云计算值得信任 三大领域安全技术面临挑战

2011年随着全球经济形式好转，IT产业也将全面复苏，云计算有了全新的发展契机。越来越多的企业开始加速迈向云计算。Gartner预计，以云计算方式提供的安全应用服务，在2013年将会增长三倍。

不可否认，云计算将是未来IT发展的方向和趋势，其安全问题也成为业内争论最多的话题之一。各大安全公司对此也极力宣传自身优势，而各大云计算服务和平台提供商对此问题表现出极大地兴趣。即便如此，安全灾难也时有发生。

今年4月，索尼旗下Playstation网站遭遇黑客入侵，黑客侵入索尼公司位于美国圣迭戈市的数据服务器，窃取了索尼PS3和音乐、动画云服务网络Qriocity用户登录的个人信息，包括姓名、住址、生日、登录名和密码等，受影响用户多达7700万人，涉及57个国家和地区。同时，索尼旗下另一组负责计算机在线游戏服务的索尼网络娱乐 (Sony Online Entertainment)也传遭到入侵，可能将有高达2460万笔用户数据也遭外泄。

索尼事件并不是历史上最严重的。2009年，Heartland支付系统公司的1亿3000万用户数据被泄漏;2007年，零售商TJX公司的9400万用户数据被泄漏，这些事件在当时都引起了业界的震动。而索尼事件的出现，则再次引发了云计算的安全大讨论。

可以说，云计算改变了服务方式，但并没有颠覆传统的安全模式。所不同的是，在云计算时代，安全设备和安全措施的部署位置有所不同;安全责任的主体发生了变化。原来，用户自己要保证服务的安全性，现在由云计算服务提供商来保证服务提供的安全性。

前不久，51CTO记者就目前的安全威胁趋势及云计算安全等问题，与EMC信息安全事业部RSA首席技术官 Bret Hartman先生进行了深入探讨。

对于索尼事件，Bret表示他并未了解事实真相，只是通过网上了解了一些情况而已，但可以肯定的是索尼事件本身是由于内部漏洞造成的。同时，Bret还强调针对个人消费者提供的云服务，其安全性目前来看，并非想象中那么强壮，事实上，很多云服务都是针对企业环境提供的，其安全措施已经非常全面，但即便在非常强的安全环境中，攻击者也会找到漏洞来攻击。Bret坦言，对于所有的云服务提供商来说，还有很长的路要走。

今年早些时候，记者在美国RSA大会上，曾独家采访过Bret先生。当时他曾对记者说，云计算概念诞生之初，人们还只是关注云计算是什么，云服务是怎么回事;过去几年，我们看到，大家关注的重点逐渐转移到云计算的安全问题上。而今天，很多人都会问一个问题：我们可以信任云么？

显然，“我们凭什么信任云计算和云服务？”这个问题俨然成为时下的焦点。对此，Bret相信，让大家信任云计算及服务是未来发展的一个方向。他所指的这个方向是安全技术在云计算环境中的应用。目前，包括RSA在内的很多专业安全厂商正在为此做出努力。

在谈到保护云计算环境的安全技术时，按保护目标的不同，Bret将云计算安全技术分为三大领域：身份的保护、基础设施的保护和信息数据的保护。不过这几类安全技术也面临很多挑战。

对于身份安全来说，用户需要的是强认证机制，这种强认证机制要考虑一般的ID和密码保护，这样我们才能有充分的信心，确保得到授权的用户访问某一应用或系统。但Bret认为，在云环境中，我们面临着一个挑战：在云环境里面没有关于身份认证的定义。换句话说，从一个云服务转移到另一个云服务的时候，我们怎么证明用户的身份是合法的，访问的云服务是权限范围内的？显然，在云环境中我们需要联合身份认证技术，才能实现云服务和云应用的安全迁移。Bret强调，不得不承认，云计算环境中的身份认证是一件困难的事情。

第二个领域是保护基础架构的安全技术。基础架构包括一些硬件和网络设施、操作系统、应用环境。对基础架构安全来说，要确保基础架构的安全有非常大的挑战，在虚拟机从一个云环境进入另一个云环境的时候，如何保证虚拟机不受攻击，也是非常大的挑战。在基础架构安全方面还有一点非常重要，就是需要非常强的可信链条，这个可信链条包括硬件上要安全，还有英特网，还有操作系统，还有整个虚拟化，所有的链条里面都要打造非常强的可信性。

第三领域是保护数据和信息的安全。这方面技术也面临很多挑战，要确保用户访问云环境的时候，一方面确保数据的保密性，也就是谁能够阅读这些数据;另一方面要保证云环境中的数据完整性，也就是这些数据在访问的时候，不应该被任何人随意篡改。在这个领域中的技术主要包括分布式的密钥管理技术，还有密钥的加密技术，还有DLP技术。云服务提供商需要确保整个数据在云环境中传输的时候，内容不会丢失。

Bret向记者透露，RSA准备在2011年第三季度时向市场推出基于云计算环境的身份认证服务。

事实上，索尼事件只是一个开始，未来云服务提供商将面临更加残酷的攻击和竞争。公共云服务提供商是否能有完善的安全防护，在云计算环境中是否能提前检测到安全威胁，将决定像索尼这样的云服务提供商，在未来商业竞争中能否得到信任的重要判断依据。

坦白的讲，云计算环境是否能够信任，还要靠实践检验。而目前很多事件则恰巧反映出云计算环境中存在不容忽视的安全问题，正是这些问题的出现，才使人们质疑云计算，才让云计算的诚信问题成为业内的焦点。但我们也应该看到，正如Bret所言，云计算是未来发展的方向，云计算给人们带来的便利远大于其安全问题所带来的损失，我们不能由于各类云计算安全问题就望云兴叹。毕竟，很多专业的安全厂商都在努力地让云计算更加可信，期待云计算改变人类文明及生活的那一天，对此我们应该抱有信心。