[论文解读] A Flow Sensitive Security Model for Cloud Computing Systems

Wen Zeng, Chunyan Mu+2 more|arXiv (Cornell University)|Apr 30, 2014

Cloud Data Security Solutions参考文献 2被引用 5

一句话总结

本文提出了一种用于联邦云计算系统的流敏感安全模型（FSSM），利用安全格和彩色佩特里网对信息流安全进行形式化验证。该模型能够在确保非干扰性和机密性的前提下，实现对跨分布式、自治云环境的数据流的追踪与控制，其核心基于安全策略的透明度分析。

ABSTRACT

The extent and importance of cloud computing is rapidly increasing due to the ever increasing demand for internet services and communications. Instead of building individual information technology infrastructure to host databases or software, a third party can host them in its large server clouds. Large organizations may wish to keep sensitive information on their more restricted servers rather than in the public cloud. This has led to the introduction of federated cloud computing (FCC) in which both public and private cloud computing resources are used.

研究动机与目标

• 为解决由于云的运营独立性和地理分布性，导致在联邦云系统中难以追踪和控制信息流的问题。
• 对跨越多个公有云和私有云的工作流的云环境中的安全策略进行形式化表达。
• 开发一种能够捕捉云组件之间动态并发任务执行与数据流的模型。
• 实现对分布式云工作流中非干扰性和机密性等安全属性的验证。
• 将透明度作为统一框架，用于分析服务导向型云系统中可能向观察者或攻击者暴露的信息。

提出的方法

• 引入安全格，根据安全级别对云系统中的单个云及组件进行分类。
• 提出一种流敏感安全模型（FSSM），用于捕捉反映云组件间信息流的状态转移。
• 使用彩色佩特里网（CPNs）表示FSSM，以建模和分析在安全策略下的系统行为。
• 应用透明度概念，评估观察者是否能基于系统观测判断秘密谓词的真值。
• 利用透明度统一分析多种安全属性，包括机密性和非干扰性，形成统一的正式分析框架。
• 通过分析敏感数据流的可追溯性和可观测性，支持对用户指定安全策略的验证。

实验结果

研究问题

• RQ1 如何在具有分布式、自治云的联邦云系统中，对信息流进行形式化建模与验证？
• RQ2 哪些机制能够实现在并发、多云工作流中对机密性和非干扰性的强制执行？
• RQ3 如何在异构云环境中统一表达和分析安全策略？
• RQ4 透明度在多大程度上可作为衡量云计算系统中信息暴露程度的统一框架？
• RQ5 不同的资源分配策略对联邦云中信息流的安全性和可追溯性有何影响？

主要发现

• 所提出的FSSM通过状态转移建模，实现了对联邦云系统中信息流安全的形式化验证。
• 安全格为按安全级别对云组件和云进行结构化分类提供了支持，有助于策略的强制执行。
• 彩色佩特里网有效建模了系统中任务和数据流的动态行为与并发性。
• 透明度分析揭示了敏感谓词（如秘密数据流）是否对观察者保持隐藏，从而量化了信息暴露程度。
• 该模型支持对标准策略（如Bell-Lapadula）和用户自定义策略的验证，提升了灵活性。
• 该方法支持分析资源分配策略对信息流安全的影响，有助于实现安全的系统设计。