基于區塊鏈技術的多密級數據安全存儲系統設計

李 煒, 黃 倩

(1. 武漢大學人民醫院 信息中心, 湖北 武漢 430060; 2. 武昌職業學院 組織部, 湖北 武漢 430060)

多密級數據存儲安全是一個國家信息系統建設過程中極其重要的核心環節,前些年由國家四部委聯合制定和頒發的《信息安全等級保護管理》中對信息系統多密級數據安全保護等級做出了明確定義和準確描述,確定了多密級數據安全是信息系統安全等級保護關注的重點對象[1].

當今社會, 隨著計算機技術和互聯網技術不斷深入人們的生活和工作, 人們對數據的安全保密性能關注度越來越高,通常對數據安全關注的重點主要集中在網絡周邊防護設備設施以及密碼設備設施上, 例如互聯網防火墻、網絡入侵監測系統、數據傳輸加密系統等.對個人計算機以及各種移動存儲設備的行政管理基本依靠業務流程. 但隨著存儲技術以及辦公自動化管理技術在國家機關、企事業單位等信息管理部門的應用普及, 人們對多存儲介質(包括U盤、移動硬盤、SD卡等)的存儲容量要求越來越高,雖然防火墻設備、網絡入侵檢測裝置、病毒防護隔離系統等網絡安全設備對于阻止來自網絡外部的攻擊有著不可替代的作用,但如果網絡內部的移動存儲介質存在安全隱患,造成的損失將不可限量[2-3]. 據國家公安部統計資料顯示, 有超過70%的泄密犯罪來自于存儲系統內部,在信息系統中, 一旦移動存儲介質發生失效, 所有機密信息和重要數據都可能會被盜取、篡改、復制,會給國家、企業和個人的經濟、名譽帶來極大損失. 所以,有必要開發和設計一種多密級數據安全存儲系統代替傳統的移動存儲介質.

針對文獻[4]提出并設計的基于Hadoop技術的多密級數據安全存儲系統和文獻[5]提出并設計的基于混合壓縮編碼的多密級數據安全存儲系統存在存儲耗時較長、擁塞率較高、破譯率較高的缺點,提出并設計了基于區塊鏈技術的多密級數據安全存儲系統.

1 基于區塊鏈技術的多密級數據安全存儲系統設計

1.1 多密級數據安全存儲系統設計

設計多密級數據安全存儲系統的思路是實現多密級數據分離存儲,即本地存儲的只是一個實際多密級數據文件的信息文件,真實的多密級數據被劃分為若干塊后被分別存儲在網絡上的幾個文件存儲服務器上[6].多密級數據文件具體存儲位置對于系統用戶是透明的,通常以一個索引文件形式呈現給用戶,用戶可以對該索引文件進行重命名和編輯等,這個索引文件被保存在本地計算機上.

上述設計思路能夠實現多密級數據文件信息與真實多密級數據的分離存儲,這種分離存儲方式即便是合法用戶也無法接觸到系統中存儲的真實多密級數據,解決了系統內部管理人員泄密問題;同時,多密級數據文件信息存儲在本地計算機上,方便了用戶的查詢、存儲,實現了多用戶的透明化操作[7].

采用C/S模式設計多密級數據安全存儲系統,其中系統服務器包括2種類型,分別是系統中轉控制服務器和系統存儲服務器,具體系統架構如圖1所示.

1.2 系統各功能模塊設計與實現

(1) 系統客戶端.系統客戶端主要由內核態的文件系統過濾驅動和用戶態的應用層控制程序2部分組成,二者之間通過前者提供的接口進行通信連接[8].系統客戶端負責實時監控和捕獲本地計算機操作,對獲得的數據進行多重加密和分塊處理后,根據系統中轉控制服務器提供的多密級數據存儲服務器信息,直接將多密級數據傳送給幾個不同的存儲服務器.

(2) 系統中轉控制服務器設計.設計系統中轉控制服務器的目的是向系統用戶提供元數據處理服務,主要負責對系統客戶機進行身份認證和訪問控制,對系統客戶端的多密級數據文件訪問申請分配具體的存儲服務器;根據系統客戶端訪問申請為存儲服務器分配多密級數據的具體存儲任務.

(3) 系統存儲服務器設計.設計系統存儲服務器的根本目的是對系統客戶端多密級數據的實際存儲和讀取服務.根據系統中轉控制服務器的多密級數據存儲任務分配,提供多密級數據文件邏輯塊的物理存放[9].執行多密級數據文件操作時,系統存儲服務器能夠直接與系統客戶機通信,用于存儲真實多密級數據.

系統設計的最終目標是實現多密級數據的安全存儲,多密級數據的安全性能主要包括:完整性、機密性、身份認證機制、訪問控制策略等.以下對設計系統的安全性做具體分析.

① 多密級數據的完整性與機密性,多密級數據安全存儲系統具有完整性和機密性,能夠有效保護多密級數據文件不泄露給非系統授權用戶,在計算機通信過程中,可以將機密性劃分為兩類:一類是能夠防止系統攻擊者從某個多密級數據文件中找到敏感信息;另一類是能夠有效避免系統攻擊者通過觀察系統業務流獲取敏感信息.對于文件數據,該系統能夠向用戶提供網絡連接機密性以及無網絡連接機密性服務.文件數據在系統存儲服務器上進行多級加密存儲,網絡傳輸的也是執行多級加密后的文件數據,系統只提供文件數據機密性服務,不負責對文件名加密.實現安全存儲過程中,在系統通信網絡上傳輸多級加密后的文件數據塊,在系統客戶機上實現文件數據的透明化多級加密操作和解密操作.

② 系統用戶身份認證機制以及訪問控制策略.系統用戶身份認證服務提供了某個主體身份的保證,能夠有效抵御冒用用戶身份的攻擊威脅.身份認證機制主要包括實體認證和數據起源認證兩部分,在信息系統中通常以實體認證為主.訪問控制策略的選取能夠對系統用戶的訪問權限進行適當調整,避免系統用戶隨意刪除、篡改或復制機密數據,解決了系統內部管理人員泄密問題[10].

根據上述分析可知,在多密級數據安全存儲系統設計過程中,對系統用戶身份認證和訪問控制可以通過系統服務器上的一個密鑰文件sfs來實現,該文件采用系統服務器公鑰進行加密,確保只有系統服務器才能對其進行訪問,它主要包括多密級數據文件的密鑰和系統用戶訪問控制信息(即用戶名稱和訪問權限).系統將用戶訪問權限劃分為只讀和讀寫兩級.當系統客戶機公鑰成功解密申請多密級數據包后得到用戶詳細信息,根據系統客戶機信息在密鑰文件sfs中搜索相應項目,檢驗系統用戶身份是否合法并向系統客戶機及時反饋.

1.3 多密級數據安全存儲機制

糾刪碼是指將待存儲的數據或文件劃分為k個大小相同的數據片,并通過編碼方式將各個數據片進行編碼,編碼為n個數據分片,在編碼后的各個數據分片中,任意選取r個數據分片即可將原始多密級數據文件恢復,其中,n≥r≥k>1.

假設F和Y分別表示原始多密級數據文件和分塊編碼處理后的多密級數據文件;G表示(n,k)線性糾刪碼的k×n矩陣,采用數學模型描述(n,k)線性糾刪碼,

根據上述計算可知,從矩陣G中任意選取k列多密級數據子矩陣G′均可逆,采用接收到的k個多密級分片數據均可實現原始多密級數據文件重構,重構公式如下:

F=Y′·(G′)-1.

(4)

其中,Y′表示Y的任意k個多密級數據分量.

依據上述糾刪碼應用原理設計了系統多密級數據安全存儲機制.具體設計思路為:將給定的原始多密級數據文件F按照系統用戶要求劃分為k個數據片,將分片后的多密級數據編碼成n個數據分片,對編碼處理后的分片數據做多級加密生成n個多密級數據片,并將這些多密級數據片分配給系統n個不同存儲節點上,當系統用戶選擇多密級數據恢復選項時,系統只需要從n個多密級數據片中任意選取r個,對其進行解密后,再利用式(4)的逆運算即可將原始多密級數據文件F恢復.

1.4 多密級數據安全存儲和共享網絡體系構建

利用上述數據安全存儲機制實現多密級數據安全存儲和數據共享過程中,存在系統用戶訪問受限、身份標識不唯一、容易被盜取和篡改、嚴重影響多密級數據安全存儲和共享效率的缺點.如圖1所示利用區塊鏈技術具有去中心化、自主對等以及難以變更等技術特點構建了多密級數據安全存儲共享網絡體系,該網絡體系以現有的互聯網架構為依托,利用區塊鏈技術將多密級數據進行分離存儲,網絡體系主要包括以下內容.

(1) 去集中化多密級數據統一命名.根據企業信息系統數據規范和統一數據標識符,建立多密級數據共享模型,利用開放式數據索引命名技術為網絡環境下共享多密級數據內容索引提供一個可靠的開放性系統,保證了多密級數據提供者與訪問用戶之間通信傳輸的機密性、完整性和可用性.

(2) 系統授權多密級數據高效存儲.選取區塊鏈技術作為多密級數據承載基礎,當多密級數據接入時,將其作為一種資產標識,對其進行訪問授權實現系統用戶訪問控制權限管理,同時結合系統業務特征以及訪問用戶需求,在去中心化共享網絡體系邊緣對多密級數據進行安全存儲.

(3) 設計多密級數據分發協議.基于區塊鏈技術的多密級數據安全存儲系統本質上就是為了構建一種P2P的數據對等共享網絡,方便數據擁有者提供數據,數據需求者查詢、下載數據,多密級數據安全傳輸機制需要采用自主對等的高效數據分發協議作為支撐.

多密級數據安全存儲和共享網絡體系可用圖2進行表示.這一體系的構建使得多密級數據安全存儲系統各個功能模塊之間的交流通信更加方便、快捷.

圖2 多密級數據安全存儲和共享網絡體系

2 系統性能實驗結果與分析

實驗在配置為AMD Sempron(tm)processor 2 800+1.60 GHz,運行內存為4 GB,硬盤容量為250 GB,操作系統為Windows7的PC機上進行.選取文獻[4]系統、文獻[5]系統作為性能對比測試對象.圖3～圖5給出了文獻[4]系統、文獻[5]系統和設計的基于區塊鏈技術的多密級數據安全存儲系統對文檔型多密級數據、圖片型多密級數據以及視頻型多密級數據的存儲耗時情況.

圖3 文檔型多密級數據存儲耗時對比

圖4 圖片型多密級數據存儲耗時對比

圖5 視頻型多密級數據存儲耗時對比

從圖3～圖5可以明顯看出,采用3種不同存儲系統存儲文檔型多密級數據時,存儲耗時相差不大;存儲圖片型多密級數據時,設計系統的存儲耗時開始表現出優越性,當存儲對象變為視頻型多密級數據時,設計系統的優越性更加突出,存儲耗時雖然也隨著視頻型多密級數據數量的逐漸增大有所增加,但增幅不大,當視頻型多密級數據數量達到500個時文獻[4]系統和文獻[5]系統的存儲耗時分別為182和198 ms,而此時設計系統的存儲耗時僅為149 ms,這是由于設計系統選取區塊鏈技術作為多密級數據承載基礎,采用自主對等的高效數據分發協議作為傳輸機制,方便了存儲系統各功能模塊之間的交流通信,有效減小了存儲耗時.

如圖6所示對比了3種不同存儲系統存儲不同類型多密級數據時占用內存情況.

圖6 文檔型多密級數據存儲CPU占用比例對比

圖7 圖片型多密級數據存CPU占用比例對比

圖8 視頻型多密級數據存儲CPU占用比例對比

觀察圖6～圖8可以發現,無論是存儲文檔型多密級數據、圖片型多密級數據,還是視頻型多密級數據,設計系統的CPU占用比例都是最低的.為了進一步證明設計系統性能的有效性與優越性,選取擁塞率和破譯率作為評價指標用于度量3種不同系統在執行不同類型多密級數據存儲任務時的系統擁塞狀況和系統抗攻擊性能.

圖9 三種不同系統的擁塞狀況對比

圖10 三種不同系統的破譯率對比

根據圖9和圖10的對比測試結果可以看出,相比于文獻[4]系統和文獻[5]系統,設計系統的擁塞率最低,不超過20%,破譯率則控制在30%以內,這是由于設計系統能夠實現多密級數據文件信息與真實多密級數據的分離存儲,這種分離存儲方式即便是合法用戶也無法接觸到系統中存儲的真實多密級數據,解決了系統內部管理人員泄密問題,同時設計系統采用糾刪碼存儲機制,利用開放式數據索引命名技術為網絡環境下共享多密級數據內容索引提供一個可靠的開放性系統,保證了多密級數據提供者與訪問用戶之間通信傳輸的機密性和完整性,降低了破譯率同時減小了系統擁塞.

3 結 語

多密級數據存儲安全是一個國家信息系統建設過程中極其重要的核心環節,為了防止信息系統內部人員泄密以及移動存儲介質發生失效等問題給信息系統帶來的安全隱患,提出并設計基于區塊鏈技術的多密級數據安全存儲系統,通過系統性能對比測試結果證明了設計系統的有效性與優越性,能夠實現多密級數據安全、快速存儲,卻具有較好的抗攻擊性能.