CN103166969A - 一种基于云计算平台的安全云控制器访问方法 - Google Patents

Abstract

一种基于云计算平台的安全云控制器访问方法，通过使用本发明的方法，能够在即使出现可扩展标记语言XML攻击和对时间戳不敏感的攻击时，也能安全访问云控制器。首先对简单对象访问协议SOAP消息头进行扩展，将安全断言标记语言SAML断言、时间戳、序列号、发送者、接收者等信息加入SOAP头中作为安全令牌，保障SOAP消息的安全性。接着对SOAP消息进行加密以及签名，并将其发送到云控制器端。云控制器端在完成签名验证之后，在返回的布尔值后增加已签名数据的位置信息。业务逻辑根据此数据位置信息判断即将要处理的数据是否已被签名，从而保障SOAP消息的完整性，消除由于SOAP处理框架中对任务模块的拆分而带来的问题。

Description

一种基于云计算平台的安全云控制器访问方法

技术领域

本发明是一种基于云计算平台的安全云控制器访问方案，主要用于在云计算环境下用户通过证书、密钥等验证方法访问云计算平台，属于信息安全领域。

背景技术

随着Internet网络技术的发展和计算机技术的不断提高，网络中传输和处理的数据的能力直线增长。人们希望获得一种直接、便捷的计算处理方式，不需要安装应用软件，只要连接互联网，就可以利用连接在网络中的空闲的计算机资源进行任务处理。

在此背景之下，云计算应运而生，所谓云计算，就是通过计算机网络去连接由大量服务器、存储设备集群构成的云计算平台，来获取远程客户端所需要的服务。而云计算服务商则是将一项复杂的运算任务分成若干个部分，通过分布在计算机网络中的分布式计算机协同合作，最终将运算结果传输到客户端，从而实现个人数据在远程的计算资源集群的运算。

在云计算平台中，云控制器(CLC)在负责管理整个系统，相当于系统的中枢神经，它是用户的可见入口和做出全局决定的组件。它是所有用户和管理员进入云平台的主要入口，所有客户机通过基于SOAP(Simple Object Access Protocol, 简单对象访问协议)的API(Application Program Interface, 应用程序接口)只与CLC通信。由CLC负责将请求传递给正确的组件、收集它们并将来自这些组件的响应发送至该客户机。并且处理服务等级协议和维护系统和用户相关的元数据。云控制器由一组服务组成，这些服务用于处理用户请求、验证和维护系统、用户元数据(虚拟机映像和SSH密钥对等)，并可管理和监视虚拟机实例的运行。这些服务由企业服务总线来配置和管理，通过企业服务总线可以进行服务发布等操作。

然而，云控制器存在安全漏洞，攻击者可以利用这些漏洞来控制受害者账户以及与之相关的存储数据。由于消息使用SOAP接口进行传输，攻击者可以进行相应的XML (Extensible Markup Language, 可扩展标记语言)签名攻击。在XML签名攻击中，原始SOAP消息体元素会被转移到SOAP安全消息头的一个新添加的伪造包装器元素中。因为消息体元素本身没有被修改(只是简单转移了位置)，所以从密码学角度签名仍然有效。其后，攻击者会更改本来指向原始SOAP消息体的标识号，这样就可以开始向空SOAP消息体里填充伪造的消息内容了，由于签名验证无误，攻击者定义的任何一个操作都可以被有效地执行。此外，由于SOAP处理框架中对任务模块的拆分，相同的XML消息将以不同的方式在不同的模块中进行访问，消息的完整性无法得到验证，当恶意攻击对时间戳不敏感的情况下，几乎不需要满足什么前提条件，所有攻击者只需要获取一个有效、经过签名的SOAP请求消息，而这可以网络论坛帮助请求直接获取。

所以需要提出一种基于云计算平台的安全云控制器接口访问方法，解决基于XML的SOAP消息安全通信，保证通信中传输的数据的安全，抵抗窃听、篡改、假冒、重发、业务否认等安全攻击，确保数据的机密性、完整性、可用性、消息源认证性和不可否认性。这些安全需求是通过扩展SOAP消息头部实现的。

SAML(Security Assertion Markup Language, 安全断言标记语言)出自OASIS (Organization for the Advancement of Structured Information Standards, 结构化信息标准促进组织)。它定义了一个交换认证和授权信息的XML框架，同时定义了XML断言和请求/响应协议，并在标准传输和消息框架上使用断言，提供不同安全系统之间的互操作性。SAML标准主要由声明和请求/响应协议两部分构成。声明是SAML的基本数据对象，是对主体(用户、计算机)的安全信息(身份、权限等) 的XML 描述形式。SAML 声明能够传递三种信息：主体完成认证行为的信息、主体的属性信息以及关于主体是否允许访问特定资源的授权决议信息。因此，对应SAML声明包括三种形式：认证声明(Authentication Assertion)、属性声明(Attribute Assertion) 和授权决议声明(Authorization Assertion)。其中认证声明描述与认证成功事件相关的信息(如认证的机构、方式和有效期等)；授权决议声明描述许可权查询和检查的结果，此结果可以是接收或拒绝主体对资源的访问请求；属性声明描述与主体的认证和授权决议相关的信息(如主体的标志、所属用户组、角色、可访问的资源及权限等) 。

发明内容

技术问题：本发明的目的是提供一种基于云计算平台的安全云控制器访问方法，通过对传递的SOAP消息头进行扩展，结合SAML进行消息传输，同时通过数字签名、密钥以及信息比对等方式安全访问云控制器。

技术方案：本发明的基于云计算平台的安全云控制器访问方法是一种策略性的方案，该方法根据安全断言标记语言SAML (Security Assertion Markup Language,)思想设计了一个简单对象访问协议SOAP (Simple Object Access Protocol,) 消息传输方法，然后通过加密、数字签名的方法安全访问云控制器；该方法的主要流程如下：

客户端请求：

步骤1. 客户端首先发起一个请求，这个请求包括客户端需要获得的数据项；

步骤2. 将对客户端做出的包括身份验证、属性、授权断言的SAML断言加入简单对象访问协议SOAP头中作为安全令牌；

步骤3. 在简单对象访问协议SOAP请求消息中加入包括时间戳、序列号、发送者、接收者的安全属性信息；

步骤4. 生成对称公钥，使用对称公钥及加密算法加密简单对象访问协议SOAP消息中需要保密的安全断言标记语言SAML断言和简单对象访问协议SOAP消息的机密信息，然后使用云计算平台内存库中的公钥加密已生成的对称公钥，并把已加密的对称公钥用密钥信息元素加入简单对象访问协议SOAP消息中；

步骤5. 使用客户端的密钥库密码及其私钥密码，从密钥库中提取其私钥，使用签名算法对安全断言标记语言SAML令牌、安全属性及需要保证完整性的元素进行签名，并在签名元素的密钥信息中包含其公钥信息；公钥信息包括密钥名称及数字证书标准X.509数据；

步骤6. 把已经经过加密及签名安全处理过的安全简单对象访问协议SOAP消息发送到云控制器CLC的8773端口；

云控制器端：

步骤7. 云控制器CLC接收到安全消息以后，检查安全属性，判断是否重放，是否为相应的接收者和发送者；

步骤8. 提取签名的密钥信息元素，从云计算平台的内存库将有关请求者的公钥

详细信息和验证状态发回，然后使用该公钥验证签名；

步骤9. 在完成签名验证之后，在返回的布尔值后增加已签名数据的位置信息；

步骤10. 业务逻辑根据数据的位置信息判断即将要处理的数据是否已被签名，

从而保障简单对象访问协议SOAP消息的完整性；

步骤11. 根据密钥信息元素中的公钥信息，从密钥库中提取己方的私钥，对密钥进行解密，然后对加密内容实施解密；

步骤12. 对简单对象访问协议SOAP中包含的安全断言标记语言SAML断言进行处理，根据安全断言标记语言SAML断言中包含的有关用户的验证、授权、属性信息以及简单对象访问协议SOAP消息构造授权决策请求，根据授权决策结果决定是否允许其进行相关操作；

步骤13. 若允许访问，则根据用户的请求信息以及相关参数进行相关操作并返回相应客户端想要的数据。

有益效果：本发明提出了一种基于云计算平台的安全云控制器访问方案，主要解决了在云计算平台中安全访问云控制接口的问题。通过使用本发明的方法，能够在即使出现XML攻击和对时间戳不敏感的攻击时，也能安全访问云控制器。

下面给出具体的说明：

(1) 在进行消息传递的过程中对SOAP消息头进行扩展，将SAML断言(包括身份验证、属性、授权断言)、时间戳、序列号、发送者、接收者等信息加入SOAP头中作为安全令牌，保障SOAP消息的安全性。

(2) 对SOAP消息进行加密以及签名。客户端先对消息进行加密，再对消息进行签名，这样云控制器就会先验证签名，再进行解密操作。从而提高服务器端的处理效率，当签名验证失败后，云控制器端就可以直接返回错误信息，不必再进行复杂的解密操作。

(3) 在完成签名验证之后，在返回的布尔值后增加已签名数据的位置信息。业务逻辑根据签名验证后增加的已签名数据的位置信息判断即将要处理的数据是否已被签名，从而保障SOAP消息的完整性，消除由于SOAP处理框架中对任务模块的拆分而带来的问题。

附图说明

图1 是云计算平台结构图。

图2 是数字签名流程图。

图3 是签名验证流程图。

图4 是安全云控制器访问流程图。

具体实施方式

一、云计算平台结构

云计算平台主要分为以下五部分，如图1所示。

(1) NC(Node Controller)：节点控制器；

(2) CC(Cluster Controller)：集群控制器；

(3) CLC(Cloud Controller)：云控制器；

(4) SC(Store Controller)：每个集群中单独的存储节点；

(5) Walrus：负责存储。

在云计算平台的环境中，CLC与Walrus是它建在一台主机上，该环境包含两个集群，在每个集群中，CC与SC是搭建在一台主机上，剩下的就是NC的搭建。

1. 虚拟机

虚拟机最终是运行在NC节点上面，每个CLC节点下面管理多台NC节点，是对虚拟化资源更高一层的管理，减轻CLC的节点的负担，每个CC以及其下方的NC节点构成一个整体集群可以分布在不同的地方，用户可以根据自己服务对象的物理位置选择不同的CC集群运行自己的虚拟机集群，CLC节点云计算平台的中枢，他接受用户发送过来的对虚拟操作的相关请求，该节点上保存集群的所有结构信息，用户信息等等，最后用户运行的虚拟机的操作系统镜像是存储在Walrus上，系统提供的镜像还是用户上传的镜像都是存储在Walrus节点上，当需要启动虚拟机时候，需要取出操作镜像文件传到运行虚拟机的集群上。

2. 存储

包括集群内部面向虚拟机的存储和面向用户的简单存储服务。集群内部面向虚拟机的存储主要是考虑到用户的虚拟机在使用时候的持久化数据保存的情况，平台每次启动虚拟机使用的镜像文件都应是提前做好的，而且可以动态增加自己虚拟机的磁盘空间大小，最重要的是能够实现虚拟机的动态迁移，当系统发现某一台虚拟机发生不稳定的情况，或者该集群内节点的物理资源不够充分的时候，可以将该虚拟机挂起，转移到另一个资源充足的节点上进行运行，该模块会自动将挂载到之前节点的磁盘从原来的虚拟机上卸载，挂载到新的虚拟机上面，用户的数据并不会丢失。另一个是面向用户的简单存储，用户可以通过SOAP远端操作自己在Warlus的数据。

二、SAML断言服务器

SAML规范的核心是断言，断言是由SAML权威发出的一块数据，该数据可以看作SAML权威对某主体进行认证的动作，或者是关于某个主体的属性信息，还可以是主体为了使用某个特殊资源而向权威发出申请后得到的授权决定。断言分为以下三种：

1、属性断言(Attribute Assertions)：负责装载主体属性信息的断言。

2、认证断言(Authentication Assertions)：负责装载主体成功认证信息的断言。

3、授权决定断言(Authorization Decision Assertions)：用来装载授权决定信息的断言。

通过SAML到SOAP协议的绑定，将SAML断言添加到SOAP 消息扩展中。

本发明在基于 SOAP 消息扩展中主要包括以下几方面。

扩展类型	加入元素
		时间戳	<Timestamp>、<Created>、<Expires>
签名	<Signature>、<SignedInfo>、<SignatureValue>
		加密	<EncryptedKey>、<EncryptedData>
SAML断言	<saml: Assertion>

将加密、签名以及授权决策通过SOAP扩展加入到 SOAP消息中，同时，为了可以进行跨域的认证和授权，认证和授权所需的安全信息使用 SAML断言来提供。SAML断言作为安全令牌，对用户的安全信息进行陈述。SAML断言发布者对服务请求者的用户发布断言，表明自己对用户的信任和传递用户的属性、验证、授权信息，之后请求者把断言发往服务提供者。SAML断言的发布者可能是一个第三方信任服务和请求服务于同一机构的验证服务或者就是请求者本身。

三、数字签名模块

数字签名模块包括数字签名、验证签名以及业务逻辑三部分。XML数字签名的目的是为了保护数据的完整性，采用公共密钥机制(Public Key Infrastructure, PKI)，通过私钥加密消息摘要实现数字签名，通过公钥解密验证数字签名。

1、数字签名流程

发送方产生 RSA 或 DSA 密钥对，对于原始消息，使用SHA-1散列算法创建一个消息摘要，再利用自己的私钥加密消息摘要，生成数字签名。

2、验证签名流程

接收方收到的签名消息由原始消息、数字签名和经过CA验证的公钥组成，使用SHA-1散列算法重新计算出消息摘要，再使用公钥解密数字签名，比较两者是否匹配，若匹配则说明收到的消息是完整，未被篡改，从而实现数字签名的验证过程。在完成签名验证之后，在返回的布尔值后增加已签名数据的位置信息。

3、业务逻辑根据签名验证后增加的已签名数据的位置信息判断即将要处理的数

据是否已被签名，从而保障SOAP消息的完整性，消除由于SOAP处理框架中对任务模块的拆分而带来的问题。

该方法的主要流程如下：

客户端请求：

步骤1. 客户端首先发起一个请求，这个请求包括客户端需要获得的数据项；

步骤2. 将对客户端做出的包括身份验证、属性、授权断言的安全断言标记语言SAML (Security Assertion Markup Language,)断言加入简单对象访问协议SOAP(Simple Object Access Protocol,)头中作为安全令牌；

步骤3. 在简单对象访问协议SOAP (Simple Object Access Protocol，)请求消息中加入包括时间戳、序列号、发送者、接收者的安全属性信息；

步骤4. 生成对称公钥，使用对称公钥及加密算法加密简单对象访问协议SOAP(Simple Object Access Protocol,)消息中需要保密的安全断言标记语言SAML(Security Assertion Markup Language,)断言和简单对象访问协议SOAP(Simple Object Access Protocol,)消息的机密信息，然后使用云计算平台内存库中的公钥加密已生成的对称公钥，并把已加密的对称公钥用密钥信息元素加入简单对象访问协议SOAP(Simple Object Access Protocol,)消息中；

步骤5. 使用客户端的密钥库密码及其私钥密码，从密钥库中提取其私钥，使用签名算法对安全断言标记语言SAML(Security Assertion Markup Language,)令牌、安全属性及需要保证完整性的元素进行签名，并在签名元素的密钥信息中包含其公钥信息；公钥信息包括密钥名称及数字证书标准X.509数据；

步骤6. 把已经经过加密及签名安全处理过的安全简单对象访问协议SOAP(Simple Object Access Protocol,)消息发送到云控制器CLC(Cloud Controller,)的8773端口；

云控制器端：

步骤7. 云控制器云控制器CLC(Cloud Controller,)接收到安全消息以后，检查安全属性，判断是否重放，是否为相应的接收者和发送者；

步骤8. 提取签名的密钥信息元素，从云计算平台的内存库将有关请求者的公钥

详细信息和验证状态发回，然后使用该公钥验证签名；

步骤9. 在完成签名验证之后，在返回的布尔值后增加已签名数据的位置信息；

步骤10. 业务逻辑根据数据的位置信息判断即将要处理的数据是否已被签名，

从而保障简单对象访问协议SOAP(Simple Object Access Protocol,)消息的完整性；

步骤11. 根据密钥信息元素中的公钥信息，从密钥库中提取己方的私钥，对密钥进行解密，然后对加密内容实施解密；

步骤12. 对简单对象访问协议SOAP(Simple Object Access Protocol,)中包含的安全断言标记语言SAML(Security Assertion Markup Language,)断言进行处理，根据安全断言标记语言SAML(Security Assertion Markup Language,)断言中包含的有关用户的验证、授权、属性信息以及简单对象访问协议SOAP(Simple Object Access Protocol,)消息构造授权决策请求，根据授权决策结果决定是否允许其进行相关操作；

步骤13. 若允许访问，则根据用户的请求信息以及相关参数进行相关操作并返回相应客户端想要的数据。

Claims (1)

1.一种基于云计算平台的安全云控制器访问方法，其特征在于该方法根据安全断言标记语言SAML思想设计了一个简单对象访问协议SOAP消息传输方法，然后通过加密、数字签名的方法安全访问云控制器；该方法的主要流程如下：

客户端请求：

步骤1. 客户端首先发起一个请求，这个请求包括客户端需要获得的数据项；

步骤2. 将对客户端做出的包括身份验证、属性、授权断言的SAML断言加入简单对象访问协议SOAP头中作为安全令牌；

步骤3. 在简单对象访问协议SOAP请求消息中加入包括时间戳、序列号、发送者、接收者的安全属性信息；

步骤4. 生成对称公钥，使用对称公钥及加密算法加密简单对象访问协议SOAP消息中需要保密的安全断言标记语言SAML断言和简单对象访问协议SOAP消息的机密信息，然后使用云计算平台内存库中的公钥加密已生成的对称公钥，并把已加密的对称公钥用密钥信息元素加入简单对象访问协议SOAP消息中；

步骤5. 使用客户端的密钥库密码及其私钥密码，从密钥库中提取其私钥，使用签名算法对安全断言标记语言SAML令牌、安全属性及需要保证完整性的元素进行签名，并在签名元素的密钥信息中包含其公钥信息；公钥信息包括密钥名称及数字证书标准X.509数据；

步骤6. 把已经经过加密及签名安全处理过的安全简单对象访问协议SOAP消息发送到云控制器CLC的8773端口；

云控制器端：

步骤7. 云控制器CLC接收到安全消息以后，检查安全属性，判断是否重放，是否为相应的接收者和发送者；

步骤8. 提取签名的密钥信息元素，从云计算平台的内存库将有关请求者的公钥

详细信息和验证状态发回，然后使用该公钥验证签名；

步骤9. 在完成签名验证之后，在返回的布尔值后增加已签名数据的位置信息；

步骤10. 业务逻辑根据数据的位置信息判断即将要处理的数据是否已被签名，

从而保障简单对象访问协议SOAP消息的完整性；

步骤11. 根据密钥信息元素中的公钥信息，从密钥库中提取己方的私钥，对密钥进行解密，然后对加密内容实施解密；

步骤12. 对简单对象访问协议SOAP中包含的安全断言标记语言SAML断言进行处理，根据安全断言标记语言SAML断言中包含的有关用户的验证、授权、属性信息以及简单对象访问协议SOAP消息构造授权决策请求，根据授权决策结果决定是否允许其进行相关操作；

步骤13. 若允许访问，则根据用户的请求信息以及相关参数进行相关操作并返回相应客户端想要的数据。

Images