一種云計算網(wǎng)絡(luò)中的身份認證方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及云計算，特別涉及一種云計算網(wǎng)絡(luò)中的身份認證方法。
【背景技術(shù)】
[0002]云計算中龐大的數(shù)據(jù)交易和各類信息服務(wù)的背后卻隱藏著雜亂繁多的賬戶管理問題，使得數(shù)字身份無疑成為了關(guān)注焦點。近年來因為數(shù)字身份泄露造成的侵犯個人隱私案件時有發(fā)生。為了在云之間資源能安全共享，云彼此身份的合法性自然也成為重要的關(guān)注點。身份認證作為信息安全的守衛(wèi)，是云安全措施不可或缺的環(huán)節(jié)。
[0003]為了實現(xiàn)通用登錄，很多機制也在開發(fā)和使用當中。其中一些是針對合作網(wǎng)站之間安全交換信息認證和授權(quán)而開發(fā)的框架或協(xié)議，而另一些則是橫跨網(wǎng)站、應(yīng)用程序和設(shè)備而搭建的，將身份以及關(guān)系信息融為一體的構(gòu)架，但現(xiàn)有以上架構(gòu)構(gòu)造信任的高額成本和作為身份提供者的可信第三方可能存在單點失效問題。

【發(fā)明內(nèi)容】

[0004]為解決上述現(xiàn)有技術(shù)所存在的問題，本發(fā)明提出了一種云計算網(wǎng)絡(luò)中的身份認證方法，包括:
[0005]步驟一，生成認證數(shù)據(jù)集，所述認證數(shù)據(jù)集包括加密后的用戶屬性信息和保密策略；
[0006]步驟二，云平臺服務(wù)器獲得所述認證數(shù)據(jù)集，執(zhí)行解密操作，對用戶進行認證；
[0007]步驟三，若認證通過，根據(jù)所述保密策略刪除用戶屬性信息，返回接收信息給認證模塊，允許用戶使用服務(wù)。
[0008]優(yōu)選地，所述步驟一，生成認證數(shù)據(jù)集，所述認證數(shù)據(jù)集包括加密后的用戶屬性信息和保密策略，進一步包括:
[0009]云平臺的認證模塊中的屬性庫根據(jù)云平臺服務(wù)器請求的屬性聲明來收集用戶對應(yīng)的屬性信息，然后利用認證模塊的密鑰數(shù)據(jù)庫提供的屬性加密私鑰，調(diào)用虛擬機執(zhí)行非對稱加密過程，生成加密的用戶屬性信息，如果云平臺服務(wù)器沒有發(fā)送屬性請求，則將用戶允許的所有屬性信息加密，發(fā)送到認證模塊的認證執(zhí)行單元，認證模塊的策略執(zhí)行單元選取相應(yīng)保密策略，所述保密策略包括完整性自檢、自刪除策略，認證執(zhí)行單元將加密的用戶屬性信息、保密策略、屬性加密公鑰、簽名信息和虛擬機信息摘要五個部分一起用云平臺服務(wù)器提供的公鑰打包，生成認證數(shù)據(jù)集，并通過安全通道傳輸給云平臺服務(wù)器。
[0010]優(yōu)選地，所述步驟二，云平臺服務(wù)器獲得所述認證數(shù)據(jù)集，執(zhí)行解密操作，對用戶進行認證，進一步包括:
[0011]云平臺服務(wù)器獲得認證數(shù)據(jù)集后，輸入云平臺服務(wù)器提供的私鑰，虛擬機執(zhí)行解密操作，成功解密后，認證數(shù)據(jù)集啟動完整性自檢，將計算出的值與之前已經(jīng)保存在保密策略中的值對比，若符合則啟用認證數(shù)據(jù)集。
[0012]優(yōu)選地，所述步驟三，若認證通過，根據(jù)所述保密策略刪除用戶屬性信息，返回接收信息給認證模塊，允許用戶使用服務(wù)，進一步包括:
[0013]云平臺服務(wù)器對用戶的認證通過后，如果云平臺服務(wù)器不查看用戶屬性信息，根據(jù)具體保密策略立即刪除用戶屬性信息，并將簽名信息交給云平臺服務(wù)器保存，云平臺服務(wù)器返回接收信息給認證模塊，表示允許使用服務(wù)，當用戶再次請求該相同的服務(wù)時，云平臺服務(wù)器只返回所述簽名，認證模塊驗證簽名即可表示認證該云平臺服務(wù)器；若云平臺服務(wù)器需要查看用戶的屬性信息，輸入云平臺服務(wù)器提供的私鑰到虛擬機，解密用戶屬性信息，在保密策略中將多余的信息刪除，云平臺服務(wù)器得到信息后進一步認證，認證通過后發(fā)送接收信息給認證模塊，如果沒有通過，則返回拒絕信息。
[0014]本發(fā)明相比現(xiàn)有技術(shù)，具有以下優(yōu)點:
[0015]本發(fā)明提出了一種云計算網(wǎng)絡(luò)中的身份認證方法，不需要可信第三方，用戶和服務(wù)器之間彼此進行不公開的認證，不需要暴露隱私屬性信息，防止信息的泄露或篡改。
【附圖說明】
[0016]圖1是根據(jù)本發(fā)明實施例的云計算網(wǎng)絡(luò)中的身份認證方法的流程圖。
【具體實施方式】
[0017]下文與圖示本發(fā)明原理的附圖一起提供對本發(fā)明一個或者多個實施例的詳細描述。結(jié)合這樣的實施例描述本發(fā)明，但是本發(fā)明不限于任何實施例。本發(fā)明的范圍僅由權(quán)利要求書限定，并且本發(fā)明涵蓋諸多替代、修改和等同物。在下文描述中闡述諸多具體細節(jié)以便提供對本發(fā)明的透徹理解。出于示例的目的而提供這些細節(jié)，并且無這些具體細節(jié)中的一些或者所有細節(jié)也可以根據(jù)權(quán)利要求書實現(xiàn)本發(fā)明。
[0018]本發(fā)明的一方面提供了一種云計算網(wǎng)絡(luò)中的身份認證方法。圖1是根據(jù)本發(fā)明實施例的云計算網(wǎng)絡(luò)中的身份認證方法流程圖。本發(fā)明通過匿私有云身份認證方案，可以被嵌入如智能卡等微型硬件中，終端用戶獲得合法使用權(quán)后通過各種移動設(shè)備來請求服務(wù)。終端用戶不用擔(dān)心自己身份隱私問題，同時降低網(wǎng)絡(luò)負載，克服網(wǎng)絡(luò)延遲。
[0019]云身份認證空間參與的角色包含:私有云平臺服務(wù)器、云終端用戶和云平臺認證模塊。而云平臺認證模塊包含了以下六個部分。
[0020]虛擬身份庫:虛擬身份庫中包括簽名密鑰。簽名密鑰里存儲對用戶的虛擬賬戶VID進行簽名保護的數(shù)字簽名Sg，Sg被發(fā)送到認證執(zhí)行單元中去組建認證數(shù)據(jù)集。認證過程結(jié)束后，云平臺服務(wù)器將得到并選擇保存Sg。當下一次被請求服務(wù)時，即使云平臺服務(wù)器有認證屬性的需求，終端用戶只需用Sg作為條件進行元數(shù)據(jù)認證，云平臺服務(wù)器把解密元數(shù)據(jù)得到的值跟之前存儲的Sg對比就能完成認證了。這樣即提高了認證效率也減少了暴露隱私信息的次數(shù)。
[0021]屬性庫:屬性庫用于將用戶的個人隱私屬性信息收集起來并用密鑰數(shù)據(jù)庫提供的屬性加密私鑰AKpr加密，生成密文EAT保存其中，如:Email地址、電話號碼。認證初始化過程中屬性庫將EAT發(fā)送給認證執(zhí)行單元打包生成認證數(shù)據(jù)集。在認證過程中，如若云平臺服務(wù)器需要查看用戶的屬性信息ATT，則首先使用屬性加密公鑰AKpu解密獲取屬性信息。值得注意的是，用戶可以選擇提供給屬性庫全部或部分個人隱私信息，而不是由屬性庫自動搜索用戶所擁有的所有屬性，這樣給了用戶更多權(quán)力來掌控自己的隱私。而且，由于云環(huán)境的動態(tài)特性，用戶信息也可能變化，所以用戶想請求新的服務(wù)時，需要添加新的屬性信息，這時可以通過屬性庫更新或是修改自己的屬性信息。
[0022]認證執(zhí)行單元:認證執(zhí)行單元的職責(zé)是生成非公開認證的元數(shù)據(jù)描述令牌和認證數(shù)據(jù)集。認證階段首先認證執(zhí)行單元首先會得到云平臺服務(wù)器發(fā)送的服務(wù)器令牌，然后調(diào)用虛擬機中的查詢算法描述元數(shù)據(jù)令牌的有效性來認證云平臺服務(wù)器是否合法。然后認證執(zhí)行單元還會利用得到的服務(wù)器ID及其他安全參數(shù)等為用戶生成自己的元數(shù)據(jù)描述令牌UTKf，讓云平臺服務(wù)器完成對用戶的身份匿名認證。認證執(zhí)行單元還負責(zé)生成屬性認證所需的認證數(shù)據(jù)集。
[0023]認證數(shù)據(jù)集由五部分構(gòu)成:加密的屬性信息EAT、簽名的虛擬賬戶Sg、保密策略、屬性加密公鑰AKpu和基于虛擬機的信息摘要(包含認證過程所必需的執(zhí)行代碼和算法)。保密策略中包括了認證數(shù)據(jù)集在到達云平臺服務(wù)器后，啟用前后的一系列保密策略，通過虛擬機實施這些策略，完成認證。整個認證數(shù)據(jù)集打包后用云平臺服務(wù)器的公鑰加密，又添加了一道安全防線。
[0024]策略執(zhí)行單元:包括了各種保密策略和機制，如:完整性自檢、自刪除、生命周期、審計和日志等，還可以根據(jù)用戶應(yīng)用需求添加的策略來加強認證安全。其中完整性自檢策略規(guī)定了定期檢查自我數(shù)據(jù)的完整性，確保數(shù)據(jù)沒有被惡意篡改或破壞。當數(shù)據(jù)集到達云平臺服務(wù)器時，也會啟用完整性自檢，成功通過后才能啟用認證模塊。自刪除機制則包括兩種形式:
[0025]當發(fā)現(xiàn)威脅或是惡意破壞的跡象，立即通過虛擬機啟動自刪除所有數(shù)據(jù)，以防隱私信息被竊或是篡改。或是認證過程中，對于云平臺服務(wù)器沒有請求的屬性信息，視為多余隱私信息，把這部分信息消除掉，以防隱私安全問題。而生命周期管理，制定了 VID的生成、配置、管理和撤消回收等。日志和審計制度則記錄認證模塊運行的情況，及時獲得危險警告或故障通知等，以便描述或是事故處理。
[0026]虛擬機:系統(tǒng)中(包括認證模塊和云平臺服務(wù)器端)的虛擬機是一個執(zhí)行代碼的容器，含操作系統(tǒng)和一些基礎(chǔ)的系統(tǒng)代碼，同時裝載了加解密、查詢等算法和程序，用于加強實施保密策略，和執(zhí)行其他組件的任務(wù)。發(fā)送給云平臺服務(wù)器的認證數(shù)據(jù)集和元數(shù)據(jù)數(shù)據(jù)庫都會分配虛擬機信息摘要，包含了執(zhí)行屬性認證和匿名認證過程所需的算法和代碼，來完成整個認證過程。
[0027]密鑰數(shù)據(jù)庫:存儲著供加解密屬性信息的密鑰，和認證中元數(shù)據(jù)加密過程生成的密鑰。
[0028]雙向云身份認證包含兩大機制:匿名認證和屬性認證。首先介紹這兩個機制的認證細節(jié)，然后分析具體場景下整個認證流程。
[0029]屬性認證:
[0030]I)認證數(shù)據(jù)集生成階段
[0031]屬性庫根據(jù)云平臺服務(wù)器請求的屬性聲明來收集用戶對應(yīng)的屬性信息。然后利用密鑰數(shù)據(jù)庫提供的屬性加密私鑰AKpr，調(diào)用虛擬機執(zhí)行非對稱加密過程，生成EAT。如果云平臺服務(wù)器沒有發(fā)送明確的屬性請求，則將用戶允許的所有屬性信息加密，發(fā)送到認證執(zhí)行單元。策略執(zhí)行單元選取相應(yīng)保密策略，如:完整性自檢、自刪除策略等。認證執(zhí)行單元將EAT、保密策略、AKpu、Sg和虛擬機信息摘要五個部分一起用云平臺服務(wù)器提供的公鑰SKPu打包，生成認證數(shù)據(jù)集，并通過安全通道傳輸給云平臺服務(wù)器。
[0032]2)認證數(shù)據(jù)集啟用階段
[0033]云平臺