《面向可信雲服務的廣義虛擬可信計算平台關鍵技術研究》是依託北京大學，由沈晴霓擔任負責人的面上項目。
基本介紹
- 中文名：面向可信雲服務的廣義虛擬可信計算平台關鍵技術研究
- 項目負責人：沈晴霓
- 項目類別：面上項目
- 依託單位：北京大學
項目摘要,結題摘要,
項目摘要
如何利用可信計算技術和虛擬化技術，在開放網路環境中構建一種能夠為用戶透明地提供可.信服務的安全隔離運行環境，成為目前推動雲計算服務模式發展和套用迫切需要解決的一個核心問題。本項目針對構建這種安全隔離運行環境可能面臨的安全威脅，研究如何將多台物理上分離的、標配有可信平台模組TPM/可信加密模組TCM 的伺服器和PC 機，聯接成一種邏輯上一體化的廣義虛擬可信計算平台，為用戶提供一致透明的可信雲服務。研究內容包括：廣義虛擬可信計算平台的分散式多域可信服務管理體系、信任鏈延伸技術、支持平台可伸縮性的安全通信協定、高效動態安全遷移機制等，本項目研究成果可用於面向可信雲服務的廣義虛擬可信計算平台的設計與實現，為構建我國可信雲計算服務基礎設施奠定基礎。
結題摘要
如何結合可信計算技術和虛擬化技術，構建一種可信雲服務的安全運行環境, 是推動“雲計算”服務模式發展迫切需要解決的一個核心問題。 本項目系統分析和標識了雲環境下虛擬化平台面臨的多個安全威脅，並重點研究了面向可信雲服務的廣義虛擬可信計算平台關鍵技術，包括: 面向虛擬機可信部署的雲平台多邊安全體系、面向數據保護的雲存儲安全服務體系、面向敏感操作受控的雲安全管理架構；實現任務之間相互隔離的安全冗餘調度策略、以及基於安全級的虛擬機遷移控制協定和機制等。 重要成果: （1）分析了雲虛擬化平台中調度機制的脆弱點，並建立了其導致的拒絕服務、信息泄露、虛擬機同駐檢測等威脅模型，進行了實驗評估；（2）提出了一種XEN虛擬機之間隱蔽存儲通道的標識方法，並首次發現了一種基於事件通道狀態的隱蔽存儲通道，其頻寬可高達13Kbps,大大高於已公開的其他通道；（3）提出了一種雲環境下基於負載均衡的多邊安全體系，支持租戶對其虛擬機自定義安全策略、系統對不同虛擬機策略間靜態和動態衝突的定義與識別等；（4）提出了一種結合可信計算技術的雲存儲安全服務體系，給出了基於TPM可遷移密鑰的多租戶數據共享機制、雲內遷移和雲間遷移的安全控制協定和機制；（5）提出了一種結合可信通路和虛擬機監控器技術的雲安全管理架構，可以降低因敏感操作許可權過大導致的虛擬機拒絕服務、惡意竊取等威脅；（6）建立了一種基於信任度、衝突關係、安全標籤的動態域劃分模型，並據此提出了一種安全冗餘調度策略，使合法租戶的任務在調度時不會被分配到與其存在衝突關係的租戶/惡意租戶的虛擬機、或已被惡意租戶控制的虛擬機，實現任務之間安全隔離；（7）提出了一種基於安全級的虛擬機安全遷移協定和機制，以保障相同安全級的虛擬機總是被遷移到同一個可信域，防止更低安全級虛擬機帶來的安全威脅。 本項目共發表了學術論文22篇(其中EI 17篇)，包括第18屆ACM CCS Poster(2011)，第26屆IEEE IPDPSW(2012)、第25屆IEE AINA 2011和26屆WAINA 2012、第13屆(2011)和15屆Springer ICICS(2013)等重要國際會議，IJGUC、通信學報、計算機研究與發展等重要期刊論文;申請了國家發明專利12項，其中已授權2項、受理10項；編著教材1部；培養了博士和碩士研究生18人。這些成果將為我國可信雲服務基礎設施的建設奠定基礎。
