[发明专利]一种可自更新代理证书的网格安全系统的实现方法

说明书

技术领域

本发明是面向网格应用的安全领域，主要用于解决网格应用系统中的安全证书问题。它属于网格计算软件安全技术领域。

背景技术

网格是借鉴电力网的概念提出的，网格的最终目的是希望用户在使用网格计算能力解决问题时像使用电力一样方便，用户不用去考虑得到的服务来自于哪个地理位置，由什么样的计算设施提供。也就是说，网格给最终的使用者提供的是一种通用的计算能力。

网格以Internet作为通信支撑平台，而Internet是一个开发性、异构性极大的公共网络，这就使得在Internet上运行的网格作业面临着各种各样的安全威胁，如数据被截取、信息的内容被篡改或删除、假冒合法用户和服务器等等。因此，在网格环境中，需要采取各种有效的安全措施，确保系统安全。网格是一个异构的环境，用户和资源数量庞大，动态可变，而且可属于多个组织。网格作业可在其执行过程中动态地申请、启动进程和申请、释放资源，而且资源可能需要不同的认证和授权机制，这些机制和策略的改变是受限制的。这些网格特性决定了网格安全必须是标准的、自治的、可扩展的和透明的。因此，网格安全研究就要求：支持在网格环境中主体之间的安全通信，防止主体假冒和数据泄密；支持跨虚拟组织边界的安全，避免采用集中管理的安全系统；需要支持网络用户的“单一登录”，包括跨多个资源和站点的计算所进行的信任委托和信任转移。

目前，网格安全的实现主要是Globus的安全基础构件包GSI(Grid SecurityInfrastructure，网格安全基础设施)，GSI是保证网格计算安全性的核心。它支持用户代理、资源代理、认证机构和协议的实现。它向上提供一系列的安全协议，向下支持各种安全机制和技术。GSI采用GSS-API(Generic Security Serviceapplication programming interface，通用安全服务应用编程接口)作为其安全编程接口。提供了通用的安全服务，支持应用程序在源码级的可移植性。它在面向主体间安全鉴别和安全通信操作基础上，提供获得证书、执行安全鉴别、签署消息和加密消息等功能。

GSI通过创建用户代理、代理分配资源、进程分配资源、映射权限四种安全操作协议，充分体现了网格的解决方案。全局命名(证书)和代理证书使得用户对所有的访问资源只进行一次认证。代理证书和委托技术允许一个进程来代表用户访问资源。在GSI的安全策略和单一登录机制的基础上，构建一个网格安全体系，该体系结构体现了用户、资源和过程的鉴别，它支持用户到资源、资源到过程、过程到资源、过程到过程的鉴别。及与本地策略的相互协作及对不同资源的动态请求。

安全认证是对请求者与接受者双方进行身份验证的一个过程，是在SSL上进行的一个成功的安全认证，可以校验一个请求连接的合法性，并为其后的双方通信提供一个会话密钥。GSI的安全认证是基于用户的私钥创建一个代理，从而为用户提供认证方法。用户如果没有创建这个代理，就不能提交作业，也不能传输数据。一个网格会话使用一个短期代理证书，该证书由用户证书签发。使用用于鉴定身份的代理证书，就意味着用户访问网格服务时不必每次都输入他们的密码。同理，网格用户也可以把他们的代理证书委托给其他的用户，让其他的用户以他们的身份来进行网格操作。

发明内容

技术问题：本发明的目的是提供一种可自更新代理证书的网格安全系统的实现方法，能够在GT4环境中自动为作业生成代理证书并进行管理从而解决证书过期等问题。

技术方案：本发明的方法是一种策略性的方法，使用GT4开发网格服务、开源项目Eclipse和MyProxy在线仓库，结合开源工具Condor，采用一种周期性的检查机制对作业的代理证书不断检查，一旦发现证书过期，便自动更新代理，从而保证作业地正常运行。