特約通訊員 梁曉歡

安全技術(shù)突破為云計算應(yīng)用掃清障礙

特約通訊員 梁曉歡

云計算的出現(xiàn)，為企業(yè)提供了一種按量付費(fèi)的互聯(lián)網(wǎng)資源使用模式，企業(yè)可根據(jù)需求，快速、便捷地使用網(wǎng)絡(luò)中的計算機(jī)數(shù)據(jù)處理、存儲空間、應(yīng)用軟件等多種資源，極大地降低了企業(yè)的IT成本。然而，盡管云計算擁有如此強(qiáng)大的優(yōu)勢，仍有不少企業(yè)擔(dān)心將數(shù)據(jù)外包給外部服務(wù)器會存在安全隱患。NSA(美國國家安全局)丑聞的曝光進(jìn)一步加劇了他們對云安全的擔(dān)憂。現(xiàn)在，德國弗勞恩霍夫（Fraunhofer）研究院正在嘗試解決該問題，提高云計算的安全性。

云計算是一個非常實用的概念，為企業(yè)提供了靈活便捷的服務(wù)，允許企業(yè)按需租用互聯(lián)網(wǎng)上的存儲空間、計算機(jī)數(shù)據(jù)處理以及軟件程序，使得企業(yè)能夠根據(jù)客戶需求的變化和市場的發(fā)展，迅速地做出反應(yīng)。應(yīng)用云計算這一信息技術(shù)，能讓企業(yè)以簡單又實惠的方式，滿足其對互聯(lián)網(wǎng)資源的實時需求。

目前，越來越多的企業(yè)發(fā)現(xiàn)了這種模式的優(yōu)點(diǎn)。根據(jù)BIKOМ和審計咨詢公司畢馬威（KPМG）進(jìn)行的2013云監(jiān)控調(diào)查顯示，在2012年，僅在德國就有37%的企業(yè)使用云計算。在大公司這一比例上升到65%。專家預(yù)計2014年，云計算的市場將會增長到47%，達(dá)到78億歐元的價值。

數(shù)據(jù)失竊的擔(dān)憂

不過，云監(jiān)控調(diào)查研究明確指出企業(yè)對云計算的應(yīng)用仍有所保留。大多數(shù)企業(yè)選擇了內(nèi)部解決方案（即私有云），其理由只是為了避免將重要的公司數(shù)據(jù)存儲在外部服務(wù)器，只有約10%的企業(yè)使用了公有云。企業(yè)之所以沒有廣泛采用公有云，主要是擔(dān)心數(shù)據(jù)丟失、信息技術(shù)入侵、法律上存在不合規(guī)性，以及難以將此類解決方案集成至公司的系統(tǒng)等原因。企業(yè)仍將云端的安全性視為云計算使用中的主要挑戰(zhàn)。

自NSA丑聞曝光以后，企業(yè)愈加懷疑云計算的安全性——尤其是擔(dān)憂美國的云計算服務(wù)。信息技術(shù)與創(chuàng)新基金會（ITIF）預(yù)計美國的云計算服務(wù)提供商在接下來的三年里，將會損失高達(dá)350億美元的營業(yè)額。換個角度分析，這也為德國和歐洲的云計算服務(wù)提供商開辟了新的機(jī)會。目前，由于德國軟件制造商SAP的成功案例（SAP可以按需為企業(yè)提供應(yīng)用程序，吸引了約30萬的客戶使用其開發(fā)的SAP數(shù)據(jù)云），市場上出現(xiàn)了對“德國制造”的云計算解決方案的特定需求。德國聯(lián)邦經(jīng)濟(jì)與技術(shù)部（BМWi）很快就明白、并強(qiáng)調(diào)了可靠性、安全性、可用性和數(shù)據(jù)保護(hù)對云計算的高度重要性，并在2010年啟動了“可信云計算”科技競賽，以此來開發(fā)和測試符合法律規(guī)定的云計算安全解決方案。在總共提交的116個參賽項目中，獨(dú)立專家評審團(tuán)選出了14個最具潛力的項目——這其中，有許多項目都有弗勞恩霍夫協(xié)會（Fraunhofer）的參與。

但如何才能保證存儲在公共云中的數(shù)據(jù)的安全性呢？如何防止公共云計算服務(wù)的提供商獲得權(quán)限訪問企業(yè)的敏感信息呢？弗勞恩霍夫應(yīng)用研究促進(jìn)協(xié)會的研究人員，聯(lián)合Uniscon、SecureNet兩家公司，共同開發(fā)特殊的封閉式IT基礎(chǔ)設(shè)施架構(gòu)——密封云。在密封云中，有一個完整的安全防范系統(tǒng)，能夠確保未經(jīng)授權(quán)的人員無法獲得數(shù)據(jù)訪問權(quán)限。該項目的負(fù)責(zé)人Мa(chǎn)rio Hoffmann解釋：“密封云不僅對所有的數(shù)據(jù)進(jìn)行加密，也通過先進(jìn)技術(shù)和機(jī)電系統(tǒng)全面保護(hù)服務(wù)器的訪問情況”。

密封服務(wù)器

截至目前，云服務(wù)的經(jīng)營者及其員工普遍有權(quán)不受限制地訪問IT技術(shù)基礎(chǔ)設(shè)施以及存儲在其中的信息。密封的云計算則對此做出了改變，能從技術(shù)和組織的角度，雙重確保每一個應(yīng)用程序服務(wù)器的安全。每個服務(wù)器都被鎖定在一個機(jī)架中。在服務(wù)器需要維護(hù)時，系統(tǒng)首先要將所有數(shù)據(jù)信息和內(nèi)部存儲空間轉(zhuǎn)移至其它安全的計算機(jī)中。在此之后，管理員才能獲得一個電子令牌，允許其打開機(jī)架。一旦修復(fù)完成，機(jī)架就會再次被鎖定，系統(tǒng)將從一個中心點(diǎn)重新啟動，然后自動觸發(fā)一個驗證過程，以保證所有的數(shù)據(jù)和程序都與授權(quán)認(rèn)證的版本相匹配。

在密封云中，有一個重要的組成部分——“安全數(shù)據(jù)存儲”云服務(wù)（即SDS服務(wù)），該服務(wù)提供了一個管理分布式過程相關(guān)數(shù)據(jù)的可信方式。在SDS的中心，是一個存儲信息以及指向外部資源鏈接的數(shù)據(jù)庫。當(dāng)授權(quán)用戶訪問數(shù)據(jù)時，在其登陸過程中，系統(tǒng)會根據(jù)其登陸信息（如用戶名和密碼）生成一個個性化秘鑰。用戶可以利用該秘鑰來定位、解密和處理應(yīng)用程序的數(shù)據(jù)。在用戶注銷后，數(shù)據(jù)又會重新加密并保存。

每次將數(shù)據(jù)從用戶端轉(zhuǎn)移至SDS的操作，均通過一個安全通道來執(zhí)行，整個過程持續(xù)至數(shù)據(jù)在用戶設(shè)備上完成加密為止。這可以防止任何未經(jīng)授權(quán)的第三方在數(shù)據(jù)轉(zhuǎn)移過程中獲得信息訪問權(quán)。Hoffmann表示，密封云計算解決方案的特色優(yōu)勢就在于“其結(jié)合了公共云在經(jīng)濟(jì)上的優(yōu)勢，以及私有云在安全性上的優(yōu)勢”。

可信任的身份識別機(jī)制

智能手機(jī)、平板電腦和上網(wǎng)本的出現(xiàn)，使得員工可以隨時隨地地訪問公司數(shù)據(jù)，這雖然讓工作變得更加靈活機(jī)動，但也讓未經(jīng)授權(quán)的用戶有機(jī)會竊取員工的數(shù)據(jù)訪問權(quán)，無需許可就能讀取企業(yè)的敏感信息。為防止這種情況的發(fā)生，云端務(wù)必需要一個強(qiáng)大的身份識別機(jī)制。Fraunhofer正在研究的KID-neity項目是將德國新身份證、電子醫(yī)療卡、銀行卡和員工證上的安全電子身份識別（eID）技術(shù)應(yīng)用到云計算中，從而為用戶提供可信任的身份識別機(jī)制，更好地保用戶和企業(yè)的所有業(yè)務(wù)流程。

然而，移動通信還隱藏著更大的風(fēng)險。例如，黑客、數(shù)據(jù)泄露和間諜攻擊的入侵表明，當(dāng)數(shù)據(jù)在工作站和云端之間、智能手機(jī)和智能手機(jī)之間傳輸時，數(shù)據(jù)保護(hù)能力往往是最脆弱的。Fraunhofer光電研究院正在研究一個極為安全可靠的通信解決方案，通過增加一個被稱為“CyphWay”的小型額外設(shè)備，提供安全且高速的數(shù)據(jù)傳輸服務(wù)。該系統(tǒng)改用模塊化結(jié)構(gòu)進(jìn)行設(shè)計：一個模塊進(jìn)行數(shù)據(jù)的加密和解密，而另一個模塊則用于確保通信硬件和其它設(shè)備之間的安全連接。

Fraunhofer還將開發(fā)一款數(shù)據(jù)監(jiān)控軟件，該軟件將永久地監(jiān)控敏感數(shù)據(jù)的使用情況，使用戶在數(shù)據(jù)“脫手”的情況下仍能保有對數(shù)據(jù)的控制權(quán)。IND2UCE（集成分布式數(shù)據(jù)的使用、控制、執(zhí)行）讓定義用戶權(quán)限和限制數(shù)據(jù)的傳遞使用成為可能。通過準(zhǔn)則的設(shè)立，確定誰被允許接收一個給定的文件，怎樣的編輯是可行的，一個文件可以被打開多長時間，以及何時會自動刪除接收者系統(tǒng)中的數(shù)據(jù)。

然而，云計算不只是與負(fù)面的潛在風(fēng)險相關(guān)，它也能幫助企業(yè)通過一個高度可靠的方式來保障數(shù)據(jù)的安全。云端為企業(yè)提供了專業(yè)的數(shù)據(jù)備份服務(wù)，數(shù)據(jù)被存儲在提供商的服務(wù)器上，并由服務(wù)商負(fù)責(zé)必要的管理工作、物理性安全，合格的人才和高度的資源可用性。

連接到云的文件服務(wù)器

云計算在企業(yè)中得不到普及的另一個原因是，他們不想被一家云計算服務(wù)商套牢，即所謂的供應(yīng)商鎖定。此外，目前而言，要將存儲在云端的數(shù)據(jù)進(jìn)行傳輸仍是一個非常艱難的過程，因為每一個云計算服務(wù)提供商通常都有其自身專屬的接口，這也正是Fraunhofer安全信息技術(shù)研究人員正在關(guān)注的問題，他們已經(jīng)開發(fā)出一種文件服務(wù)器——OmniCloud，便于企業(yè)能夠無縫接入任何一家云計算服務(wù)提供商。在2012年，OmniCloud被Horst G?rtz基金會評為德國信息技術(shù)安全獎的第一名，它能夠準(zhǔn)確識別各個服務(wù)提供商的各種編程接口，并提供了一項數(shù)據(jù)“移民”服務(wù)，即企業(yè)可根據(jù)需要，輕松地將數(shù)據(jù)快速傳輸至新的存儲服務(wù)提供商。通過OmniCloud，企業(yè)能夠?qū)⑺袘?yīng)用程序和備份軟件連接至任何一家云服務(wù)供應(yīng)商。

OmniCloud的另一個優(yōu)點(diǎn)是，其能在數(shù)據(jù)離開企業(yè)網(wǎng)絡(luò)、存儲至云端之前，將所有的數(shù)據(jù)進(jìn)行本地加密。研究院云計算認(rèn)證和隱私方面的負(fù)責(zé)人Мichael Herfert強(qiáng)調(diào)：“無論企業(yè)的存儲服務(wù)提供商采用任何安全措施，OmniCloud均保證企業(yè)的數(shù)據(jù)能始終保持在機(jī)密狀態(tài)。”通過OmniCloud，企業(yè)可使用一個單獨(dú)的秘鑰對每一個文件進(jìn)行加密，不僅可以保護(hù)文件的實際內(nèi)容，還能保護(hù)文件的名字和目錄結(jié)構(gòu)。此外，OmniCloud還具有一個訪問控制系統(tǒng)，用于清楚地指定哪個用戶有權(quán)訪問哪個文件。

如果要讓企業(yè)和政府機(jī)構(gòu)能夠訪問所有的數(shù)據(jù)和云服務(wù)，我們需要一個高度安全的可用網(wǎng)絡(luò)。訪問權(quán)限將會受到技術(shù)問題或針對性攻擊的阻礙。目前，幾乎每周都有關(guān)于網(wǎng)絡(luò)威脅的報告——從阻斷式服務(wù)攻擊，到間諜程序，以及電腦劫持形成的僵尸網(wǎng)絡(luò)。2007年的愛沙尼亞事件提醒了我們，現(xiàn)代社會和經(jīng)濟(jì)在與互聯(lián)網(wǎng)捆綁后已變得非常脆弱。在愛沙尼亞事件中，網(wǎng)絡(luò)攻擊導(dǎo)致了全國范圍內(nèi)的網(wǎng)絡(luò)停機(jī)和大部分公共設(shè)施的功能失效。因此，我們現(xiàn)在需要新的云計算服務(wù)概念，保證在突發(fā)情況下，即使服務(wù)的可用性受限，但用戶仍能進(jìn)行正常工作。

弗勞恩霍夫研究院通信、信息處理和工效學(xué)小組（FKIE）的Jens T?lle博士強(qiáng)調(diào)：“網(wǎng)絡(luò)空間需要有其自身的防御策略?！盕KIE的專家正在“網(wǎng)絡(luò)防御實驗室”中研究這些策略。T?lle認(rèn)為“我們的防御策略應(yīng)該與網(wǎng)絡(luò)基礎(chǔ)設(shè)施技術(shù)的進(jìn)步，以及相應(yīng)產(chǎn)生的各種潛在威脅保持同步，阻斷式服務(wù)攻擊、信息的蓄意抽取、工業(yè)控制系統(tǒng)的惡意操縱、以及針對性的用戶信息刺探等所有風(fēng)險都是需要我們采取相應(yīng)措施主動預(yù)防的?！?/p>

因此，用戶在云端工作時，不必單一地依靠其服務(wù)提供商的安全保護(hù)措施。FKIE可用網(wǎng)絡(luò)安全小組的研究人員正在研究如何使數(shù)據(jù)安全存儲至云端的新技術(shù)?，F(xiàn)有的數(shù)據(jù)加密方法，如Boxcryptor或Wuala，都無法提供企業(yè)所需的集成處理服務(wù)。此外，這些方法功能有限，只能在特定情況下使用。大型云服務(wù)提供商，如亞馬遜，其提供的安全保護(hù)措施也具有類似缺陷。波恩大學(xué)安全和隱私專業(yè)的教授Мa(chǎn)tthew Smith博士表示：“到目前為止，客戶進(jìn)入云端或向云端添加其自身的加密機(jī)制時，已不得不主動采取安保措施?！睘閹椭髽I(yè)能更輕松、更安全地使用云計算服務(wù)，F(xiàn)KIE提出了一個極為創(chuàng)新的方法——通過整合IT安全保護(hù)技術(shù)和安全保護(hù)服務(wù)概念，將安保服務(wù)提供商和云計算資源提供商區(qū)分開來。這意味著企業(yè)之間可以通過合作，共同保障數(shù)據(jù)存儲的安全性。

在云端取得成功

盡管云計算服務(wù)不盡完美，仍有一些缺陷，但事實證明，它所擁有的巨大優(yōu)勢仍值得企業(yè)嘗試該項服務(wù)。IBМ應(yīng)用研究中心在2013年進(jìn)行了一項比較研究，結(jié)果顯示，系統(tǒng)化使用云計算服務(wù)的企業(yè)，與其他很少使用云服務(wù)的競爭對手相比，前者的增長速度是后者的兩倍，毛利率約為后者的2.5倍。如果我們希望未來有更多的企業(yè)、政府機(jī)關(guān)和公共機(jī)構(gòu)使用云計算服務(wù)，我們就需提供最佳的數(shù)據(jù)保護(hù)措施，確保云服務(wù)是安全的、可靠的、隨時可用的。