大數(shù)據(jù)安全是一門綜合性學(xué)科，它涉及密碼學(xué)、數(shù)據(jù)挖掘等諸多學(xué)科。本視圖庫主要部署在公共安全專網(wǎng)與視頻專網(wǎng)當(dāng)中，在物理上做到了與互聯(lián)網(wǎng)的隔離，但安全問題仍不容忽視。
組件登錄認(rèn)證
用戶的認(rèn)證與*管理旨在*合法用戶進(jìn)入系統(tǒng)和訪問數(shù)據(jù)庫，同時保護(hù)這些數(shù)據(jù)免受非法訪問。視圖庫采用華為的大數(shù)據(jù)平臺FusionInsightC70整合了一套完整的安全認(rèn)證框架，幫助用戶統(tǒng)一認(rèn)證，并且記錄認(rèn)證用戶所有提交任務(wù)的操作，這樣既可以防止非法用戶登錄，又可以有效監(jiān)控用戶的操作行為，提高了系統(tǒng)的安全性。針對大數(shù)據(jù)組件的訪問操作控制，是關(guān)乎到數(shù)據(jù)安全的重要環(huán)節(jié)，針對這一問題，華為的FusionInsight平臺采用了Kerberos認(rèn)證技術(shù)，Kerberos是一個用于安全認(rèn)證的第三方協(xié)議，它采用了傳統(tǒng)的共享密鑰方式，實現(xiàn)了在網(wǎng)絡(luò)環(huán)境不一定保證安全的環(huán)境下Client和Server之間的通信，適用于Client/Server類模型。FusionInsight平臺還可根據(jù)不同用戶賦予不同組件的操作權(quán)限，一定程度上限制了每個用戶所能操作的組件，尤其是存儲數(shù)據(jù)組件的相關(guān)*，直接影響著數(shù)據(jù)的安全性和可維護(hù)性。
圖1 Kerberos認(rèn)證流程
如圖1所示，Kerberos的認(rèn)證流程分為以下三步：
(1)客戶端(Client)與認(rèn)證服務(wù)(Authentication Service：AS)交互。
(2)Client與票據(jù)生成中心(Ticket Granting Service：TGS)交互。
(3)Client與服務(wù)端(Server)交互。
相比Kerberos，HTTPS可能更為熟悉，是通過證書和非對稱加密的方式，讓客戶端可以安全地訪問服務(wù)端，但這僅僅是客戶端安全，通過校驗，客戶端可以保證服務(wù)端是安全可靠的，而服務(wù)端卻無法得知客戶端是不是安全可靠的，這也是互聯(lián)網(wǎng)的一種特性。而Kerberos支持雙向認(rèn)證，可以保證客戶端訪問的服務(wù)端是安全可靠的，服務(wù)端回復(fù)的客戶端也是安全可靠的。但想要證明Client和Server都是可靠的，必然要引入第三方公證平臺，也就是AS和TGS兩個服務(wù)。
Client向Kerberos服務(wù)請求，用以獲取訪問Server的權(quán)限，Kerberos得到請求時，首先判斷Client是否是可信賴的，再通過在客戶端白名單(Account Database：AD)中存儲黑名單和白名單來區(qū)分Client，成功后AS返回TGT給Client。
當(dāng)客戶端獲得認(rèn)證票(票證授予票：TGT)時，繼續(xù)請求Kerberos獲得訪問服務(wù)器的權(quán)限。Kerberos得到請求時，通過客戶機(jī)消息中的TGT，判斷客戶端具有此特權(quán)并給予客戶端 ACCES?？蛻舳双@得票證后服務(wù)器終可以成功訪問。此票僅用于此服務(wù)器，其他服務(wù)器需要TGS應(yīng)用程序。在整個認(rèn)證過程中要解釋的幾個要點是：
(1)整個過程TGT的獲取只需要一次，其中有超時的概念，時間范圍內(nèi)TGT都是有效的，也就是說一般情況訪問Server只需要直接拿到Ticket即可。
(2)整個過程采用的是對稱加密，相對于非對稱加密會有性能上的優(yōu)勢。
(3)Kerberos的用戶管理很方便，只需要更新AD中的名單即可。
整個過程的通信都是加密的，這里設(shè)計到兩層加密，因為所有的認(rèn)證都是通過Client，也就是說Kerberos沒有和Server直接交互，這樣的原因是Kerberos并不知道Server的狀態(tài)，也無法保證同時和Server、Client之間通信的順序，由Client轉(zhuǎn)發(fā)可以讓Client保證流程順序。
層加密，Kerberos對發(fā)給Server數(shù)據(jù)的加密，防止Client得到這些信息篡改。第二層加密，Kerberos對發(fā)給Client數(shù)據(jù)的加密，防止其他網(wǎng)絡(luò)監(jiān)ting者得到這些信息。Client和Server的通信也是如此。
數(shù)據(jù)溯源技術(shù)
隨著物聯(lián)網(wǎng)、大數(shù)據(jù)、云計算等信息技術(shù)的不斷發(fā)展，數(shù)據(jù)來源和數(shù)據(jù)傳播方式更加廣泛，只有對數(shù)據(jù)的來源以及傳播進(jìn)行完整的記錄，才能利于后期的數(shù)據(jù)挖據(jù)與數(shù)據(jù)鑒別。早在大數(shù)據(jù)概念出現(xiàn)之前，數(shù)據(jù)溯源(Data Provenance)技術(shù)就在數(shù)據(jù)庫領(lǐng)域得到廣泛研究。數(shù)據(jù)溯源的基本方法是標(biāo)記法，在視頻圖像數(shù)據(jù)庫中，每一條視頻圖像數(shù)據(jù)都標(biāo)志著數(shù)據(jù)的來源系統(tǒng)，當(dāng)檢測到系統(tǒng)數(shù)據(jù)異常的時候，可以通過數(shù)據(jù)溯源定位數(shù)據(jù)的起源。而在視圖庫系統(tǒng)對接標(biāo)準(zhǔn)中，可以根據(jù)接口接收數(shù)據(jù)頭域中關(guān)于對接系統(tǒng)的信息，將數(shù)據(jù)打上標(biāo)簽，存儲在數(shù)據(jù)庫當(dāng)中，這種方法可以行之有效地標(biāo)記每一條來源數(shù)據(jù)，方便之后的數(shù)據(jù)溯源處理，并且做到相關(guān)來源的數(shù)據(jù)的關(guān)聯(lián)應(yīng)用及其他有用信息的挖掘。
軟件加密技術(shù)
軟件加密鎖是基于AES算法的加密運(yùn)算，可以在視圖庫軟件啟動之前進(jìn)行數(shù)字認(rèn)證，通過軟件加密鎖進(jìn)行身份登錄認(rèn)證，從而防止不法分子非法登錄。AES算法基于排列運(yùn)算和置換運(yùn)算。排列運(yùn)算是對數(shù)據(jù)進(jìn)行重新安排，置換運(yùn)算則是將一個數(shù)據(jù)單元替換為另一個。AES 使用幾種不同的方法來執(zhí)行置換運(yùn)算與置換運(yùn)算操作。AES算法是一個迭代的并且對稱密鑰分組的密碼，它可以使用128、192和256位的密鑰，并且用128位(16字節(jié))進(jìn)行分組加密和解密數(shù)據(jù)。與公共密鑰密碼使用密鑰對不同，對稱密鑰密碼使用相同的密鑰加密和解密數(shù)據(jù)。通過分組密碼返回的加密數(shù)據(jù)的位數(shù)與輸入數(shù)據(jù)相同，迭代加密是用循環(huán)結(jié)構(gòu)在該循環(huán)中重復(fù)置換和替換輸入數(shù)據(jù)。
