前言
第1章雲計算概論1
1.1雲計算的概念1
1.1.1基礎設施即服務2
1.1.2平臺即服務2
1.1.3軟件即服務3
1.2雲計算的技術特點4
1.2.1面向服務4
1.2.2彈性伸縮與自動調配4
1.2.3虛擬化技術5
1.3雲計算的安全需求5
1.3.1基礎設施與平臺的安全5
1.3.2軟件的安全7
第2章可信計算概論9
2.1網絡空間安全的概念9
2.2可信計算的概念10
2.3可信計算的發展11
2.3.1國外可信計算的發展11
2.3.2國內可信計算的發展13
2.4可信計算的關鍵技術15
2.4.1信任根15
2.4.2度量存儲報告機制16
2.4.3可信平臺模塊17
2.4.4可信計算平臺18
2.4.5可信軟件棧20
2.4.6遠程證明21
2.4.7可信網絡連接21
2.4.8密碼技術24
2.5對可信計算的一些思考26
2.5.1可信計算是提高計算機繫統安全性的有效技術…26
2.5.2可信計算的發展尚存在一些不足27
2.6對信息安全與計算機安全的一些新認識31
2.6.1對信息安全的一些新認識31
2.6.2對計算機安全的一些新認識33
第3章可信計算環境構建技術38
......
3.2.1總體架構41
3.2.2基礎軟件可信模塊的構建44
3.2.3基於SMC指令的移動終端可信服務調用47
3.2.4基於RPMB分區的基礎軟件可信模塊隱私數據保護51
3.2.5實驗與結果分析57
3.3SGX技術70
3.3.1SGX的原理與結構70
3.3.2SGX的安全性76
3.3.3SGX的應用81
3.3.4SGX的動態口令保護81
第4章面向雲計算的可信平臺模塊91
4.1雲計算對可信平臺模塊的需求91
4.2虛擬化可信平臺模塊91
4.2.1可信平臺模塊的虛擬化91
4.2.2虛擬化可信平臺模塊的安全保護機制97
第5章面向雲計算的可信軟件環境109
5.1雲計算對可信軟件棧的需求109
5.2雲計算環境下的可信軟件棧110
5.3容器技術115
5.3.1LXC框架115
5.3.2libcontainer架構116
5.3.3容器安全研究進展117
5.4可信容器技術119
5.4.1總體設計框架119
5.4.2功能與實現原理120
第6章可信雲服務器技術134
6.1可信雲服務器的度量技術134
6.1.1服務器靜態度量134
6.1.2服務器動態度量138
6.1.3虛擬機靜態度量141
6.1.4虛擬機動態度量146
6.1.5基於TPM 2.0的Linux完整性度量與驗證155
6.2可信雲服務器的BMC安全控制技術167
6.2.1BMC與信任度量167
6.2.2BMC與服務器安全控制…169
第7章可信雲計算網絡技術173
7.1軟件定義網絡技術173
7.1.1軟件定義網絡概述173
7.1.2軟件定義網絡關鍵技術…175
7.1.3軟件定義網絡的應用179
7.2網絡功能虛擬化180
7.2.1為什麼需要網絡功能虛擬化180
7.2.2網絡功能虛擬化研究進展182
第8章可信雲計算數據安全技術186
8.1可信雲計算的數據安全技術186
8.1.1雲存儲安全架構186
8.1.2雲存儲數據完整性保護技術192
8.1.3雲存儲數據秘密性保護技術199
8.2可信雲計算的數據安全實驗繫統206
8.2.1可信雲存儲繫統的構造206
8.2.2可信雲計算數據安全配置210
第9章軟件定義的彈性雲安全214
9.1軟件定義安全214
9.1.1軟件定義安全的重要性…214
9.1.2軟件定義安全研究進展…216
9.2軟件定義的彈性雲安全需求和架構217
9.2.1軟件定義的彈性雲安全需求217
9.2.2軟件定義的彈性雲安全架構219
第10章雲環境下安全外包計算235
10.1安全外包計算235
10.1.1安全外包計算概念235
10.1.2安全外包計算模型237
10.1.3安全外包計算基礎技術240
10.2安全外包計算與圖像特征提取…245
10.2.1研究背景245
10.2.2SIFT安全外包計算245
10.2.3SURF安全外包計算…252
10.2.4HOG安全外包計算258
10.3安全外包計算與機器學習267
10.3.1研究背景267
10.3.2嶺回歸分析的安全外包計算268
10.3.3典型相關分析的安全外包計算276
10.4安全外包計算與搜索285
10.4.1研究背景285
10.4.2非結構化數據搜索的安全外包計算285
10.4.3結構化數據搜索的安全外包計算294

隨著信息技術與產業的高速發展和廣泛應用，人類社會進入了信息化時代。網絡空間是信息時代人們賴以生存的信息環境，是所有信息繫統的集合。
因為網絡空間既是人的生存環境，也是信息的生存環境，所以網絡空間安全是人和信息對網絡空間的基本要求。又因為網絡空間是所有信息繫統的集合，是復雜的巨繫統，所以網絡空間的信息安全問題更加突出。
沒有網絡安全，就沒有國家安全。沒有信息化，就沒有現代化。核心技術是國之重器。因此，我們必須下定決心，加速推動信息領域核心技術突破,把我國建設成網絡強國，確保我國的網絡空間安全。
雲計算是一種以互聯網絡為基礎的面向服務的計算，按需服務，計量收費，為用戶提供豐富的服務。
雲計算的服務總體上可分為三層：基礎設施即服務（IaaS），用戶可以租用雲計算的硬件服務器等基礎設施；平臺即服務（PaaS），用戶可以租用雲計算的軟件開發平臺，開發自己的個性化定制軟件；軟件即服務（SaaS），用戶可以租用雲計算的應用軟件。雲計算旨在使計算像水、電、油一樣，成為公共基礎資源。用戶隻需要向雲計算管理機構購置服務，而不需要自己購置硬件基礎設施、軟件開發平臺和應用軟件。這顯然是極為方便的，而且極大地降低了用戶的成本。
但是，面向服務的計算在工作模式上必然是資源共享，而資源的共享將引發諸多信息安全問題。例如：基礎設施和平臺安全問題，雲計算有幾乎無限的計算資源（基礎設施、平臺和軟件），但是用戶不知道這些資源是否可信；服務安全問題，雲計算有幾乎無處不在的服務，但是用戶不知道這些服務是否可信；數據安全問題，雲計算有幾乎無限的存儲空間，但是用戶不能感知自己數據的存在，不知道自己的數據存儲在哪裡，更不能控制自己的數據。於是，用戶就不信任雲計算，不信任自然就不會應用。用戶對雲計算不信任也就成了影響雲計算廣泛應用的主要原因。
大數據處理與雲計算是一對“雙胞胎”。一方面，雲計算具有幾乎無限的存儲和計算能力；另一方面，大數據需要巨大的存儲空間和強大的計算能力。因此，大數據必然存儲於雲計算的存儲繫統並依靠雲計算繫統進行處理。隻有這樣結合，纔是合理、的方案。由此可見，雲計算和大數據的開發應用與安全可信是相互聯繫的。於是，雲計算的安全問題就會影響到大數據的安全；反過來，大數據的安全問題也會影響到雲計算的安全。
可信計算是一種旨在增強計算機繫統可信性的綜合性信息安全技術。而且，可信計算特別適合用於提高信息繫統的基礎設施和平臺的可信性。因此，采用可信計算技術增強雲計算和大數據繫統的可信性成為一種必然的選擇。
為了確保雲計算的安全可信，人們提出了可信雲計算的概念。所謂可信雲計算，是指將可信計算技術融入雲計算環境中，構建可信雲安全架構，向用戶提供可信的雲服務。
中國在可信計算領域起步很早、成果可喜並有很多創新，整體水平居於國際前列。早在2003年，武漢瑞達公司就與武漢大學合作開發出我國款嵌入式安全模塊（ESM）和款可信計算機（SQY14嵌入密碼型計算機），並得到實際應用。2012～2018年，華為、浪潮、大唐高鴻等公司與武漢大學合作研制出自己的可信雲服務器，並實現了產業化。
為了研究、掌握雲計算安全的基礎理論與關鍵技術，國家科學技術部發布了“雲計算安全理論與方法研究”的973項目（項目號：2014CB340600）。華中科技大學、武漢大學和中國科學院信息工程研究所共同承擔了這個項目。武漢大學具體承擔了“可信雲繫統安全架構基礎理論與方法研究”子課題（項目號：2014CB340601）。除了973項目的支持外，武漢大學的研究還得到國家863項目、國家自然科學基金重點項目、國家自然科學基金面上和青年項目、企業合作項目的支持。
經過近5年的研究，武漢大學的項目組在可信雲繫統安全架構基礎理論與方法方面取得了一些創新性成果，並基於這些成果編寫了本書。
本書比較全面地介紹了可信雲計算基礎設施與環境的構建理論和關鍵技術。本書的第1章由張立強撰寫，第2章由張煥國撰寫，第3章由趙波、嚴飛撰寫，第4章由餘發江撰寫，第5章由王鵑、餘發江撰寫，第6章由餘發江撰寫，第7章由王鵑撰寫，第8章由王張宜撰寫，第9章由王鵑撰寫，第10章由王騫、王志波撰寫。
作者相信，本書的出版和發行將會增進可信計算、雲計算安全、大數據安全等領域的學術和技術交流，促進這些領域的理論研究和技術進步。
作者感謝國家科學技術部、國家自然科學基金委員會和合作企業的支持！沒有作者承擔的973項目、863項目、國家自然科學基金重點項目、國家自然科學基金面上和青年項目、企業合作項目的支持，就不會有這些研究成果，更不會有本書的出版和發行。
作者感謝973項目組內華中科技大學和中國科學院信息工程研究所的所有老師和同學！他們給了我們許多指導和幫助。大家組成了一個團結愉快的小組，共同完成了這個項目的研究。
作者感謝中國可信雲計算社區的所有朋友！本書中的許多內容都曾經在社區的活動中進行過交流，並得到朋友們的指導和幫助。
作者要特別感謝華為、浪潮、大唐高鴻等公司的合作！正是這些合作，使得書中一些技術得以落地、實現產業