CN104202361A

CN104202361A - 基于移动主体的云端数据保护方法

Info

Publication number: CN104202361A
Application number: CN201410398770.6A
Authority: CN
Inventors: 徐小龙; 龚培培; 陈丹伟; 杨立军
Original assignee: Nanjing Post and Telecommunication University
Current assignee: Nanjing Post and Telecommunication University; Nanjing University of Posts and Telecommunications
Priority date: 2014-08-13
Filing date: 2014-08-13
Publication date: 2014-12-10

Abstract

本发明公开了一种基于移动主体的云端数据保护方法，属于网络信息安全技术领域包。该方法包括：步骤1、在用户本地创建本地主体；步骤2、本地主体对上传数据进行预处理，并将预处理的相关信息存储于本地；步骤3、本地主体向云端的主管理节点申请用于存储上传数据的云端存储节点，并将申请到的云端存储节点的信息存储于本地；本地主体孵化出一个移动主体，移动主体将预处理后的上传数据进行封装，然后携带着封装后数据迁移至云端存储节点；步骤4、移动主体按照预设的周期检测存储于云端的数据是否被非法篡改，并根据检测结果对被非法篡改的封装后数据进行处理。相比现有技术，本发明使得数据拥有者对托管至云端的数据仍具有自主管理的能力。

Description

基于移动主体的云端数据保护方法

技术领域

本发明涉及网络信息安全技术领域，尤其涉及一种基于移动主体(Mobile Agent)的云端数据保护方法，用于防止存储于云端的数据被非法篡改。

背景技术

随着云端技术的迅猛发展，用户一方面被云端存储资源的优势吸引着，一方面又因为对“托管”至云端的数据不可控而担忧，这严重阻碍了云端技术的普及和发展。因此，让用户对上传至云端自己的数据具有控制和管理权限，已成为目前一个热点课题。

目前，对云端数据保护的研究文献已有不少，但基本上都是引入可信第三方作为云端和用户端之间的第三方代理，对云端数据进行完整性检测，从而判断云端数据有没有被非法篡改。例如：一篇中国期刊论文《可信云远程验证系统关键技术研究及设计实现》中使用可信第三方TTP方案，设计了包括用户、TTP、云在内的一个完整的可信任云的验证框架，来解决用户和云之间的双向可信问题；另一篇中国期刊论文《云计算中数据完整性检测问题的研究》通过对云计算中的数据进行完整性检测来检测出存储在云服务器中数据是否被篡改，即改进了原有的Juels协议，该协议的正确性是基于在不知道哨兵分布的情况下，数据被大量篡改而不影响到数据内插入的哨兵位置和哨兵数值的概率无限趋近于零，事实上就是向数据中随机插入无意义的数据来扰乱非授权用户的视线；而该文献中检测的过程是由云服务器将中间结果返还给用户，由于云提供商本身的不完全可信，用户所得的用于检测的中间结果的可信度值得商榷；类似的现有文献还有很多(如：《基于可信第三方的公有云平台的数据安全存储方案》、《基于可信第三方的安全可问责云存储方案》等)，大家都在可信云提供商或者可信第三方参与的前提下进行的研究，本身就存在可信度不足的问题，用户仍没有从本质上对托管至云端自己的数据进行有效地管理和控制。

发明内容

本发明所要解决的技术问题在于克服现有技术所存在的不足，提供一种基于移动主体的云端数据保护方法，利用移动主体来封装用户待上传数据，对托管至云端的数据进行直接管理和控制，不再完全依赖云服务提供商或者“可信”第三方的管理，使得数据拥有者对托管至云端的数据仍具有自主管理的能力。

本发明具体采用以下技术方案解决上述技术问题：

基于移动主体的云端数据保护方法，包括以下步骤：

步骤1、在用户本地创建本地主体；

步骤2、本地主体对上传数据进行预处理，并将预处理的相关信息存储于本地；

步骤3、本地主体向云端的主管理节点申请用于存储所述上传数据的云端存储节点，并将申请到的云端存储节点的信息存储于本地；本地主体孵化出一个移动主体，所述移动主体将预处理后的上传数据进行封装，然后携带着封装后数据迁移至所述云端存储节点；

步骤4、所述移动主体按照预设的周期检测存储于云端的封装后数据是否被非法篡改，并根据检测结果对被非法篡改的封装后数据进行处理。

上述技术方案中，具体的上传数据预处理方法要根据移动主体所采用的数据篡改检测策略而定，例如基于脆弱水印的数据篡改检测方法、基于数据加密的数据篡改检测方法、基于单向散列算法的数据篡改检测方法等，本发明优选采用基于哈希运算的数据篡改检测方法，具体如下：

步骤2中所述预处理包括：对数据进行哈希运算并将得到的哈希值拼接到该数据之后；步骤4中移动主体通过以下方法检测存储于云端的封装后数据是否被非法篡改：移动主体从封装后数据中分离出数据和哈希值，并对分离出的数据进行哈希运算，然后判断运算得到的哈希值与分离出的哈希值、存储于本地的哈希值是否一致，如一致，则说明数据正常；否则，说明数据被非法篡改。

本发明进一步地在上述数据篡改检测方法中结合数据加密及数据分块策略，以提高数据的安全性，具体如下：

步骤2中所述预处理，具体如下：首先对上传数据进行加密；然后将加密后上传数据切分为至少两个数据块；最后对各数据块分别进行哈希运算并将所得的哈希值分别拼接到相对应的数据块后面；

移动主体按照以下方法对存储于云端的封装后数据进行检测：移动主体从封装后数据中分离出各数据块及其所对应的哈希值，并对分离出的各数据块分别进行哈希运算，然后判断运算得到的哈希值与相应的分离出的哈希值、存储于本地的哈希值是否一致，如一致，则说明数据块正常；否则，说明数据块被非法篡改。

优选地，步骤4中所述根据检测结果对被非法篡改的封装后数据进行处理，包括：将被非法篡改数据块销毁，并将其余正常数据块迁移至其它的云端存储节点。进一步地，所述将其余正常数据块迁移至其它的云端存储节点，具体为：如当前的云端存储节点为边缘节点(Edge Node，EN)，则将其余正常数据块迁移至云节点(Cloud Node，CN)；如当前的云端存储节点为云节点，则将其余正常数据块迁移至其它的云节点。

相比现有技术，本发明技术方案及其进一步改进方案分别具有以下有益效果：

(1)本发明采用移动主体来封装用户待上传数据，对托管至云端的数据进行直接管理和控制，不再完全依赖云服务提供商或者“可信”第三方的管理，使得数据拥有者对托管至云端的数据仍具有自主管理的能力；

(2)本发明对待上传数据进行HASH操作，并将所得HASH值拼接在数据段后面成为待上传数据的一部分，使得该数据更加敏感，与向数据段插入无意义数据的方法相比，减少了对待上传数据的预处理步骤，降低了漏检的概率；

(3)本发明利用移动主体对存储于云端的数据块进行实时检测，首次检测时刻的不确定性加大了攻击者破解检测时间点的难度，通过有效区分对云端数据的正常修改和非法篡改，最终实现对云端数据的保护。

附图说明

图1为本发明基于移动主体的云端数据保护方法的一个优选实施例的云端数据存储架构模型；

图2为移动主体对云端数据进行非法篡改检测的时序示意图；

图3为移动主体对云端数据进行非法篡改检测的流程示意图；

图4为移动主体对被非法篡改的封装后数据进行处理的流程示意图。

具体实施方式

下面结合附图对本发明的技术方案进行详细说明：

本发明的发明思路是采用移动主体来封装用户待上传数据，并利用云端的移动主体对托管至云端的数据进行直接管理和控制，从而不再完全依赖云服务提供商或者“可信”第三方的管理，使得数据拥有者对托管至云端的数据仍具有自主管理的能力；进一步地对待上传数据进行HASH操作，并将所得HASH值拼接在数据段后面成为待上传数据的一部分，使得该数据更加敏感，与向数据段插入无意义数据的方法相比，减少了对待上传数据的预处理步骤，降低了漏检的概率；利用移动主体对存储于云端的数据块进行实时检测，首次检测时刻的不确定性加大了攻击者破解检测时间点的难度，通过有效区分对云端数据的正常修改和非法篡改，最终实现对云端数据的保护。

为了方便公众理解本发明的技术方案，下面首先移动主体技术的基本内容作简要说明：

首先，主体(Agent)技术有如下两种定义：一是主体是用以最一般的说明一个软硬件系统，其具有这样的特性：自主性、社会性、反应性、能动性；一是主体除了以上的所有特性外，还应具备一些人类才具有的特性，如知识、信念、义务、意图等。而移动主体(Mobile Agent)是一种特殊的主体，它除了具有主体的基本属性(自主性、交互性、反应性、主动性等)以外，移动性是其最重要的特点，它能在开放或者封闭的分布式网络环境中自主地从一台主机并行或者串行地迁移到其他主机，并可与当地资源主动交互地执行代码。移动主体包括主体运行环境(Agency)和主体本身两个部分，一般由本地静态主体孵化生成，并可携带数据、程序和状态信息在节点间迁移。目前，由于移动主体技术的成熟度和优势性能，基于移动主体技术的研究文献层出不穷。比如：一篇中国期刊《移动Agent定位机制与迁移技术研究》对多移动Agent的概念和特性作了介绍，并针对移动Agent在迁移过程中的定位机制、路由规划、迁移策略等关键技术进行了详细剖析；另一篇中国期刊论文《云环境下基于多移动Agent的低能耗任务调度策略的研究》对移动Agent迁移机制进行了改进，提出了一种新的基于优化缓存的移动Agent迁移机制；在遵循FIPA标准的基础上通过在本地Agency添加一个Agent迁移缓存管理者的方式，在不同情况下该迁移缓存管理者会按照对应规划保存已封装好的移动Agent最小信息集；当移动Agent再次进行迁移或进行连续迁移时便可以直接将已封装好的消息发送至目的站点，从而可以有效节约系统的计算资源，缩短再次迁移的迁移时延。诸如上述的对移动Agent技术本身或者基于移动Agent技术的研究还有很多，并会在未来很长一段时间内起到很重要的作用。本发明正是利用移动主体技术来实现用户对云端数据安全的自主保护。

下面以一个优选实施例来对本发明技术方案进行详细说明。

一、基于移动主体的云端数据存储架构模型：

图1显示了本实施例中云端数据存储架构模型，如图1所示，云端数据存储架构模型由云端和用户端两个部分组成。其中，云端系统由管理单元和存储单元组成，其中，管理单元由主管理节点(Master Node，MN)构成，负责对云端各类存储节点进行注册与管理；存储单元由云节点(Cloud Node，CN)和边缘节点(Edge Node，EN)组成，必须事先向MN进行注册，负责存储用户上传的数据。

用户端由用户待上传文件f、主体和本地库三个部分组成，其中主体具有孵化的功能，在对f进行预处理之后，孵化(Spawn)出一个移动主体，对经过预处理后的文件f'进行封装，携带f'一并上传至云端存储；因此，可以形象地将主体分为本地主体和移动主体两类，其中，本地主体驻留在用户本地，对f进行一些预处理，如加密、分块、HASH操作等，并且在f'上传之后为主体之间的交互提供运行环境；移动主体包括更新、数据封装、检测和策略四个模块；其中，更新模块在云端数据通过移动主体正常修改的情况下，对云端数据和用户端本地库进行更新操作；数据封装模块用于对f'进行封装，和移动主体形成一体；检测模块则是在用户数据托管至云端脱离了用户管理的情况下对用户数据进行检测；策略模块包括迁移、定时和销毁三个策略，给云端检测提供策略，其中，迁移策略可以实现EN→CN、CN→CN的迁移；定时策略保存的是用户在上传文件之前设置的时间戳T，为云端的检测提供准确的时间点；销毁策略可以对具体节点的具体数据进行覆写操作，使其得到充分地删除，从而到达销毁的功能。

在用户本地创建一数据库UPLOAD_TO_CLOUD，在该数据库中创建hash和hash_block两张表，hash表存储f的相关信息，hash_block存储f'的相关信息，对应的字段如下表1、表2所示：

表1 hash表中的相关字段

FILE_NAME_ID

HASH

LEVEL

FILEPATH

CREATE_TIME

UPDATE_TIME

其中，FILE_NAME_ID用来唯一标识f；HASH存储的是对f的HASH值H_s；LEVEL存储的是该f上传至云端所在节点的等级，0表示CN节点，比较稳定，1表示EN节点，相对稳定；FILEPATH顾名思义指的是f的位置；CREATE_TIME指的是f首次写入数据库的时间；UPDATE_TIME指的是最近一次更新的时间；

表2 hash_block表中的相关字段

BLOCK_ID

FILE_NAME_ID

HASH

LEVEL

CREATE_TIME

UPDATE_TIME

其中，BLOCK_ID用来唯一标识待f'；FILE_NAME_ID外键，用来关联hash表；HASH指的是每个f'的HASH值H_s；LEVEL存储的是该f'上传至云端所在节点的等级，CREATE_TIME指的是f'首次写入数据库的时间；UPDATE_TIME指的是最近一次更新的时间。

二、数据托管流程：

首先用户提交文件f；然后在用户本地动态创建本地主体，对f进行预处理；接着本地主体向MN申请云端存储节点，最后本地主体在接收到云端相应存储节点信息之后，根据用户需求孵化出一个移动主体，携带f'一并上传至该云端存储节点上；具体步骤如下：

步骤1)提交f：用户提交待上传数据f；

步骤2)创建主体：用户根据f需求动态创建本地主体，并利用所创建的本地主体对f进行预处理。上传数据预处理方法要根据移动主体所采用的数据篡改检测策略而定，本实施例中，所述预处理包括对上传文件f依次进行加密、分块、HASH操作，具体如下：

步骤a)加密：根据用户数据的敏感程度选择合适的加密方法对f进行加密，即C＝E(f)；

步骤b)分块：将加密后上传数据(为简便起见，后文简称为密文)C切分为至少两个数据块，具体的切分方法可根据实际情况灵活选择，本实施例中是将步骤a)加密所得的密文C“向上取整”切分成n份长度为M的数据块B_i，即C＝{C(B₁),C(B₂),…,C(B_i),…,C(B_n)}，所得的数据块的数量n如公式(1)所示，且前n-1个数据块的长度等于M，而最后一个数据块的长度不长于M；

式中，L(C)表示密文C的长度，表示向上取整；

需要说明的是，对于较小的上传文件f，由于其加密后的密文C也较小，此时也可以跳过分块的步骤，直接对其进行哈希运算；

步骤c)HASH运算：对步骤b)分块产生的n个密文数据块C(B_i)分别进行HASH运算，即C'(B_i)＝H(C(B_i))，并将所得的n个H_a值分别拼接到相应密文数据块的后面，即f'形式如下表3所示：

表3 预处理后上传数据序列

密文数据块C(B_i)

对应HASH值H_a

步骤d)写入本地库：根据用户自定义数据库UPLOAD_TO_CLOUD的属性字段，将步骤a)b)c)中的相关信息存储在数据库中；

步骤3)主体迁移：在迁移之前本地主体向MN申请可存储f'的云端节点的相关信息，MN将符合要求的云端存储节点的相关信息返回给本地，本地主体孵化出一个移动主体来封装f'，并根据实际需要建立相应的检测模块和策略模块，然后，移动主体携带着f'和各模块一起迁移至云端存储节点上。

三、数据防御型检测及处理：

数据防御型检测及处理，是指基于HASH值的自主检测，并对没有通过检测的云端数据进行及时处理的过程。利用对云端数据修改流程的不同来区分云端数据的正常修改和非法篡改，从而起到防御型检测的功效，最终及时地对云端已经被篡改或者有被篡改可能性的节点数据进行处理(例如销毁或者向用户报警)。本发明技术方案中云端数据的正常修改和非法篡改的区分依据为：

数据正常修改：用户本地主体与上传至云端的移动主体进行交互，申请存储在云端的数据，云端移动主体将其管理的数据发送至本地主体，用户将该数据序列进行分离操作，并对该序列分离出的数据段进行修改，修改之后对其进行HASH操作得到新的HASH值H_t，并用H_t更新分离出的HASH值，同时，对用户本地数据库相关字段进行更新，最后再将该数据用同样的方法上传至云端；

非法篡改：非授权用户对数据块的任何修改都视为非法篡改，可能是对密文数据段的修改，可能是对HASH值段的修改，也有可能是对两者共同的修改，但是因为不是通过移动主体完成的，所以不会向用户返回一个HASH值来对数据库进行更新。

四、数据检测算法：

移动主体封装着用户数据、属性、策略等上传至云端之后，即基于预设的检测周期对该用户数据进行定时检测，本实施例中是从CREATE_TIME起，每隔T个时间单位对云端存储的用户数据进行检测，第一次检测时刻的不同，给攻击者破解检测时刻造成了一定的难度，即检测时间点如图2所示。

本实施例中移动主体对用户数据的检测及处理算法步骤如下：

步骤1)检测：首先将存储在云端的待检测数据序列进行分离，分离成数据段和HASH值段；对分离出的数据段进行HASH操作，将所得HASH值H_t与分离出的HASH值段的H_a进行比较，如不一致，则视为被非法篡改，并向云端管理该数据的移动主体返回false，否则，将该H_t值返回至用户端与用户本地存储的数据库相应HASH值H_s进行比较，如不一致，则视为被非法篡改，并向云端管理该数据的移动主体返回false，否则视为没有修改或者被正常修改，并向云端管理该节点的移动主体返回true，检测流程如如图3所示；

步骤2)检测结果处理：云端管理数据的移动主体接收到false时，即基于策略模块的处理策略对该数据进行处理，本实施例中是将该数据块销毁，并且将与其相关的其余正常数据块或者副本进行迁移，具体迁移策略是原先在EN节点上的数据块迁移至CN节点，原先在CN节点上的迁移至其他的CN节点上，数据处理流程如图4所示。

为了验证本发明方法的效果，进行了以下仿真验证试验。

环境介绍：

硬件：windows7；处理器：Pentium(R)Dual-Core CPU T42002.00GHz2.00GHz；内存：2.00GB；软件：VMware虚拟机、JADE3.5平台；

准备工作：

使用VMware虚拟机技术搭建实验平台，每个虚拟机作为一个云计算节点，建立了包括12个异构节点的测试平台，其中1个为主管理节点MN，11个为存储节点，其中MN的IP地址为10.10.139.170，另外11个存储节点的IP依次为10.10.139.171～10.10.139.181，前5个节点用来模拟CN节点，后6个节点用来模拟EN节点；虚拟机的操作系统为windows2003，分别在本机和12台windows2003上搭建JADE平台；用本机模拟用户；

整个验证试验过程如下：

步骤1)提交f：现欲将文件f上传至云端存储；

步骤2)创建主体：在JADE平台上动态创建主体，来对f进行加密、分块和HASH操作，具体如下：

步骤a)加密：这里采用现有的DES加密方法，对f进行加密，即C＝DES(f)，得到的密文程度L(C)为585Mb；

步骤b)分块：令M＝64Mb，由公式(1)得，n＝10，则将密文C切分成9个长度为64Mb的数据块和1个长度为9Mb的数据块；

步骤c)HASH运算：分别对分块产生的数据块进行HASH运算，并且将HASH值拼接到原密文数据块的最后，同时，将每个数据块的相关信息存储到本地数据库中，如下表4、表5所示：

表4 待上传数据的相关存储字段

FILE_NAME_ID	HASH	LEVEL	FILEPATH	CREATE_TIME	UPDATE_TIME
						1	114cfed30555c80d35fea5ee6aa4535d	0	d：est.txt	2014-08-0517:23:34	(Null)

表5 待上传数据块的相关存储字段

BLOCK_ID	FILE_NAME_ID	HASH	LEVEL	CREATE_TIME	UPDATE_TIME
						1	1	b0f034163fd4e54ddc0e23ef8381ca21	0	2014-08-0517:23:34	(Null)
2	1	5db25cd3e6c9e9deec1c59a52236f4f8	0	2014-08-0517:23:34	(Null)
						3	1	aee1535c3311277ccc26e310b50d13d1	0	2014-08-0517:23:34	(Null)
4	1	02fc89d0598f3723aab9e000288dc9c	0	2014-08-0517:23:34	(Null)
						5	1	7fe50508c9b5dee28fe44ceaf2f0110f	0	2014-08-0517:23:34	(Null)
6	1	073a6e2fa318a3c9ac26b8e891c1f1a0	0	2014-08-0517:23:34	(Null)
						7	1	24aefe62fea3fe2afa23060bd24cac3a	0	2014-08-0517:23:34	(Null)
8	1	096c43eca3490a823f365733c0be3981	0	2014-08-0517:23:34	(Null)
						9	1	f2326b6fabd4bc09ce1b387572a753be	0	2014-08-0517:23:34	(Null)
10	1	8d6e51a33e8fc491f570a7b2f85db4b3	0	2014-08-0517:23:34	(Null)

步骤3)主体迁移：本地主体向MN申请，MN将符合要求的云端存储节点的IP节点IP(10.10.139.176～10.10.139.181)返回给本地，本地主体孵化出一个移动主体，来封装FUTAH，并根据需要建立监测模块和策略模块，然后，移动主体携带着用户数据和各模块一起迁移至云端IP为10.10.139.177的EN节点上；

步骤4)云端数据检测：步骤3)中的10个数据块上传至云端之后，分别对这10个数据块进行定时检测；首先将存储在云端的数据序列进行分离，分离成数据段和HASH值段；对分离出的数据段进行HASH操作，将所得H_t与分离出的HASH值H_a进行比较，如不一致，则视为被非法篡改，并向云端管理该数据的移动主体返回false，否则，将该H_t返回至用户端与用户本地存储的数据库相应HASH值H_s进行比较，如不一致，则视为被非法篡改，并向云端管理该数据的移动主体返回false，否则视为没有修改或者被正常修改，并向云端管理该节点的移动主体返回true；

步骤5)检测结果处理：当管理数据的移动主体接收的返回值为true时，则不做任何操作，并等到下一个检测时刻到达时按照上述方法继续检测；而一旦接收到的返回值为false时(如数据块1被修改)，则基于销毁策略将数据块1进行销毁，同时将剩余的9个数据块迁移至CN节点上。

Claims

1.基于移动主体的云端数据保护方法，其特征在于，包括以下步骤：

步骤1、在用户本地创建本地主体；

2.如权利要求1所述基于移动主体的云端数据保护方法，其特征在于，步骤2中所述预处理包括：对数据进行哈希运算并将得到的哈希值拼接到该数据之后；步骤4中移动主体通过以下方法检测存储于云端的封装后数据是否被非法篡改：移动主体从封装后数据中分离出数据和哈希值，并对分离出的数据进行哈希运算，然后判断运算得到的哈希值与分离出的哈希值、存储于本地的哈希值是否一致，如一致，则说明数据正常；否则，说明数据被非法篡改。

3.如权利要求2所述基于移动主体的云端数据保护方法，其特征在于，步骤2中所述预处理，具体如下：首先对上传数据进行加密；然后将加密后上传数据切分为至少两个数据块；最后对各数据块分别进行哈希运算并将所得的哈希值分别拼接到相对应的数据块后面；

4.如权利要求3所述基于移动主体的云端数据保护方法，其特征在于，步骤4中所述根据检测结果对被非法篡改的封装后数据进行处理，包括：将被非法篡改数据块销毁，并将其余正常数据块迁移至其它的云端存储节点。

5.如权利要求4所述基于移动主体的云端数据保护方法，其特征在于，所述将其余正常数据块迁移至其它的云端存储节点，具体为：如当前的云端存储节点为边缘节点，则将其余正常数据块迁移至云节点；如当前的云端存储节点为云节点，则将其余正常数据块迁移至其它的云节点。

6.如权利要求3所述基于移动主体的云端数据保护方法，其特征在于，合法用户按照以下方法对存储于云端的数据进行修改：本地主体与云端的移动主体进行交互，申请存储在云端的数据；云端的移动主体将其管理的封装后数据发送至本地主体；本地主体从该封装后数据中分离出上传数据，对分离出的上传数据进行修改，然后对修改后上传数据重新进行预处理并更新本地存储的预处理信息，最后将预处理后的修改后上传数据上传至云端。

7.如权利要求3所述基于移动主体的云端数据保护方法，其特征在于，使用DES加密方法对上传数据进行加密。