区块链技术在数据机房安全维护中的应用

2023-11-05李华飞

电视技术 2023年9期

李华飞

（吐哈油田公司信息技术公司，新疆吐鲁番 838202）

0 引言

广电数据机房承担了传媒资源的存储和处理等关键任务。为适应复杂的业务需求，机房内通常会设立多个专业的数据中心，如视频资源中心、用户关系中心等。每个中心维护独立的管理员账号数据库，难以进行安全、高效的跨中心身份认证。对资源的无序访问将导致数据泄露、责任难以追溯等安全隐患问题。对此，本文以提高广电机房安全维护水平为目标，基于区块链技术设计了跨数据中心的管理员身份认证机制，旨在解决跨中心资源共享的效率低下和安全风险等问题。该机制提高了机房管理员身份认证的可靠性和可追踪性，为安全事件责任定位提供依据，提升了机房的安全运维水平。

1 广电数据机房安全基础

1.1 数据机房安全维护技术

广电数据机房作为存储和传输大量节目的关键场所，其安全维护技术尤为重要。为确保数据的完整性、可用性和保密性，广电相关单位采取了多种手段，如访问控制系统、环境监测系统和网络安全技术[1]。访问控制系统通过使用身份验证、授权和审计机制，限制只有授权人员才能进入数据机房；环境监测系统控制数据机房的环境条件，如温度、湿度、气流和火灾等；网络安全技术在数据机房的安全维护中也起着重要作用，包括防火墙、入侵检测和防御系统、虚拟专用网络以及数据加密和身份认证等技术。此外，定期的备份和灾难恢复计划也是安全维护的重要组成部分[2]。

1.2 区块链技术

区块链技术是一种分布式账本技术，通过将数据记录在一个不可篡改的链式结构中，实现数据的安全性、可追溯性和去中心化特性[3]。区块链技术的核心概念包括分布式共识机制、密码学技术和智能合约等。结合区块链技术和数据机房安全维护，可以增加数据的安全性、可信度和可追溯性。区块链的分布式特性和不可篡改性提供了额外的保障，使得数据机房能够更好地应对未经授权访问、数据篡改和其他安全威胁。

2 基于区块链的机房管理员身份认证机制

将广电机房中的多个数据中心构成数据中心联盟，对于某个数据中心，它的预授权数据中心指存在可信合作关系的多个中心，访问规则由各数据中心根据风险评估标准自主决定，并定期更新。本文基于区块链技术，实现数据中心之间安全可靠的管理员身份认证，解决跨中心资源共享中的访问控制问题[4-5]。

2.1 认证机制关键机构

广电机房跨数据中心认证系统主要依靠认证服务器（Authentication Server，AS）和属性机构（Attribute Authority，AA）这两类机构执行。为了保证认证机制的可靠性，每个数据中心部署多个认证服务器和属性机构节点。认证服务器通过数字证书等技术，负责本数据中心管理员身份的注册与管理工作，为跨中心认证打下基础。每个属性机构独立管理一类身份信息，为数据中心的管理员签发包含相应属性特征的电子证书，如部门属性机构发放部门属性证书、职级属性机构签发职级证书等。

2.2 管理员注册

为保障广电数据机房的资源安全，管理员需要从所在数据中心注册成为系统合法用户后才能访问跨数据中心资源，注册流程如图1 所示，具体步骤如下。

图1 管理员注册流程

（1）管理员选择主数据中心，选取随机秘密值Ku，用于生成唯一的身份标识uid=f(su)，向本数据中心的认证服务器提交注册信息uinfo和身份标识uid；

（2）认证服务器根据管理员身份信息如职务、部门等，向对应的属性机构申请相应的身份属性；

（3）各个属性机构验证身份属性，并且签发管理员对应属性的公私钥对apku-asku，返回给该数据中心认证服务器；

（4）认证服务器将公私钥对返回给管理员；

（5）认证服务器建立管理员身份标识与随机数、密钥的对应关系，将映射和公钥集合apku发布到区块链上用于安全事件的追溯和责任认定。

2.3 跨数据中心的管理员认证

若数据中心1 的管理员1 请求数据中心2 的身份认证，来进行跨中心的资源访问，具体过程如图2所示，具体步骤如下。

图2 管理员跨中心身份认证流程

（1）广电机房数据中心1 的管理员1 向数据中心2 中的管理员2 发送消息，请求进行数据中心2的资源访问和跨中心身份认证。

（2）数据中心2 中的管理员2 收到请求后，产生一个随机数Nonce，并发送给数据中心1 中的管理员1。

（3）数据中心1 中的管理员1 收到随机数Nonce后，使用自己的私钥asku对消息进行签名，将生成的签名发送给数据中心2 的管理员2。

（4）数据中心2 中的管理员2 收到来自数据中心1中的管理员1的签名后，验证签名。若签名有效，数据中心2 中的管理员2 向数据中心2 中的认证服务器2 转发数据中心1 中管理员1 的跨数据中心证书请求。

（5）数据中心2 中的认证服务器2 调用部署在区块链上的智能合约进行跨数据中心身份认证证书颁发判定。智能合约首先判断管理员1 所属的数据中心，若其所属数据中心为预授权数据中心，则证书颁发判定通过，由数据中心2 的认证服务器2 为其生成跨数据中心身份认证证书。

（6）部署在区块链上的智能合约将生成的数据中心1 中管理员1 的跨数据中心身份认证证书返回数据中心2 中的认证服务器2，跨数据中心身份认证证书的内容包含证书版本号、证书序列号以及证书发行机构等信息。

（7）数据中心2 中的认证服务器2 将证书通过安全信道发送给数据中心1 中的认证服务器1。

（8）数据中心1 中的认证服务器1 将证书发送给用户1。管理员1 可在证书的有效期内对数据中心2 中管理员2 有权限的数据进行访问。

2.4 管理员跟踪和销毁

当广电机房内部出现数据资源访问的安全性争议时，通过以下方式追溯管理员身份：任意数据中心认证节点收到仲裁请求后，调用区块链合约查询管理员信息；区块链合约通过映射关系恢复出相关管理员真实身份，实现安全回溯和争议处理。管理员注销包括主动和被动两种形式：主动注销是管理员提出申请，认证服务器节点确认后注销其账户信息和证书权限；被动注销是证书过期或违规行为被发现，认证服务器节点主动施以强制注销，撤销相关权限。注销后，管理员个人信息及历史操作记录存储在区块链不可篡改账本中，实现全程监督。

3 实验

模拟实验中，设置广电数据机房内有3 个数据中心，分别是新闻数据中心DC1、用户数据中心DC2 和广告数据中心DC3。每个数据中心分别部署各自的认证服务器和数据机构节点，管理员集合A在数据中心DC1 进行注册，管理员集合B在数据中心DC3 进行注册，进行以下测试。

先模拟DC3 的某广告信息被修改。该安全事件发生后，DC3 通过访问日志锁定事件线索，调用合约接口，传入时间参数。合约从不可变账本中查询当时有效证书的持有者，通过证书信息确定管理员所属数据中心DC1，通过DC1 认证服务器中的身份映射表，确定篡改者为管理员群体Ap，Ap∈A，成功追溯到责任管理员。

模拟DC2 中的用户信息被批量删除。该安全事件发生后，DC2 通过访问日志锁定时间线索，查找可疑时间段的访问人员。经过合约查询、身份映射，同样成功追溯到责任管理员群体Bp，Bp∈B。

本文模拟数据修改和删除操作事件1 000 次，通过追溯合约定位责任管理员的准确率为100%；模拟数据泄露事件1 000 次，由于时间难以精准匹配访问日志，通过追溯定位责任管理员约的准确率约为95%。因此，当出现争议时，该技术通过智能合约追踪人员信息，提高了身份溯源能力。将区块链技术用于广电数据机房中，对管理员进行跨数据中心的资源访问进行可信监管，可以提高机房的安全运维性能。