CN105072138B - 一种云系统安全访问方法 - Google Patents

Abstract

本发明提供一种云系统安全访问方法、装置及系统，涉及云计算安全领域，其基于在对用户和服务器之间的数据进行加密处理，采用安全的认证技术实现用户与服务器之间的相互认证，以此来保证用户在访问云资源的安全性。方法包括：接收用户发送的身份认证请求，所述认证请求包含时间戳；若所述时间戳处于预先设置的生存期内，则通过用户的身份认证，并将资源票据颁发服务器的票据发送给用户；接收已获得资源票据颁发服务器的票据的用户发送的访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中云管理服务器的注册准则；通过用户的访问云服务器认证，并将云服务中心中的云管理服务器的票据发送给用户，以便于用户访问云服务中心。

Description

一种云系统安全访问方法

技术领域

本发明涉及云计算安全领域，特别是指一种云系统安全访问方法、装置及系统。

背景技术

随着信息技术的不断发展，每天有数十亿人在通过互联网访问，进行着各种服务。这就要求超级计算机和大规模数据中心必须面向庞大的互联网用户并发地提供高性能服务。由此，出现了云计算技术，云计算技术要求利用并行计算和分布式计算相关技术来构建高吞吐量计算系统，其目的就是采用不断涌现的新兴技术来优化基于网络的计算、存储，以及Web服务。

一方面，云计算不仅为众多企业和个人用户提供着优质的性能计算，而且具有低成本、快速部署和灵活调整规模的优势。在企业应用中应用的云，通常是指运行于Intemet上的、可伸缩的、可管理的、以服务形式为客户提供存储及运算需求的存储资源及计算的集合。伴随着企业信息化发展，遍布世界各地的无数企业网络正在产生越来越多的商业数据，这些数据如何在网络中实现安全并且低廉成本的传输，伴着云计算的不断流行和推广，如何对产生于云端的海量级数据进行安全可靠地保存以及传输，这些，都将成为日趋增大的挑战。

另一方面，云服务虽然给用户带来了极大的便利，但也引起了用户对安全性问题的广泛担忧。出于数据安全方面的考虑，大多数用户不愿意将自己的敏感数据存放在云服务提供商的服务器上。事实上，The Linkup，Google Docs等多家著名的云服务商都曾出现过各类安全问题，并且导致了严重的后果。直至今天，安全隐患已经成为云存储广泛推广所面临的最大障碍，因此，用户并不能够百分之百的信任云存储服务提供商。另外，越来越多非法黑客攻击以及假冒身份入侵者对云服务的威胁成为一个不可忽视的问题。

发明内容

本发明要解决的技术问题是提供一种云系统安全访问方法、装置及系统，其针对云计算环境下用户对云系统安全访问的方案，基于在对用户和服务器之间的数据进行加密处理以保证安全性，采用安全的认证技术实现用户与服务器之间的相互认证，以此来保证用户在访问云资源的安全性。

为解决上述技术问题，本发明的实施例提供一种云系统安全访问方法，包括：

接收用户发送的身份认证请求，所述认证请求包含时间戳；

若所述时间戳处于预先设置的生存期内，则通过用户的身份认证，并将资源票据颁发服务器的票据发送给用户；

接收已获得资源票据颁发服务器的票据的用户发送的访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中云管理服务器的注册准则；

通过用户的访问云服务器认证，并将云服务中心中的云管理服务器的票据发送给用户，以便于用户访问云服务中心。

在所述接收用户发送的身份认证请求，所述认证请求包含时间戳之前还包括：

对用户和云服务中心进行准则注册。

所述若所述时间戳处于预先设置的生存期内，则通过用户的身份认证，并将资源票据颁发服务器的票据发送给用户包括：

生成用户与时间戳认证服务器之间的会话密钥，并将会话密钥发送给用户和时间戳认证服务器，在用户向时间戳认证服务器发送请求的时候，使用该会话密钥进行加密。

所述资源票据颁发服务器的票据采用时间戳认证服务器生成的密钥进行加密。

所述云管理服务器的票据采用云管理服务器生成的密钥进行加密。

一种云系统安全访问方法，包括：

向安全认证中心发送身份认证请求，所述认证请求包含时间戳；

接收安全认证中心发送的资源票据颁发服务器的票据；

向安全认证中心发送访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中云管理服务器的注册准则；

接收安全认证中心发送的云管理服务器的票据；

根据获得的云管理服务器的票据，向云服务中心发送访问请求。

在所述向安全认证中心发送身份认证请求，所述认证请求包含时间戳之前还包括：

用户向安全认证中心进行准则注册，获得授权并登陆。

所述根据获得的云管理服务器的票据，向云服务中心发送访问请求中，该访问请求中包含访问时间戳，则在所述根据获得的云管理服务器的票据，向云服务中心发送访问请求之后还包括：

接收云服务中心发送的响应报文，该响应报文中包含响应时间戳；

对比访问时间戳和响应时间戳，进行对云服务器中心的认证。

所述资源票据颁发服务器的票据采用时间戳认证服务器生成的密钥进行加密。

所述云管理服务器的票据采用云管理服务器生成的密钥进行加密。

一种安全认证中心，包括：时间戳认证服务器、资源票据颁发服务器和用户准则管理服务器，其中，

时间戳认证服务器用于接收用户发送的身份认证请求，所述认证请求包含时间戳；

若所述时间戳处于预先设置的生存期内，则用户准则管理服务器通过用户的身份认证；

所述资源票据颁发服务器用于接收已获得资源票据颁发服务器的票据的用户发送的访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中云管理服务器的注册准则；用户准则管理服务器通过用户的访问云服务器认证后，所述资源票据颁发服务器将云服务中心中的云管理服务器的票据发送给用户，以便于用户访问云服务中心。

一种云系统安全访问系统，包括：

安全认证中心、客户端和云服务中心，其中，

安全认证中心包括：时间戳认证服务器、资源票据颁发服务器和用户准则 管理服务器，其中，

时间戳认证服务器用于接收客户端用户发送的身份认证请求，所述认证请求包含时间戳；

若所述时间戳处于预先设置的生存期内，则用户准则管理服务器通过客户端用户的身份认证；

所述资源票据颁发服务器用于接收已获得资源票据颁发服务器的票据的客户端用户发送的访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中云管理服务器的注册准则；用户准则管理服务器通过客户端用户的访问云服务器认证后，所述资源票据颁发服务器将云服务中心中的云管理服务器的票据发送给客户端用户，以便于客户端用户访问云服务中心。

本发明的上述技术方案的有益效果如下：

上述方案中，在安全认证中心采用准则管理服务器负责响应用户、云服务器的准则注册，认证授权，准则管理，以及认证准则的查找验证等工作，分担了以往传统认证服务器的认证工作任务，从而提高了认证服务器抵御如DDoS攻击的能力。实现了客户端与云服务器端的相互认证，可以降低云系统中的服务器端伪身份入侵产生的危害。并且，本方案在发送报文时添加了时间戳，可以根据自己网络和服务器的实际状况来设置这个时间戳与当前认证时间的时间差。当时间戳认证服务器接收到客户端用户发过来的信息之后，首先根据时间戳和生存期，判断该消息是否还在有效期之内，如果还没有过有效期，那么时间戳认证服务器才会响应该消息的请求，这样，就可以很好地解决因为攻击者采用重放攻击，时间戳认证服务器所遭受的拒绝服务攻击，从而保证整个认证系统的安全性能。

附图说明

图1为本发明实施例中安全认证中心侧云系统安全访问方法流程示意图；

图2为本发明实施例中用户侧云系统安全访问方法流程示意图；

图3为本发明实施例中云系统安全访问系统架构结构示意图；

图4为本发明实施例中云计算安全访问系统的界面设计结构示意图。

具体实施方式

为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。

本发明针对现有的云服务中海量级数据进行保存以及传输的可靠性较低的问题，提供一种云系统安全访问方法、装置及系统，其基于在对用户和服务器之间的数据进行加密处理以保证安全性，采用安全的认证技术实现用户与服务器之间的相互认证，以此来保证用户在访问云资源的安全性。

如图1所示，本发明的实施例提供一种云系统安全访问方法，此方法为基于安全认证中心侧的云系统安全访问方法，其中，安全认证中心主要包括时间戳认证服务器(TAS)、资源票据颁发服务器(RTGS)和用户准则管理服务器(UMS)，该方法包括：

步骤101、接收用户发送的身份认证请求，所述认证请求包含时间戳；

步骤102、若所述时间戳处于预先设置的生存期内，则通过用户的身份认证，并将资源票据颁发服务器的票据发送给用户；

本方案在发送报文时添加了时间戳，我们可以根据自己网络和服务器的实际状况来设置这个时间戳与当前认证时间的时间差。当时间戳认证服务器(TAS)接收到客户端用户发过来的信息之后，首先根据时间戳和生存期，判断该消息是否还在有效期之内，如果还没有过有效期，那么时间戳认证服务器(TAS)就会响应该消息的请求，通过安全信道向用户准则管理服务器(UMS)发送报文请求验证客户端。如果发现该消息的有效期已过，那么时间戳认证服务器(TAS)就会直接将这条消息丢弃，转而处理其它的客户身份认证请求。经过这样处理后，就可以很好地解决因为攻击者采用重放攻击，时间戳认证服务器(TAS)所遭受的拒绝服务攻击，从而保证整个认证系统的安全性能。

步骤103、接收已获得资源票据颁发服务器的票据的用户发送的访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中管理服务器的注册准则；

步骤104、通过用户的访问云服务器认证，并将云服务中心中的云管理服务器的票据发送给用户，以便于用户访问云服务中心。

在步骤101、在所述接收用户发送的身份认证请求，所述认证请求包含时 间戳之前还包括：

步骤100、对用户和云服务中心进行准则注册。

需要说明的是，在本发明实施例中，

(1)用户和云服务中心的资源服务器均需要在安全认证中心进行准则注册；

(2)用户在注册准则后需要向用户准则管理中心申请认证授权后才有资格申请访问云服务中心的认证请求；

(3)用户登录后，注册且授权的用户向安全认证中心的时间戳认证服务器(TAS)发送认证请求，通过认证后可获得资源票据颁发服务器(RTGS)的票据Ticket_RTGS；

(4)得到资源票据颁发服务器(RTGS)票据Ticket_RTGS的用户可以向资源票据颁发服务器RTGS服务器发送认证请求，在该请求中需要包含用户想访问的云服务中心中的云管理服务器(CMS)的注册准则，通过认证后可获得云管理服务器(CMS)访问票据Ticket_CMS；

(5)用户获得云管理服务器(CMS)访问票据Ticket_CMS后，可以向CMS发送认证请求，通过认证后即可访问云管理服务器(CMS)的资源。用户从云管理服务器(CMS)可获得自己想要访问的云中数据的映射或云应用的访问接口，从而实现访问云服务。具体地，所述若所述时间戳处于预先设置的生存期内，则通过用户的身份认证，并将资源票据颁发服务器的票据发送给用户包括：

生成用户与时间戳认证服务器之间的会话密钥K_C,TAS，并将会话密钥K_C,TAS发送给用户和时间戳认证服务器，在用户向时间戳认证服务器发送请求的时候，使用该会话密钥K_C,TAS进行加密。

进一步地，所述资源票据颁发服务器(RTGS)的票据Ticket_RTGS采用时间戳认证服务器生成的密钥K_TAS进行加密。

进一步地，所述云管理服务器的访问票据Ticket_CMS采用云管理服务器生成的密钥K_CMS进行加密。

如图2所示，本发明实施例还提供一种云系统安全访问方法，该方法是用户侧的云系统安全访问方法，包括：

步骤201、向安全认证中心发送身份认证请求，所述认证请求包含时间戳；

步骤202、接收安全认证中心发送的资源票据颁发服务器的票据；

步骤203、向安全认证中心发送访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中管理服务器的注册准则；

步骤204、接收安全认证中心发送的云管理服务器的票据；

步骤205、根据获得的云管理服务器的票据，向云服务中心发送访问请求。

在步骤201、所述向安全认证中心发送身份认证请求，所述认证请求包含时间戳之前还包括：

在步骤200、用户向安全认证中心进行准则注册，获得授权并登陆。

进一步地，所述根据获得的云管理服务器的票据，向云服务中心发送访问请求中，该访问请求中包含访问时间戳，则在所述步骤205、根据获得的云管理服务器的票据，向云服务中心发送访问请求之后还包括：

步骤206、接收云服务中心发送的响应报文，该响应报文中包含响应时间戳；

步骤207、对比访问时间戳和响应时间戳，进行对云服务器中心的认证。

具体地，用户向云管理服务器(CMS)发送的请求中包含访问时间戳T_S，用户向云管理服务器(CMS)对该访问时间戳进行验证，然后向客户端发送响应报文，该响应报文中也包含T_S，客户端通过对比发送和接受到的时间戳T_S即可实现对云服务器的认证。

进一步地，所述资源票据颁发服务器的票据采用时间戳认证服务器生成的密钥K_TAS进行加密。

进一步地，所述云管理服务器的票据采用云管理服务器生成的密钥K_CMS进行加密。

如图3所示，本发明实施例提供一种安全认证中心，包括：时间戳认证服务器(TAS)、资源票据颁发服务器(RTGS)和用户准则管理服务器(UMS)，其中，

时间戳认证服务器用于接收用户发送的身份认证请求，所述认证请求包含时间戳；

若所述时间戳处于预先设置的生存期内，则用户准则管理服务器通过用户 的身份认证；

所述资源票据颁发服务器用于接收已获得资源票据颁发服务器的票据的用户发送的访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中云管理服务器的注册准则；用户准则管理服务器通过用户的访问云服务器认证后，所述资源票据颁发服务器将云服务中心中的云管理服务器的票据发送给用户，以便于用户访问云服务中心。

如图3所示，本发明实施例提供一种云系统安全访问系统，包括：

安全认证中心、客户端和云服务中心，其中，客户端主要用于用户准则的注册、用户登陆以及实现用户申请认证和申请服务的功能。安全认证中心主要包括时间戳认证服务器TAS、资源票据颁发服务器RTGS和用户准则管理服务器UMS。用户准则管理服务器UMS主要负责认证系统中用户注册、管理，以及对其进行授权，客户端完成注册准则后，需要由用户准则管理服务器UMS管理员对其进行认证授权，之后该用户准则才能有权进行认证并申请服务。云服务中心主要是云服务提供商的应用实例，主要包括云管理服务器CMS、存储服务器SS和应用服务器APPS。

在安全认证中心中，具体地，时间戳认证服务器用于接收客户端用户发送的身份认证请求，所述认证请求包含时间戳；若所述时间戳处于预先设置的生存期内，则用户准则管理服务器通过客户端用户的身份认证；资源票据颁发服务器用于接收已获得资源票据颁发服务器的票据的客户端用户发送的访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中的云管理服务器的注册准则；用户准则管理服务器通过客户端用户的访问云服务器认证后，所述资源票据颁发服务器将云服务中心中的云管理服务器的票据发送给客户端用户，以便于客户端用户访问云服务中心。

如图3所示，本发明实施例基于认证的云计算安全访问方法认证流程如下：

(1)注册、授权、登陆过程

m1:C→UMS＝C_Name||E[K_C(TS₁)]

m2:UMS→C＝E[K_C(K_C,TAS||TS₂)]

m2′:UMS→TAS＝K_C,TAS||K_RTGS

m2″:UMS→RTAS＝K_C,RTAS

(2)获得RTGS票据

m3:C→TAS＝E[K_C,TAS(TS₂)]||C_Name||C_Rrealm||S_Name

m4:TAS→UMS＝C_Name||C_Rrealm||S_Name||S_Realm

m5:UMS→TAS＝ID_C||ID_S||K_S

m6:TAS→C＝C_Name||C_Rrealm||Ticket_RTGS||Enc_TAS其中，

Ticket_RTGS＝S_name||S_Realm||E[K_RTGS(K_C,RTGS||C_Name||C_Realm||StartTime||Expiers)]

Enc_TAS＝E[K_C,TAS(K_C,RTGS||S_Name||S_Realm||TS₃)]

(3)获得CMS票据

m7:C→RTGS＝Ticket_RTGS||Auth_C1||C_Name||S_Realm||S_Name

Auth_C1＝E[K_C,RTGS(C_Name||C_Realm||TS₄)]

m8:RTGS→UMS＝S_Name||S_Realm

m9:UMS→RTGS＝ID_S||K_CMS

m10:RTGS→C＝C_Name||C_Realm||Ticket_CMS||Enc_RTGS

Ticket_CMS＝S_Name||S_Realm||E[K_CMS(C_Name||C_Realm||StartTime||Expiers)]

Enc_RTGS＝E[K_C,RTGS(K_C,CMS||S_Name||S_Realm||TS₅)]

m10':S＝E[K_CMS(K_C,CMS)]

(4)CMS认证票据的有效性及用户访问云服务

m11:C→CMS＝Ticket_CMS||Auth_C2

Auth_C2＝E[K_C,CMS(C_Name||C_Realm||TS₆)]

m12:CMS→C＝E[K_C,CMS(TS₆)]

通过这12条报文交换，客户端通过认证后就可以访问云中的服务了。

图4为本发明实施例中云计算安全访问系统的界面设计结构示意图。

在系统界面设计中，主要包括用户操作界面设计和安全认证中心的UMS管理员界面设计。在用户操作界面中，主要有四大模块：用户注册模块，用户登陆模块，申请认证模块，访问服务模块；在UMS管理员界面中，有五大模块，分别为：管理员登陆模块，修改密码模块，管理准则模块，删除准则模块，注册准则模块和授权准则模块。

需要说明的是，身份认证的本质是被认证方有一些信息，如秘密的信息、 个人持有的特殊硬件、个人特有的生物学信息，除被认证方自己外，该信息不能被任何第三方伪造。如果被认证方能采用某些方法，使认证方相信他确实拥有那些秘密，则他的身份就得到了认证。

在本发明的技术方案中，在安全认证中心采用准则管理服务器UMS负责响应用户、云服务器的准则注册，认证授权，准则管理，以及认证准则的查找验证等工作，分担了以往传统认证服务器的认证工作任务，从而提高了认证服务器抵御如DDoS攻击的能力。实现了客户端与云服务器端的相互认证，可以降低云系统中的服务器端伪身份入侵产生的危害。传统的认证系统只提供身份验证功能，但它并不授权访问，而该方案中的用户管理服务器对用户准则和服务器准则提供了额外的授权服务，通过注册的准则只有通过监视器管理中心的授权后才能申请参与认证服务，不同控制实体间的协作，更有利于访问授权的实现，提高了系统的健壮性和可靠性。

并且，在传统的认证协议的第一步中，用户需要向认证服务器证明自己的身份合法性，此时他就要发送身份信息给认证服务器端。但是，如果当时有一个攻击者一直在监听网络，当用户发送信息的时候，攻击者就将信息截获，并且开始不间断的向认证服务器端发送这个信息。那么传统的服务器端在收到大量的这种信息之后，就会疲于奔命地根据所得到的用户ID查询数据库找到用户对应的密钥，并对信息进行解密操作，然后再生成票据许可票据，用自己的密钥和用户的密钥进行加密操作。若出现上述的情况，认证服务器端可能由于不堪重负而导致崩溃，并拒绝为正常的身份认证服务进行相关的认证服务，这也就是通常所说的拒绝服务攻击。区别于现有技术，本方案在发送报文时添加了时间戳，我们可以根据自己网络和服务器的实际状况来设置这个时间戳与当前认证时间的时间差。当时间戳认证服务器(TAS)接收到客户端用户发过来的信息之后，首先根据时间戳和生存期，判断该消息是否还在有效期之内，如果还没有过有效期，那么时间戳认证服务器(TAS)就会响应该消息的请求，通过安全信道向用户准则管理服务器(UMS)发送报文请求验证客户端。如果发现该消息的有效期已过，那么时间戳认证服务器(TAS)就会直接将这条消息丢弃，转而处理其它的客户身份认证请求。经过这样处理后，就可以很好地解决因为攻击者采用重放攻击，时间戳认证服务器(TAS)所遭受的拒绝服 务攻击，从而保证整个认证系统的安全性能。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (3)

1.一种云系统安全访问方法，其特征在于，包括：

接收注册且被授权的用户发送的身份认证请求，所述认证请求包含时间戳；若所述时间戳处于预先设置的生存期内，则通过用户的身份认证，并将资源票据颁发服务器的票据发送给用户；

接收已获得资源票据颁发服务器的票据的用户发送的访问云服务器认证请求，所述访问云服务器认证请求包括云服务中心中云管理服务器的注册准则；

通过用户的访问云服务器认证，并将云服务中心中的云管理服务器的票据发送给用户，以便于用户从云管理服务器可获得自己想要访问的云中数据的映射或云应用的访问接口；

其中，所述云管理服务器的票据采用云管理服务器生成的密钥进行加密；

其中，在所述接收用户发送的身份认证请求，所述认证请求包含时间戳之前还包括：

对用户和云服务中心在安全认证中心进行准则注册，用户在注册准则后向用户准则管理服务器申请认证授权。

2.根据权利要求1所述的云系统安全访问方法，其特征在于，

所述若所述时间戳处于预先设置的生存期内，则通过用户的身份认证，并将资源票据颁发服务器的票据发送给用户包括：

生成用户与时间戳认证服务器之间的会话密钥K_C,TAS，并将会话密钥K_C,TAS发送给用户和时间戳认证服务器，在用户向时间戳认证服务器发送请求的时候，使用该会话密钥K_C,TAS进行加密。

3.根据权利要求2所述的云系统安全访问方法，其特征在于，

所述资源票据颁发服务器的票据采用时间戳认证服务器生成的密钥进行加密。