基于評價可信度的云計算信任管理模型研究
相關(guān)鏈接： 中國安全網(wǎng) 中國質(zhì)量網(wǎng) 中國論文網(wǎng) 中國資訊網(wǎng)
廖子淵，陳明志，鄧輝
（1．福州大學(xué)數(shù)學(xué)與計算機(jī)科學(xué)學(xué)院，福建福州350108；2．網(wǎng)絡(luò)系統(tǒng)信息安全福建省高校重點實驗室，福建福州350108；3．安徽省淮南市公安局，安徽淮南232001）
摘要：當(dāng)前云計算發(fā)展十分迅速，而信任管理對其可持續(xù)發(fā)展而言是最具挑戰(zhàn)性的問題
之一。云計算因其高度動態(tài)、分布式以及非透明等特點而引發(fā)了若干關(guān)鍵性問題，如隱私性、安全性以及可用性。保護(hù)云服務(wù)商免受惡意用戶的攻擊也是一個棘手的問題。文章根據(jù)云計算信任管理的設(shè)計理念，引入一種計算用戶評價可信度的方法，將計算得到的信任結(jié)果作為其評價證據(jù)的可信權(quán)重。用戶一般分為兩類，一類是正常用戶，根據(jù)實際的交易情況給出可信評價；另一類是惡意用戶，通過提交惡意評價來攻擊服務(wù)實體。通過計算用戶的評價可信度可識別出惡意用戶，保護(hù)信任管理模型。文章使用云計算中真實的信任反饋建立實驗，通過用戶的評價可信度淘汰惡意用戶，使用正常的用戶反饋證明了該模型的可行性。
0引言
云計算采取基于互聯(lián)網(wǎng)相關(guān)服務(wù)的增加、使用和交付的模式，通過互聯(lián)網(wǎng)來提供動態(tài)易擴(kuò)展且經(jīng)常是虛擬化的資源。云計算作為一種新資源使用方式，改變了傳統(tǒng)的IT服務(wù)模式，但卻未改變傳統(tǒng)的安全形勢。云計算由于其高度動態(tài)、分布式以及非透明等特點，使得云環(huán)境中的信任管理成為一個具有挑戰(zhàn)性的問題。
國內(nèi)外學(xué)者在信任管理方面的研究已經(jīng)取得了豐碩成果：張琳等人在模糊集合理論的基礎(chǔ)上提出了一種用于網(wǎng)絡(luò)環(huán)境的信任評估模型。田立勤等人參考了社會信任的特性以及計算機(jī)信任評估的要求，提出了一種基于行為證據(jù)的雙滑動窗口的行為信任量化評估機(jī)制。田俊峰等人提出了一種基于多部圖的云用戶行為認(rèn)定模型，以解決云服務(wù)中用戶行為可信度問題。王汝傳等人提出了一種基于評價可信度的動態(tài)信任評估模型，該模型將云服務(wù)提供商的服務(wù)能力和云用戶所需求的服務(wù)能力分別劃分等級，有效解決了云服務(wù)提供商服務(wù)能力動態(tài)變化對模型造成的潛在破壞問題。周茜等人采用AHP模糊理論架構(gòu)給出了云環(huán)境下用戶安全防御模型，但因采用三標(biāo)度法，分析問題主觀性過強(qiáng)且不夠準(zhǔn)確。呂艷霞等人在傳統(tǒng)FAHP方法的基礎(chǔ)上建立了云計算中基于信任的防御模型來解決用戶信任問題，采用基于三角模糊數(shù)的模糊網(wǎng)絡(luò)分析法來反映專家評判的模糊性，并對網(wǎng)絡(luò)用戶行為各屬性的權(quán)重進(jìn)行了量化計算，使評判結(jié)果更加客觀。BROSS0[8]等人提出一種建立在用戶行為分析上的連續(xù)認(rèn)證系統(tǒng)，提取用戶的行為證據(jù)，并把用戶分為不同的信任等級，通過神經(jīng)模糊邏輯不斷更新用戶行為數(shù)據(jù)庫，保持用戶行為的可靠性以及準(zhǔn)確性。王守信等人基于信任云理論，提出了一種主觀信任模型，使用信任變化云來刻畫可信度的變化狀況，對主觀信任評價的研究起到了推動性作用。
本文概述了基于評價可信度的云計算信任管理框架的設(shè)計理念。在該框架中，信任管理服務(wù)( Trust ManagementService，TMS)跨越若干分布式節(jié)點以分散方式管理反饋，可信度作為一種服務(wù)被傳遞。在信任管理服務(wù)中，反饋的可靠性是關(guān)鍵性問題。因此，本文提出幾項針對合謀反饋和女巫攻擊的檢測指標(biāo)。這些指標(biāo)不僅能夠區(qū)分來自惡意用戶的惡意反饋，還能偵測到間歇性合謀反饋和間歇性女巫攻擊。
1云計算信任管理框架
云計算信任管理框架建立在面向服務(wù)框架( ServiceOriented Architecture，SOA)之上，SOA將可信度作為一種服務(wù)進(jìn)行傳遞。云計算中的資源作為服務(wù)被暴露在云端，在某種意義上使得SOA和Web服務(wù)成為相對重要的技術(shù)之一。信任管理服務(wù)使得用戶可以提交反饋或是查詢信任結(jié)果。圖1顯示云計算信任管理框架分為三層，分別是云服務(wù)提供層、信任管理服務(wù)層以及云服務(wù)消費者層。
1)云服務(wù)提供層。此層由不同的能夠提供若干云服務(wù)的云服務(wù)商組成。此層上的互動可以認(rèn)為是云服務(wù)商與用戶和TMS的云服務(wù)互動以及云服務(wù)商為其服務(wù)做的廣告。
2)信任管理服務(wù)層。此層由分布在不同地域中的云環(huán)境里的若干TMS節(jié)點組成。這些TMS節(jié)點提供接口，使得用戶可以提交反饋并查詢信任結(jié)果。此層的互動包括：(1)與云服務(wù)商的云服務(wù)互動。(2)使得用戶能夠通過網(wǎng)絡(luò)獲得新的云服務(wù)可信度。(3)評價可信度計算使得TMS能夠證實特定消費者的反饋的可信度。
3)云服務(wù)消費者層。此層由使用云服務(wù)的用戶組成。此層的互動包括：(1)使得用戶能夠通過網(wǎng)絡(luò)發(fā)現(xiàn)新的云服務(wù)。(2)使得用戶能夠針對特定服務(wù)提交反饋。(3)使得用戶能夠通過登記證件來建立身份檔案。
2管理服務(wù)
2.1身份管理服務(wù)
可信度與身份認(rèn)證有著很強(qiáng)的關(guān)聯(lián)性，我們提出使用身份管理服務(wù)( Identity ManagementService,ldM)來幫助TMS度量用戶反饋的可信度。然而，處理ldM信息可能會泄露用戶的隱私。一種保護(hù)隱私的方法是使用密碼加密技術(shù)；另一種方法是使用匿名技術(shù)處理IdM信息，這樣就不會侵犯到用戶的隱私。顯然，在高度匿名化與高效用之間存在權(quán)衡。高度匿名化意味著更好的隱私，而高效用則會導(dǎo)致隱私得不到保護(hù)。
2.2信任管理服務(wù)
在TMS的典型交互中，用戶可以針對特定云服務(wù)的可信度提交反饋，也可以獲取該服務(wù)的信任評價。當(dāng)用戶第一次使用TMS時，他們需要在IdM的信任身份登記處(TrustIdentity Registry)登記自己的證書以建立身份檔案。信任身份登記處存有身份記錄，由數(shù)組I=(c，ca，Ti)代表每個用戶的身份。其中，c是用戶名稱；Ca代表身份的屬性，如密碼、lP地址等；Ti代表用戶在TMS的登記時間。
通過用戶的反饋，云服務(wù)的信任行為實際上是一個歷史記錄的調(diào)用集合，由數(shù)組H=(c，c，F(xiàn),Tf)表示。其中，c是用戶名稱，s代表云服務(wù)。F是一系列信任反饋，包括安全性、響應(yīng)時間、可用性等。F里的每一項信任反饋由范圍在[0.1]內(nèi)的數(shù)值表示，0、0.5、1分別代表消極、中立、積極。Tf表示信任反饋提交的時間戳。每當(dāng)c要求s的信任評價時，TMS會計算信任結(jié)果Tr(s)，計算公式如公式(1)所示。
式中，V(s)代表所有針對云服務(wù)s的信任反饋，l V(s)l代表信任反饋的總數(shù)；F(c，s)指來自用戶c的信任反饋，當(dāng)c值不同時，F(xiàn)(c，s)也發(fā)生改變；Ct(s，to，f)為在一段時間內(nèi)信任結(jié)果改變的速率，它使得TMS可以為遭受惡意行為影響的云服務(wù)調(diào)整信任結(jié)果。
3可信度模型
我們設(shè)計可信度模型的目的有：1）合謀反饋偵測。包括計算反饋密度以及偵測間歇性合謀反饋。2）女巫攻擊偵測。包括多重身份識別以及偵測間歇性女巫攻擊。3）計算用戶的評價可信度。
3.1合謀反饋偵測
3.1.1反饋密度
合謀反饋是指用戶為了提高某個云服務(wù)的信譽(yù)度而在一段時間內(nèi)給其發(fā)送的大量信任反饋。一些研究者認(rèn)為高信任反饋數(shù)量意味著高可靠度的云服務(wù)。然而，信任反饋數(shù)量并不能完全決定信任反饋的可靠度。例如，假設(shè)有兩個不同的云服務(wù)sx和Jy，它們的信任反饋數(shù)量都很高，sx在150個反饋中有79%的信任反饋，sy在150個反饋中有87%的信任反饋，那么用戶通常選擇信任反饋數(shù)量較高的云服務(wù)sy，但是sy可能是合謀反饋導(dǎo)致的結(jié)果，這就意味著我們有可能要選擇sy。
為了解決這個問題，我們引入反饋密度的概念來幫助確定信任反饋的可靠度。我們將給特定云服務(wù)提交信任反饋的用戶總數(shù)稱為反饋堆，提交的信任反饋總數(shù)稱為反饋量。反饋量受到合謀反饋量的影響，合謀反饋量由合謀反饋量閾值控制。例如，如果合謀反饋量閾值為15，則反饋量一旦超過15，用戶就被懷疑參與了合謀反饋。
云服務(wù)s的反饋密度D(s)由公式(2)得出。
式中，M(s)表示針對云服務(wù)s的反饋堆；∣V(s)∣表示針對云服務(wù)s的反饋量；L(s)表示合謀反饋量，該值可以用來減少來自同一用戶的過多反饋帶來的干擾，由公式(3)給出。
式中，ey(s)表示合謀反饋量閾值，∣Vc（c，s)∣表示用戶c針對云服務(wù)s提交的反饋數(shù)量。
例如，上文提過的兩個云服務(wù)sx和sy，sx在150個反饋中有79%的信任反饋，sy在150個反饋中有87%的信任反饋。假定針對sx的反饋堆高于sy（如M(sx)=20，M(sy)=5)，針對兩個云服務(wù)的反饋量分別是∣Vc(c，x)∣=60和∣Vc(c,y)∣=130。我們進(jìn)一步假定合謀反饋量閾值ey=10。根據(jù)公式(2)可得，D(sx)=0.0952，D(sy)=0.0173。可見，針對sx的反饋密度大于針對sy的反饋密度，也就意味著，針對sy的反饋有可能是合謀反饋，因此針對sx的信任反饋的可靠度高。
3.1.2間歇性合謀反饋
3.3.1交易滿意度
交易滿意度是指用戶實體c，將服務(wù)實體si提供給自己的服務(wù)能力與si自己宣稱的服務(wù)能力進(jìn)行比較，根據(jù)差值計算得到的滿意度。用p(ci，si，ti)表示用戶實體ci根據(jù)服務(wù)實體si在tk時刻提供的服務(wù)能力計算得到的交易滿意度，計算方式如公式(5)所示。
根據(jù)時間窗win內(nèi)用戶實體c，對服務(wù)實體s的每次交易滿意度，求出用戶實體ci在該時間窗win內(nèi)對服務(wù)實體S的直接交易可信度，如公式(7)所示。
式中，fr為當(dāng)前時刻，z=min{k∣tk∈win}；u(k)為時間衰減函數(shù)，令u(k)=Ttr-tk，O<T<1。h=r-z，為用戶實體ci在時間窗win內(nèi)已交易的次數(shù)。Ψ(h)= exp（-ΨΨ去）為交易次數(shù)函數(shù)。時間窗win內(nèi)交易次數(shù)越多，則Ψ(h)越大，Ttrci,sj也越大，意味著服務(wù)越可信。
3.3.2信譽(yù)度
根據(jù)所有用戶對某服務(wù)的直接交易可信度能夠得出該服務(wù)的信譽(yù)度，即根據(jù)眾多用戶的評價得出的某服務(wù)的可信度。假設(shè)時間窗win內(nèi)與服務(wù)實體s進(jìn)行交易的用戶實體集合為C=(c1，…，cn)，則服務(wù)實體s的信譽(yù)度TDtysj由公式(8)得出。
3.3.4評價可信度
時間窗win內(nèi)與用戶實體ci進(jìn)行交易的服務(wù)實體可能不止一個，評價可信度是根據(jù)多個服務(wù)實體對用戶實體ci給出的評價的滿意度而得出的綜合評價，表達(dá)了用戶實體給出的評價的可信程度。如果評價可信度太低，說明該用戶是為了攻擊云服務(wù)而給出惡意反饋。假設(shè)時間窗win內(nèi)與用戶實體ci進(jìn)行交易的服務(wù)實體集為P={s1，…，sn），則用戶實體ci的最終評價可信度為
式中，∣p∣表示集合P中服務(wù)實體的數(shù)量。
4仿真實驗
CCIDTM模型作為參考，對可信度模型抵御惡意攻擊的健壯性進(jìn)行驗證，并給出實驗結(jié)果。
4.1實驗環(huán)境
TMS是可信度模型框架的一部分，該框架提供了一個針對云服務(wù)的基于評價可信度的信任管理平臺，該平臺提供了用戶可以提交反饋和請求云服務(wù)的信任評價環(huán)境。TMS由兩部分組成：信任數(shù)據(jù)供應(yīng)和信任評估函數(shù)。
信任數(shù)據(jù)供應(yīng)負(fù)責(zé)收集云服務(wù)和信任信息。云服務(wù)爬蟲模塊使得平臺能夠自動發(fā)現(xiàn)網(wǎng)絡(luò)上的云服務(wù)。信任反饋收集模塊直接從用戶處收集信任反饋并且存儲在信任反饋數(shù)據(jù)庫中。用戶第一次使用信任管理平臺時必須在身份管理服務(wù)中登記。身份信息收集模塊負(fù)責(zé)收集用戶的身份總數(shù)。
信任評估函數(shù)負(fù)責(zé)處理來自用戶的信任評估需求，并且根據(jù)用戶的評價可信度區(qū)別出惡意用戶。我們使用信任評估來比較云服務(wù)的可信度和計算提交的所有反饋的平均值。
4.2可信度模型實驗
我們利用云服務(wù)上的真實信任評價來測試可信度模型。使用爬蟲工具設(shè)法收集了若干網(wǎng)站中580個用戶針對30個真實的云服務(wù)提交的876個反饋，并根據(jù)用戶的評價可信度區(qū)別出惡意用戶，使用剩下的用戶進(jìn)行實驗。
每一組實驗對應(yīng)不同的攻擊行為模型，如圖3和圖4所示。圖3中為Waves模型，橫坐標(biāo)為Tf（即時間節(jié)點），縱坐標(biāo)為∣V(s)∣（即反饋總數(shù)）；圖4中為Peaks模型，橫坐標(biāo)為Ti（即時間節(jié)點），縱坐標(biāo)為∣I(s)∣（即身份總數(shù)）。
Waves模型可以反映在一個特定時間段中惡意反饋的總數(shù)。例如，圖3中，當(dāng)Tf=40時，∣V(s)∣=60，代表有60條惡意反饋。Peaks模型可以反映當(dāng)遇到女巫攻擊時，攻擊者在一個時間段內(nèi)建立的身份總數(shù)。例如，圖4中，當(dāng)Tf=20時，∣I(s)∣=80，代表有80個惡意身份。
為了評估可信度模型在面對惡意攻擊時的健壯性，我們使用了兩個實驗條件。1）實驗條件I：與傳統(tǒng)CCIDTM模型比較，測試可信度模型的表現(xiàn)；2）實驗條件Ⅱ：使用precision（TMS在偵測攻擊時表現(xiàn)如何）和recall（被偵測到的攻擊有多少是真的）兩個度量指標(biāo)測試可信度模型的表現(xiàn)。我們組織了8次實驗，其中4次用來評估可信度模型在面對合謀攻擊時的健壯性，4次用來評估可信度模型在面對女巫攻擊時的健壯性。
4.2.1面對合謀攻擊時的健壯性
在合謀攻擊中，我們模仿惡意用戶，通過提交可信度在[0.7，1.0]內(nèi)的反饋來提高云服務(wù)的信任結(jié)果。圖5至圖8描述了可信度模型面對合謀攻擊時的健壯性，圖5和圖6表示實驗條件為I時，合謀攻擊模型分別為Waves和Peaks的測量結(jié)果，虛線代表傳統(tǒng)CCIDTM模型，實線代表可信度模型。圖7和圖8表示實驗條件為Ⅱ時，合謀攻擊模型分別為Waves和Peaks的測量結(jié)果。
我們發(fā)現(xiàn)，使用傳統(tǒng)CCIDTM模型計算可信度時，時間越接近10，信任結(jié)果越高，原因是惡意用戶為了增加云服務(wù)的信任結(jié)果而提交了惡意反饋。而當(dāng)使用可信度模型計算時，信任結(jié)果幾乎沒有發(fā)生改變，這證實了可信度模型對于合謀攻擊是敏感的且能夠偵測到惡意行為。我們還發(fā)現(xiàn)，在兩種攻擊模型下，recall的分值都比較高，這意味著大多數(shù)被偵測到的攻擊都是真實的，也證實了可信度模型能夠成功偵測合謀攻擊。
4.2.2面對女巫攻擊時的健壯性
在女巫攻擊中，我們模仿惡意用戶，通過建立多重身份和提交惡意反饋來降低云服務(wù)的信任結(jié)果。圖9至圖12描述了可信度模型面對女巫攻擊時的健壯性，圖9和圖10表示實驗條件為I時，女巫攻擊模型分別為Waves和Peaks的測量結(jié)果，虛線代表傳統(tǒng)CCIDTM模型，實線代表可信度模型。圖11和圖12表示實驗條件為Ⅱ時，女巫攻擊模型分別為Waves和Peaks的測量結(jié)果。
我們發(fā)現(xiàn)，使用傳統(tǒng)CCIDTM模型獲得的信任結(jié)果在時間接近10時減少，這是因為惡意用戶通過提交惡意反饋來降低云服務(wù)的信任結(jié)果。而使用可信度模型獲得的信任結(jié)果要比使用傳統(tǒng)CCIDTM模型獲得的高，這說明面對女巫攻擊時可信度模型有著更好的健壯性。我們還發(fā)現(xiàn)，在兩種攻擊模型下，precision分值和rec all分值都比較高，證明了可信度模型可以很好地偵測女巫攻擊。
5結(jié)束語
當(dāng)前的云計算環(huán)境中，針對云服務(wù)商和用戶的信任管理仍然是極具挑戰(zhàn)的任務(wù)之一。用戶反饋依然是評價云服務(wù)可信度的重要資源，但是部分用戶的惡意行為會嚴(yán)重影響云服務(wù)的信任評價。本文提出了一種可偵測合謀反饋以及女巫攻擊的可信度模型，并收集了許多真實的用戶反饋來評價該模型。實驗結(jié)果證實了該模型在偵測惡意反饋方面的能力。未來研究將嘗試將不同的信任管理技術(shù)結(jié)合進(jìn)去，爭取提高信任結(jié)果的精度。此外，信任管理服務(wù)的性能也將是重點研究方向之一。
