服务请求和操作，又方便在用户使用云服务之前对其进行身份信息的审核与认证；
② 存储和管理云用户委派的证书，通过该证书代表用户访问和使用云服务；
③ CA可以离线操作，避免了直接面对云中的威胁，一定程度上保护了CA的安全；
④ RA分担原来由CA完成的对证书申请进行身份审核的工作，减轻了CA负担；
⑤ 进一步强化云服务提供商的优势地位，提高其声誉和用户对它的信任。
下面对系统主要部分的功能进行简介：
1）根CA是PKI系统最权威的认证中心，是CA与用户建立信任关系的基础和信任的起点，负责管理子CA、制定根策略等。依靠根CA之间的交叉认证实现了信任的传递，扩大了PKI安全域范围，有效满足了分布式系统的安全需求。
2）子CA负责管理RA，定期CRL，向用户和云服务提供商签发、撤销和更新证书。
3）RA对提交证书申请的用户身份进行审核，审核通过后，向子CA提交证书申请；充当安全。
4）LDAP/OCSP服务器向外界提供用户身份和证书状态信息查询功能。
PKI在选定服务目录作为其RA之前，必须对云服务提供商进行严格审查，要注意的问题有：
① 对服务商进行安全性测试；
② PKI策略与云服务商规章有无冲突之处；
③ PKI和云服务商的权限与职责划分是否科学明确，这一点非常重要；
④ 服务商是否能长期平稳发展。完成审查后，PKI向云服务商颁发CA签发的证书。
用户（可以是个人、系统和应用）使用服务商提供的云客户端API，通过Web浏览器创建账户，进行云计算服务的注册，注册功能在服务目录（即RA）上实现。RA审核用户的信息是否具有获得证书的权利，当用户通过RA的审核后，RA将用户的信息以安全的途径传给CA，CA利用自己私钥签发证书后，将证书发送给RA和用户，同时保存至证书库中、更新LDAP服务器。CA可以将用户证书备份至多台服务目录，以便在一台登录服务器失效后保证用户可以通过其他服务目录访问“云”。
2 身份认证协议
在一个PKI系统中，用户和云服务商的证书均由一个具有公信力、申请者都信任的CA签发，因此两者可实现相互识别和信任。用户使用云服务之前应相互认证身份，流程如下：
1）云服务本地生成一随机数R1，将R1发送给用户，本地保留R1；
2）用户R1后用私钥签名，然后在本地生成随机数R2，并保留R2，之后将对R1的签名值、自己的证书ID和R2一起发给云服务端；
3）云服务收到用户发送的签名值、证书ID和R2后，访问PKI系统获取用户证书，并检查该ID证书的签名、有效期，若证书有效则用得到的证书对R1签名值进行验证；
4）云服务端用私钥对R2签名，然后将R2签名值和自己的证书ID发送用户；
5）用户收到云服务端发送来的R2签名值和证书ID后，根据证书ID到PKI服务器查询证书。若该证书有效则对R2签名值进行验证；
6）通过安全鉴别后，根据其权限生成服务资源列表，进行本地授权，用户可以与服务资源（SaaS、IaaS、PaaS）交互。
3 访问控制管理
对用户访问控制的管理就是对用户权限的管理，授权发生在认证之后，设置用户权限是通过为其制定的策略实现的。所谓策略，就是一个由多个权限组成的文件，规定了用户对哪些资源有哪些权限。用户在使用云服务前，必须通过系统的策略评估，以决定用户对资源是否有权访问和操作。用户只能访问相应权限的资源，防止或限制经隐蔽通道的非法访问。
PKI系统以制定证书策略的方式，实现对用户的访问控制管理。证书策略被标记在数字证书中，是用户安全等级和应用范围的一个说明，用于体现证书所能满足的安全要求，根据应用安全级别的不同，对不同的应用提供相应级别的安全保障。CA可以通过编写和证书策略文档的形式，描述其在证书管理中所采取的访问控制措施，帮助应用程序开发者和证书用户识别证书等级，以便正确使用证书。
可以将证书策略应用于对云用户的访问控制中。对某一特定资源而言，不同级别的用户可以设置不同的安全防护和访问权限。通过对用户证书策略进行设置，可以将用户分成不同的访问等级，等级高的用户权限大、安全级别高：
1）普通用户其私钥加密保存在本地，访问云服务时无需口令认证，证书审查合格即可，个人信息可以非实名，权限为只读；
2）高级用户除了普通用户拥有的证书认证外，高级用户将私钥保存在硬件设备（如USBKey）中，从硬件中读取证书和私钥；当使用云服务时，还要利用认证设备获取口令代码，代码正确才能访问，私钥以硬件保护；证书审查严格，个人信息须实名；权限是可读可写可列出。
除此之外，在云计算环境中，由于各个云应用属于不同的安全域，每个域都管理着本地的资源和用户，均有自已的访问控制策略。当用户跨域访问资源进行资源共享和保护时，必须对共享资源制定一个公共的、双方都认同的访问控制策略，因此，需要支持策略的合成。PKI证书中的“策略映射”扩展项允许证书CA指明自己域内的某些策略能够被看作与另一CA域中某些其他的策略等同，通过PKI此项功能，可以支持不同云安全域的策略合成，实现不同域之间的鉴别与互操作。
4 数据安全传输
在云计算中，用户是信息的拥有者，当认证完成、用户与云服务提供商通信时，必须建立一个安全的通道以保护信息的保密性、完整性、可用性，维护用户与云服务商间的数据安全传输。
以用户向云服务端发送数据为例，基于PKI的常见数据安全传输方案是：
① 用户将发送原文用SHA或MD5函数编码，产生一段固定长度的数字摘要；
② 用户用自己的私钥对摘要加密，形成数字签名，附在发送信息原文后面；
③ 用户产生通信密钥（对称密钥），用它对带有数字签名的原文进行加密，传送到云服务端；
④ 用户用云服务端的公钥对通信密钥进行加密后，传到云服务端；
⑤ 云服务端收到加密后的通信密钥，用自己的私钥对其解密，得到通信密钥；
⑥ 云服务端用得到的通信密钥对收到的经加密的签名原文解密，得到数字签名和原文；
⑦ 云服务端用用户公钥对数字签名解密，得到数字摘要；同时将原文用SHA 或MD5函数编码，产生另一个摘要；
⑧ 云服务端将两个摘要进行比较，若一致，说明信息没有被破坏或篡改；否则丢弃该文档。
在云存储中，由于用户上传数据时已加密数据，因此传输此类数据时可以适当简化，由文献可以将云存储数据传输方案设计如下：
① 设用户数据原文为D，利用密钥Ku加密后形成密文C = E ku （D），并将密文上传云存储服务器；
② 收到用户传输数据的请求后，云服务端生成对称密钥密钥Ks，用Ks将密文C加密，即C'=EKs（C）=E Ks （E Ku（D）），然后用用户公钥Kp加密对称密钥Ks，即C Ks= E Kp（Ks），上述过程完成后将CKs和C'发送给用户；
③ 用户收到C Ks和C'后用私钥解密C Ks得到K s，然后用Ks和Ku解密得到原文。
5 小结
PKI为云计算平台提供身份认证、数据安全传输及访问控制管理等安全机制，可以较好的解决云计算面临的安全问题。PKI签发的数字证书，利用数字签名技术，使云平台用户之间相互认证，既能确认对方身份，防止冒名顶替，也能保护用户避免登陆钓鱼网站。同时，通过对称和非对称加密技术，PKI在用户和云平台之间建立起安全保密的通信通道，最大限度地保障用户数据的机密性、完整性和不可否认性。针对云计算中密钥管理问题，借助证书的这一密钥管理的有效形载体，PKI/CA提供了密钥管理机制，对密钥的生成、存储、分发、使用、备份/恢复、更新、撤销及销毁等过程做出了详细规定，解决了密钥安全管理问题。此外，云计算平台搭建成功可相应减少PKI基础设施建设费用，提高了硬件设备的利用率。
一个声誉良好的云服务商会提供各种措施保证用户数据的安全，引入PKI的目的也是为了解决身份认证和安全传输问题，两个系统的合作应取得“1+1>2”的效果，从更大范围、更大程度上保证用户数据安全。在安全问题发生后，要避免两个系统相互推卸责任，损害用户的利益。
参考文献：
[1]李健、张笈，基于PKI的安全传输平台研究[J].计算机光盘软件与应用，2011（03）：15-16.
[2]庞淑英等，网络信息安全技术基础与应用[M].北京：冶金工业出版社，2011.3.12.
[3]陈敬佳，基于PKI技术的网络安全平台设计与实现[D].武汉：武汉理工大学硕士学位论文，2011.
作者简介：
李静媛（1977-），女，云南昆明人，工程硕士，工程师，主任，研究方向：网络管理。