向“云”要安全

　　全球信息安全行业的年度盛会RSA Conference每年都吸引着数以万计的信息安全从业人员参加。2010年，这一峰会首次进入中国——10 月21 日~22 日，“RSA 大会2010 信息安全国际论坛”在北京召开，全球顶尖的信息安全专家以及中国的信息安全企业、信息安全专家、信息安全从业者在会上面对面交流，共同探讨云计算安全、可信计算、反网络欺诈、法规遵从、密码学等业界最热门的话题，其中，云计算的安全问题尤其吸引了与会者的高度关注。在带来巨大安全问题的同时，云计算其实也为信息安全行业带来了变革的契机以及具体的、创新的信息安全解决方案。

　　转变安全交付方式

　　EMC 全球执行副总裁、RSA 全球总裁亚瑟. W. 科维洛（Arthur W. Coviello， Jr.） 在大会开幕主题演讲中指出，信息安全界同仁应拥抱不断壮大的虚拟基础架构带来的挑战和机会，采取更广阔的安全视野，聚集云计算带来的IT 变革。这位信息安全行业的“老兵”认为，全球新一轮经济增长的动力就是云计算，但是由于安全的问题没有解决，目前人们对云计算缺乏信心。“有些事情阻碍了云这一愿景的充分实现。简单地说，那就是安全。51% 的首席信息官认为安全是对云计算最大的顾虑。

　　在当今日益虚拟化和超扩展的企业迈向云的演进中，安全的步伐没有跟上。简而言之，各地的人们必须能够信任云，即使他们不能真正或似乎看到云。”

　　如何解决云计算的安全问题呢？科维络认为，这需要采取综合、系统化、内嵌的安全方式。

　　正如黑客形成了地下产业链一样，全社会的企业、厂商和政府也要协同工作，形成针锋相对的产业链，才能击败黑客犯罪集团这一共同的敌人。

　　云计算在为信息安全行业带来巨大挑战的同时，其实也创造了变革的机会——云计算将虚拟抽象层嵌入到技术堆栈，为业界提供了一个难得的机会实施安全“改装”，这将比我们现有的物理基础架构更安全。企业将从以基础架构为中心、转变到以信息为中心的策略，集中力量处理信息及访问权限等最重要的东西，而不是关注单纯的边界或管道。

　　在演讲中，科维洛鼓励信息安全业界努力前进，促进私有云基础架构安全、合规，通过某种治理方式，为信息提供保密性、完整性和可用性。他指出：“如果我们从一开始就将安全内建到虚拟基础架构中，我们不仅可以获得能见度和可管理性，而且可以获得风险决策点，控制无处不在。总之，云计算将彻底转变我们交付安全的方式。同时，信息安全将使云计算充分利用互联网，彻底转变现有IT 模式。”

　　云中的数据安全

　　云计算给人们带来的一个最大困扰就是：当我们真的把数据放到云里面，而不是自己的电脑里，有没有技术手段能保证这些数据不会在使用的过程中被他人窃取？

　　复旦大学软件学院并行处理研究所教授陈海波博士认为，要解决这个问题是非常复杂的，因为现在没有人能够很肯定地说自己的计算机里面一定没有病毒、自己的操作系统里面一定没有病毒。

　　在这种情况下如何解决云中的数据安全问题？陈海波告诉记者，国外有一个组织叫做可行计算工作组，它提供了一种很重要的工具TPM，能够在开机的时候判断所启动的操作系统是不是正确的系统，这可以使得用户的电脑在启动的时候不会被人植入软件，启动被人篡改过的系统。复旦大学软件学院研发了一种虚拟机监控器，通过它来控制操作系统。这有两点好处：一是当我们使用操作系统时，如果操作系统里出现一些恶意的行为，可以通过虚拟机监控器进行控制；二是可以在虚拟机里设置一些新的技术，使得我们在使用操作系统的时候，尽管操作系统可能被装入木马和病毒，但运行一些应用时还是不会被操作系统上的木马和病毒所攻击。通过虚拟机监控器控制操作系统，主要从CPU、内存、磁盘、网络四个方面保证数据的安全。据了解，这套系统目前已经在清华大学的云存储平台中得到了应用。

　　“在云的环境里，安全性是从桌面推送到云端的。云在技术上还有很多缺陷，有很多需要我们努力的方面。我们把数据放到云上，云服务的提供者需要有足够好的技术和法律手段，包括业务流程，来保证云中数据的安全。”陈海波指出。

　　云环境更安全

　　云环境下，安全性从桌面推送到云端，这带来的最大好处是用户不需要再关注具体的安全细节，而是把这些东西都交给云。

　　以往终端用户需要安装杀毒软件、防火墙，需要不断下载更新、打补丁；云计算出来以后，这些东西都掌握在云服务供应商手中，安全可以被做成一种服务，从云端为用户提供，用户自己不需要再去关注这些具体问题。

　　“云环境下的安全比原来任何分布式环境下的安全系统都要简单得多、安全得多。”华中科技大学教授、博士生导师金海认为。

　　金海指出，云自身的安全目前从技术层面肯定能够保证，一方面，原来传统的互联网安全技术现在在云平台都可以用；另一方面，随着虚拟化技术的发展，在虚拟化中带来云安全保障技术，云的基础就是虚拟化的安全。“从技术层面来说，只要云服务提供商愿意提供安全保证，它就可以做得到。当然任何东西总有被攻破的可能，但从现在的技术层面上说，只要采用了足够的技术，用户是可以放心的。”

　　至于大家最关心的隐私和数据可靠性问题，金海认为不是单纯技术上能解决的问题，而是法律法规层面要解决的问题，应该更多地从法律、法规的层面来确保云服务提供商不能以系统管理员的身份看到用户的数据，不能随便泄露数据，就像银行不可以泄露用户数据一样。