公共云中的受信任的數(shù)據(jù)處理的制作方法
【專利說明】公共云中的受信任的數(shù)據(jù)處理
[0001] 領(lǐng)域
[0002] 本發(fā)明涉及數(shù)據(jù)處理，更具體而言，涉及公共云中的受信任的數(shù)據(jù)處理。
【背景技術(shù)】
[0003] 降低成本以及提高效率是將公共云用于數(shù)據(jù)存儲以及處理的主要動機。然而，存 儲在云中的數(shù)據(jù)可能容易受到云的其他客戶機以及云提供商本身的攻擊。具體而言，數(shù)據(jù) 安全性，由于內(nèi)部人員對基礎(chǔ)設(shè)施的訪問所造成的未經(jīng)授權(quán)的數(shù)據(jù)泄露，以及共享的多承 租人環(huán)境，所有的這些，都會造成這樣的弱點。并非資源的物理分離，為提供安全性，對邏輯 分離有較大的依賴。
[0004] 加密是用于實現(xiàn)客戶機數(shù)據(jù)與其他客戶機的邏輯分離的一種技術(shù)。然而，由于需 要保護主（根）密鑰以及備份，災(zāi)難以及恢復(fù)，密鑰管理難以實現(xiàn)。進一步，對于許多系統(tǒng)， 例如，規(guī)章制度，可能要求用于實現(xiàn)可靠的審核的機制。失去對數(shù)據(jù)的控制可能會實現(xiàn)這樣 的順從性復(fù)雜化。
[0005] 附圖簡述
[0006] 隨著以下詳細描述繼續(xù)，并且經(jīng)過參考附圖，所要求保護的主題的多個實施例的 特征和優(yōu)點將變得明顯，在附圖中相似標(biāo)號描繪相似部件，并且其中：
[0007]圖1示出了根據(jù)本發(fā)明的各實施例的包括云服務(wù)和客戶機系統(tǒng)的系統(tǒng)；
[0008] 圖2示出了根據(jù)本發(fā)明的各實施例的示例根密鑰管理（RKM)服務(wù)器；
[0009] 圖3示出了根據(jù)本發(fā)明的各實施例的示例云服務(wù)器；
[0010] 圖4示出了根據(jù)本發(fā)明的各實施例的消費者網(wǎng)關(guān)服務(wù)器示例性操作的流程圖；以 及
[0011]圖5示出了根據(jù)本發(fā)明的各實施例的與密鑰服務(wù)器模塊相關(guān)的示例性操作的流 程圖；以及
[0012] 圖6示出了根據(jù)本發(fā)明的各實施例的用于在云中進行數(shù)據(jù)處理的示例性操作的 流程圖；以及
[0013] 圖7示出了根據(jù)本發(fā)明的一個實施例的ApacheHadoop數(shù)據(jù)處理示例。
[0014] 雖然下列"詳細描述"將參考說明性實施例來進行，但是，許多替代方案、修改以及 其變體將對所屬領(lǐng)域的技術(shù)人員顯而易見。
【具體實施方式】
[0015] 一般而言，本發(fā)明描述了被配置成促進公共云中的安全數(shù)據(jù)處理的系統(tǒng)和方法。 如此處所使用的，"云"是指多個互連的云服務(wù)器以及云存儲設(shè)備，它們可以由多個客戶機 共享，它們被配置成向多個客戶機（云消費者）提供數(shù)據(jù)存儲和處理功能。系統(tǒng)和方法被 配置成在上傳到云之前加密數(shù)據(jù)，只在受信任的和/或安全環(huán)境中解密并處理數(shù)據(jù)，在從 受信任的環(huán)境中傳輸結(jié)果之前加密處理的結(jié)果。系統(tǒng)和方法進一步被配置成通過被配置成 向云提供密鑰服務(wù)器模塊的客戶機系統(tǒng)，來保持密鑰管理功能。密鑰服務(wù)器模塊被配置成 在受信任的環(huán)境中執(zhí)行，以證實客戶機系統(tǒng)，并通過為此目的建立的安全信道，向數(shù)據(jù)處理 模塊提供密碼密鑰。數(shù)據(jù)處理模塊被配置成在建立安全信道之前證實密鑰服務(wù)器?？梢杂?客戶機系統(tǒng)中所包括的根密鑰管理（RKM)服務(wù)器向密鑰服務(wù)器模塊提供密碼密鑰?？蛻魴C 系統(tǒng)還可以包括被配置成在客戶機系統(tǒng)、其他網(wǎng)絡(luò)和/或云之間提供網(wǎng)絡(luò)接口的網(wǎng)關(guān)服務(wù) 器，如此處所描述的。RKM服務(wù)器被配置成在本地安全存儲器中維護根密鑰，并通過網(wǎng)關(guān)服 務(wù)器和安全信道，向密鑰服務(wù)器模塊提供密碼密鑰。在某些實施例中，RKM服務(wù)器可以被包 括在網(wǎng)關(guān)服務(wù)器中。在某些實施例中，RKM服務(wù)器可以與網(wǎng)關(guān)服務(wù)器分開并耦合到網(wǎng)關(guān)服 務(wù)器。然后，密鑰服務(wù)器模塊可以將密封了其身份的密碼密鑰存儲在安全存儲器中。如此， 可以阻止由云服務(wù)的其他用戶和/或云服務(wù)提供商本身對客戶機數(shù)據(jù)的訪問。如此，可以 由客戶機系統(tǒng)中所包括的根密鑰管理服務(wù)器保持密鑰管理功能，從而促進對數(shù)據(jù)和密鑰的 控制以及審核。
[0016] 圖1示出了根據(jù)本發(fā)明的各實施例的系統(tǒng)100,該系統(tǒng)100包括云服務(wù)102,該云 服務(wù)102可包括一個或多個服務(wù)器存儲系統(tǒng)108a，...，108n以及一個或多個客戶機系統(tǒng) 104a，. ..，104m?？蛻魴C系統(tǒng)104a可包括網(wǎng)關(guān)服務(wù)器110、根密鑰管理（"RKM"）服務(wù)器111、 客戶機數(shù)據(jù)存儲器113 (例如，網(wǎng)絡(luò)附連存儲）以及一個或多個計算設(shè)備112a，...，112n。 服務(wù)器存儲系統(tǒng)108a可包括一個或多個云服務(wù)器120a，...，120m，以及一個或多個云存儲 設(shè)備112a，. . .，112n。服務(wù)器存儲系統(tǒng)108a，. . .，108n、客戶機系統(tǒng)104a，. . .，104m，網(wǎng)關(guān) 服務(wù)器110、計算設(shè)備112a，...，112n，云服務(wù)器120a，...，120m和云存儲設(shè)備112a，...， 112n可以通過多個網(wǎng)絡(luò)106a，. . .，106n耦合。
[0017] 計算設(shè)備112a，...，112n可包括，但不限于，臺式計算機、膝上型計算機、平板 電腦（例如，iPacl?、GalaxyTa.b?等等）、超便攜計算機、超移動計算機、上網(wǎng)本計算 機、亞筆記本計算機、移動電話、智能電話（例如，』Phones?、基于Android?、的電話、 Blackberries?、基于Symbiam?的電話、基于paim〇f$的電話等等），功能電話、個人數(shù)字助 理、企業(yè)數(shù)字助理、移動因特網(wǎng)設(shè)備、個人導(dǎo)航設(shè)備等等。計算設(shè)備112a，...，112n可以被 配置成將數(shù)據(jù)從，例如，客戶機數(shù)據(jù)存儲器113上傳到服務(wù)器存儲系統(tǒng)108a，用于存儲在一 個或多個云存儲設(shè)備112a，. . .，112n中，然后，可由一個或多個云服務(wù)器120a，...，120m處 理，如此處所描述的。RKM服務(wù)器111被配置成在上傳之前管理數(shù)據(jù)加密，并執(zhí)行與密鑰管 理相關(guān)聯(lián)的操作，如此處所描述的。
[0018] 網(wǎng)關(guān)服務(wù)器110被配置成管理客戶機系統(tǒng)104a和云服務(wù)102、網(wǎng)絡(luò)106a和/或 其他客戶機系統(tǒng)l〇4b，...，104m之間的通信。網(wǎng)關(guān)服務(wù)器110被配置成為RKM服務(wù)器111 和/或計算設(shè)備112a，...，112m和云服務(wù)102提供代理服務(wù)器功能（即，被配置成充當(dāng)媒 介）。網(wǎng)關(guān)服務(wù)器110可包括處理器電路132、通信電路134和其中包括操作系統(tǒng)OS138、 一個或多個應(yīng)用140的存儲器電路136。處理器電路132可包括被配置成執(zhí)行與網(wǎng)關(guān)服務(wù) 器110相關(guān)聯(lián)的操作的一個或多個處理器。通信電路134被配置成使用一個或多個通信協(xié) 議，通過網(wǎng)絡(luò)106n，與計算設(shè)備112a，. . .，112n、RKM服務(wù)器111和/或客戶機數(shù)據(jù)存儲器 113,和/或通過網(wǎng)絡(luò)106a，與云服務(wù)102,以有線和/或以無線方式進行通信，如此處所描 述的。通信協(xié)議可以包括，但不限于，Wi-Fi、3G、4G、以太網(wǎng)和/或某種其他通信協(xié)議。
[0019] 例如，用戶可以通過計算設(shè)備112a請求對存儲在客戶機數(shù)據(jù)存儲器113中的數(shù)據(jù) 進行云處理。RKM服務(wù)器111被配置成提供密碼密鑰，用于對數(shù)據(jù)進行加密，然后，將經(jīng)加密 的數(shù)據(jù)上傳到云服務(wù)102。然后，網(wǎng)關(guān)服務(wù)器110可以被配置成將經(jīng)加密的數(shù)據(jù)上傳到云服 務(wù)102,用于存儲在，例如，云存儲設(shè)備122a，...，122n中的一個或多個中。被配置成執(zhí)行 如此處所描述的密鑰管理功能的密鑰服務(wù)器模塊，可以通過網(wǎng)關(guān)服務(wù)器110,從RKM服務(wù)器 111上傳到云服務(wù)102?？梢栽跀?shù)據(jù)之前，與數(shù)據(jù)一起，或在數(shù)據(jù)之后上傳密鑰服務(wù)器模塊。 密鑰服務(wù)器模塊可以在云中執(zhí)行作為服務(wù)?？梢酝ㄟ^被配置成對上傳的數(shù)據(jù)執(zhí)行數(shù)據(jù)處理 操作的網(wǎng)關(guān)服務(wù)器110,上傳一個或多個數(shù)據(jù)處理模塊，如此處所描述的。然后，可以通過網(wǎng) 關(guān)服務(wù)器110,從云服務(wù)102接收數(shù)據(jù)處理操作的結(jié)果，并被提供給發(fā)出請求的計算設(shè)備。
[0020] 圖2示出了根據(jù)本發(fā)明的各實施例的示例RKM服務(wù)器200。RKM服務(wù)器200對應(yīng) 于圖1的RKM服務(wù)器111。RKM服務(wù)器200可包括處理器電路202、通信電路204,以及其中 包括操作系統(tǒng)OS208、一個或多個應(yīng)用210、經(jīng)加密的數(shù)據(jù)212和/或未加密的數(shù)據(jù)214的 存儲器電路206。處理器電路202可包括被配置成執(zhí)行與RKM服務(wù)器200相關(guān)聯(lián)的操作的 一個或多個處理器。通信電路204被配置成使用一個或多個通信協(xié)議，通過網(wǎng)絡(luò)106n與計 算設(shè)備112a，...，112n，和/或通過網(wǎng)絡(luò)106a與云服務(wù)102,以有線和/或以無線方式進行 通信，如此處所描述的。通信協(xié)議可以包括，但不限于，1141、36、46、以太網(wǎng)和/或某種其 他通信協(xié)議。
[0021] RKM服務(wù)器200可包括受信任的執(zhí)行環(huán)境TEE220和安全存儲器電路230。受信 任的執(zhí)行環(huán)境220被配置成提供受信任的執(zhí)行和存儲環(huán)境，例如，可以符合可信平臺模塊 (TPM)協(xié)議，如此處所描述的。TEE220可以以各種形式存在或通過各種技術(shù)來提供，諸如 位于加利福尼亞州圣克拉拉市的英特爾公司所提供的受信任的執(zhí)行技術(shù)（"TXT")、可管理 性引擎（"ME"）、位于英國劍橋的ARMHoldings所提供的TrustZone安全系統(tǒng)、虛擬化技 術(shù)（"VT-x"），或微代碼實施的線程和存儲器訪問隔離。對存儲在安全存儲器電路230中 的數(shù)據(jù)的訪問可以通過，例如，密碼技術(shù)來限制。在某些實施例中，安全存儲器電路可以被 包括在TEE220中。
[0022] TEE220可包括安全處理模塊221、一個或多個密碼模塊222、密鑰生成器224、隨 機數(shù)生成器226和一個或多個根密鑰228。安全處理模塊221被配置成管理與云中的遠程 數(shù)據(jù)處理相關(guān)聯(lián)的操作。密鑰生成器224可以被配置成生成密碼密鑰，這些密碼密鑰由例 如數(shù)據(jù)處理模塊236在解密數(shù)據(jù)以及加密云中的結(jié)果時使用。根密鑰228可以被用于生成 一個或多個證書，例如，用于認證RKM服務(wù)器公鑰，如此處所描述的。在某些實施例中，密鑰 可以是非對稱的，且?guī)в邪ü€以及私鑰的密鑰對。在某些實施例中，密鑰可以是對稱的 秘密密鑰?？梢允褂靡阎艽a密鑰生成技術(shù)來生成密鑰。隨機數(shù)生成器226被配置成支持 密碼功能。例如，隨機數(shù)生成器226可以被配置成提供用于生成密碼密鑰的種子數(shù)，S卩，熵 的源。
[0023] 安全處理模塊221可以被配置成從存儲器電路206和/或從客戶機數(shù)據(jù)存儲器 113檢索數(shù)據(jù)。密碼模塊222可以被配置成對數(shù)據(jù)進行加密，安全處理模塊221可以被配置 成將經(jīng)加密的數(shù)據(jù)212存儲在存儲器電路206和/或客戶機數(shù)據(jù)存儲器113中。例如，可 以根據(jù)美國加密標(biāo)準（AES)，使用隨機地生成的對稱密鑰，對數(shù)據(jù)進行加密。根據(jù)本發(fā)明， 可以使用其他已知的密碼技術(shù)。網(wǎng)關(guān)服務(wù)器110可被配置成從例如云服務(wù)102接收經(jīng)加密 的處理過的數(shù)據(jù)，并將經(jīng)加密的數(shù)據(jù)存儲到客戶機數(shù)據(jù)存儲器113中。然后，安全處理模塊 221可以被配置成將經(jīng)加密的處理過的數(shù)據(jù)加載到存儲器電路206中，用于解密。然后，經(jīng) 解密的數(shù)據(jù)可以被存儲在客戶機數(shù)據(jù)存儲器113中，供計算設(shè)備112a，...，112n中的一個 或多個檢索。
[0024] 數(shù)據(jù)可以對應(yīng)于相對大的數(shù)據(jù)塊。如此，加密和/或解密可相對耗時。在某些實施 例中，密碼模塊222可以被配置成實現(xiàn)Intel?高級加密標(biāo)準，新指令（Intel?AES-NI)，例 如，被配置成加速加密與解密，改善密鑰生成和矩陣操縱，促進無進位（carry-less)乘法。 如此，使用Intel?AES-NI，可以相對更快地執(zhí)行加密和/或解密相對大的數(shù)據(jù)塊。
[0025] 安全存儲器電路230被配置成存儲密鑰服務(wù)器模塊232、密碼（加密/解密）密 鑰234,并可以被配置成存儲數(shù)據(jù)處理模塊236。在某些實施例中，數(shù)據(jù)處理模塊236可以 存儲在存儲器206中。密鑰服務(wù)器模塊232被配置成使用例如云服務(wù)102執(zhí)行與安全數(shù)據(jù) 處理相關(guān)聯(lián)的密鑰服務(wù)器和密鑰管理功能。密鑰服務(wù)器模塊232被配置成在云中的受信任 的執(zhí)行環(huán)境中執(zhí)行，如此處所描述的。作為云數(shù)據(jù)處理的一部分，密碼密鑰234可以被用來 加密和/或解密數(shù)據(jù)。密碼密鑰234可以由密碼模塊222生成，并在被上傳到云（通過安 全信道）之前存儲在安全存儲器電路230中。數(shù)據(jù)處理模塊236被配置成在受信任的執(zhí)行 環(huán)境中執(zhí)行，并在云中的受信任的執(zhí)行環(huán)境中處理數(shù)據(jù)。
[0026]例如，數(shù)據(jù)處理模塊236中的一個或多個可以被配置成執(zhí)行與Apache Hadoop，支 持數(shù)據(jù)密集的分布式應(yīng)用的開源軟件框架相關(guān)聯(lián)的映射和縮小功能，如此處所描述的。數(shù) 據(jù)處理模塊236中的一個或多個可以被配置成執(zhí)行其他數(shù)據(jù)處理活動。數(shù)據(jù)212包括經(jīng)加 密的數(shù)據(jù)，并可包括被上傳到云之前的經(jīng)加密的數(shù)據(jù)處理結(jié)果數(shù)據(jù)和/或經(jīng)加密的數(shù)據(jù)。
[0027] 密鑰服務(wù)器模塊232可以是經(jīng)過數(shù)字簽名的，并上傳到云服務(wù)102。在某些實施例 中，在上傳之前，可以將密鑰服務(wù)器模塊232及其他信息組合，并進行數(shù)字簽名。額外的信 息可以被配置成標(biāo)識密鑰服務(wù)器模塊232和/或可包括配置數(shù)據(jù)?？梢灶愃频睾灻⑸蟼?被配置成在云中處理數(shù)據(jù)的數(shù)據(jù)處理模塊236。如果在上傳之后并在執(zhí)行之前成功地認證 密鑰服務(wù)器模塊232,則可以從密碼密鑰存儲器234中檢索并上傳一個或多個密碼密鑰。然 后，可以將檢索到的密鑰用于對上傳的數(shù)據(jù)的操作中，如此處所描述的。在某些實施例中， 可以與數(shù)據(jù)處理模塊236和/或密碼密鑰234 -起上傳數(shù)據(jù)訪問策略。例