２０１５年５月第３６卷 第５期
计算机工程与设计
ＣＯＭＰＵＴＥＲＥＮＧＩＮＥＥＲＩＮＧＡＮＤＤＥＳＩＧＮ
手太阳Ｍａｙ２０１５Ｖｏｌ．３６
Ｎｏ．５
基于可信连接的集群T C B 构建技术
韩培胜１，２
，赵 勇１，常朝稳２，秦 晰２
（１．北京工业大学计算机学院，北京１００１２４；２．信息工程大学密码工程学院，河南郑州４５０００４）
摘 要：为解决集群系统中安全机制被旁路、破坏的问题，提出一种基于可信连接的集群ＴＣＢ构建技术。利用图的方法给出集群ＴＣＢ的定义，利用密码技术，结合可信计算思想，给出集群节点ＴＣＢ间
可信连接管道构建机制，基于可信连接管道，提出一种集群ＴＣＢ的构建方法。验证结果表明，该技术是安全可信的，可用于企业大型应用、云计算应用等集群计算模式系统中，为这些系统的安全奠定坚实基础。
关键词：可信计算基；集群；可信连接；身份认证；状态评估
中图法分类号：ＴＰ３０９ 文献标识号：Ａ 文章编号：１０００-７０２４（２０１５）０５-１１６５-０５
d o i ：１０．１６２０８／ｊ
．ｉｓｓｎ１０００-７０２４．２０１５．０５．０１０收稿日期：２０１４-０８-０６；修订日期：２０１４-１０-１０
基金项目：国家科技重大专项课题基金项目（２０１２ＺＸ０３００２００３）
作者简介：韩培胜（１９７８），男，河北沧州人，博士研究生，讲师，研究方向为信息安全；赵勇（１９８０），男，山西晋中人，博士，讲师，研究方向为信息安全；常朝稳（１９６８），男，河南安阳人，博士，教授，研究方向为信息安全；秦晰（１９７８），女，河南焦作人，博士，副教授，研究方向为信息安全。Ｅ-ｍａｉｌ：ｈｐｓ９７４３００３１９７８＠１６３．ｃｏｍ
ＣｏｎｓｔｒｕｃｔｉｏｎｔｅｃｈｎｏｌｏｇｙｏｆｃｌｕｓｔｅｒＴＣＢｂａｓｅｄｏｎｔｒｕｓｔｅｄｃｏｎｎｅｃｔｉｏｎ
ＨＡＮＰｅｉ-ｓｈｅｎｇ１，
２，ＺＨＡＯＹｏｎｇ１，ＣＨＡＮＧＣｈａｏ-ｗｅｎ２，ＱＩＮＸｉ２
（１．ＩｎｓｔｉｔｕｔｅｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ＢｅｉｊｉｎｇＵｎｉｖｅｒｓｉｔｙｏｆＴｅｃｈｎｏｌｏｇｙ，Ｂｅｉｊｉｎｇ１００１２４，Ｃｈｉｎａ；
２．ＩｎｓｔｉｔｕｔｅｏｆＣｉｐｈｅｒＥｎｇｉｎｅｅｒｉｎｇ，ＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇＵｎｉｖｅｒｓｉｔｙ，Ｚｈｅｎｇｚｈｏｕ４５０００４，Ｃｈｉｎａ）
A b s t r a c t ：Ｔｏａｖｏｉｄｔｈｅｓｅｃｕｒｉｔｙｍｅｃｈａｎｉｓｍｂｅｉｎｇｂｙｐａｓｓｅｄａｎｄｄｅｓｔｒｏｙｅｄｉｎｃｌｕｓｔｅｒｓｙｓｔｅｍ，ａｃｏｎｓｔｒｕｃｔｉｏｎｔｅｃｈｎｏｌｏｇｙｏｆｃｌｕｓｔｅｒＴＣＢｂａｓｅｄｏｎｔｒｕｓｔｅｄｃｏｎｎｅｃｔｉｏｎｗａｓｐｒｅｓｅｎｔｅｄ．ＦｉｒｓｔｔｈｅｄｅｆｉｎｉｔｉｏｎｏｆｃｌｕｓｔｅｒＴＣＢｗａｓｇｉｖｅｎｕｓｉｎｇｇｒａｐｈｍｅｔｈｏｄ．Ａｎｄｔｈｅｎｔｈｅｃｏｎｓｔｒｕｃｔｉｏｎｍｅｃｈａｎｉｓｍｏｆｔｒｕｓｔｅｄｃｏｎｎｅｃｔｉｏｎｐｉｐｅｌｉｎｅｂｅｔｗ
ｅｅｎｃｌｕｓｔｅｒｎｏｄｅ’ｓＴＣＢｗａｓｐｒｅｓｅｎｔｅｄｕｓｉｎｇｃｉｐｈｅｒｔｅｃｈｎｏｌｏｇｙａｎｄｔｈｅｉｄｅａｏｆｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇ．Ｆｉｎａｌｌｙ，ａｃｏｎｓｔｒｕｃｔｉｏｎｍｅｔｈｏｄｏｆｃｌｕｓｔｅｒＴＣＢｗａｓｐｒｏｐｏｓｅｄｂａｓｅｄｏｎｔｈｅｔｒｕｓｔｅｄｃｏｎｎｅｃｔｉｏｎｐｉｐｅｌｉｎｅ．Ｔｈｅｔｅｃｈｎｏｌｏｇｙｗａｓｖｅｒｉｆｉｅｄｔｏｂｅｓａｆｅａｎｄｔｒｕｓｔｅｄ．Ｉｔｃａｎｂｅｗｉｄｅｌｙｕｓｅｄｉｎｃｌｕｓｔｅｒｃｏｍｐｕｔｉｎｇｓｙｓｔｅｍｓｕｃｈａｓｔｈｅｌａｒｇｅ-ｓｃａｌｅａｐ-ｐｌｉｃａｔｉｏｎｏｆｅｎｔｅｒｐｒｉｓｅａｎｄｃｌｏｕｄｃｏｍｐｕｔｉｎｇ．Ａｎｄｉｔｃａｎｌａｙａｓｏｌｉｄｆｏｕｎｄａｔｉｏｎｆｏｒｔｈｅｓｅｃｕｒｉｔｙｏｆｔｈｅｓｅｓｙｓｔｅｍｓ．K e y w
o r d s ：ＴＣＢ；ｃｌｕｓｔｅｒｓｙｓｔｅｍ；ｔｒｕｓｔｅｄｃｏｎｎｅｃｔｉｏｎ；ｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎ；ｓｔａｔｕｓｅｖａｌｕａｔｉｏｎ０ 引 言
可信计算基ＴＣＢ（ｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇｂａｓｅ）
［１］是计算机系统安全访问控制［
２］等安全机制的基础，在应用系统中，应用层ＴＣＢ负责实现应用层的访问控制等安全机制，然而，由于应用层ＴＣＢ在计算机体系结构中位于硬件层、操作系统层之上，层次较高，极易受到来自
底层（操作系统层或硬件层）的攻击而被旁路和破坏，造成系统安全机制失效。为了解决该问题，文献［３，４］提出了一种单机终
端上的ＴＣＢ纵向扩展的机制，以防止在单机终端上应用系统ＴＣＢ被旁路或破坏。
随着以服务为核心计算模式的发展［５］，单机计算模式
无法满足企业应用服务系统作为计算中心的需求，为此，
企业应用系统一般通过将不同的业务功能部署在不同的服务器上以构成集群系统，整个系统的访问控制等安全功能也是由集群中各节点的ＴＣＢ相互协作来实现。此时，由于集群节点数据传输的不可信性，伪造、假冒、破坏等攻击手段极易实施，安全上下文信息在各集群节点ＴＣＢ间传递时很容易受到破坏，另外，集群中假冒或被破坏的ＴＣＢ也有可能影响整个系统安全机制正常运行，可以看出，在集群环境中，上述文献提出的单机扩展机制并不能解决这些问题。
为此，本文提出了一种集群ＴＣＢ的概念，通过在集群中构建一个全局的虚拟ＴＣＢ来确保应用系统安全机制正常发挥作用，解决单机ＴＣＢ扩展机制在集群环境下存在的问题，以保障应用系统的安全。
计算机工程与设计
２０１５年
１ 集群T C B 定义
如图１所示，在一个典型的集群系统中，集群由各集群节点相互连接构成，应用系统中的每个子系统分别部署于不同的集群节点中，每个应用子系统依赖于该节点ＴＣＢ提供安全支撑，各节点ＴＣＢ之间相互连接构成了一个全局的集群ＴＣＢ，该ＴＣＢ作为整个应用系统的虚拟ＴＣＢ存在，为该应用系统提供安全支撑，下面以形式化的方式给出集群ＴＣＢ的定义
。
图１ 集群ＴＣＢ结构
定义１ 节点ＴＣＢ，集群中每个集群节点的ＴＣＢ定义为节点ＴＣＢ，节点ＴＣＢ为安全硬件、操作系统安全组件、应用层安全组件的集合，节点ｉ的ＴＣＢ记为Ｔｉ。
定义２ 可信连接管道，集群中两个节点ＴＣＢ相互连接并传递安全上下文信息的可信通道称为可信连
接管道，Ｔｉ和Ｔｊ可信连接管道记为Ｐｉｊ＝（Ｔｉ，Ｔｊ）
。定义３ 集群ＴＣＢ，集群中各节点ＴＣＢ及节点ＴＣＢ间可信连接管道的集合称为集群ＴＣＢ。
根据集群ＴＣＢ中各节点ＴＣＢ连接的特点，集群ＴＣＢ可用无向图的方式表示，将有ｎ个节点的集群ＴＣＢ记为Ｇ，集群ＴＣＢ可表示为：Ｇ＝＜Ｖ，Ｅ＞，其中Ｖ＝｛Ｔ１，Ｔ２，…Ｔｎ｝，Ｅ＝｛Ｐｉｊ｜节点ｉ与ｊ之间存在可信连接管道｝。
由集群ＴＣＢ的定义可以看出，可信连接管道是集群ＴＣＢ的一个重要组成部分，其安全性将直接影响集群ＴＣＢ的安全，下面将给出可信连接管道的构建方法。
２ 可信连接管道的建立机制及安全性分析
２.１ 可信连接管道建立机制
为了保障集群ＴＣＢ连接的安全性，可信连接管道应该是安全可信的，具体来说，其应具备以下特性：
（１）身份可信性，即确保节点ＴＣＢ的身份是合法的，通过身份可信，能够防止非授权节点非法接入对集群ＴＣＢ的干扰和破坏；
（２）状态可信性，即确保节点ＴＣＢ的完整性状态是正常的，通过状态可信，能够在合法节点处于不安全状态时，防止其对集群ＴＣＢ整体的安全状态造成影响；
（３）消息可信性，即确保节点ＴＣＢ间消息传递是完整
长征精神不受干扰的，通过消息可信，能够防止安全上下文信息在传递时不被篡改和伪造。
为了实现这些安全特性，可信连接管道以公钥密码体
系［
６］为基础、利用可信计算［７］思想建立。为了确保集群节点身份的可信，如图２所示，集群系统设立了证书中心ＣＡ，为每个节点分别颁发了一张数字证书，证书对应的节点私钥存放在节点硬件安全模块中，同时该模块中还内置了ＣＡ的根证书；为了使节点能够及时获取已经撤销的证书信息，系统设立了ＬＤＡＰ服务器，ＣＡ能够通过ＬＤＡＰ服务器发布证书撤销列表ＣＲＬ，各节点也能够通过ＬＤＡＰ及时下载更新ＣＲＬ；为了确保节点工作状态的可信性，集群系统中设立了状态评估中心，该中心能够评估每个节点的状态的完整性，同时为了表示状态评估中心的身份，ＣＡ也为状态评估中心颁发了数字证书
。
图２ 基于ＣＡ的证书体系结构
如图３所示，ＴＡ和ＴＢ分别是集群系统中节点Ａ和节点Ｂ的节点ＴＣＢ，ＴＡ和ＴＢ之间建立可信连接管道的步骤分为３个阶段，分别是身份认证阶段、状态评估阶段、消息通讯阶段，本文在公钥证书体系的基础上，通过设计专用安全协议，用以确保３个阶段的安全性。
图３中消息中各符号说明如下：ＮＸ，节点Ｘ产生的随机数；ＣＥＲＴＸ，节点Ｘ的证书；ＥＮＣＸ（Ｙ），采用节点Ｘ的公钥加密数据Ｙ；ＳＩＧＸ（Ｙ），采用节点Ｘ的私钥对数据Ｙ签名；Ｋ，会话密钥；ＨＭＫ（Ｙ）
，采用会话密钥Ｋ对报文Ｙ计算ＨＭＡＣ（
加密散列值）［８］；ＳＮ，递增消息序列号；ＳＴＸ，节点Ｘ的状态信息；Ｒ，节点状态评估结果；ＭＳＧ，ＴＣＢ节点间访问控制上下文消息。下面分别对各阶段处理过程进行说明：
（１）身份认证：身份认证阶段负责完成可信连接管道双方身份的确认，并协商出保护后期通讯完整性的会话密钥，其步骤如下：
体育运动项目大全步骤１ 节点Ａ生成随机数ＮＡ，连同Ａ的证书一起发送给Ｂ；
步骤２ 节点Ｂ验证Ａ的证书有效性，如果证书有效，则生成会话密钥Ｋ和随机数ＮＢ，用自己的私钥对Ｋ和ＮＡ签名，并用Ａ的公钥加密，最后连同ＮＢ和Ｂ证书发送给Ａ；
·６６１１·
中国特色社会主义文化第３６卷 第５期
韩培胜，赵勇，常朝稳，等：基于可信连接的集群ＴＣＢ构建技术
图３ 可信连接管道的建立过程
步骤３ 节点Ａ验证Ｂ的证书有效性，如果证书有效，则用自己的私钥解开加密消息，然后用Ｂ的证书验证Ｂ对消息签名有效性，并检查消息中的ＮＡ与步骤１中生成随机数的是否一致，上述过程中有一个验证失败则断开连接；所有验证通过后，Ａ保存会话密钥Ｋ，对Ｋ和ＮＢ进行哈希运算，之后再用Ｋ加密哈希值发送给Ｂ；
步骤４ Ｂ使用Ｋ解密收到的消息，计算Ｋ和ＮＢ的哈希值，检查是否与解密后的明文一致，如果一致则认证身份认证成功，否则认为身份认证失败并断开连接。
上述步骤２和步骤３中，双方分别验证了对方证书的有效性，具体的证书有效性验证方法如下：首先基于根证书验证对方证书的签名，然后检查证书的有效期限是否到期，最后通过ＣＲＬ检查证书是否已经被ＣＡ撤销，所有检查通过后才认为证书是合法的。
（２）状态评估：状态评估主要是检查节点ＴＣＢ的完整性状态是否合法，实施时由状态评估中心统一对终端的状态进行评估，并给出结果，主要步骤如下：
步骤１ 节点Ａ通过文献［３］所述扩展方式计算节点ＴＣＢ各部件完整性状态ＳＴＡ，利用私钥对完整性状态进行签名，加入递增序列号ＳＮ，并利用Ｋ计算其ＨＭＡＣ值，将这些信息一起发送给Ｂ；
节点Ｂ收到消息后，利用Ｋ计算ＨＭＡＣ值验证消息完整性，并检查Ａ签名的有效性，之后用自己的私钥对ＳＴＡ签名并发送给状态评估中心；
步骤２ 状态评估中心收到该消息后，评估ＴＣＢ完整
状态有效性，并返回带自己签名的评估结果；Ｂ收到评估结果后，检查状态评估中心签名有效性，如果状态评估失败，则断开连接，如果评估成功，则将自己的状态消息发送给Ａ；Ａ收到消息后重复以上过程验证Ｂ状态有效性。
（３）消息通讯：消息通讯主要用于传递访问控制的上下文信息，整个消息包括递增序列号，访问控制上下文信息和采用Ｋ加密得到的ＨＭＡＣ，接收者收到信息后需要验证ＨＭＡＣ的有效性。每当传递一条消息后，双方各自保存的递增序列号都会增加１，如果某个节点发现收到的消息序列号小于当前保存的消息序列号，则丢弃该消息。２.２ 安全性分析
由上文可知，可信连接管道建立分为３个阶段，下面对其安全性分别进行分析。
（１）身份认证安全性分析：身份认证由安全协商协议
完成，本文采用ＢＡＮ逻辑进行协议安全性证明［９］，以下是
具体的证明过程。
初始化假设如下：
１）A ｜≡K → A
A ，由于Ａ内置了自己的证书，因此Ａ相信自己的公开密钥；
２）A ｜≡K → B B ，由于Ａ和Ｂ同时信任根ＣＡ，因此Ａ也信任ＣＡ为Ｂ颁发的证书，Ａ也就信任了证书中的Ｂ的
·
７６１１·
计算机工程与设计
２０１５年
公开密钥；
３）A ｜≡＃N A ，由于ＮＡ由Ａ自己生成，因此Ａ相信ＮＡ是新鲜的；
４）A ｜≡B ｜ A ← K
B ，由于协议规定会话密钥由Ｂ生成然后发送给Ａ，因此Ａ相信Ｂ对会话密钥具有仲裁权；５）B ｜≡A ← K
B ，由于Ａ和Ｂ的会话密钥是由Ｂ产生的，因此Ｂ相信会话密钥Ｋ；
６）B ｜≡＃N B ，由于ＮＢ由Ｂ生成，因此Ｂ相信ＮＢ是新鲜的。
协议理想化如下
A →
B ：N A
（１）B →A ：｛｛A K
Ｂ，ＮＡ｝Ｋ－１Ｂ
｝ＫＡ，ＮＢ（２）A →B ：｛A K
Ｂ，ＮＢ｝Ｋ
（３）根据ＢＡＮ逻辑接收规则，由理想化式（２）知
A ◁｛｛A K
Ｂ，ＮＡ｝Ｋ－１Ｂ
｝ＫＡ（４）根据逻辑接收规则，由式（４）和１）得
A ◁｛A K
Ｂ，ＮＡ｝Ｋ－１Ｂ
（５）根据逻辑消息含义规则，由式（５）和２）得
A ｜≡
B ｜～｛
A K
Ｂ，ＮＡ｝（６）根据新鲜性规则，由３）得
A ｜≡＃｛
A K
Ｂ，ＮＡ｝（７）根据临时值验证规则，由式（６）和式（７）得
A ｜≡
B ｜≡｛
A K
Ｂ，ＮＡ｝（８）根据信仰规则，由式（８）得
A ｜≡
B ｜≡A K
Ｂ（９）根据仲裁规则，由式（９）和４）得
A ｜≡A K
Ｂ（１０）根据消息含义规则，由理想化式（３）和５）知B ｜≡A ｜～｛A K Ｂ，ＮＢ｝（１１）
根据新鲜性规则，由６）得
B ｜≡＃｛
A K
Ｂ，ＮＢ｝（１２）根据临时值验证规则，由式（１１）和式（１２）得
B ｜≡A ｜≡｛A K
Ｂ，ＮＢ｝（１３）
根据信仰规则，由式（１３）得
B ｜≡A ｜≡A K
Ｂ
（１４）由以上证明，得到了一级信仰式（１０）和６）以及二级
信仰式（９）和式（１４），说明Ａ和Ｂ均信任会话密钥Ｋ，且Ａ相信Ｂ信任会话密钥Ｋ，同时Ｂ相
信Ａ信任会话密钥Ｋ，身份认证协议安全性证明完毕。（２）状态评估阶段安全性分析：在状态评估阶段，通过对节点ＴＣＢ各部件完整性状态的评估，能够反映出当前节点ＴＣＢ是否受到破坏，一旦某个节点ＴＣＢ受到破坏，其将无法连接任何一个正常节点，确保了整个集群ＴＣＢ状
态的可信性。
在节点ＴＣＢ与状态评估中心交互的过程中，状态评估结果经过了状态评估中心的私钥进行签名，同时所有消息均带有唯一序列号，防止消息被重用，确保了状态评估结果的权威性和可信性。
（３）消息通讯阶段安全性分析：在消息通讯阶段，所
有消息均采用基于会话密钥的ＨＭＡＣ保护，攻击者必须知道会话密钥才能够伪造消息，而会话密钥是在身份认证阶段通过公钥保护传输的，攻击者无法获取，一旦消息被篡改，通过ＨＭＡＣ计算便能够发现，从而保护了消息的完整性，同时每次通讯消息序列号都会递增，能够防止重放攻
击［
１０］的发生。由以上分析可以看出，可信连接管道建立机制通过在安全协商基础上引入状态评估，实现了身份、状态和消息的可信性，确保了可信连接管道的安全可信。
３ 集群T C B 的构建方法
由集群ＴＣＢ定义可知，若干个节点ＴＣＢ通过可信连接管道相互连接构成一个无向图，最终形成的无向图Ｇ应具有如下性质：
性质１：图Ｇ中不存在孤立节点。
性质２：图Ｇ中不含有平行边，即两个节点间只存在一条连接。
性质３：图Ｇ中允许存在回路。
为了满足集群ＴＣＢ性质要求，集群ＴＣＢ构建必须依据一定的规则和步骤建立，不能是无序的，否则极易发生连接重复和连接孤岛的情况，为此，本文制定了一种由初始可信节点逐步扩展的构建机制，其构建过程如下：
步骤１ 在初始状态下，集群ＴＣＢ是空集，即Ｇ＝＜Ｖ，Ｅ＞，Ｖ＝Φ，Ｅ＝Φ；
步骤２ 选定一个集群节点Ｔ１为初始可信节点，并把该Ｔ１加入到图Ｇ中，此时Ｖ＝｛Ｔ１｝
，Ｅ＝Φ；步骤３ 节点Ｔｉ与Ｖ中的某一个节点Ｔｊ利用可信连接管道构建机制建立安全可信连接，此时，如果Ｔｉ不属于Ｖ，则Ｖ＝Ｖ∩｛Ｔｉ｝，Ｅ＝Ｅ∩｛Ｐｉｊ｝
；
若Ｔｉ属于Ｖ，且Ｐｉｊ不属于Ｅ，则Ｅ＝Ｅ∩｛Ｐｉｊ｝，否则认为出现平行边，需要断开当前连接；
步骤４ 重复步骤３，最终建立起的图Ｇ包含所有可信节点。工商注册号是什么
通过以上步骤可以看出，集群ＴＣＢ的构建过程是从一个节点ＴＣＢ的可信开始，通过逐个验证的方法，逐步扩展其可信边界，最终将整个集群的可信ＴＣＢ节点都纳入到可信集合中，通过该过程构建的集群ＴＣＢ同时也符合了集群ＴＣＢ的基本性质。在实施过程中，应确保集群ＴＣＢ关系明确、结构层次清楚，实施时可以采用星形、树形结构等层次结构良好的方式来组织节点间连接关系，以便于管理
·８６１１·
第３６卷 第５期 韩培胜，赵勇，常朝稳，等：基于可信连接的集群ＴＣＢ构建技术
花与蛇1和维护。
如图４左边所示为星形ＴＣＢ构建方式，其中Ｔ１为初始可信节点，其它节点以Ｔ１为中心分别建立可信连接管道。此种扩展方式优点是结构简单、易于实施，缺点是节点Ｔ１压力较大，可能存在性能上的瓶颈。如图４右边所示为树形的ＴＣＢ构建方式，其中Ｔ１为初始可信节点，Ｔ２、Ｔ３分别与
Ｔ１建立可信连接管道后，便成为可信节点，此时Ｔ２、Ｔ３又可与自己的子节点建立可信连接，依次类推，最终形成了以节点Ｔ１为根的树形结构。此种扩展方式的优点是组织结构灵活，分散了根结点的压力，缺点是管理组织相对复杂
。
图４ 基于星形和树形的ＴＣＢ构建方式
构建方式可以根据集群的规模和复杂度等情况进行选择，当集群节点数量较少且结构简单时，可以采
用星形结构，当集群节点数量较多且系统部署结构复杂时，可以采用扩展性好的树形结构，根据集群实际情况，也可采用星形和树形相结合的构建方式。
４ 结束语
本文提出的一种基于可信连接的集群ＴＣＢ构建技术通过构建一个可信的全局虚拟ＴＣＢ，将ＴＣＢ的扩展范围从单机延伸到了网络集群环境，该技术使安全上下文在节点间传输时不会被假冒和破坏，解决了目前ＴＣＢ扩展机制无法应用于集群环境的问题，经过形式化的证明，所提出的扩展方法是安全可信的。该技术可用于解决企业集群系统中应用系统ＴＣＢ的安全问题，也可广泛应用于云计算、大数据处理等集群计算模式的系统中，为这些系统提供有效的安全保障。
参考文献：蒸面的做法
［１］ＣＳＣ-ＳＴＤ-００１-８３．Ｄｅｐａｒｔｍｅｎｔｏｆｄｅｆｅｎｓｅｔｒｕｓｔｅｄｃｏｍｐｕｔｅｒｓｙｓ-ｔｅｍｅｖａｌｕａｔｉｏｎｃｒｉｔｅｒｉａ［Ｓ］．２０００．
［２］ＬＩＦｅｎｇｈｕａ．Ｒｅｓｅａｒｃｈｓｔａｔｕｓａｎｄｄｅｖｅｌｏｐｍｅｎｔｔｒｅｎｄｓｏｆａｃｃｅｓｓ
ｃｏｎｔｒｏｌｍｏｄｅｌ［Ｊ］．ＡｃｔａＥｌｅｃｔｒｏｎｉｃａＳｉｎｉｃａ，２０１２，４
０（４）：８０５-８１３（ｉｎＣｈｉｎｅｓｅ）．［李凤华．访问控制模型研究进展及发展趋势［Ｊ］．电子学报，２０１２，４０（４）：８０５-８１３．
］［３］ＬＩＹｏｎｇ，ＷＡＮＧＦｅｉ．Ｒｅｓｅａｒｃｈｏｆｔｒｕｓｔｅｄｅｘｐａｎｄｍｏｄｅｌｏｆ
ＴＣＢ［Ｊ］．ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇａｎｄＡｐｐｌｉｃａｔｉｏｎｓ，２０１０，４６（１３）：１-３（ｉｎＣｈｉｎｅｓｅ）．［李勇，王飞．ＴＣＢ可信扩展模型研究［Ｊ］．计算机工程与应用，２０１０，４６（１３）：１-３］
［４］ＬＩＡＯＪｉａｎｈｕａ，ＺＨＡＯＹｏｎｇ．Ｃｈａｎｎｅｌ-ｂａｓｅｄＴＣＢｅｘｔｅｎｓｉｏｎ
ｍｏｄｅｌ［Ｊ］．ＪｏｕｒｎａｌｏｆＢｅｉｊｉｎｇＵｎｉｖｅｒｓｉｔｙｏｆＴｅｃｈｎｏｌｏｇｙ，２０１０，３６（５）：５９２-５９６（ｉｎＣｈｉｎｅｓｅ）．［廖建华，赵勇．基于管道的ＴＣＢ扩展模型［Ｊ］．北京工业大学学报，２０１０，３６（５）：５９２-５９６．
］［５］ＴｓａｉＷｅｉ-Ｔｅｋ．Ｓｅｒｖｉｃｅ-ｏｒｉｅｎｔｅｄｃｌｏｕｄｃｏｍｐｕｔｉｎｇａｒｃｈｉｔｅｃｔｕｒｅ
［Ｃ］／／７ｔｈＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＩｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏ-
ｇｙ：ＮｅｗＧｅｎｅｒａｔｉｏｎｓ，２０１０：６８４
-６８９．［６］ＣａｎｅｔｔｉＲ，ＳｈａｈａｆＤ，ＶａｌｄＭ．Ｃｏｍｐｏｓａｂｌｅａｕｔｈｅｎｔｉｃａｔｉｏｎ
ｗｉｔｈｇｌｏｂａｌＰＫＩ［ＤＢ／ＯＬ］．ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１４／４３２．ｐｄｆ，２０１４．
［７］ＳＨＥＮＣｈａｎｇｘｉａｎｇ，ＺＨＡＮＧＨｕａｎｇｕｏ，ＷＡＮＧＨｕａｉｍｉｎ．
Ｒｅｓｅａｒｃｈａｎｄｄｅｖｅｌｏｐｍｅｎｔｏｆｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇ［Ｊ］．ＳｃｉｅｎｔｉａＳｉｎｉｃａＩｎｆｏｒｍａｔｉｏｎｉｓ，２０１０，４０（２）：１３９-１６６（ｉｎＣｈｉｎｅｓｅ）．［沈昌祥，张焕国，王怀民．可信计算的研究与发展［Ｊ］．中国科学：信息科学，２０１０，４０（２）：１３９-１６６．
］［８］ＮｅａｌＫｏｂｌｉｔｚ，ＡｌｆｒｅｄＭｅｎｅｚｅｓ．ＡｎｏｔｈｅｒｌｏｏｋａｔＨＭＡＣ［Ｊ］．
强烈的反义词
ＪｏｕｒｎａｌｏｆＭａｔｈｅｍａｔｉｃａｌＣｒｙｐｔｏｌｏｇｙ，２０１３，７（３）：２２５-２５１．［９］ＷＡＮＧＺｈｅｎｇｃａｉ，ＸＵＤａｏｙｕｎ．Ｒｅｌｉａｂｉｌｉｔｙａｎａｌｙｓｉｓａｎｄｉｍｐｒｏｖｅ-ｍｅｎｔｏｆＢＡＮｌｏｇｉｃ［Ｊ］．ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇ，２０１２，３８（１７）：１１０-１１５（ｉｎＣｈｉｎｅｓｅ）．［王正才，许道云．ＢＡＮ逻辑的可靠性分析与改进［Ｊ］．计算机工程，２０１２，３８（１７）：１１０-１１５．］［１０］ＭｕｎｔｅａｎＣ，ＤｏｊｅｎＲ，ＣｏｆｆｅｙＴ．Ｅｓｔａｂｌｉｓｈｉｎｇａｎｄｐｒｅｖｅｎｔｉｎｇ
ａｎｅｗｒｅｐｌａｙａｔｔａｃｋｏｎａｎｏｎ-ｒｅｐｕｄｉａｔｉｏｎｐｒｏｔｏｃｏｌ［Ｃ］／／ＩＥＥＥ５ｔｈＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＩｎｔｅｌｌｉｇｅｎｔＣｏｍｐｕｔｅｒＣｏｍｍｕ-ｎｉｃａｔｉｏｎａｎｄＰｒｏｃｅｓｓｉｎｇ，２００９：２８３-２９０．
·
９６１１·
