【51CTO.com 獨(dú)家特稿】2011年隨著全球經(jīng)濟(jì)形式好轉(zhuǎn)，IT產(chǎn)業(yè)也將全面復(fù)蘇，云計(jì)算有了全新的發(fā)展契機(jī)。越來越多的企業(yè)開始加速邁向云計(jì)算。Gartner預(yù)計(jì)，以云計(jì)算方式提供的安全應(yīng)用服務(wù)，在2013年將會(huì)增長(zhǎng)三倍。

不可否認(rèn)，云計(jì)算將是未來IT發(fā)展的方向和趨勢(shì)，其安全問題也成為業(yè)內(nèi)爭(zhēng)論最多的話題之一。各大安全公司對(duì)此也極力宣傳自身優(yōu)勢(shì)，而各大云計(jì)算服務(wù)和平臺(tái)提供商對(duì)此問題表現(xiàn)出極大地興趣。即便如此，安全災(zāi)難也時(shí)有發(fā)生。

今年4月，索尼旗下Playstation網(wǎng)站遭遇黑客入侵，黑客侵入索尼公司位于美國(guó)圣迭戈市的數(shù)據(jù)服務(wù)器，竊取了索尼PS3和音樂、動(dòng)畫云服務(wù)網(wǎng)絡(luò)Qriocity用戶登錄的個(gè)人信息，包括姓名、住址、生日、登錄名和密碼等，受影響用戶多達(dá)7700萬人，涉及57個(gè)國(guó)家和地區(qū)。同時(shí)，索尼旗下另一組負(fù)責(zé)計(jì)算機(jī)在線游戲服務(wù)的索尼網(wǎng)絡(luò)娛樂 (Sony Online Entertainment)也傳遭到入侵，可能將有高達(dá)2460萬筆用戶數(shù)據(jù)也遭外泄。

索尼事件并不是歷史上最嚴(yán)重的。2009年，Heartland支付系統(tǒng)公司的1億3000萬用戶數(shù)據(jù)被泄漏；2007年，零售商TJX公司的9400萬用戶數(shù)據(jù)被泄漏，這些事件在當(dāng)時(shí)都引起了業(yè)界的震動(dòng)。而索尼事件的出現(xiàn)，則再次引發(fā)了云計(jì)算的安全大討論。

可以說，云計(jì)算改變了服務(wù)方式，但并沒有顛覆傳統(tǒng)的安全模式。所不同的是，在云計(jì)算時(shí)代，安全設(shè)備和安全措施的部署位置有所不同；安全責(zé)任的主體發(fā)生了變化。原來，用戶自己要保證服務(wù)的安全性，現(xiàn)在由云計(jì)算服務(wù)提供商來保證服務(wù)提供的安全性。

前不久，51CTO記者就目前的安全威脅趨勢(shì)及云計(jì)算安全等問題，與EMC信息安全事業(yè)部RSA首席技術(shù)官 Bret Hartman先生進(jìn)行了深入探討。

[[31035]]

RSA首席技術(shù)官 Bret Hartman

對(duì)于索尼事件，Bret表示他并未了解事實(shí)真相，只是通過網(wǎng)上了解了一些情況而已，但可以肯定的是索尼事件本身是由于內(nèi)部漏洞造成的。同時(shí)，Bret還強(qiáng)調(diào)針對(duì)個(gè)人消費(fèi)者提供的云服務(wù)，其安全性目前來看，并非想象中那么強(qiáng)壯，事實(shí)上，很多云服務(wù)都是針對(duì)企業(yè)環(huán)境提供的，其安全措施已經(jīng)非常全面，但即便在非常強(qiáng)的安全環(huán)境中，攻擊者也會(huì)找到漏洞來攻擊。Bret坦言，對(duì)于所有的云服務(wù)提供商來說，還有很長(zhǎng)的路要走。

今年早些時(shí)候，記者在美國(guó)RSA大會(huì)上，曾獨(dú)家采訪過Bret先生。當(dāng)時(shí)他曾對(duì)記者說，云計(jì)算概念誕生之初，人們還只是關(guān)注云計(jì)算是什么，云服務(wù)是怎么回事；過去幾年，我們看到，大家關(guān)注的重點(diǎn)逐漸轉(zhuǎn)移到云計(jì)算的安全問題上。而今天，很多人都會(huì)問一個(gè)問題：我們可以信任云么？

顯然，“我們憑什么信任云計(jì)算和云服務(wù)？”這個(gè)問題儼然成為時(shí)下的焦點(diǎn)。對(duì)此，Bret相信，讓大家信任云計(jì)算及服務(wù)是未來發(fā)展的一個(gè)方向。他所指的這個(gè)方向是安全技術(shù)在云計(jì)算環(huán)境中的應(yīng)用。目前，包括RSA在內(nèi)的很多專業(yè)安全廠商正在為此做出努力。

在談到保護(hù)云計(jì)算環(huán)境的安全技術(shù)時(shí)，按保護(hù)目標(biāo)的不同，Bret將云計(jì)算安全技術(shù)分為三大領(lǐng)域：身份的保護(hù)、基礎(chǔ)設(shè)施的保護(hù)和信息數(shù)據(jù)的保護(hù)。不過這幾類安全技術(shù)也面臨很多挑戰(zhàn)。

對(duì)于身份安全來說，用戶需要的是強(qiáng)認(rèn)證機(jī)制，這種強(qiáng)認(rèn)證機(jī)制要考慮一般的ID和密碼保護(hù)，這樣我們才能有充分的信心，確保得到授權(quán)的用戶訪問某一應(yīng)用或系統(tǒng)。但Bret認(rèn)為，在云環(huán)境中，我們面臨著一個(gè)挑戰(zhàn)：在云環(huán)境里面沒有關(guān)于身份認(rèn)證的定義。換句話說，從一個(gè)云服務(wù)轉(zhuǎn)移到另一個(gè)云服務(wù)的時(shí)候，我們?cè)趺醋C明用戶的身份是合法的，訪問的云服務(wù)是權(quán)限范圍內(nèi)的？顯然，在云環(huán)境中我們需要聯(lián)合身份認(rèn)證技術(shù)，才能實(shí)現(xiàn)云服務(wù)和云應(yīng)用的安全遷移。Bret強(qiáng)調(diào)，不得不承認(rèn)，云計(jì)算環(huán)境中的身份認(rèn)證是一件困難的事情。

第二個(gè)領(lǐng)域是保護(hù)基礎(chǔ)架構(gòu)的安全技術(shù)。基礎(chǔ)架構(gòu)包括一些硬件和網(wǎng)絡(luò)設(shè)施、操作系統(tǒng)、應(yīng)用環(huán)境。對(duì)基礎(chǔ)架構(gòu)安全來說，要確?；A(chǔ)架構(gòu)的安全有非常大的挑戰(zhàn)，在虛擬機(jī)從一個(gè)云環(huán)境進(jìn)入另一個(gè)云環(huán)境的時(shí)候，如何保證虛擬機(jī)不受攻擊，也是非常大的挑戰(zhàn)。在基礎(chǔ)架構(gòu)安全方面還有一點(diǎn)非常重要，就是需要非常強(qiáng)的可信鏈條，這個(gè)可信鏈條包括硬件上要安全，還有英特網(wǎng)，還有操作系統(tǒng)，還有整個(gè)虛擬化，所有的鏈條里面都要打造非常強(qiáng)的可信性。

第三領(lǐng)域是保護(hù)數(shù)據(jù)和信息的安全。這方面技術(shù)也面臨很多挑戰(zhàn)，要確保用戶訪問云環(huán)境的時(shí)候，一方面確保數(shù)據(jù)的保密性，也就是誰(shuí)能夠閱讀這些數(shù)據(jù)；另一方面要保證云環(huán)境中的數(shù)據(jù)完整性，也就是這些數(shù)據(jù)在訪問的時(shí)候，不應(yīng)該被任何人隨意篡改。在這個(gè)領(lǐng)域中的技術(shù)主要包括分布式的密鑰管理技術(shù)，還有密鑰的加密技術(shù)，還有DLP技術(shù)。云服務(wù)提供商需要確保整個(gè)數(shù)據(jù)在云環(huán)境中傳輸?shù)臅r(shí)候，內(nèi)容不會(huì)丟失。

Bret向記者透露，RSA準(zhǔn)備在2011年第三季度時(shí)向市場(chǎng)推出基于云計(jì)算環(huán)境的身份認(rèn)證服務(wù)。

事實(shí)上，索尼事件只是一個(gè)開始，未來云服務(wù)提供商將面臨更加殘酷的攻擊和競(jìng)爭(zhēng)。公共云服務(wù)提供商是否能有完善的安全防護(hù)，在云計(jì)算環(huán)境中是否能提前檢測(cè)到安全威脅，將決定像索尼這樣的云服務(wù)提供商，在未來商業(yè)競(jìng)爭(zhēng)中能否得到信任的重要判斷依據(jù)。

坦白的講，云計(jì)算環(huán)境是否能夠信任，還要靠實(shí)踐檢驗(yàn)。而目前很多事件則恰巧反映出云計(jì)算環(huán)境中存在不容忽視的安全問題，正是這些問題的出現(xiàn)，才使人們質(zhì)疑云計(jì)算，才讓云計(jì)算的誠(chéng)信問題成為業(yè)內(nèi)的焦點(diǎn)。但我們也應(yīng)該看到，正如Bret所言，云計(jì)算是未來發(fā)展的方向，云計(jì)算給人們帶來的便利遠(yuǎn)大于其安全問題所帶來的損失，我們不能由于各類云計(jì)算安全問題就望云興嘆。畢竟，很多專業(yè)的安全廠商都在努力地讓云計(jì)算更加可信，期待云計(jì)算改變?nèi)祟愇拿骷吧畹哪且惶?，?duì)此我們應(yīng)該抱有信心。

【編輯推薦】

1. 全面解析云計(jì)算安全問題
2. Bret Hartman在RSA大會(huì)上的視頻訪問
3. PSN網(wǎng)絡(luò)被黑將給索尼造成1.7億美元損失