浙江財(cái)經(jīng)學(xué)院信息學(xué)院 劉庚

近年來，在網(wǎng)絡(luò)技術(shù)的不斷進(jìn)步下，電子商務(wù)也隨之興起。作為一種新型的基于互聯(lián)網(wǎng)的在線商務(wù)模式，毫無疑問的是其發(fā)展迫使傳統(tǒng)的商品交易手段逐漸改變，隨之而來的是基于網(wǎng)絡(luò)平臺的商品交易模式。電子商務(wù)支付在云計(jì)算環(huán)境下的順利進(jìn)行，首先要保障網(wǎng)絡(luò)交易環(huán)境的安全以及電子商務(wù)交易載體的安全性，其中包括兩個(gè)方面：網(wǎng)絡(luò)安全和用戶終端安全。“云計(jì)算”這個(gè)概念最早是由Google公司于2007年提出的，這個(gè)概念一經(jīng)面世就引起了巨大轟動，云計(jì)算的誕生是信息技術(shù)的一次革命，它在計(jì)算以及存儲方面都有了新的突破。云計(jì)算主要是為用戶提供一種公用性質(zhì)的信息服務(wù)，這項(xiàng)服務(wù)主要是通過利用一些基礎(chǔ)設(shè)備，將一些軟、硬件資源組織在一起來為用戶服務(wù)。云計(jì)算融合了計(jì)算技術(shù)以及網(wǎng)絡(luò)技術(shù)，這其中包括了分布式計(jì)算、網(wǎng)格計(jì)算、虛擬化、效用計(jì)算以及并行計(jì)算。這項(xiàng)技術(shù)可以根據(jù)用戶多樣化的需要來改變計(jì)算資源，其實(shí)施將資源的浪費(fèi)降到了最低，因此在企業(yè)和用戶中受到了青睞?，F(xiàn)代電子商務(wù)的發(fā)展在云計(jì)算即付即用的服務(wù)及分布式的網(wǎng)絡(luò)計(jì)算環(huán)境下，在服務(wù)模式、產(chǎn)業(yè)鏈結(jié)構(gòu)及技術(shù)架構(gòu)方面將會產(chǎn)生一些新的變化。云計(jì)算的應(yīng)用不僅給電子商務(wù)網(wǎng)站的發(fā)展帶來機(jī)遇，也使電子商務(wù)企業(yè)網(wǎng)址的市場份額面臨被搶奪的風(fēng)險(xiǎn)。同時(shí)，由于云計(jì)算還處于發(fā)展階段，其安全性和穩(wěn)定性將成為未來電子商務(wù)運(yùn)營商面臨的巨大挑戰(zhàn)。

1 云計(jì)算的概念

現(xiàn)在世界各地對“云計(jì)算”這個(gè)概念還沒有一個(gè)統(tǒng)一的標(biāo)準(zhǔn)，但是大多數(shù)人都采用這樣的定義來詮釋這個(gè)概念：云計(jì)算是一種計(jì)算模式，該模式的大規(guī)模是根據(jù)經(jīng)濟(jì)驅(qū)動而確立的，這種模式的使用可以實(shí)現(xiàn)一些比較虛擬的、不具體的、可管理以及可擴(kuò)展的動態(tài)存儲與計(jì)算，外部用戶所訪問的數(shù)據(jù)都是通過互聯(lián)網(wǎng)中的資源池而得到的。從該概念中可以看到云計(jì)算主要包括以下幾個(gè)特點(diǎn)：

(1)規(guī)模大。分布式計(jì)算模式下的云計(jì)算是依靠經(jīng)濟(jì)驅(qū)動而形成的計(jì)算模式，這種模式的首要特點(diǎn)就是規(guī)模巨大，云計(jì)算的大規(guī)模是為了給用戶提供更加優(yōu)質(zhì)的服務(wù)，這其中就包括給用戶提供的服務(wù)要快速、安全以及經(jīng)濟(jì)。

(2)虛擬化。用戶得到的各種云服務(wù)都是虛擬化的，而這些虛擬化的服務(wù)都是基于云計(jì)算把不同功能進(jìn)行封裝后而得到的服務(wù)實(shí)體，用戶可以在世界各地通過相應(yīng)的云端服務(wù)來實(shí)現(xiàn)訪問數(shù)據(jù)、軟件操作等內(nèi)容，而對這項(xiàng)服務(wù)是如何實(shí)現(xiàn)以及服務(wù)器在什么位置這些問題是不必考慮的。

(3)穩(wěn)定性。云服務(wù)市場發(fā)展的狀況如何直接影響到了云計(jì)算的前景，而云服務(wù)市場的發(fā)展情況更多是取決于該項(xiàng)技術(shù)是否穩(wěn)定、可靠，所以只有保障云計(jì)算的服務(wù)的穩(wěn)定性才能從根本上保證云計(jì)算服務(wù)的未來發(fā)展情況。

(4)可擴(kuò)展性。用戶數(shù)量以及用戶使用數(shù)據(jù)的規(guī)模會隨著云計(jì)算技術(shù)的發(fā)展而增多，這也就要求云計(jì)算必須要有強(qiáng)大的擴(kuò)展能力來保證更多的用戶使用該項(xiàng)技術(shù)。

(5)資源優(yōu)化分配。云計(jì)算需要對網(wǎng)絡(luò)資源進(jìn)行優(yōu)化配置來滿足不同用戶的不同需求，通過對人們使用的資源進(jìn)行監(jiān)控或者控制，進(jìn)而以報(bào)表的形式傳遞給提供商，讓其進(jìn)行分析后再將資源合理的提供給用戶。

2 云計(jì)算的發(fā)展和研究現(xiàn)狀

現(xiàn)在國外組建了像Info World cloud-computing，NIST，Open Cloud Consortium等專門研究云計(jì)算的機(jī)構(gòu)，國內(nèi)也紛紛地組建自己的云計(jì)算組織，如中國電子學(xué)會云計(jì)算委員會和中國云計(jì)算聯(lián)盟社區(qū)等。另外IT屆也介入了云計(jì)算的研究當(dāng)中，其中就有Amazon，IBM，Sales force，微軟和Google等知名公司，他們投入了大量的人力和物力，開發(fā)出自己的云計(jì)算平臺。

云計(jì)算發(fā)展迅猛的同時(shí)，也在其應(yīng)用中體現(xiàn)出它的不足，安全問題的頻頻出現(xiàn)，抑制了它快速的發(fā)展。微軟商務(wù)辦公在線套件在2010年12月發(fā)生了數(shù)據(jù)泄露事件，就是因?yàn)槲④浽跉W美和亞洲的一個(gè)數(shù)據(jù)中心忽略了安全設(shè)置，將BPOS中的離線地址薄提供給了非授權(quán)用戶，導(dǎo)致地址薄上的殘留信息被竊取。與此同時(shí)，谷歌在2011年3月，有15萬Gmail用戶的郵件和聊天記錄被刪除，更為嚴(yán)重的是竟然有的賬戶被重置，這種大面積的數(shù)據(jù)泄露，估計(jì)占到用戶的0.08%。同樣不可幸免，索尼公司數(shù)據(jù)泄露，導(dǎo)致1億用戶受影響，他們的信用卡、銀行密碼等都被竊取。涉及的地域范圍之廣達(dá)57個(gè)國家和地區(qū)，影響到7700萬用戶的信息安全，其中就有1000多萬用戶的信用卡賬號。索尼提供的“Qriocity”服務(wù)也有2500萬用戶的信息被竊取。這樣使人們對云計(jì)算的信息安全保障失去了信心，阻礙其發(fā)展。云計(jì)算是一把雙刃劍，既是機(jī)遇又是挑戰(zhàn)。想要抓住這次機(jī)遇首先要解決其安全的隱患才行。這既需要政府的監(jiān)督，又需要技術(shù)上的提升，才能使得云計(jì)算受到重用。

3 電子商務(wù)中云計(jì)算服務(wù)的安全風(fēng)險(xiǎn)評估

云計(jì)算能很好的促進(jìn)IT設(shè)施和用戶間的融合，獲得良好的認(rèn)可，獲得收益，但是其天然的信息安全漏洞也很突出，所以企業(yè)要想使云計(jì)算得到很好的利用，必須注意規(guī)避風(fēng)險(xiǎn)。

(1)云計(jì)算中物理的安全防備模糊。企業(yè)和其他公司在云中可能要競爭計(jì)算資源，企業(yè)是無法得知自己數(shù)據(jù)的存儲區(qū)域的，只能依靠供應(yīng)商的提供。

(2)對于黑客和不安全用戶的侵?jǐn)_。企業(yè)的數(shù)據(jù)放在了任何用戶都可以訪問的云中，數(shù)據(jù)的竊取會很方便，可以將全球的任意地域企業(yè)運(yùn)用虛擬機(jī)融合在同一個(gè)服務(wù)器上，導(dǎo)致數(shù)據(jù)中心的硬件防護(hù)和物理隔離的弱化，容易產(chǎn)生相互間的攻擊。

(3)對于密鑰的安全系數(shù)。數(shù)據(jù)在云中傳輸需要加密，這個(gè)密鑰由誰掌管至關(guān)重要，企業(yè)當(dāng)然希望運(yùn)用SSL來加密數(shù)據(jù)，云中的數(shù)據(jù)存儲同樣也需要進(jìn)行加密。

(4)云存儲要有很好的兼容性。若一個(gè)云服務(wù)商的服務(wù)不足以滿足要求，需要將其轉(zhuǎn)移到另一服務(wù)商，這就涉及云服務(wù)的兼容性問題。就像Amazon的S3不能被IBM的藍(lán)云應(yīng)用一樣。

(5)云計(jì)算應(yīng)用的安全性質(zhì)。企業(yè)如果應(yīng)用SaaS產(chǎn)品，那么就確定它對傳統(tǒng)軟件的挑戰(zhàn)，就如SaaS服務(wù)商提供一個(gè)以Web為基礎(chǔ)的客戶關(guān)系管理產(chǎn)品，由于采用了不成熟的混合技術(shù)，會導(dǎo)致不可預(yù)知的安全漏洞問題一樣。

(6)對于云日志的監(jiān)測和管理。越來越多的任務(wù)轉(zhuǎn)移到云中，云的服務(wù)商需要保留相關(guān)的日志，這種日志是內(nèi)部的信息，不一定都能夠被企業(yè)訪問到，所以對其監(jiān)測和管理會比較麻煩。

(7)對于災(zāi)難性癱瘓的恢復(fù)功能。企業(yè)的不關(guān)鍵的任務(wù)下線，企業(yè)仍可能繼續(xù)運(yùn)行，一旦關(guān)鍵任務(wù)下線，就可能導(dǎo)致系統(tǒng)運(yùn)行錯(cuò)誤。

(8)法律規(guī)定的安全風(fēng)險(xiǎn)。關(guān)于數(shù)據(jù)保存的法律規(guī)定是，國家不允許將本國的數(shù)據(jù)存儲到其他國家，不允許數(shù)據(jù)混雜在共享服務(wù)之中。例如銀監(jiān)會就規(guī)定要將客戶數(shù)據(jù)存儲在本國的數(shù)據(jù)庫中。云就打破了這種國界限制，使信息的隔離、隱私和安全不受控制，有可能會違背法律規(guī)定。

4 構(gòu)建電子商務(wù)中云計(jì)算安全框架關(guān)鍵技術(shù)

4.1 安全系數(shù)高的接入認(rèn)證

因?yàn)槭褂迷朴?jì)算服務(wù)的用戶數(shù)量比較龐大，就需要對訪問云服務(wù)數(shù)據(jù)的用戶身份信息進(jìn)行驗(yàn)證以此來保障數(shù)據(jù)的安全性，同時(shí)還要定時(shí)地對用戶的訪問列表進(jìn)行更新與維護(hù)?，F(xiàn)在常用的一些驗(yàn)證用戶身份的方式包括：利用用戶名和密碼的密碼認(rèn)證方式、利用視網(wǎng)膜或者是指紋的生物驗(yàn)證以及通過密?？ɑ蛘呤荱盾形式的實(shí)物認(rèn)證。

4.2 可信訪問控制

在關(guān)于訪問數(shù)據(jù)對象問題上，傳統(tǒng)模式中主要是利用用戶的訪問控制策略來進(jìn)行訪問控制的，但是云計(jì)算中無法知道服務(wù)商是否按規(guī)定進(jìn)行實(shí)施，因此就需要對傳統(tǒng)方式進(jìn)行變革，目前訪問控制方法中使用比較廣泛的是密碼學(xué)方法，該方法主要包括：根據(jù)屬性來進(jìn)行加密的密鑰算法、密文規(guī)則；將訪問控制數(shù)寫入到用戶密文或者是用戶密鑰的方法；利用代理而得到的多重加密方法以及通過層次密鑰生成和分配策略而進(jìn)行的訪問控制。

4.3 安全審計(jì)

用戶將自己的私人數(shù)據(jù)以及計(jì)算都放到了云端，這就使得用戶對自己的信息失去了控制權(quán)，所以提供商在數(shù)據(jù)安全方面一定要嚴(yán)格把控，訪問數(shù)據(jù)時(shí)要先對訪問者進(jìn)行安全審計(jì)，安全策略要嚴(yán)格執(zhí)行，針對云計(jì)算中的安全審計(jì)問題， RyanK LK等人利用策略的模式創(chuàng)建了TrustCloud框架，而保證云的公有化和私有化，數(shù)據(jù)的安全、透明和可信方面主要是采用CloudAudit項(xiàng)目。

4.4 數(shù)據(jù)隱私保護(hù)

從數(shù)據(jù)存入云端開始到數(shù)據(jù)被清除為止，都要對數(shù)據(jù)進(jìn)行保護(hù)，防止他人進(jìn)行篡改和竊取。一種隱私保護(hù)系統(tǒng)——airavat——由Roy等人提出，該系統(tǒng)在云中數(shù)據(jù)生成或者是計(jì)算時(shí)結(jié)合了差分隱私保護(hù)以及集中信息控制(DIFC)方法，以此來保證一些沒有經(jīng)過授權(quán)的信息被他人所竊取或者篡改，而且該系統(tǒng)還可以對計(jì)算結(jié)果自動接觸密碼，這就使得用戶在云端存儲自己隱私信息上更加的安全。

通過對現(xiàn)有的隱私管理模式進(jìn)行分析后，Munts-Mulero 等人分析了利用數(shù)據(jù)預(yù)處理、圖匿名以及K匿名等運(yùn)用到大規(guī)模的上傳數(shù)據(jù)中的方案。Rankova 等人提出了一種新的訪問模式，用戶之間可以相互搜索自己需要的信息而進(jìn)行訪問，而其他內(nèi)容用戶是不可訪問的，這就從很大程度上保證了數(shù)據(jù)的安全性。

4.5 虛擬化安全

在物理資源進(jìn)行分配和管理上采用虛擬化手法來進(jìn)行云計(jì)算管理，使得用戶之間沒有交叉，產(chǎn)生隔離，保證了安全性。虛擬化安全主要涉及虛擬網(wǎng)絡(luò)安全、虛擬機(jī)安全和Hypervisor的安全，所以保證云計(jì)算的安全就是要保證虛擬化安全。sHype架構(gòu)最早是由IBM公司提出的，該架構(gòu)是一種安全的Hypervisor,在進(jìn)行信息交流以及在不同的虛擬機(jī)中進(jìn)行互相通信時(shí)主要是利用的強(qiáng)制訪問控制技術(shù)，這項(xiàng)技術(shù)可以在已經(jīng)進(jìn)行隔離機(jī)制的情況下去訪問一些共享的資源信息。

5 結(jié)語

電子商務(wù)下云計(jì)算服務(wù)的交易安全和保密問題成為用戶的困惑，而如何保障其安全性和保密性，正是新型電子商務(wù)發(fā)展應(yīng)該解決的問題。隨著云計(jì)算技術(shù)的不斷發(fā)展，各大IT公司都推出了自己的計(jì)算產(chǎn)品，越來越多的用戶加入到了云計(jì)算的使用行列當(dāng)中。然而云計(jì)算在發(fā)展的過程中仍然面臨著很多問題，仍有技術(shù)需要解決，這當(dāng)中最為重要的就是安全問題，本文對云計(jì)算安全問題及其關(guān)鍵技術(shù)進(jìn)行系統(tǒng)地分析，得出只有把關(guān)鍵技術(shù)做好，才能滿足現(xiàn)今人們對計(jì)算和存儲的高要求的結(jié)論。隨著云計(jì)算安全性的不斷完善，相信未來電子商務(wù)發(fā)展將會更加豐富。

[1] 呂志泉,張敏,馮登國.云存儲密文訪問控制方案[J].計(jì)算機(jī)科學(xué)與探索,2011(05).

[2] 蓋玲.基于云計(jì)算的安全服務(wù)研究[J].電信科學(xué),2011(6)．

[3] 林果園,賀珊.一種云計(jì)算環(huán)境下的安全模型[J].電信科學(xué),2010(9).