云計(jì)算基礎(chǔ)設(shè)施之一是提供可靠、安全的數(shù)據(jù)存儲中心，因此，存儲安全是云計(jì)算領(lǐng)域的安全話題之一。云存儲應(yīng)用中的存儲安全包括數(shù)據(jù)加密存儲、安全策略管理、安全日志和審計(jì)。安全日志和審計(jì)為監(jiān)控系統(tǒng)和活動用戶提供必要的審計(jì)信息。特別是對數(shù)據(jù)的訪問進(jìn)行安全控制尤為重要，在為用戶提供安全和方便分享的權(quán)衡中，對數(shù)據(jù)的訪問控制機(jī)制是一個需要研究的課題。

Amazon S3的S3、EMC Atmos Online等都提供云存儲服務(wù)，他們都是通過訪問控制列表ACLs來控制數(shù)據(jù)的訪問權(quán)限，只有授權(quán)的用戶或者應(yīng)用才能訪問，但是對數(shù)據(jù)的共享會受到ACLs最大數(shù)量的限制。Hassan Takabi等提出了基于屬性加密的訪問控制策略。在為用戶提供實(shí)時(shí)、離線、友好、安全、方便的云計(jì)算服務(wù)的情況下，參考Danny Harnik等人的數(shù)據(jù)安全訪問機(jī)制，提出了本文的數(shù)據(jù)訪問控制機(jī)制。

1.方案設(shè)計(jì)

應(yīng)用對用戶數(shù)據(jù)如下的兩種授權(quán)訪問方式：應(yīng)用訪問用戶空間下特定目錄；應(yīng)用訪問用戶空間下非特定目錄或文件。

1.1 應(yīng)用訪問特定目錄

應(yīng)用訪問特定目錄，這個特定目錄是專供某些應(yīng)用訪問，這個特定目錄訪問權(quán)限的生命周期是從用戶選擇使用該應(yīng)用到用戶取消使用該應(yīng)用的一段時(shí)間。這種授權(quán)訪問機(jī)制主要用于用戶非在線情況下使用應(yīng)用。

圖1 應(yīng)用訪問特定目錄流程

當(dāng)用戶選擇使用這個應(yīng)用后，就會在用戶的空間中有一個對應(yīng)的應(yīng)用使用目錄，這個目錄可以是新創(chuàng)建的，也可以是與應(yīng)用公用目錄。相當(dāng)于用戶授權(quán)應(yīng)用使用這個目錄，這樣應(yīng)用可以很方便的訪問該目錄。

（1）用戶在選擇訂購應(yīng)用后，會將應(yīng)用與訪問目錄的對應(yīng)關(guān)系在安全/策略管理中保存下來，即訪問控制列表（ACL）。

（2）用戶在應(yīng)用中發(fā)起使用請求后，用戶既可以退出應(yīng)用或者離線。

（3）應(yīng)用會向安全/策略管理系統(tǒng)發(fā)起獲取訪問目錄的權(quán)限信息，安全/策略管理系統(tǒng)對訪問信息等屬性通過AES-256進(jìn)行對稱加密，對其中的一些屬性通過HMACSHA1算法進(jìn)行簽名，加密完成后返回給應(yīng)用。

（4）應(yīng)用向存儲數(shù)據(jù)系統(tǒng)發(fā)起訪問請求，并將加密的屬性信息和簽名傳送到存儲數(shù)據(jù)系統(tǒng)，系統(tǒng)對其中的屬性信息通過HMAC-SHA1算法進(jìn)行簽名后與傳遞過來的簽名進(jìn)行比對，看是否符合要求。

（5）校驗(yàn)成功后，應(yīng)用就可以操作對象數(shù)據(jù)。

1.2 應(yīng)用訪問非特定目錄或文件

應(yīng)用訪問用戶存儲空間下的所有文件或者目錄，這個文件或者目錄訪問權(quán)限的生命周期很短，從用戶授權(quán)到發(fā)起數(shù)據(jù)請求大概在幾分鐘或者幾十秒內(nèi)。這種授權(quán)訪問機(jī)制主要用于戶用在線的情況下使用某種應(yīng)用。授權(quán)訪問機(jī)制不需要預(yù)先在ACL中有該應(yīng)用的使用權(quán)限，當(dāng)用戶臨時(shí)需要應(yīng)用對某個文件進(jìn)行處理時(shí)而發(fā)起的臨時(shí)授權(quán)，只會保存這種發(fā)起訪問授權(quán)的日志記錄。

圖2 應(yīng)用訪問非特定目錄或者文件流程

（1）用戶發(fā)起使用應(yīng)用對某個文件進(jìn)行處理，需要將用戶的訪問信息等發(fā)送到安全管理系統(tǒng)。

（2）安全管理系統(tǒng)對接收到的訪問信息等屬性通過AES-256進(jìn)行對稱加密，對其中的一些屬性通過HMACSHA1算法進(jìn)行簽名，加密完成后返回給客戶端。安全管理系統(tǒng)記錄下這次授權(quán)的日志信息。

（3）客戶端通過重定向或者再次調(diào)用應(yīng)用的接口方式將加密后的訪問信息、簽名等發(fā)送給應(yīng)用。

（4）應(yīng)用將訪問信息、簽名等發(fā)送到云存儲數(shù)據(jù)系統(tǒng)，系統(tǒng)對其中的屬性信息通過HMAC-SHA1算法進(jìn)行簽名后與傳遞過來的簽名進(jìn)行比對，看是否符合要求。

（5）校驗(yàn)成功后應(yīng)用就可以操作數(shù)據(jù)。

2.結(jié)束與展望

本文提出的數(shù)據(jù)訪問控制機(jī)制能夠在保證安全性的條件下，使用戶能夠快速方便的使用應(yīng)用實(shí)時(shí)處理存儲空間中的數(shù)據(jù)。數(shù)據(jù)訪問安全控制還存在很多問題，在保證數(shù)據(jù)安全又方便其他應(yīng)用來使用數(shù)據(jù)將會在后續(xù)工作中繼續(xù)研究。