云计算安全浅析

[摘 要]云计算是近年来基于互联网的新兴应用计算机技术。是以互联网为中心，提供可靠安全的数据存储、方便快捷的互联网服务和强大的计算能力。紧随云计算、云存储之后，云安全也出现了。云安全是我国企业创造的概念，在国际云计算领域独树一帜。“云安全（Cloud Security）”计划是网络时代信息安全的最新体现，它融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，传送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。本文结合云计算的特点，重点介绍了数据安全、应用安全及虚拟化安全在云计算的环境下面临的威胁及相应的对策。

[关键词]云计算 云安全 平台即服务 软件即服务 基础设施即服务

中图分类号：TP309 文献标识码：A 文章编号：1009-914X（2015）05-0274-01

1 云计算

1.1 云计算的定义

云计算 （cloud computing）是基于互联网的相关服务的增加、使用和交付模式，通常涉及通过互联网来提供动态易扩展且经常是虚拟化的资源。云计算是继1980年代大型计算机到客户端-服务器的大转变之后的又一种巨变。云计算（Cloud Computing）是分布式计算（Distributed Computing）、并行计算（Parallel Computing）、效用计算（Utility Computing）、网络存储（Network Storage Technologies）、虚拟化（Virtualization）、负载均衡（Load Balance）、热备份冗余（High Available）等传统计算机和网络技术发展融合的产物。

1.2 云计算平台

云计算平台可以分为以下三类

（1）存储型云平台，以数据存储为主。

（2）计算型云平台，以数据处理为主。

（3）综合云计算平台，兼顾计算和数据存储处理

2 云计算安全问题

云安全（Cloud security ），《著云台》的分析师团队结合云发展的理论总结认为，是指基于云计算[3] 商业模式应用的安全软件，硬件，用户，机构，安全云平台的总称。

“云安全”是“云计算”技术的重要分支，已经在反病毒领域当中获得了广泛应用。云安全通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，推送到服务端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。整个互联网，变成了一个超级大的杀毒软件，这就是云安全计划的宏伟目标。

3 云计算安全参考模型

云计算模型之间的关系和依赖性对于理解云计算的安全非常关键，IaaS（基础设施即服务）是所有云服务的基础，PaaS（平台即服务）一般建立在IaaS之上，而SaaS（软件即服务）一般又建立在PaaS之上。

3.1 云计算安全关键技术

3.1.1 数据安全

云用户和云服务提供商应避免数据丢失和被窃，无论使用哪种云计算的服务模式（SaaS/PaaS/IaaS），数据安全都变得越来越重要。以下针对数据传输安全、数据隔离和数据残留等方面展开讨论。

1、数据传输安全

在使用公共云时，对于传输中的数据最大的威胁是不采用加密算法。通过Internet传输数据，采用的传输协议也要能保证数据的完整性。如果采用加密数据和使用非安全传输协议的方法也可以达到保密的目的，但无法保证数据的完整性。

2、数据隔离

加密磁盘上的数据或生产数据库中的数据很重要（静止的数据），这可以用来防止恶意的云服务提供商、恶意的邻居“租户”及某些类型应用的滥用。但是静止数据加密比较复杂，如果仅使用简单存储服务进行长期的档案存储，用户加密他们自己的数据后发送密文到云数据存储商那里是可行的。但是对于PaaS或者SaaS应用来说，数据是不能被加密，因为加密过的数据会妨碍索引和搜索。到目前为止还没有可商用的算法实现数据全加密。

3、数据残留

数据残留是数据在被以某种形式擦除后所残留的物理表现，存储介质被擦除后可能留有一些物理特性使数据能够被重建。在云计算环境中，数据残留更有可能会无意泄露敏感信息，因此云服务提供商应能向云用户保证其鉴别信息所在的存储空间被释放或再分配给其他云用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中。云服务提供商应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他云用户前得到完全清除。

3.1.2 应用安全

由于云环境的灵活性、开放性以及公众可用性等特性，给应用安全带来了很多挑战。提供商在云主机上部署的Web应用程序应当充分考虑来自互联网的威胁。

1、终端用户安全

对于使用云服务的用户，应该保证自己计算机的安全。在用户的终端上部署安全软件，包括反恶意软件、防病毒、个人防火墙以及IPS类型的软件。目前，浏览器已经普遍成为云服务应用的客户端，但不幸的是所有的互联网浏览器毫无例外地存在软件漏洞，这些软件漏洞加大了终端用户被攻击的风险，从而影响云计算应用的安全。因此云用户应该采取必要措施保护浏览器免受攻击，在云环境中实现端到端的安全。云用户应使用自动更新功能，定期完成浏览器打补丁和更新工作。

2、SaaS应用安全

SaaS应用提供给用户的能力是使用服务商运行在云基础设施之上的应用，用户使用各种客户端设备通过浏览器来访问应用。用户并不管理或控制底层的云基础设施，如网络、服务器、操作系统、存储甚至其中单个的应用能力，除非是某些有限用户的特殊应用配置项。所有有安全需求的云应用都需要用户登录，有许多安全机制可提高访问安全性，比如说通行证或智能卡，而最为常用的方法是可重用的用户名和密码。如果使用强度最小的密码（如需要的长度和字符集过短）和不做密码管理（过期，历史）很容导致密码失效，而这恰恰是攻击者获得信息的首选方法，从而容易被猜到密码。因此云服务提供商应能够提供高强度密码；定期修改密码，时间长度必须基于数据的敏感程度；不能使用旧密码等可选功能。

3、 PaaS应用安全

PaaS云提供给用户的能力是在云基础设施之上部署用户创建或采购的应用，这些应用使用服务商支持的编程语言或工具开发，用户并不管理或控制底层的云基础设施，包括网络、服务器、操作系统或存储等，但是可以控制部署的应用以及应用主机的某个环境配置。

4、IaaS应用安全

IaaS云提供商（例如亚马逊EC2、GoGrid等）将客户在虚拟机上部署的应用看作是一个黑盒子，IaaS提供商完全不知道客户应用的管理和运维。客户的应用程序和运行引擎，无论运行在何种平台上，都由客户部署和管理，因此客户负有云主机之上应用安全的全部责任，客户不应期望IaaS提供商的应用安全帮助。

参考文献

[1] 冯志刚.马超，浅谈云计算安全科技风2010，（4）.

[2] 陈丹伟.黄秀丽.任勋益 云计算及安全分析 计算机技术与发展，2010，20（2）.

[3] 王鹏，黄华峰，曹珂.云计算：中国未来的IT战略.北京：人民邮电出版社，2010.

作者简介

殷世博，男（1982―），辽宁营口人，硕士，上海同济大学软件学院.