云档案信息安全技术探析

《云档案信息安全技术探析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、云档案信息安全技术探析［摘要］建立云档案是高效组织、开发利用档案信息资源的冇效途径，而确保档案信息的安全是云档案健康发展的基础。文章从功能、特点详细分析了云档案常用的安全技术和最新的安全措施。［关键词］云计算；云档案；信息安全云档案就是依托互联网，运用云计算技术和理念，将分散的档案信息资源（包括档案信息、档案服务设施、设备、档案服务人员等）通过云服务平台组织起来，形成一个个档案信息资源服务“云”，并借助这些“云”平台超强的计算能力和低成本、高安全性等特性來提高档案信息资源共享效率的一种档案信息资源服务模式，［1］这是档案信息组织和管理模式的发展方向

2、。由于云档案的服务基于互联网，依赖互联网，而互联网是一个开放的系统，这样个人隐私、信息安全等问题也随之而来。因此，在云档案中如何确保档案信息的安全就成为云档案能否健康发展的基右。本文详细分析了云档案常用的安全技术，并介绍了云档案的其它最新安全措施。一、云档案常用的安全技术为了保护云档案信息的安全，可以通过提升云档案整体平台的安全性来确保档案信息的安全，以防止未授权的使用而导致数据被恶意更改、删除、泄露数据等安全性问题。常用的安全技术包括：（一）强制存取控制。强制存取控制是通过对每一个数据进行严格的分配不同的密级，允许不同类型的用户访问不同密级的信息

3、，它是保证云档案信息安全的重耍的一环。在强制存取控制中，云档案所管理的全部实体被分为主体和客体两大类。主体是系统中的活动实体，它不仅包括被管理的实际用户，也包括代表用户的各进程。客体是系统屮的被动实体，是受主体操纵的，包括各种数据信息。对于主体和客体,云档案管理系统为它们每个实例（值）指派一个敏感度标记。［2］主客体各口被赋予相应的安全级，主休的安全级反映主体的可信度，而客休的安全级反映客休所含信息的敏感程度。对于病毒和恶意软件的攻击可以通过强制存取控制策略进行防范。虽然强制存取控制并不能从根本上避免攻击的问题，但可以从较高安全性级别程序向较低安全

4、性级别程序进行信息传递。（二）基于PKI的访问控制。PKI（PublicKeyinfrastructure,公钥基础设施）是一个利用非对称密码算法（即公开密钥算法）原理和技术,遵循标准的公钥加密技术，实现并提供公钥加密和数字签名服务的系统或平台。PKI通过认证屮心，把用户的公钥和用户的其他标识信息捆绑在一起，动态地管理所有网络应用所需耍的密钥和证书，再通过密钥和证书对用户的信息交流和传递提供安全保障。目前，通用的办法是采用基于PKI结构结合数字证书，通过把要传输的数字信息进行加密，保证信息传输的保密性、完整性，通过签名保证身份的真实性和抗抵赖。建立

5、基于PKI的访问控制，可以保证云档案数字信息传输的机密性、真实性、完整性和不可否认性。（三）建立统一身份认证基础上的单点登录技术。统一身份认证是通过一个适合于所有应用系统的、唯一的认证服务系统來接过每个应用系统中单独的认证模块，各应用系统只需要遵循统一认证服务调用接口，即可实现用户身份的认证过程。首先为每一用户分配如下用户信息，包括：用户标识、定义服务时段、初始管理员及其口令、定义用户资源、分配用户内部安全策略空间及客户可定义安全策略最大数量。在用户登录云服务系统时，通过云服务提供商对该用户进行身份认证和越界访问的判断；在用户通过身份认证并且没有超

6、越访问权限的情况下，检查所述用户是否符合客户内部安全策略，若否，拒绝访问，若是，许可访问云资源。为了解决同一网络中多应用系统之间的复杂登录问题，可以建立在统一身份认证基础上的单点登录技术。同一用户只需要强制认证一次，就可以在不同的授权系统之间进行转换而不必重新登录，而系统的身份认证操作则在后台自动执行。（四）数据加密技术。数据加密是对云档案中存储和传输的数据进行加密，使之成为密文，只有被授权者才能对加密后的数据进行解密和使用,这是一种主动安全防范策略。数据加密后，即使攻击者截获了数据，也无法知道数据的内容，从而保证了档案信息资源的安全。数据加密技术

7、作为一种古老、而又重要和基本的防止信息泄露的技术，它可以从根本上满足信息完整性的要求，被认为是最可靠的安全保障形式。数据加密技术要求只有在指定的用户或网络下，才能解除密码而获得原来的数据，这就需要给数据发送方和接受方以•些特殊的密钥用于解密。［3］由于密钥的值是从人量的随机数中选取的，因此可以保证通过加密的云档案数据信息具有较高的安全性。（五）审计。审计将用户操作云档案的所有记录存储在审计口志（AuditLog）中，对用户操作活动进行记录与监控。对于开放的云档案来说，用户活动非常频繁，并不是所有的事件都对系统的安全构成威胁。审计的任务是收集并分析用

8、户与系统安全有关的事件，并根据事先确定的阈值，发现并尽量控制审计事件（事件结果达到或超过审计阈值），同时将审计信息记录下来