مبانی نظری بهبود برقراری امنیت اطلاعات در رایانش ابری با استفاده از استاندارد saml (docx) 1 صفحه
دسته بندی : تحقیق
نوع فایل : Word (.docx) ( قابل ویرایش و آماده پرینت )
تعداد صفحات: 1 صفحه
قسمتی از متن Word (.docx) :
به نام خداوند بخشنده مهربان
مؤسسه آموزش عالی صنعتی فولاد
دانشکده مهندسی کامپیوتر و فناوری اطلاعات
بهبود برقراری امنیت اطلاعات در رایانش ابری با استفاده از استاندارد SAML
پایان‌نامه کارشناسی ارشد مهندسی فناوری اطلاعات گرایش مدیریت سیستمهای اطلاعاتی
رسول دانشمند
استاد راهنما
دکتر شهره آجودانیان
تابستان 1393
2633345723221سه0سه
موسسه آموزش عالی صنعتی فولاد
دانشکده مهندسی کامپیوتر و فناوری اطلاعات
پایان نامه کارشناسی ارشد مهندسی فناوری اطلاعات گرایش مدیریت سیستمهای اطلاعاتی
رسول دانشمند
با عنوان
بهبود برقراری امنیت اطلاعات در رایانش ابری با استفاده از استاندارد SAML
در تاریخ توسط کمیته تخصصی زیر مورد بررسی و تصویب نهایی قرار گرفت.
1- استاد راهنمای پایان نامه دکتر شهره آجودانیان مرتبه علمی: استادیار امضاء...........
2- استاد مشاور پایان نامه دکتر محمد داورپناه جزی مرتبه علمی: استادیار امضاء...........
3- استاد داور دکترمحمدعلی منتظری مرتبه علمی: استادیار امضاء...........
4- رئیس تحصیلات تکمیلی مؤسسه دکتر ابراهیم شیرانی مرتبه علمی: استاد امضاء..........
2633345716753چهار0چهار
تشکر و قدردانی
از سرکار خانم دکتر شهره آجودانیان که با راهنمایی های خود من را در تمام مراحل این پژوهش یاری نمودند تشکر و قدردانی می‌کنم، چرا که بدون راهنماییها و همکاریهای ایشان تهیه این پایان‌نامه بسیار مشکل میبود. همچنین از جناب آقای دکتر محمد داورپناه جزی که دلسوزانه با اینجانب همکار ی لازم را داشتند تقدیر و تشکر مینمایم. همچنین از همکاری، راهنمایی و مساعدت جناب آقای دکتر محمد علی منتظری، در طول مدت تهیه این پایان نامه تشکر ویژه دارم.
2480945665007پنج0پنج
اظهار نامــه
اینجانب رسول دانشمند به شماره دانشجویی 9006354 دانشجوی رشته مهندسی فناوری اطلاعات گرایش مدیریت سیستمهای اطلاعاتی دانشکده مهندسی کامپیوتر و فناوری اطلاعات، اظهار می‌کنم که این پایان‌نامه حاصل پژوهش خودم بوده و در جاهایی که از منابع دیگری استفاده کرده‌ام، نشانی دقیق و مشخصات کامل آن را نوشتهام. همچنین اظهار می‌کنم که تحقیق و موضوع پایاننامهام تکراری نیست و تعهد مینمایم که بدون مجوز موسسه دستاوردهای آن را منتشر ننموده و یا در اختیار غیر قرار ندهم.
کلیه حقوق این اثر مطابق با آییننامه مالکیت فکری و معنوی متعلق به موسسه آموزش عالی صنعتی فولاد است.
نام و نام خانوادگی: رسول دانشمند
تاریخ:
امضاء:
2785745576418شش0ششتقدیم اثر
این اثر را به پدر و مادر بزرگوار و مهربانم که در تمام دوره تحصیل کارشناسی ارشد، سختیها را به جان خریدند و همیشه یار و یاور من بودند و دعای خیر آنها قوت قلبی برای من بود، تقدیم می‌کنم.
2760345694262هفت0هفت
فهرست مطالب
عنوان صفحه
چکیده ................................................................................................................................................. 1
فصل اول: مقدمه
1-1مقدمه ...................................................................................................................................................................... 3
1-2 تعريف مسئله .......................................................................................................................................................... 4
1-3 تبیین صورت مسئله ................................................................................................................................................. 5
1-4 ساختار پایان‌نامه ...................................................................................................................................................... 5
فصل دوم: محاسبات ابری، چالشها و راهکارها
2-1 مقدمه ..................................................................................................................................................................... 7
2-2 تاریخچه‌ی رایانش ابری .......................................................................................................................................... 7
2-3 چند نمونه ............................................................................................................................................................... 8
2-3-1 مالتیکس ........................................................................................................................................................ 8
2-3-2 ناظران ماشین‌های مجازی اولیه ....................................................................................................................... 8
2-3-3 شرکت CSS ملی .......................................................................................................................................... 9
2-4 مفاهیم ..................................................................................................................................................................... 9
2-4-1 تعریف محاسبات ابری .................................................................................................................................... 9
2-4-2 مشخصات اصلی محاسبات ابری .................................................................................................................... 11
2-5 معماری و مولفههای ابر .......................................................................................................................................... 12
2-5-1 دیدگاه کلی از ایدههای موجود برای ساختارهای ابری و مولفههای آن .......................................................... 12
2-5-2 مدلهای سرویس محاسبات ابری .................................................................................................................. 12
2-6 دستهبندی ابرها ...................................................................................................................................................... 15
2-7 چند اجاره‌ای ......................................................................................................................................................... 16
2-8 مجازی‌سازی ............................................. ........................................................................................................... 16
2-9 شکل‌های ابر .......................................................................................................................................................... 17
2515870495935هشت0هشت2-9-1 بعد یک: داخلی/خارجی ............................................................................................................................... 17
2-9-2 بعد دو: اختصاصی/باز ................................................................................................................................... 17
2-9-3 بعد سه: محیطی/غیرمحیطی ........................................................................................................................... 18
2-9-4 بعد چهار: برون سپاری/درون سپاری ............................................................................................................. 18
2-10 فرصتها و چالش‌های محاسبات ابری .................................................................................................................. 18
2-11 چالش‌های امنیتی محاسبات ابری .......................................................................................................................... 19
2-12 چالش‌های حفظ حريم خصوصی محاسبات ابری ................................................................................................. 19
2-13 محافظت از داده‌ها ............................................................................................................................................... 20
2-14 راهکارهای حفاظت از داده‌ها .............................................................................................................................. 20
2-15 خطرات مشترک امنیت اطلاعات در ابر ............................................................................................................... 20
2-15-1 فیشینگ ..................................................................................................................................................... 20
2-15-2 حق دسترسی پرسنل ارائه دهنده .................................................................................................................. 21
2-16 برنامه‌های‌کاربردی و محدودیت‌های رمزنگاری داده‌ها ......................................................................................... 21
2-17 احراز هویت داده‌ها و شناسایی کاربران ................................................................................................................ 21
2-18 ذخیره‌سازی داده‌ها در ابر ..................................................................................................................................... 22
2-19 احرازهویت ......................................................................................................................................................... 22
2-20 زبان نشانه‌گذاری اثبات امنیت .............................................................................................................................. 23
2-20-1 تعریف ....................................................................................................................................................... 23
2-20-2 ویژگی‌ها .................................................................................................................................................... 24
2-20-3 اجزا ........................................................................................................................................................... 25
2-21 زبان نشانه‌گذاری اثبات امنیت در امنیت سرویس‌های وب .................................................................................... 29
2-22 انتشار توکن زبان نشانه‌گذاری اثبات امنیت در سرویس‌های وب .......................................................................... 34
2-23 نتیجهگیری .......................................................................................................................................................... 35
فصل سوم: بررسی و تجزیه تحلیل کارهای انجام شده
3-1 مقدمه ............................................. ..................................................................................................................... 37
3-2 سیستمهای ورودتکی ............................................................................................................................................ 37
2633345519903نه0نه3-2-1 سازمانی ....................................................................................................................................................... 37
3-2-2 مجتمع (فدرالی شده) ................................................................................................................................... 38
3-3 روش‌های ورودتکی ............................................................................................................................................. 38
3-4 روش کربروس ..................................................................................................................................................... 46
3-4-1 پروتکل کربروس ........................................................................................................................................ 46
3-4-2 مزایای کربروس .......................................................................................................................................... 48
3-4-3 معایب کربروس .......................................................................................................................................... 48
3-5 احراز هویت ورود تکی به وب با استفاده از زبان نشانه‌گذاری اثبات امنیت ............................................................ 49
3-6 سرویس‌های وب امنیتی ........................................................................................................................................ 53
3-7 احرازهویت مجتمع .............................................................................................................................................. 53
3-8 سرویس‌های وب مجتمع ...................................................................................................................................... 54
3-9 زبان نشانه‌گذاری اثبات امنیت و سرویس‌های وب مجتمع ..................................................................................... 55
3-10 نسخه دوم زبان نشانه‌گذاری اثبات امنیت (SAML 2) ....................................................................................... 56
3-11 احرازهویت مجتمع ............................................................................................................................................ 56
3-12 مزایای احرازهویت ورودتکی ............................................................................................................................ 56
3-13 مزایای زبان نشانه‌گذاری اثبات امنیت ................................................................................................................. 57
3-14 خطاهای رایج در زبان نشانه‌گذاری اثبات امنیت ................................................................................................. 57
3-15 زبان نشانه‌گذاری اثبات امنیت به عنوان یک استاندارد ابری امن ........................................................................... 57
3-16 نتیجهگیری ......................................................................................................................................................... 61
فصل چهارم: ورودتکی با استفاده از زبان نشانه‌گذاری اثبات امنیت
4-1 مقدمه .................................................................................................................................................................. 63
4-2 مدل پیشنهادی برای احرازهویت زبان نشانه‌گذاری اثبات امنیت در ورودتکی وب ................................................. 63
4-3 مراحل انجام کار مدل پیشنهادی ..... ..................................................................................................................... 64
4-4 شبیهسازی مدل پیشنهادی ..................................................................................................................................... 68
4-5 مدل امنیت داده‌ها در محاسابات ابر ....................................................................................................................... 68
4-5 نتیجهگیری ........................................................................................................................................................... 72
2633345586740ده0ده
فصل پنجم: بررسی مدل پیشنهادی و نتیجهگیری
5-1 مقدمه .................................................................................................................................................................. 73
5-2 بررسی مدل پیشنهادی از نظر امنیت ...................................................................................................................... 73
5-3 بررسی و ارزیابی مدل پیشنهادی ........................................................................................................................... 74
5-3-1 روش ارزیابی مدل ...................................................................................................................................... 74
5-3-2 تعیین پایایی و روایی پرسشنامه .................................................................................................................... 76
5-3-3 تعیین پایایی پرسشنامه طراحیشده برای ارزیابی مدل پیشنهادی .................................................................... 76
5-3-4 تعیین روایی پرسشنامه طراحیشده برای ارزیابی مدل پیشنهادی .................................................................... 77
5-3-5 استخراج عاملها ......................................................................................................................................... 78
5-4-6 ارزیابی مدل پیشنهادی ................................................................................................................................ 81
5-4-7 آزمون فریدمن برای مقایسه میانگین روش‌ها ................................................................................................ 81
5-4-8 آزمون کلموگروف-اسمیرونوف ................................................................................................................ 82
5-4-9 تحلیل واریانس ........................................................................................................................................... 82
5-5 مزایای و نتایج بدستآمده از مدل پیشنهادی ......................................................................................................... 83
5-6 مشکلات احتمالی و راهحلهای پیشنهادی ............................................................................................................ 84
منابع و مآخذ ..................................................................................................................................... 85
پیوستها .......................................................................................................................................... 87
2633345742536یازده0یازده
فهرست شکل‌ها
عنوان صفحه
شکل 2- 1. لایه‌های محاسبات ابری ...................................................................................................................................13
شکل 2- 2. معماری ابری مربوط به سرویس‌های ابری ....................................................................................................... 14
شکل 2-3. چنداجارهای .................................................................................................................................................... 16
شکل 2-4. مجازی‌سازی مدیریت ماشین مجازی نوع یک و دو .......................................................................................... 17
شکل 2-5. ساختار اثبات زبان نشانه‌گذاری اثبات امنیت ..................................................................................................... 26
شکل 2-6. اثبات زبان نشانه‌گذاری اثبات امنیت ................................................................................................................ 26
شکل 2-7. اجزای زبان نشانه‌گذاری اثبات امنیت .............................................................................................................. 30
شکل 2-8. استفاده‌ی عمومی از سرویس‌های امن وب و زبان نشانه‌گذاری اثبات امنیت ...................................................... 31
شکل 2-9. روش تأیید موضوع حامل ............................................................................................................................... 32
شکل 2-10. روش تأیید موضوع دارنده کلید .................................................................................................................... 33
شکل 2-11. روش تأیید موضوع ضمانت‌های فرستنده ....................................................................................................... 33
شکل 2-12. توزیع توکن زبان نشانه‌گذاری اثبات امنیت با استفاده ورودتکی ..................................................................... 34
شکل 2-13. توکن زبان نشانه‌گذاری اثبات امنیت یکسان برای ارائهدهندهسرویس توزیع و منقضی شده ............................. 35
شکل 2-14. زمان انقضای توکن زبان نشانه‌گذاری اثبات امنیت ......................................................................................... 36
شکل 3-1. حالت ورودتکی ساده ..................................................................................................................................... 39
شکل 3-2. ورودتکی مبتنی بر درخواست ......................................................................................................................... 41
شکل 3-3. مکانیزم تشخیص بیومتریک ............................................................................................................................. 42
شکل 3-4. یک معماری توسعه‌یافته ورودتکی بین چنددامنه ساده و معمولی ...................................................................... 45
شکل 3-5. احرازهویت ورودتکی به وب با زبان نشانه‌گذاری اثبات امنیت ......................................................................... 51
شکل 3-6. فلوچارت اثبات زبان نشانه‌گذاری اثبات امنیت آغاز شده توسط ارائهدهندههویت ............................................. 52
شکل 3-7. فلوچارت اثبات زبان نشانه‌گذاری اثبات امنیت آغاز شده توسط ارائهدهندهسرویس .......................................... 53
شکل 3-8. نرم افزار احرازهویت مجتمع ............................................................................................................................ 54
شکل 4-1. احرازهویت ورودتکی به وب با زبان نشانه‌گذاری اثبات امنیت ......................................................................... 65
2633345594198دوازده0دوازدهشکل 4-2. مراحل انجام فرایند احرازهویت ورودتکی به وب با استفاده از زبان نشانه‌گذاری اثبات امنیت ............................ 66
شکل 4-3. ثبتنام کاربر در محیط ابر ............................................................................................................................... 67
شکل 4-4. ورودتکی کاربر به ابر ..................................................................................................................................... 69
شکل 4-5. یک نمای کلی از پلت‌فرم نرم افزار کلود سیم ................................................................................................. 70
شکل 4-6. محل تنظیم پارامترهای شبیه ساز کلود ............................................................................................................. 70
شکل 4-7. نمای اولیه شبیه ساز کلود ................................................................................................................................ 71
شکل 4-8: مدل امنیت داده در محاسبات ابری .................................................................................................................. 71
شکل 5-1 . میزان تحصیلات و حوزه کاری افراد شرکت کننده در ارزیابی مدل پیشنهادی ................................................. 75
شکل 5-2. تغییرات مقادیر ویژه در ارتباط با عاملها .......................................................................................................... 80
شکل 5. 3. مقایسه امتیازات سه روش ورودتکی ................................................................................................................ 81
2680970648808سیزده0سیزده
فهرست جداول
عنوان صفحه
جدول 2-1. تعاريف محاسبات ابري توسط شركت‌هاي تحليلگر منتخب .............................................................................. 9
جدول 3-1. مقایسه تعدادی از روش‌های ورودتکی ........................................................................................................... 61
جدول 3-1. مدل احرازهویت ارائهدهندههویت SAML ................................................................................................... 64
جدول 5- 1. مقایسه امتیازات دو روش انتخاب شده براساس معیارهای تعیینشده ............................................................... 75
جدول 5-2. محاسبه ضریب آلفای کرونباخ برای پرسشنامه طراحیشده ............................................................................. 76
جدول 5-3. میانگین و انحراف معیار استاندارد برای هر یک از معیارهای موجود در پرسشنامه ............................................ 77
جدول 5-4. همبستگی بین متغیرها و ضریب آلفای کرونباخ پس از حذف هر سئوال .......................................................... 77
جدول 5-5. نتایج حاصل از آزمون KMO و بارتلت ........................................................................................................ 78
جدول 5-6. میزان اشتراک متغیرها قبل و بعد از استخراج عاملها ...................................................................................... 79
جدول 5-7. مقدار ویژه و واریانس متناظر با عاملها .......................................................................................................... 79
جدول 5-8. ماتریس چرخیده‌شده مولفه‌ها ........................................................................................................................ 80
جدول 5-9. تجزیه معیارها به پنج گروه عاملی ................................................................................................................... 80
جدول 5-10. نتیجه آزمون فریدمن برای امتیازات سه روش ورودتکی ............................................................................... 81
جدول5-11. نتیجه آزمون کلموگروف- اسمیرونوف برای امتیازات سه روش ورودتکی ................................................... 82
جدول 5-12. نتایج تحلیل واریانس برای ارزیابی امتیازات سه روش ورودتکی ................................................................... 83
26142953461547چهارده0چهاردهجدول 5-13. مزایای استفاده از مدل پیشنهادی .................................................................................................................. 84
چکیده
دنیای اینترنت و کامپیوتر هر روز در حال پیچیدهتر شدن و تکامل است. یکی از محصولات این تکامل، رایانش ابری است. با توجه به این موضوع، حساسیت داده‌ها و حفظ حریم خصوصی اطلاعات به طور جدی به عنوان یک نگرانی مهم برای سازمان‌ها تبدیل می‌شود. شرکت‌ها برای ارائه خدمات تخصصی مبتنی بر وب، توجه ویژه‌ای به ارائه دهندگان خدمات نرم افزار (ASPها) یا فروشندگان نرم افزار به عنوان سرویس (SaaS) دارند که باعث کاهش هزینه‌ها و ارائه برنامه‌های کاربردی خاص و متمرکز به کاربران می‌شود. این روش پیچیدگی طراحی، نصب، پیکربندی، گسترش و پشتیبانی از سیستم توسط منابع داخلی را حذف می‌کند که منافع زیادی به سازمان‌ها ارائهمیدهد.
سازمان‌ها اخیراً از منابع احراز هویت مرکزی برای برنامه‌های کاربردی داخلی و پورتال‌های مبتنی بر وب برای بیشتر قسمت‌های خود استفاده می‌کنند. احراز هویت ورود تکی، هنگامی‌که به درستی پیکربندی شدهباشد باعث ایجاد یک امنیت قوی می‌شود به این معنا که کاربران، نیاز به یادداشت و بهخاطر سپردن کلمات عبور سیستمهای مختلف ندارند. همچنین باعث سهولت مدیریت و حسابرسی کاربران می‌شود. با استفاده از یک استاندارد برای احراز هویت اطلاعات برای مبادله روی اینترنت می‌توان این مشکل را حل کرد. زبان نشانه‌گذاری اثبات امنیت، یک راه حل مبتنی بر XML و امن برای تبادل اطلاعات کاربر بین ارائه‌دهنده شناسه (سازمان) و ارائه‌دهنده سرویس (ASPها یا SaaSها) فراهم می‌کند. استاندارد زبان نشانه‌گذاری اثبات امنیت، قوانین و دستورات نحوی را برای تبادل اطلاعات تعریف می‌کند، در عین حال انعطاف پذیر است و اجازه انتقال داده‌های سفارشی به ارائه‌دهنده سرویس خارجی را می‌دهد.
در این پایان‌نامه سعی گردیده است که از مزایای رایانش ابری و ورود تکی بهترین استفاده برده شود و از آن برای ارتقا سیستمهای ورود تکی و به طور خاص برای ورود تکی با استفاده از استاندارد زبان نشانه‌گذاری اثبات امنیت استفادهشود. برای این منظور ابتدا مفاهیم و تعاریف اولیه مرتبط از جمله رایانش ابری، زبان نشانه‌گذاری اثبات امنیت، احراز هویت و ورود تکی مورد مطالعه قرارگرفتهاند. سپس بررسی کوتاهی در مورد روش‌های احراز هویت انجام گردیدهاست تا با استفاده از آن مدلی بهتر، کاملتر و متناسب با آنچه مورد نیاز است، ارائه گردد. همچنین تعدادی از مدلهای ارائه شده برای هر یک از مباحث بالا و ترکیب این مباحث مورد بررسی قرارگرفته است. با ترکیب و جمعبندی روش‌ها و اطلاعات بدستآمده، مدلی برای ورود تکی مبتنی بر رایانش ابری با استفاده از زبان نشانه‌گذاری اثبات امنیت به منظور کمک به فرایند ورود تکی در احراز هویت کاربران، پیشنهاد و شبیهسازی گردیده است. در نهایت پس از بیان مزایای مدل پیشنهادی، مشکلات احتمالی بررسی شده و برای رفع این مشکلات و همچنین مطالعات آینده پیشنهاداتی ارائه گردیده است.
کلید واژهها:
به فارسی:
امنیت اطلاعات در رایانش ابری، زبان نشانه‌گذاری اثبات امنیت در رایانش ابری
به لاتین:
Information security in cloud computing, SAML in cloud computing
-528290-5594795534876-557674
-157480-1798320فصل اول
مقدمه
مقدمه
دنیای فناوری اطلاعات روز به روز در حال گسترش است. از زمانی که رایانهها وارد زندگی بشر شدند، حدود 72 سال میگذرد. در طول این سالها عطش پیشرفت باعث به وجود آمدن فناوری‌های جدید شده‌است. همچنین از زمانی که اینترنت در اختیار کاربران قرار گرفتهاست، مدت زیادی نمیگذرد. اینترنت تحولی شگرف در تبادل اطلاعات به وجود آورده است. البته در آن زمان کسی به این فکر نمیکرد که روزی از اینترنت علاوه بر تبادل اطلاعات بتوان به عنوان یک سیستم پردازشی قوی استفاده کرد. اما امروزه بسیاری از پردازشها توسط سرورها انجاممیشود. مفاهیم ابتدایی محاسبات ابری از دههی 1162 میلادی گسترش یافت. اما محاسبات ابری به صورتی که در حال حاضر آنرا می‌شناسیم و در اختیار همگان قرارگرفته از سال 2226 توسط سایت آمازون بکار گرفته شده‌است. محاسبات ابری یک ایده‌ی قدیمی از منابع محاسباتی است که به عنوان یک ابزار استفادهشدهاست. محاسبات ابری یک محاسبه‌ی مبتنی بر اینترنت است که منابع مشترک، نرمافزار و اطلاعات، برای کامپیوترها و وسایل مورد تقاضا ارائهمیدهد. محاسبات ابری به افراد اجازه می‌دهد که منابع و خدمات توزیع‌شده را به اشتراک بگذارند. بنابراین محاسبات ابری از منابع توزیع‌شده در محیط باز استفاده می‌کند. در نتیجه برای اشتراک داده در توسعه‌ی برنامه‌های محاسبات ابری، امنیت و اطمینان فراهم می‌کند.
حساسیت داده‌ها و حفظ حریم خصوصی اطلاعات بهطور افزایشی به یک ناحیه نگرانی برای سازمان‌ها تبدیل می‌شود. جنبه‌های احراز هویت و اثبات هویت شامل استفاده، نگهداری و حفاظت از اطلاعات جمع‌آوری‌شده برای کاربران میباشد. جلوگیری از دسترسی غیر‌مجاز به منابع اطلاعات در ابر نیز یک عامل مهم است. همانطور که خدمات وب شایعتر می‌شوند، کسب‌و‌کار به دنبال ارائه خدمات ترکیبی به مشتریانی که آنها را به اشتراک می‌گذارند میباشد. این فرایند برای مشتریانی که باید نام‌های کاربری و کلمه‌های عبور مختلف را بهخاطر داشتهباشند و رزروهای مختلف روی بخش‌های مرورگرهای وب مختلف را با واسط‌های کاربری غیرواحد نشان‌دهنده‌ی وضعیت‌های رزرو مختلف نگهداری کنند مسئولیت دشواری است ]1، 2 و 3[.
زبان نشانه‌گذاری اثبات امنیت، استانداری برای ورود تکی کاربران به وب به صورت امن است که اولین بار در ژانویه سال 2001 توسط سازمان گسترش استانداردهای اطلاعات ساختاریافته معرفی شد و یک چارچوب مبتنی بر زبان نشانه‌گذاری توسعه‌پذیر برای تبادل اطلاعات احراز هویت و تصدیق و امنیت تبادل اطلاعات بکار گرفته شدهبود. آخرین به‌روزرسانی آن در سال 2005 بوده‌است. زبان نشانه‌گذاری اثبات امنیت در چند نسخه وارد بازار جهانی اینترنت شد. اولین نسخه زبان نشانه‌گذاری اثبات امنیت تحت عنوان SAML1 عرضه شد. سپس نسخه SAML1.1 آن ارائه شد که از نظر کارایی مگر جز تفاوت های کوچک، کاملاً مشابه SAML1 بود. در نهایت آخرین نسخه زبان نشانه‌گذاری اثبات امنیت که SAML2 نام گرفت در سال 2005 عرضه گردید تفاوت های اساسی با نسخههای قبلی این استاندارد داشت ]4[.
اگرچه هر دو نسخهی این استاندارد بر موارد استفاده یکسانی نظارت میکردند، SAML2 با نسخههای قبلی خود ناسازگار است. نسخههای اولیه زبان نشانه‌گذاری اثبات امنیت هیچ پروتکل خاص دیگری را در پرسوجوهای خود پشتیبانی نمی‌کند در حالی که نسخه نهایی زبان نشانه‌گذاری اثبات امنیت (SAML2) از پروتکل‌های زیادی پشتیبانی می‌کند که اکثر پروتکل‌ها کاملاً جدید هستند. هم SAML1 و هم SAML2 از امضاهای دیجیتال (مبتنی بر استاندارد امضای XML) برای احراز هویت و یکپارچگی پیام‌ها استفادهمیکنند. با استفاده از رمزگذاری XML، SAML2 عناصری برای تعیینکنندگان هویتِنام رمزگذاری شده، ویژگی‌های رمزگذاری شده و اثبات‌های رمزگذاری شده (SAML1 قابلیت رمزگذاری ندارد) فراهم‌می‌کند ]5[.
مهمترین چیزی که آدرس‌های زبان نشانه‌گذاری اثبات امنیت نیاز دارند، ورود تکی مرورگر وب است. راه حل‌های ورود تکی معمولاً در سطح اینترانت (برای مثال با استفاده از کوکیها) است اما توسعه این راه حلها ورای اینترانت مشکلزا می‌شود و منجر به گسترش تکنولوژیهای اختصاصی غیرقابل همکاری می‌شود. زبان نشانه‌گذاری اثبات امنیت قصد حل این نواقصی را دارد که توسط سازمان گسترش استانداردهای اطلاعات ساختاریافته توسعه یافته است. زبان نشانه‌گذاری اثبات امنیت با ارائه یک چارچوب مبتنی بر زبان نشانه‌گذاری توسعه‌یافته قصد حل مشکل تبادل اطلاعات امن را دارد. مهمترین مزیت زبان نشانه‌گذاری اثبات امنیت، گسترش آن و رشد اختیاری آن در صنعت است. این معمولاً بین سازمان‌ها و مشتریان آنها، شریکان کسب‌و‌کار و ارائه‌دهندگان ابر استفاده می‌شود. زبان نشانه‌گذاری اثبات امنیت از امنیت سطح اثبات، مقیاسپذیری و قابلیت اطمینان در هزاران محصول توسعه‌یافته جهانی برخوردار است.
اثبات‌های زبان نشانه‌گذاری اثبات امنیت در امنیت سرویس‌های وب برای امنیت پیام‌های سرویس‌های وب نیز مورد استفاده قرار میگیرند. امنیت سرویس‌های وب با استفاده از اثبات‌های زبان نشانه‌گذاری اثبات امنیت در قالب یک توکن امنیتی با پروفایل توکن زبان نشانه‌گذاری اثبات امنیت امنیت سرویس‌های وب را تعریف می‌کند. سرویس‌های وب امنیتی مجموعه‌ای از مشخصات است که ابزارهایی برای تامین حفاظت از امنیت پیام‌ها تعریف می‌کند. زبان نشانه‌گذاری اثبات امنیت از تعدادی اجزای بلوک ساختمان تشکیل شده‌است که هنگامی‌که به هم متصل می‌شوند، اجازه پشتیبانی تعدادی از موارد استفاده می‌دهد. مشخصات زبان نشانه‌گذاری اثبات امنیت، ساختار و محتوای اثبات‌ها که توضیحاتی در مورد یک اصل اثبات شده توسط یک بخش اثبات می‌دهد را تعریف می‌کند ]4 و 6[.
1-2 تعريف مسئله
محاسبات ابری از این ایده استفادهمیکند که کار انجامشده در سمت سرویسگیرنده می‌تواند به برخی از خوشههای نامرئی منابع در اینترنت حرکت کند [1]. محاسبات ابری، بسترهای مجازی‌سازی با منابع ارتجاعی همراه با ارائه‌ی مبتنی بر تقاضای سخت‌افزار، نرمافزار و مجموعه داده را به صورت پویا بکار می‌گیرد [2، 3]. محاسبات ابر به هزینه کم آن و سادگی، هم برای ارائه‌دهندگان و هم برای کاربران متکی است [7، 8[. اما اینترنت مکانی نیست که ارائه‌دهندگان کنترل کاملی روی آن داشتهباشند. به دلیل نگرانی‌های امنیتی، محاسبات ابر به برخی از کاربران مربوط نمیباشد. به عنوان یک محیط مجازی، محاسبات ابری تهدیدات امنیتی خاص خود را دارد و این تهدیدات کاملا متفاوت از تهدیدات در سیستمهای فیزیکی است. در این مقاله برخی از نگرانی‌های امنیتی در محاسبات ابری خصوصاً در امنیت داده‌ها بررسی می‌شوند.
بخش بازنگری شده به شرح زیر است: در بخش 2، مدلهای سرویس ابر و نگرانی‌های امنیتی آن بررسی می‌شود. بخش 3 به بررسی مدلهای امنیت اطلاعات میپردازد. سپس در بخش 4، مدل امنیتی اطلاعات جدیدی برای محاسبات ابر ارائه‌شده است و در نهایت در بخش 5، کارهای آینده و نتایج مورد بحث قرار گرفتهاست. امروزه محاسبات ابري توجه زيادي را به خود جلب كرده‌است. رسانه و همچنين تحليلگران در مورد فرصتهايي كه محاسبات ابري پيشنهاد ميدهد بسيار مثبت هستند. در ماه مي سال 2008، مريل لينچ مزاياي هزينهاي محاسبات ابري را 3 تا 5 برابر برنامههايكاربردي تجاري و بيش از 5 برابر برنامههايكاربردي مصرفكننده تخمين زدهاست. طبق انتشارات گارتنر2 در ماه جون سال 2008، قدرت و نفوذ محاسبات ابری کمتر از تجارت الكترونيكي نيست.
گرايش مثبت به سمت اهميت و تاثير محاسبات ابري كه نتيجه پيش‌بيني‌هاي مرتبط به بازار ابري است، خوش‌بين ميباشد. در اكتبر سال 2008، IDC، پيش‌بيني كرد تا سال 2012 زمان صرفشده روي سرويس‌هاي ابري رشدي تقريبا سه برابر خواهد داشت كه نتيجه آن رسيدن به 42 ميليارد دلار ميباشد. همين شركت تحليلگر گزارش داد كه سود هزينه مربوط به مدل ابري حتي در ركود اقتصادي جذاب‌تر خواهدشد. چشم‌انداز مثبت بازار نيز با انتظار اينكه محاسبات ابري ممكن‌است رويكرد اساسي‌اي به سوي فناورياطلاعات سبز شود، رانده شده است. با وجود پوشش گسترده محاسبات ابري در مطبوعات تجاري، هنوز هيچ توافق عمومي‌اي در مورد اينكه محاسبات ابري واقعاً چيست و چگونه به محاسبات گريد مربوط ميگردد وجود ندارد. براي بدستآوردن درك درستي از آنچه كه محاسبات ابري است، در ابتدا نگاهي به چند تعريف موجود از اين اصطلاحات پرداختهميشود. براساس اين تعاريف، مشخصات كليدي محاسبات ابري شناسايي ميشود ]9[. سپس معماري رايج و مولفه‌هاي ابرها بهطور مفصل بررسي می‌شوند، در مورد فرصتها و چالشهاي محاسبات ابري بحث و يك دسته بندي از ابرها ارائه می‌شود.
1-3 تبیین صورت مسئله
با توجه به مطالب ذکر شده در مقدمه، در این پایان‌نامه مباحث مرتبط با محاسبات ابری و انواع آن، چالشها و فرصتهای محاسبات ابری، امنیت محاسبات ابری، روش‌ها و استانداردهای ورود تکی، زبان نشانه‌گذاری اثبات امنیت و کاربردهای آن در سرویس‌های وب مورد مطالعه قرارگرفته و مزایا و معایب آن مشخص شده‌است. همچنین مدلهای مختلف مربوط به ورود تکی بررسی شده و از ایدههای داده‌شده در آنها به منظور بهبود زبان نشانه‌گذاری اثبات امنیت برای ورود تکی امن‌تر استفاده گردید. با توجه به اینکه روش‌های ورود تکی سنتی معایب و مشکلات زیادی از جمله هزینههای زیاد، مشکل بهخاطر سپردن نامهایکاربری و رمز عبور، استفاده از این نامهایکاربری و رمز عبورهای متعدد در هر بار استفاده از خدمات وب و هدر رفتن زمان را به همراه دارد، در این پایان‌نامه تلاش شده‌است مدلی برای بهبود استفاده کاربر از خدمات و سرویس‌های وب مبتنی بر اینترنت با استفاده از زبان نشانه‌گذاری اثبات امنیت در محاسبات ابری ارائه گردد.
1-4 ساختار پایان‌نامه
در فصل اول این پایان‌نامه پس از بیان مقدمه‌ای بر موضوع، مسئلهای که قرار است روی آن کار شود بیان شده‌است. در فصل دوم به مفاهیم و تعاریف اولیه، مزایا و معایب هر یک از مباحث مرتبط، از جمله محاسبات ابری، انواع آن، مدلهای آن، چالشها و فرصتها، سطوح دسترسی و میزان اختیارات و عوامل مربوط به احراز هویت و تصدیق پرداخته شده‌است. همچنین استاندارد زبان نشانه‌گذاری اثبات امنیت و اجزای آن، زبان نشانه‌گذاری اثبات امنیت در امنیت سرویس‌های وب و حالتهای استفاده از آن، استفاده از توکن زبان نشانه‌گذاری اثبات امنیت در سرویس‌های وب به صورت مفصل بیان شده‌اند. همچنین بررسی مختصری در مورد احراز هویت ورود تکی به وب با استفاده از زبان نشانه‌گذاری اثبات امنیت ارائه داد. در فصل سوم چند سیستم ورود کی بهطور مختصر بیان شده است. همچنین تعدادی از مدلهای ارائه‌شده برای ورود تکی به همراه مزایا و معایب هر کدام بهطور اجمالی ارائه گردیده است. در نهایت پروتکل کربروس و فرایند احراز هویت ورود تکی به وب با استفاده از زبان نشانه‌گذاری اثبات امنیت و مزایا و معایب هر کدام به تفصیل آورده شده است تا بتوان با ترکیب و جمعبندی روش‌ها و اطلاعات بدستآمده از این مدلها، مدلی برای کمک به ورود تکی کاربران و سرویسدهی بهتر به آنها ارائه داد. در فصل چهارم با استفاده از تمام اطلاعات و مطالعات انجامشده مدلی برای بهبود ارائه خدمات و سرویس‌های وب مبتنی بر اینترنت با استفاده از زبان نشانه‌گذاری اثبات امنیت در محاسبات ابری به کاربر پیشنهاد و سعی در مدلسازی آن شده‌است. در نهایت در فصل پنجم مدل مورد بررسی قرار گرفتهاست. برای ارزیابی و بررسی مدل از پرسشنامه استفادهشدهاست که نتایج این پرسشنامه با تحلیلهای آماری در این فصل آورده شده‌است. همچنین مزایای مدل پیشنهادی بیان و مشکلات احتمالی بررسی شده‌اند و برای آنها و همچنین مطالعات آینده پیشنهاداتی ارائه گردیده و نتیجهگیری کلی انجام شده‌است.
-227570-1797961فصل دوم
محاسبات ابری، چالشها و راهکارها
2-1 مقدمه
محاسبات ابری از ایده‌ی منابع محاسباتی به عنوان یک ابزار استفاده کرده است که هزینههای زیاد توسعه را کاهش و سرویس جدیدی در اینترنت گسترش می‌دهد. بهطور کلی، ابر از مجموعه‌ای از سرویس‌ها، برنامه‌های‌کاربردی، اطلاعات و زیرساخت تشکیل شده است که منابع محاسباتی، شبکه، اطلاعات و منابع ذخیره‌سازی را توصیف می‌کند ]1 و 2[. محاسبات ابری محاسبات مبتنی بر اینترنت است که منابع مشترک، نرمافزار و اطلاعات، برای کامپیوترها و وسایل مورد تقاضا ارائهمیدهد. محاسبات ابری به افراد اجازه می‌دهد که منابع و سرویس توزیع‌شده را به اشتراک بگذارند. بنابراین محاسبات‌ابری از منابع توزیع‌شده در محیط باز استفاده می‌کند. در نتیجه برای اشتراک داده در توسعه‌ی برنامه‌های محاسبات ابری، امنیت و اطمینان فراهم می‌کند. محاسبات ابری باعث افزایش نگرانی‌های امنیت، حفظ حریم خصوصی و اطمینان می‌شود که این نگرانیها عبارتند از:
چگونه داده‌های صحیح توسط ارائه‌دهندگان ابر ذخیره و بکار گرفته می‌شود؟
چگونه حفظ حریم خصوصی داده‌ها بهطور مناسبی مدیریت می‌شود؟
آیا ارائه‌دهندگان ابر با قوانین و دستورالعمل‌ها موافقت می‌کنند؟
آیا ارائه‌دهندگان ابر در مقابل حملات بهطور مناسبی محافظت می‌شوند ]3[؟
کنترل‌های امنیتی در محاسبات ابری، در اکثر موارد، هیچ تفاوتی با کنترل‌های امنیتی محیط IT ندارد. به دلیل اینکه مدلهای سرویس ابری بکارگرفته شده، از مدلهای عملیاتی و فناوری‌هایی برای فعال کردن سرویس ابر استفاده می‌کنند، محاسبات ابری ممکن‌است خطرات مختلفی برای یک سازمان نسبت به راه حل‌های سنتی IT ارائه دهد ]1[. با افزایش توسعه‌ی محاسبات ابری، حوادث امنیتی متعددی بوجود می‌آید. کاربران ابر می‌توانند از تمرکز تخصص‌های امنیتی در ارائه‌دهندگان ابر بزرگ بهره‌مند شوند، که بهترین روش امنیتی برای کل اکوسیستم را تضمین می‌کند. از سوی دیگر، یک خرابکار می‌تواند بسیاری از کاربران را مختل کند. برای مثال، فرستندگان اسپم، محاسبات ابر ارتجاعی را خراب می‌کنند و باعث اختلالات یک بخش بزرگی از آدرس‌های IP محاسبات ابر می‌شوند ]10[. وضعیت قرارگیری امنیت سازمان با بلوغ، اثربخشی و کامل‌بودن کنترل‌های امنیتیِ تعدیلِ خطر پیادهسازی شده مشخص می‌شود. این کنترل‌ها در یک یا چند لایه در محدوده‌ای از امکانات (امنیت فیزیکی)، زیرساخت‌های شبکه (امنیت شبکه)، سیستمهای فناوری اطلاعات (سیستمهای امنیتی)، رویکرد‌های اطلاعات و برنامه‌های‌کاربردی (امنیتی نرمافزار) پیادهسازی شده است ]1[.
2-2 تاریخچه‌ی محاسبات ابری
مفاهیم ابتدایی محاسبات ابری به دههی ۱۹۶۰ میلادی بر‌میگردد. این مفهوم که توسط جان مک کارتی از بنیانگذاران هوش مصنوعی ارائه شد، بعدها مورد بررسی بیشتری قرار گرفت. محاسبات ابری به صورتی که در حال حاضر آن را می‌شناسیم و در
اختیار همگان قرارگرفته، از سال ۲۰۰۶ توسط سایت آمازون انجامشده است. این سایت در سال ۲۰۰۶ امکان دسترسی به سیستم خود را از طریق وب سرویس‌های آمازون بر پایهی محاسبات ابری ارائه کرد. وب سرویس‌های آمازون، زیرساخت‌های فناوری اطلاعات را به صورت سرویس‌های انعطاف پذیر به مشتریان ارائهمیدهد که شامل سرویس‌های پردازشی، ذخیره‌سازی، تحویل محتوا، پایگاهداده، تجارت الکترونیک، پرداخت و صورتحساب میباشد. یک سال بعد در سال ۲۰۰۷، گوگل و آیبیام پروژههایی در مقیاس بزرگ در زمینهی محاسبات ابری آغاز کردند ]11[.
2-3 چند نمونه
در این بخش سه سیستم محاسباتی اولیه ارائه می‌شود که ویژگی‌های مشابهی با آنچه امروزه محاسبات ابری نامیده می‌شوند دارند:
2-3-1 مالتیکس
یک جنبه قابل توجه آن اصول طراحی امنیت آن بود. مالتیکس ابتدا بیشتر از مکانیزم‌های محافظت مبتنی بر دستور نسبت به مبتنی بر اجرا استفاده می‌کرد. در هر دسترسی به شی، اختیارات فعلی بررسی می‌شد. دوم، مالتیکس یک شکل از رهنمودهای کرخوفسک با نگهداری طراحی باز برای مکانیزم‌ها و رمزهای کلیدی آن را شامل می‌شد. سوم، سیستم همیشه در حداقل امتیاز فعالیت می‌کرد. درنهایت، طراحی، به صراحت اهمیت قابلیت استفاده انسان با ازدیاد حملات مهندسی اجتماعی را به رسمیت می‌شناخت. طراحی امنیتی مالتیکس، اهمیت مدیریت سیستم جلوگیری از تنگناهای تصمیم‌گیری را بیان می‌کند. در غیر این صورت، کاربران خواستار گذشتن از مدیریت از طریق عادت و مکانیزم‌های محافظت از سازش هستند. مالتیکس، برای انجام امنیت، یک حالت مطلق ندارد، بلکه اجازه می‌دهد کاربران زیرسیستم‌های محافظتشده بسازند. بهطور مشابه، کاربران مختلف محاسبات ابر، خواستار نیازهای ایمنی مختلفی هستند که یک طراحی خوب می‌تواند سطوح ایمنی و مکانیزم‌های امنیتی را ارائه دهد. ارائه‌دهندگان ابر اولین گام‌ها را با ارائه‌ی نمونه‌ی ابرهای خصوصی مجازی، با منابع اختصاصی و شبکه‌های خصوصی مجازی که جداسازی را تضمین می‌کند آغاز کرده‌اند ]8 و 10[.
2-3-2 ناظران ماشین‌های مجازی اولیه2
کار ناظران ماشین‌های مجازی اولیه زیاد است. استدلالی برای امن‌تر بودن ناظران ماشین مجازی از سیستمهای کامپیوتری معمولی ارائه‌شده است: اول، سطوح پایین‌تر عملکرد چند برنامه‌ای (مثلاً اجرای همزمان) منجر به سطوح پایین‌تر ریسک‌های شکست‌های امنیتی می‌شود. یک سیستم‌عامل تک برنامه‌ای ریسک امنیتی کمتری از یک سیستم‌عامل که چندین برنامه‌ی همزمان را اجرا می‌کند دارد. در نتیجه، ناظران ماشین‌های مجازی با سطوح عملکرد چند برنامه‌ای پایین، امنیت بیشتری از سیستم‌عامل‌های با سطوح عملکرد چندبرنامهای بالا خواهند داشت. دوم، حتی اگر سطح عملکرد چندبرنامهای یکسان باشد، ناظران ماشین‌های مجازی امن‌تر هستند، زیرا برای اشکال‌زدایی ساده‌تر و راحت‌تر هستند. سوم، یک سیستم‌عامل مهمان که روی یک ناظر ماشین مجازی و در چرخه‌ی اجرا روی فلز سخت اجرا می‌شود، تنها زمانی که هر دو سیستم‌عامل مهمان و ناظر ماشین مجازی بهطور همزمان شکست بخورد نقض امنیتی رخ می‌دهد. در نتیجه یک ناظر ماشین مجازی که در حال اجرای k سیستم‌عامل مهمان و هر سیستم‌عامل در حال اجرای n برنامه است نسبت به یک سیستم‌عامل که n×k برنامه را اجرا می‌کند، به راحتی شکست می‌خورد. چهارم، شکست هر برنامه مستقل است و از اینرو احتمال شکست به صورت ضرب است. بهطور کلی هر برنامه‌ی روی یک ناظر ماشین مجازی در حال اجرای k سیستم‌عامل مهمان، که هریک از سیستمعاملها در حال اجرای n برنامه است بسیار کمتر از برنامه‌ی مشابه روی یک سیستم‌عامل با n×k برنامه شکست می‌خورد. این استدلال، سه فرض مهم ایجاد می‌کند. اول، ناظران ماشین‌های مجازی ساده هستند. دوم، سیستم‌عامل‌های مهمان یک سطح عملکرد چند برنامه‌ای پایین‌تری دارند. سوم، ناظران ماشین‌های‌مجازی و سیستم‌عامل‌های مهمان، شکست‌های مستقل دارند. ناظران ماشین‌های مجازی مدرن همه‌ی این سه فرض را زیر سوال می‌برند. امروزه یک سیستم‌عامل مهمان معمولاً سطح مشابهی از عملکرد چندبرنامهای را به عنوان سیستم‌عامل محلی دارد. کاربران با سیستم‌عامل‌های مهمان به روش مشابهی که می‌توانند با یک سیستم‌عامل محلی رفتار کنند، عمل می‌کنند. که فرض اینکه سیستم‌عامل‌های مهمان سطوح عملکرد پایین‌تری دارند را تضعیف می‌کند ]12 و 13[.
2-3-3 شرکت CSS ملی
بنیانگذاران شرکت، حرکت روبه جلوی هزینه‌ها به هزینههای متغیر را پیش‌بینی کردند و شرکت به دلیل انعطاف‌پذیری افزایش‌یافته موفق شد که قابلیت محاسباتی جدا شده‌ی آماده‌ی خود را ارائه‌دهد ]14[.
2-4 مفاهیم
2-4-1 تعریف محاسبات ابری
اصطلاح محاسبات ابري به روشهاي مختلفي توسط شركت‌هاي تحليلگر، دانشگاهيان، شاغلان صنعت و شركت‌هاي فناورياطلاعات تعريف شده است. جدول 2- 1 توصيف تعدادي از شركت‌هاي تحليلگر محاسبات ابري را نشان ميدهد.
جدول 2-1: تعاريف محاسبات ابري توسط شركت‌هاي تحليلگر منتخب.
منبعتعریفGartner"سبكي از محاسبات كه در آن انبوه قابليتهاي مرتبط با فناورياطلاعات "به عنوان يك سرويس" با استفاده از فناوريهاي اينترنت به چندين مشتري خارجي ارائه ميگردد. ". IDC"ظهوري از توسعه فناورياطلاعات، مدل استقرار و تحويل، امكان ارائه تحويل محصول به صورت بيدرنگ، سرويس‌ها و راه حلهايي روي اينترنت (به عنوان مثال، امكان ارائه خدمات ابري)". NIST"یک مدل برای دسترسی مناسب شبکه‌ی مورد تقاضا به یک مخزن مشترک از منابع محاسباتی پیکربندی‌شده مانند شبکه‌ها، سرورها، حافظه، برنامه‌های‌کاربردی و سرویس میباشدکه می‌تواند به سرعت با حداقل تلاش‌های مدیریت یا تعامل ارائه‌دهنده‌ی سرویس، ارائه و منتشر شود ]2 و 15[."Merrill Lynch"ايده تحويل شخصي (مانند پست الكترونيكي، پردازشگر كلمه، ارائه‌ها) و برنامههايكاربردي توليد تجارت (مانند اتوماسيون قسمت فروش، مشتري، سرويس، جواب‌گويي) از سرورهاي متمركز". گروه 451"مدل سرويسي است كه يك اصل سازماندهي كلي را براي تحويل مولفه‌هاي زيرساخت فناورياطلاعات، يك رويكرد معماري و يك مدل اقتصادي را تركيب مي‌كند. اساساً تلاقي محاسبات گريد، مجازيسازي، محاسبات ابزاري، ميزباني و نرمافزار به عنوان سرويس "(SaaS) .
تمامي اين تعاريف مشخصه مشتركي دارند: تمامي آنها تلاش در توصيف و تعريف محاسبات ابري از ديدگاه و نقطه نظر كاربر نهايي را دارند و تمركز آنها روي اين مسئله است كه كاربر نهايي ممكن‌است چگونه آن را تجربه كند. طبق اين تعاريف، مشخصه‌ي هستهاي محاسبات ابري فراهم‌كردن زيرساخت فناورياطلاعات و برنامههايكاربردي به عنوان سرويس به صورت مقياسپذير است. تعريف محاسبات ابري حتي در جامعه علمي هم موضوع بحث شده است. همانند مطبوعات تجاري، نظرات مختلف در مورد اينكه محاسبات ابري چيست و چه مشخصههاي ويژه‌اي دارد، وجود دارد. در مقايسه با تعاريف مطبوعات تجاري، تعاريف در ادبيات علمي نه تنها شامل ديدگاه كاربر نهايي بلكه به جنبه‌هاي معماري نيز مي‌پردازد. به عنوان مثال، آزمايشگاه بركلي راد محاسبات ابري را اينگونه تعريف مي‌کند:
"محاسبات ابري هم به برنامههايكاربردي تحويل داده‌شده تحت اينترنت به عنوان سرويس اشاره دارد و هم به سخت‌افزار و نرمافزار سيستم‌ها در مراكز داده كه اين سرويس‌ها را فراهم مي‌كنند. مدتهاست كه به خود سرويس‌ها به عنوان، نرمافزار به عنوان سرويس (SaaS)اشاره ميشود. سخت‌افزار و نرمافزار مركز داده همان چيزي است كه آن را يك ابر مي‌ناميم. وقتي كه اين ابر به روش پرداخت هزينه و استفاده در اختيار عموم قرار گيرد، به آن ابر عمومي گويند. سرويس فروختهشده محاسبات ابزاري است. واژه ابر خصوصي به مراكز داده دروني يك تجارت يا ديگر سازمان‌ها اشاره دارد كه در اختيار عموم نيست. بنابراين، محاسبات ابري مجموع SaaS و محاسبات ابزاري است اما شامل ابرهاي خصوصي نيست. افراد ميتوانند كابران و فراهم‌كنندگان SaaS و يا كاربران و فراهم‌كنندگان محاسبات ابزاري باشند."
اين تعريف ديدگاههاي متفاوت روي كليد را با هم آوردهاست: از ديدگاه فراهمكننده، مولفه اصلي ابر، مركز دادهاست. مركز داده شامل منابع سختافزاري خام براي محاسبات و ذخيرهسازي است، كه به همراه نرمافزار به "صورت پرداخت هزينه و استفاده" ارائه ميشوند. از ديدگاه هدفشان، ابرها به دو دسته خصوصي و عمومي تقسيم ميشوند. مستقل از هدف ابرها، مهمترين هدف ابرها يكپارچهسازي سخت‌افزار و نرمافزارهاي سيستم با برنامههايكاربردي ميباشد، يعني يكپارچهسازي محاسبات ابزاري وSaaS . همچنين Reese بيان ميدارد كه يك ابر ميتواند هم نرمافزار و هم زيرساخت باشد و چگونگي مصرف سرويس‌هاي ابري را خاطر نشان كرده‌است: "سرويس وب از طريق مرورگر وب (بهطور غير اختصاصي) و يا APIهای وب سرويس‌ها قابل دسترسي است. براي شروع نياز به هزينهاي نيست. در واقع افراد تنها براي آنچه استفادهميكنند هزينه ميپردازند." Foster و همكارانش محاسبات ابري را اينگونه تعريف مي‌كنند: "يك نمونه محاسباتي توزيعشده در مقياس بزرگ كه از صرفهجوييهاي مقياس نشات گرفتهاست، استخري است از انتزاع، مجازيسازي، به صورت پويا مقياسپذير، نيروي محاسباتي قابل مديريت، حافظههاي ذخيرهسازي، پلتفرمها و سرويس‌هايي كه از طريق اينترنت براساس تقاضاي مشتريان خارجي در اختيار آنها گذاشته ميشود."
دو ايده مهم كه در تعريف Foster و همكارانش اضافه شده است: مجازيسازي و مقياسپذيري است. مجردسازي محاسبات ابري از طريق مجازيسازي سخت‌افزار و نرمافزار سيستم زيرين انجام ميشود. منابع مجازي از طريق يك واسط مجرد از قبل تعريف‌شده (يك واسط برنامه‌كاربردي (API يا يك سرويس فراهم ميشوند. بنابراين، در سطح سخت‌افزار خام، منابع ميتوانند طبق درخواست فرستاده‌شده به واسط اضافه و يا خارج گردند، در حالي كه واسط كاربر هيچ تغييري نكند. اين معماري روي لايه فيزيكي ابر، بدون تاثير روي واسط به كاربر مقياسپذير و منعطف است. سرانجام Vaquero و همكارانش، حدود 22 تعريف از محاسبات ابري كه همه در سال 2008 ارائه‌شده بودند را تحليل كردند. براساس آن تحليل، Vaquero و همكارانش تعريف زير را ارائه دادند كه هدف آن بازتاب درك كنوني از محاسبات ابري است: "ابرها استخر بزرگي از منابعي هستند كه قابل استفاده و دسترسي به صورت مجازي و به سادگی (مانند سخت‌افزار، پلتفرمهاي توسعهيافته و/يا سرويس‌ها) ميباشند. اين منابع ميتوانند بهطور پويا پيكربندي مجدد شوند تا در مورد يك بار (مقياس) متغير و همچنين استفاده بهينه از يك منبع متعادل گردند. اين استخر از منابع نوعاً براساس مدل پرداخت به ازاي استفاده كه در آن تضمينها توسط فراهمكننده زيرساخت و توسط SLAها تنظيمشده پيشنهاد شده است، ارائه ميگردد."
به علاوه Vaquero و همکارانش مقياسپذيري، مدل استفاده براساس پرداخت و مجازيسازي را به عنوان مجموعه مشخصهاي كه، مينيمم تعريف ابرها دارند، خلاصه مي‌كنند. به هر حال، در حالي كه تعريف Vaquero و همكارانش ديگر تعريفات را با توجه به لايه فيزيكي خيلي خوب خلاصه كرده‌است اما به يكپارچهسازي سخت‌افزار با نرمافزار به عنوان يك سرويس به ميزان كافي اشاره نكرده‌است. تمامي تعريفات بيانميدارند كه محاسبات ابري محيطي است كه شامل تعدادي جنبه است و مربوط به نمونهاي جديد از فناورياطلاعات (تحويل و توسعه سخت‌افزار و برنامههايكاربردی) ميباشد. بهطور كلي، محاسبات ابري در رابطه با تحويل قابليتهاي فناورياطلاعات به مشتريان خارجي است و يا از ديدگاه كاربر، شامل تحويل قابليتهاي فناورياطلاعات از يك فراهمكننده خارجي، به عنوان يك سرويس به صورت پرداخت به ازاي استفاده و از طريق اينترنت ميباشد. به علاوه، مقياسپذيري و مجازيسازي به عنوان مشخصههاي كليدي محاسبات ابري ديده شده‌اند، مقیاسپذيري به تعديل منابع فناورياطلاعات فراهمشده به نسبت بار متغير اشاره دارد. به عنوان نمونه، افزايش و يا كاهش تعداد كاربران، ظرفيت ذخيرهسازي مورد نياز يا قدرت پردازش. مجازيسازي، كه به عنوان اساسي در تمامي معماريهاي محاسبات ابري است، اصولا براي تجريد و كپسولهسازی استفاده ميشود. تجريد اجازه ميدهد تا محاسبه خام، فضاي ذخيرهسازي و منابع شبكه به عنوان استخري از منابع متحد شوند و پوشش و جايگيري منبعي مانند سرويس‌هاي ذخيرهسازي داده را روي آنها امكان ميسازد. سرانجام اينكه كپسولهسازي برنامههايكاربردي امنيت، قابليت مديريت و ايزوله‌سازي را بهبود دادهاست. مشخصه مهم ديگر ابرها يكپارچهسازي سخت‌افزار و نرمافزار سيستم با برنامههايكاربردي است. هم سخت‌افزار و هم نرمافزار سيستم، يا زيرساخت و برنامههايكاربردي به عنوان سرويس در يك محيط يكپارچه ارائه ميشوند ]9[.
2-4-2 مشخصات اصلی محاسبات ابری
محاسبات ابری چند ویژگی اصلی دارد که ارتباط و تفاوت آنها را از روش‌های محاسبات سنتی نشان می‌دهد:
خدمات سلف سرویس مورد تقاضا: ارائه‌دهنده محاسبات ابری باید توانایی ارائه منابع محاسباتی در هر زمانی که مشتری به آنها نیاز دارد را داشتهباشد. در واقع مصرف‌کننده می‌تواند بهطور یک جانبه قابلیت‌های محاسباتی مانند زمان سرور و حافظه‌ی شبکه مورد نیاز را به صورت خودکار، بدون نیاز به تعامل انسان با یک ارائه‌دهنده سرویس فراهم کند. از نقطه نظر مشتری، منابع محاسباتی، تقریباً در دسترسی نامحدود هستند.
دسترسی به شبکه گسترده: محاسبات ابری از فناوری‌های شبکه‌ی موجود برای ارائه سرویس به مشتریان استفاده و میان سهامداران اتصال برقرار می‌کند. همچنین سرویس نرمافزاری مبتنی بر ابر را ترویج می‌دهد.
ادغام منابع: هر ارائه‌دهنده‌ی ابر، مشتریان متعددی دارد. مشتریان، منابع محاسباتی را به صورت پویا از یک مخزن منابع گرفته و آنها را به مخازنی که هیچ تقاضایی وجود ندارد منتشر می‌کنند. میزانی از استقلال وجود دارد که مشتری بهطور کلی هیچ کنترل و یا دانشی از محل دقیق منابع ارائه‌شده ندارد، اما ممکن‌است قادر به تعیین محل در سطح بالاتری از انتزاع (به عنوان مثال کشور، ایالت و یا مرکز داده) باشد. نمونه‌هایی از منابع شامل ذخیره‌سازی، پردازش، حافظه، پهنای باند شبکه و ماشین‌های‌مجازی است.
قابلیت ارتجاعی سریع: براساس توافق‌نامه سطح سرویس خاص، ارائه‌دهنده ابر، منابع ارائه‌شده برای پاسخگویی به نیازهای در حال تغییر مشتری را برآورده می‌سازد که تخصیص منابع را با توجه به خواسته‌های فعلی جمع‌آوری‌شده از کاربران خود برآورده می‌کند و در غیر این صورت احتمالاً غرامت مشخصی برای عدم برآورده‌کردن توافق‌نامه سطح سرویس مربوطه به هر یک از مشتریان پرداخت می‌کند. قابلیت‌ها می‌تواند به سرعت و به صورت ارتجاعی و در برخی موارد بهطور خودکار با سرعت خارج از مقیاس تأمین و به سرعت در مقیاس داخل منتشر شود. برای مشتری، قابلیت‌های موجود برای تأمین اغلب نامحدود است و می‌تواند در هر مقدار و در هر زمان خریداری شود. تأمین منابع می‌تواند به سرعت رخ دهد، همچنین تقاضا برای منابع ممکن‌است به صورت پویا متفاوت باشد.
پرداخت نسبت به استفاده: یک جنبه‌ی جدید دیگر محاسبات ابر، مدل حسابداری مبتنی بر استفاده از برنامه‌های‌کاربردی است. سیستمهای ابر بهطور خودکار استفاده از منابع را با بکارگیری قابلیت اندازه‌گیری در برخی سطوح انتزاع مناسب و بسته به نوع سرویس (به عنوان مثال ذخیره‌سازی، پردازش، پهنای باند یا حساب‌های کاربری فعال) کنترل و بهینه‌سازی می‌کنند. استفاده از منابع برای انواع مختلف سرویس براساس معیار نوع سرویس اندازه‌گیری می‌شود و مشتری تنها برای استفاده کوتاه مدت از پردازنده‌ها و ذخیره‌سازی هزینه میپردازد. به عنوان مثال استفاده می‌تواند در افزایش ساعت یا روز بکار رود، آنچه می‌تواند هزینههای سرمایه‌گذاری را به هزینههای عملیاتی تبدیل کند ]1، 2، 9، 15 و 16[.
2-5 معماری و مولفههای ابر
در این بخش ابتدا یک دیدگاه کلی از ایدهها با توجه به ساختار و مولفههای ابر ارائه می‌شود. سپس معماری سه لایه ابرها بین خواهدشد.
2-5-1 دیدگاه کلی از ایدههای موجود برای ساختارهای ابری و مولفههای آن
در منابع موجود ساختارهای ابری زیادی را می‌توان یافت که این دستهبندیها در نگاه اول متفاوتند اما در نهایت طبقه‌بندی و توصیف پدیدهی مشابهی را به اشتراک می‌گذارند. ساختاری با جزئیات کامل با هفت مولفه محاسبات ابری ارائه می‌دهد که شامل برنامه‌کاربردی، کلاینت، زیرساخت، پلت‌فرم، سرویس، فضای ذخیره‌سازی و قدرت محاسباتی می‌شود. به روش‌های متفاوتی که یک شرکت می‌تواند از محاسبات ابری برای توسعه برنامه‌های‌کاربردی تجاریاش استفاده کند نگاه میاندازد و چهار نوع متفاوت از توسعه سرویس ابری شامل نرمافزار به عنوان سرویس، پلت‌فرم به عنوان سرویس، سرویس‌های وب و محاسبات بر مبنای تقاضا را برمیشمرد. محاسبات بر مبنای تقاضا آنطور که بیان داشتهاست، همان محاسبات ابزاری است. Youseff و همکارانش برای محاسبات ابری پنج لایه قائل شده‌اند: برنامه‌کاربردی ابری، محیط نرمافزاری ابری، زیرساخت نرمافزاری ابری، کرنل نرمافزاری و سخت‌افزار/میانافزار.
مرکز تحقیقات Forrester مولفههای ابرها را به بازارها مربوط کرده است و پنج بازار سرویس ابری را مشخص کرده است. دو مورد از این بازارها، یعنی سرویس‌های مبتنی بر وب و راهنماهای SaaS، به عنوان بازارهایی که از ابر تحویل دادهمیشوند، شناخته می‌شوند در حالی که سه زیرساخت بازاری ابری که به عنوان سرویس جدیدی هستند عبارتند از: مولفههای برنامه‌های‌کاربردی به عنوان سرویس، پلت‌فرم نرمافزار به عنوان سرویس و زیرساخت مجازی به عنوان سرویس. سرانجام Reese، SaaS را به عنوان نرمافزاری در ابر مورد ملاحظه قرار دادهاست و چهار مدل زیرساخت ابری به نام‌های پلت‌فرم به عنوان سرویس، زیرساخت به عنوان سرویس، ابرهای خصوصی و مدل چهارم که تمامی جنبه‌های مدلهای زیرساخت ابری قبلی را ارائه می‌دهد، قائل شده است. ایدههای بالا توصیف کاملی از یک زیرساخت ابری و مولفههایش ارائه نمی‌کند. ایدهای که اغلب برای توصیف یک ساختار نوعی از ابرها و مولفههایش استفادهمیشود ایده‌ی سه لایهای است که در بخش بعدی توضیح دادهمیشود ]9 و 17[.
2-5-2 مدلهای سرویس محاسبات ابری
تعاریفی که در بخش (تعاریف ابر) ارائه شد، نشان داد که محاسبات ابری شامل قابلیت‌های متفاوت فناوری اطلاعات شامل زیرساخت، پلتفرمها و نرمافزار است. می‌توان گفت اشکال، بخش‌ها، قسمتها، استایلها، انواع، سطوح یا لایه‌های متفاوت محاسبات ابری بدون توجه به اصطلاحات بکاررفته، این دستهبندی سه لایه برای محاسبات ابری بیشتر رایج است. از آنجایی که تحویل منابع فناوری اطلاعات یا قابلیت‌ها به عنوان سرویس مشخصه مهمی از محاسبات ابری است، سه لایه معماری محاسبات ابری عبارتند از (شکل 2-1):
1) زیرساخت به عنوان سرویس (IaaS) 2)پلت‌فرم به عنوان سرویس (PaaS) 3)نرمافزار به عنوان سرویس (SaaS)
در ادامه سه لایه محاسبات ابری و ارتباط آنها با یکدیگر بیان می‌شود.
756920-175260زیرساخت به عنوان سرویس (IaaS)پلت‌فرم به عنوان سرویس (PaaS)یکپارچگی عمودیپلتفرم به عنوان سرویسنرم افزار به عنوان سرویس (SaaS)نرم افزار به عنوان سرویسGoogle AppsSalesforce.comGoogle Apps EngineForce.comیکپارچگی افقیزیرساخت به عنوان سرویسSun Cloud Storage ServiceAmazon EC2JoyentAmazon S3Sun Cloud Compute Serviceزیرساخت به عنوان سرویس (IaaS)پلت‌فرم به عنوان سرویس (PaaS)یکپارچگی عمودیپلتفرم به عنوان سرویسنرم افزار به عنوان سرویس (SaaS)نرم افزار به عنوان سرویسGoogle AppsSalesforce.comGoogle Apps EngineForce.comیکپارچگی افقیزیرساخت به عنوان سرویسSun Cloud Storage ServiceAmazon EC2JoyentAmazon S3Sun Cloud Compute Service
شکل 2-1: سه لایه محاسبات ابری: IaaS، PaaS و SaaS ]9[.
زیرساخت به عنوان سرویس
قابلیت‌هایی برای ارائه‌ی پردازش، ذخیره‌سازی، شبکه‌ها و سایر منابع محاسباتی اساسی به مشتری ارائه می‌دهد که در آن مشتری می‌تواند یک سیستم‌عامل، برنامه‌ی‌کاربردی یا هر نرمافزار منتخب را اجرا و عملیاتی کند. مشتری، زیرساخت‌های اساسی ابر را مدیریت یا کنترل نمی‌کند اما بر سیستم‌عامل، ذخیره‌سازی و گسترش برنامه‌های‌کاربردی‌کنترل دارد و احتمالا کنترل محدودی روی اجزای شبکه انتخابی دارد (به عنوان مثال میزبان فایروال). در واقع چیزی که IaaS ارائه می‌دهد منابع محاسباتی مانند پردازشگر یا فضای ذخیره‌سازی است که می‌تواند به عنوان سرویس استفاده گردد. مثالهایی از سرویس‌های وب Amazon با محاسبات قابل ارتجاع ابری (EC2) برای پردازش و سرویس ذخیره‌سازی ساده (S3) برای ذخیره‌سازی و Joyent که زیرساخت مبتنی بر تقاضای مقیاسپذیر برای اجرای وب سایتها و برنامه‌های‌کاربردی وب غنی میباشد. فراهمکنندگان PaaS و SaaS می‌توانند سرویس‌های خود را بر مبنای واسط‌های استاندارد شده روی IaaS قرار دارند. به جای فروش زیرساخت سختافزاری خام، فراهمکنندگان IaaS نوعاً زیرساخت مجازیشدهای به عنوان سرویس ارائه میدهند. Foster و همکارانش به سطح منابع سختافزاری خام مانند نیروی محاسباتی، فضای ذخیره‌سازی و منابع شبکه لایه fabric میگویند. نوعاً با استفاده از مجازی‌سازی، منابع سطح سخت‌افزار مجردسازی و کپسوله می‌شوند و بنابراین می‌توانند در معرض لایه بالاتر و کاربران نهایی از طریق واسط‌های استاندارد شده به عنوان منابع یکپارچهشده به فرم IaaS قرار میگیرند (شکل 2- 2).
قبل از ظهور محاسبات ابری، زیرساخت به عنوان سرویس برای مدتی موجود بود که به آن محاسبات ابزاری می گفتند که حتی توسط بعضی از نویسندگان به عنوان لایه زیرساخت محاسبات ابری یاد می‌شود. در مقایسه با چیزی که محاسبات ابزاری ارائه می داد، IaaS سیر تکاملش به سمت حمایت از یکپارچه‌سازی برای تمام سه لایه (IaaS، PaaS و SaaS) در یک ابر است. از ابتدای ارائه محاسبات ابری واضح بود که برای محاسبات ابری فراهمکنندگان موفق اند، آنها میبایست واسطی آماده میکردند که دسترسی، درک، برنامه‌نویسی و استفاده از آن ساده باشد یعنی یک API که یکپاچهسازی با زیرساخت برنامه‌های‌کاربردی SaaS مشتریان و فراهمکنندگان بالقوه را فراهم می‌سازد. مراکز داده فراهمکنندگان محاسبات ابزاری به میزان کافی استفاده می‌شد اگر تنها توسط توده مهمی از مشتریان و فراهمکنندگان SaaS استفاده شوند. به عنوان نتیجهای از شرایط لازم برای دسترسی آسان و مجرد شده به لایه فیزیکی یک ابر، مجازی‌سازی لایه فیزیکی و پلتفرمهای برنامه‌نویسی برای توسعهدهندگان به عنوان مشخصه اصلی ابرها محسوب میگردد.
شکل 2- 2: معماری ابری مربوط به سرویس‌های ابری ]15[.
پلت‌فرم به عنوان سرویس
پلتفرمها لایهای مجرد بین برنامه‌های‌کاربردی نرمافزار (SaaS) و زیرساخت مجازیشده (IaaS) هستند. ارائه‌دهنده‌ی ابر، سخت‌افزار و قابلیت ایجاد یا خریداری برنامه‌های‌کاربردی مشتری برای گسترش بر روی زیرساخت‌های ابر، با استفاده از زبان‌های برنامه‌نویسی و ابزار پشتیبانی را ارائهمیدهد. مشتری، زیرساخت‌های اساسی ابر مانند شبکه، سرورها، سیستم‌های‌عامل و ذخیره‌سازی را مدیریت یا کنترل نمی‌کند، اما برنامه‌های‌کاربردی گسترش‌یافته و احتمالاً پیکربندی محیط میزبان برنامه‌های‌کاربردی را کنترل می‌کند. ارائه‌دهندگان PaaS، توسعهدهندگان نرمافزار را هدف قرار دادهاند. توسعهدهندگان کد، برنامهکاربردیشان را روی پلت‌فرم بارگذاری می‌کنند که نوعاً وقتی رشد استفاده از برنامه‌های‌کاربردی بالا می‌رود این مساله را بهطور اتوماتیک مدیریت می‌کنند. ارائه‌دهندگان PaaS می‌توانند تمامی فازهای توسعه نرمافزار را پوشش دهند یا ممکن است روی ناحیه مشخص و معینی مثل مدیریت محتوا خاص شدهباشند. مثالها عبارتند از Google App Engine که اجازه‌ی اجرای برنامه‌های‌کاربردی روی زیرساخت Google را می‌دهد و پلت‌فرم Salesforce.com. لایه PaaS یک ابر بر واسط استاندارد شده لایه IaaS تکیه دارد که دسترسی به منابع موجود را مجازی می سازد و واسط‌های استاندارد شده و یک پلت‌فرم برای لایه SaaS فراهم می‌کند.
نرمافزار به عنوان سرویس
قابلیت‌های ارائه‌شده به مشتری برای استفاده از برنامه‌های‌کاربردی ارائه‌دهنده‌ی در حال اجرا بر روی زیرساخت‌های ابر میباشد. برنامه‌های‌کاربردی برای دستگاه‌های مختلف مشتریان از طریق یک رابط مشتری نازک مثلاً یک مرورگر وب (به عنوان مثال، ایمیل مبتنی بر شبکه) در دسترس هستند. مشتریان، زیرساخت‌های اساسی ابر از جمله شبکه، سرورها، سیستم‌عامل، ذخیره‌سازی یا حتی قابلیت‌های نرمافزاری شخصی را به استثنای پارامترهای برنامه‌کاربردی (مثل تنظیمات پیکربندی برنامه خاص کاربر محدود) مدیریت یا کنترل می‌کنند.
همانطور که قبلا بیان شد، SaaS نرمافزاری است که تحت مالکیت و مدیریت از راه دور یک یا چند فراهمکننده است و براساس استفاده بر مبنای پرداخت هزینه ارائه می‌شود. SaaS مشهودترین لایه محاسبات ابری برای کاربران نهایی است چرا که در ارتباط با برنامه‌های‌کاربردی نرمافزاری واقعی است که مورد دسترسی و استفاده واقع میگردد. از نقطه نظر کاربر، داشتن نرمافزار به عنوان سرویس اساساً بهخاطر مدل پرداخت براساس استفاده و به علت مزایای هزینه به آنها انگیزه می‌دهد. مثالهایی معروف از ارائه‌دهندگان SaaS، Salesforce.com و Google Apps مانند Google Mail، Google Docs و Spreadsheets هستند. کاربر نوعی یک ارائه‌دهنده SaaS معمولاً نه دانش و نه کنترلی روی زیرساختِ پلت‌فرم نرمافزاری که ارائه‌دهنده SaaS بر مبنای آن است (PaaS) و یا زیرساخت سختافزاری واقعی (IaaS) ارائه‌شده به او دارد. بهطور کلی لایهها خیلی به فراهمکننده SaaS مربوط هستند چرا که لازم میباشند و می‌توانند به عنوان منبع خارجی باشند. برای مثال، یک برنامه‌کاربردی SaaS می‌تواند روی یک پلت‌فرم موجود توسعه دادهشود و روی زیرساخت شخص ثالثی اجرا گردد ]1، 2، 9 و 15[.
2-6 دستهبندی ابرها
ابرها معمولاً ميتوانند طبق اينكه مالك داده مراكز ابر كيست، دسته بندي شوند. يك محيط ابري هم ميتواند شامل يك ابر و هم شامل چند ابر باشد. بنابراين بين محيطهاي تك ابري يا چند ابري بايد تمايز قائل شد. زيربخشهاي زير دسته بندياي از محيطهاي تك ابري بر مبناي مالك مركز داده ابر و دسته بندي بر مبناي محيطهاي چندابري بر مبناي مالك مراكز داده ابري است. صرف نظر از مدل سرویس مورد استفاده، چهار مدل برای گسترش سرویس ابر وجود دارد:
ابرهای عمومی: زیرساخت‌های ابر ساختهشده که در دسترس عموم افراد یا گروه‌های صنعتی بزرگ قرار دارد و متعلق به سازمان فروشنده‌ی سرویس ابر است. سازمان مسئول ممکن‌است انواع مختلفی از سرویس‌های ابر را با استفاده از مدل ابرهای عمومی ارائه دهد.
ابرهای خصوصی2: برای استفاده‌ی انحصاری یکی از مشتریان (یک سازمان واحد) ساختهشده، که مالک آن است و بهطور کامل ابر را کنترل می‌کند، که منابع ممکن‌است در داخل یا خارج از سازمان باشند و به صورت محلی از طریق سازمان یا شخص ثالث اداره شود. این واقعیت که ابر توسط یک مشتری خاص استفاده می‌شود ویژگی متمایز هر ابر خصوصی است.
ابرهای متحدشده3: هنگامی که چندین مشتری (سازمانهای مختلف) نیازهای مشابه دارند، می‌توانند یک زیرساخت، پیکربندی و مدیریت ابر را به اشتراک بگذارند. این مدیریت ممکن‌است به صورت محلی توسط مشتری (سازمان) یا توسط اشخاص ثالث انجام شود.
ابرهای ترکیبی4: زیرساخت‌های ابر مرکب ابرهاي عمومي و خصوصي را به عنوان یک موجودیت واحد و همراه با فناوری‌های استاندارد یا اختصاصی محدود تركيب مي‌كنند و به يك سازمان اجازه مي دهند كه تعدادي برنامه‌كاربردي را هم روي زيرساخت يك ابر داخلي و هم روي ابرهاي عمومي اجرا كند که داده‌ها و قابلیت حمل برنامه‌های‌کاربردی (به عنوان مثال، انفجار ابر برای تعادل بار بین ابرها) را پشتیبانی می‌کنند ]1، 2، 15 و 16[. به اين ترتيب، شركت ها ميتوانند از منابع مقياسپذير فناورياطلاعات ارائه‌شده توسط فراهم‌كنندگان خارجي سود برند، در حالي كه برنامههايكاربردي خاص و يا داده را دورن ديواره آتش نگه ميدارند. يك محيط ابري تركيبي، پيچيدگي را با وجود توزيع برنامههايكاربردي در محيطهاي متفاوت، نظارت زيرساخت داخلي و خارجي درگير، امنيت را افزايش دهد و ممكن‌است در مورد برنامههايكاربردي اي كه نياز به پايگاههاي داده پيچيده و يا همگامسازي دارند مناسب نباشند.
ابرهاي متحدشده مجموعهاي از ابرهاي تكي هستند كه ميتوانند با يكديگر كار كنند به عنوان نمونه تبادل داده و منابع محاسباتي از طريق واسطهاي از قبل تعريف شده. طبق اصول كليدي اتحاد، در اتحاد ابرها تك تك ابرها مستقل ميمانند اما ميتوانند با ديگر ابرها در اتحاديه از طريق واسطهاي استاندارد شده با يكديگر كار كنند. اصطلاح ابرهاي اتحادي يا اتحاديه ابرها به همكاري و اتحاد ابرهاي عمومي و يا حتي ابرهاي خصوصي درگير اشاره دارد. فراهم‌كنندگان زيرساخت ابري لازم است منابع محاسباتي مقياسپذير زيادي را فراهمكنند. اين مسئله به كاربران و فراهم‌كنندگان SaaS ابري اجازه می‌دهد كه در مورد زيرساخت محاسباتي مورد نياز براي اجراي سرويسهايشان نگران نباشند. فراهم‌كنندگان زيرساخت ابري ممكن‌است خودشان با مشكل مقياسپذيري رو به رو شوند. يك شركت ميزبان تكي ممكن‌است قادر به فراهم‌كردن زيرساخت محاسباتي ناحدودي كه بتواند به تعداد افزايشي‌اي از برنامههايكاربردي با تعداد زيادي كاربر و دسترسي در هر زمان و در هر كجا سرويس دهد، نباشد. در نتيجه، فراهم‌كنندگان زيرساخت ابري ممكن‌است براي اينكه قادر به خدمترساني نيازهاي فراهم‌كنندگان سرويس ابري باشند، شريك شوند، به عنوان نمونه فراهم‌كردن ابزار محاسباتي نامحدود. بنابراين، ابر ممكن‌است يك اتحاديه از فراهم‌كنندگان زيرساخت يا يك اتحاديه از ابرها باشد.
2-7 چند اجاره‌ای
چنداجارهای در مدلهای سرویس ابر، نیازهای مربوط به پیادهسازی سیاست محور، تقسیم‌بندی، جداسازی، هماهنگی، سطوح سرویس و مدلهای بازگشت سرمایه/حسابداری برای حوزه‌های مختلف مشتری را نشان می‌دهد. مشتریان ممکن‌است از سرویس ارائه‌شده توسط ارائه‌دهندگان ابرهای عمومی یا سازمانهای مشابه استفادهکنند. از دیدگاه ارائه‌دهنده، چنداجارهای روش معماری و طراحی برای صرفه به مقیاس فعال، دردسترس بودن، مدیریت، تقسیم‌بندی، جداسازی و بازدهی عملیاتی زیرساخت‌های مشترک نفوذی، داده‌ها، فراداده، سرویس و برنامه‌های‌کاربردی در میان مشتریان مختلف را نشان می‌دهد. شکل 2-3 مدل چند اجاره‌ای را نشان می‌دهد.
شکل 2-3: چنداجارهای ]1[.
2-8 مجازی‌سازی2
در مدل ابر، آنچه مشتریان واقعاً برای آن پول میپردازند و آنچه که آنها به صورت پویا اجاره می‌کنند، ماشین‌های مجازی است. این توانایی به ارائه‌دهنده‌ی سرویس ابر اجازه می‌دهد زیرساخت‌های ابر واقع در مراکز داده را بین مشتریان مختلف به اشتراک بگذارند. مجازی‌سازی به انتزاع منابع کامپیوتر با استفاده از ماشین‌های مجازی اشاره دارد. مجازی‌سازی اجازه می‌دهد تا سیستم‌عامل‌های چندگانه بهطور همزمان در یک دستگاه فیزیکی مشابه اجرا شوند. مجازی‌سازی و مهاجرت پویای ماشین‌های مجازی در محاسبات ابری باعث استفاده‌ی کارآمدتر از منابع فیزیکی در دسترس موجود می‌شود. مجازی‌سازی با افزودن یک لایه زیرِ سیستم‌عامل (بین سیستم‌عامل و سخت‌افزار) بدستآمدهاست. دو گزینه‌ی متفاوت برای این لایه مجازی‌ساز وجود دارد:
نوع یک: این نوع از لایه‌ی مجازی‌سازی، مجازی‌سازی محلی نام دارد و توسط مدیریت ماشین مجازی اجرا می‌شود. بهطور مستقیم بر روی سیستم نصبشده و دسترسی مستقیم به سخت‌افزار دارد. سیستم‌عامل در بالاترین سطح قرار می‌گیرد. به همین دلیل سریع‌ترین، مقیاس‌پذیرترین و قوی‌ترین گزینه است.
5509895-21082635نوع دو: مجازی‌سازی میزبان. مدیریت ماشین مجازی به عنوان یک برنامه‌ی‌کاربردی بر روی سیستم‌عامل میزبان قرار می‌گیرد و ماشین‌های مجازی روی مدیریت ماشین مجازی اجرا می‌شوند.
در هر دو صورت لایه‌ی مجازی‌ساز تمام ماشین‌های مجازی را مدیریت می‌کند. ناظر ماشین مجازی، برای هر یک راه‌اندازی می‌شود. امروزه روش مدیریت ماشین مجازی در همه‌ی مراکز محاسبات ابری استفاده می‌شود و به عنوان کارآمدترین گزینه در شرایط استفاده از سخت‌افزار است (شکل 2-4).
شکل 2-4: مجازی‌سازی مدیریت ماشین مجازی نوع یک و دو ]16 و 18[.
2-9 شکل‌های ابر
انجمن جریکو بهطور خلاصه چهار معیار برای شکل‌های مختلف ابر از یکدیگر شناسایی کرده که به مدل مکعب ابر معروف است. این چهار بعد در ادامه توضیح داده شده‌اند:
2-9-1 بعد یک: داخلی/خارجی
این بعد موقعیت فیزیکی داده‌ها را تعریف می‌کند.
شکل‌های ابری که می‌خواهید استفاده کنید کجا هستند. داخل یا خارج از محدوده‌های سازمان هستند.
اگر درون محدوده‌ی فیزیکی سازمان قرار دارند پس داخلی هستند.
اگر درون محدوده‌ی فیزیکی سازمان قرار ندارند پس خارجی هستند.
برای مثال، دیسک‌های سخت مجازی در یک مرکز داده‌ی سازمان می‌تواند داخلی باشد، در حالی که آمازن در برخی از موقعیت‌های خارج از سازمان، خارجی است. این فرض که بعد داخلی از بعد خارجی امن‌تر است یک فرض غلط است. استفاده‌ی موثر از هر دو مدل بهترین استفاده‌ی امن را بهطور احتمالی فراهم می‌کند.
2-9-2 بعد دو: اختصاصی/باز
این بعد حالت مالکیت فناوری، سرویس، واسط‌های ابر و ... را تعریف می‌کند. این بعد درجه‌ای از قابلیت‌های همکاری و نیز محل برنامه و داده‌ها بین سیستم‌ها و شکل‌های ابر دیگر را نشان می‌دهد و توانایی صرفنظر کردن داده‌ها از یک شکل ابر یا حرکت آنها به شکل‌های بدون محدودیت دیگر را فراهم می‌کند. همچنین محدودیت‌های روی توانایی اشتراک برنامه‌ها را نشان می‌دهد.
اختصاصی به این معنی است که سازمان سرویسی فراهم می‌کند که متوسطی از مفاهیم را تحت مالکیتش نگه دارد. به عنوان یک نتیجه، هنگام عملیات در ابرهایی که اختصاصی هستند، بدون تلاش‌های معنی‌دار یا سرمایه، توانایی حرکت به تأمین‌کننده‌ی ابر دیگر ممکن نیست. اغلب، بیشتر پیشرفت‌های فناوری‌های ابداعی در حوزه‌ی اختصاصی رخ می‌دهد.
ابرهای باز در فناوری‌هایی که اختصاصی نیستند استفاده می‌شود، به این معنی که احتمالا تأمین‌کنندگان بیشتری وجود دارند و شما محدودیتی در توانایی اشتراک داده‌ها و همکاری با بخش‌های انتخاب‌شده برای استفاده از فناوری‌های مشابه ندارید. سرویس باز تمایل به گسترش و مصرف شدن دارند و بیشتر به عنوان یک استاندارد باز منتشر می‌گردند.
2-9-3 بعد سه: محیطی/غیرمحیطی
بعد سوم طرز معماری را ارائهمیدهد–آیا درون محیط IT یا خارج آن عملیات می‌کند؟ غیرمحیطی معمولاً با شکست تدریجی/از بین رفتن/کاهش/فروپاشی محیط IT مبتنی بر انبار ارتباط دارد.
محیطی بهطور پیوسته برای عملیاتی کردن داخل محیط IT سازمان بکار می‌رود، اغلب توسط دیوارهای آتش شبکه علامت‌دهی می‌شود. هنگام اجرا در نواحی محیطی، ممکن است به سادگی محیط سازمان در خارج از دامنه‌ی محاسبات ابر با استفاده از یک شبکه خصوصی مجازی یا سرور مجازی عملیاتی در دامنه‌ی پروتکل اینترنت آن، به دلیل استفاده از سرویس دایرکتوری خودتان برای کنترل دسترسی، گسترش دادهشود.
غیرمحیطی فرض می‌کند که محیط سیستم از جریان طراحیشدهی اصول هر فرمان انجمن جریکو و چارچوب معماری همکاری‌گرا ساختهشده است.
نواحی غیرمحیطی در مدل مکعب ابر هم در دامنه‌ی داخلی و هم خارجی استفاده می‌شود. همکاری یا اشتراک داده‌ها نباید به عنوان داخلی یا خارجی دیده شود، بلکه باید توسط آن کنترل و محدود به طرفین شود که سازمان‌ها با استفاده از آن انتخاب می‌کنند.
2-9-4 بعد چهار: برون‌سپاری/درونسپاری
این بعد به سوال "چه کسی ابر شما را اجرا خواهد کرد؟" پاسخ می‌دهد:
برون‌سپاری: سرویس توسط یک طرف سومی فراهم شده است.
درونسپاری: سرویس توسط کارمندان شما و تحت کنترل شما فراهم شده است ]19[.
2-10 فرصتها و چالش‌های محاسبات ابری
بهطور كلي، براي تمامي انواع مختلف مشتريان ابري، يك ابر فرصتهاي اصلي را به صورت X به عنوان سرویس ارائه می‌دهد. از دیدگاه کاربر، مدل پرداخت بر مبناي ابزار به عنوان يكي از مزاياي اصلي محاسبات ابري در نظر گرفته ميشود. نيازي به سرمايهگذاري در زيرساخت نيست: سرمايهگذاري در مجوزهاي نرمافزار و ريسك پرداخت هزينه مجوز نرمافزار و استفاده نكردن از آن و سرمايهگذاري در زيرساختهاي سختافزاري و نگهداري آن و كاركنان. بنابراين، هزينههاي سرمايهگذاري به هزينههاي عملياتي تبديل شده است. كاربران يك سرويس ابري تنها از ميزاني از منابع فناورياطلاعات كه واقعاً نياز دارند استفاده مي‌كنند و تنها به ميزاني كه از منابع فناورياطلاعات واقعاً استفاده كردهاند هزينه پرداخت مي‌كنند. در عين حال، آنها امكان استفاده از مقياسپذيري و انعطاف پذيري ابر را هم دارند.
با اين حال، محاسبات ابري معايبي نيز دارد: ابرها به مشتريان متفاوتي سرويس ارائه مي دهند. بنابراين، كاربران يك سرويس ابر از اينكه كار چه شخص ديگري روي همان سروري است كه كار آنها ميباشد، اطلاعي ندارند. يك ابر نوعي در خارج از شركت و يا فايروال سازمان است. در حالي كه اين مساله ممكن‌است نقش عمدهاي براي مصرف‌كنندگان بازي نكند، اما ميتواند تاثير قابل توجهي در تصميمگيریهاي شركت در استفاده از خدمات ابر داشتهباشد. خطرات عمدهي محاسبات ابري عبارتند از: در دسترس بودن، امنيت، کارایی، اطلاعات در قفل، محرمانه بودن و قابلیت بررسی اطلاعات، گلوگاههاي انتقال داده، سختي يكپارچهشدن با فناورياطلاعات محلي و كمبود تطبيقپذيري.
كاربر بايد به قول فراهمكننده ابر با تكيه بر قابليت اطمينان، كارايي و كيفيت سرويس زيرساخت اعتماد داشتهباشد. استفاده از ابرها به امنيت بالاتر و ريسكهاي پنهاني مربوط به ذخيرهسازي و مديريت داده به دو روش مربوط ميگردد: اولاً به علت نياز به انتقال داده به ابر بهطوري كه داده در ابر پردازش شود. ثانياً چون داده روي يك زيرساخت خارجي ذخيرهميشود و مالك داده به بيمه فراهمكننده داده اعتماد دارند مبني بر اينكه هيچ دسترسي غيرمجازي صورت نميگيرد. به علاوه، استفاده از ابرها نياز به سرمايهگذاري در يكپارچهسازي زيرساخت و برنامه‌كاربردي با ابر دارد. در حال حاضر، استانداردي براي واسطهاي IaaS، PaaS و SaaS وجود ندارد. كه اين مساله انتخاب يك فراهمكننده ابري و سرمايهگذاري در يكپارچهسازي با ابرها را پر ريسك ميسازد. با داشتن يك log in قوي ميتوان به نتيجه رسيد كه اين براي فراهمكننده ابر مزيت است اما براي كاربران يك عيب ميباشد. با وجود ريسك استفاده از ابرها، در هر حالت يك ارزيابي با دقت و مقايسه مزاياي بالقوه و ريسكها لازم است. همچنين، اين مساله بايد مورد ملاحظه قرار گيرد كه چه داده و پروسسي براي منابع ابري مناسب است و چه داده و پروسسي را نبايد در خارج از ديوارهاي آتش سازمان استفاده كرد.
2-11 چالش‌های امنیتی محاسبات ابری
محاسبات ابری بهطور ذاتی امن نیستد. امنیت در ابر اغلب نامحسوس و کمتر قابل مشاهده است. چالش‌های مربوط به امنیت اطلاعات، مدیریت هویت و دسترسی برخی از چالش‌های امنیتی محاسبات ابری میباشند. کاربران ابر معمولاً هیچ کنترلی روی منابع ابر استفادهشده ندارند و یک ریسک افشای داده‌ی ذاتی برای کاربر یا ارائه‌دهنده‌ی ابر وجود دارد. معماری محاسبات ابری نیازمند انطباق معیارهای مدیریت دسترسی و شناسایی است. هنگامی که بررسی یا ذخیره‌سازی داده‌ها درون یک محیط عمومی برای شخص خاصی تایید شدهباشد، باید پیش‌بینی‌های مناسب برای اطمینان از کنترل کامل و بدون وقفه در سرتاسر داده‌های آنها توسط مالکان داده انجام شود ]3[.
2-12 چالش‌های حفظ حريم خصوصی محاسبات ابری
در محیط محاسبات ابر، ارائه‌دهندگان ابر توسط مشتری تعریف می‌شوند که می‌تواند میزبان یا انبار داده‌های مهم، فایل‌ها و رکوردهای کاربران ابر باشند. حفظ کنترل اطلاعات برای صاحب اطلاعات یک موضوع مهم است. با توجه به حجم یا مکان ارائه‌دهندگان محاسبات ابر، نگهداری و کنترل اطلاعات یا داده‌ها در همه‌ی زمان‌ها برای شرکت‌ها و کاربران خصوصی مشکل است و به همین دلیل آنرا به تامین کنندگان ابر واگذار می‌کنند. حفظ حریم خصوصی برای جلب اعتماد کاربر و نیازهای مراحل طراحی، یک موضوع مهم در محاسبات ابری است. حساسیت محرمانگی اطلاعات، نحوه دسترسی به داده‌ها و شرایط انتقال داده‌ها از جمله چالش‌های حفظ حریم خصوصی هستند.
شرکتهای در حال رکورد درک کرده‌اند که می‌توانند به سادگی با بهرهبرداری از ابر درون خود، دسترسی سریعی به بهترین برنامه‌های کسب‌و‌کار به دست آورند. اطلاعات زیادی از افراد و شرکت‌ها در ابر قرار داده‌شده است که ممکن‌است همه یا برخی از اطلاعات حساس (مثلاً سوابق بانکی) یا از نظر قانونی حساس (مثلاً پرونده‌های سلامت)، دارای محرمانگی یا ارزشمندی زیادی به عنوان دارایی شرکت باشند (مثلاً اسرار کسب‌و‌کار) که نشان‌دهنده‌ی اهمیت محرمانگی اطلاعات است. کاربران یک ابر مشابه، مفاهیم و اساس مشترک پردازش و ذخیره‌ی داده‌ها را به اشتراک می‌گذارند. آنها بهطور طبیعی در معرض خطر نشت، افشای تصادفی یا عمدی اطلاعات هستند. در انتقال داده‌ها اگر داده مورد استفاده یا در دامنه‌ای قرار دادهشود، ممکن‌است ابر بهطور منظم موقعیت را تغییر دهد یا روی مکان‌های چندگانه همزمان مستقر شود ]7[.
2-13 محافظت از داده‌ها
داده‌های ذخیره‌شده در یک ابر عمومی، معمولاً در یک محیط مشترک مرتبشده با داده‌ها برای مصرف‌کنندگان دیگر مستقر شده‌اند. سازمان‌ها، داده‌های حساس و منظم را درون یک ابر عمومی مستقر می‌کنند، بنابراین باید ابزارهایی برای کنترل دسترسی و نگهداری امن از داده‌ها در نظر گرفته شود. داده‌های در حال استراحت، در حال انتقال و در حال استفاده باید امن باشند و دسترسی به داده‌ها باید کنترل شود. استانداردهایی برای پروتکل‌های انتقال و مجوزهای کلید عمومی اجازه‌ی انتقال داده‌ها برای محافظت با استفاده از رمزنگاری را می‌دهد و می‌تواند معمولاً با کارهای مشابه در محیط‌های زیرساخت به عنوان سرویس، پلت‌فرم به عنوان سرویس و نرمافزار به عنوان سرویس پیادهسازی شود. امنیت یک سیستم با بکارگیری رمزنگاری به کنترل مناسب کلیدهای مرکزی و اجزای مدیریت کلید وابسته است. اخیراً، مسئولیت مدیریت کلید رمزنگاری بهطور کلی روی مصرف‌کننده ابر رخ می‌دهد. تولید و ذخیره کلید معمولاً بیرون از ابر با استفاده از ماژول‌های امنیت سخت‌افزار انجام می‌گیرد.
2-14 راهکارهای حفاظت از داده‌ها
برای حفاظت از داده‌ها راهکارهایی ارائه‌شده است که برخی از آنها به شرح زیرند:
انتخاب مدل گسترش ابر: کدام مدل گسترش ابر انتخاب شود.
داده‌های حساس: نحوه‌ی طبقه‌بندی داده‌های ذخیره یا پردازششده در ابر چگونه باشد.
فناوری‌های رمزگذاری داده‌ها: انتخاب الگوریتم‌های هش، رمزگذاری و کلیدهای طولانی مناسب برای محافظت از داده‌ها هنگام عبور از شبکه.
مالکیت داده و دسترسی کاربران مجاز: مالکیت حقوقی داده‌های مشتری حفظ و سیستمهای مدیریت دسترسی برای ورود کاربران به سیستم استفادهشود.
مدیریت کلید رمزگذاری داده‌ها: مدیریت رمزگذاری و رمزگشایی داده‌ها و کلیدهای استفادهشده توسط فروشنده و مشتری انجام شود.
تهیه‌ی سخت‌افزار و نرمافزار: سخت‌افزار و نرمافزار مورد نیاز برای زیرساخت ابر توسط یک منبع عرضه‌ی مشروع مورد استفاده قرار گیرد ]3[.
2-15 خطرات مشترک امنیت اطلاعات در ابر
خطرات متعددی برای امنیت داده‌های محاسبات ابری وجود دارد که باید هنگام پرداختن به امنیت داده‌ها در نظر گرفته شود. این خطرات شامل فیشینگ، امتیاز دسترسی ارائهدهندهیسرویس ابر و منبع یا منشأ خود داده‌ها میباشد.
2-15-1 فیشینگ
یکی از خطرات غیر مستقیم برای داده‌های در حال حرکت، فیشینگ است. هر چند امروزه بهطور کلی شکستن زیرساخت کلید عمومی بعید است، فریب کاربران نهایی در ارائه اعتبار برای دسترسی به ابرها امکانپذیر است. فیشینگ تلاش برای به دست آوردن اطلاعاتی (گاهی اوقات بهطور غیر مستقیم، پول) از قبیل نام‌کاربری، کلمه عبور و جزئیات کارت اعتباری با قیافه مبدل به عنوان یک نهاد قابل اعتماد در ارتباطات الکترونیکی است ]20[. فیشینگ از تکنیک‌های مهندسی اجتماعی برای فریب کاربران و سوء استفاده از قابلیت‌های ضعیف از فناوری‌های امنیت وب موجود استفاده می‌کند ]18[.
2-15-2 حق دسترسی پرسنل ارائه‌دهنده
خطر دیگر در امنیت داده‌های ابر، دسترسی نامناسب به داده‌های حساس مشتری توسط پرسنل ابر است. سرویس برون‌سپاری شده‌ی مبتنی بر ابر یا غیر ابر می‌تواند کنترل‌های سازمانهای IT که از طریق کنترل‌های فیزیکی و منطقی اعمال شده‌اند را دور بزند. این خطر یک تابع با دو عامل اصلی است: اول، تا حد زیادی داده‌های رمزگذارینشده در معرض افشا شدن قرار دارد و دوم، پرسنل ارائه‌دهنده ابر به آن داده دسترسی دارند. ارزیابی این خطر مستلزم شیوه‌های ارائهدهندهیسرویس ابر و تضمین این است که پرسنل ارائهدهندهیسرویس ابر با حق دسترسی، به داده‌های مشتری دسترسی نخواهند داشت ]21[.
2-16 برنامه‌های‌کاربردی و محدودیت‌های رمزنگاری داده‌ها
بروس اشنایر، در مقاله خود ]22[ در مورد چگونگی رمزنگاری داده‌های در حال استراحت توضیح می‌دهد. یکی از نکات کلیدی اشنایر برای داده‌های در حال حرکت، کلیدهای رمزنگاری بی‌دوام است. اظهارات اشنایر به این صورت است: "کل مدل بر روی اینترنت قرار می‌گیرد. بخش عمده‌ای از داده‌های ذخیره‌شده بر روی اینترنت بهطور جانبی توسط افراد استفاده می‌شود، که برای استفاده‌ی کامپیوترهای دیگر در نظر گرفته شده است و مشکل در آن نهفته است. کلیدها نمی‌توانند مانند قبل در ذهن افراد ذخیره شوند و به ذخیره بر روی کامپیوترهای مشابه در شبکه، که داده‌ها در آن مستقر است نیاز دارند و این بسیار خطرناک‌تر است."
2-17 احراز هویت داده‌ها و شناسایی کاربران
حفظ محرمانگی، یکپارچگی و دردسترس بودن برای امنیت داده‌ها، یک برنامه‌ی‌کاربردی صحیح و پیکربندی‌شده از شبکه‌ها، سیستم‌ها و مکانیزم‌های امنیتی کاربردی در سطوح مختلف زیرساخت ابر است. احراز هویت کاربران و حتی سیستمهای برقراری ارتباط از طریق وسایل مختلف انجام می‌شود، اما مبنای هر یک از این موارد رمزنگاری است. احراز هویت کاربران اشکال مختلفی دارد، اما همه‌ی آنها براساس ترکیبی از عوامل احراز هویت است: چیزی که یک فرد می‌داند (مانند رمز عبور)، چیزی که آنها دارند (مانند یک توکن امنیتی)، برخی کیفیت‌های قابل اندازه‌گیری که برای آنها اصلی است (مانند اثر انگشت). بهطور کلی کنترل دسترسی به صورت اختیاری یا اجباری انجام می‌شود، که رایج‌ترین مدلهای آن عبارتند از:
کنترل دسترسی اختیاری: در یک سیستم، هر شی دارای یک مالک است. کنترل دسترسی توسط مالک شی برای تصمیم‌گیری اینکه چه کسی دسترسی و چه امتیازاتی خواهد داشت تعیین می‌شود.
کنترل دسترسی براساس نقش2: سیاست‌های دسترسی توسط سیستم تعیین می‌شود. کنترل دسترسی اجباری، براساس اعتماد یا اجازه موضوع است، اما کنترل دسترسی براساس نقش، براساس نقش موضوع میباشد. یک موضوع می‌تواند به یک شی دسترسی داشتهباشد یا یک تابع را در صورتی اجرا کند که مجموعه مجوزهای آنها- یا نقش- به آن اجازه می‌دهد.
کنترل دسترسی اجباری3: سیاست‌های دسترسی توسط سیستم تعیین و توسط برچسب حساسیت پیادهسازی شده است، که به هر شی و موضوع اختصاص داده‌شده است. برچسب موضوع، سطح اطمینان آن و برچسب شی، سطح اطمینانی که برای دسترسی نیاز است را مشخص می‌کند. اگر موضوع به دست‌آوردن دسترسی به یک شی است، برچسب موضوع باید حداقل به اندازه برچسب شی غالب باشد.
2-18 ذخیره‌سازی داده‌ها در ابر
از جمله پیشرفت‌های محاسبات ابری ذخیره‌سازی آنلاین است. امنیت داده‌ها برای چنین سرویس ابری شامل جنبه‌های مختلفی از جمله کانال‌های امن، کنترل‌های دسترسی و رمزگذاری می‌شود. در مدل ذخیره‌سازی ابر، داده‌ها بر روی سرورهای مجازی متعددی ذخیره می‌شوند. مزیت دیگر، کاهش هزینه کلی مربوط به وظایف نگهداری ذخیره‌سازی مانند تهیه پشتیبان، تکثیر و بازیابی حادثه است، که توسط ارائهدهندهیسرویس ابر اجرا می‌شود. یکی از روندهای اخیر در ذخیره‌سازی مبتنی بر ابر آنلاین، دروازه ذخیره‌سازی ابر است. این دستگاه‌ها می‌توانند ویژگی‌های متعددی، از جمله موارد زیر را ارائهدهند:
ترجمه‌ی برنامه‌های‌کاربردی و پروتکل‌های مورد استفاده مشتری برای کسانی که از سرویس ذخیره‌سازی مبتنی بر ابر استفاده می‌کنند که هدف آن یکپارچه‌سازی با برنامه‌های‌کاربردی موجود روی پروتکل‌های استاندارد شبکه است.
قابلیت‌های پشتیبانی و بازیابی که با ذخیره‌سازی در ابر کار می‌کنند.
رمزگذاری داده‌ها در محل، که کلیدها را برای دستگاه، محلی نگه می دارد ]23[.
ارائه‌دهندگان ابر نیازمند حفاظت از حریم خصوصی و امنیت داده‌های اشخاص میباشند که آنها به نمایندگی از سازمان و کاربران نگهداری می‌کنند. مسئولیت مدیریت داده‌های شخصی یک بخش مرکزی از ایجاد اعتماد است که زیربنای پیروی از سرویس مبتنی بر ابر میباشد که بدون وجود این اعتماد، مشتریان برای استفاده از سرویس مبتنی بر ابر بیمیل می‌شوند. برای تواناسازی سازمان برای تمرکز روی هسته‌ی کسبوکارش، خریداری و نگهداری کارمندان متخصص IT، نرمافزار و سخت‌افزار محاسباتی برای ذخیره و پردازش داده می‌تواند به یک فروشنده برون‌سپاری شود، که در این صورت هنوز سازمان در نهایت مسئول حفاظت از داده‌هایش میباشد. نگرانی‌های امنیتی پیرامون ذخیره‌سازی داده‌ها در ابر در مقایسه با داده‌هایی که در محل سازمان ذخیرهشدهاند ذاتا منحصربهفرد نیستند. این به این معنی نیست که خطرات داده‌ها در محیط‌های بسیار متفاوت مشابه هستند. بزرگترین خطرات برای داده‌ها ممکن‌است با دسترسی پرسنل ارائهدهندهیسرویس به اطلاعات یا عدم بررسی اطلاعات در شکل‌های مختلف به خوبی مطابق باشد ]3[.
2-19 احراز هویت
احراز هویت، فرایند بدستآوردن اطمینان در هویت کاربران است. سطوح اطمینان احراز هویت باید بسته به حساسیت منابع برنامه و اطلاعات و ریسک‌های موجود متناسب باشد. تعداد زیادی از ارائه‌دهندگان ابر از استاندارد زبان نشانه‌گذاری اثبات امنیت پشتییبانی و آنرا برای اداره‌ی کاربران استفاده می‌کنند و آنها را قبل از ارائه دسترسی به برنامه‌ها و داده‌ها تصدیق می‌کنند. زبان نشانه‌گذاری اثبات امنیت ابزارهایی برای تغییر اطلاعات بین دامنه‌های مشترک ارائهمیدهد. برای مثال، زبان نشانه‌گذاری اثبات امنیت ثابت می‌کند که یک کاربر توسط یک ارائه‌دهنده‌ی مجوز، تصدیق شده و شامل اطلاعاتی در مورد امتیاز و اعتبارات کاربر می‌شود. به محض دریافت تراکنش، ارائه‌دهنده سرویس پس از استفاده از اطلاعات برای بدستآوردن سطح دسترسی مناسب، مجوزها و اعتبارات تامین شده برای کاربر را بهطور موفقیت‌آمیز بررسی می‌کند.
درخواست زبان نشانه‌گذاری اثبات امنیت و پیام‌های پاسخ بهطور معمول روی پروتکل دسترسی به شی ساده نگاشت شده‌اند، که متکی بر زبان نشانه‌گذاری توسعه‌پذیر برای فرمت‌های آن است. در یک ابر عمومی، برای مثال، یک کاربر یک کلید عمومی خاص با سرویس ایجاد می‌کند، کلید خصوصی می‌تواند برای علامتگذاری درخواست‌های پروتکل دسترسی به شی ساده استفادهشود ]21[.
2-20 زبان نشانه‌گذاری اثبات امنیت
همانطور که خدمات وب شایعتر می‌شوند و کسب‌و‌کار به دنبال ارائه خدمات ترکیبی به مشتریانی است که آنها را به اشتراک می‌گذارند، نیاز گروهی کسب‌و‌کارها برای ارائه یک نقطه ورود به مشتریان خود بسیار مهم است. این فرایند می‌تواند مسئولیت سنگینی برای مشتریان باشد که باید نام‌های کاربری و کلمه‌های عبور مختلف را بهخاطر داشتهباشند و فعالیت‌های مختلف روی بخش‌های مرورگرهای وب مختلف را با واسط‌های کاربری غیرواحد مختلف نگهداری کنند. همچنین می‌تواند یک بار سنگین برای کسب‌و‌کارهای مختلف باشد.
در جهان خدمات وب، یک برنامه‌کاربردی کلاینت ممکن است نیاز به ارسال یک پیام2 برای پردازش با یک سرویس را داشتهباشد. یک روش احتمالی این است که مشتری را برای سرویس، احراز هویت کند و اعتبارات امنیتی را برای شناسایی مشتری نگه دارد. این سرویس ممکن است نیاز به ارسال این پیام برای پردازش بیشتر به یک یا چند سرویس را داشتهباشد که در این صورت هر سرویس نیاز به شناسایی جداگانه مشتری و نگهداری سابقه‌ای از اعتبار مشتری برای یک سرویس منحصر به فرد دارد. تأیید اعتبار چندباره برای دریافت یک سرویس کاملاً منحصر به فرد، برای مشتری مسئولیت دارد، همچنین نیاز به نگهداری راه حل‌های احراز هویت و سوابق اعتبار خدمات منحصر به فرد وجود دارد. یک روش مقیاسپذیر می‌تواند مشتری را یکبار احراز هویت کند و در صورت موفقیت، نتایج احراز هویت و شناسایی و اعتبارات مشتری به تمام سرویس‌های مرتبطِ مبتنی بر یک رابطه معتبر (مطمئن) منتشر شود. بنابراین مشتری تنها یک بار احراز هویت می‌شود و هر سرویس منحصر به فرد، از مسئولیت احراز هویت مشتری و حفظ اطلاعات اعتبارات امنیت که برای هر کاربر ثبت شده است رهایی می‌یابد.
هدف اصلی راه حل‌های ورود تکی3، حل این نوع مشکلات است. هر شخص یا سرویس تنها یکبار احراز هویت شود و دسترسی به طیف گستردهای از خدمات آنلاین بدون نیاز به اعتبارسنجی و احراز هویت مجدد برای هر فرد امکانپذیر شود. حساسیت داده‌ها و حفظ حریم خصوصی اطلاعات بهطور افزایشی به یک ناحیه نگرانی برای سازمان‌ها تبدیل می‌شود. جنبه‌های احراز هویت و اثبات هویت شامل استفاده، نگهداری و حفاظت از اطلاعات جمع‌آوری‌شده برای کاربران میباشد. جلوگیری از دسترسی غیر‌مجاز به منابع اطلاعات در ابر نیز یک عامل مهم است ]4 و 24[.
2-20-1 تعریف
دو تعریف در زیر برای زبان نشانه‌گذاری اثبات امنیت ارائه‌شده است:
تعریف یک: زبان نشانه‌گذاری اثبات امنیت یک استاندارد مبتنی بر زبان نشانه‌گذاری توسعه‌پذیر برای ورود تکی مرورگر وب است و توسط کمیته فنی سرویس‌های امنیت سازمان گسترش استانداردهای اطلاعات ساختاریافته4 تعریف شده است. زبان نشانه‌گذاری اثبات امنیت پیچیده است و تنها شرکتهای بزرگ می‌توانند هزینه سنگین استفاده و پیادهسازی زبان نشانه‌گذاری اثبات امنیت را توجیه کنند.
تعریف دو: زبان نشانه‌گذاری اثبات امنیت یک چارچوب مبتنی بر زبان نشانه‌گذاری توسعه‌پذیر توسعه‌یافته توسط سازمان گسترش استانداردهای اطلاعات ساختاریافته برای تبادل اطلاعات ایمن بین بخش‌های مختلف استفاده می‌شود. این یک استاندارد باز است که برای تبادل اطلاعات ایمن بین محصولات مختلف مورد استفاده قرار می‌گیرد.
همه این موارد با ظهور محاسبات ابری و ارائه‌دهندگان مدیریت هویت مبتنی بر ابر مانند OneLogin در حال تغییر است. در حال حاضر هر کسی که استطاعت داشتهباشد می‌تواند از زبان نشانه‌گذاری اثبات امنیت استفاده و در عرض چند دقیقه آنرا بارگذاری و اجرا کند. زبان نشانه‌گذاری اثبات امنیت توسط سازمان گسترش استانداردهای اطلاعات ساختاریافته توسعه‌یافته و یک چارچوب مبتنی بر زبان نشانه‌گذاری توسعه‌پذیر ارائهمیدهد که هدف آن، امنیت تبادل اطلاعات است. با استفاده از اثبات‌های زبان نشانه‌گذاری اثبات امنیت، امنیت اطلاعات مربوط به یک موضوع در میان ارائه‌دهندگان سرویس در روش پلت‌فرم آگنوستیک به اشتراک گذاشته می‌شود. در خدمات وب، با استفاده از امنیت خدمات وب برای تامین امنیت پیام‌ها، زبان نشانه‌گذاری اثبات امنیت برای امنیت تبادل پیام میان سرویس‌های مختلف مورد استفاده قرار می‌گیرد. در زبان نشانه‌گذاری اثبات امنیت، مدل اطمینان مبتنی بر زیرساخت کلید عمومی برای ایجاد اطمینان استفاده می‌شود. به عنوان مثال، با امضای یک پیام با کلید خصوصی فرستنده، ثابت می‌شود که این پیام واقعاً توسط فرستنده فرستاده‌شده است. علاوه بر این، زیرساخت کلید عمومی برای توزیع کلید متقارن حفاظتشده توسط کلید عمومیگیرنده برای حل مشکل توزیع کلیدها با یک راه حل مقیاسپذیر استفاده می‌شود ]4[.
زبان نشانه‌گذاری اثبات امنیت یک روش احراز هویت واقعی نیست بلکه ابزاری برای تبدیل واقعیتهای موجود در مورد یک رویداد احراز هویت شده است. زبان نشانه‌گذاری اثبات امنیت می‌تواند در یک محیط ورود تکی مبتنی بر اینترنت به عنوان ابزاری برای انتقال اثبات‌های احراز هویت بین ارائه‌دهنده هویت و ارائه‌دهنده سرویس استفادهشود. زبان نشانه‌گذاری اثبات امنیت متکی بر مفهوم سرویس انتقال داخلی در ارائه‌دهنده هویت است. این سرویس، مسیریابی را از ارائه‌دهنده سرویس دریافت می‌کند، اطلاعات مورد نیاز برای ساخت اثبات‌های احراز هویت را نگاشت و کاربر را به ارائه‌دهنده سرویس جهتدهی می‌کند ]17[. زبان نشانه‌گذاری اثبات امنیت متشکل از تعدادی اجزای بلوک ساختمان است که هنگامی‌که به هم متصل می‌شوند، امکان پشتیبانی از تعدادی موارد استفاده را می‌دهد. مشخصات زبان نشانه‌گذاری اثبات امنیت، ساختار و محتوای اثبات‌ها، توضیحاتی در مورد یک اصل اثبات‌شده توسط یک بخش اثبات ارائهمیدهد. این موارد توسط شمای زبان نشانه‌گذاری توسعه‌یافته تعریف شده است. اثبات‌ها یا درخواستشده هستند یا تنها برای ارائه‌دهنده سرویس بیان شده‌اند. پروتکل‌های زبان نشانه‌گذاری اثبات امنیت می‌توانند روی ارتباطات سطح پایین یا پروتکل‌های پیام (مانند پروتکل انتقال ابرمتن2 یا پروتکل دسترسی به شی ساده)، که توسط اتصالات تعریف شده‌اند، منتقل گردند. پروتکل‌ها و اتصالات زبان نشانه‌گذاری اثبات امنیت، همراه با ساختار اثبات‌ها برای ایجاد یک پروفایل با یکدیگر ترکیب می‌شوند. همچنین پروفایل‌های ویژگی نیز وجود دارد (برای مثال، پروفایل‌های LDAP و DCE)، که چگونگی تفسیر اطلاعات ویژگی که داخل یک اثبات انجام می‌شود را با استفاده از فناوری‌های ویژگی/دایرکتوری عمومی تعریف می‌کند. دو مولفه دیگر زبان نشانه‌گذاری اثبات امنیت در ساخت یک سیستم استفاده می‌شود:
فراداده: فراداده که چگونگی بیان و اشتراکگذاری اطلاعات مربوط به پیکربندی بین دو نهاد مرتبط را تعریف می‌کند. فراداده توسط شمای زبان نشانه‌گذاری توسعه‌یافته تعریف شده است. محل فراداده با استفاده از رکوردهای سرور نام دامنه2 تعریف شده است.
مفهوم احراز هویت: در بعضی موقعیت‌ها ارائه‌دهنده سرویس ممکن‌است تمایل به داشتن اطلاعات تکمیلی در تعیین صحت و محرمانگی اطلاعات درون یک اثبات داشتهباشد. مفهوم احراز هویت اجازه تقویت اثبات‌ها با اطلاعات اضافی مربوط به اعتبار مدیر در ارائه‌دهنده‌ی شناسه مانند جزئیات احراز هویت چند عاملی را می‌دهد ]5 و 25[.
2-20-2 ویژگی‌ها
زبان نشانه‌گذاری اثبات امنیت ویژگی‌های متعددی دارد که در ادامه تعدادی از آنها آمده است.
مبتنی بر استانداردها: زبان نشانه‌گذاری اثبات امنیت مبتنی بر استاندارد است که قابلیت همکاری میان ارائه‌دهندگان هویت را تضمین می‌کند و شرکت‌ها برای انتخاب فروشنده آزادی عمل دارند.
قابلیت استفاده: دسترسی با یک کلیک از طریق پورتال یا اینترانت، ارتباط عمیق، حذف رمز عبور و تکرار جلسات خودکار باعث اجرای ساده‌تر برای کاربر می‌شود.
امنیت: مبتنی بر امضای دیجیتالی قوی برای احراز هویت و یکپارچگی است. زبان نشانه‌گذاری اثبات امنیت یک پروتکل ورود منحصربهفرد امن است که بزرگترین و اکثر شرکتهای امنیتی در جهان به آن تکیه کرده‌اند.
سرعت: زبان نشانه‌گذاری اثبات امنیت سریع است. تغییر مسیر یک مرورگر، امنیت ورود یک کاربر به یک برنامه‌کاربردی را فراهم می‌کند.
پیشگیری از فیشینگ: اگر یک رمز عبور برای برنامه‌کاربردی وجود نداشتهباشد، نمی‌توان با آن در یک صفحه ورود جعلی فریب زد.
موافق IT: زبان نشانه‌گذاری اثبات امنیت زندگی را برای IT آسان می‌کند، زیرا احراز هویت را متمرکز و وضوح بیشتری را فراهم می‌کند و یکپارچه‌سازی دایرکتوری را آسانتر می‌سازد ]26[.
2-20-3 اجزا
اجزای زبان نشانه‌گذاری اثبات امنیت و بخش‌های منحصربهفرد آن برای پشتیبانی از تبادل اطلاعات امن شامل اثبات‌ها، پروتکل‌ها، اتصالات و پروفایل‌ها میباشد که هر یک از آنها در ادامه توضیح داده شده‌اند:
اثبات‌ها
در هسته زبان نشانه‌گذاری اثبات امنیت، اثبات‌ها با یک بخش اثبات برای ارتباط احراز هویت، ویژگی‌ها و اطلاعات استحقاقی برای یک موضوع مشخص مورد استفاده قرار می‌گیرد. زبان نشانه‌گذاری اثبات امنیت یک چارچوب مستقل از پلت‌فرم و اساسی در پلت‌فرم مستقل از خصوصیات زبان نشانه‌گذاری توسعه‌پذیر میباشد. اثبات‌های زبان نشانه‌گذاری اثبات امنیت در میان سرویس‌های مختلفی که بر روی پلتفرمهای مختلف در حال اجرا هستند مبادله می‌شود. به عبارت دیگر اثبات‌ها به زبان نشانه‌گذاری اثبات امنیت اجازه می‌دهد تا یک بخش، خصوصیات و ویژگی‌های یک نهاد را اثبات کند. برای مثال، یک اثبات زبان نشانه‌گذاری اثبات امنیت می‌تواند بیان کند که کاربر "John Doe" است، کاربر وضعیت "طلا" دارد، آدرس ایمیل کاربر john.doe@example.com است و کاربر عضو گروه "مهندسی" است. اثبات‌های زبان نشانه‌گذاری اثبات امنیت در شمای زبان نشانه‌گذاری توسعه‌پذیر کد گذاری شده است ]6[. زبان نشانه‌گذاری اثبات امنیت سه نوع جمله تعریف می‌کند که می‌تواند در اثبات انجام شود:
جملات احراز هویت: این جملات توسط بخش سوم انجامشده که با موفقیت کاربر را احراز هویت می‌کند. اینکه چه کسی اثبات را منتشر کرده، موضوع احراز هویت شده، مدت اعتبارسنجی و همچنین اطلاعات مربوط به احراز هویت دیگر را تعریف می‌کند. جملات احراز هویت برای ارائه‌دهنده سرویس اثبات می‌کند که مدیر، احراز هویت را با ارائه‌دهنده هویت در یک زمان خاص با استفاده از یک روش خاص احراز هویت انجام دهد.
جملات ویژگی: این جملات شامل اطلاعات خاصی در مورد کاربر (به عنوان مثال، که آنها وضعیت "طلا" دارد) می‌شود. یک جمله ویژگی ثابت می‌کند که یک موضوع با ویژگی‌های مشخص جمع‌آوری‌شده است.
جملات تصمیم مجوز: این جملات آنچه را که کاربر حق انجام آنها را دارد شناسایی می‌کند (برای مثال، آیا او مجاز به خرید یک آیتم مشخص شده میباشد). یک جمله تصمیم مجوز اثبات می‌کند که یک موضوع برای انجام فعالیت A روی منبع R با گواهی مشخص E مجاز است. جملات تصمیم احراز هویت پر معنی در زبان نشانه‌گذاری اثبات امنیت محدود هستند ]26[.
اثبات متشکل از یک یا چند جمله است. برای ورود منحصربهفرد، معمولاً اثبات زبان نشانه‌گذاری اثبات امنیت شامل یک جمله احراز هویت منحصربهفرد و احتمالاً جمله ویژگی منحصربهفرد خواهدشد. شکل 2-5 یک اثبات زبان نشانه‌گذاری اثبات امنیت که در یک پاسخ زبان نشانه‌گذاری اثبات امنیت انجامشده و خود آن درون یک بدنه پروتکل دسترسی به شی ساده است را نشان می‌دهد.
162369438100بدنه پیام پروتکل دسترسی به شی سادهپاسخ زبان نشانه‌گذاری اثبات امنیتسرآیندپاسخ زبان نشانه‌گذاری اثبات امنیتجملات احرازهویتجملات دیگر00بدنه پیام پروتکل دسترسی به شی سادهپاسخ زبان نشانه‌گذاری اثبات امنیتسرآیندپاسخ زبان نشانه‌گذاری اثبات امنیتجملات احرازهویتجملات دیگر
شکل 2-5: ساختار اثبات زبان نشانه‌گذاری اثبات امنیت ]27[.
شکل 2-6 یک نمونه اثبات با یک جمله احراز هویت تکی را نشان می‌دهد که جملات احراز هویت به صورت پررنگ نشاندادهشدهاند.
www. acompany. com
j. doe@company. com
urn:oasis:names:tc:SAML:2. 0:ac:classes:PasswordProtectedTransport
شکل 2-6: اثبات زبان نشانه‌گذاری اثبات امنیت ]24[.
عنصر می‌تواند از جملات امنیت و اطلاعات اضافی محافظت کند. علاوه بر این زبان نشانه‌گذاری اثبات امنیت می‌تواند برای استفاده رسانهها و وسایل انتقال اساسی توسط برخی از پروتکل‌های مفید پیشتعریفشده مانند پیادهسازی پروتکل ورود تکی محدود شود. پروتکل‌های پیشتعریفشدهی زبان نشانه‌گذاری اثبات امنیت، فایلهای XSD ارائهمیدهد که دقیقا ساختار پیام را تعریف می‌کنند. یکپارچگی و اعتبار پیام با استفاده از امضاهای دیجیتال اختیاری از طریق استاندارد امضای زبان نشانه‌گذاری توسعه‌پذیر به دست می‌آید، در حالیکه محرمانگی می‌تواند با استفاده از رمزگذاری اختیاری، با توجه به استاندارد رمزگذاری زبان نشانه‌گذاری توسعه‌پذیر ایجاد شود ]28[.
پروتکل‌ها
پروتکل‌های زبان نشانه‌گذاری اثبات امنیت تعیین می‌کنند که چگونه عناصر زبان نشانه‌گذاری اثبات امنیت (مانند اثبات‌ها)، داخل عناصر درخواست و پاسخ زبان نشانه‌گذاری اثبات امنیت بستهبندی شوند و قوانین پردازش بیان می‌کند که موجودیتهای زبان نشانه‌گذاری اثبات امنیت باید هنگام استخراج و مصرف از این عناصر دنبال شوند. زبان نشانه‌گذاری اثبات امنیت تعدادی از پروتکل‌های درخواست/پاسخ را تعریف می‌کند که در شمای زبان نشانه‌گذاری توسعه‌پذیر به عنوان مجموعه‌ای از جفت‌های درخواست/پاسخ کدگذاری شده است. مهمترین نوع درخواست پروتکل زبان نشانه‌گذاری اثبات امنیت، پرسو جو نامیده می‌شود.
متناظر با سه نوع جملات، سه نوع پرسوجوی زبان نشانه‌گذاری اثبات امنیت وجود دارد:
پرسوجوی احراز هویت
پرسوجوی ویژگی
پرسوجوی تصمیم مجوز
تعدادی از پروتکل‌های تعریف شده توسط زبان نشانه‌گذاری اثبات امنیت در زیر آمدهاند:
پروتکل پرسوجو و درخواست اثبات: مجموعه‌ای از پرسوجوهایی که از طریق اثبات‌های زبان نشانه‌گذاری اثبات امنیت موجود بهدست می‌آید را تعریف می‌کند. پرسوجو می‌تواند براساس یک مرجع، موضوع یا نوعی از جملات باشد.
پروتکل درخواست احراز هویت: پروتکلی تعریف می‌کند که توسط آن ارائه‌دهنده سرویس اثبات‌ها را از یک ارائه‌دهنده هویت، متناسب با نیازهای یک پروفایل زبان نشانه‌گذاری اثبات امنیت خاص مانند پروفایل ورود منحصر به فرد مرورگر وب درخواست می‌کند.
پروتکل تحلیل آرتیفکت: مکانیزمی ارائهمیدهد که بوسیله آن پیام‌های پروتکل ممکن‌است توسط مرجع با استفاده از یک مقدار کوچک، با طول ثابت به نام آرتیفکت موافقت شود. دریافتکننده آرتیفکت از پروتکل آرتیفکت (ArtifactProtocol) برای تسلیم پیام پروتکل واقعی استفاده می‌کند.
پروتکل مدیریت شناسه نام: مکانیزم‌هایی برای تغییر مقدار و یا فرمت نام یک اصل فراهم می‌کند. صادرکننده درخواست می‌تواند ارائه‌دهنده سرویس یا ارائه‌دهنده هویت باشد. این پروتکل همچنین مکانیزمی برای پایان دادن به ارتباط بین نام یک ارائه‌دهنده هویت و ارائه‌دهنده سرویس فراهم می‌کند.
پروتکل خروج منحصربهفرد2: یک درخواست تعریف می‌کند که اجازه خروج تقریباً همزمان همه‌ی جلسه‌های مرتبط با مدیر را می‌دهد. خروج از سیستم می‌تواند بهطور مستقیم با مدیر یا به دلیل پایان زمان جلسه یا به دلیل اینکه حقوق دسترسی کاربر لغو شده است آغاز شود. خروج می‌تواند توسط سایت ارائه‌دهنده آغاز شود.
پروتکل نگاشت شناسه نام: ارائه مکانیزمی برای نگاشتِ برنامهِ شناسهِ نامِ زبان نشانه‌گذاری اثبات امنیت به دیگری برای کنترل‌های سیاسی مناسب ]6[.
اتصالات
اتصالات زبان نشانه‌گذاری اثبات امنیت یک نگاشت از یک پیام پروتکل زبان نشانه‌گذاری اثبات امنیت روی فرمت‌های پیام استاندارد و/یا پروتکل‌های ارتباطی میباشد. پروتکل‌های نگاشت زبان نشانه‌گذاری اثبات امنیت برای تبادل درخواست/پاسخ به لایه‌های پایین‌تر انتقال استفاده می‌شوند. برای نمونه، اتصالات پروتکل دسترسی به شی ساده بیان می‌کند که چگونه پیام‌های درخواست و پاسخ زبان نشانه‌گذاری اثباتِ امنیتِ شرح داده‌شده در پروتکل‌های زبان نشانه‌گذاری اثبات امنیت می‌تواند با استفاده از تبادل پیام پروتکل دسترسی به شی ساده اجرا شود. به عبارت دیگر اتصالات دقیقاً چگونگی نگاشت‌های پروتکل زبان نشانه‌گذاری اثبات امنیت بر روی پروتکل‌های انتقال را شرح می‌دهد. برای مثال، مشخصات زبان نشانه‌گذاری اثبات امنیت، چگونگی انجام اتصال درخواست/پاسخ زبان نشانه‌گذاری اثبات امنیت با پیام‌های تبادل پروتکل دسترسی به شی ساده را فراهم می‌کند. اتصالات تعریف شده عبارتند از:
اتصال پروتکل دسترسی به شی ساده زبان نشانه‌گذاری اثبات امنیت: تعریف می‌کند که چگونه پیام‌های پروتکل زبان نشانه‌گذاری اثبات امنیت با پیام‌های پروتکل دسترسی به شی ساده منتقل شده است. همچنین تعریف می‌کند که چگونه پیام‌های پروتکل دسترسی به شی ساده روی پروتکل انتقال ابرمتن منتقل شده‌اند.
اتصال پروتکل دسترسی به شی ساده معکوس (PAOS): تبادل پیام پروتکل دسترسی به شی ساده/پروتکل انتقال ابرمتن چند مرحلهای را تعریف می‌کند که اجازه می‌دهد سرویسگیرندهی پروتکل انتقال ابرمتن، پاسخگوی پروتکل دسترسی به شی ساده باشد. این اتصالات در پروفایل مشتری و پروکسی افزایش یافته مورد استفاده قرار می‌گیرد و به ویژه برای حمایت از دروازه‌های پروتکل برنامه‌های‌کاربردی بیسیم طراحی شده است.
اتصال مسیر مجدد پروتکل انتقال ابرمتن: تعریف می‌کند که چگونه پیام‌های پروتکل زبان نشانه‌گذاری اثبات امنیت می‌تواند با استفاده از پیام‌های مسیریابی مجدد پروتکل انتقال ابرمتن منتقل شود.
اتصال POST در پروتکل انتقال ابرمتن: تعریف می‌کند که چگونه پیام‌های پروتکل زبان نشانه‌گذاری اثبات امنیت می‌تواند درون محتوای کدگذاریشدهی مبنای ۶۴ کنترل فرم HTML منتقل شود.
اتصال آرتیفکت پروتکل انتقال ابرمتن: تعریف می‌کند چگونه یک رجوع به یک درخواست یا پاسخ زبان نشانه‌گذاری اثبات امنیت (مانند آرتیفکت) توسط پروتکل انتقال ابرمتن منتقل می‌شود. دو مکانیزم یا کنترل فرم HTML، یا یک رشته پرسوجو در URL را تعریف می‌کند.
اتصال شناسه منابع یکنواخت2 زبان نشانه‌گذاری اثبات امنیت: ابزاری برای بازیابی یک اثبات زبان نشانه‌گذاری اثبات امنیت با حل شناسه منابع یکنواخت تعریف می‌کند ]5، 27، 29 و 30[.
پروفایل‌ها
ترکیبی از اثبات‌ها، پروتکل‌ها و اتصالات را تعریف می‌کند که برای موارد استفاده خاص استفاده می‌شود. به عنوان مثال، یک پروفایل توکن زبان نشانه‌گذاری اثبات امنیت برای امنیت خدمات وب وجود دارد که چگونگی استفاده از اثبات‌های زبان نشانه‌گذاری اثبات امنیت با امنیت سرویس‌های وب را تعریف می‌کند. به عبارت دیگر، پروفایل، هسته خصوصیات زبان نشانه‌گذاری اثبات امنیت را تعریف می‌کند که چگونه درخواست و پاسخ زبان نشانه‌گذاری اثبات امنیت منتقل می‌شود. نوعی پروفایل زبان نشانه‌گذاری اثبات امنیت، مجموعه‌ای از قواعد توصیف را تشریح می‌کند. همچنین پروفایل توصیف می‌کند چگونه اثبات‌های زبان نشانه‌گذاری اثبات امنیت همراه با اشیاء دیگر توسط یک بخش اصلی گنجانده شود و از بخش اصلی به یک بخش دریافت متصلشده و سپس در مقصد پردازش شود. نوع دیگری از پروفایل زبان نشانه‌گذاری اثبات امنیت مجموعه‌ای از محدودیتها برای استفاده از پروتکل یا قابلیت اثبات زبان نشانه‌گذاری اثبات امنیت برای یک محیط خاص یا زمینه استفاده را تعریف می‌کند. بنابراین پروفایل‌ها ممکن‌است انتخاب را محدود سازند. برخی از آنها بهطور خلاصه عبارتند از:
پروفایل ورود تکی مرورگر وب: مکانیزمی برای ورود تکی با مرورگرهای وب تغییرنیافته به ارائه‌دهندگان خدمات چندگانه با استفاده از پروتکل درخواست احراز هویت در ترکیب با مسیریابی مجدد پروتکل انتقال ابرمتن، پروتکل انتقال ابرمتن POST و اتصالات آرتیفکت تعریف می‌کند.
پروفایل مشتری و پروکسی افزایش‌یافته: یک پروفایل پروتکل درخواست احراز هویت در رابطه با پروتکل دسترسی به شی ساده معکوس و اتصالات پروتکل دسترسی به شی ساده متناسب شده با مشتریان یا دستگاه‌های دروازه با دانش یک یا چند ارائه‌دهنده‌ی شناسه تعریف می‌کند.
پروفایل بازیابی ارائه‌دهنده هویت: یک مکانیزم احتمالی برای مجموعه‌ای از ارائه‌دهندگان هویت و سرویسِ مرتبط، برای بهدست آوردن ارائه‌دهندگان هویت مورد استفاده توسط مدیر تعریف می‌کند.
پروفایل خروج منحصربهفرد: پروفایلی از پروتکل خروج منحصربهفرد زبان نشانه‌گذاری اثبات امنیت تعریف می‌کند. تعریف می‌کند چگونه اتصالات پروتکل دسترسی به شی ساده، مسیریابی مجدد پروتکل انتقال ابرمتن، پروتکل انتقال ابرمتن POST و اتصالات آرتیفکت پروتکل انتقال ابرمتن مورد استفاده قرار گیرد.
پروفایل مدیریت شناسه نام: تعریف می‌کند چگونه پروتکل مدیریت شناسه نام ممکن‌است با پروتکل دسترسی به شی ساده، مسیریابی مجدد پروتکل انتقال ابرمتن، پروتکل انتقال ابرمتن POST و اتصالات آرتیفکت پروتکل انتقال ابرمتن استفادهشود.
پروفایل حل آرتیفکت: تعریف می‌کند چگونه پروتکل حل آرتیفکت از اتصال همزمان، مثل اتصال پروتکل دسترسی به شی ساده استفاده کند.
پروفایل پرسوجو/درخواست اثبات: تعریف می‌کند چگونه پروتکل‌های پرسوجوی زبان نشانه‌گذاری اثبات امنیت (مورد استفاده برای بهدست آوردن اثبات‌های زبان نشانه‌گذاری اثبات امنیت) از یک اتصال همزمان مانند اتصال پروتکل دسترسی به شی ساده استفاده کند.
پروفایل نگاشت شناسه نام: تعریف می‌کند چگونه پروتکل نگاشت شناسه نام از یک اتصال همزمان مانند اتصال پروتکل دسترسی به شی ساده استفاده می‌کند.
باید به یاد داشت که زبان نشانه‌گذاری اثبات امنیت، پایان کار با مجموعهی اثبات‌ها، پروتکل‌ها، اتصالات و پروفایل‌ها نیست. بلکه برای انعطاف‌پذیری بیشتر طراحی شده است و بنابراین با نقاط توسعه‌پذیر در شمای زبان نشانه‌گذاری توسعه‌پذیر و همچنین دستورالعمل‌هایی برای طراحی سفارشی اتصالات و پروفایل‌های جدید در روشی برای تضمین حداکثر همکاری می‌آید. شکل 2-7 ارتباط بین اجزا را نشان می‌دهد.
2-21 زبان نشانه‌گذاری اثبات امنیت در امنیت سرویس‌های وب
اثبات‌های زبان نشانه‌گذاری اثبات امنیت می‌تواند در سرویس‌های وب امن برای امنیت پیام‌های سرویس‌های وب مورد استفاده قرار گیرد که برای اتصال اطلاعات سرآیند امنیتی به درخواست‌های پروتکل دسترسی به شی ساده سرویس‌های وب بکار می‌رود. سرویس‌های وب امن، مجموعه‌ای از مشخصات است که ابزارهایی برای تامین حفاظت از امنیت پیام‌های پروتکل دسترسی به شی ساده تعریف می‌کند. امنیت پیام‌های پروتکل دسترسی به شی ساده سه جزء دارد: نشانه‌های احراز هویت، امضاهای دیجیتال و محرمانگی. سرویس‌های وب امن یک چارچوب انعطافپذیر برای تبادل انواع مختلف نشانه‌های امنیتی شامل نشانه‌های نام‌کاربری/رمز عبور زبان نشانه‌گذاری توسعه‌پذیر و بلیطهای کربروس ارائه میدهند ]21[. در ]17[ خدمات اولیهی ارائهشدهی سرویس‌های وب امن، احراز هویت، یکپارچگی و محرمانگی داده‌ها است. استاندارد سرویس‌های وب، استفاده از اثبات‌های زبان نشانه‌گذاری اثبات امنیت در قالب یک توکن امنیتی با پروفایل توکن زبان نشانه‌گذاری اثبات امنیت، سرویس‌های وب امن را تعریف می‌کند.
پروفایل‌ها(چه پروتکل‌ها، اتصالات و اثبات‌هایی برای پشتیبانی از یک اثبات ترکیب شوند)اتصالات(چگونه پروتکل‌ها به پیام‌های استاندارد یا پروتکل‌های ارتباطی نگاشت شوند)پروتکل(جفت درخواست/پاسخ برای بدست آوردن اثبات‌ها و مدیریت فدرالی)اثبات‌ها(اطلاعات احرازهویت، ویژگی و شناسایی)پروفایل‌ها(چه پروتکل‌ها، اتصالات و اثبات‌هایی برای پشتیبانی از یک اثبات ترکیب شوند)اتصالات(چگونه پروتکل‌ها به پیام‌های استاندارد یا پروتکل‌های ارتباطی نگاشت شوند)پروتکل(جفت درخواست/پاسخ برای بدست آوردن اثبات‌ها و مدیریت فدرالی)اثبات‌ها(اطلاعات احرازهویت، ویژگی و شناسایی)
شکل 2-7: اجزای زبان نشانه‌گذاری اثبات امنیت ]24، 27، 31 و 32[.
زبان نشانه‌گذاری اثبات امنیت، روی اتصالات پروتکل دسترسی به شی ساده برای بهدستآوردن اثبات‌های زبان نشانه‌گذاری اثبات امنیت از ارائه‌دهنده هویت استفاده می‌کند و زبان نشانه‌گذاری اثبات امنیت نمیتواند هیچ نقشی در حفاظت از پیام‌های پروتکل دسترسی به شی ساده بازی کند. در سرویس‌های وب امن، اثبات‌های زبان نشانه‌گذاری اثبات امنیتِ متعلق به هویت درخواست شونده قبلاً به دست آمده‌است. علاوه براین، در سرویس‌های وب امن، زبان نشانه‌گذاری اثبات امنیت می‌تواند نقش مهمی در حفاظت از خود پیام بازی کند. برای مثال، در یک توکن زبان نشانه‌گذاری اثبات امنیت با روش تصدیق دارنده کلید، کلید رمزنگاری برای تأیید موضوع استفاده می‌شود. حالت استفاده از زبان نشانه‌گذاری اثبات امنیت معمولی با استفاده از سرویس‌های وب امن به شرح زیر کار می‌کند:
احراز هویت مشتری با یک سرویس توکن امنیتی برای درخواست یک توکن زبان نشانه‌گذاری اثبات امنیت. سرویس توکن امنیتی توسط مشتری و ارائه‌دهنده سرویس برای ارائه اعتبار تأیید شده است.
سرویس توکن امنیتی، اثبات‌های زبان نشانه‌گذاری اثبات امنیت مورد نیاز برای انتقال و مسائل توکن امنیتی زبان نشانه‌گذاری اثبات امنیت را برای مشتری ایجاد می‌کند. سرویس توکن امنیتی، توکن را با کلید خصوصی خود رمز می‌کند و شامل گواهینامه X509 در توکن می‌شود.
مشتری، یک توکن ایمن زبان نشانه‌گذاری اثبات امنیت به سرآیند سرویس‌های وب امنِ پیام پروتکل دسترسی به شی ساده اضافه می‌کند. سپس پیام پروتکل دسترسی به شی ساده را به ارائه‌دهنده سرویس میفرستد.
سرویس تأیید می‌کند که توکن زبان نشانه‌گذاری اثبات امنیت می‌تواند قابل اطمینان باشد. برای انجام این کار، ابتدا گواهی سرویس توکن امنیتی موجود در توکن زبان نشانه‌گذاری اثبات امنیت در مقابل ذخیره مطمئن آن تأیید می‌شود. اگر گواهی، تأییدیه را گذراند، کلید عمومی گواهی X509 به منظور بررسی امضای دیجیتالی توکن مورد استفاده قرار می‌گیرد. ارائه‌دهنده سرویس، هویت موضوع را با استفاده از روش تأیید موضوع تأیید می‌کند که در توکن زبان نشانه‌گذاری اثبات امنیت از طریق اثبات تأیید موضوع مشخص شده است. در صورت معتبر بودن، برای دریافت دسترسی به منابع درخواستشده توسط مشتری اقدام می‌کند ]31 و 32[.
690245195580گزارشاتپیام SOAP امضاء شدهبا WSS 21فرستندهبدست آوردن اثبات SAML43اطلاعاتویژگی SAMLدریافت کننندهبررسی امضاءبررسی دسترسی00گزارشاتپیام SOAP امضاء شدهبا WSS 21فرستندهبدست آوردن اثبات SAML43اطلاعاتویژگی SAMLدریافت کننندهبررسی امضاءبررسی دسترسیشکل 2-8 مراحل استفاده از اثبات‌های زبان نشانه‌گذاری اثبات امنیت با امنیت سرویس‌های وب را نشان می‌دهد.
شکل 2-8: استفاده‌ی عمومی از سرویس‌های امن وب و زبان نشانه‌گذاری اثبات امنیت ]32[.
فرستنده، اثبات زبان نشانه‌گذاری اثبات امنیت را توسط درخواست/پاسخ زبان نشانه‌گذاری اثبات امنیت یا سایر پروفایل‌های زبان نشانه‌گذاری اثبات امنیت بهدست می‌آورد. اثبات‌ها شامل جملات ویژگی و روش تأییدیه موضوع دارنده کلید است.
فرستنده، پیام پروتکل دسترسی به شی ساده که شامل سرآیند امنیت است را ایجاد می‌کند. اثبات‌های زبان نشانه‌گذاری اثبات امنیت در سرآیند امنیت وجود دارند. کلید که توسط اثبات‌های زبان نشانه‌گذاری اثبات امنیت برای ایجاد امضای دیجیتال روی داده‌ها در بدنه پیام استفادهشده است اشاره دارد. اطلاعات امضا در سرآیند امنیتی نیز گنجانده شده است.
گیرنده، امضای دیجیتال را تأیید می‌کند.
اطلاعات، در اثبات زبان نشانه‌گذاری اثبات امنیت برای اهدافی مانند کنترل دسترسی و بررسی ورود به سیستم مورد استفاده قرار می‌گیرد.
پروفایل توکن زبان نشانه‌گذاری اثبات امنیت سه روش تأیید موضوع را به منظور تأیید اعتبار توکن زبان نشانه‌گذاری اثبات امنیت تعریف می‌کند. هر یک از این روش‌ها، مجموعه‌ای از معیارها را برای تأیید این که اثبات‌های توکن زبان نشانه‌گذاری اثبات امنیت واقعاً با درخواست موضوع سرویس مرتبط است، دریافت می‌کند.
روش تأیید موضوع حامل: در این روش، توکن زبان نشانه‌گذاری اثبات امنیت حامل هویت و ویژگی‌های موضوع است. هیچ نیازی به بررسی درستی پروفایل وجود ندارد. همچنین فرض شده است که توکن قابل اطمینان است. با این حال اعتبارسنجی امضای زبان نشانه‌گذاری توسعه‌پذیر برای تأیید اینکه توکن توسط سرویس توکن امن ایجاد شده است توصیه می‌شود. بهطور پیش فرض، سرور برنامه‌کاربردی وب به شرح زیر امضای دیجیتالی صادرکننده را تأیید و تصدیق می‌کند. این در حالاتی که در آن لایه سوکتهای امنیتی2 برای تضمین امنیت بدستآوردن پیام در حالت نقطه به نقطه استفادهمیشود بسیار مفید است. شکل 2-9 این موضوع را نشان می‌دهد.
شکل 2-9: روش تأیید موضوع حامل ]32[.
روش تأیید موضوع دارنده کلید3: در این روش، توکن زبان نشانه‌گذاری اثبات امنیت حامل هویت و صفات موضوع می‌شود و می‌تواند حفاظت از پیام را فراهم کند. گیرنده توکن نیازمند بررسی این است که توکن می‌تواند مطمئن باشد. بهطور معمول چک کردن امضای دیجیتالی توکن با کلید خصوصی سرویس توکن امن انجاممیشود. فرستنده توکن زبان نشانه‌گذاری اثبات امنیت، باید دانش یک کلید رمزنگاری مشخص شده در عنصر تأیید موضوع اثبات توکن زبان نشانه‌گذاری اثبات امنیت را داشته باشد و همچنین بتواند کلید را برای محافظت رمزنگاری پیام استفاده کند. هنگامی که کلید متقارن است، با استفاده از کلید عمومیگیرنده، رمزگذاری شده، بهطوری که هنگامی که گیرنده، پیام را دریافت می‌کند می‌تواند آن را استخراج کند. فرستنده می‌تواند به صورت دیجیتالی پیام را با کلید متقارن امضا کند. هنگامی که گیرنده پیام را دریافت می‌کند، می‌تواند کلید متقارن موجود در عنصر تأیید موضوع توکن را با رمزگشایی محتوای آن با کلید خصوصی خود به دست آورد. پس از آن، گیرنده می‌تواند کلید را به منظور بررسی امضای دیجیتالی پیام استفاده کند و تأیید کند که فرستنده دارای کلید میباشد.
هنگامی که کلید نامتقارن است، عنصر تأیید موضوع شامل داده X509 یا ارزش کلید RSA از یک جفت نامتقارن است. کلید خصوصی این جفت نزد فرستنده و برای امضای دیجیتالی پیام استفادهمیشود. هنگامی که گیرنده توکن را دریافت می‌کند، کلید عمومی را با استفاده از اطلاعات موجود در عنصر تأیید موضوع استخراج می‌کند و تأیید می‌کند که فرستنده کلید خصوصی جفت را دارد. شکل 2-10 این روش را نشان می‌دهد.
روش تأیید موضوع ضمانت‌های فرستنده: اگر چه این روش تأیید در حال حاضر توسط سرورهای برنامه‌های‌کاربردی وب جدید پشتیبانی نمیشود، اما سزاوار بحث است. در این روش، توکن زبان نشانه‌گذاری اثبات امنیت، هویت و ویژگی‌های موضوع را انجام می‌دهد. قابلیت پذیرش روش تأیید موضوع ضمانت‌های فرستنده توسط اینکه آیا فرستنده قابل اطمینان است اثبات شده است، بهطوریکه فرستنده مسئولیت تأیید اعتبار توکن زبان نشانه‌گذاری اثبات امنیت را بر عهده دارد. فرستنده باید یکپارچگی پیام را برای اثبات این اطمینان محافظت کند. در این روش فرستنده همیشه نیازمند حفاظت از یکپارچگی توکن زبان نشانه‌گذاری اثبات امنیت است و دریافتکننده باید یکپارچگی را تأیید کند. شکل 2-11 این روش را نشان می‌دهد.
شکل 2-10: روش تأیید موضوع دارنده کلید ]32[.
شکل 2-11: روش تأیید موضوع ضمانت‌های فرستنده ]31 و 32[.
پروتکل‌های زبان نشانه‌گذاری اثبات امنیت و سرویس‌های وب امن هنوز از ضعفهای بومی مربوط به تکنولوژیهای اصلی مانند فاشسازی مرورگر، کوکیها، DNS و NTP رنج می‌برند. همچنین تهدیدهای اجتماعی مانند فیشینگ، وب سایتهای کلاهبردار و ارائه‌دهندگان سرویس کلاهبردار وجود دارد. ارائه‌دهنده هویت یک نقطه اصلی حملات برای جمعآوری اعتبارات کاربر است. ارائه‌دهنده هویت می‌تواند با فریب، کاربران را به داخل وارد کند که می‌تواند به خوبی برای ورود تکی بکار گرفته شود. زبان نشانه‌گذاری اثبات امنیت و سرویس‌های وب امن افشا‌سازی را کاهش میدهند، بنابراین اعتبارات کاربر نیاز به ارسال به ارائه‌دهندگان سرویس شخصی ندارد.
2-22 انتشار توکن زبان نشانه‌گذاری اثبات امنیت در سرویس‌های وب
همانطور که پیش از این بحث شد، مشتریهای سرویس‌های وب می‌توانند یک توکن زبان نشانه‌گذاری اثبات امنیت از سرویس توکن امنیت بدست آورند که دارای هویت و ویژگی‌های امنیتی آن است. سپس مشتری می‌تواند توکن زبان نشانه‌گذاری اثبات امنیت را روی یک درخواست برای یک ارائه‌دهنده سرویس ارسال کند. سرویس قصد اعتبارسنجی توکن را دارد که توسط صادرکننده بهطور مطمئن امضا شود و ویژگی‌های هویت و امنیتی را از توکن به دست آورد. ارائه‌دهنده سرویس تمایل دارد از یک یا چند ارائه‌دهنده سرویس برای تکمیل منطق کسب‌و‌کار خود استفاده کند.
به جای نیاز مشتری به سرویس توکن امنیت برای تأیید هویت، هر یک از این سرویس‌ها می‌تواند راه حل بهتری برای سرویس برای اولین انتشار توکن زبان نشانه‌گذاری اثبات امنیت هنگامی که نیازهای خود را برای سرویس‌های دیگری ایجاد می‌کند بکار برد. توکن زبان نشانه‌گذاری اثبات امنیت در حال حاضر شامل ویژگی‌های امنیتی هویت و تصدیق است و می‌تواند به خدمات پایین دست منتشر شود. شکل 2-12 این سناریو را نشان می‌دهد:
-30988060960کلاینت سرویس های وبمنطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 1منطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 2منطق کسب و کارزمان اجرای وب سرویس امنسرویس توکن امنیتیکلاینت یک درخواست پیام SOAP با نشانه SAML بدست آمده از STS به ارائه دهنده سرویس ارسال می کند.ارائه دهنده سرویس 1، نشانه SAML را بر اساس امنیت بررسی می کند. منطق کسب و کار پس از 3 ساعت اجراشده و یک درخواست به ارائه دهنده سرویس 2 می فرستد. نشانه SAML اصلی از کلاینت سرویس های وب می تواند برای درخواست ارائه دهنده سرویس 2 استفاده شود.ارائه دهنده سرویس 2 نشانه SAML را از سرویس های وب بررسی می کند. کلاینت مبتنی بر امنیت (اطمینان) است. منطق کسب و کار اجرا شده است.00کلاینت سرویس های وبمنطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 1منطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 2منطق کسب و کارزمان اجرای وب سرویس امنسرویس توکن امنیتیکلاینت یک درخواست پیام SOAP با نشانه SAML بدست آمده از STS به ارائه دهنده سرویس ارسال می کند.ارائه دهنده سرویس 1، نشانه SAML را بر اساس امنیت بررسی می کند. منطق کسب و کار پس از 3 ساعت اجراشده و یک درخواست به ارائه دهنده سرویس 2 می فرستد. نشانه SAML اصلی از کلاینت سرویس های وب می تواند برای درخواست ارائه دهنده سرویس 2 استفاده شود.ارائه دهنده سرویس 2 نشانه SAML را از سرویس های وب بررسی می کند. کلاینت مبتنی بر امنیت (اطمینان) است. منطق کسب و کار اجرا شده است.
شکل 2-12: توزیع توکن زبان نشانه‌گذاری اثبات امنیت با استفاده ورود تکی ]32[.
توانایی انتشار توکن زبان نشانه‌گذاری اثبات امنیت برای مشتری اصلی، راه حل‌های امنیتی پایان به پایان فراهم می‌کند. با این حال، یکی از عواملی که باید در نظر گرفته شود زمان انقضای توکن زبان نشانه‌گذاری اثبات امنیت است و چه زمانی برای همه‌ی سرویس‌های پایین دست برای پردازش، درخواست میگردد. اگر یک سرویس بیش از حد برای اجرای منطق کسب‌و‌کار خود طول بکشد، ممکن است توکن قبل از انتشار به یک سرویس منقضی شود. این فرایند در شکل 2-13 نشاندادهشده است. یک راه حل، پیکربندی سرویس توکن امنیت برای صدور یک توکن زبان نشانه‌گذاری اثبات امنیت با زمان انقضای طولانیتر است. اگر زمان احضار کل درخواست به خوبی شناختهشدهباشد، این راه حل ممکن است کار کند. با این حال، در واقع، زمان احضار کل درخواست غیرقطعی است.
-542925-19050کلاینت سرویس های وبمنطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 1منطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 2منطق کسب و کارزمان اجرای وب سرویس امنسرویس توکن امنیتیکلاینت یک درخواست پیام SOAP با نشانه SAML بدست آمده از STS به ارائه دهنده سرویس ارسال می کند.ارائه دهنده سرویس 1، نشانه SAML را بر اساس امنیت بررسی می کند. منطق کسب و کار پس از 3 ساعت اجراشده و یک درخواست به ارائه دهنده سرویس 2 می فرستد. نشانه SAML اصلی از کلاینت سرویس های وب می تواند برای درخواست ارائه دهنده سرویس 2 استفاده شود.ارائه دهنده سرویس 2 برای بررسی نشانه SAML مبتنی بر امنیت تلاش می کند اما در می یابد که 2 ساعت از زمان انقضای آن گذشته است. درخواست رد می شود.کلاینت سرویس های وبمنطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 1منطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 2منطق کسب و کارزمان اجرای وب سرویس امنسرویس توکن امنیتیکلاینت یک درخواست پیام SOAP با نشانه SAML بدست آمده از STS به ارائه دهنده سرویس ارسال می کند.ارائه دهنده سرویس 1، نشانه SAML را بر اساس امنیت بررسی می کند. منطق کسب و کار پس از 3 ساعت اجراشده و یک درخواست به ارائه دهنده سرویس 2 می فرستد. نشانه SAML اصلی از کلاینت سرویس های وب می تواند برای درخواست ارائه دهنده سرویس 2 استفاده شود.ارائه دهنده سرویس 2 برای بررسی نشانه SAML مبتنی بر امنیت تلاش می کند اما در می یابد که 2 ساعت از زمان انقضای آن گذشته است. درخواست رد می شود.
شکل 2-13: توکن زبان نشانه‌گذاری اثبات امنیت یکسان برای ارائه‌دهنده سرویس شماره دو توزیع و منقضی شده ]32[.
صدور مجدد توکن زبان نشانه‌گذاری اثبات امنیت یک راه حل ممکن است. در این صورت، هنگامی که یک سرویس در حال انتشار توکن زبان نشانه‌گذاری اثبات امنیت است، زمان انقضای اصلی را بررسی می‌کند. اگر مشخص شود که زمان انقضا تمام شده و یا نزدیک به انقضا است، سرویس، خودش، می‌تواند توکن زبان نشانه‌گذاری اثبات امنیت جدید با کپی اثبات و ویژگی‌های امنیتی توکن زبان نشانه‌گذاری اثبات امنیت اصلی، با زمان انقضای جدید صادر کند. سرویس دوم می‌تواند این توکن زبان نشانه‌گذاری اثبات امنیت خود صدور جدید با زمان انقضای جدید را بپذیرد که این بدان معنی است که یک تغییر در رابطه مطمئن بین سرویس‌ها وجود دارد. توکن زبان نشانه‌گذاری اثبات امنیت برای سرویس توکن امنیت در میان خدمات منتشر شده باعث می‌شود ویژگی‌های امنیت هویت و اعتبار موضوع در توکن نیز منتشر شوند. این کار این امکان را فراهم می‌کند که هر یک از بخش‌ها در اطمینان سرویس توکن امنیت درگیر شوند. با این حال، در این مورد این رابطه مطمئن تغییر کرده است، چرا که یک سرویس زبان نشانه‌گذاری اثبات امنیت، توکن خود صدور می فرستد، سرویس دریافت کننده باید از سرویس فرستنده برای پذیرش توکن خود صدور مطمئن شود، نه سرویس توکن امنیت. این فرایند در شکل 2-14 نشاندادهشده است.
-503555-237490کلاینت سرویس های وبمنطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 1منطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 2منطق کسب و کارزمان اجرای وب سرویس امنسرویس توکن امنیتیکلاینت یک درخواست پیام SOAP با نشانه SAML بدست آمده از STS به ارائه دهنده سرویس ارسال می کند.ارائه دهنده سرویس 1، نشانه SAML را بر اساس امنیت بررسی می کند. منطق کسب و کار پس از 3 ساعت اجراشده است. مشاهده می شود که زمان اجرا تقریباً گذشته است. ارائه دهنده سرویس 1 خود یک نشانه SAML با زمان انقضای جدید صادر می کند. نشانه SAML روی پیام SOAP به ارائه دهنده سرویس 2 ارسال می کند.ارائه دهنده سرویس 2 نشانه SAML مبتنی بر امنیت را بررسی می کند. این بر اساس اطمینان از این واقعیت پیکربندی شده است که ارائه دهنده سرویس 1 نشانه خودش را صادر می کند و درخواست پذیرفته می شود.0کلاینت سرویس های وبمنطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 1منطق کسب و کارزمان اجرای وب سرویس امنارائه دهنده سرویس 2منطق کسب و کارزمان اجرای وب سرویس امنسرویس توکن امنیتیکلاینت یک درخواست پیام SOAP با نشانه SAML بدست آمده از STS به ارائه دهنده سرویس ارسال می کند.ارائه دهنده سرویس 1، نشانه SAML را بر اساس امنیت بررسی می کند. منطق کسب و کار پس از 3 ساعت اجراشده است. مشاهده می شود که زمان اجرا تقریباً گذشته است. ارائه دهنده سرویس 1 خود یک نشانه SAML با زمان انقضای جدید صادر می کند. نشانه SAML روی پیام SOAP به ارائه دهنده سرویس 2 ارسال می کند.ارائه دهنده سرویس 2 نشانه SAML مبتنی بر امنیت را بررسی می کند. این بر اساس اطمینان از این واقعیت پیکربندی شده است که ارائه دهنده سرویس 1 نشانه خودش را صادر می کند و درخواست پذیرفته می شود.
شکل 2-14: زمان انقضای توکن زبان نشانه‌گذاری اثبات امنیت ]4، 31 و 33[.
2-23 نتیجهگیری
برای درک کامل مسائلی که در فصلهای آینده مورد بحث قرار گرفتهاست، نیاز به یک آشنایی اولیه با مفاهیم و تعاریف اولیه، احساس می‌شد. در این فصل مفاهیم و تعاریف اولیه مرتبط با پردازش ابری، احراز هویت، زبان نشانه‌گذاری اثبات امنیت و نیز آشنایی کلی با مفاهیم مورد استفاده بدست آمد. همچنین بررسی مختصری در مورد استاندارد زبان نشانه‌گذاری اثبات امنیت انجامشد که در فصلهای بعدی از آنها استفاده خواهد شد.
منابع و مآخذ
[1] Prepared by the Cloud Security Alliance Security Guidance for Critical Areas of Focus in Cloud Computing V2.1, United States Copyright Act , December 2009.
[2] TaheriMonfared A Securing the IaaS Service Model of Cloud Computing Against Compromised Components, Norwegian University of Science and Technology, June 2011.
[3] Kumaz P, Sehgal K, Chauhan S, Gupta K and Diwakar M "Effective Ways of Secure, Private and Trusted Cloud Computing", IJCSI International Journal of Computer Science Issues, Vol 8, Issue 3, No 2, May 2011.
[4] LEWIS D and LEWIS E "Web Single Sign-On Authentication using SAML", IJCSI International Journal of Computer Science Issues, Vol 2, 2009.
[5] Ragouzis N "Security Assertion Markup Language (SAML) V2.0 Technical Overview", Feb. 2007.
[6] Cantor S "Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2.0", OASIS Standard, 15 March 2005.
[7] Wang J, Zhao Y, Jiang S and Le J "Providing privacy preserving in Cloud computing", International Conference on Test and Measurement, pp 213-216, 2009.
[8] Saltzer H Protection and the control of information sharing in multics, ACM, 17(7):388–402, 1974.
[9] Stanoevska‐Slabeva k and Wozniak K, principal cloud,
[10] Chen Y, Paxson V and Katz K "What’s New About Cloud Computing Security", Electrical Engineering and Computer Sciences University of California at Berkeley, Technical Report No. UCB/EECS-2010-5, January 20, 2010.
[11] http://www.iranianlearn.com/article6119.html.
[12] http://xen.org/products/xenhyp.html.
[13] Karger P "Securing virtual machine monitors—what is needed", Keynote address, ASIACSS 2009.
[14] Feinleib H A Technical History of National CSS, Computer History Museum, April 2005.
[15] "Cloud Computing Security Considerations", Department of Intelligence and Security of Australian Government, April 2011.
[16] Delgado V Exploring the limits of cloud computing, Master of Science Thesis Stockholm, Sweden, 2010.
[17] Miller M "Using WS-Security and SAML for Internet Single Sign On", 20th Computer Science Seminar, SA3-T4-1, 2005.
[18] Jøsang A Security Usability Principles for Vulnerability Analysis and Risk Assessment, Annual Computer Security Applications Conference, 2007 (ACSAC'07).
[19] "Cloud Cube Model: Selecting Cloud Formations for Secure Collaboration", Jerichio Forum tm, Version 1.0, April 2009.
[20] Provos N Safe Browsing (Google Online Security Blog), June 2012.
[21] Jansen W and Grance T Guidelines on Security and Privacy in Public Cloud Computing, Information Technology Laboratory, National Institute of Standards and Technology, Gaithersburg, MD 20899-8930, December 2011.
[22] http://www.schneier.com/blog/archives/2010/06/data_at_rest_vs.html.
[23] Winkler R Cloud Computer Security Techniques and Tactics, in the United States of America, 2011.
[24] "Security Assertion Markup Language (SAML) 2.0", OASIS Standard, July 2005.
[25] Kemp J "Authentication Context for the OASIS Security Assertion Markup Language (SAML) V2.0." OASIS SSTC, January 2005.
[26] "Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2.0", OASIS Standard, March 2005.
[27] Box D "Simple Object Access Protocol (SOAP) 1.1.", World Wide Web Consortium Note, May 2000.
[28] Meyer C, Feldmann F and Schwenkpaper J "Sometimes it's better to be STUCK", Horst Gortz Institute for IT-Security, Ruhr-University Bochum, 2011.
[29] Cantor S "Bindings for the OASIS Security Assertion Markup Language (SAML)V2.0." OASIS SSTC, March 2005.
[30] Aarts R "Liberty Reverse HTTP Binding for SOAP Specification Version 1.0.", Liberty Alliance Project, 2003.
[31] "Introduction to Security Assertion Markup Language (SAML) and SAML Support in IBM WebSphere Application Server Version 7.0 Fix Pack 7", IBM WebSphere Web Services Security Development, Software Group, November, 2009.
[32] Monzillo R "OASIS Web Services Security: SAML2.0 Token Profile 1.0".
[33] Morgan M "Interactions between Shibboleth and local-site web sign-on services", April 2001.
[34] "Leveraging SAML for Federated Single Sign-on", PistolStar, Inc. dba PortalGuard, PO Box 1226 Amherst, NH 03031 USA, 2012.
[35] http://www.pistolstar.com/SSO.html.
[36] Somorovsky J, Mayer A, Schwenk J, Kampmann M and Jensen M, "On Breaking SAML: Be Whoever You Want to Be", Sec2 project of the German Federal Ministry of Education and Research (BMBF, FKZ: 01BY1030), 2012.
[37] http://en.wikipedia.org/wiki/Claims-based_identity.
[38] Shadfar S "Smart Card-Based Identity and Access Management", Schlumberger Information Solutions, 2004.
[39] F L Podio and Dunn J "Biometric Authentication Technology:From the Movies to Your Desktop", 2002.
[40] http://en.wikipedia.org/wiki/NT_LAN_Manager.
[41] http://docs.oracle.com/cd/E19575-01/820-3746/6nf8qcveh/index.html.
[42] "Kerberos White Paper", Hewlett-Packard Development Company, L.P, Trademark of Intel Corporation in the U.S, 2005.
[43] Schneier B "Sharing a Secret: How Kerberos Works", Cryptography: Protocols, Algorithms and Source Code in C, 1995.
[44] the MIT Kerberos Consortium, "Why is Kerberos a credible security solution?", the United States Government, 2008.
[45] http://howto.caspio.com/getting-started/password-protection/password-protection-1-of-3-lookup-and-authentication-tables.
[46] Ping Identity, SAML101 (White Paper), Ping Identity Corporation, 2012.
[47] http://saml.xml.org/advantages-saml
[48] http://en.wikipedia.org/wiki/SAML_2.0.
[49] http://www.gluu.org/blog/tag/saml.
[50]"SAML Alone Is Not Secure", SECUREAUTH (Whitepaper), 8965 Research Drive, Suite 200, Irvine, CA 92618, 2011.
[51] Ajoudanian Sh and Ahmadi M R “A Novel Data Security Model for Cloud Computing”, IACSIT, April, 2012.
]52[ شفیعی ثابت ا ر "ارائه یک مدل بهبود یافته برای ساخت ایمن برنامه کاربردی وب"، دانشکده مهندسی کامپیوتر و فناوری اطلاعات، موسسه آموزش عالی صنعتی فولاد فولادشهر، پاییز 92.
[53] http://hr-vojdani.blogfa.com/post/261, accessed January 1, 2214.
]54[ فرشادفر ع اصول و روش‌های آماری چند متغیره، انتشارات طاق بستان، دانشگاه رازی، کرمانشاه، 1380.
]55[ زارع چاهوکی م ع روش‌های تحلیل چند متغیره در نرم افزار SPSS ، دانشگاه تهران، پاییز 1389.
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
قیمت: 49٬000 تومان
