网格计算环境下安全认证的技术研究和展望

　　摘要：网格是一种新兴的分布式计算技术，它能够在动态变化的由多个机构组成的虚拟组织中，协调资源共享和共同解决问题。网格是由多个资源提供机构为了一个共同的目标，将地理上分隔的资源进行聚合，纳入到一个统一的管理域，并提供透明的视图。网格能够充分利用这些资源，相互合作来解决一些单个组织不能完成的高度分布的问题。该文讲述了网格及其相关的安全问题，讨论在网格中出现的具体的网络安全问题。最后将展示在网格方面的一些进展并对这项技术提出展望。
　　关键词：网格安全；网络安全；安全认证；分布式技术
　　中图分类号：TP393文献标识码：A文章编号：1009-3044（2013）36-8237-02
　　我们所熟知的网格有GlosbusToolkit，Legion和UNICORE，它们具有访问实际资源、提供管理和安全防护的功能。然而，这些网格之间不能进行无缝操作，这样，一些采用了某种网格的组织机构发现，它们只能同相同系列的网格进行互相操作。全球网格论坛（GGF）重新定义了一种叫做开放网格服务机构（OGSA）的系统体系结构来解决这个问题，它以WebService技术为基础，以交互方式提供核心的功能。许多网格都采用了OGSA标准，这样就可以在不同网格的核心实现间进行交互。
　　1网格的安全挑战
　　网格给想加入这个虚拟机构的组织和研究者带来了新的安全方面的挑战。网格环境需要安全机制，它有如下一些特性：①它们穿越了几个管理域；②为动态的用户群提供良好的可扩展性；③为具有不同的认证和授权方式的资源池提供支持；④在运行过程当中，动态的获取或者释放资源。
　　网格技术的关键为在于现有系统和技术的集成，与不同主机环境的交互操作，交互主机环境中信任关系的管理。
　　标准化对于网格的交互操作是非常重要的。GGF曾经采纳了将WebService作为实现网格的标准技术。在这里，OGSA安全体系结构表述了OGSA的安全要求。在OGSA中所描述的现有的各层安全技术和标准都是从较低层的资源管理安全层开始的。第二层是网络安全层，第三层是绑定层。在较高层次中包含安全服务层和开发者。在与网络相关的层，可以使用传统的安全技术来实现网格安全。在网络层，可以用SSL，TLS和IPSec来实现虚拟专用网。同时，在绑定层中，也可以根据选用技术的不同，用SSL，TLS和IPSec，HTTP，IIOP，CSIv2以及MQ提供者来实现安全保护。
　　2网格计算环境
　　通常网格应用的用户接口是基于web的入口，也叫网格入口。网格入口允许使用各种web浏览器访问网格应用和资源，这可以方便用户使用，并丰富内容的表现形式。
　　使用这个入口进行初始化计算的用户，需要和入口协商自己的权利，这样他们就能够访问需要的资源。标准的web安全机制不能用于这个协商过程，此外，网格入口要求和用户协商他们的权利，这样用户接下来就可以代表他们自己的活动。网格安全基础设施（GSI）包含了这样的机制，代理证书对网格应用程序来说，web的使用有一些约束，用户必须以某种方式提供他们的凭证，智能卡能解决这样的问题，但是它没有得到广泛的应用。另一个约束是，网格入口必须拿到长时间的凭证。Web浏览器可以对网格进行认证，但是它不能像GSI一样协商用户的凭证，所以就需要用户的长期凭证。因为每个网格入口必须获取和存储用户的长期凭证，用户销毁的凭证数量和他曾使用的网格入口的数量一样。
　　为解决这个问题，人们提出创建一个在线的用户凭证库。有了这个知识库后，用户就可以与其联系，并与服务器协商代理凭证、认证信息何恢复约束。认证信息可以是用户选择的用户名和口令，在后面凭证的恢复中可以用到。恢复约束包括代理凭证的有效周期。
　　获得认证信息的网格入口能在任何时候恢复在线知识库中的代理凭证，并且可以像其他用户创建的代理凭证一样使用它们。这样，用户可以用他的客户端联系网格入口，并且可以为代理凭证知识库提供用户名和口令。入口联系凭证知识库并且恢复凭证，这样，用户就可以让入口像代理一样计算。当计算结束，代理凭证就会被从入口中删除。
　　3网格网络安全
　　我们已描述了网格安全的一些关键问题。这个处在网格应用层之下来处理安全问题的体系结构在认证和授权方面是很完备的。然而，在网格环境中还有其他方面的安全功能的需求，比如说，数据完整性和加密、计费和日志记录。最后，还有一些开放性的问题，比如网格的部署和机构的安全机制。
　　3.1防火墙和网格
　　当一个单位想在基础设施里部署网格时，首先要考虑的安全问题是，如何让网格不影响现有的安全策略和机制。尽管网格的安全基础设施和其他的安全基础设施已经设计好了，但一些小的改动是必要的。
　　防火墙配置是这些改动里面的一项。当想共享机构里面的一些资源时，这些对于机构网络外部边界的资源必须是直接或间接可达的。同样，机构里面的网格应用也需要访问外部资源。但是所应用的协议却是与具体应用相关的，大多数情况下，就需要改变防火墙现有的规则。由于重新配置防火墙所带来问题的解决方案包括，分隔的子网中不设防火墙，防火墙需要为一系列的系统开放大量的端口，以及使用动态防火墙。另外一个方法就是对可信的主机建立数据库，只有这些主机可以访问共享资源。这种方法的不足之处是会使得访问规则变得复杂，性能也随之下降。