云計(jì)算環(huán)境下的信息安全問題

1、訪問層 應(yīng)用接口層云計(jì)算環(huán)境下的信息安全問題摘要:云計(jì)算是一種基于 Internet 的新興應(yīng)用計(jì)算機(jī)技術(shù), 在信息行業(yè)的發(fā)展中占據(jù)著重要的位 置,它為互聯(lián)網(wǎng)用戶提供了安全可靠地服務(wù)和計(jì)算能力。其信息安全問題不僅僅是云計(jì)算所要解決 的首要問題,也是決定云計(jì)算的發(fā)展前景的關(guān)鍵性因素。本文主要對(duì)云計(jì)算的概述、云計(jì)算存在的 安全風(fēng)險(xiǎn)及云計(jì)算信息安全進(jìn)行了分析。關(guān)鍵詞:云計(jì)算;信息安全;網(wǎng)絡(luò)0 引言云計(jì)算是一種商業(yè)計(jì)算模型,也是一種能便捷、按需、由網(wǎng)絡(luò)接入到一個(gè)可定制的計(jì)算資源共 享池的模式,它將計(jì)算任務(wù)分布在大量計(jì)算機(jī)構(gòu)成的資源池上,使用戶能夠按需獲取計(jì)算力、存儲(chǔ) 空間和信息服務(wù),被看成是全球 IT

2、 產(chǎn)業(yè)革命中的第三次變革。用戶可以動(dòng)態(tài)申請(qǐng)部分資源,支持各 種應(yīng)用程序的運(yùn)轉(zhuǎn),有利于提高效率、降低成本和技術(shù)創(chuàng)新。通過云計(jì)算技術(shù),網(wǎng)絡(luò)服務(wù)提供者可 以在數(shù)秒之內(nèi),處理數(shù)以千萬計(jì)甚至億計(jì)的信息,達(dá)到和“超級(jí)計(jì)算機(jī)”同樣強(qiáng)大的網(wǎng)絡(luò)服務(wù)。云 計(jì)算系統(tǒng)的建設(shè)目標(biāo)是將原來運(yùn)行在 PC 上或單個(gè)服務(wù)器上獨(dú)立的、個(gè)人化的運(yùn)算轉(zhuǎn)移到一個(gè)數(shù)量 龐大的服務(wù)器“云”中,由這個(gè)云計(jì)算系統(tǒng)來負(fù)責(zé)處理用戶的請(qǐng)求,并輸出結(jié)果,它是一個(gè)以數(shù)據(jù) 運(yùn)算和處理為核心的系統(tǒng)。1 云計(jì)算的概述(1 云計(jì)算的概念狹義云計(jì)算是指 IT 基礎(chǔ)設(shè)施的交付和使用模式, 指通過網(wǎng)絡(luò)以按需、 易擴(kuò)展的方式獲得所需的 資源。廣義云計(jì)算指服務(wù)的交付和使

3、用模式,指通過網(wǎng)絡(luò)以按需、易擴(kuò)展的方式獲得所需的服務(wù)。 按需部署是云計(jì)算的核心。要解決好按需部署,必須解決好資源的動(dòng)態(tài)可重構(gòu)、監(jiān)控和自動(dòng)化部署 等,而這些又需要以虛擬化技術(shù)、高性能存儲(chǔ)技術(shù)、處理器技術(shù)、高速互聯(lián)網(wǎng)技術(shù)為基礎(chǔ)。因此, 云計(jì)算除了需要仔細(xì)研究其體系結(jié)構(gòu)外,還要特別注意研究資源的動(dòng)態(tài)可重構(gòu)、自動(dòng)化部署、資源 監(jiān)控、虛擬化技術(shù)、高性能存儲(chǔ)技術(shù)、處理器技術(shù)等。(2 云計(jì)算體系架構(gòu)云計(jì)算的體系架構(gòu)如圖 1所示,包括基礎(chǔ)管理層、應(yīng)用接口層及訪問層?；A(chǔ)管理層解決計(jì)算 資源的共享問題,應(yīng)用接口層解決以何種方式對(duì)外提供服務(wù),而訪問層是采用云計(jì)算來解決一些實(shí) 際問題。圖 1 云計(jì)算體系架構(gòu)(3云計(jì)

4、算的特征云計(jì)算是在分布式計(jì)算、網(wǎng)格計(jì)算、并行計(jì)算等發(fā)展的基礎(chǔ)上提出的一種計(jì)算模型,它面對(duì)的 是超大規(guī)模的分布式環(huán)境,核心是提供數(shù)據(jù)存儲(chǔ)和網(wǎng)絡(luò)服務(wù)。它具有如下一些特點(diǎn):較高的可靠性:云計(jì)算采用了計(jì)算節(jié)點(diǎn)同構(gòu)可互換、數(shù)據(jù)多副本容錯(cuò)等分支,因此與本地計(jì) 算機(jī)相比,其可靠性更高。大規(guī)模性:由具備一定規(guī)模的多個(gè)結(jié)點(diǎn)組成,系統(tǒng)規(guī)?？梢詿o限大。高度的可擴(kuò)展性:可用即插即用的方式方便、快速地增加和減少資源,可擴(kuò)展性和彈性比較 高。資源共享性:提供一種或多種形式的計(jì)算或存儲(chǔ)能力資源池,如物理服務(wù)器,虛擬機(jī),事物 和文件處理能力或任務(wù)進(jìn)程。動(dòng)態(tài)分配:實(shí)現(xiàn)資源的自動(dòng)分配管理,包括資源即時(shí)監(jiān)控和自動(dòng)調(diào)度等,并能夠提供

5、使用量 監(jiān)控和管理。 跨地域:能夠?qū)⒎植加诙鄠€(gè)物理地點(diǎn)的資源進(jìn)行整合,提供統(tǒng)一的資源共享,并能在各物理 地點(diǎn)間實(shí)現(xiàn)負(fù)載均衡。另外, 由于云計(jì)算具有低廉的成本及廣闊的應(yīng)用空間, 不斷吸引著電信運(yùn)營(yíng)商和制造商的關(guān)注。 如中國三大電信運(yùn)營(yíng)商紛紛開展了云計(jì)算的研究和試驗(yàn)工作,構(gòu)建中國 IT 支撐云、業(yè)務(wù)云、公眾服 務(wù)云,為社會(huì)提供基于云計(jì)算的 IT 服務(wù)。然而,在云計(jì)算應(yīng)用發(fā)展中面臨著諸多挑戰(zhàn),如標(biāo)準(zhǔn)化問題、網(wǎng)絡(luò)帶寬問題、安全風(fēng)險(xiǎn)問題, 其中安全問題被認(rèn)為是最大的挑戰(zhàn)之一,對(duì)于云計(jì)算的商業(yè)模式能否成功起著至關(guān)重要的影響。云 計(jì)算安全出了傳統(tǒng) IT 架構(gòu)中的信息安全風(fēng)險(xiǎn)外,還包括虛擬化、多租戶技術(shù)帶來的

6、新的業(yè)務(wù)風(fēng)險(xiǎn), 導(dǎo)致信息安全風(fēng)險(xiǎn)復(fù)雜度升高。2云計(jì)算信息安全風(fēng)險(xiǎn)分析盡管很多研究機(jī)構(gòu)認(rèn)為云計(jì)算提供了最可靠、最安全的數(shù)據(jù)存儲(chǔ)中心,但安全問題是云計(jì)算存 在的主要問題之一。雖然每一家云計(jì)算方案提供商都強(qiáng)調(diào)使用加密技術(shù) (如 SSL 來保護(hù)用戶數(shù)據(jù), 但即使數(shù)據(jù)采用 SSL 技術(shù)進(jìn)行加密,也僅僅是指數(shù)據(jù)在網(wǎng)絡(luò)上加密傳輸?shù)?數(shù)據(jù)在處理和存儲(chǔ)時(shí)的 保護(hù)仍然沒有解決。主要存在以下安全風(fēng)險(xiǎn):(1由于網(wǎng)絡(luò)邊界模糊帶來的安全風(fēng)險(xiǎn)在傳統(tǒng)的網(wǎng)絡(luò)邊界防護(hù)中,一般都是按照網(wǎng)絡(luò)中資源重要程度的不同進(jìn)行區(qū)域劃分,各個(gè)區(qū)域 之間邊界明確, 然后再在不同區(qū)域根據(jù)安全需求不同采取相應(yīng)的邊界防護(hù)措施。 但在云計(jì)算環(huán)境下, 由于大

7、量運(yùn)用虛擬化技術(shù),資源池化技術(shù)導(dǎo)致云計(jì)算環(huán)境內(nèi)服務(wù)器、存儲(chǔ)設(shè)備和網(wǎng)絡(luò)設(shè)備等硬件基 礎(chǔ)設(shè)施被高度整合,多個(gè)系統(tǒng)同時(shí)運(yùn)行在同一個(gè)物理設(shè)備上,傳統(tǒng)的網(wǎng)絡(luò)邊界正在被打破,傳統(tǒng)意義上網(wǎng)絡(luò)邊界防護(hù)手段也需要調(diào)整以適應(yīng)新的技術(shù)變革。(2數(shù)據(jù)安全面臨的風(fēng)險(xiǎn) 信息遠(yuǎn)程傳輸面臨的安全風(fēng)險(xiǎn)在云計(jì)算環(huán)境下,所有的數(shù)據(jù)處理、存儲(chǔ)都是在云端完成的,用戶一端只具有較少的計(jì)算處理 能力。這就意味著用戶的原始數(shù)據(jù)、發(fā)送的處理請(qǐng)求、用戶端展示的內(nèi)容等數(shù)據(jù)都需要通過網(wǎng)絡(luò)進(jìn) 行傳輸,云計(jì)算環(huán)境中將嚴(yán)重依賴網(wǎng)絡(luò)。在開放的互聯(lián)網(wǎng)中如何保證云端與用戶端之間數(shù)據(jù)傳輸?shù)?機(jī)密性、完整性是需要解決的問題。 信息集中存儲(chǔ)面臨的安全風(fēng)險(xiǎn)如果用戶一旦

8、遷移到云環(huán)境中后,用戶所有的數(shù)據(jù)都將在云端,云服務(wù)商以何種技術(shù)保證用戶 的數(shù)據(jù)在云端得到了妥善保存而沒有被無意或惡意的泄露出去,用戶如何能保證自身存儲(chǔ)的數(shù)據(jù)都 是合法的、經(jīng)過授權(quán)的用戶所訪問而沒有被競(jìng)爭(zhēng)對(duì)手窺探,云計(jì)算環(huán)境下的身份鑒別、認(rèn)證管理和 訪問控制等安全機(jī)制是否符合用戶的需求,這些都已經(jīng)成為云計(jì)算環(huán)境下迫切需要解決的問題。 (3云服務(wù)器面臨的安全風(fēng)險(xiǎn)在云計(jì)算環(huán)境中,由于數(shù)據(jù)和資源的大集中導(dǎo)致云服務(wù)器需要承擔(dān)比傳統(tǒng)網(wǎng)絡(luò)架構(gòu)的服務(wù)器更 加繁重的任務(wù)。云計(jì)算環(huán)境對(duì)外提供的應(yīng)用服務(wù)、用戶提出的數(shù)據(jù)處理需求等等都需要由云服務(wù)器 來完成。但同時(shí)云環(huán)境下開放的網(wǎng)絡(luò)環(huán)境、多用戶的應(yīng)用場(chǎng)景給云服務(wù)器的安

9、全帶來更多的隱患。 3云計(jì)算環(huán)境下的信息安全策略(1邊界安全為了適應(yīng)由于網(wǎng)絡(luò)邊界模糊帶來的安全需求,大量的邊界防護(hù)設(shè)備,如防火墻、入侵檢測(cè)等系 統(tǒng)也進(jìn)行了相應(yīng)的改造,提供虛擬化環(huán)境下的安全防護(hù)能力以適應(yīng)新的安全需求。以防火墻系統(tǒng)為例。 在云計(jì)算環(huán)境下的防火墻普遍采用虛擬防火墻技術(shù), 將一臺(tái)物理的防火墻 基于虛擬設(shè)備資源進(jìn)行劃分,每個(gè)虛擬后的防火墻不但具備獨(dú)立的管理員操作權(quán)限,能隨時(shí)監(jiān)控和 調(diào)整策略的配置情況,同時(shí)多個(gè)虛擬防火墻的管理員也支持并行操作。物理防火墻能保存每個(gè)虛擬 防火墻的配置和運(yùn)行日志。經(jīng)過虛擬化之后的防火墻能像普通的物理防火墻一樣,由不同的業(yè)務(wù)系 統(tǒng)使用,由各自業(yè)務(wù)系統(tǒng)自主管理和

10、配置各自的虛擬防火墻,采用不同的安全策略,實(shí)現(xiàn)各業(yè)務(wù)系 統(tǒng)之間的安全隔離。虛擬化之后的安全設(shè)備也與網(wǎng)絡(luò)設(shè)備,服務(wù)器等一樣實(shí)現(xiàn)的資源的池化。從安 全的角度出發(fā), 不同的虛擬機(jī)也應(yīng)該像物理服務(wù)器一樣劃分到不同的安全域, 采取不同的邊界隔離。 關(guān)于虛擬機(jī)之間邊界防護(hù)的技術(shù)思路有兩種,一種是虛擬化廠商為代表,在利用虛擬化的邊界 防護(hù)設(shè)備的基礎(chǔ)上,與虛擬化管理功能進(jìn)行整合,通過內(nèi)置的端口檢測(cè)虛擬機(jī)之間的數(shù)據(jù)流量。這 種方式與交換設(shè)備無關(guān),但消耗資源多,不能實(shí)施靈活的安全策略。另一種劃分思路是以網(wǎng)絡(luò)設(shè)備 廠商為代表,由網(wǎng)絡(luò)設(shè)備對(duì)虛擬機(jī)進(jìn)行標(biāo)識(shí)并將其流量牽引到物理交換機(jī)中實(shí)現(xiàn)流量監(jiān)測(cè),具體實(shí) 現(xiàn)方法是采用邊

11、緣虛擬橋 EVB 協(xié)議將內(nèi)部的不同虛擬機(jī)之間網(wǎng)絡(luò)流量全部交與服務(wù)器相連的物理 交換機(jī)進(jìn)行處理。在這種工作模式下,交換設(shè)備與虛擬化管理層緊密結(jié)合,能實(shí)施靈活的虛擬機(jī)流量監(jiān)控策略,同時(shí)也使得安全設(shè)備的部署變得更加簡(jiǎn)單。(2數(shù)據(jù)傳輸安全在云計(jì)算環(huán)境中的數(shù)據(jù)傳輸包括兩種類型,一種是用戶與云之間跨越互聯(lián)網(wǎng)的遠(yuǎn)程數(shù)據(jù)傳輸, 另一種是在云內(nèi)部,不同虛擬機(jī)之間數(shù)據(jù)的傳輸。為了保證云中數(shù)據(jù)傳輸?shù)陌踩?需要在信息的傳 輸過程中實(shí)施端到端的傳輸加密,具體的技術(shù)手段可以采用協(xié)議安全套接層或傳輸層安全協(xié)議 (SSL/TLS或 IPSec , 在云終端與云服務(wù)器之間、 云應(yīng)用服務(wù)器之間基于 SSL 協(xié)議實(shí)現(xiàn)數(shù)據(jù)傳輸加密。

12、 在某些安全級(jí)別要求高的應(yīng)用場(chǎng)景,還應(yīng)該盡可能地采用同態(tài)加密機(jī)制以提高用戶終端通信的 安全。同態(tài)加密是指云計(jì)算平臺(tái)能夠在不對(duì)用戶數(shù)據(jù)進(jìn)行解密的情況下,直接對(duì)用戶的密文數(shù)據(jù)進(jìn) 行處理,并返回正確的密文結(jié)果。通過同態(tài)加密技術(shù)能進(jìn)一步提高云計(jì)算環(huán)境中用戶數(shù)據(jù)傳輸?shù)陌?全可靠,但這種技術(shù)目前仍然處于研究階段,還不能投入商業(yè)應(yīng)用領(lǐng)域。(3數(shù)據(jù)存儲(chǔ)安全對(duì)于云計(jì)算中的數(shù)據(jù)安全存儲(chǔ)安全的一個(gè)最有效的解決方案就是對(duì)數(shù)據(jù)采取加密的方式。在云 環(huán)境下的加密方式可以分為兩種:一是采用對(duì)象存儲(chǔ)加密的方式;一是采用卷標(biāo)存儲(chǔ)加密的方式。 對(duì)象存儲(chǔ)時(shí)云計(jì)算環(huán)境中的一個(gè)文件 /對(duì)象庫, 可以理解為文件服務(wù)器或硬盤驅(qū)動(dòng)器。 為了

13、實(shí)現(xiàn) 數(shù)據(jù)的存儲(chǔ)加密,可以將對(duì)象存儲(chǔ)系統(tǒng)配置為加密狀態(tài),即系統(tǒng)默認(rèn)對(duì)所有數(shù)據(jù)進(jìn)行加密。但若該 對(duì)象存儲(chǔ)是一個(gè)共享資源,即多個(gè)用戶共享這個(gè)對(duì)象存儲(chǔ)系統(tǒng)時(shí),則除了將對(duì)象存儲(chǔ)設(shè)置為加密狀 態(tài)外,單個(gè)用戶還需要采用“虛擬私有存儲(chǔ)”的技術(shù)進(jìn)一步提高個(gè)人私有數(shù)據(jù)存儲(chǔ)的安全。 “虛擬私 有存儲(chǔ)”是由用戶先對(duì)數(shù)據(jù)進(jìn)行加密處理后,再傳到云環(huán)境中,數(shù)據(jù)加密的密鑰由用戶自己掌握, 云計(jì)算環(huán)境中的其他用戶即便是管理者都無權(quán)擁有這個(gè)密鑰,這樣可以保證用戶私有數(shù)據(jù)存儲(chǔ)的安 全。另一種數(shù)據(jù)存儲(chǔ)安全的解決方案是卷標(biāo)存儲(chǔ)加密。在云計(jì)算環(huán)境中,卷標(biāo)被模擬為一個(gè)普通的 硬件卷標(biāo), 對(duì)卷標(biāo)的數(shù)據(jù)存儲(chǔ)加密可以采用兩種方式:一種方式是對(duì)

14、實(shí)際的物理卷標(biāo)數(shù)據(jù)進(jìn)行加密, 由加密后的物理卷標(biāo)實(shí)例出來的用戶卷標(biāo)不加密,即用戶卷標(biāo)在實(shí)例化的過程中采用透明的方式完 成了加解密的過程;另一種方式是采用特殊的加密代理設(shè)備,這類設(shè)備串行部署在計(jì)算實(shí)例和存儲(chǔ) 卷標(biāo)或文件服務(wù)器之間實(shí)現(xiàn)加解密。這些加密代理設(shè)備一般也是云計(jì)算環(huán)境中的虛擬設(shè)備,通過串 行的方式來實(shí)現(xiàn)計(jì)算實(shí)例與物理存儲(chǔ)設(shè)備之間透明的數(shù)據(jù)加解密。它的工作原理是當(dāng)計(jì)算實(shí)例向物 理存儲(chǔ)設(shè)備寫數(shù)據(jù)時(shí),由加密代理設(shè)備將計(jì)算實(shí)例的數(shù)據(jù)進(jìn)行加密后存儲(chǔ)到物理存儲(chǔ)設(shè)備中;當(dāng)計(jì) 算實(shí)例讀取物理存儲(chǔ)設(shè)備數(shù)據(jù)時(shí), 由加密代理將物理存儲(chǔ)設(shè)備中的數(shù)據(jù)解密后將明文交給計(jì)算實(shí)例。 (4云服務(wù)器安全對(duì)于云服務(wù)器的安全,首

15、先,在云服務(wù)器中也需安裝病毒防護(hù)系統(tǒng)、及時(shí)升級(jí)系統(tǒng)補(bǔ)丁,但是 與傳統(tǒng)服務(wù)器不同的是,在云服務(wù)器中應(yīng)用的病毒防護(hù)系統(tǒng)和補(bǔ)丁系統(tǒng)也相應(yīng)的進(jìn)行升級(jí)以適應(yīng)新 的環(huán)境。如病毒防護(hù)系統(tǒng)為了在不增加系統(tǒng)冗余度的前提下提供更好的病毒查殺能力,提出了安裝 一個(gè)病毒防護(hù)系統(tǒng)的虛擬服務(wù)器,在其他系統(tǒng)中只安裝探測(cè)引擎的模式。當(dāng)系統(tǒng)需要提供病毒查殺服務(wù)時(shí),由引擎將請(qǐng)求傳遞給安裝病毒防護(hù)系統(tǒng)的服務(wù)器完成病毒查殺任務(wù)。除了外部的安全防護(hù)手段之外,云服務(wù)器上部署的操作系統(tǒng)自身的安全對(duì)云服務(wù)器的安全也起 到至關(guān)重要的作用。目前國外的一些云服務(wù)提供商已經(jīng)退出了云安全操作系統(tǒng),已經(jīng)具備了身份認(rèn) 證、訪問控制、行為審計(jì)等方面的安全機(jī)

16、制。4結(jié)束語云計(jì)算是未來 IT 互聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展的趨勢(shì), 是今年來的研究熱點(diǎn)。 隨著云計(jì)算的進(jìn)一步發(fā)展和應(yīng) 用,無論是對(duì)云服務(wù)用戶而言,還是對(duì)云服務(wù)提供商而言,信息安全問題勢(shì)必成為云計(jì)算發(fā)展的關(guān) 鍵技術(shù)問題。本文主要對(duì)云計(jì)算的相關(guān)知識(shí)進(jìn)行了概述,并探討了云環(huán)境下的信息安全問題。河北工程大學(xué)研究生課程論文報(bào)告 參考文獻(xiàn)： 1 蔣建春,文偉平. “云” 計(jì)算環(huán)境的信息安全問題J.信息網(wǎng)絡(luò)安全, 2010 (002: 61-63. 2 杜常青.計(jì)算機(jī)網(wǎng)絡(luò)信息技術(shù)安全及防范對(duì)策研究J.信息安全與技術(shù),2011,(11:54-55. 3 鄒佳順.云計(jì)算環(huán)境下安全問題及其對(duì)策研究J.計(jì)算機(jī)光盤軟件與應(yīng)用,2012,(14:35-36. 4 胡細(xì)玲.云計(jì)算環(huán)境下網(wǎng)絡(luò)