基于Kerberos協(xié)議的云數(shù)據(jù)傳輸過程中安全方案研究

徐希煒　李能能　李丹陽

摘要：在數(shù)據(jù)傳輸至云服務(wù)器的過程中，數(shù)據(jù)會面臨著云數(shù)據(jù)生命周期中第一輪的非法用戶惡意攻擊的問題，文本針對在傳輸過程中出現(xiàn)的問題提出了一種基于kerberos協(xié)議的云數(shù)據(jù)傳輸安全方案，該方案在改進Kerberos認證協(xié)議的基礎(chǔ)上進行。一方面解決了認證過程中存在的對稱加密算法安全性相對較低的問題，將對稱加密算法替換為RSA一次一密加密算法;另一方面，在客戶端與云服務(wù)商之間添加Kerberos認證協(xié)議，將兩者進行安全連接，保障數(shù)據(jù)傳輸在傳輸過程中的安全。

關(guān)鍵詞：云數(shù)據(jù)傳輸;Kerberos認證協(xié)議;基于RSA一次一密的加密算法

中圖分類號：TP309 ? ? ? ?文獻標(biāo)識碼：A

文章編號：1009-3044（2019）13-0030-02

在運輸局生命周期過程中，傳輸、存儲和刪除階段數(shù)據(jù)都會面臨安全性威脅，數(shù)據(jù)從客戶端傳輸?shù)皆品?wù)器的過程是云數(shù)據(jù)在生命周期過程中的第一步，數(shù)據(jù)的安全性也尤為重要。所以，在此階段，數(shù)據(jù)需要極強的安全保護措施來防止非法用戶的攻擊[1]。

為保障用戶數(shù)據(jù)的安全性，各個云服務(wù)商提出了各種各樣的數(shù)據(jù)安全保護措施，因此也有越來越多的用戶使用云來存儲自己的數(shù)據(jù)信息。但是，在技術(shù)不斷強大的情況下，這些措施對數(shù)據(jù)的保護力度越來越小，很多用戶的數(shù)據(jù)被非法用戶通過不正當(dāng)?shù)氖侄纹平獠⒈I取。所以，越來越多的用戶不會輕易相信云服務(wù)商能夠保障起數(shù)據(jù)的安全性。在本文中，基于傳輸過程中數(shù)據(jù)的安全性問題，針對Kerberos存在的不足，將Kerberos認證協(xié)議進行改進，并提出了一種基于改進的這種協(xié)議的數(shù)據(jù)安全性保護措施，將RSA一次一密加密算法加入該種方案中，極大程度的保障了數(shù)據(jù)的安全性[2]。

1 kerberos協(xié)議

Kerberos認證協(xié)議是一種安全認證的協(xié)議，其作用是對于網(wǎng)絡(luò)的安全進行認證。該協(xié)議利用密鑰交換用戶的機密信息在客戶端和云服務(wù)應(yīng)用程序之間進行認證，以此來提供服務(wù)。與此同時，該協(xié)議還能夠防止非法竊聽，對于來自非法用戶的攻擊進行回復(fù)。Kerberos認證協(xié)議在提供安全認證的功能之外還能夠?qū)?shù)據(jù)的機密性和完整性進行保護。Kerberos認證協(xié)議中的KDC（key distribution center）稱為Kerberos認證協(xié)議的密鑰分發(fā)中心，主要用于執(zhí)行用戶和服務(wù)在可信第三方平臺中的安全認證[3]。Kerberos的身份驗證系統(tǒng)由認證服務(wù)器AS（authenticate）、 票證授予服務(wù)器TGS（ticker granting server）和真實服務(wù)器S（server）三個服務(wù)器組成[4]。

Kerberos認證協(xié)議在使用過程中存在很多缺陷，主要包含以下幾方面。

1）在該協(xié)議中使用對稱加密算法生成的密鑰安全性低。在協(xié)議中使用對稱加密算法DES，該算法加密密鑰和解密密鑰相同，密鑰的安全性低，容易遭到破解 [5]。

2）重放攻擊。在Kerberos認證協(xié)議中，專門用來防治重放攻擊的事時間戳，但是，該時間戳在限制時間內(nèi)是有效的。假設(shè)Kerberos認證協(xié)議中一個域中的時鐘全部保持一致，那么就認為該消息是真的。但是，攻擊用戶往往將消息進行偽造，一旦得到了認證許可就會將準(zhǔn)備的消息發(fā)出，在極短的時間內(nèi)這種危險很難被檢測到。

3）系統(tǒng)的安全性和完整性低。在認證系統(tǒng)中，惡意軟件的攻擊可以通過Kerberos協(xié)議和一些用戶口令記錄的軟件來圖換掉Kerberos軟件，這樣就會攻擊成功[7]。

2 基于非對稱加密的Kerberos協(xié)議

Kerberos認證協(xié)議是將用戶和云服務(wù)器進行連接的紐帶，可以將數(shù)據(jù)從客戶端傳輸給云服務(wù)器。本文主要針對Kerberos認證協(xié)議的不足之處，提出一種改進協(xié)議。首先是將RSA一次一密加密算法代替該協(xié)議中的對稱加密算法，之后與可信第三方平臺相結(jié)合，進行數(shù)據(jù)和密鑰的管理。具體的方案實施過程為：

3 RSA一次一密加密算法的Kerberos協(xié)議分析

基于RSA一次一密加密技術(shù)的Kerberos認證協(xié)議的數(shù)據(jù)傳輸安全性方案，是針對Kerberos認證協(xié)議過程中的不足之處進行改進，將RSA一次一密加密算法代替DES應(yīng)用到Kerberos認證協(xié)議中，然后將該認證協(xié)議置于客戶端和云服務(wù)器傳輸?shù)倪^程中，將兩者進行安全地鏈接，提高了數(shù)據(jù)在傳輸過程中的安全性。

4 結(jié)束語

本文針對數(shù)據(jù)傳輸過程中所面臨的安全性問題，提出了一種基RSA一次一密加密技術(shù)的Kerberos認證協(xié)議的數(shù)據(jù)傳輸安全性方案，通過Kerberos認證協(xié)議和非對稱加密技術(shù)形成一種安全的數(shù)據(jù)傳輸通道。Kerberos認證協(xié)議能夠通過使用密鑰交換的機密消息為客戶端和服務(wù)器提供認證服務(wù)，同時可以做到防止攻擊和竊聽，更好地提高了數(shù)據(jù)的安全性，解決了數(shù)據(jù)在傳輸過程中面臨的安全性問題。

參考文獻：

[1] 劉煥平，楊義先. 廣義（k，n）-門限方案[J]. 通信學(xué)報，1998（8）：73-78.

[2] Neuman B C， Ts'O T. Kerberos： an authentication service for computer networks[J]. IEEE Communications Magazine，2002，32（9）：33-38.

[3] 劉克龍，卿斯?jié)h，蒙楊. 一種利用公鑰體制改進Kerberos協(xié)議的方法[J].軟件學(xué)報，2001， 12（6）：872-877.

[4] 文鐵華，谷士文. 增強Kerberos協(xié)議安全性的改進方案[J]. 通信學(xué)報，2004，25（6）：76-79.

[5] Yang Kan， Jia Xiaohua. An efficient and secure dynamic auditing protocol for data storage in cloud computing[J]. IEEE Transaction on Parallel and Distributed Systems，2013，24（9）：1717-1726.

[6] 董秋香，關(guān)志，陳忠.加密數(shù)據(jù)上的計算密碼學(xué)技術(shù)研究綜述[J].計算機應(yīng)用研究，2016，33（9）：2561-2572.

[7] Mutua S， Gu C， Yang H. Visibility graphlet approach to chaotic time series[J]. Chaos，2016， 26（5）：441-449.

【通聯(lián)編輯：唐一東】