[發明專利]大規模數據分布式存儲方法

在審

• 申請號: 201710330182.2
• 申請日: 2017-05-11
• 公開（公告）號: CN106911814A
• 公開（公告）日: 2017-06-30
• 發明（設計）人: 賴真霖;文君
• 申請（專利權）人: 成都四象聯創科技有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06;H04L9/08
• 代理公司: 北京天奇智新知識產權代理有限公司11340
• 代理人: 楊春

1.一種大規模數據分布式存儲方法，其特征在于，包括：

構建基于安全機制的TPM計算平臺，在該平臺之上對租戶的數據訪問進行身份認證，提供對存儲的數據的保護和驗證機制，并且對多租戶之間進行數據隔離。

2.根據權利要求1所述的方法，其特征在于，所述構建基于安全機制的TPM計算平臺，進一步包括：

采用智能卡設備作為可信平臺控制模塊，多系統引導裝載程序在引導前，對Xen的源碼和Dom0的源碼進行編譯；在加載Xen形式的VMM時，多系統引導裝載程序將順序執行如下的命令，包括設置根設備，裝載VMM系統內核映像，為Dom0的內核映射裝載一個初始的ramdisk映像，并為宿主操作系統的安全區域設置初始參數，所執行的命令及順序與配置文件中的一致，將相關的設備驅動和配置文件都存儲于所述RAMDisk。

3.根據權利要求2所述的方法，其特征在于，所述方法還包括：

對Hypervisor進行可信重構，增加程序執行檢測模塊，該模塊提供一組鉤子函數接口，將度量功能實現為鉤子函數，包括加載新程序并跳轉執行，將要裝入的可執行文件的路徑名轉換成該執行文件所在的索引節點，內核函數直接使用索引節點到磁盤存取可執行文件；程序執行檢測模塊將函數指針指向實現度量功能的鉤子函數，在可執行文件要加載前，鉤子函數被調用從而產生相應的度量值，度量驗證的依據是可信程序列表；驗證通過后，找到可執行代碼文件的節點，然后裝入可執行程序并運行。

4.根據權利要求3所述的方法，其特征在于，當租戶可執行代碼被篡改時，程序執行檢測模塊在加載時根據路徑定位代碼內容，并計算代碼的散列值，計算所得的散列值與所述可信程序列表中的預期散列值不同，禁止對該進程的加載和運行。

5.根據權利要求1所述的方法，其特征在于，所述對租戶的數據訪問進行身份認證，進一步包括：

在注冊階段，租戶生成自己的口令，生成口令驗證原語，將租戶的身份信息與其口令驗證原語綁定，存儲在數據庫中；

在認證階段，當租戶想要訪問公有云時，首先向云平臺認證模塊發送認證請求，認證請求中包含了其所屬身份管理認證模塊的身份；

公有云生成自己的口令，生成口令驗證原語，將云的身份ID、口令驗證原語以及租戶的消息傳遞至租戶所屬身份管理認證模塊，請求實現其與租戶間的雙向認證；

身份管理認證模塊收到云的協議消息后，對雙方進行身份認證，驗證租戶身份的合法性；若云平臺認證模塊對租戶的身份驗證通過，則可獲得正確的會話密鑰，并回復認證消息給租戶端；

租戶端驗證云身份的合法性，云身份驗證通過后，租戶接受會話密鑰；如果租戶和云之間的雙向認證通過，則雙方之間建立一個共享會話密鑰；

租戶和云服務提供商之間使用該會話密鑰用于安全通信，該密鑰只用于一次安全會話；如果任一實體接收到一定數量惡意交互的內容后，將會將口令字禁用或鎖定，防止攻擊者進行試探。