基于可信平台的数据泄漏防护关键技术研究

论文摘要

信息资源高度的数字化和网络化,进一步加剧了数据窃取、泄密和破坏等危害事件的发生,给企业和个人也造成了越来越严重的损失。为解决数据泄漏问题,信息安全业内从不同的技术角度出发,提出了基于访问控制类、数据加密类、内容监控和过滤类、虚拟化类以及多种技术相结合的混合类数据泄漏防护解决方案,但数据安全事件仍然屡禁不止,甚至愈演愈烈。究其原因,现有的终端平台采用开放的体系架构,无法从根本上避免和杜绝一切可能的安全威胁,并且现有的安全解决方案存在缺乏良好的平台可信及安全验证机制,缺乏高性能、高可靠性的可信网络域建立机制,缺乏满足可信性、自适应性和兼容异构性的安全策略管理机制,缺乏轻量级的密钥管理中心等问题。可信计算技术为解决上述问题提供了一种新的思路。可信计算的思想是要从终端、从平台根源解决现有的安全问题,通过基于硬件级的密钥管理中心、可信认证、可信度量、可信存储和可信网络连接等技术,为安全应用终端平台和可信网络域的建立提供了技术基础。但目前为止,可信计算技术在应用支持方面仍存在诸多值得深入研究的问题,本文所探讨的基于可信平台的数据泄漏防护就是其中的一个主要研究内容。本文基于可信计算的思想和技术,对数据泄漏防护领域仍未解决的几个关键问题进行了分析,重点研究了如何解决终端平台的安全启动、终端数据的安全保护、终端平台的密钥管理以及内部可信网络域安全策略的管理等关键问题,并分别提出了相应的解决方案。本文的主要研究工作及贡献如下(1)针对终端平台开放性体系架构存在的诸多安全缺陷以及可信、平台中基于标准度量参考值的启动方案存在的不足,提出了一种基于TPM封装机制的安全启动方案。该方案通过TPM提供的封装/解封装机制,自动验证平台状态的可信性来判决组件是否能继续执行,无需为各个启动组件生成标准度量参考值,也无需验证代理去验证组件的实时度量值。性能分析及比较表明,实施本方案无需通过额外措施来保证核心度量信任根的安全,且对可信平台系统只需要很小部分的变动,更加便捷、有效和安全。同时,在实现安全启动的基础上,提出了一种无重启模式下启动组件和操作系统核心组件的实时在线更新及再度量方案。最终,实现主机的安全启动及后安全启动阶段的实时更新及度量,保证主机核心部分的持续安全。(2)针对现有密文数据保护中采用的角色访问控制机制存在的越权和绕过等安全隐患,提出了一种新的扩展角色的密文数据访问控制模型。该模型通过划分独立的密钥控制域,将传统的角色扩展为由角色、角色控制域和密钥控制域构成的具有偏序集继承关系和安全约束性质的三元组,保证信息即使被窃取或泄漏,获取信息者不能掌握密钥也无法解密密文。同时,在此模型的基础上采用主密钥及数据的特征信息产生元素级的加解密密钥的方式,提出了一种元素级的细粒度数据保护方案。性能分析表明,该模型能减少角色数量、降低访问控制的复杂度、提高权限分配的合理性,具备继承关系和非继承关系的扩展角色间均能防止权限域的泄漏,能较好的实施元素级的数据保护,且此方案能防伪造、防篡改。(3)针对密文数据保护中TPM的分级密钥授权数据管理的复杂性缺陷,提出了采用派生方式的新的授权数据管理方案。在该方案中对TPM密钥树进行虚拟的等级划分,对同一密钥链上从上层到下层的密钥设定由低级到高级的密钥等级制,通过特殊的密钥授权值生成算法,实现在同一条密钥链上,拥有高等级密钥的授权值的用户可以通过授权值派生出低等级密钥的授权值,而只拥有低等级密钥授权值的用户不能反推出高等级密钥的授权值,即使多个拥有低等级密钥授权值的用户合谋也无法计算出高等级密钥的授权值。性能分析表明,每个授权用户只需要维护一个授权值,而且产生和派生授权数据仅需要进行模幂和Hash运算。(4)针对异构环境下同一虚拟组织内多异构策略共存引发的策略兼容、可信验证、安全分发及自适应管理等问题,提出了一个既能兼容策略间的异构性,又能满足策略可信分发和策略自适应性更新的策略管理模型。该模型通过TNC建立可信网络域,并对申请访问请求的域外主机进行身份验证；将可信计算技术融入到策略管理的整个生命周期中,通过策略映射机制实现异构策略的兼容性处理,通过改进TCP握手协议和COPS传输协议及ESP封装实现策略的可信分发,通过修改策略参数以及对象重载实现策略的自适应。通过原型系统测试表明,本模型集中了现有模型的优点,更加完善,并具备安全策略的可信处理,有利于可信域内安全管理的实施。综上所述,本文紧密围绕终端平台的安全启动、终端数据的安全保护、终端平台的密钥管理以及内部可信网络域安全策略的管理等关键问题展开研究,分别提出了相应的解决方案,为从根源上解决数据泄漏问题提供了一些新的途径。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 引言
• 1.2 研究现状
• 1.2.1 数据泄漏防护相关技术
• 1.2.2 国内外现有数据泄漏防护方案
• 1.3 数据泄漏防护面临的问题
• 1.4 可信计算技术及其新思路
• 1.5 论文的主要研究内容
• 1.6 论文的结构与安排
• 第二章 基于TPM的终端平台安全启动机制研究
• 2.1 引言
• 2.2 相关工作
• 2.2.1 安全启动技术
• 2.2.2 可信平台模块（TPM）
• 2.2.3 TSS体系结构
• 2.2.4 启动组件更新需求分析
• 2.3 基于标准值匹配的安全启动
• 2.4 基于封装技术的安全启动
• 2.4.1 封装与解封装
• 2.4.2 安全启动原理
• 2.4.3 安全启动过程
• 2.5 后安全启动阶段启动组件的实时度量
• 2.5.1 系统体系结构
• 2.5.2 IMAC组件的结构
• 2.5.3 IMAC自可信管理
• 2.6 性能及安全性分析
• 2.6.1 与现有方案的比较
• 2.6.2 安全启动性能比较
• 2.6.3 安全启动安全性分析
• 2.6.4 组件实时度量方案分析
• 2.7 总结
• 第三章 扩展角色的密文数据访问控制模型研究
• 3.1 引言
• 3.2 KRBAC访问控制模型
• 3.2.1 模型描述
• 3.2.2 用户分配和权限分配
• 3.3 KRBAC模型的性质及安全约束
• 3.3.1 扩展角色的性质
• 3.3.2 扩展角色的安全约束
• 3.4 基于KRBAC的元素级密钥生成算法
• 3.4.1 密钥结构
• 3.4.2 工作密钥生成算法
• 3.4.3 密钥更新
• 3.5 KRBAC模型及安全性分析
• 3.5.1 访问控制复杂度分析
• 3.5.2 权限域泄漏分析
• 3.5.3 元素级保护的可行性分析
• 3.5.4 安全性分析
• 3.6 总结
• 第四章 基于TPM的分级密钥授权数据管理机制研究
• 4.1 引言
• 4.2 密钥授权数据管理机制
• 4.2.1 授权数据管理方法
• 4.2.2 密钥访问授权认证协议
• 4.3 密钥授权管理机制存在的问题
• 4.4 密钥链虚拟等级划分
• 4.5 授权数据派生算法
• 4.5.1 授权数据派生算法构造
• 4.5.2 授权数据分发
• 4.5.3 授权数据推导
• 4.5.4 授权数据更新
• 4.6 派生机制分析
• 4.6.1 性能分析
• 4.6.2 安全性分析
• 4.7 总结
• 第五章 基于TNC的自适应安全策略管理模型研究
• 5.1 引言
• 5.2 相关工作
• 5.2.1 现有策略管理方案
• 5.2.2 可信网络连接TNC
• 5.3 THPMM模型
• 5.4 异构策略融合处理
• 5.4.1 Ponder策略语言
• 5.4.2 策略映射原理
• 5.4.3 策略映射方案
• 5.5 策略可信分发协议设计
• 5.5.1 策略可信处理
• 5.5.2 ESP封装
• 5.6 策略自适应处理
• 5.7 模型评估
• 5.7.1 原型系统
• 5.7.2 异构融合分析
• 5.7.3 可信性和自适应性分析
• 5.7.4 功能完善性比较
• 5.8 总结
• 第六章 总结与展望
• 6.1 论文工作总结
• 6.2 研究工作的展望
• 参考文献
• 攻读博士学位期间完成的论文和成果
• 致谢