摘要：SM4算法是中国自主设计的商用分组密码算法,其加解密计算性能成为影响信息系统数据机密性保障的重要因素之一.现有SM4算法优化主要面向硬件设计和软件查表等方向展开研究,分别存在依赖特定硬件环境、效率低下且易遭受侧信道攻击等问题.比特切片技术通过对输入数据重组实现了并行化高效分组密码处理,可以抵御针对缓存的侧信道攻击.然而现有切片分组密码研究对硬件平台相关性强、处理器架构支持单一,并且并行化处理流水启动较慢,面向小规模数据的加解密操作难以充分发挥单指令多数据(single instruction multiple data,SIMD)等先进指令集的优势.针对上述问题,首先提出了一种跨平台的通用切片分组密码算法模型,支持面向不同的处理器指令字长提供一致化的通用数据切片方法.在此基础上,提出了一种面向SIMD指令集的细粒度切片并行处理SM4优化算法,通过细粒度明文切片重组与线性处理优化有效缩短算法启动时间.实验结果表明,相比通用SM4算法,优化的SM4比特切片算法加密速率最高可达438.0 MBps,加密每字节所需的时钟周期最快高达7.0 CPB(cycle/B),加密性能平均提升80.4%~430.3%.

摘要：可信技术正在从被动可信度量向着下一代的主动可信监控方向发展,要求TPM/TCM模块有能力主动度量和干预主机系统,传统的TPM/TCM从架构和运行机制等方面都无法满足这种能力.TEE(trusted execution environment)技术提供了可信执行环境和主动访控能力,为构建下一代TPM/TCM提供了基本平台,但还存在系统结构、存储以及通信等多方面挑战.提出了基于ARM平台TrustZone机制的TZTCM(TrustZone-based trusted cryptography module)方案,通过分核异步系统架构解决TZTCM独立可信运行和主动可信安全监控问题,基于PUF(physical unclonable functions)安全存储机制和基于UUID(universally unique identifier)的TEE安全通信机制,解决了TEE环境下可信平台模块的存储安全和通信安全问题,为设计实现主动可信TPM/TCM给出了理论和实践参考.通过实验验证了所提关键机制的有效性,实验结果表明,TZTCM在密码计算能力上较常见TPM也有很大提升.TZTCM只需要在系统中增加或修改相应的软/固件,除了主动可信监控能力,还具有低成本、高性能、低功耗、易升级等特点,相对传统TPM/TCM具有非常明显的优势.

摘要：海量小文件的高效存储和访问是当前分布式文件系统面临的主要挑战之一。以GFS和HDFS为代表的分布式文件系统大多面向海量大文件的高效存储和访问设计,缺乏小文件处理的针对性优化,导致访问海量小文件时效率低下。针对分布式文件系统中海量小文件访问时的数据服务器优化问题,提出了一种采用扁平式数据存储方法的轻量级文件系统FlatLFS,取代传统文件系统对上层分布式文件系统提供数据存储和访问支持,提高了数据服务器处理小数据块时的I/O性能,从而提升了整个分布式文件系统的性能。实验表明,当数据块大小设定为1M时,FlatLFS的随机读性能分别比ext3、ext4、reiserfs高135%、112%和122%。

摘要：入侵检测是网络安全技术的一个重要方面。文章针对企事业单位内部网络安全的特点，分别引入了分层次过滤、分布处理、分层管理、自治代理以及安全通讯的思想，提出了基于分布自治代理的层次入侵检测系统模型，并给出了该入侵检测系统的体系结构与详细设计。该入侵检测系统具有实时检测、实时响应、及时恢复、健壮性好、可伸缩性好等优点。

摘要：采用分布式结构的基于网络的入侵检测系统(NIDS)自身的安全性已经成为一个重要问题。在分析了已有NIDS的技术特点的基础上，根据其特性引入了报文过滤、进程控制、报文确认和安全通信的思想，提出了面向NIDS的自保护代理(Self-protection Agent)的模型，并给出了SPA的体系结构与详细设计。在与已有的基于代理的入侵检测系统结合后，SPA可以提高NIDS的安全性。

摘要：VPN是一种利用加密通讯协议在公共网络中建立安全、可靠数据传输通道的技术。目前,利用SSL协议构建安全VPN已成为一种主流方式。本文在对隧道式SSL VPN运行机理分析的基础上,针对其性能瓶颈提出了一种基于分布式隧道模型的SSL VPN方案。该方案通过引入P2P技术,利用边缘节点的计算能力分担了服务器的数据传输任务,在改善了点到点之间的传输性能的同时,也极大提高了VPN的整体吞吐率。

摘要：协同和分布式的网络攻击对传统的网络安全防护提出了巨大的挑战,同时也对分布式入侵检测技术提出了更高的要求,而有效融合多种入侵检测系统报警信息能够提高告警的准确性。首先给出了五维度报警信息关联的定义;然后设计与实现了带有实时响应机制的层次化关联模型,该模型具有较广泛的适用性,每一层都可以作为一个单独的模块完成相应的功能;最后给出了报警信息融合模块的实现。实验证明:报警信息融合可以降低误报、漏报率,并能识别攻击意图,达到预警的目的。

摘要：由于管理员等特权用户的存在,用户私有数据文件难以得到有效的保护。为真正做到用户的私有数据文件被用户自身所控,包括管理员在内的其他任何人均不能访问,建立包括用户令牌属性的私有目录容器,并在操作系统内核强制访问控制框架下设计实现基于用户令牌的私有目录容器访问控制机制,为用户自身私有数据文件的安全访问提供保护。只有私有目录容器属主才能访问该目录容器内的数据文件,任何其他用户均无权访问。进程的用户令牌只能通过身份认证获取,可有效防止通过用户身份仿冒获取容器属主身份,从而有效保护用户私有数据文件的安全。

摘要：嵌入式控制系统通常都有模式,比如启动模式、正常工作模式以及紧急模式等。程序模式是由其输入变量值范围组合构成的输入变量约束表达式表示的。基于源程序,获取其模式,不仅能够验证实现的模式与设计是否一致,还能够更加精确地计算程序的WCET。在对源程序进行分析的基础上,提出了一种自动获取程序模式的新方法。该方法基于C语言源程序,针对程序控制流程图,通过调整循环中节点流向以及去除与输入变量无关的节点,获得输入变量相关控制流程图ICFG,通过对ICFG每条路径建立线性规划问题并求解,获得每一个潜在的程序模式及其输入变量约束表达式。对基准程序的实验结果,表明了该方法的可行性和有效性。

摘要：基于源程序获取实时控制系统的模式,不仅能够验证实现的模式与设计是否一致,还可使程序的最差情况执行时间(WCET)计算更为精准。为此,提出一种自动分析实时控制系统程序模式的方法。通过分析C语言源程序生成程序控制流图,对输入变量相关节点进行切片,形成依赖输入变量的控制流图(ICFG),建立ICFG每条路径的线性规划问题并求解,从而获得潜在的程序模式。在此基础上,计算指定模式下针对现代RISC处理器程序的WCET。在基准程序上的实验结果验证了该方法的可行性和有效性。