《雲計算環境中租戶數據的計算安全保障機制研究》是依託華中科技大學，由羌衛中擔任項目負責人的面上項目。
基本介紹
- 中文名：雲計算環境中租戶數據的計算安全保障機制研究
- 項目類別：面上項目
- 項目負責人：羌衛中
- 依託單位：華中科技大學
中文摘要,結題摘要,
中文摘要
雲計算在帶來易用和低成本特性的同時也提出了新的安全挑戰，雲計算基礎設施公有化和多租戶資源共享所引起的租戶安全邊界模糊化與租戶對雲端自身數據的安全可控需求之間存在矛盾。本課題旨在解決雲平台中租戶數據的執行環境和處理流程的安全性問題，執行環境涉及虛擬化架構的可信性以及雲服務軟體的安全性，傳統可信計算技術無法滿足雲平台的動態可信需求，現有軟體補丁方法不能應對虛擬機遷移和回滾等動態特徵帶來的軟體更新挑戰，傳統監控手段無法跟蹤和控制租戶數據在雲端的處理流程。擬開展研究：（1）租戶數據流安全控制理論：對租戶數據在雲端的處理進行建模和安全約束；（2）虛擬域可信保障機制：解決租戶數據執行環境的動態可信問題，並為雲服務提供可信支撐；（3）雲服務軟體安全更新機制：為雲服務軟體的動態更新提供審核、安全性測試及風險評估；（4）租戶數據流跟蹤和控制：提供面向租戶數據流的按需跟蹤和自主控制。項目成果將用於提高雲計算的安全性。
結題摘要
本課題著重解決雲平台中租戶數據的執行環境和處理流程的安全性問題，從可信執行環境、雲服務軟體的安全更新、雲系統安全監控等方面開展研究。在可信執行環境方面，研究了基於特權分離的作業系統可信代碼基縮減框架，能夠有效的阻止kernel中部分漏洞威脅，提出了可套用於瀏覽器的基於標籤的細粒度信息流控制模型，兼顧職責分離原則和最小特權原則，能夠高效靈活地保障用戶信息的私密性和應用程式完整性，還提出了一種高效且透明的共享庫隔離系統Libsec，將共享庫從原有的應用程式地址空間中隔離並創建出單獨的共享庫地址空間，避免了應用程式代碼直接跳轉到共享庫中執行，相關成果發表在ACISP、ICA3PP、HPCC上，並獲得HPCC 2017會議最佳論文提名。在雲服務軟體安全更新方面，研究了基於多版本執行的動態軟體更新方法，解決了傳統動態軟體更新中出現的不一致問題，還提出了一種基於符號執行的補丁漏洞檢測方法，解決了軟體更新補丁帶來新漏洞的問題，相關成果發表在FGCS、IEEE Access上。在雲系統安全監控方面，研究了一種面向雲計算的可寫和跨節點的虛擬機監控框架CloudController，基於系統調用重定向，將由VMI程式發起的關鍵系統調用的執行重定向到被監控虛擬機中，提出了基於驅動的雲虛擬機監控系統，解決了雲計算平台通用安全監控問題，還研究了基於API Hook的進程行為監控系統，截獲虛擬機中的進程API調用行為，相關成果發表在IEEE Access、FGCS、TrustCom上，並且相關技術和成果獲得曙光、華為等公司的項目支持，並套用於公司的雲安全管理系統中。
