區塊鏈技術在數據機房安全維護中的應用

2023-11-05 15:39:04李華飛

電視技術 2023年9期

李華飛

（吐哈油田公司信息技術公司，新疆吐魯番 838202）

0 引言

廣電數據機房承擔了傳媒資源的存儲和處理等關鍵任務。為適應復雜的業務需求，機房內通常會設立多個專業的數據中心，如視頻資源中心、用戶關系中心等。每個中心維護獨立的管理員賬號數據庫，難以進行安全、高效的跨中心身份認證。對資源的無序訪問將導致數據泄露、責任難以追溯等安全隱患問題。對此，本文以提高廣電機房安全維護水平為目標，基于區塊鏈技術設計了跨數據中心的管理員身份認證機制，旨在解決跨中心資源共享的效率低下和安全風險等問題。該機制提高了機房管理員身份認證的可靠性和可追蹤性，為安全事件責任定位提供依據，提升了機房的安全運維水平。

1 廣電數據機房安全基礎

1.1 數據機房安全維護技術

廣電數據機房作為存儲和傳輸大量節目的關鍵場所，其安全維護技術尤為重要。為確保數據的完整性、可用性和保密性，廣電相關單位采取了多種手段，如訪問控制系統、環境監測系統和網絡安全技術[1]。訪問控制系統通過使用身份驗證、授權和審計機制，限制只有授權人員才能進入數據機房；環境監測系統控制數據機房的環境條件，如溫度、濕度、氣流和火災等；網絡安全技術在數據機房的安全維護中也起著重要作用，包括防火墻、入侵檢測和防御系統、虛擬專用網絡以及數據加密和身份認證等技術。此外，定期的備份和災難恢復計劃也是安全維護的重要組成部分[2]。

1.2 區塊鏈技術

區塊鏈技術是一種分布式賬本技術，通過將數據記錄在一個不可篡改的鏈式結構中，實現數據的安全性、可追溯性和去中心化特性[3]。區塊鏈技術的核心概念包括分布式共識機制、密碼學技術和智能合約等。結合區塊鏈技術和數據機房安全維護，可以增加數據的安全性、可信度和可追溯性。區塊鏈的分布式特性和不可篡改性提供了額外的保障，使得數據機房能夠更好地應對未經授權訪問、數據篡改和其他安全威脅。

2 基于區塊鏈的機房管理員身份認證機制

將廣電機房中的多個數據中心構成數據中心聯盟，對于某個數據中心，它的預授權數據中心指存在可信合作關系的多個中心，訪問規則由各數據中心根據風險評估標準自主決定，并定期更新。本文基于區塊鏈技術，實現數據中心之間安全可靠的管理員身份認證，解決跨中心資源共享中的訪問控制問題[4-5]。

2.1 認證機制關鍵機構

廣電機房跨數據中心認證系統主要依靠認證服務器（Authentication Server，AS）和屬性機構（Attribute Authority，AA）這兩類機構執行。為了保證認證機制的可靠性，每個數據中心部署多個認證服務器和屬性機構節點。認證服務器通過數字證書等技術，負責本數據中心管理員身份的注冊與管理工作，為跨中心認證打下基礎。每個屬性機構獨立管理一類身份信息，為數據中心的管理員簽發包含相應屬性特征的電子證書，如部門屬性機構發放部門屬性證書、職級屬性機構簽發職級證書等。

2.2 管理員注冊

為保障廣電數據機房的資源安全，管理員需要從所在數據中心注冊成為系統合法用戶后才能訪問跨數據中心資源，注冊流程如圖1 所示，具體步驟如下。

圖1 管理員注冊流程

（1）管理員選擇主數據中心，選取隨機秘密值Ku，用于生成唯一的身份標識uid=f(su)，向本數據中心的認證服務器提交注冊信息uinfo和身份標識uid；

（2）認證服務器根據管理員身份信息如職務、部門等，向對應的屬性機構申請相應的身份屬性；

（3）各個屬性機構驗證身份屬性，并且簽發管理員對應屬性的公私鑰對apku-asku，返回給該數據中心認證服務器；

（4）認證服務器將公私鑰對返回給管理員；

（5）認證服務器建立管理員身份標識與隨機數、密鑰的對應關系，將映射和公鑰集合apku發布到區塊鏈上用于安全事件的追溯和責任認定。

2.3 跨數據中心的管理員認證

若數據中心1 的管理員1 請求數據中心2 的身份認證，來進行跨中心的資源訪問，具體過程如圖2所示，具體步驟如下。

圖2 管理員跨中心身份認證流程

（1）廣電機房數據中心1 的管理員1 向數據中心2 中的管理員2 發送消息，請求進行數據中心2的資源訪問和跨中心身份認證。

（2）數據中心2 中的管理員2 收到請求后，產生一個隨機數Nonce，并發送給數據中心1 中的管理員1。

（3）數據中心1 中的管理員1 收到隨機數Nonce后，使用自己的私鑰asku對消息進行簽名，將生成的簽名發送給數據中心2 的管理員2。

（4）數據中心2 中的管理員2 收到來自數據中心1中的管理員1的簽名后，驗證簽名。若簽名有效，數據中心2 中的管理員2 向數據中心2 中的認證服務器2 轉發數據中心1 中管理員1 的跨數據中心證書請求。

（5）數據中心2 中的認證服務器2 調用部署在區塊鏈上的智能合約進行跨數據中心身份認證證書頒發判定。智能合約首先判斷管理員1 所屬的數據中心，若其所屬數據中心為預授權數據中心，則證書頒發判定通過，由數據中心2 的認證服務器2 為其生成跨數據中心身份認證證書。

（6）部署在區塊鏈上的智能合約將生成的數據中心1 中管理員1 的跨數據中心身份認證證書返回數據中心2 中的認證服務器2，跨數據中心身份認證證書的內容包含證書版本號、證書序列號以及證書發行機構等信息。

（7）數據中心2 中的認證服務器2 將證書通過安全信道發送給數據中心1 中的認證服務器1。

（8）數據中心1 中的認證服務器1 將證書發送給用戶1。管理員1 可在證書的有效期內對數據中心2 中管理員2 有權限的數據進行訪問。

2.4 管理員跟蹤和銷毀

當廣電機房內部出現數據資源訪問的安全性爭議時，通過以下方式追溯管理員身份：任意數據中心認證節點收到仲裁請求后，調用區塊鏈合約查詢管理員信息；區塊鏈合約通過映射關系恢復出相關管理員真實身份，實現安全回溯和爭議處理。管理員注銷包括主動和被動兩種形式：主動注銷是管理員提出申請，認證服務器節點確認后注銷其賬戶信息和證書權限；被動注銷是證書過期或違規行為被發現，認證服務器節點主動施以強制注銷，撤銷相關權限。注銷后，管理員個人信息及歷史操作記錄存儲在區塊鏈不可篡改賬本中，實現全程監督。

3 實驗

模擬實驗中，設置廣電數據機房內有3 個數據中心，分別是新聞數據中心DC1、用戶數據中心DC2 和廣告數據中心DC3。每個數據中心分別部署各自的認證服務器和數據機構節點，管理員集合A在數據中心DC1 進行注冊，管理員集合B在數據中心DC3 進行注冊，進行以下測試。

先模擬DC3 的某廣告信息被修改。該安全事件發生后，DC3 通過訪問日志鎖定事件線索，調用合約接口，傳入時間參數。合約從不可變賬本中查詢當時有效證書的持有者，通過證書信息確定管理員所屬數據中心DC1，通過DC1 認證服務器中的身份映射表，確定篡改者為管理員群體Ap，Ap∈A，成功追溯到責任管理員。

模擬DC2 中的用戶信息被批量刪除。該安全事件發生后，DC2 通過訪問日志鎖定時間線索，查找可疑時間段的訪問人員。經過合約查詢、身份映射，同樣成功追溯到責任管理員群體Bp，Bp∈B。

本文模擬數據修改和刪除操作事件1 000 次，通過追溯合約定位責任管理員的準確率為100%；模擬數據泄露事件1 000 次，由于時間難以精準匹配訪問日志，通過追溯定位責任管理員約的準確率約為95%。因此，當出現爭議時，該技術通過智能合約追蹤人員信息，提高了身份溯源能力。將區塊鏈技術用于廣電數據機房中，對管理員進行跨數據中心的資源訪問進行可信監管，可以提高機房的安全運維性能。