[精选]网格环境下的安全探讨(1)32507.pptx

网格环境下的安全探讨网格环境下的安全探讨庞彦广庞彦广计算中心计算中心2004/6/11内容o1 1、网格安全概述网格安全概述o2 2、网格的认证网格的认证o3 3、网格的授权网格的授权o4 4、网格体系的其他安全部件、网格体系的其他安全部件o5 5、网格安全的展望网格安全的展望内容o1 1、网格安全概述网格安全概述o2 2、网格的认证网格的认证o3 3、网格的授权网格的授权o4 4、网格体系的其他安全部件、网格体系的其他安全部件o5 5、网格安全的展望网格安全的展望1、网格安全概述网格安全概述o什么是网格计算？什么是网格计算？IforstIforst的话及基本概念的话及基本概念Ian Foster,Ian Foster,美国美国GlobusGlobus网格项目的领导人之一，网格项目的领导人之一，“网格是构网格是构筑在互联网上的一组新兴技术，它将高速互联网、计算机、大型筑在互联网上的一组新兴技术，它将高速互联网、计算机、大型数据库、传感器、远程设备等融为一体，为科技人员和老百姓提数据库、传感器、远程设备等融为一体，为科技人员和老百姓提供更多的资源、功能和服务。传统的互联网技术主要为人们提供供更多的资源、功能和服务。传统的互联网技术主要为人们提供电子邮件、网页浏览等通讯功能，而网格的功能则更多更强，它电子邮件、网页浏览等通讯功能，而网格的功能则更多更强，它能让人们共享计算、存储和其他资源。能让人们共享计算、存储和其他资源。”通俗的说，就是像人们日常生活中从电网中获取电能一样获取通俗的说，就是像人们日常生活中从电网中获取电能一样获取高性能的计算能力。几乎没有人在打开电灯时考虑电是从哪个电高性能的计算能力。几乎没有人在打开电灯时考虑电是从哪个电站来的。但是，我们在传统的站来的。但是，我们在传统的internetinternet获取信息时，必须告诉计获取信息时，必须告诉计算机去访问某一个网站，好比在打开电灯时，告诉它我们需要某算机去访问某一个网站，好比在打开电灯时，告诉它我们需要某一电站的电一样笨拙。一电站的电一样笨拙。本质上说，网格计算需要解决的问题是如何在动态的、异构的虚本质上说，网格计算需要解决的问题是如何在动态的、异构的虚拟组织间实现资源共享以及协同的解决某一问题。拟组织间实现资源共享以及协同的解决某一问题。一个物理学家的计算实例一个物理学家的计算实例一个物理学家站点站点A站点站点B站点站点C站点站点D farm站点站点E farm站点站点F用户B1用户B2datadatakerberosdata公钥证书用户c1、c2ssL用户d1、d2.data用户F1、F2ssH用户d1、d2.plaintext用户代理程序用户代理程序-物理数据分析程物理数据分析程序序数据存储系统数据存储系统物理模拟物理模拟程序程序资源代理资源代理物理模拟物理模拟相关的计相关的计算算物理模拟物理模拟相关的计相关的计算算参数值参数值一个物理学家的计算实例一个物理学家的计算实例o假设一个物理学家在一个国际合作组织团体中进行科学研究。假设一个物理学家在一个国际合作组织团体中进行科学研究。它收到同事的一封关于新的实验数据讨论的邮件，然后她登陆它收到同事的一封关于新的实验数据讨论的邮件，然后她登陆到自己所在的站点到自己所在的站点A中的一台工作站并启动一个用户代理程序，中的一台工作站并启动一个用户代理程序，该用户代理程序代表他运行一个物理分析程序，而这个物理分该用户代理程序代表他运行一个物理分析程序，而这个物理分析程序需要访问存储在远程站点析程序需要访问存储在远程站点B中的数据存储系统中的一些中的数据存储系统中的一些数据。在物理分析程序运行过程中，为了比较试验结果与预期数据。在物理分析程序运行过程中，为了比较试验结果与预期的结果，它可能需要启动另一个用于物理模拟的程序。于是，的结果，它可能需要启动另一个用于物理模拟的程序。于是，站点站点A中的用户代理与合作站点中的用户代理与合作站点C中的资源代理联系，以查找网中的资源代理联系，以查找网格中能够用来进行物理模拟的闲散计算资源。通过查找分析，格中能够用来进行物理模拟的闲散计算资源。通过查找分析，站点站点C中的资源代理找到了站点中的资源代理找到了站点D和站点和站点E上的闲散计算资源，上的闲散计算资源，于是资源代理分别在两个站点（于是资源代理分别在两个站点（D和和E）中的主机上同时启动了）中的主机上同时启动了与物理模拟相关的计算，而这些计算都需要访问存放在另一个与物理模拟相关的计算，而这些计算都需要访问存放在另一个站点站点F上的一些参数值。上的一些参数值。网格计算的关键特点网格计算的关键特点o上述给出的示例，虽然不能全面反映网格计算的一用特征，但基上述给出的示例，虽然不能全面反映网格计算的一用特征，但基本上说明了网格计算的以下关键特点：本上说明了网格计算的以下关键特点：1、用户数量巨大，并且是动态变化的。、用户数量巨大，并且是动态变化的。2、资源数量巨大，并且也是动态变化的。、资源数量巨大，并且也是动态变化的。3、一个计算可能在他的运行期间动态的要求使用或释放资源，并、一个计算可能在他的运行期间动态的要求使用或释放资源，并可能需要创建许多不同的进程。可能需要创建许多不同的进程。4、不同的信任域可能要求不同的安全策略（认证和授权机制），、不同的信任域可能要求不同的安全策略（认证和授权机制），例：例：kerberos,公钥证书、公钥证书、ssH等。等。5、网格环境下的资源和用户可能分布在不同的国家里，因而可能、网格环境下的资源和用户可能分布在不同的国家里，因而可能受到不同法律和政策的管制。受到不同法律和政策的管制。6、一个计算所涉及的各个站点之间需要高速的网络技术互联。、一个计算所涉及的各个站点之间需要高速的网络技术互联。与传统网络环境相比，网格环境的安全要求与传统网络环境相比，网格环境的安全要求o在开放系统互联（在开放系统互联（OSI）安全体系结构模型中，它定义了）安全体系结构模型中，它定义了5组安全组安全服务：认证服务、访问控制服务、数据的完整性、数据保密性、服务：认证服务、访问控制服务、数据的完整性、数据保密性、非否认服务。网格技术也属于开放体系互联的技术范畴，因此，非否认服务。网格技术也属于开放体系互联的技术范畴，因此，也需要提供上述也需要提供上述5种标准安全服务。不过针对网格环境的特殊关键种标准安全服务。不过针对网格环境的特殊关键特点它还应具备：特点它还应具备：1、网格认证要求、网格认证要求单一登录、委托、兼容不同的本地安全方案单一登录、委托、兼容不同的本地安全方案2、网格通信保护要求、网格通信保护要求灵活的消息保护机制、支持不同的可靠通信协议灵活的消息保护机制、支持不同的可靠通信协议3、网格授权要求、网格授权要求有资源所有者或资源所有者代理决定授权有资源所有者或资源所有者代理决定授权受限委托（减少风险）受限委托（减少风险）网格安全的一种具体解决方案网格安全的一种具体解决方案-GSIo美国网格研究项目Globus提出的GSI（网格安全基础设施）和PKI技术相结合提供了满足网格安全要求的框架。oGSI引入用户代理、资源代理的概念，并定义了四种安全操作协议。创建用户代理、代理分配资源、进程分配资源、映射权限。网格安全网格安全GSI体系结构体系结构网格安全体系结构2代理分配资源3进程分配资源4映射权限1创建用户代理网格安全网格安全GSI体系结构体系结构o对用户来说：n全局命名（证书DN）和代理证书使得用户对所有的访问资源只进行一次认证。n代理证书和委托技术允许一个进程来代表用户访问资源。nX.509,sslv3和GSI-api标准使得支持GSI的工具和应用程序的开发更加容易实现。o对站点来说：n这个体系结构不需要改变本地的安全体系，站点只需简单的安装GSI-enabled服务，这些服务都是用众所周知的标准。GSSAPI在GSI的核心框架GSI采用采用GSSAPI作为其安全编程接口作为其安全编程接口,对协议和机制进行隔离对协议和机制进行隔离,GSSAPI定义提供了通用的安全服务，支持各种安全机制和技术。定义提供了通用的安全服务，支持各种安全机制和技术。GSSAPI主要面向主要面向主体之间的安全鉴别和安全通信操作，它提供的功能包括：获得证书、执行安全主体之间的安全鉴别和安全通信操作，它提供的功能包括：获得证书、执行安全鉴别、签署消息和加密消息等。鉴别、签署消息和加密消息等。Globus项目的GSI是解决网格计算中安全问题的一个集成方案，已经成功应用于一个连接4个国家近20家机构的实验网。下面就下面就GSIGSI和和PKIPKI的认证和授权解决方案谈一的认证和授权解决方案谈一谈谈内容o1、网格安全概述o2、网格的认证o3、网格的授权o4、网格体系的其他安全部件o5、网格安全的展望2、网格的认证oGSI网格的认证主要是基于PKI的公钥认证机制-X.509证书的相关机制。下面从：1、证书的获取2、认证过程3、委托过程三方面介绍GSI的认证。证书的获取证书的获取o介绍网格环境下的两种类型的证书介绍网格环境下的两种类型的证书1、User-做为一个网格用户做为一个网格用户user证书用来标示你在网格中的用户名。不是你的服务器的名字证书用来标示你在网格中的用户名。不是你的服务器的名字或工作站的名字。如证书的唯一名（或工作站的名字。如证书的唯一名（DN）：）：“/o=gird/o=gridtest/ou= 略声明Gridftp 客户端CAS 服服务务CAS DBCAS DB用 户、对 象、权限CAS 服务器应答查询Gridftp Server(被修改来进行CAS授权)授权库策略声明Gridftp服务服务策 略声明用户用户社区授权服务CAS社区授权服务CASo一个典型的用户访问gridftp服务的交互过程。这个Gridftp服务器是经过修改的，来承担CAS的授权。CAS用户首先得到一个标准的网格代理证书，然后向CAS服务器请求信任，CAS服务器根据CAS数据库中所授予这个用户的权限策略，用CAS的私钥签署一个授权策略声明返回给CAS用户，最后用户将这个声明和代理证书提交给要使用的gridftp资源。被修改过的Gridftp服务通过验证用户的策略声明来决定是否提供服务。授权声明(Dn+组 属性)Login+dn组 属性服务资源LCAS+LCMAPSVOMS组权限策略VOMS（虚拟组织管理服务）虚拟组织成员服务（虚拟组织成员服务（VOMS）和）和CAS在体系结构上是很相似的，他们都由在体系结构上是很相似的，他们都由服务中心发布策略声明给用户，由用户提供给资源来获得虚拟组织授予的服务中心发布策略声明给用户，由用户提供给资源来获得虚拟组织授予的权限。他们的不同主要是在于他们操作的授权级别不同，权限。他们的不同主要是在于他们操作的授权级别不同，CAS的策略声明的策略声明直接包含了权限，并不需要由资源提供者来解释权限；而直接包含了权限，并不需要由资源提供者来解释权限；而VOMS的策略声的策略声明包含一个角色或组成员的列表，用户将这个组关系策略声明发送给资源明包含一个角色或组成员的列表，用户将这个组关系策略声明发送给资源提供者，由资源提供者基于本地的组策略来授予用户权限。提供者，由资源提供者基于本地的组策略来授予用户权限。LCAS（本地中心授权服务）LCMAPS（本地信任映射服务）一些弊病一些弊病o虽然它们的设计解决了在虚拟组织中，对资源和数据访虽然它们的设计解决了在虚拟组织中，对资源和数据访问控制的灵活性、可扩展性、可表达性等问题，但是，问控制的灵活性、可扩展性、可表达性等问题，但是，它也不是十全十美的，同样也存在着一些弊病，例如：它也不是十全十美的，同样也存在着一些弊病，例如：1 1、对一个、对一个VOVO单一的策略服务器，会给用户带来访问瓶单一的策略服务器，会给用户带来访问瓶颈和可靠性等问题。颈和可靠性等问题。2 2、CASCAS用静态定义的权限来工作，没有反馈机制，不利用静态定义的权限来工作，没有反馈机制，不利于某些消费性资源（如：磁盘容量）的合理分配。于某些消费性资源（如：磁盘容量）的合理分配。3 3、另外，策略声明还需要进一步的标准化等等。国际、另外，策略声明还需要进一步的标准化等等。国际组织正在研究的组织正在研究的SAMLSAML（安全声明标记语言）可能被采用。（安全声明标记语言）可能被采用。内容o1、网格安全概述o2、网格的认证o3、网格的授权o4、网格体系的其他安全部件o5、网格安全的展望4、网格体系的其他安全部件o物理环境的安全o操作系统的安全o防火墙o入侵监测系统hostandnetwork物理环境的安全oCA服务器应该安全的隔离，并有UPS电源保障，有很好的自动备份功能。o与PKI敏感的机器应该从网络地址分段中逻辑的或物理的分离出来。操作系统的安全o停止不必要的进程，如sendmailorftpd。o删除不需要的userorgroup。o限制对/.globus目录的访问。o考虑配置主机IDS来监视服务器的重要目录。oAnti-virus病毒保护o强密码、更新系统补丁、logging、审计等等。防火墙o设置grid服务固定端口。如：gram2219/tcpmds2135/tcpgridftp2811/tcpGIS-enabledSSH22/tcpoGrid服务不能工作在NAT（网络地址转换）之后，因为globus需要使用真实的IP地址。入侵监测系统hostandnetworko网格环境下主机入侵检测和普通环境没有差别。都是监视用户和系统的活动、分析系统的配置和漏洞、评估系统和文件的完整性、分析典型的攻击模式等等。o网络入侵检测在网格环境下，发挥不了它的一些功能。因为网格服务之间的信息传输是经过Ssl/Tls加密的。这样networkIDS不能分析加密数据报的数据部分，它只能分析基于包头的一些事件，因为包头是不加密的。内容o1、网格安全概述o2、网格的认证o3、网格的授权o4、网格体系的其他安全部件o5、网格安全的展望5、网格安全的展望不可否认，网格安全问题是网格计算中的一个核心问题。网格计算研究的特点之一是网格计算会将现有的各种标准协议有机地融合在一起，从而可无缝地将这些协议和技术集成到网格计算的环境中。综上所述，网格的安全问题的研究包括以下三个方面:o1.集成方案着重解决如何充分利用现有的服务以及接口并对其进行抽象为可扩展的体系。o2.协同工作能力解决方案着重解决如何在有着不同安全机制和策略的虚拟组织中的服务的互相调用问题。o3.信任策略方案着重解决如何在动态网格环境下定义、管理、执行信任策略。谢谢！演讲完毕，谢谢观看！