數據庫系統身份證明安全方法應用研究

劉向東

摘要：數據庫系統的身份證明方法主要對訪問者的身份進行比對校驗，確定訪問者的訪問合理性，能夠通過可信計算技術向管理員提供身份可信報告。本文提出的基于哈希散列樹的數據庫系統身份證明安全方法能夠保證訪問者或者設備周期性地向服務器管理后臺發送自身的運行狀態和身份證明，在一定程度上提升了數據平臺的工作效率和運行維護成本，從而有效地減輕了計算機網絡數據庫管理中心的存儲壓力和計算壓力，提高數據庫的安全性能。

關鍵詞：數據庫系統；身份證明；哈希散列樹；安全性能

中圖分類號：TP311.13 文獻標識碼：A 文章編號：1007-9416（2017）03-0211-02

數據庫系統是通過互聯網技術和數據庫技術系統構建的，其數據來源是海量互聯網應用及相關服務，涉及各個領域，滲透到各個物品中[1-2]。完善的計算機網絡數據庫系統通常劃分為三個層次，分別是感知層、網絡層以及數據應用層，其中，數據應用層負責對用戶產生的海量數據進行傳輸和處理，因此，需要安全性能優越的身份證明對系統的安全性進行提升[3-4]。計算機數據庫系統的遠程證明通常按照典型的“挑戰—響應”協議模式來完成。對數據庫系統的訪問者和操作者進行身份驗證，包含用戶的隱私數據不被侵犯和非法利用。目前TCG（Trusted Computing Group，可信計算組織）規定在數據庫的遠程身份認證過程中不可以采用EK技術，只能通過身份證明標識密鑰AIK（Attestation Identity Key，證明標識密鑰）對EK進行再命名處理。

數據庫系統身份證明安全方法直接關系到數據庫存儲內容的安全，隨著大數據時代的到來，越來越多的應用數據需要存儲到服務器云端，人們通過移動通信設備實時地與數據庫系統進行交互，而在這個過程中的身份認證過程將對用戶進行唯一身份識別，通過多方身份驗證，確保數據的隱私性和安全性[5]。

本文針對計算機網絡數據庫系統遠程身份證明過程的典型特征，提出了基于哈希散列樹的數據庫系統身份證明安全方法能夠保證訪問者或者設備周期性地向服務器管理后臺發送自身的運行狀態和身份證明，同時，對其應用效果進行測試驗證。

1 數據庫系統身份證明概述

在數據庫系統中，可信計算平臺中的TPM（Trusted Platform Module，可信賴平臺模塊）TPM通過EK生成AIK，并利用隱私CA（Certification Authority，認證機構）簽發的AIK證書對身份完成認證。證明者通過AIK對挑戰者選定的PCR寄存器值完成簽名操作后，附件中相關的度量日志表以及AIK證書同時傳輸給挑戰者。同時，挑戰者對該證明值進行分析驗證[6]。

從上文的基本描述可知，數據庫系統的身份證明過程包含了完整性校驗和身份可信度校驗兩部分內容，完成證明后，其向數據庫管理者提供了面向可信技術的運行狀態證明報告。證明報告中包含了訪問者向驗證方提供的可信身份證據，可信身份證據涵蓋了證明方的具體操作行為以及證明方的完整性信息等方面的內容，而數據庫管理者在接收到訪問者的可信證據后，對期望的完整性報告進行對比驗證，驗證結果即表明的此證明文件的可信度。數據庫身份遠程身份證明的流程如圖1所示。

2 數據庫系統遠程身份證明方案

2.1 基于哈希散列樹的身份證明方案

本文提出的基于哈希散列樹的數據庫系統身份證明安全方法分別從新鮮度、完整度以及主動性三個方面對傳統的證明方法進行改進，加入了可信計算的想法。

（1）新鮮度。在數據存儲平臺和訪問者間的身份證明報告中設置了時間戳屬性，數據庫安全平臺在每次接收到身份證明報告時，對先前的和現在值的進行對比驗證，在的情況下，則說明數據存儲設備暫時未進行重啟；在的情況下，則說明身份證明報告是新鮮的。通過以上策略保證身份證明報告的新鮮度。

（2）完整度。哈希樹的系統結構本質是滿二叉樹，其分枝結點的取值依據是其左右孩子連接后的生成的哈希值。本文設計的遠程證明方法主要利用散列鏈的模式對證明結果的完整度進行保證。

針對實際具體的應用需求，設備可能需要同時將完整性報告發送給多個不同的管理平臺，此刻設備需要快速構建哈希散列樹，然后對散列樹的根節點進行簽名操作，同時完成對葉子節點的初始化操作，其值被設置為設備與各設備管理中心之間所構成散列鏈的初始值。

（3）主動性。本次證明所需的證明方案確定是通過在證明平臺中融入證明代理的概念來完成的。當管理平臺第一次接收到來自設備的注冊請求信息時，管理平臺存儲相關設備的TSN和證書，同時向AA發送相關的證明策略傳遞。因此，基于哈希散列樹的數據庫系統遠程身份證明步驟如下。

Step1：哈希散列樹的構建，而且利用AIK執行根節點的簽名操作；

Step2：；

Step3：將完整性證明報告策略傳遞給設備；

Step4：；

Step5：將接收到數據塊中PCR寄存器值進行提取，然后同Step2中接收到的值共同完成散列計算，將計算結果與身份證明過程中的產生簽名數據中得到的散列值進行驗證分析，此過程完成了對PCR寄存器值的完整性校驗；然后對比TSN中的滴答計數器值和Step2中的滴答計數器初始值，對報告的新鮮度進行評估；最后，完成對SML的一致性檢驗過程。

2.2 性能分析

在數據庫設備平臺中，基于哈希散列樹的數據庫系統遠程身份證明的實驗結果如圖2所示。在整個證明過程中，尤其是在構建哈希散列樹之前，必須估計哈希散列樹在實際應用過程中可能使用的存儲空間、計算復雜度以及空間復雜度。本文中，設定哈希散列樹的葉子節點完全由160位隨機數組合而成，散列函數設置為SHA1函數，其輸入與輸出均為160位。則數據庫身份證明過程的所需的計算總量可以通過以下進行估計：葉子節點總數為，散列樹的生成過程需要完成次散列運算；散列樹的存儲過程均需占用的存儲空間；如果第一次將向帶有驗證信息的節點發送給管理中心需要進行次運算，在而后進行的認證過程操作中，僅僅需要傳輸的散列值即可。本方法僅需AIK對根節點完成簽名操作過程，系統計算的時間成本得到有效減少。

定義SHA1函數隨運行時間變化的線性方程如下式：，其中b表示待傳遞數據信息流的字節總數，，。因為孩子節點的數據長度均為，因此生成一個分枝節點所消耗的時間是。根據滿二叉樹結果特點，生成根節點所消耗的時間是。通過圖2的仿真結果表明，本文設計的基于哈希散列樹的數據庫遠程身份證明方法在不同葉子節點數和不同隨機數數量的前提下，所需的計算次數和運行時間都相對于常規的證明方法要小，可以說明其較好地改善了數據庫的安全性和運行效率。

3 結語

數據庫系統的身份證明方法主要對訪問者的身份進行比對校驗，確定訪問者的訪問合理性，能夠通過可信計算技術向管理員提供身份可信報告。本文提出的基于哈希散列樹的數據庫系統身份證明安全方法能夠保證訪問者或者設備周期性地向服務器管理后臺發送自身的運行狀態和身份證明，在一定程度上提升了數據平臺的工作效率和運行維護成本，從而有效地減輕了計算機網絡數據庫管理中心的存儲壓力和計算壓力，提高數據庫的安全性能。

整體而言，本文設計的基于哈希散列樹的數據庫系統身份證明安全方法能夠保證數據庫系統身份認證和遠程證明過程的安全性以及完整性。

參考文獻

[1]W.Alasmary，W.Zhuang，Mobility impact in IEEE 802.11p infrastructureless vehicular networks[J].Ad Hoc Netw.，2012，10（2）：222-230.

[2]StumPf F，Fuchs A，Katzenbeisser S，etal.Improving the sealability of Platform attestation.Proeeedings of the 3rd ACM workshop on Scalable Trusted Computing. Fairfax，VA，USA：ACM，2008：l-10.

[3]徐國愚，常朝穩，黃堅，等.基于時間的平臺完整性證明[J].計算機工程，2009，35（6）：153-155.

[4]蔡永泉，劉芳.DMSS-動態哈希可信樹簽名方案[J].電子學報，2009，37（4A）：97-101.

[5]W.Shi，Y.Ma，Y.Chen，Z.Guo.Adaptive Neural Network Control for a Class of Nonlinear Discrete System[C].//International Conference on Natural Computation（ICNC 2012），Chongqing，China，IEEE，2012，pp：302-306.

[6]Ehang C，He R，Xie H，etal. A high efficiency Protoeol for reporting integrity measurements Proeeedings of the Eighth International Conference on Intelligent Systems Design and Applications.Kaohsiung：IEEE Press，2008：358-362.

[7]邱罡.可信系統保護模型研究與設計[D].西安電子科技大學，2010（9）.