摘 要： 針對網(wǎng)格計(jì)算" title="網(wǎng)格計(jì)算">網(wǎng)格計(jì)算所涉及的安全問題，分析了當(dāng)今典型系統(tǒng)Globus實(shí)現(xiàn)的網(wǎng)格安全" title="網(wǎng)格安全">網(wǎng)格安全架構(gòu)GSI（Grid Security Infrastructure）。在借鑒GSI優(yōu)勢的基礎(chǔ)上，針對GSI授權(quán)機(jī)制的不足，提出了一種改進(jìn)的訪問控制策略" title="控制策略">控制策略模型——中控訪問控制" title="訪問控制">訪問控制策略模型，并分析了其基本的工作原理。
關(guān)鍵詞： 網(wǎng)格安全 GSI? 訪問控制策略? 中控訪問控制策略
?
美國Globus網(wǎng)格項(xiàng)目之父Ian Foster說：“網(wǎng)格是構(gòu)筑在互聯(lián)網(wǎng)上的一組新興技術(shù)，它將高速互聯(lián)網(wǎng)、計(jì)算機(jī)、大型數(shù)據(jù)庫、傳感器、遠(yuǎn)程設(shè)備等融為一體，為科技人員和普通百姓提供更多的資源、功能和服務(wù)[1]。傳統(tǒng)的互聯(lián)網(wǎng)技術(shù)主要為人們提供電子郵件、網(wǎng)頁瀏覽等通信功能，而網(wǎng)格的功能則更多、更強(qiáng)，它能讓人們共享計(jì)算、存儲和其他資源”。從本質(zhì)上說，網(wǎng)格計(jì)算需要解決的問題就是如何在動態(tài)、異構(gòu)的虛擬組織間實(shí)現(xiàn)資源共享并協(xié)同解決某一問題。實(shí)質(zhì)上，網(wǎng)格就是一個(gè)集成的計(jì)算與資源環(huán)境，或者說是一個(gè)計(jì)算資源池。而網(wǎng)格計(jì)算就是指將分布的計(jì)算機(jī)組織起來協(xié)同解決復(fù)雜的科學(xué)與工程計(jì)算，使人們能夠以一種更自由、更方便的方式使用計(jì)算資源。但是，如果缺乏有效的安全機(jī)制，將會阻止網(wǎng)格技術(shù)的進(jìn)一步發(fā)展，限制網(wǎng)格應(yīng)用的進(jìn)一步推廣。因此，網(wǎng)格計(jì)算環(huán)境必須具有抗拒各種非法攻擊和入侵的能力，并且在受到攻擊和入侵時(shí)采取某些措施以維持系統(tǒng)的正常高效運(yùn)行和保證系統(tǒng)中各種信息的安全。所以，網(wǎng)格安全問題比一般網(wǎng)絡(luò)安全問題的覆蓋面更廣，解決方案也更復(fù)雜，這正是本文所要探討的問題。
1 網(wǎng)格計(jì)算的安全問題
1.1 網(wǎng)格計(jì)算環(huán)境的主要特性
網(wǎng)格安全技術(shù)是通過身份認(rèn)證等安全技術(shù)防止非法用戶通過網(wǎng)絡(luò)使用或獲取網(wǎng)格的任何資源，保障數(shù)據(jù)的安全性。同時(shí)，通過權(quán)限控制和數(shù)據(jù)隱藏技術(shù)使用戶只能獲取被許可的信息和知識，而不能竊取未授權(quán)的信息。在網(wǎng)格安全設(shè)計(jì)中，需要考慮的網(wǎng)格特性主要有以下幾點(diǎn)：
(1)網(wǎng)格是一個(gè)異構(gòu)的環(huán)境，在計(jì)算網(wǎng)格中，不同的節(jié)點(diǎn)采用不同的硬件或操作系統(tǒng)。
(2)用戶數(shù)量巨大，且動態(tài)變化。
(3)資源數(shù)量巨大，且動態(tài)變化。
(4)一個(gè)計(jì)算可能在其運(yùn)行期間動態(tài)地要求使用或釋放資源，并可能需要?jiǎng)?chuàng)建許多不同的進(jìn)程。
(5)不同的信任域可能要求不同的安全策略（認(rèn)證和授權(quán)機(jī)制）。
(6)資源和用戶屬于多個(gè)不同的組織。
(7)用戶在不同的資源上可有不同的標(biāo)識。
1.2 網(wǎng)格環(huán)境的安全需求
從本質(zhì)上講，Internet的安全保障一般提供以下兩方面的安全服務(wù)" title="安全服務(wù)">安全服務(wù)：(1)訪問控制服務(wù)，用來保護(hù)各種資源不被非授權(quán)使用；(2)通信安全服務(wù)，用來提供認(rèn)證、數(shù)據(jù)保密性與完整性以及各通信端的不可否認(rèn)性服務(wù)。但是這兩方面的安全服務(wù)不能完全解決網(wǎng)格計(jì)算環(huán)境下的安全問題。
為了保障網(wǎng)格計(jì)算環(huán)境的安全，GSI的主要目標(biāo)是：(1)支持網(wǎng)格計(jì)算環(huán)境中主體之間的安全通信，防止假冒和數(shù)據(jù)泄密；(2)支持跨虛擬組織的安全，這樣就不用采用集中管理的安全系統(tǒng)；(3)支持網(wǎng)格計(jì)算環(huán)境中用戶的單點(diǎn)登錄，包括跨多個(gè)資源和地點(diǎn)的信任委托和信任轉(zhuǎn)移等。為此，GSI為網(wǎng)格計(jì)算環(huán)境提供了一系列的安全協(xié)議、安全服務(wù)、安全SDK(Soft Development Kits)和命令行程序。通過使用這些安全技術(shù)，可有效地保證網(wǎng)格計(jì)算環(huán)境的安全性和方便性。
2 網(wǎng)格安全的實(shí)現(xiàn)
2.1 網(wǎng)格安全基礎(chǔ)設(shè)施
美國網(wǎng)格研究項(xiàng)目Globus提出的網(wǎng)格安全基礎(chǔ)設(shè)施（GSI）與PKI技術(shù)相結(jié)合提供了滿足網(wǎng)格安全要求的框架，框架如圖1所示。
從圖1可以看出，Globus安全策略由以下五個(gè)部分組成[5]：
(1)用戶User(U)：一個(gè)Globus計(jì)算過程的請求者，可以是人或代理（一個(gè)進(jìn)程）。
(2)用戶代理UserProxy(UP)：在一個(gè)有限時(shí)間內(nèi)代表用戶行使一定權(quán)限的一個(gè)進(jìn)程。
(3)進(jìn)程Process(P)：一個(gè)邏輯主體，提供進(jìn)程管理API創(chuàng)建，并代表一個(gè)用戶在特定資源上進(jìn)行計(jì)算。
(4)資源Resource(R)：在一個(gè)計(jì)算過程中使用的計(jì)算節(jié)點(diǎn)、文件系統(tǒng)、網(wǎng)絡(luò)或其他主體。
(5)資源代理ResourceProxy(RP)：一個(gè)有不定期權(quán)限的資源管理者。
2.2 網(wǎng)格安全的主要技術(shù)及其不足
2.2.1 網(wǎng)格安全的主要技術(shù)
Globus中的網(wǎng)格安全架構(gòu)GSI是一個(gè)解決網(wǎng)格安全問題的集成方案，它融合了目前成熟的分布式安全技術(shù)，并對這些技術(shù)進(jìn)行一定的擴(kuò)展，以適合網(wǎng)格計(jì)算環(huán)境的特點(diǎn)。GSI中的主要安全技術(shù)包括：
(1)認(rèn)證證書：GSI認(rèn)證證書采用X.509的證書格式，可被其他基于公鑰的軟件共享。
(2)雙向認(rèn)證：GSI采用SSL作為它的雙向認(rèn)證協(xié)議，實(shí)體之間通過認(rèn)證證書證明彼此的身份。
(3)保密通信：GSI采用公鑰技術(shù)與對稱加密技術(shù)結(jié)合的加密方式，在保證通信安全性的同時(shí)盡量減少加解密的開銷。
(4)安全私鑰：GSI將用戶的私鑰以文件的形式加密存儲在用戶計(jì)算機(jī)上，以此保護(hù)用戶的認(rèn)證證書。
(5)授權(quán)委托：GSI對標(biāo)準(zhǔn)的SSL協(xié)議進(jìn)行擴(kuò)展，使得GSI具有授權(quán)委托能力，減少用戶必須輸入口令來得到私鑰的次數(shù)。
(6)用戶單一登錄：GSI使用用戶代理解決用戶單點(diǎn)登錄問題。
2.2.2 網(wǎng)格安全技術(shù)的不足
GSI授權(quán)是通過對一個(gè)文件的操作實(shí)現(xiàn)的，這個(gè)文件提供了證書標(biāo)識(全局用戶)到本地賬號的映射關(guān)系。但是GSI也存在一些不足，如：GSI要求每一個(gè)訪問資源的全局用戶都要在本地資源服務(wù)器上擁有一個(gè)自己的賬號，每一個(gè)資源服務(wù)器都需要維護(hù)一個(gè)龐大笨拙的全局/本地映射表，這種授權(quán)機(jī)制難以擴(kuò)展到擁有大量資源和大量用戶的大規(guī)模環(huán)境中。由此可知，GSI缺乏基于全局策略的具有良好擴(kuò)展性的訪問控制機(jī)制。
3 網(wǎng)格訪問控制策略的改進(jìn)
網(wǎng)格要達(dá)到資源共享的目的，必須解決資源的訪問控制問題。網(wǎng)格的訪問控制必須建立在現(xiàn)有的訪問控制系統(tǒng)之上。但是由于網(wǎng)格跨越多個(gè)不同的地點(diǎn)和不同的自治域，每個(gè)域的訪問控制策略和需求可能十分不同，這使得資源的訪問控制更加復(fù)雜。現(xiàn)有的訪問控制系統(tǒng)必須進(jìn)行擴(kuò)展才能移植到網(wǎng)格系統(tǒng)中。訪問控制對資源的機(jī)密性、完整性起著直接作用。
3.1 訪問控制術(shù)語
(1)訪問控制的客體(Object)：需要保護(hù)的資源，又稱作目標(biāo)。
(2)訪問控制的主體(Subject)：是一個(gè)主動的實(shí)體，可以訪問客體，通常指用戶或代表用戶執(zhí)行的程序，又稱為發(fā)起者。
(3)訪問控制的授權(quán)(Authorization)：可對該資源執(zhí)行的動作，例如讀、寫、執(zhí)行或拒絕訪問。
(4)訪問控制的策略(Policy)：基于身份的訪問控制或基于規(guī)則的訪問控制。
3.2 傳統(tǒng)的訪問控制策略
基于身份的訪問控制策略，又叫自主訪問控制策略，是指具有某種訪問能力的主體能夠根據(jù)自己的意愿自主地將有訪問權(quán)的某個(gè)子集授予其他主體，如客體的擁有者對客體有所有的訪問權(quán)，并能將其權(quán)限子集分配給其他用戶。自主訪問控制是根據(jù)主體的身份及允許訪問的權(quán)限進(jìn)行決策的，這種控制是自主的。它的優(yōu)點(diǎn)是靈活度高、粒度小，但是信息在移動過程中其訪問權(quán)限關(guān)系很容易被改變，其配置管理工作量很大，不太適合網(wǎng)格的動態(tài)多自治域的環(huán)境。
基于規(guī)則的訪問策略，又稱強(qiáng)制訪問策略，是指獨(dú)立于用戶行為而強(qiáng)制執(zhí)行訪問控制的規(guī)則。這樣的規(guī)則通常按照安全等級對數(shù)據(jù)和用戶劃分標(biāo)簽，訪問控制機(jī)制通過比較安全標(biāo)簽來確定允許還是拒絕用戶對資源的訪問。用戶不能改變他們的安全級別或?qū)ο蟮陌踩珜傩浴Ｋ膬?yōu)點(diǎn)是保密性強(qiáng)，信息不會被輕易泄漏，但是它的配置粒度大，缺乏靈活性。
3.3 改進(jìn)的訪問控制策略模型
在傳統(tǒng)的訪問控制策略的基礎(chǔ)上，采取結(jié)合和折衷的辦法，提出一種不同于傳統(tǒng)訪問機(jī)制的中控訪問控制策略模型，其訪問主體通過一個(gè)中控器訪問客體。該模型的簡化圖如圖2所示。
從上圖可知，訪問控制策略由中控器決定，它跟據(jù)主體不同的要求為其分配一個(gè)相應(yīng)的訪問權(quán)限。特點(diǎn)如下：
(1)如果用戶要求保密性強(qiáng)，則訪問控制機(jī)制就通過比較安全標(biāo)簽來確定授予還是拒絕用戶對資源的訪問。用戶不能改變他們的安全級別或?qū)ο蟮陌踩珜傩浴?BR> (2)如果用戶要求比較靈活，也就是主體能根據(jù)自己的意愿自主地將訪問權(quán)的某個(gè)子集授予其他主體，則采用身份訪問策略機(jī)制，即根據(jù)主體的身份及允許訪問的權(quán)限進(jìn)行決策。
(3)如果既要靈活，又要保密，則由中控器決定不同的角色，把許可權(quán)分配給這些角色，然后由用戶選擇不同的角色進(jìn)行訪問。
總之是由中控器控制決定許可權(quán)的分配，并且該中控器具有繼承性，這樣既可以保證靈活性好，又可以保證保密性強(qiáng)。缺點(diǎn)是配置工作量非常大。
本文針對網(wǎng)格的安全問題進(jìn)行了探討，并且主要對GSI訪問控制策略的不足，提出了一種改進(jìn)的訪問控制策略模型——中控訪問控制策略模型，同時(shí)分析了該策略的基本原理和特性。但是中控訪問控制策略還存在一些不足之處，如配置工作量非常大，還需要進(jìn)一步改進(jìn)和完善，并且該策略的實(shí)現(xiàn)還有待進(jìn)一步的研究。同時(shí)，網(wǎng)格安全的引入不能影響網(wǎng)格計(jì)算的性能。
參考文獻(xiàn)
1 都志輝，陳 渝，劉 鵬.網(wǎng)格計(jì)算[M].北京：清華大學(xué)出版社，2002
2 關(guān)豪英.初探網(wǎng)格計(jì)算中的安全問題[J]，邢臺學(xué)院學(xué)報(bào)，2005；2(20)：119～121
3 應(yīng) 宏，鐘 靜.網(wǎng)格技術(shù)的安全策略[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2004；(7)：42～44
4 劉怡文，李偉琴，韋 衛(wèi).信息網(wǎng)格安全體系結(jié)構(gòu)的研究[J].北京航空航天大學(xué)學(xué)報(bào)，2003；29(7)：19～24
5 GGF OGSA Security Workgroup.Security architecture for open grid services.http：//www.ggf.org/ogsa-sec-wg，2003-06-05