雲計算安全技術

第 1 章 雲計算基礎 .........................................................................................................1
1.1 雲計算的基本概念 ........................................................................................................ 1
1.1.1 雲計算的起源 ..................................................................................................... 1
1.1.2 雲計算的定義與術語 ......................................................................................... 6
1.1.3 雲計算的特點 ..................................................................................................... 7
1.1.4 雲計算的優勢 ..................................................................................................... 8
1.2 雲計算的服務模型 ........................................................................................................ 9
1.2.1 基礎設施即服務（IaaS） .................................................................................. 9
1.2.2 平臺即服務（PaaS） ....................................................................................... 10
1.2.3 軟件即服務（SaaS） ....................................................................................... 12
1.2.4 3 種服務模型的對比分析 ................................................................................ 12
1.3 雲計算的部署模式 ...................................................................................................... 14
1.3.1 私有雲 ............................................................................................................... 14
1.3.2 公有雲 ............................................................................................................... 15
1.3.3 社區雲 ............................................................................................................... 16
1.3.4 混合雲 ............................................................................................................... 18
1.4 雲計算的總體架構 ...................................................................................................... 18
1.5 雲操作系統 OpenStack................................................................................................ 20
1.6 本章小結 ...................................................................................................................... 26
第 2 章 雲計算安全概述 ............................................................................................... 27
2.1 雲計算的安全需求 ...................................................................................................... 27
2.2 雲計算面臨的威脅 ...................................................................................................... 27
2.2.1 外包服務模式帶來的安全威脅 ....................................................................... 27
2.2.2 雲管理員特權帶來的安全威脅 ....................................................................... 28
2.2.3 共享技術帶來的安全威脅 ............................................................................... 30
2.2.4 按需租用帶來的安全威脅 ............................................................................... 31
2.2.5 泛在互聯帶來的安全威脅 ............................................................................... 31
2.2.6 雲安全聯盟給出的十二大雲安全威脅 ........................................................... 32
2.3 雲計算的脆弱性 .......................................................................................................... 36
2.3.1 雲計算的層次架構 ........................................................................................... 36
2.3.2 應用和接口層的脆弱性 ................................................................................... 37
2.3.3 平臺層的脆弱性 ............................................................................................... 38
2.3.4 基礎設施層的脆弱性 ....................................................................................... 39
2.3.5 保證與合規垂直面的脆弱性 ........................................................................... 42
2.4 雲計算安全體系 .......................................................................................................... 43
2.5 本章小結 ...................................................................................................................... 46
第 3 章 主機虛擬化安全 ............................................................................................... 47
3.1 虛擬化概述 .................................................................................................................. 47
3.1.1 虛擬化的基本概念 ........................................................................................... 47
3.1.2 平臺虛擬化的目的 ........................................................................................... 48
3.1.3 虛擬化架構 ....................................................................................................... 49
3.2 虛擬化技術 .................................................................................................................. 51
3.2.1 CPU 虛擬化 ...................................................................................................... 51
3.2.2 內存虛擬化 ....................................................................................................... 55
3.2.3 I/O 設備虛擬化 ................................................................................................. 58
3.3 虛擬化平臺的安全威脅 .............................................................................................. 65
3.3.1 虛擬機蔓延 ....................................................................................................... 65
3.3.2 特殊配置隱患 ................................................................................................... 66
3.3.3 狀態恢復隱患 ................................................................................................... 67
3.3.4 虛擬機暫態隱患 ............................................................................................... 68
3.3.5 長期未使用虛擬機隱患 ................................................................................... 68
3.4 虛擬化平臺的安全攻擊 .............................................................................................. 68
3.4.1 虛擬機鏡像的竊取和篡改 ............................................................................... 68
3.4.2 虛擬機跨域訪問 ............................................................................................... 69
3.4.3 虛擬機逃逸 ....................................................................................................... 69
3.4.4 VMBR 攻擊 ...................................................................................................... 72
3.4.5 拒絕服務（DoS）攻擊 .................................................................................... 72
3.4.6 基於 Cache 的側通道攻擊 ............................................................................... 73
3.5 虛擬化平臺的安全機制 .............................................................................................. 73
3.5.1 虛擬化平臺的安全防禦架構 ........................................................................... 73
3.5.2 基於虛擬化平臺的安全模型 ........................................................................... 74
3.5.3 虛擬環境下的安全監控機制 ........................................................................... 77
3.5.4 可信虛擬化平臺 ............................................................................................... 79
3.6 本章小結 ...................................................................................................................... 86
第 4 章 容器安全 .......................................................................................................... 87
4.1 容器技術 ...................................................................................................................... 87
4.1.1 容器技術概述 ................................................................................................... 87
4.1.2 容器的隔離機制 ............................................................................................... 88
4.1.3 容器與雲計算 ................................................................................................... 91
4.2 容器安全 ...................................................................................................................... 92
4.2.1 容器面臨的威脅 ............................................................................................... 92
4.2.2 容器安全機制 ................................................................................................... 95
4.3 本章小結 .................................................................................................................... 100
第 5 章 網絡虛擬化安全 ............................................................................................. 101
5.1 網絡虛擬化技術 ........................................................................................................ 101
5.1.1 網絡基礎知識 ................................................................................................. 101
5.1.2 虛擬局域網（VLAN） .................................................................................. 106
5.1.3 Overlay 技術 ................................................................................................... 112
5.2 軟件定義網絡及安全 ................................................................................................ 122
5.2.1 軟件定義網絡架構 ......................................................................................... 123
5.2.2 OpenFlow 規範 ............................................................................................... 124
5.2.3 ☆SDN 的安全問題 ........................................................................................ 129
5.2.4 ☆SDN 的安全技術 ........................................................................................ 136
5.3 網絡功能虛擬化 ........................................................................................................ 141
5.3.1 網絡功能虛擬化解決的問題 ......................................................................... 141
5.3.2 網絡功能虛擬化的架構 ................................................................................. 143
5.3.3 NFV 與 SDN ................................................................................................... 144
5.4 虛擬私有雲 ................................................................................................................ 145
5.4.1 虛擬私有雲的概念 ......................................................................................... 145
5.4.2 VPC 網絡規劃 ................................................................................................ 146
5.4.3 VPC 與 SDN、NFV ....................................................................................... 149
5.5 軟件定義安全 ............................................................................................................ 149
5.5.1 軟件定義安全的概念 ..................................................................................... 149
5.5.2 雲數據中心的安全方案 ................................................................................. 152
5.6 本章小結 .................................................................................................................... 154
第 6 章 雲數據安全 .................................................................................................... 155
6.1 雲數據面臨的安全威脅 ............................................................................................ 155
6.2 雲數據安全技術的介紹 ............................................................................................ 157
6.3 雲數據的加密存儲 .................................................................................................... 158
6.3.1 數據加密的基本流程 ..................................................................................... 158
6.3.2 基於客戶端主密鑰的客戶端加密 ................................................................. 159
6.3.3 基於雲端托管主密鑰的客戶端加密 ............................................................. 162
6.3.4 基於客戶端主密鑰的雲端加密 ..................................................................... 164
6.3.5 基於雲端托管主密鑰的雲端加密 ................................................................. 167
6.4 ☆雲密文數據的安全搜索 ........................................................................................ 169
6.4.1 核心思想 ......................................................................................................... 169
6.4.2 基於對稱密碼學的可搜索加密 ..................................................................... 170
6.4.3 基於非對稱密碼學的可搜索加密 ................................................................. 174
6.5 ☆雲密文數據的安全共享 ........................................................................................ 175
6.6 本章小結 .................................................................................................................... 176
第 7 章 雲計算安全認證 ............................................................................................. 177
7.1 雲計算環境中的認證需求 ........................................................................................ 177
7.2 雲計算安全認證技術 ................................................................................................ 179
7.2.1 安全認證基礎 ................................................................................................. 179
7.2.2 雲計算安全認證技術 ..................................................................................... 180
7.3 雲計算安全認證協議 ................................................................................................ 182
7.3.1 基於 OAuth 的雲安全認證 ............................................................................ 182
7.3.2 基於 OpenID 的雲安全認證 .......................................................................... 185
7.3.3 基於 SAML 的雲安全認證 ............................................................................ 188
7.4 雲計算安全認證系統實現 ........................................................................................ 190
7.4.1 統一認證系統架構 ......................................................................................... 190
7.4.2 OpenStack 的身份認證系統 .......................................................................... 191
7.5 本章小結 .................................................................................................................... 201
第 8 章 雲計算訪問控制 ............................................................................................. 202
8.1 概述 ............................................................................................................................ 202
8.1.1 雲計算的參與方 ............................................................................................. 202
8.1.2 訪問控制原理 ................................................................................................. 203
8.2 雲租戶的內部訪問控制 ............................................................................................ 204
8.3 雲代理者的訪問控制 ................................................................................................ 208
8.4 不可信第三方應用的臨時授權管理 ........................................................................ 212
8.5 ☆雲訪問控制模型 .................................................................................................... 214
8.5.1 基於任務的訪問控制模型 ............................................................................. 214
8.5.2 基於屬性的訪問控制模型 ............................................................................. 217
8.5.3 基於 UCON 的訪問控制模型 ........................................................................ 221
8.5.4 基於屬性加密的訪問控制模型 ..................................................................... 224
8.6 本章小結 .................................................................................................................... 228
9 章 ☆雲數據安全審計技術 .................................................................................. 229
9.1 雲數據安全審計架構 ................................................................................................ 229
9.1.1 審計內容架構 ................................................................................................. 229
9.1.2 審計流程架構 ................................................................................................. 230
9.2 數據持有性證明 ........................................................................................................ 230
9.2.1 基於 RSA 簽名的 PDP 機制 .......................................................................... 230
9.2.2 基於 BLS 簽名的 PDP 機制 .......................................................................... 232
9.2.3 支持動態操作的 PDP 機制 ............................................................................ 233
9.2.4 支持多副本的 PDP 機制 ................................................................................ 236
9.3 數據可恢復性證明 .................................................................................................... 239
9.3.1 基於哨兵的 POR 機制 ................................................................................... 239
9.3.2 緊縮的 POR 機制 ........................................................................................... 240
9.4 本章小結 .................................................................................................................... 242
第 10 章 ☆密碼服務雲............................................................................................... 243
10.1 雲密碼服務簡介 ...................................................................................................... 243
10.2 密碼服務雲的總體架構 .......................................................................................... 244
10.3 密碼服務雲系統 ...................................................................................................... 250
10.4 密碼服務雲工作原理 .............................................................................................. 253
10.5 本章小節 .................................................................................................................. 254
第 11 章 ☆零信任模型............................................................................................... 255
11.1 零信任概述 .............................................................................................................. 255
11.1.1 零信任產生的背景 ....................................................................................... 255
11.1.2 零信任定義 ................................................................................................... 256
11.1.3 零信任的發展歷程 ....................................................................................... 256
11.2 零信任體系 .............................................................................................................. 257
11.2.1 零信任訪問模型 ........................................................................................... 257
11.2.2 零信任原則 ................................................................................................... 257
11.2.3 零信任的核心技術 ....................................................................................... 258
11.2.4 零信任體系的邏輯組件 ............................................................................... 260
11.3 零信任網絡安全應用 .............................................................................................. 261
11.3.1 遠程移動辦公應用 ....................................................................................... 261
11.3.2 谷歌 BeyondCorp .......................................................................................... 263
11.4 本章小結 .................................................................................................................. 266
參考文獻 ...................................................................................................................... 267