一种保护云存储平台上用户数据私密性的方法

计算机研究与发展ISSN1000 1239 CN11 1777 T P Journal o f Co mputer R esear ch and D ev elo pment48(7):1146 1154,2011

一种保护云存储平台上用户数据私密性的方法

侯清铧 武永卫 郑纬民 杨广文

(清华信息科学与技术国家实验室(筹) 北京 100084)

(清华大学计算机科学与技术系 北京 100084)

(houqh06@gma https://www.360docs.net/doc/4718830499.html,)

A Method on Protection of User Data Privacy in Cloud Storage Platform

H ou Qinghua,Wu Yongw ei,Zheng Weimin,and Yang Guangw en

(T s ing hua N ational L abor ato ry f or I nf ormation S cience and T echnology(T N L I S T),Beij ing100084)

(D ep artment of Comp uter Science and T echnology,T singhua Univ er sity,Beij ing100084)

Abstract No w adays,many researcher s and IT com panies pay close attention to cloud stor ag e.A lot of applications use cloud storage to store data.But m any people and com panies w orry about the secur ity and privacy pro blem of cloud storag e.Clo ud storage platform is pro ne to com pro mise or abuse from adversaries including the cloud administrators.The security and privacy pro blem of cloud storag e is the security and pr iv acy problem of distributed file system,w hich is the co re o f cloud sto rage.With SSL secure connectio n and secure v ir tual m achine m onitor(Daoli),the security and pr iv acy of the user s data can be pro tected in the distributed file system,even facing a total co mpr omise of the distributed file system or the o perating sy stem.W ith secur e virtual machine m onitor,conv entional attacks and attacks from cloud administrator s can be prevented.Tw o schemes for different applicatio n scenarios are put forw ard.In one schem e,every chunk of user s file is pro tected,so the pr iv acy o f every chunk is g uaranteed.In another metho d,o nly the w hole file is protected,and the priv acy of the w hole file is g uaranteed not all chunks.T he overhead of the additio n of SSL secure connectio n and secur e virtual machine monitor are evaluated.In consideration of the priv acy of user s data,the ov erhead can be to ler ated.

Key words clo ud sto rage;distributed file system;data pr iv acy;virtual machine;secur e virtual m achine mo nitor

摘 要 近年来,云存储被研究者和IT厂商广泛关注,许多应用程序都用云存储来存储数据.但是用户和厂商都对于云存储的安全性和私密性问题表示忧虑.云存储安全的核心是分布式文件系统的安全性和私密性.基于SSL安全连接和Daoli安全虚拟监控系统可以充分保护分布式文件系统中用户数据的安全性和私密性.安全虚拟监督系统可以阻止传统攻击及来自云管理员的攻击.针对用户的不同需求和数据存储系统的特点,有2种解决方案,分别针对分布式文件系统中用户文件的每一块进行保护,保障用户文件每一块的私密性及对整个用户文件进行保护,保证用户文件整体私密性.对于用户数据的私密性而言,SSL安全连接和虚拟监控系统引入的性能损失是可以被接受的.

关键词 云存储;分布式文件系统;数据私密性;虚拟机;安全虚拟监督系统

中图法分类号 T P302

收稿日期:2010-12-28;修回日期:2011-04-13

基金项目:国家 九七三 重点基础研究发展计划基金项目(2007CB310900,2011CB302505);国家自然科学基金项目(60803121,60773145, 60911130371,90812001,60963005);国家 八六三 高技术研究发展计划基金项目(2009AA01A130,2009AA01A132,2006AA01A101, 2006AA10A108,2006AA01A111,2006AA01A117)

云存储是指通过集群、网格和分布式文件系统等技术,将网络中各种不同类型的存储设备通过软

件集合起来协同工作,共同对外提供数据存储和业务访问功能的一种新兴的存储模式.云存储服务为用户提供以互联网为基础的在线存储服务,用户根据需要付费就可以从云存储服务提供商处获得任意大小的存储空间和企业级别的服务质量.目前,很多著名的IT企业都致力于云存储的研究与推广,也有许多云存储服务已经或即将被用户使用.例如Go ogle的许多业务都基于Go ogle自己构建的云存储服务,如在线文档服务Goog le Do cs、邮件服务Gm ail等等.Am azon的S3(simple storag e ser vice)云存储服务为用户提供了一个高可靠、可以随时随地通过Internet访问的数据存储环境,Amazo n本身的各种全球网络应用也基于S3.随着云存储技术逐渐走向实用,云存储的安全也变得越来越重要.据国内专业调研机构CBIResearch相关数据表明:目前,大约有80%的企业基于数据安全性的考虑不愿意将企业内的业务数据放在公有云上.企业非常关心他们信息的安全性.在云存储中,由于存储数据的物理介质不属于云存储用户所有,当用户将数据交给云存储提供商后,具有数据优先访问权限的并不是相应的用户,而是云存储的提供商,同时,在云存储平台中用户的数据处于共享环境下,在这种情况下如何保证用户数据的私密性是人们非常关注的问题.而云存储的核心实际上是一个分布式文件系统,所以云存储平台上的数据私密性问题实际上就是分布式文件系统的私密性问题.本文讨论了一种云存储平台上分布式文件系统中的用户数据私密性保护的方法,我们将Daoli虚拟机监督系统与分布式文件系统结合起来以保护分布式文件系统中的用户数据私密性.

1 云存储结构介绍

在云存储中,最核心最主要的部分是分布式文件系统,分布式文件系统的作用是将数量众多的廉价存储设备构成的庞大的存储资源池整合为一个整体,为上层提供统一的存储服务.大部分的分布式文件系统,如GFS[1],H adoopFS[2],Ceph[3]等,都是由分布式文件系统客户端、元数据服务器和块数据服务器这3个主要部分构成的(如图1).分布式文件系统可以同时被多个客户端访问;块数据服务器一

般是由许多服务器共同组成的;而元数据服务器根据各个分布式文件系统的设计,可能由一台服务器或者多台服务器构成.

Fig.1 T he architecture of distr ibuted file system.

图1 分布式文件系统的结构

在分布式文件系统中,一般由元数据服务器负责分配和记录每个文件的各个文件块存储在的块服务器的位置以及每个文件的元数据信息;分布式文件系统客户端负责将文件分块并发送文件块到元数据服务器指定的块数据服务器,或者通过查询元数据服务器获得文件块的位置信息后从块数据服务器读取相应的数据块;块数据服务器则负责文件块的存储工作.

2 基于Daoli的云存储数据私密性保护方法

2.1 Daoli简介

Dao li是一个基于Xen[4 5]的微型可信的安全虚拟机监督系统.Dao li的设计目标是对在虚拟机中现代商用操作系统上运行的应用程序的CPU、内存和外围I O设备等进行隔离[6],以此来达到保护应用程序中用户数据私密性的目的.Daoli把硬件和一个微型的安全虚拟机监督系统作为可信基,能够防范一般的传统攻击和来自于操作系统管理员的攻击,在这些攻击下可以确保用户数据的私密性.但Daoli 并不保证服务的可用性.使用Daoli保护后系统的整体结构如图2所示:

F ig.2 T he architecture o f com puter with the pr otectio n of

Dao li.

图2 Dao li保护下的系统结构图

1147

侯清铧等:一种保护云存储平台上用户数据私密性的方法

2.2 基于安全虚拟监督系统的用户数据私密性保

护模型

对于一般的分布式文件系统的结构,用户文件的元数据交互全部位于分布式文件系统客户端和元数据服务器之间,而用户文件数据的交互全部位于分布式文件系统客户端和块数据服务器之间.基于这样的数据交互特征,我们可以得到一种最简单的保护模型,如图3所示,即用户在与分布式文件系统进行数据交互时采用SSL 安全连接,即当用户传输数据块先经由用户客户端的SSL 模块进行加密再通过网络传输至分布式文件系统,这样用户数据在网络传输的过程中均为密文形式,可以确保安全性和私密性.当用户数据传递给分布式文件系统后,经由分布式文件系统处的SSL 模块进行解密,当用户数据被写入分布式文件系统磁盘时,用户可以认为

数据在写入前会先经过安全虚拟监督系统进行加密再提交给分布式文件系统所在的计算机操作系统进行写入,这样实际得到用户明文数据的仅有分布式文件系统,而操作系统不能获得用户的明文数据.操作系统得到的用户数据及写入硬盘后的用户数据均为密文,通过安全虚拟监督系统我们将用户数据与操作系统隔离开,这样即使有人恶意获取了操作系统管理员权限,用户数据私密性也不会受到威胁,可以确保用户数据在分布式文件系统所在的计算机的内存和硬盘中的安全性和私密性.用户数据的读取则是写入的逆过程.基于这种保护模型我们针对不同的应用提出了2种保护方案.在我们的保护方案中,采用了Daoli 安全虚拟监督系统,所用的分布式文件系统客户端、元数据服务器和块数据服务器都部署在虚拟机中

.

Fig.3 T he mo del of prot ection scheme.

图3 保护方案模型

3 解决方案

3.1 对于用户所有数据块的保护方案(方案1)

如果用户认为自己的文件数据中的每一数据块都需要私密性保护,那么就可以使用这种保护方案.在这种保护方案中,我们会对分布式文件系统的客户端和块数据服务器进行保护,我们需要在分布式文件系统客户端和块数据服务器上部署Daoli 安全虚拟监督系统,而元数据服务器上则不需要部署Daoli 安全虚拟机监督系统.在用户客户端向分布式文件系统客户请求文件服务时,分布式文件系统客户端首先会向元数据服务器请求文件的元数据及文件块存储位置等信息.由于这个过程中并不涉及到用户文件的实际数据,所以在这个过程中我们不进行任何保护,所有的操作完全按照原有的分布式文

件系统的流程进行(如图4).在这个过程中,用户客户端首先向分布式文件系统客户端请求文件,分布式文件系统客户端会将文件进行分块并向元数据服务器请求各个文件块所在的块服务器地址与文件块在相应块服务器上的位置.元数据服务器向分布式文件系统客户端返回这些信息,这样文件元数据信息交互就完成了.分布式文件系统客户端得到文件元信息之后,会和指定的块数据服务器交互以读写文件数据块并将读写后的文件信息传递给用户客户端.写数据块时(如图5),用户客户端的文件数据通过SSL 模块进行加密传输,传输到分布式文件系统客户端后再经过SSL 模块进行解密.在分布式文件系统客户端,文件会被进行分块等操作,之后通过SSL 模块进行加密后被传输到块数据服务器再经过SSL 模块解密,解密后的数据将被写入到块数据服务器的本地硬盘之中.在进行写入数据的系统调用

1148计算机研究与发展 2011,48(7)

时,会被Daoli 安全虚拟监督系统截获,Daoli 会将存在于用户空间的文件数据进行加密并将其拷贝到一个由Daoli 安全虚拟监督系统和虚拟机操作系统共享的缓冲区中,之后再将系统调用移交给虚拟机操作系统执行.这样写入到硬盘中的数据将是密文.在整个用户文件数据传输的过程中SSL 模块的存在可以确保用户数据在各个应用程序间进行传递时端到端的数据安全性和私密性.在块数据服务器中

将文件数据加密写入硬盘可以保证数据在物理硬盘上的安全性和私密性.但在整个传输过程中,用户数据在内存中的安全性和私密性却没有受到任何保护.下面我们将对用户数据在内存中的保护进行描述.用户数据在内存中的保护有2个子问题:一个是操作系统与应用程序的隔离问题;另一个是在DM A 过程中的用户数据保护问题

.

F ig.6 T he co mpo sitio n o f virtual addr ess space.

图6 虚拟地址空间的构成

首先描述操作系统与应用程序隔离的问题及解决方案.现代的应用程序进程都会各自拥有独立的内存地址空间(虚拟地址空间)而操作系统会保留一部分内存地址空间(内核地址空间)仅供其自身使

用.对于每一个应用程序进程来说内核地址空间的地址分布是相同的,除去内核地址空间外的虚拟地址空间被称为用户地址空间(如图6).对于应用程序进程来说,其自身仅能访问用户地址空间的内容

1149

侯清铧等:一种保护云存储平台上用户数据私密性的方法

而不能直接访问内核地址空间,如果需要访问内核地址空间,则需要使用操作系统提供的各种系统调用,在进行系统调用时进程会从用户态切换至内核态,由操作系统来实现内核地址空间的访问操作,在系统调用返回时应用程序进程会从内核态切换回用户态继续执行.但是操作系统却可以直接访问整个虚拟地址空间中的内容.

由于应用程序进程各自拥有独立的内存地址空间,但实际的物理内存地址空间仅有一个.所以每个应用程序进程会关联一个页表,这个页表保存了该应用程序进程的虚拟地址空间到实际的物理内存地址空间的地址映射.对于每个应用程序进程来说,它的数据并非被其自身独自占有,操作系统可以访问所有应用程序进程的用户地址空间,所以每个应用程序进程的数据对于操作系统来说都是可见的.这样如果攻击者获得了操作系统管理员的权限,那么就可以很容易地窃取到应用程序的各种数据.而现代商用操作系统的代码量庞大,接口众多,操作系统中的各种驱动程序良莠不齐、漏洞很多,所以操作系统很容易被攻破而使得攻击者获得操作系统管理员权限.因此让操作系统可以直接访问到应用程序进程的用户地址空间的内容是非常不安全的.为了保证用户数据的私密性,我们采用Daoli在虚拟机操作系统和应用程序之间做了良好的隔离.使用Daoli 之后,受保护的应用程序进程会关联2个页表,一个是原始页表,另一个是仅包含内核地址空间映射的影子页表.应用程序进程在用户态时使用原始页表,在内核态时使用影子页表.当应用程序进程在内核态和用户态之间切换时会被Daoli所截获,Daoli负责切换应用程序的原始页表与影子页表.这样当应用程序进程进行系统调用后在内核态运行时由于使用了影子页表,影子页表中并不包含用户态地址空间的映射表项,所以操作系统不可能访问到应用程序进程用户态地址空间中的任何数据.这样就严格的将操作系统与应用程序隔离开来,使得攻击者即使获得了操作系统管理员权限,仍然无法威胁到用户数据的安全性和私密性.对于那些需要在内核态访问用户态地址空间数据的系统调用,我们使用Daoli对其进行截获,将这些数据从用户态地址空间拷贝到内核态地址空间或从内核态地址空间拷贝到用户态地址空间,并在拷贝的过程中对于涉及到的用户文件数据的系统调用(例如sy s_w rite,sy s_read 等)中的数据进行加解密处理以保证用户数据的安全性和私密性(如图7).用户数据在内存中的保护的另一子问题是DM A过程中的用户数据保护.传统的DMA数据交换操作在应用程序进程的内核态地址空间和用户态地址空间均可进行.由于在DM A过程中可以任意访问应用程序进程的用户态地址空间,这就使得攻击者可以通过DM A的方式来窃取用户位于内存中的数据.通过相应的硬件技术(如Intel的VT d和AM D的SVM)可以保证虚拟计算平台上各个虚拟机间的DM A隔离,确保一个虚拟机不会对另一个虚拟机的内存地址空间进行DM A访问[7].所以我们仅需要将一个虚拟机内部的各个应用程序进程及虚拟机操作系统的DMA访问隔离开来即可.对于容许进行DM A访问的内存页面,其映射信息会保存在IOM MU的映射表中,只有通过该映射表进行查找才能进行相应的DM A 访问操作.所以我们在一个需要被保护的应用程序进程启动时,使用Dao li来检查这个映射表,删除受保护的应用程序用户地址空间的映射信息,仅保留内核地址空间的映射信息,并且在这个映射表更新时Dao li会对更新的映射信息进行检查,以确保不会有受保护的应用程序进程用户地址空间的映射被添加进来.这样就使得DMA访问仅能在内核态地址空间中进行.而通过前面操作系统与应用程序隔离问题的描述我们可以知道,拷贝到内核态的用户数据均进行了加密处理,全部为密文,所以在这种情况下非法的DM A访问也不会对用户数据的安全性和私密性造成影响.

Fig.7 T he encr ypt decr ypt process of file data.

图7 文件数据写入与读取中的加解密过程

通过这个保护方案我们可以确保用户每个文件数据块在网络传输、内存访问、硬盘存储这整个过程中的安全性与私密性,可以确保攻击者即使获得了操作系统管理员权限,仍然无法对用户数据的安全性和私密性造成威胁.

3.2 对于用户整个文件的整体保护方案(方案2)

如果用户认为自己的文件数据中的每一块的私

1150计算机研究与发展 2011,48(7)

密性并不是很重要,而所有文件数据块组成的文件的私密性却很重要时,可以使用这种保护方案.在这种保护方案中,我们会对分布式文件系统客户端和元数据服务器进行保护,我们需要在分布式文件系统客户端和元数据服务器上部署Daoli安全虚拟监督系统,而在块数据服务器上则不必部署Dao li安全虚拟监督系统.在用户客户端向分布式文件系统客户端请求文件服务时,分布式文件系统客户端会首先向元数据服务器请求文件的元数据及文件块存储位置等信息.在这个过程中我们对分布式文件系统客户端与元数据服务器进行文件块存储位置信息交互时使用SSL安全连接,以确保用户文件数据块的位置信息不被泄露(如图8).之后分布式文件系统客户端会与块数据服务器进行文件数据交互,在这个过程中仍然使用SSL安全连接保证用户数据的安全性和私密性(写文件如图9).这种方案中用户文件的元数据及文件数据块与块数据服务器的映射关系将会以密文的形式存储在元数据服务器上,而文件数据块本身将以明文的形式存储在块数据服务器上.具体的用户数据在网络、内存和硬盘中的保护方法与第1种方案基本相同.

使用此方案,我们可以保证用户整个文件的数据安全性和私密性,但是不保证用户文件数据块的安全性和私密性.

4 性能测试

我们采用已在清华大学校园内被广泛使用的Corsair系统来进行性能测试.Corsair是一个为清华大学校内用户服务的海量数据存储平台,由客户端和服务器端构成.客户端是一个用Java写成的应用程序,可以安装在用户计算机上与服务器端进行交互以上传和下载数据.服务器端由多个vsftpd组成,每个vsftpd分布在不同的物理主机之中,对外提供统一的存储服务.我们在服务器端的物理主机

1151

侯清铧等:一种保护云存储平台上用户数据私密性的方法

上部署Daoli 系统,并在客户端与服务器端进行交互的过程中采用SSL 安全连接,这样就可以保护用户数据的安全性和私密性了.基于此种架构,我们进行了数据传输的测试.测试环境:网络环境为100Mbps 以太网;服务器端为一台H P Compaq dc7900台式机,CPU 为Intel 酷睿2四核Q94002.66GHz,内存3GB ,硬盘为SA TA 500GB (7200转),网卡为100M bps 以太网卡;客户端为一台H P Elitebook 2730p,CPU 为Intel 酷睿2Duo L94001.86GH z,内存2GB,硬盘为SAT A 120GB(5400转),网卡为1000M bps 以太网卡.

4.1 大文件传输测试

我们使用了一个700M B 的文件进行测试.其中 原始 表示不使用SSL 安全连接且不部署Daoli 时的性能; 加入SSL 表示仅使用SSL 安全连接不在服务器端部署Daoli 时的性能; 加入SSL 和Daoli 表示使用SSL 安全连接并在服务器端部署Daoli 后的性能.表1、表2、图10、图11为测试结果.

Table 1 The Performance of the Server when Transf erring a

Big File

表1 大文件传输时服务器端性能数据

Test Type Server CPU U sage %T ran sfer Rate M Bps S erver CPU Us age Trans fer Rate

Origin 3.5610.756220.330971With SS L 15.39 3.75903 4.094141With SSL and Daoli

19.45

3.73893

5.202

023

Fig.10 T he CPU usag e transfer r ate on t he serv er

w hen transferr ing a big file.

图10 大文件传输时服务器端CPU 占用率 传输速度

Table 2 The Performance of the C lient when Transf erring a

Big File

表2 大文件传输时客户端性能数据

Test Type Client CPU U sag e %T ran sfer Rate M Bps Client CPU Usage T ran sfer Rate

Or igin 20.05710.75622 1.864689With SS L

52.732

3.75903

14.08706

Fig.11 T he CP U usage tr ansfer rate on the client w hen

transferr ing a big file.

图11 大文件传输时客户端CPU 占用率 传输速度

表1和图10表现了服务器端在原始、加入SSL 、加入SSL 和Daoli 保护这3种状态下的CPU 占用率与下载速度之比.表2和图11表现了客户端在原始、加入SSL 这2种状态下的CPU 占用率和下载速度之比.对于单个大文件的传输,从表2和图11我们可以看到,系统的瓶颈出现在客户端上,客户端的计算机是双核机器,CPU 占用率达到50%以上,这说明Corsair 客户端实际上已经占满了一个CPU 核心,客户端这里的性能损失完全是由SSL 安全连接引入的.从表1和图10我们可以看到,在服务器端和原始的情况相比,SSL 安全连接引入了11倍多的性能损失,而Daoli 保护则引入了2倍多的性能损失.而从表2和图11我们可以看到,在客户端SSL 安全连接引入了6倍多的性能损失.4.2 连续的小文件的传输测试

我们使用了1000个100KB 的小文件进行连续的传输测试.其中 原始 表示不使用SSL 安全连接且不部署Daoli 时的性能; 加入SSL 表示仅使用SSL 安全连接不在服务器端部署Dao li 时的性能; 加入SSL 和Dao li 表示使用SSL 安全连接并在服务器端部署Daoli 后的性能.表3、表4、图12、图13为测试结果.

Table 3 The Performance of the Server when Transferring a

Series of Small files

表3 小文件连续传输时服务器端性能数据

T es t T ype S erver CPU Usage %Transfer Rate M Bps S erver CPU Usage Transfer Rate Origin

3.390.1775619.09214W ith S SL 3.490.141762

4.61907W ith S SL and Daoli

4.16

0.14106

29.491

1152计算机研究与发展 2011,48(7)

Table4 The Performance of the C lient when Transf erring a Series of Small Files

表4 小文件连续传输时客户端性能数据

T est T ype Client CPU

U sage %

Transfer Rate

M Bps

Client CPU Usage

Transfer Rate

Origin10.4380.1775658.78576

With SSL14.1150.1414199.81614

表3和图12表现了服务器端在原始、加入SSL、加入SSL和Dao li保护这3种状态下的CPU 占用率与下载速度之比.表4和图13表现了客户端在原始、加入SSL这2种状态下的CPU占用率和下载速度之比.对连续的小文件的传输,从表3,4和图12,13我们可以看到,系统的瓶颈出现在小文件的打开关闭及读取中,网络带宽和CPU均未占满.从表3和图12我们可以看到,在服务器端和原始的情况相比,SSL安全连接引入了0.29倍的性能损失,而Daoli保护则引入了0.26倍的性能损失.从表4和图13我们可以看到,在客户端和原始情况相比,SSL安全连接引入了0.72倍的性能损失.

从性能测试的结果来看,Dao li保护引入的性能损失远小于使用SSL安全连接引入的性能损失,相对于用户数据私密性保护而言,这样的性能损失对于我们的应用来说是可以接受的.

5 相关工作

目前存在并被广泛使用的分布式文件系统,如GFS[1],H adoopFS[2],Ceph[3]等,都只有单一的文件存储功能,不提供用户数据的私密性保护功能.

Overshado w[6]使用了与Dao li类似的技术来达到内存和I O的隔离保护的目的,使用Overshadow 不需要对操作系统和应用程序作任何修改,我们使用的Daoli系统会对操作系统内核作少量的修改,这样的修改使得使用Dao li的性能损失比使用Overshado w更小.

XOM[8 9]和SP[10 11]通过提供加密和不加密的2种内存视图来达到内存隔离保护的目的,但它们都需要使用特殊的处理器结构,同时它们可以防范来自硬件的攻击.而在我们的方案中使用的Daoli系统仅考虑来自软件的攻击,这样使得我们可以使用现有的硬件来解决问题.XOM和SP还要求应用程序进行一定的修改,而我们使用的Daoli系统则不必修改应用程序.

与客户端预先加密文件数据的方法相比,我们的方法更加简单并具有普适性.如果在客户端预先加密文件则需要对于用户使用分布式文件系统的各种客户端进行修改,同时用户需要管理密钥并在性能不高的客户端部分进行复杂的加解密操作,这使得用户的操作变得更加复杂、耗时.而在服务器端的安全虚拟监督系统中进行的加解密操作,可以使得用户操作变得简单方便且不需要修改客户端的各种应用程序,同时仍然能保证用户数据的私密性.

6 结 论

在本文中,我们描述了分布式文件系统的一般特征.基于这些特征,我们使用SSL安全连接来确保用户数据在网络传输时的安全性和私密性,使用Dao li来确保用户数据在分布式文件系统所在的物理主机内存、硬盘及I O上的安全性和私密性.我们提出了一个对于用户存储在分布式文件系统中的数据保护的模型,并基于这个模型针对不同应用提出了2种解决方案.这2种方案对于各自的应用都可以

1153

侯清铧等:一种保护云存储平台上用户数据私密性的方法

有效地保证用户数据在分布式文件系统中的安全性和私密性,能有效地防止传统的网络攻击和来自于操作系统管理员的攻击.通过对分布式文件系统的保护我们可以达到对云存储服务的保护.对于用户数据私密性而言,这样的保护带来的性能损失仍然是可以接受.

参考文献

[1]Ghemawat S,Gob ioff H,Leun g S T.T he Google file sy stem

[C] Proc of the19th ACM Sym p on Operating Systems

Prin ciples.New York:ACM,2003:29 43

[2]Borthakur D.HDFS Architecture[EB OL].(2010 02 19)

[2010 08 21].http: https://www.360docs.net/doc/4718830499.html, comm on docs current hdfs_design.h tm l

[3]J ones M T im.Ceph:A Lin ux petabyte scale distribu ted file

s ystem[E B OL].(2010 05 04)[2010 08 21].http: w ww.

ib https://www.360docs.net/doc/4718830499.html, developerw ork s linux library l ceph ind ex.html [4]Barham P,Dragovic B,Fraser K,et al.Xen and the Art of

Virtu aliz ation[C] Proc of the19th AC M Sym p on

Operating Sys tems Prin ciples.New York:ACM,2003:164

177

[5]S hi Lei,Zou Deqing,J in H ai.Xen Virtualization Technology

[M].Wuh an:H uaz hong University of Science&

T echnology Pres s,2009(in Chinese)

(石磊,邹德清,金海.Xen虚拟化技术[M].武汉:华中科

技大学出版社,2009)

[6]C hen Xiaoxin,Garfin kel T al,Lew is E C hristopher,et al.

Overshadow:A virtualization based approach to r etrofitting

p rotection in commodity operatin g system s[C] Proc of the

13th Int Conf on Arch itectural Supp ort for Programming

Languages and Operating System s.New Yor k:ACM,2008:

2 13

[7]Ab ram son D,Jacks on J,M u thras anallu r Sridh ar,et al.Intel

virtualization techn ology for directed I O[J].Intel

Virtu aliz ation Techn ology,2006,10(3):179 192

[8]Lie David,T hekkath Ch andramohan A,H orow itz M ark.

Implementing an untrus ted operating system on trusted

h ardw are[C] Proc of the19th ACM Sym p on Operating

S ystem s Prin ciples.New York:ACM,2003:179 192

[9]Lie David,Thekkath Chandramohan,M itch ell M ar k,et al.

Arch itectural support for copy and tamper res istant s oftw are

[C] Proc of the9th Int Conf on Architectu ral Support for

Program ming Languages an d Op erating Systems.New York:

ACM,2000:168 177

[10]Dw osk in Jeffrey S,Lee Ruby B.H ardw are rooted trust for

secure key manag ement and tran sien t trust[C] Proc of the

14th ACM C on f on C om puter an d Comm unications Security.

New York:ACM,2007:389 400

[11]Lee Rub y B,Kw an Peter C S,M cGreg or J ohn P,et al.

Arch itecture for protecting critical secrets in microprocess or s

[C] Proc of th e32nd Int Sym p on Com pu ter Arch itecture.

Wash ington:IEEE,2005:2

13

Hou Qinghua,born in1988.P hD

candidate.H is research inter ests include

distributed system and data secur ity and

privacy in distr ibuted

system.

Wu Yongwei,born in1974.A sso ciate

pro fesso r and PhD super viso r.H is

r esear ch int erests include g r id computing,

parallel and distributed computing,

algo rithm design and analy

sis.

Zheng Weimin,bo rn in1946.P rofessor

and P hD superv isor.H is main research

inter ests include gr id and cluster

computing,hig h perfo rmance sto rag e

system and bio lo gy co

mputing.

Yang Guangw en,bor n in1963.P rofessor

and P hD superv isor.H is r esear ch interests

include co mputer a rchitectur e,parallel and

distributed co mputing.

1154计算机研究与发展 2011,48(7)