电子认证服务在云环境下的应用研究

2017-09-20贾伟峰

网络安全技术与应用 2017年9期

关键词：数字证书数字签名加密

◆贾伟峰

（上海市数字证书认证中心有限公司上海 200080）

电子认证服务在云环境下的应用研究

◆贾伟峰

（上海市数字证书认证中心有限公司上海 200080）

本文针对云环境下的身份认证、数据加密、数字签名、行为不可否认性等信息安全难题，研究云环境下的数字证书认证系统、统一身份认证服务、电子签名服务、数据加密服务等，形成云环境下的电子认证服务解决方案，创新服务模式、业务模式和应用模式等，为业务应用提供完整、安全、可靠、可控的电子认证服务，为构建云环境下的电子认证进行先行探索。

电子认证；云计算；信息安全

0 引言

美国知名市场调研公司Gartner发布的名为《云计算安全风险评估》的研究报告中称，虽然云计算行业具有广阔的市场前景，但对于使用云服务的用户来说，他们应该意识到，云计算服务中存在着七大潜在安全风险，即优先访问权风险、管理权限风险、数据位风险、数据隔离风险、数据恢复风险、调查支持风险和长期生存性[1]。随着云计算技术的广泛应用，云计算的安全问题日益明显，云安全问题成为云计算应用发展中最为重要的研究课题。而处于云安全面前的第一道门就是身份认证。因此，通过对权威的电子认证服务的研究，形成可信、可行、高效的云认证解决方案对保障云环境安全显得尤为重要。

1 云环境下的数字证书认证系统

传统的数字证书认证系统是将注册审核管理功能、证书签发管理功能、证书查询验证功能等分别部署在各自独立的服务器、数据库和网络系统中，不能适应云环境的特性。为此，需要将原有的数字证书认证系统进行云计算化，为用户提供数字证书的申请、审核、签发、发布、更新、查询、验证等功能和服务，为电子政务和企业信息化提供身份认证、数据机密性完整性保护、不可抵赖性服务安全支撑。

云环境下的数字证书认证系统是借助云计算能力强、按需提供服务、高可靠性和IT基础设施投入低等优点，按照SaaS的模式向个人用户、机构用户、设备用户签发RSA 1024/2048算法数字证书、SM2 算法数字证书，为用户提供数字证书的申请、审核、签发、发布、更新、查询、验证等功能和服务，为电子政务和企业信息化提供身份认证、数据机密性完整性保护、不可抵赖性服务安全支撑。云环境下的数字证书认证系统包括证书签发系统（CA）、注册审核管理系统CRA）、证书查询与验证系统（LDAP/OCSP）和密码设备集群等，如图1所示。

图1 云环境下的数字证书认证系统

2 云环境下的统一身份认证服务

在信息安全体系中，身份认证能够确认某一个用户身份的合法性，为保证数据的安全性与机密性，身份认证过程是每个系统必备的一个环节，同时也是保障系统安全的一个重要措施，因此每个系统都会花费人力物力来对用户进行身份认证，相当于每个系统都在做大量重复性的工作，对于企业或者系统来说是资源的浪费。鉴于身份认证是一个必需的操作，向用户提供基于云计算的身份认证可解决资源浪费的问题。将身份认证做成一种灵活可配置的服务，需要将身份认证迁移到云上去，也就是说将身份认证做成一种SaaS产品。即云端的身份认证服务搭建企业身份认证所需要的网络基础设施以及软件、硬件运作平台，并且系统所有前期的实施、后期的维护等一系列工作都将由云端的身份认证服务系统提供，法人和自然人只要通过互联网就可使用身份认证服务。

3 云环境下的数据加密服务

云存储是由大量的物理存储设备通过网络集群和中间件构成，为用户提供存储服务。云存储的典型结构包括存储资源池、分布式文件系统、服务水平协议、服务接口等。云存储架构是一个分层模型，自下向上分别是存储层、管理层、应用层、访问层。

云计算安全传输可采用双重加密技术，既保证了用户信息的安全、有效传输，又保证了密钥的安全分配。同时使用消息鉴别技术保证了用户数据的完整性，防止用户数据被篡改[2]。

在加密过程中，首先使用随机产生的对称密钥加密明文得到紧凑的密文，对称加密算法具有安全性高、加密解密速度快的特点。然后使用收信者的公钥将刚才使用的对称密钥加密封装起来，然后得到的是密文的包裹，这一做法形象的称为打包操作。然后系统会计算可以用于检查这个包裹完整的消息摘要值，并且连同包裹一同发送给收信者。这种做法利用了对称密钥加密速度快的优点，同时又避免了对称加密密钥在传输过程中容易被窃取的缺点。

当解密时，收信者首先用哈希算法计算出包裹和密文的消息摘要，然后和发信者传送过来的消息摘要进行对比，则就可以知道在传输过程中数据有没有损坏，或者有没有被中途拦截过。在完成消息摘要的对比后，用自己的私钥解密对称加密密钥，再用对称密钥快速还原密文文件。

4 云环境下的电子签名服务

基于云计算架构的数字签名系统是利用云计算技术及理念，实现数字签名安全资源的池化，从而形成统一的安全云服务资源池，为用户提供按需安全服务，提升整体安全基础能力及服务提供能力[3]。

构建基于云计算架构的数字签名安全云服务平台需要遵循以下原则：

（1）技术层面。平台必须符合云计算的技术架构，使用云计算的相关技术，如虚拟化技术、分布式计算、SOA 技术等，从技术上实现安全服务的云化。

（2）管理层面。平台也必须具备符合云计算架构的管理功能，包括资源的动态调度、业务的自动配置、服务状态监控等方面，从管理上实现安全服务的云化。

（3）运行层面。平台能够实现快速部署，满足用户随时访问的安全请求，并能够处理大并发安全请求、根据需要动态扩展服务能力、兼容各种业务应用等方面。

基于以上原则，结合以上的实现模型，云环境下的电子签名服务平台逻辑架构如图2所示。

图2 云环境下的电子签名服务平台逻辑架构

在平台中部署数字签名服务器、电子签章服务器、时间戳服务器等多种安全支撑设备，提供多种安全能力；基于虚拟化技术封装各种安全能力标准接口，屏蔽各种安全设备的差异性，将各种安全能力整合为资源池，如数字签名服务资源池、电子签章服务资源池、时间戳服务资源池等[4]。在平台中实现数字签名服务、电子签章服务、可信时间戳服务等多种安全服务，并提供对外服务界面；支持安全服务接口和安全服务门户两种方式与上层应用进行交互，安全服务接口采用主流的WebService方式或传统的API 方式；安全服务门户是基于Web 方式提供服务。在平台中实现对安全云服务的管理，包括业务管理、资源配置和监控审计等多方面管理功能，提供统一的管理界面，实现安全资源的动态调度、自动配置、集中监控、报表生成、审计追踪等内容。平台兼容各种应用场景，服务于各种业务应用对象，如电子商务应用、电子政务应用、企业内部应用、云环境应用以及其他各种形式的应用。

基于云计算架构的数字签名服务的实现是通过整合各种安全设施资源，开放安全能力，形成数字签名资源池，并通过网络为IT 环境包括云环境的系统和数据，提供可弹性调度、按需订购的数字签名安全服务，提供数字签名即服务的服务模式，最终实现数字签名安全服务的“云化”。

5 云环境下的电子认证服务体系

通过对传统环境下和云环境下的数字证书认证系统、统一身份认证服务、数据加密服务和电子签名服务等对比，对电子认证服务的关键技术和产品进行分析、整合、集成和创新，突破云环境下电子认证服务共性支撑技术，创新云计算电子认证服务的管理模式和服务模式，最终形成一系列面向云计算的电子认证服务的核心产品和应用解决方案，为云环境下的电子政务、电子商务、社会公共服务和企业内部应用提供电子认证服务，实现云环境下用户身份认证、授权管理和责任认定等功能。得出云环境下电子认证服务体系的总体逻辑架构如图3所示。

图3 云环境下的电子认证服务体系逻辑架构

云环境下的电子认证服务体系从逻辑架构上分为基础设施层、平台管理层和软件服务层。基础设施层提供服务器集群、存储器集群、加密机集群和网络设备集群，并在这些硬件设备的基础上利用KVM、Xen、Docker等虚拟化技术提供虚拟计算服务、虚拟存储服务、虚拟密码服务和虚拟网络服务等。基础设施层之上是平台管理层，提供监控审计、资源管理、安全通信、业务管理、配置管理、设备管理、数据同步、运维管理、自动化部署、性能管理、应用架构和权限管理等支撑平台业务运营的管理功能[5]。通过平台管理层的API接口向软件服务层提供身份认证服务、数据加密服务、数字证书服务、用户管理服务、数字签名服务、电子印章服务、时间戳服务和密码管理服务等支撑电子认证服务的基础服务。最后面向顶层为电子政务、电子商务、企业内部应用和社会公共服务提供云环境下的电子认证服务。