[發明專利]一種基于HDFS的可信分布式文件系統

有效

• 申請號: 201410281244.1
• 申請日: 2014-06-20
• 公開（公告）號: CN104092733B
• 公開（公告）日: 2018-09-14
• 發明（設計）人: 劉發貴;張曉杰;王亮明;石明;郭小軍
• 申請（專利權）人: 華南理工大學
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06;H04L9/06;G06F17/30;G06F3/06
• 代理公司: 廣州粵高專利商標代理有限公司 44102
• 代理人: 何淑珍

1.一種基于HDFS的可信分布式文件系統，包括遠程證明模塊和數據密封模塊，其特征在于

所述遠程證明模塊包括：

遠程過程調用遠程證明模塊，用于實體節點進行通信交互時進行平臺完整性驗證；

基于完整性度量架構IMA的遠程認證模塊，用于實體節點之間進行平臺狀態遠程證明，驗證平臺完整性；所述遠程過程調用遠程證明模塊具體用于實現如下過程：首先遠程過程調用申請者對遠程過程調用服務器的遠程過程調用端口發起套接字連接請求，遠程過程調用服務器接受連接后，遠程過程調用申請者發送遠程過程調用報頭以及使用服務器公鑰加密的隨機數n，遠程過程調用服務器使用私鑰解密獲得隨機數n后，發送平臺狀態寄存器PCR10的值，隨機數n以及度量列表返還給申請者；申請者對接收數據進行驗證后，確定對方是否處于可信的平臺狀態，即確認對方的平臺狀態完整性；

套接字連接遠程證明模塊，用于實體節點對非可信地址進行套接字連接系統調用時進行平臺完整性驗證；

所述數據密封模塊用于實體節點進行遠程證明失敗后，對平臺數據進行數據密封；

所述基于完整性度量架構IMA的遠程認證模塊具體用于實現如下過程：首先挑戰者發送隨機數給被認證者，被認證者通過身份密鑰對隨機數和平臺狀態寄存器PCR10的值進行數字簽名后返回給挑戰者；挑戰者使用被認證者的身份密鑰公鑰對數據進行解密，并驗證隨機數是否正確；接著被認證者發送完整性度量架構維護的度量列表，挑戰者通過模擬PCR擴展度量列表操作驗證PCR10的值是否一致，如果一致說明度量列表沒有被篡改，通過遍歷度量列表查看度量值是否合法，如果都合法則說明被認證者的平臺完整性沒有被破壞，并返回度量結果；所述的套接字連接遠程證明模塊具體用于實現如下過程：首先用戶進程發起套接字連接系統調用connect并傳入連接地址作為參數，接著系統調用中判斷連接地址是否在可信地址列表中，如果不是則判斷可信代理進程是否啟動，如果啟動則發送連接地址給可信代理進程，否則直接返回錯誤；

所述的數據密封模塊具體用于實現如下過程：首先進行遠程證明，如果遠程證明成功則生成一對AES密鑰并使用指定平臺狀態寄存器PCR對密鑰進程數據密封，把密封數據導出到磁盤上；如果遠程證明失敗，則使用密鑰對數據進行加密，并在加密完成后丟棄該密鑰。

2.根據權利要求1所述的基于HDFS的可信分布式文件系統，其特征在于：所述平臺狀態遠程證明是基于IMA完整性度量架構的靜態度量結果的。

3.根據權利要求1所述的基于HDFS的可信分布式文件系統，其特征在于：所述的遠程證明模塊和數據密封模塊能夠有效防御高階持續性威脅APT。