企业级数据安全解决方案｜动态加密与零信任防护技术

基于区块链的数据中台安全技术研究

数据中台是继数据仓库,数据湖,大数据平台之后发展形成的新一代数据基础设施,用于支撑大型组织内部或关联度较高的组织之间,大规模的多方业务协同,数据治理和共享利用.现有的数据中台架构及数据鉴权,数据溯源等技术难以解决其面临的业务模式弱信任和技术架构零信任两大关键安全问题.一方面,为了加快数字化转型各组织愿意共享数据并构建统一的数据服务,但组织对自己提供的数据是否被非法访问,对方提供的数据是否真实有效等问题存在担忧,这种业务模式弱信任使得数据中台难以充分发挥数据价值.另一方面,大规模多方数据汇聚并与业务深度耦合,使得数据中台中的数据一旦被窃取或篡改将产生灾难性后果,因此数据中台需要对所有分布式接口调用进行独立重复校验,这种技术零信任使得数据中台技术复杂度大幅上升.由于区块链能够通过共识机制构建多方信任关系,通过分布式账本使得链上数据无法被篡改,通过链上代码的逻辑结构使得行为和数据不可分离.因此,本文提出一种基于区块链的数据中台架构(Block Chain based Data Middle Office,BC-DMO),并进一步提出面向BC-DMO的主客体鉴权,数据交易溯源,异常行为检测以及数据隐私保护方法,构建面向数据中台的"1+4"安全解决方案,有效解决数据中台中业务模式弱信任和技术架构零信任问题.本文的主要工作及贡献如下:(1)提出了基于多维标签双重管控和基于智能合约的BC-DMO主客体鉴权方法.首先,针对主客体动态变化导致身份鉴别困难的安全问题,提出了一种双重管控模型.该模型基于多维标签进行主客体鉴权实时判别,实现对客体访问流转的第一重管控;同时采用机器学习方法,结合领域知识训练标签自动标识器,对客体进行自动标签标识,并将主体标识标签和机器自动标识的标签进行对比,实现对客体访问和流转的第二重管控.其次,针对数据客体在分布式环境下流动和复制导致访问控制难的问题,提出一种智能合约和Hash链的生成算法.通过生成的智能合约和Hash链,限制主体在特定时间范围内访问客体的总次数,从而实现在分布式环境下对客体访问权限进行管控.实验结果表明,主客体鉴权实时判别的吞吐量能够达到2000条/秒,自动标签标识算法的召回率和准确率分别为89.3%和93.75%,对客体访问时间和访问次数的管控有效.(2)提出了基于过程挖掘的BC-DMO数据交易溯源方法.该方法包含三个步骤,首先针对区块链数据交易日志无法执行过程挖掘算法的问题,提出一种区块链交易日志内容抽取框架,通过元素抽取,内容验证和日志生成,将区块链交易日志转化为可进行过程挖掘的事件日志,以支撑BC-DOM环境下的数据交易溯源.其次针对当前传统过程挖掘算法难以处理BC-DMO中海量日志数据问题,提出一种基于GPU的并行遗传过程挖掘算法,设计一种因果矩阵染色体编码,通过内容,标识,位置三个数组,有效解决GPU上因果矩阵的遗传表示问题.最后针对遗传过程挖掘算法在进化过程中常常陷入局部最优,难以较好重现BC-DMO中的数据交易过程的问题,提出了一种基于随机搜索的过程挖掘算法PSOMiner,结合过程模型完整度,精确度和简洁度设计了新的适应度函数,基于因果矩阵采用进化计算方法设计了过程模型迭代搜索算子,当过程模型搜索进化陷入早熟时利用指向局部变异策略跳出局部最优.实验结果表明,本方法实现了基于区块链数据交易日志的过程挖掘,相比基于CPU的遗传过程挖掘算法求解精度和收敛速度方面都具有明显优势,并且在两个实验事件日志上分别取得36.4和47.2的加速比;与现有三种经典过程挖掘算法相比,也具有更强的搜索能力和较快的收敛速度.(3)提出了基于时间序列分类的BC-DMO异常行为检测方法.针对BC-DMO汇聚大规模多方数据极易成为网络攻击目标的问题,提出了一种基于时间序列分类的异常行为检测算法,采用shapelet技术,通过随机采样和效用评价选择具有较强分类能力又有差异性的shapelet特征,构建随机shapelet森林分类器,实现对BC-DMO数据访问中的异常行为进行检测.在UNIT和KDD CUP 99数据集上对RSFID算法进行了验证,结果证明了RSFID算法的有效性.(4)提出了基于零知识证明的BC-DMO数据隐私保护方法.为了更好地解决BC-DMO中完成交易时所存在的隐私问题,在Paillier加密算法的基础上,提出了一种既能够对交易数据加密,又能够支持零知识证明的区块链隐私保护算法Paillier++.首先在应用端生成交易后的密文和零知识证明过程中所需要的证据,然后在智能合约端利用证据对交易结果进行合法性校验.实验结果表明,使用64 bit的数据对其进行测试,Paillier++算法不仅可以保护用户在区块链中完成交易时的隐私,而且仍然将密钥生成和加解密时间控制在毫秒级.

基于代理重加密的消息队列遥测传输协议端到端安全解决方案

针对消息队列遥测传输(MQTT)协议缺乏保护物联网(IoT)设备间通信信息的内置安全机制,以及MQTT代理在新的零信任安全理念下的可信性受到质疑的问题,提出了一种基于代理重加密实现MQTT通信中发布者与订阅者间端到端数据安全传输的解决方案.首先,使用高级加密标准(AES)对传输数据进行对称加密,以确保数据在整个传输过程中的机密性;然后,采用将MQTT代理定义为半诚实参与方的代理重加密算法来加密传输AES对称加密使用的会话密钥,从而消除对MQTT代理的隐式信任;其次,将重加密密钥生成的计算工作从客户端转移到可信第三方,使得所提方案适用于资源受限的IoT设备;最后,使用Schnorr签名算法对消息进行数字签名,以提供数据来源的真实性,完整性和不可否认性.与现有MQTT安全方案相比,所提方案用和不提供端到端安全性的轻量级方案相当的计算和通信开销获取了MQTT通信的端到端安全特性.

新媒体系统的零信任安全方案

随着新媒体技术在信息通信和广播电视中扮演越来越重要的角色,保护这些新媒体系统免受网络威胁变得至关重要.为此,重点探讨如何在新媒体系统中应用零信任(Zero Trust)模型来提高网络安全.零信任模型的核心原则是"永不信任,始终验证".这一原则在新媒体环境中的实施涉及身份验证,数据加密,网络规划和持续监控等多个方面,新旧网络系统的联合使用和网络模型的技术更新给零信任安全的建设带来了挑战.首先介绍零信任模型的基本原理,其次讨论系统实施零信任模型过程中面临的问题,最后提出相应的解决方案.