基于云計算的數據安全存儲策略探析

◆王莉 王智 王麗珍

（1.山西大同大學 山西 037009；2.大同市第二高級職業中學校 山西 037009）

1 云計算環境下的數據存儲安全問題

近年來，隨著科技水平的不斷提高，云計算技術應運而生，成為新一代數據存儲服務的最佳選擇，為用戶提供了更優質的數據存儲服務。但是，云計算技術在高速發展的同時，也帶來了新的安全隱私問題，面臨外包、多租戶與海量數據存儲計算的安全挑戰。其中，云計算平臺所提供外包數據的機密性、完整性和安全性未得到充分驗證，在外包期間容易泄露用戶個人隱私，脫離數據擁有者的控制。同時，云計算平臺廣泛存在多租戶現象，由多個用戶共享使用同一賬號，將不同用戶的數據均上傳至相同物理主機，在云平臺遭受惡意攻擊時，容易出現一系列的安全問題。隨著云計算技術的發展，存儲與計算的數據量持續增大，原有安全策略和協議的適用性較差，難以保證遠程存儲數據的完整性。

具體來講，可以將云計算平臺所面臨的數據安全存儲分為數據機密性和數據完整性兩方面。一方面，現有云計算供應商受到技術限制，無法保證用戶所存儲虛擬數據不遭受內部潛在與外部的惡意攻擊，造成數據失竊。另一方面，為提高安全管理水平，多數云計算供應商選擇對用戶所存儲信息進行審計監控，確定不存在新的安全性問題，如消息驗證、賬號密碼認證等。但是，卻無法滿足用戶對所存儲數據完整性直接校驗的需求，而是采取“先下載-驗證-再上傳”的方式。

2 基于云計算的數據安全存儲策略

2.1 身份認證

身份認證是當前多數云計算供應商均采取的一項數據安全存儲策略，通過消息認證、賬戶密碼登錄、動態口令、數字簽名、IC 卡認證等方式，對用戶的真實身份進行識別認證，在確定用戶身份真實無誤后，再授予用戶操作權限，如文件讀取、數據下載、數據上傳、數據修改等。簡單來講，則是對管理者以及使用者的身份進行相互認證，在二者之間構建起一種真實可信的關系。如果用戶身份認證未通過，將無法開展異地登錄、文件讀取等操作。為深入闡述身份認證策略在數據安全存儲方面的應用價值，以幾種常用的身份認證技術為例，具體如下。

（1）口令核對

用戶在注冊云計算賬號時，系統將自動為用戶創建一個<用戶名，口令>，用戶登錄賬戶時，直接在系統界面輸入用戶名及口令。云計算平臺將所輸入用戶口令與內部存儲的口令進行對比校驗，如果校驗通過，則判斷為合法用戶，反之則將其判斷為非法用戶。與其他身份認證技術相比，口令認證法存在安全隱患，用戶將在安全性較差的網絡環境中明文傳輸密碼口令，容易被不法分子在網絡通道中加以截獲，或是對系統采取離線方式進行猜測性攻擊。因此，部分云計算供應商選擇使用全新的身份認證技術來替代口令核對法。

（2）Kerberos 身份認證

此項技術是依托TCP/IP 所設計的一種第三方可信認證協議，向云計算平臺提供資源訪問以及身份認證機制，將用戶口令在授權服務器中加以存儲，安全系數較高。在云計算平臺運行期間，用戶身份認證過程為：首先，認證服務器基于所存儲用戶口令生成密鑰，并向用戶發送訪問服務器的票證。其次，用戶將賬戶信息和票證一同上傳至授權服務器，由服務器對信息真實性進行認證識別，在用戶身份認證通過后，向用戶發送全新的票證（簡稱T2），將其作為訪問云計算平臺的合法平整。第三，用戶向云計算平臺發送賬戶信息以及T2 票證，由系統進行認證。第四，在用戶身份認證通過后，授予用戶相應操作權限。與口令核對方法相比，對Kerberos 身份認證技術的應用，將為用戶提供安全通信的會話密鑰，且所生成票證具有時間期限。

（3）PKI 身份認證

PKI 身份認證法也被稱作為公玥基礎設施安全體系，是通過對相互匹配密鑰開展加解密操作，經過密鑰加密信息僅能使用配套密鑰進行解密處理，以此來保證用戶身份認證信息安全。同時，PKI 身份認證體系由證書及證書庫、恢復系統、密鑰更新機制、密鑰備份機制等組成，向用戶提供多元化的身份認證服務，且用戶無須深入了解PKI系統組成和密鑰管理方式。

（4）智能IC 卡認證

智能IC 卡認證是通過物理媒體接觸來認證用戶身份，提前將云計算系統創建的<用戶名，口令>存儲至IC 卡，并在認證服務器中存入用戶選定的隨機數。如此，在用戶登錄賬戶期間，輸入<用戶名，口令>系統判斷智能IC 卡是否合法，如果確定為合法身份，向認證服務器發送IC 卡內隨機數進行二次認證。與其他技術相比，憑借物理安全特性，可以大幅提高身份認證安全系數。

2.2 數據加密

在數據傳輸共享過程中，容易遭受不法分子的惡意攻擊，導致數據失竊或是被篡改破壞，具體行為包括阻止信息到達目的地、改變數據內容、竊聽/攔截數據、偽造數據四種。為解決這一問題，應采取數據加密策略，將用戶所傳輸數據的原始文本進行改變，將明文變換成難以理解的字符串，在字符串到達目的地后，再將字符串解密成原始文本。如此，在數據傳輸期間，盡管數據遭受第三方惡意攻擊被攔截，第三方難以在短時間內讀取真實數據，也無法采取偽造數據等行為。當前多數云計算供應商主要采取對稱加密、非對稱加密兩項技術措施，具體如下。

（1）對稱加密

對稱加密技術是通過使用對稱密鑰，將原始文本加密轉換為密文，在數據到達目的地后使用密鑰進行解密處理為明文，可以將數據傳輸與加解密操作視作為一個逆轉過程，其操作公式為C=E（K，P），P=D（K，C），P=D（K，E（K，P）），C 為密文，K 為對稱密鑰，P為明文，D 為解密算法，E 為加密算法。根據實際應用情況來看，對稱加密技術具有計算開銷小、加解密速度快、保密性強的優勢，但對稱加密機制并不具備簽名功能，且密鑰傳遞管理流程較為煩瑣。

（2）非對稱加密

非對稱加密是在對稱加密技術基礎上演變而成的一項全新技術，創新性采取了非對稱加密算法，由數據發送者與接收者分別使用不同的密鑰，將公/私密鑰配對，非對稱加密過程為：使用加密密鑰將原始文本轉變為密文，再使用解密密鑰將米粉轉換為原始文本。而非對稱加密操作公式為，C=E（KE，P），P=D（KD，C），P=D（KD，E（KE，P）。

與對稱加密技術相比，非對稱加密技術使用私鑰來替代公玥，僅有解密人知道解密密鑰，數據傳輸安全性較高，且密鑰傳遞和管理較為簡單。但是，非對稱加密算法較為復雜，明文加解密速度慢。因此，云計算供應商可選擇組合運用對稱加密與非對稱加密技術，結合兩種算法的優點，揚長避短。

3 數據備份及恢復

考慮到用戶所存儲及傳輸數據易遭受第三方惡意攻擊，或是受到不可抗力因素影響，有可能出現數據丟失問題，給用戶造成嚴重經濟損失。因此，云計算供應商應采取數據備份及恢復措施，定期對用戶所存儲數據進行備份處理，在出現數據失竊破壞，或是用戶誤操作刪除數據時，可以向系統提出數據恢復申請，在用戶身份驗證通過后，系統對所備份數據進行恢復。

此外，根據實際應用情況來看，如果應用傳統的冷備份技術，不但需要頻繁對用戶數據進行備份，且備份期間用戶無法正常訪問數據，易造成業務終止。在這一背景條件下，可選擇應用新推出的快照技術和動態文件系統。其中，快照技術可以在不影響系統正常運行和用戶訪問數據的前提下，快速生成某一瞬間的數據映像，對數據影像進行保存備份，在必要情況下，將數據映像恢復。而動態文件系統基于存儲池概念管理存儲物理空間，將全部硬件設備在一個存儲資源池內進行集中管理，可以隨時向存儲池內增加新的容量，且系統具備快照和數據備份功能，是一種創新型文件系統，主要被用作HDFS 及Lustre 后端存儲文件系統。

4 密鑰管理

當前多數云計算平臺均存在多租戶共用同一賬戶的問題，在多租戶間共享傳輸文件。因此，在云計算供應商采取密鑰加密技術時，必須將相應文件密鑰在多租戶中進行共享，如果不具備文件密鑰共享條件，將無法實現用戶間的資源共享目標。這一問題的存在，對密鑰共享及管理工作造成了阻礙，存在數據存儲安全漏洞。因此，云計算供應商可選擇在分布式文件存儲系統中單獨設置安全密鑰管理服務器，由該服務器專職負責開展密鑰存儲及管理工作，向用戶提供優質的密鑰管理服務，實現用戶間文件共享所產生密鑰的安全有效管理。

例如，某云計算供應商選擇采取密鑰聚合加密方案，其算法簡稱為KAE 算法，此算法在非對稱加密數據安全方面有著明顯優勢，在A 租戶使用私鑰向云計算平臺上傳加密數據，且B 租戶想讀取此文件時，如果A 租戶選擇通過云存儲共享機制向B 租戶分配文件解密權限，或是通過安全協議傳輸文件密鑰，會將A 租戶私密信息全部暴露在外，或是共享效率過低。針對此類問題，對KAE 算法的應用，可以在密文中添加標志符，將密鑰分為多種私密密鑰與聚合密鑰，密文擁有者持有一個主密鑰，擁有者有權通過分離函數產生特定種類的私密密鑰，將該密鑰通過安全通道傳遞給授權者，授權者使用密鑰解密讀取特定范圍內的文件。

綜上所述，為營造安全的網絡環境，切實保障云計算平臺的數據存儲安全，促進云儲存技術的發展。因此，應從多角度加大對數據安全存儲技術的研究，積極落實安全存儲策略，設計并實現完善的安全云存儲系統平臺，向用戶提供更為優質的云服務。