i-Sprint运营负责人Dutch：云计算的安全问题

大家好！我来自新加坡，我负责营运，公司是i-Sprint。今天我想跟大家分享一些云安全的问题。三年前，唉，我关注一个用户可以上网，我在公司里有一些GAP可以用，用帐号密码登录。现在我有云，非常复杂，我外包出去一些在远方，我也不清楚我的数据在哪儿，全部在云端。我问自己说，我上一个云的时候，我只是用一把钥匙进来，什么钥匙？我的密码，帐号、密码，有些问题就会出现了。

今天我简单讲几个议题：一是云的定义；二是云认证以及单点登录；三是你需要做什么？四是案例。

云就是云+云=两片云，云×云=云，云-云=太阳，很多人误解到说云是不是我的虚拟化的系统？有很小的一部分，我问人家云是什么？云是把什么东西放到云就好。

云有三个层面：一是架构服务；二是平台、三是软件运营服务。你是谁？它的意义就是你的身份问题，我要确认谁进来，比如说谁进来我的网络平台我要确认，一个银行要知道谁进来了，我让谁来转帐，我送钱给谁呀。可是在一个网络端的时候，你知道对方是谁吗？我知道啊，我已经把他的帐号密码确认过了，这样足够吗？我看了很多文章，看了很多报道，一个小男生11岁，下载一些软体去扫描一下，可以扫到几万个明码出来，都是帐号密码，你觉得安全吗？还有在一个英国的BBC，说70%的人换一包糖果就可以给你密码，你说密码都不懂，有些人对电脑不熟，我就给你，你给我一包糖就好。

云安全的强烈关注：我有渠道知道你的帐号和密码，我今天可以变成另外的人了。我跟高德纳说，高德纳从去年到2012年的时候非常关注云安全，在1600多件案件里面都在讲身份，我讲确保身份。当你还没有云的架构的时候，要跑到云的架构的时候，你也失去了很多东西。失去什么？就是很多的东西已经不用再买了，他们已经帮我搞定了。还有就是你的管理，那时候你的机房都看得到，现在你看不到了，都在云端，你失去了控制跟管理。还有你的密码策略，当时我的密码是10个码，但是上了云全部都是6码，不可能为你而改，大家都是一致的。那我要10个码可以吗？但是我是云，不可能用10个码。

还有一个网络上都在讨论的话题，假如我的系统出现问题的时候怎么办呢？我们需要看一些Log，你觉得你看得到吗？一个简单的图片，假如这是一个人，你的公司员工都在这里，内部有很多的应用，应用上有很多的帐号密码，你加上云，每个云端都有一个帐号密码应用。大家说这些帐号密码都是明码，问题就来了，不能强制密码策略。

在云环境中必须实施什么？我们在内部有很多的帐号密码，在云端也有很多的帐号密码，我可以用回我的认证码？就是说只要你上了云端，不是你管的，是别人的，你是付和一笔钱每个月，他管你的帐号密码，你的帐号密码认证的时候就是认证到云，不是认证到你的控制上。假如说今天我要上云，可是我要认证到我的系统，不是云上的系统，可以做得到吗？可以。

想一想，我们会使用你现有的认证机制，如AD、LDAP。假如说有一些风险高的，比如像金融业、保险业，我可以用手机认证码？我可以用灵牌认证码？我在新加坡工作，新加坡银监会规定，每家银行有网络银行就必须用双证书认证，就是有一个动态密码，密码每分钟或者30秒都会变更，这样比较安全。开始在新加坡做了，香港也做了。香港我有一个汇丰的，这个是真的，我一直带在手上，这是我的钥匙，我要上网，要上云。为什么要用这个认证？很麻烦呀，还要放到口袋里面，没办法，儿子说，爸爸我要钱，我要带这个去做一个认证，然后转钱给他。为什么要这个钥匙？大家知道帐号密码不安全，很容易被盗的。新加坡我也做了，网络银行规定你必须要做。大家想一想泰国八大银行、五大银行都是用i-Sprint的产品，为什么？因为他们银监会很弱，没有规定要做双证书认证，但是他们的银行全部都做了，为什么？问题是新加坡、香港穿着避弹衣，泰国没有规定但是他们也做了，这是一个策略。

策略中我们还有一个解决方案，就是你需要做一个登录，或是用帐号密码，或者用内部的AD，或者是用手机都可以做登录，你上云的时候，它就帮你做单点登录，很多人就把单点登录跟认证分开。我要讲一下，我去很多家银行，给他们做培训，跟他们做交流，他们说假如我们用到这些令牌的时候，也想做单点登录。为什么？是因为帐号密码都是一个钥匙，进我的应用有很多把钥匙，等你把全部的密钥统一起来，用一个更强的认证的时候，第二步会说我已经把全部的钥匙集中到一个强制的钥匙，我不想再做登录了，为什么我要做登录，用一把钥匙就可以了。所以要做到这个层面，我登录到内部可控的环境做认证，然后可以到云，它就可以帮我完成，上云的时候就不用再做登录了。

后面一定有一个提示，后面一定有一个系统，这个系统叫UAS通用服务器，可以服务到云的强制认证。事实上大概有一百种不同的认证，我要用哪些认证呢？就要看您的风险。有些用字母，有些只是用动态密码，有些用手机，现在第二代的要做签章，就是对第三方转帐需要比较高风险的认证。做到认证可以做端到端的加密，什么叫端到端加密？听着很可怕，因为很多时候网络游一些保护，到了云上就变成明码了，端到端就是帐号密码的尾巴，就是你的加密机才能解开。中端可能会到法院，法院可以肯定我的用户跟我的加密机知道密码，我本人在银行不懂这个密码，我在法院做这个监控。还可以提供密码的策略和我们所说的规则，最终可以用加密机做加密。

我们做解决方案是一体的产品，是用一个平台上建立四个产品。第一个是通用认证，这个通用认证可以符合多元化的认证方式；第二做到认证方式就可以做到但点登录，但点登录的意义就是把帐号密码统一起来，把帐号密码管理起来，然后有些密码是特权的，你必须要用特权的方式管理这些特权帐号。最终就是我们所说的4A，就是你连授权都要布置，不光是但点登录，还要有授权。

i-Sprint这个公司已经12年了，去年3月28号跟华胜就拼在一起了，就变成了华胜的子公司，所以我们的产品是中国制造。这个唯一的公司在2006年到今天，也是唯一一家，但点登录也是一样的，也是唯一一家。我们有一系列的客户，有一系列的案例。我们不是卖印刷机，不是卖服务器的，他们用的东西就是把安全当核心来用。这是我们在亚洲服务的银行，在台湾、泰国、香港，还有一些我们服务的大企业，本田、麦当劳。

在云计算的时代，你要想到安全策略的时候，从没有云到有云的时候，没有云的时候一切的自治可以通用倒运上面去吗？要思考一些策略，最重点是要双认证，还有一些帐号密码的策略管理。重点就是数据库，必须要保留。早上讲到了一个案例，把整个数据库备份到上面去，拜托要做一些机制的加密。