全球信息安全行業(yè)的年度盛會RSA Conference每年都吸引著數(shù)以萬計的信息安全從業(yè)人員參加。2010年，這一峰會首次進(jìn)入中國——10月21日~22日，“RSA大會2010信息安全國際論壇”在北京召開，全球頂尖的信息安全專家以及中國的信息安全企業(yè)、信息安全專家、信息安全從業(yè)者在會上面對面交流，共同探討云計算安全、可信計算、反網(wǎng)絡(luò)欺詐、法規(guī)遵從、密碼學(xué)等業(yè)界最熱門的話題，其中，云計算的安全問題尤其吸引了與會者的高度關(guān)注。在帶來巨大安全問題的同時，云計算其實(shí)也為信息安全行業(yè)帶來了變革的契機(jī)以及具體的、創(chuàng)新的信息安全解決方案。

轉(zhuǎn)變安全交付方式

EMC全球執(zhí)行副總裁、RSA全球總裁亞瑟#8226; W#8226; 科維洛(Arthur W. Coviello， Jr.)在大會開幕主題演講中指出，信息安全界同仁應(yīng)擁抱不斷壯大的虛擬基礎(chǔ)架構(gòu)帶來的挑戰(zhàn)和機(jī)會，采取更廣闊的安全視野，聚集云計算帶來的IT變革。這位信息安全行業(yè)的“老兵”認(rèn)為，全球新一輪經(jīng)濟(jì)增長的動力就是云計算，但是由于安全的問題沒有解決，目前人們對云計算缺乏信心?！坝行┦虑樽璧K了云這一愿景的充分實(shí)現(xiàn)。簡單地說，那就是安全。51%的首席信息官認(rèn)為安全是對云計算最大的顧慮。在當(dāng)今日益虛擬化和超擴(kuò)展的企業(yè)邁向云的演進(jìn)中，安全的步伐沒有跟上。簡而言之，各地的人們必須能夠信任云，即使他們不能真正或似乎看到云?！?/p>

如何解決云計算的安全問題呢?科維絡(luò)認(rèn)為，這需要采取綜合、系統(tǒng)化、內(nèi)嵌的安全方式。正如黑客形成了地下產(chǎn)業(yè)鏈一樣，全社會的企業(yè)、廠商和政府也要協(xié)同工作，形成針鋒相對的產(chǎn)業(yè)鏈，才能擊敗黑客犯罪集團(tuán)這一共同的敵人。

云計算在為信息安全行業(yè)帶來巨大挑戰(zhàn)的同時，其實(shí)也創(chuàng)造了變革的機(jī)會——云計算將虛擬抽象層嵌入到技術(shù)堆棧，為業(yè)界提供了一個難得的機(jī)會實(shí)施安全“改裝”，這將比我們現(xiàn)有的物理基礎(chǔ)架構(gòu)更安全。企業(yè)將從以基礎(chǔ)架構(gòu)為中心、轉(zhuǎn)變到以信息為中心的策略，集中力量處理信息及訪問權(quán)限等最重要的東西，而不是關(guān)注單純的邊界或管道。

在演講中，科維洛鼓勵信息安全業(yè)界努力前進(jìn)，促進(jìn)私有云基礎(chǔ)架構(gòu)安全、合規(guī)，通過某種治理方式，為信息提供保密性、完整性和可用性。他指出:“如果我們從一開始就將安全內(nèi)建到虛擬基礎(chǔ)架構(gòu)中，我們不僅可以獲得能見度和可管理性，而且可以獲得風(fēng)險決策點(diǎn)，控制無處不在?？傊?，云計算將徹底轉(zhuǎn)變我們交付安全的方式。同時，信息安全將使云計算充分利用互聯(lián)網(wǎng)，徹底轉(zhuǎn)變現(xiàn)有IT模式?！?/p>

云中的數(shù)據(jù)安全

云計算給人們帶來的一個最大困擾就是:當(dāng)我們真的把數(shù)據(jù)放到云里面，而不是自己的電腦里，有沒有技術(shù)手段能保證這些數(shù)據(jù)不會在使用的過程中被他人竊取?

復(fù)旦大學(xué)軟件學(xué)院并行處理研究所教授陳海波博士認(rèn)為，要解決這個問題是非常復(fù)雜的，因?yàn)楝F(xiàn)在沒有人能夠很肯定地說自己的計算機(jī)里面一定沒有病毒、自己的操作系統(tǒng)里面一定沒有病毒。

在這種情況下如何解決云中的數(shù)據(jù)安全問題?陳海波告訴記者，國外有一個組織叫做可行計算工作組，它提供了一種很重要的工具TPM，能夠在開機(jī)的時候判斷所啟動的操作系統(tǒng)是不是正確的系統(tǒng)，這可以使得用戶的電腦在啟動的時候不會被人植入軟件，啟動被人篡改過的系統(tǒng)。復(fù)旦大學(xué)軟件學(xué)院研發(fā)了一種虛擬機(jī)監(jiān)控器，通過它來控制操作系統(tǒng)。這有兩點(diǎn)好處:一是當(dāng)我們使用操作系統(tǒng)時，如果操作系統(tǒng)里出現(xiàn)一些惡意的行為，可以通過虛擬機(jī)監(jiān)控器進(jìn)行控制;二是可以在虛擬機(jī)里設(shè)置一些新的技術(shù)，使得我們在使用操作系統(tǒng)的時候，盡管操作系統(tǒng)可能被裝入木馬和病毒，但運(yùn)行一些應(yīng)用時還是不會被操作系統(tǒng)上的木馬和病毒所攻擊。通過虛擬機(jī)監(jiān)控器控制操作系統(tǒng)，主要從CPU、內(nèi)存、磁盤、網(wǎng)絡(luò)四個方面保證數(shù)據(jù)的安全。據(jù)了解，這套系統(tǒng)目前已經(jīng)在清華大學(xué)的云存儲平臺中得到了應(yīng)用。

“在云的環(huán)境里，安全性是從桌面推送到云端的。云在技術(shù)上還有很多缺陷，有很多需要我們努力的方面。我們把數(shù)據(jù)放到云上，云服務(wù)的提供者需要有足夠好的技術(shù)和法律手段，包括業(yè)務(wù)流程，來保證云中數(shù)據(jù)的安全?！标惡２ㄖ赋觥?/p>

云環(huán)境更安全

云環(huán)境下，安全性從桌面推送到云端，這帶來的最大好處是用戶不需要再關(guān)注具體的安全細(xì)節(jié)，而是把這些東西都交給云。以往終端用戶需要安裝殺毒軟件、防火墻，需要不斷下載更新、打補(bǔ)丁;云計算出來以后，這些東西都掌握在云服務(wù)供應(yīng)商手中，安全可以被做成一種服務(wù)，從云端為用戶提供，用戶自己不需要再去關(guān)注這些具體問題。

“云環(huán)境下的安全比原來任何分布式環(huán)境下的安全系統(tǒng)都要簡單得多、安全得多?！比A中科技大學(xué)教授、博士生導(dǎo)師金海認(rèn)為。

金海指出，云自身的安全目前從技術(shù)層面肯定能夠保證，一方面，原來傳統(tǒng)的互聯(lián)網(wǎng)安全技術(shù)現(xiàn)在在云平臺都可以用;另一方面，隨著虛擬化技術(shù)的發(fā)展，在虛擬化中帶來云安全保障技術(shù)，云的基礎(chǔ)就是虛擬化的安全?！皬募夹g(shù)層面來說，只要云服務(wù)提供商愿意提供安全保證，它就可以做得到。當(dāng)然任何東西總有被攻破的可能，但從現(xiàn)在的技術(shù)層面上說，只要采用了足夠的技術(shù)，用戶是可以放心的?！?/p>

至于大家最關(guān)心的隱私和數(shù)據(jù)可靠性問題，金海認(rèn)為不是單純技術(shù)上能解決的問題，而是法律法規(guī)層面要解決的問題，應(yīng)該更多地從法律、法規(guī)的層面來確保云服務(wù)提供商不能以系統(tǒng)管理員的身份看到用戶的數(shù)據(jù)，不能隨便泄露數(shù)據(jù)，就像銀行不可以泄露用戶數(shù)據(jù)一樣。

鏈接

什么是RSA Conference?

RSA Conference(RSA大會)1991年由RSA公司發(fā)起，起初是一個密碼學(xué)家聚會、分享互聯(lián)網(wǎng)安全領(lǐng)域最新知識和進(jìn)展的論壇，如今，RSA Conference一年一度在美國、歐洲、日本等地舉行盛會，創(chuàng)造機(jī)會讓信息安全人士與業(yè)界杰出人物、新興企業(yè)和知名企業(yè)直接交流，了解安全領(lǐng)域的最重要課題，推動全球的信息安全進(jìn)程。