Emerging cloud computing services have led to a paradigm shift in the Internet technology. Rather than executing software applications and managing data on local computing devices, users are able to execute applications and access data on demand from the cloud over the Internet. The cloud computing services move the diverse computing resources to the centralized large data centers, where the management of the computing resources and services may not be fully trustworthy. Furthermore, the cloud computing services are connected with a wide spectrum of client devices (such as smartphones, tablets, netbooks, and desktop PCs) through diverse communication channels. Consequently, the paradigm shift brings new risks and challenges in terms of not only security capabilities, but also in terms of computational overhead.
One of the major challenges for secure cloud computing services lies in devising computationally efficient security mechanisms that are tailored to the capabilities and limitations of diverse client devices with an understanding of the security issues associated with cloud computing system. This dissertation examines these challenges and proposes unique solutions to solve the core security problems of cloud computing as well as the actual system implementation and subsequent evaluation and experiments in a real cloud computing platform. Our research addresses various aspects of security with a focus on the following four research directions.
Adaptiveness and Performance Improvement of SSL/TLS-based Cloud Services: To provide secure cloud services, many cloud services, including mobile offices and Web-based storage services, have been realized on top of Secure Sockets Layer/Transport Layer Security (SSL/TLS), which is the de facto protocol for end-to-end secure communication over the Internet. In an attempt to achieve a cognitive SSL/TLS with heterogeneous environments (device, network, and cloud) and workloads awareness, we thoroughly analyze SSL/TLS-based data communication and identify three critical mismatches in a conventional SSL/TLS-based data transmission. The first mismatch is the performance of loosely coupled encryption-compression and communication routines that lead to underutilized-computation and communication resources. The second mismatch is that the conventional SSL/TLS only provides a static compression mode, irrespective of the dynamically changing status of each SSL/TLS connection and the computing power gap between cloud service provider and diverse device platforms. The third is the memory allocation overhead due to frequent compression switching in the SSL/TLS. As a remedy to these rudimentary operations, we present a system called an Adaptive Cryptography Plugged Compression Network (ACCENT) for SSL/TLS-based cloud services. It is comprised of the following three novel mechanisms, each of which aims to provide an optimal SSL/TLS communication and maximize the network transfer performance without breaking any semantic norms of an SSL/TLS protocol stack: tightly-coupled threaded SSL/TLS coding; floating scale-based adaptive compression negotiation; and unified memory allocation for seamless compression switching. With these mechanisms, ACCENT can significantly improve the network transfer performance in terms of throughput and resource utilization.
Computationally Efficient Outsourced Secure Storage System: For providing an outsourced storage service in a secure manner, existing designs of secure storage system mainly rely on block ciphers, although stream ciphers are more computationally efficient than block ciphers. We presents a construction of secure storage, BLAST, enhanced with a stream cipher rather than a block cipher with a novel block accessible encryption mechanism based on stream ciphers. In BLAST, a hierarchical tree generated in the form of an n-level quad tree is created for each user during the registration phase of the storage system. When a user wants to access the outsourced storage, the user can access their data after encrypting or decrypting it using a sequence of key stream frames derived from the hierarchical tree. The experimental results show that the proposed system achieves a factor of 4.65 to 7.24 improvement over the normal block cipher-based secure storage system in terms of throughput and access latency.
Mutually Verifiable Billing System for Cloud Computing Environment: With the widespread adoption of cloud computing, the ability to record and account for the usage of cloud resources in a credible and verifiable way has become critical for cloud service providers and users alike. The success of such a billing system depends on several factors: the billing transactions must have integrity and non-repudiation capabilities; the billing transactions must be non-obstructive and have a minimal computation cost; and the service level agreement (SLA) monitoring should be provided in a trusted manner. Existing billing systems are limited in terms of security capabilities or computational overhead. In this work, we propose a secure and non-obstructive billing system called THEMIS as a remedy for these limitations. The system uses a novel concept of a cloud notary authority for the supervision of billing. The cloud notary authority generates mutually verifiable binding information that can be used to resolve future disputes between a user and a cloud service provider in a computationally efficient way. Furthermore, to provide a forgery-resistive SLA monitoring mechanism, we devised a SLA monitoring module enhanced with a trusted platform module (TPM), called S-Mon. The performance evaluation confirms that the overall latency of THEMIS billing transactions achieve of 16.87 times speed-up in comparison with the latency of public key infrastructure (PKI)-based billing transactions, though THEMIS guarantees identical security features as a PKI.
Cloud Computing-Based Authentication as a Service: Cloud computing has brought new challenges and opportunities for authentication technology. In an attempt to offer Public Key Infrastructure (PKI)-based authentication as a service, we found that the deployment of the PKI on a resource constrained device leads to user-obstructive latency or an additional circuitry for the operations. To alleviate these limitations, we propose a new PKI-based authentication system, PKASSO, which is enhanced with the single sign-on and cloud-based delegation technology. The PKASSO offloads complex PKI operations from a resource constrained device to the cloud side, called delegation authority, so as to keep the hardware and software complexity of the devices as low as possible. In addition, even though a normal delegation mechanism cannot support a non-repudiation mechanism against malicious user behavior, the PKASSO can provide such a mechanism by devising a referee authority that, on the one hand, generates binding information between a service user and authentication messages and, on the other hand, retains the information in its local storage for future accusation as a trusted third party. According to the performance evaluation, the authentication latency of PKASSO achieve of 61.09 times speed-up in comparison with the latency of a conventional PKI-based authentication latency.
The four security mechanisms mentioned above are harnessed into a real cloud computing platform called iCubeCloud. Each mechanism acts as a key primitive for secure cloud services. First, ACCENT is integrated into a Web-interface layer for SSL/TLS-based data delivery over the Internet. Our aim is to provide a full-fledged cognitive SSL/TLS with heterogeneous environments (such as device, network, and cloud environments) and a workload awareness for a cloud computing environment. Second, BLAST is integrated into an outsourced secure storage layer for providing a secure and computation efficient storage solution. Third, THEMIS is deployed on the top of the cloud computing platform as a billing system for a secure and trustworthy billing transaction. THEMIS consequently provides a full-fledged, trusted, non-obstructive billing system tailored for a cloud computing environment. Last but not least, PKASSO is deployed on the top of the cloud computing platform as an authentication system for offering PKI-based authentication as a service. It consequently serves diverse client devices with a cost-effective but uncompromisingly secure authentication mechanism through a cloud-based outsourced model.
클라우드 컴퓨팅 서비스는 인터넷상의 서버를 통하여 가상 컴퓨터, 스토리지, 플랫폼, 소프트웨어 등을 제공하는 컴퓨팅 패러다임의 하나로서, 다음과 같은 특징을 가지고 있다. 첫째, 사용자의 데이터와 프로그램은 개인의 단말기에 저장되기 보다는 중앙 서버에 저장된다. 둘째, 사용자는 컴퓨팅 서비스를 사용한 만큼만 돈을 지불하는 가격정책을 따른다. 이와 같은 특징을 보안 적인 관점으로 본다면, 사용자의 데이터 및 프로그램은 신뢰성이 보장되지 않는 인터넷을 통해 전송되고 구동이 될 수 있으므로, 기밀성이 보장된 인증, 통신 및 스토리지 환경이 보장이 되어야 하며, 사용한 만큼 돈을 지불하는 서비스 모델에서, 사용자가 이용한 컴퓨팅 서비스는 안전하고 믿을 수 있는 방법으로 과금(課金)이 되어야 한다. 또한 클라우드 컴퓨팅 서비스들은 모바일 컴퓨팅 디바이스와 같은 연산 능력이 제한된 컴퓨팅 기기와 다양한 네트워크 채널을 통해 제공되기 때문에, 클라우드 컴퓨팅 기반 서비스는 보안성뿐 아니라, 그에 따른 연산 및 통신 오버헤드 등이 함께 고려되어 디자인 되어야 한다.
본 학위논문에서는 연산 효율적이고 신뢰성이 보장된 클라우드 컴퓨팅 서비스를 실현하기 위하여, 기밀성이 보장된 통신, 스토리지, 인증 시스템 및 신뢰성이 보장된 과금 시스템을 제안하였다. 제안하는 각 보안 시스템은 상기 클라우드 컴퓨팅의 보안 요구사항을 만족시키면서도, 보안 연산에 따른 오버헤드를 획기적으로 감소시켜, 연산능력이 제한된 스마트폰, 넷북, 노트북과 같은 모바일 컴퓨팅 디바이스에도 효율적인 운용이 가능하다. 또한, KAIST에 구축된 iCubeCloud 클라우드 테스트베드에 이들을 실질적으로 적재시켜 운용해 봄으로서, 실용성과 안정성을 입증하였다. 본 학위논문에서 제안하는 보안 시스템은 다음과 같다.
ACCENT (인지적 압축-암호 연산을 통한 SSL/TLS 성능향상): 모바일 오피스, 웹 기반 스토리지 등 다양한 클라우드 서비스들은 안전한 서비스 제공을 위하여 SSL/TLS 프로토콜에 기반을 두어 구축되고 있다. 다양한 컴퓨팅 디바이스들이 가변적인 통신 채널을 통해 연결되는 클라우드 컴퓨팅 서비스에 있어, SSL/TLS 기반 데이터 통신의 효율성을 극대화하기 위해, 기존 SSL/TLS 기반의 클라우드 시스템을 정밀하게 분석하였으며, 현재 널리 쓰이고 있는 SSL/TLS 기반 통신의 세 가지의 중요한 제한점을 발견하였다. 첫째는 SSL/TLS 통신 및 암호-압축 루틴의 상호 종속성으로 인한 비효율적인 처리이다. 둘째는 SSL/TLS 기반 데이터 전송에서의 네트워크 채널의 가변적인 변화 및 송신자/수신자의 컴퓨팅 파워를 고려하지 않은 정적인 데이터 전송방식이다. 셋째는 SSL/TLS에 적용되는 압축 모듈의 스위칭 연산에서 발생되는 과도한 오버헤드이다. 이러한 문제점들에 대처하여, ACCENT라고 명명된 클라우드 서비스를 위한 SSL/TLS 기반 통신 메커니즘을 제안하였다. ACCENT는 다음과 같은 세 가지 기술로 구성되어 있으며, 각 기술은 기존 SSL/TLS의 하위 호환성을 유지하면서도, 인지적으로 최적의 압축 알고리즘을 도출하고 이를 적용하여, SSL/TLS의 통신 성능 및 효율성을 극대화 시킨다. 밀결합(密結合) 쓰레드 기반 SSL/TLS 코딩 기술, 유동격자(流動格子) 기반 적응적 압축 기술, 신속한 압축 스위칭을 위한 통합된 메모리 할당 기술 등이 그것이다. 상기 세 가지 기술은 SSL/TLS 기반 통신 루틴의 자원 효율성 및 데이터 처리량을 획기적으로 향상시킨다.
BLAST (연산 효율적인 클라우드 보안 스토리지 시스템): 기밀성이 보장된 클라우드 스토리지 시스템을 제공하기 위해서, 스트림 암호화 알고리즘이 블록 암호화 알고리즘과 비교하여 월등히 빠른 속도를 보임에도 불구하고, 기존의 보안 스토리지 시스템은 블록 암호화 알고리즘을 적용하여왔다. 이는 스트림 암호화 알고리즘은 무작위 접근성을 제공할 수 없어, 스토리지 시스템에는 적합하지 않다고 여겨져 왔기 때문이다. BLAST는 스트림 암호화 알고리즘 기반 보안 스토리지 시스템으로서, 해시함수 기반 계층적 키 유도(誘導) 메커니즘을 고안하여 암호화된 데이터의 저장 위치와 관계없이 일정한 접근 속도를 보장하도록 하였다. 이를 통해, 스트림 암호화 알고리즘을 클라우드 보안 스토리지 시스템에 적용하여, 속도를 획기적으로 향상시키면서도, 스토리지 시스템의 각 암호화된 블록 별로 무작위 접근을 가능하게 하였다. 실험결과에 따르면, BLAST는 기존 보안 스토리지 시스템과 비교하여 4.65배에서 7.24배 향상된 접근 속도 및 데이터 처리량을 제공한다.
THEMIS (상호 검증이 가능한 클라우드 과금 시스템): 신뢰성이 보장된 클라우드 컴퓨팅 서비스를 제공하기 위해 선행되어야 할 과제 중 하나는 신뢰성이 보장된 과금 시스템의 구축이다. 클라우드 컴퓨팅 서비스에서 신뢰성이 보장된 과금 서비스를 제공하기 위해서는, 각 클라우드 서비스의 사용 기록이 상호적으로 검증이 가능한 방법으로 기록되어야 하며, 사용자에게 제공한 SLA(Service Level Agreement)의 준수여부도 신뢰성이 보장된 방법으로 기록되고 검증이 될 수 있어야 한다. 또한 이와 같은 연산은 매우 빈번하게 발생되기 때문에 연산능력이 제한된 스마트폰, 넷북, 노트북과 같은 모바일 컴퓨팅 디바이스에도 운용이 가능하도록 최소의 연산 및 통신 오버헤드를 가져야 한다. THEMIS는 ‘클라우드 공증 기관’ 이라는 새로운 개념을 도입하였다. 클라우드 공증 기관은 신뢰된 제 3자 기관으로서, 사용자와 서비스 제공자 사이에 발생하는 모든 과금 기록에 대하여 상호 검증성을 보장하되, 그로 인해 발생하는 연산 오버헤드를 획기적으로 줄여 과금 트랜잭션에 의해 발생하는 지연 시간을 최소화 시킨다. 또한 클라우드 서비스의 SLA 준수 여부를 신뢰성 있는 방법으로 측정하고 기록하는 모듈인 ‘S-Mon’을 디자인하고 구현하였다. 클라우드 공증 기관은 S-Mon이 측정한 데이터를 검증하여 각 데이터에 대한 무결성을 보장하며, 클라우드 과금 시스템의 중요한 요구사항이었던 상호 검증성과 신뢰성이 보장되도록 하였다. 실험 결과에 따르면, THEMIS는 기존 PKI 기반 과금 시스템과 비교하여 16.87배의 빠른 트랜잭션 처리 속도를 제공한다.
PKASSO (연산 효율적인 클라우드 기반 인증 시스템): PKI 기반 인증 메커니즘을 연산 능력이 제한된 스마트폰, 넷북, 노트북과 같은 모바일 컴퓨팅 디바이스에 적용하는데 따른 문제점은 PKI에서 널리 사용되는 비대칭키 기반 암호화 알고리즘의 연산 복잡도로 인한 인증 오버헤드에 기인한다. 이러한 문제를 해결하기 위하여, 클라우드 기반 위임 메커니즘과 Single Sign-On 기술을 접목시킨 연산 효율 적인 PKI 기반 인증 시스템인 PKASSO를 제안하였다. PKASSO는 인증 연산에 있어 사용자에게 발생하는 인증 지연 시간을 단축시키기 위하여 ‘위임 기관’이라는 새로운 개념을 제안하고 이를 구현하였다. 인증에 필요한 연산을 클라우드 단에 위치한 위임 기관으로 안전하게 위임시켜 기존의 보안 수준과 기능을 유지하되 인증 지연 시간을 획기적으로 단축시킨다. 또한, 사용자의 인증 연산이 위임된 상태에서도 인증 정보에 대한 부인봉쇄(否認封鎖) 메커니즘을 제공하기 위하여 ‘심판 기관’이라는 새로운 개념을 도입하고 이를 구현하였다. 심판 기관은 신뢰된 제3자 기관으로서, 인증에 참여한 개체와 인증 고유 번호를 사상(寫像) 시키고, 이를 교차 키 분배 방식에 의해 생성된 키로 인증 트랜젝션 정보를 검증하는 메커니즘을 고안하여, 사용자의 인증 연산의 위임 후에도 부인봉쇄 기능을 보장하여 PKI와 동일한 보안성을 제공한다. 실험결과에 따르면, PKASSO는 기존 PKI 기반 인증 시스템과 비교하여 61.09배의 빠른 인증 속도를 제공한다.
상기 네 가지 보안 시스템은 iCubeCloud에 적재되어 연산 효율적이고 신뢰성이 보장된 클라우드 컴퓨팅 서비스를 실현하기 위한 핵심적인 역할을 하게 된다. 첫째, ACCENT는 SSL/TLS기반 클라우드 서비스의 웹 인터페이스 계층에 적재되어, SSL/TLS 기반 통신 루틴의 자원 효율성 및 데이터 처리량을 획기적으로 향상시킨다. 둘째, BLAST는 클라우드 컴퓨팅 플랫폼의 스토리지 계층에 적재되어 연산 효율적인 보안 스토리지 시스템을 제공한다. 셋째, THEMIS는 클라우드 컴퓨팅 플랫폼의 과금 시스템으로 동작하여, 신뢰성이 보장되고 연산 효율적인 과금 트랜잭션을 가능하게 한다. 넷째, PKASSO는 클라우드 기반 인증 서비스로서, 클라우드 기반 아웃소싱 모델을 통해 연산 효율적이면서도 PKI와 동일한 보안성을 제공하는 인증 시스템을 제공한다.
