一种可信证据的远程验证方法、装置及系统
技术领域
本发明属于计算机技术领域,尤其涉及一种可信证据的远程验证方法、装置及系统。
背景技术
云服务是基于互联网的相关服务的增加、使用和交付模式,云服务的服务提供商将用户定制的应用软件或服务统一部署在自己的服务器上,用户可根据自己实际需求,通过互联网向服务提供商订购所需的应用服务,按订购的服务多少和时间长短向服务提供商支付费用,并通过互联网获得服务提供商提供的服务。用户不用再购买软件,而改用向服务提供商租用基于Web的软件来管理企业经营活动,且无需对软件进行维护,服务提供商负责管理和维护软件。
云服务典型的应用包括搜索服务、邮件服务、云存储服务等,当用户使用这些应用服务时,不需要在本地安装大型的搜索引擎系统、邮箱管理系统以及文件管理系统等,极大地方便了用户,降低了企业成本。然而,这些应用在给用户带来便利的同时,也存在一定的安全风险。如网盘上存储的内容杂乱、云存储服务提供商管理不透明,安全问题频发,导致云存储下用户数据的安全性较低。虽然现有云服务平台或服务器采取了对应的安全措施,例如,设置对应的可信平台模块(Trusted Platform Module,TPM)或可信密码模块(Trusted Cryptography Module,TCM)芯片,以用于收集和存储可信证据。然而,如果安装TPM或TCM,则需要匹配的云服务平台硬件以用于安装或集成TPM或TCM,需要一定的硬件投入,另外,这些模块存储的可信证据有限、单一且仍然位于云服务平台上,导致后续可信证据的验证可信度不高,且TPM或TCM位于云服务平台上,仍然会引起用户的担心,使得云服务难以推广。
发明内容
本发明的目的在于提供一种可信证据的远程验证方法、装置及系统,旨在解决由于现有技术无法提供一种有效的可信证据远程验证方法,导致云服务平台可信证据的验证可信度不高的问题。
一方面,本发明提供了一种可信证据的远程验证方法,所述方法包括下述步骤:
根据预设的可信证据收集触发事件收集云服务平台的可信证据;
将所述可信证据发送给可信证据存储服务器,以将所述可信证据存储在所述可信证据存储服务器上;
当接收到远程验证服务器对所述可信证据进行验证的指令时,所述可信证据存储服务器将所述可信证据发送给所述远程验证服务器;
所述远程验证服务器根据所述可信证据的类型对所述可信证据进行验证,输出验证结果。
另一方面,本发明还提供了一种可信证据的远程验证装置,所述装置包括:
证据收集模块,用于根据预设的可信证据收集触发事件收集云服务平台的可信证据;
第一证据发送模块,用于将所述可信证据发送给可信证据存储服务器,以将所述可信证据存储在所述可信证据存储服务器上;
第二证据发送模块,用于当接收到远程验证服务器对所述可信证据进行验证的指令时,所述可信证据存储服务器将所述可信证据发送给所述远程验证服务器;以及
验证结果输出模块,用于所述远程验证服务器根据所述可信证据的类型对所述可信证据进行验证,输出验证结果。
另一方面,本发明还提供了一种可信证据的远程验证系统,所述系统包括云服务平台、可信证据存储服务器以及远程验证服务器,其中:
所述云服务平台根据预设的可信证据收集触发事件收集云服务平台的可信证据,将所述可信证据发送给所述可信证据存储服务器,所述可信证据存储服务器接收到所述可信证据后将所述可信证据存储在所述可信证据存储服务器上,当所述可信证据存储服务器接收到远程验证服务器对所述可信证据进行验证的指令时,将所述可信证据发送给所述远程验证服务器,所述远程验证服务器根据所述可信证据的类型对所述可信证据进行验证,输出验证结果。
在本发明实施例中,通过设置独立的可信证据存储服务器收集、存储云服务平台的可信证据,当接收到远程验证服务器对可信证据进行验证的指令时,将可信证据发送给远程验证服务器,远程验证服务器根据可信证据的类型对可信证据进行验证,输出验证结果,从而通过设置独立的可信证据存储服务器、远程验证服务器,并根据可信证据的类型对可信证据进行分类验证,提高了云服务平台可信证据的验证可信度。
附图说明
图1是本发明实施例一提供的可信证据的远程验证方法的实现流程图;
图2是本发明实施例二提供的可信证据的远程验证方法的实现流程图;
图3是本发明实施例三提供的可信证据的远程验证方法的实现流程图;
图4是本发明实施例四提供的可信证据的远程验证装置的结构图;
图5是本发明实施例四提供的可信证据的远程验证装置的一优选结构图;
图6是本发明实施例四提供的可信证据的远程验证装置的一优选结构图;以及
图7是本发明实施例五提供的可信证据的远程验证系统的结构图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白,以下结合附图及实施例,对本发明进行进一步详细说明。应当理解,此处所描述的具体实施例仅仅用以解释本发明,并不用于限定本发明。
以下结合具体实施例对本发明的具体实现进行详细描述:
实施例一:
图1示出了本发明实施例一提供的可信证据的远程验证方法的实现流程,详述如下:
在步骤S101中,根据预设的可信证据收集触发事件收集云服务平台的可信证据。
在本发明实施例中,触发对可信证据进行收集的事件可以是预设的可信证据收集时间周期到达、接收到可信证据存储服务器发送的可信证据收集指令或其他触发事件,从而可根据应用场景的需要设置可信证据的收集频率,这样可在不增加云服务平台正常工作负载的情况下实施可信证据的收集。其中,云服务平台可以是云服务存储服务器或其他云服务服务器。在具体实施过程中,可通过软件探针收集云服务平台的可信证据,无需设置专用的芯片等硬件进行可信证据的收集。
优选地,在本发明实施例中,收集的可信证据包括对云服务平台的各种操作进行记录,包括虚拟机的运行、云服务平台的操作系统运行和网络行为、云服务平台管理员的操作等。因此,优选地,可信证据包括云服务平台上操作系统的程序运行序列、虚拟机生命周期内协议的运行序列、云服务平台管理员的操作序列。
在步骤S102中,将收集的可信证据发送给可信证据存储服务器,以将可信证据存储在可信证据存储服务器上。
在本发明实施例中,收集的可信证据发送给预先设置的可信证据存储服务器,以将可信证据存储在可信证据存储服务器上。该可信证据存储服务器为用户信任的第三方提供,相当于一“黑盒子”,可信证据存储服务器接收到可信证据后对可信证据有效性和完整性判断,之后再存储在本地,从而将可信证据独立于云服务平台进行存储,提高了可信证据的安全性和可信度。
在步骤S103中,当接收到远程验证服务器对可信证据进行验证的指令时,可信证据存储服务器将可信证据发送给远程验证服务器。
在步骤S104中,远程验证服务器根据可信证据的类型对可信证据进行验证,输出验证结果。
在本发明实施例中,远程验证服务器同样由用户信任的第三方提供,当根据应用场景要求需要对可信证据进行验证时,通过远程验证服务器向可信证据存储服务器发送获取可信证据的指令,可信证据存储服务器将可信证据发送给远程验证服务器,远程验证服务器根据可信证据的类型对可信证据进行验证,输出验证结果。其中,可信证据的类型可根据收集的对象来区分,例如,可信证据可以划分为关于云服务平台的可信证据、云服务平台上虚拟机的可信证据、云服务平台管理员操作的可信证据等。
在本发明实施例中,通过设置独立的可信证据存储服务器收集、存储云服务平台的可信证据,当接收到远程验证服务器对可信证据进行验证的指令时,将可信证据发送给远程验证服务器,远程验证服务器根据可信证据的类型对可信证据进行验证,从而通过设置独立的可信证据存储服务器、远程验证服务器,并根据可信证据的类型对可信证据进行分类验证,提高了云服务平台可信证据的验证可信度。
实施例二:
图2示出了本发明实施例二提供的可信证据的远程验证方法的实现流程,详述如下:
在步骤S201中,根据预设的可信证据收集触发事件收集云服务平台的可信证据。
在本发明实施例中,触发对可信证据进行收集的事件可以是预设的可信证据收集时间周期到达、接收到可信证据存储服务器发送的可信证据收集指令或其他触发事件,从而可根据应用场景的需要设置可信证据的收集频率,这样可在不增加云服务平台正常工作负载的情况下实施可信证据的收集。其中,云服务平台可以是云服务存储服务器或其他云服务服务器。在具体实施过程中,可通过软件探针收集云服务平台的可信证据,无需设置专用的芯片等硬件进行可信证据的收集。
优选地,在本发明实施例中,收集的可信证据包括对云服务平台的各种操作进行记录,包括虚拟机的运行、云服务平台的操作系统运行和网络行为、云服务平台管理员的操作等。因此,优选地,可信证据包括云服务平台上操作系统的程序运行序列、虚拟机生命周期内协议的运行序列、云服务平台管理员的操作序列。
在步骤S202中,将收集的可信证据发送给可信证据存储服务器,以将可信证据存储在可信证据存储服务器上。
在本发明实施例中,收集的可信证据发送给预先设置的可信证据存储服务器,以将可信证据存储在可信证据存储服务器上。该可信证据存储服务器为用户信任的第三方提供,相当于一“黑盒子”,可信证据存储服务器接收到可信证据后对可信证据有效性和完整性判断,之后再存储在本地,从而将可信证据独立于云服务平台进行存储,提高了可信证据的安全性和可信度。
在步骤S203中,当接收到远程验证服务器对可信证据进行验证的指令时,可信证据存储服务器将可信证据发送给远程验证服务器。
在步骤S204中,当可信证据的类型为云服务平台上操作系统的程序运行序列、虚拟机生命周期内协议的运行序列或云服务平台管理员的操作序列时,将可信证据抽象为运行模式或操作模式。
在步骤S205中,将抽象得到的运行模式或操作模式与预先存储的运行模式或操作模式进行对比。
在本发明实施例中,当可信证据的类型为云服务平台上操作系统的程序运行序列、虚拟机生命周期内协议的运行序列或云服务平台管理员的操作序列时,将可信证据抽象为运行模式或操作模式。具体地,可将运行序列或操作序列中的步骤抽象或或转换为对应的参数、标识符或数值,从而得到与序列对应的表达式或模式。进而通过抽象得到的运行模式或操作模式与预先存储的运行模式或操作模式进行对比,验证操作系统的程序运行行为、虚拟机生命周期内协议的运行行为或云服务平台管理员的操作行为是否为了特定的目标、并按照预期的方式执行,从而判断其可信性。
在本发明实施例中,云服务平台管理员的操作序列包括云服务平台管理员查看用户虚拟机状态的行为序列,例如,调取用户各种数据、文件进行查看的行为序列。云服务平台操作系统的运行序列包括能够反映云服务平台在运行时发生的一些系统级的行为,例如,宿主机系统日志和网络日志中包括的事件序列等。虚拟机生命周期内协议的运行序列包括物理节点注册协议、物理节点启动协议、虚拟机启动协议、虚拟机迁移协议、虚拟机运行时协议在虚拟机启动、迁移、运行时的运行序列,以保证这些协议在虚拟机启动、迁移、运行时是可信的。
在本发明实施例中,通过设置独立的可信证据存储服务器收集、存储云服务平台的可信证据,当可信证据的类型为云服务平台上操作系统的程序运行序列、虚拟机生命周期内协议的运行序列或云服务平台管理员的操作序列时,将可信证据抽象为运行模式或操作模式,将抽象得到的运行模式或操作模式与预先存储的运行模式或操作模式进行对比,输出验证结果,从而通过设置独立的可信证据存储服务器、远程验证服务器,并根据可信证据的类型对可信证据进行分类验证,提高了云服务平台可信证据的验证可信度。
实施例三:
图3示出了本发明实施例三提供的可信证据的远程验证方法的实现流程,详述如下:
在步骤S301中,根据预设的可信证据收集触发事件收集云服务平台的可信证据。
在步骤S302中,将收集的可信证据发送给可信证据存储服务器,以将可信证据存储在可信证据存储服务器上。
在步骤S303中,当接收到远程验证服务器对可信证据进行验证的指令时,可信证据存储服务器将可信证据发送给远程验证服务器。
在本发明实施例中,步骤S301到S303的实施方式可参考前述实施例中对应的各步骤,在此不再赘述。
在步骤S304中,当可信证据的类型为应用程序的摘要数据时,将摘要数据与预先存储的应用程序摘要数据进行对比。
在本发明实施例中,当可信证据的类型为应用程序的摘要数据时,将摘要数据与预先存储的应用程序摘要数据进行对比,从而判断应用程序在运行过程中是否发生改变,从而判断应用程序的可信性。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成,所述的程序可以存储于一计算机可读取存储介质中,所述的存储介质,如ROM/RAM、磁盘、光盘等。
实施例四:
图4示出了本发明实施例四提供的可信证据的远程验证装置的结构,为了便于说明,仅示出了与本发明实施例相关的部分,其中包括:
证据收集模块41,用于根据预设的可信证据收集触发事件收集云服务平台的可信证据;
第一证据发送模块42,用于将所述可信证据发送给可信证据存储服务器,以将所述可信证据存储在所述可信证据存储服务器上;
第二证据发送模块43,用于当接收到远程验证服务器对所述可信证据进行验证的指令时,所述可信证据存储服务器将所述可信证据发送给所述远程验证服务器;以及
验证结果输出模块44,用于所述远程验证服务器根据所述可信证据的类型对所述可信证据进行验证,输出验证结果。
在本发明实施例中,可信证据包括云服务平台上操作系统的程序运行序列、虚拟机生命周期内协议的运行序列、云服务平台管理员的操作序列。
优选地,如图5所示,验证结果输出模块44可包括:
证据抽象单元441,用于当所述可信证据的类型为所述云服务平台上操作系统的程序运行序列、虚拟机生命周期内协议的运行序列或云服务平台管理员的操作序列时,将所述可信证据抽象为运行模式或操作模式;以及
第一验证子单元442,用于将所述抽象得到的运行模式或操作模式与预先存储的运行模式或操作模式进行对比。
优选地,如图6所示,验证结果输出模块44也可以包括:
第二验证子单元443,用于当所述可信证据的类型为应用程序的摘要数据时,将所述摘要数据与预先存储的应用程序摘要数据进行对比。
在本发明实施例中,上述各单元的实施方式可参考前述实施例中对应的各步骤,在此不再赘述。
实施例五:
图7示出了本发明实施例五提供的可信证据的远程验证系统的结构,为了便于说明,仅示出了与本发明实施例相关的部分。
在本发明实施例中,可信证据的远程验证系统7包括云服务平台71、可信证据存储服务器72以及远程验证服务器73,其中:
云服务平台71根据预设的可信证据收集触发事件收集云服务平台的可信证据,将可信证据发送给可信证据存储服务器72,可信证据存储服务器72接收到可信证据后将可信证据存储在可信证据存储服务器72上,当可信证据存储服务器72接收到远程验证服务器73对可信证据进行验证的指令时,将可信证据发送给所述远程验证服务器73,远程验证服务器73根据可信证据的类型对可信证据进行验证,输出验证结果。
以上所述仅为本发明的较佳实施例而已,并不用以限制本发明,凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等,均应包含在本发明的保护范围之内。