面向云平台数据与隐私安全的分布式信息流控制技术研究

The isolation of data ownership and data management, results in security risks of data in cloud platform. How to keep the data security in cloud has become one of the bottlenecks impede the further applications of cloud computing technology. The existing techniques for cloud data protection are basically based on encryption and authentication. However, once the Trojans or malicious programs steal or modify user data in cloud platform, the data owner will lose control over this part of the data for ever; the main reason is the encryption or authentication algorithm is incapability of protecting the entire process of data from creation to destroy in cloud platform. The objective of this research project is to establish fine-grained flow control models and techniques to protect user data and privacy in cloud platform, with considering of the characteristics of cloud platform. Main research points of the project include: (1) research on data security label schema for cloud computing platform; (2) research on fine-grained decentralized information flow control model and techniques; (3) research on fine-grained label propagation methods, in order to achieve the access grant flexibility between any pair of processes. The main innovation of the project is the outcome methods and techniques will practically realize fine-grained access security in the whole lifecycle of user data in cloud platform.

数据所有权与数据控制权本质上的分离，导致云的数据安全成为阻碍云计算技术进一步发展应用的瓶颈问题之一。目前已有的研究主要是利用加密和认证技术对云数据进行存取保护。然而，一旦木马等恶意程序窃取或修改了云平台中用户的数据，在现有技术下，数据拥有者将永远失去对这部分数据的控制；其主要原因是加密和认证算法无法对云平台中的数据进行从产生到销毁整个过程的安全保护和控制。本项目的总体研究目标是：针对云平台的特点，建立细粒度的分布式信息流控制模型和技术，保障云平台的数据与隐私安全。拟重点研究如下内容：(1)研究云计算平台的数据文件安全标记方法；(2)研究云平台的细粒度分布式信息流控制模型和技术；(3)研究细粒度的标签能力传播方法，实现虚拟机内和虚拟机间的进程一对一访问控制能力的授予和撤销。项目的主要创新在于所提出的方法实现了对云平台中的数据文件从产生至销毁全过程的细粒度访问安全。

如何在分布式、多租户共享的云平台中构建信息流控制模型和技术是该项目所要解决的挑战性问题。云平台具有分布式、多租户共享、虚拟机资源弹性扩展等特点，且云平台上运行着很多第三方的服务和应用软件，如何保证云平台的数据安全，防止恶意的攻击者和第三方服务或应用软件破坏或窃取数据？目前已有大多数方法是利用加密和认证技术对云数据进行存取保护，然而，加密和认证算法无法对云数据进行从产生到销毁整个过程的安全保护和控制，为此，该项目主要建立分布式信息流控制模型和技术来保障云数据安全。该项目首先提出并建立了面向云数据文件的安全标记模型与行业规范，为进一步实现云平台的信息流控制提供了支撑和保障；针对应用过程中已有信息流控制技术均依赖信息流控制API、需要在应用程序中写入程序源码，难以广泛应用的问题，提出了基于策略分离的应用数据保护技术，通过分析程序数据保护需求和程序进程行为控制需求，支持应用程序逻辑分离的信息流控制策略，减小对信息流控制API的依赖；在此基础上，进一步提出了分布式访问控制策略技术，通过分布式访问控制策略原则和约束方法，实现了在具体应用中、为不同安全管理域制定分布式访问控制策略并约束彼此互不干扰；项目最后建立了基于分布式信息流控制的云数据保护原型系统，该系统应用所建立的模型、方法和技术、实现了对云平台数据的保护。项目完成了其全部研究内容并实现了项目目标。