网格安全技术

理学领域术语

网格安全技术是指保护网格安全的技术、方法、策略、机制、手段和措施

概念

网格是一种虚拟计算环境，利用计算机网络将分布异地的计算、存储、网络、软件、信息、知识等资源连成一个逻辑整体，如同一台超级计算机为用户提供一体化的信息应用服务，实现互联网上所有资源的全面连通与共享，消除信息孤岛和资源孤岛。网格作为一种先进的技术和基础设施，已经得到广泛的应用。同时，由于其动态性和多样性的环境特点带来新的安全挑战，需要新的安全技术方案解决，并考虑兼容流行的各种安全模型、安全机制、协议、平台和技术，通过某种方法来实现多种系统之间的互操作安全。

网格安全技术是指保护网格安全的技术、方法、策略、机制、手段和措施。

技术特点

网格安全技术可防止非法用户使用或获取网格的资源，从而确保网络资源的安全性。网格环境具有异构性、可扩展性、结构不可预测性和具有多级管理域等特点，网格的安全问题不同于传统的分布式计算环境。网格系统的安全体系的构建，除具有Internet 的安全特性外，还具有以下特征：

（1）异构资源管理

网格可以包含跨地理分布的多种异构资源、不同体系结构的超大型级计算机和不同结构的操作系统及应用软件，要求网格系统能动态地适应多种计算机资源和复杂的系统结构，异构资源的认证和授权，给安全管理带来一定的挑战。

（2）可扩展性

网格的用户、资源和结构为动态变化，要求网格系统安全结构具有可扩展性，以适应网格规模的变化。

（3）结构不可预测性

在传统的高性能计算系统中,计算资源独占，系统的行为可预测。而在网格计算系统中,资源的共享造成系统行为和系统性能经常变化，网格结构具有不可预测性。

（4）多级管理域

由于计算网格的分布性特点，与用户和资源有关的各种属性可以跨越物理层属于多个组织机构。通常，由于构成网格计算系统的超级计算机资源属于不同的机构或组织，并且使用不同的安全机制，需要各个机构或组织共同参与解决多级管理域的问题。

需求

网格环境的基本安全需求包括机密性、完整性、可审查性和审计。机密性主要指网格环境中必须确保资源和不被非法用户访问；完整性主要确保网格环境中的信息和资源不被非法用户修改，以确保网格环境中的资源和信息安全存储与传输；可审查性主要确保网格环境中的用户不能否认对网格发出的行为；审计主要用于记录网格环境中的用户行为和资源的使用情况，通过对审计日志进行分析，可完成报警功能。此外，网格环境的特点使网格环境有特殊的安全需求。

（1）认证需求

为实现网络资源对用户的透明性，需要为用户提供单点登录功能，用户在一个管理域被认证后，可以使用多个管理域的资源，而不需要对用户进行多次认证。用户的单点登录功能需要通过用户认证、资源认证和信任关系的全生命周期管理。

（2）安全通信需求

网格环境中存在多个管理域和异构网络资源，在此环境的安全通信需支持多种可靠的通信协议。而且，为支持网格环境中安全的组通信，需要进行动态的组密钥更新和组成员认证。

（3）灵活的安全策略

网格环境中用户的多样性，以及资源异构的安全域，要求为用户提供多种可选的安全策略，以提供灵活的互操作安全性。

关键技术

对于网格安全的研究，常利用定义一系列的安全协议和安全机制，在虚拟组织间建立一种安全域，从而为资源共享提供一个可靠的安全环境。网格安全技术主要是基于密码技术构建的，可实现网格系统中信息传递的机密性，获得对所发出或接收信息事后可审查，以及保障数据的完整性。网格计算中，基于公钥加密、X.509证书和SSL通信协议的GSI（Grid Security Infrastructure）安全机制应用较广泛。

（1）安全认证技术

包括网格安全技术应用最广泛的公钥基础设施PKI（Public Key Infracture）等，PKI建立在公钥密码学基础上，主要包括加密、数字签名和数字证书等技术。数字证书的安全性主要依赖于CA（Certificate Authority）私钥的安全性。对数字证书的管理，可通过数据库服务器提供在线信任证书仓库，为用户存储并短期提供信任证书。用户可从不同入口接入网格，使用网格提供的服务。利用PKI 技术，网格系统只对用户一次认证，就可访问多个节点资源。通过代理证书和证书委托，可为用户创建一个用户代理，并又可在中心节点创建新代理，形成一个安全信任链，实现节点间信任传递与单点登录。

（2）网格中的授权

将属于不同独立组织的资源和人员进行组织，创建一个虚拟组织（Virtual Organization，VO）。可通过用户在本地组织中角色加入VO解决社区授权服务(Community Authorization Service，CAS)负担过重的问题。网格安全基础设施（Grid Security Infrastructure，GSI）是基于公钥加密、X.509证书和安全套接层SSL通信协议的一种安全机制，用于解决VO中的认证和消息保护问题。通过服务可实现VO中的资源共享，通过一个映射文件可实现控制用户对资源服务的访问权限。映射文件由一系列用户区别名（Distinguished Name，DN）到本地账号的映射项组成。用户认证后，资源提供者从用户的代理证书中提取DN，然后根据用户请求的服务从相应的映射文件中查看该DN的映射项。存在则说明用户有权限访问其请求的服务，资源提供者将以用户DN对应的本地账号运行被请求的服务。GSI是通过映射机制将对用户的访问控制转变为资源提供者对本地账号的访问控制，如文件访问控制、CPU限制等。

（3）网格访问控制

可通过区域授权服务或虚拟组织成员服务提供。社区授权服务(Community Authorization Service，CAS)允许虚拟组织维护自己的策略, 并可使用这些策略与本地站点交互。每一个资源提供者都要通知CAS服务器关于VO成员对于它的资源所拥有的权限集，要访问一个资源，用户需向CAS服务器申请基于其自身权限的证书，用户向其要访问的资源出示其申请的证书，由资源对证书进行验证后，才准许该用户访问。由于网格跨越的多个管理域都拥有各自安全策略，VO需要制定一个标准的策略语言，能够支持多种安全策略，使VO能够与本地的安全策略交互。此策略的主要部分可通过传统的资源访问控制列表（ACL）实现，但可通过增加条件限制功能，扩展传统的ACL概念，生成扩展访问控制列表(Extended Access Control List)。区域授权服务在一定程度上解决了网格虚拟组织的访问控制问题，但还不能适应网格动态性的需求，没有解决虚拟组织的协同策略管理问题、因管理的瓶颈而存在不可扩展性问题等。除了区域授权服务，网格环境中还可采用沙盒技术对其资源进行定量控制，这些资源包括CPU的利用率、内存的占有量以及带宽的使用量等。可将各种应用放在统一沙盒中，从而消除网格节点的异构性，使本地系统更方便地控制网格应用对资源的使用情况，可以用于实现动态账户和进行细粒度的资源控制。

（4）网格安全标准

Web服务安全规范可集成现有的安全模型，开发Web服务时可在更高层次上构建安全框架，网格安全体系结构中将Web服务安全规范作为构建跨越不同安全模型的网格安全结构的基础。随着网格与Web服务的融合，网格环境中的传输层安全正在向消息层安全过渡，消息层安全支持Web服务安全标准，并可为SOAP消息提供保护，以确保每一条SOAP消息的安全，可兼容多种形式的传输层协议，并可实施不同级别的安全保护。为实施网格环境中的资源共享，网格环境中使用安全声明标记语言SAML（Security Assertion Markup Language）来交换鉴定和授权信息，SAML基于XML消息格式定义了查询响应协议接口，能够兼容不同的底层通信和传输协议，并能通过时间标签在网格用户之间建立动态的信任关系。

拓展阅读：网格环境的动态性和多样性，需要新的技术方案解决安全问题。还应考虑兼容广泛应用的安全机制和技术，从而实现系统之间操作的安全性。网格安全技术主要通过制定开发各种安全协议，防止非法用户的访问控制研究上。还须研究网格环境下的入侵检测技术，对虚拟组织安全策略的改变保持持续监控，并根据实现运行时所掌握的状况来动态控制安全的级别。同时，还应研究网格环境中的入侵容忍技术，使网格系统在遭到入侵的情况下，将入侵所产生的破坏降到最低，并能继续为用户提供一定的服务。随着网格技术的广泛应用，网格安全问题将越来越受到人们的关注，其技术的发展将对网格技术的应用具有重要意义，研发安全高效的网格系统将成为我国信息安全领域的重要课题。

全国各地天气预报查询

上海市

云南省

云南省

云南省

云南省

云南省