[發明專利]云計算的一個分布式訪問控制方法

有效

• 申請號: 201310221993.0
• 申請日: 2013-06-06
• 公開（公告）號: CN103338232A
• 公開（公告）日: 2013-10-02
• 發明（設計）人: 萬長勝;周琳
• 申請（專利權）人: 東南大學
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L9/32;G06F21/56
• 代理公司: 南京經緯專利商標代理有限公司 32200
• 代理人: 許方

技術領域

本發明涉及一種云計算的一個分布式訪問控制方法，屬于云計算安全技術領域。

背景技術

現今云計算正在越來越流行，云計算中數據外包到云中。它的優點是顯而易見的：減輕數據擁有者的存儲管理負擔，具有獨立地理位置的通用數據訪問，以及避免硬件，軟件，人員維護等資本開支。

然而，外包數據會引起下面列出的新的安全問題。

第一個問題是數據完整性和數據丟失。存在廣泛的對數據完整性的內部和外部威脅。數據丟失的例子包括云服務供應商CSP由于金錢方面的原因，通過沒有或很少被訪問的丟棄數據實現回收存儲，甚至為了保持聲譽隱瞞數據丟失事件。?

第二個問題是數據泄漏。為了對不受信任的通訊服務供應商保護數據的機密性，一種自然的方式是只將加密數據存儲在云中。

?第三個問題是數據文件的授權和訪問控制。也就是說，對文件的操作必須被授權，云服務器CS必須根據授權信息控制對文件的操作。

?第一個問題和第二個問題可以分別通過可驗證的存儲方案和加密方案加以解決，而第三個問題目前是由美國國家標準與技術研究院（NIST）考慮，它提出了一個名叫基于角色的訪問控制（RBAC）的標準參考模型。?NIST??RBAC的基本思想是在功能角色的基礎上建立數據訪問權限，然后適當地為數據用戶分配一個角色或一組角色。最后，訪問控制是基于各個數據用戶擁有的角色進行的。?

根據NIST??RBAC模型，Jose?M.?Alcaraz?Calero?等人設計了一個多租戶的授權系統（MTAS）。?在該系統中，當數據用戶DU需要訪問云服務器中的數據文件時，云服務器CS咨詢授權服務器AS來確定該操作是否被允許。?????這種集中授權系統的優點是顯而易見的：支持多租戶，把授權和訪問控制管理工作從云服務器中分離了出來，從而云計算服務器可以專注于數據管理工作。?

但是，集中授權系統的缺點也是明顯的。????

給授權服務器沉重的負擔。在多租戶的授權系統（MTAS）中，數據使用者試圖訪問數據文件的任何時間，云服務器都要咨詢授權服務器。當有許多數據用戶試圖訪問數據文件時，授權服務器的負擔是非常沉重的。?

?對授權服務器的分布式拒絕服務（DDOS）攻擊。當多個云服務器同時咨詢授權服務器時，就會給授權服務器帶來一個分布式拒絕服務（DDOS）攻擊。

發明內容

為了解決上述問題，本發明提出了一種云計算的一個分布式訪問控制方法。該方法把訪問控制過程從授權過程中分離了出來，使得授權服務器的負擔減小，并且避免了授權服務器的分布式拒絕服務（DDOS）攻擊。

本發明為解決其技術問題采用如下技術方案：

一種云計算的一個分布式訪問控制方法，包括如下步驟：

（1）角色創建刪除階段：該階段通過云服務器CS、授權服務器AS和發行人這三個實體之間的溝通實現創建和刪除文件及其相關的角色；

（2）角色分配階段：該階段通過發行人，數據用戶DU，云服務器CS和授權服務器AS這四個實體之間的溝通實現把角色分配給數據用戶；

（3）訪問控制階段：該階段通過云服務器CS和數據用戶DU之間的溝通實現對云服務器CS上文件的訪問控制。

本發明的有益效果如下：

本發明把授權過程從訪問控制過程中分離了出來，并把授權服務器從訪問控制過程中釋放了出來，使得授權服務器上的負擔降低，而且避免了接入控制過程中的拒絕服務攻擊。

通過安全性分析和效益評估，該方法符合所要求的安全性目標并獲得了較好的收益。本方法的研究對完善云數據的訪問控制技術，進而推動我國云數據業務發展和繁榮互聯網經濟意義重大。

?附圖說明

圖1是分布式訪問控制方法的系統模型圖。

圖2是本發明的信任模型圖。

圖3是角色創建刪除階段圖。

圖4是角色分配階段圖。

圖5是訪問控制階段圖。

具體實施方式

下面結合附圖對本發明創造做進一步詳細說明。

分布式訪問控制方法的系統模型如圖1所示。它包括該方法涉及的實體，這些實體之間溝通的協議，以及在協議上運行的算法。?????