CHƯƠNG 2 .N ỀN TẢNG AN TOÀN THÔNG TIN LƯỚI GSI
2.2. CƠ SỞ HẠT ẦNG AN TOÀN THÔNG TIN TRÊN LƯỚI
An toàn thông tin là một trong những nền tảng quan trọng nhất trong hệ
thống lưới. Cơ sở hạ tầng an toàn thông tin lưới (GSI) để giải quyết những vấn đề
an toàn thông tin còn tồn tại trong tính toán lưới, mà nền tảng chính là những kiến thức về mã mật đã nêu ra ở phần trên. Trong phần này trình bày một số đặc điểm của GSI và cài đặt ứng dụng của nó.
2.2.1. Cơ sở hạ tầng mật mã khóa công khai.
GSI được xây dựng dựa trên cơ sở hạ tầng mật mã khóa công khai (PKI). GSI bao gồm tập các thực thể (người dùng và tài nguyên), được phân biệt bởi tên duy nhất gọi là tên định danh. Chứng thực trong GSI nghĩa là cho mỗi thực thể
người dùng hoặc tài nguyên một tên định danh duy nhất.
Để mỗi thực thể có một định danh duy nhất, GSI đưa ra khái niệm giấy ủy nhiệm lưới, là sự kết hợp của chứng chỉ lưới với một khoá bí mật tương ứng.
Một điều quan trọng trong môi trường PKI của lưới, mỗi thực thể phải thực hiện sự trao quyền để bảo đảm sự toàn vẹn của hệ thống trong các giao dịch đa phương và đa tiến trình. Để bảo đảm khóa bí mật không bịđánh cắp, có thể sử dụng một số phương pháp:
- Lưu trữ khóa trong một file có quyền truy nhập hạn chế.
- Lưu trữ khóa trong hệ thống file mà khoá mã hoá chỉđược biết bởi người sở hữu nó. Ví dụ máy chủ MyProxy để quản lý các giấy uỷ nhiệm lưới.
- Lưu trữ khóa bí mật bằng các thiết bị phần cứng có mật khẩu. Giải pháp phần cứng cho ta tính an toàn cao, nhưng nó lại ít được sử dụng bởi thiếu sự phát triển của phần cứng.
- Sử dụng giấy ủy nhiệm trong một khoảng thời gian sống nhất định. Điều này đòi hỏi thường xuyên phải có cấp mới các giấy ủy nhiệm, bảo vệ khóa bí mật bằng cách hạn chế sự lộ diện của nó.
2.2.2. Bảo vệ thông tin mức thông điệp và mức giao vận.
GSI cho phép chúng ta thực hiện bảo vệ thông tin ở hai mức: mức giao vận và mức thông điệp.
An toàn thông tin mức giao vận cho phép toàn bộ truyền thông được mã hóa. An toàn thông tin mức thông điệp chỉ cho phép nội dung của thông điệp được mã hóa.
Hình 2- 8: An toàn thông tin mức giao vận
Hình 2- 9: An toàn thông tin mức thông điệp
Hai mức bảo mật giao vận và thông điệp có thểđảm bảo tính toàn vẹn, riêng tư và xác thực nhờ sử dụng các phương pháp mật mã. Tuy nhiên, không phải tất cả
truyền thông cần có cả ba đặc tính này. Nói chung, hội thoại an toàn phải đảm bảo tối thiểu khả năng chứng thực.
2.2.3. Giấy ủy nhiệm lưới.
Trong môi trường lưới, người dùng cần sử dụng nhiều tài nguyên. Mỗi lần yêu cầu cấp phép tài nguyên, người dùng cần phải chứng thực, và mỗi lần chứng thực người dùng cần nhập mật khẩu. Việc sử dụng nhiều lần mật khẩu trong chứng thực đa phương gây bất tiện cho người dùng, đồng thời khoá bí mật rất dễ bịđánh cắp. Một cách khác là sử dụng phần mềm để nhắc và lưu trữ mật khẩu người dùng một lần. Tuy nó rất thuận tiện cho người dùng, nó lại bất lợi trên quan điểm về an toàn thông tin, khi mà nó để lộ khóa bí mật trong một khoảng thời gian dài.
GSI giải quyết vấn đề này với khái niệm giấy ủy nhiệm. Mỗi giấy ủy nhiệm sẽ hoạt động thay mặt người dùng trong một khoảng thời gian ủy quyền ngắn hạn. Nói cách khác, việc sử dụng giấy ủy nhiệm ngắn hạn thay thế cho các chứng chỉ số
dài hạn khi chứng thực người dùng.
Giấy ủy nhiệm là sự kết hợp giữa chứng chỉ số dài hạn của người dùng với khóa bí mật riêng của nó. Giấy ủy nhiệm, theo một cách khác, là sự liên kết ngắn hạn giữa tên định danh của người dùng với một khóa bí mật khác. Chứng chỉ số
thường được lưu trữ sử dụng mã hóa trong hệ thống file địa phương, thường được bảo vệ bởi quyền truy cập file trong hệ thống, có thể được sử dụng nhiều lần mà không có sự bất tiện nào. Còn giấy ủy nhiệm dễ bị tổn thương, nó có thời gian sống ngắn hạn hơn nhiều so với các chứng chỉ số dài hạn của người dùng, thông thường là vài giờ.
2.2.4. Sự ủy quyền.
Đối với tính toán phức tạp và kéo dài liên quan tới nhiều tiến trình khác nhau, người dùng không phải lúc nào cũng có mặt để chứng thực cho mỗi tiến trình. GSI giải quyết vấn đề này bằng cách cho phép người dùng ủy quyền giấy ủy nhiệm của mình cho giao dịch các máy từ xa.
Sựủy quyền cũng tương tự như việc tạo ra các giấy ủy nhiệm, một tập chứng chỉ số dài hạn sẽđược dùng để tạo ra tập các giấy ủy nhiệm mới, có thời gian sống ngắn hơn. Sự khác nhau là việc tạo ra các giấy ủy nhiệm xảy ra trong các phiên kết nối đòi hỏi chứng thực GSI, khi các tiến trình từ xa đòi hỏi giấy ủy nhiệm của người dùng cho chứng thực. Một điều đáng chú ý nữa là sựủy quyền có thể là một chuỗi, một người có thểủy quyền cho một máy A, sau đó tiến trình sử dụng trên máy A có thểủy quyền cho máy B và cứ tiếp tục như vậy.
2.2.5. Chứng thực trong GSI.
GSI sử dụng grid-mapfile đểđưa ra danh sách điều khiển truy nhập dựa trên danh sách người dùng được định nghĩa. Việc chứng thực các định danh GSI sẽ
chuyển về chứng thực các định danh địa phương, cùng với việc đó, các chính sách
đưa ra cũng nằm trong phạm vi cục bộ như: quyền truy nhập file, dung lượng đĩa, tốc độ CPU.
Gần đây GSI áp dụng chuẩn SAML [6] để định nghĩa các định dạng xác nhận bảo mật và giao thức để lấy xác nhận. GSI sử dụng chứng thực SAML theo hai cách: Dịch vụ chứng thực cộng đồng CAS hoặc dịch vụ chứng thực của bên thứ
ba như PERMIT.
2.2.6. Ứng dụng của GSI.
GSI cho phép người dùng và các ứng dụng lưới truy nhập vào các tài nguyên một cách an toàn. Một số khả năng an toàn bảo mật được GSI tập trung hỗ trợ: cơ
chế uỷ quyền và đăng nhập một lần, thẩm quyền và chứng thực đa phương, các giấy
ủy nhiệm thay mặt người dùng trong thời gian ngắn hạn, GSI cũng là thành phần thiết yếu cho một số công cụ như grid-proxy-init để tạo ra giấy ủy nhiệm từ các chứng chỉ số, các dịch vụ truyền file GridFTP và máy chủ thông tin LDAP, đệ trình các ứng dụng từ xa Globus Toolkit Gram hay Secure Shell (SSH) để kết nối tới các