特約通訊員 梁曉歡

安全技術突破為云計算應用掃清障礙

特約通訊員 梁曉歡

云計算的出現(xiàn)，為企業(yè)提供了一種按量付費的互聯(lián)網資源使用模式，企業(yè)可根據需求，快速、便捷地使用網絡中的計算機數(shù)據處理、存儲空間、應用軟件等多種資源，極大地降低了企業(yè)的IT成本。然而，盡管云計算擁有如此強大的優(yōu)勢，仍有不少企業(yè)擔心將數(shù)據外包給外部服務器會存在安全隱患。NSA(美國國家安全局)丑聞的曝光進一步加劇了他們對云安全的擔憂?，F(xiàn)在，德國弗勞恩霍夫（Fraunhofer）研究院正在嘗試解決該問題，提高云計算的安全性。

云計算是一個非常實用的概念，為企業(yè)提供了靈活便捷的服務，允許企業(yè)按需租用互聯(lián)網上的存儲空間、計算機數(shù)據處理以及軟件程序，使得企業(yè)能夠根據客戶需求的變化和市場的發(fā)展，迅速地做出反應。應用云計算這一信息技術，能讓企業(yè)以簡單又實惠的方式，滿足其對互聯(lián)網資源的實時需求。

目前，越來越多的企業(yè)發(fā)現(xiàn)了這種模式的優(yōu)點。根據BIKOМ和審計咨詢公司畢馬威（KPМG）進行的2013云監(jiān)控調查顯示，在2012年，僅在德國就有37%的企業(yè)使用云計算。在大公司這一比例上升到65%。專家預計2014年，云計算的市場將會增長到47%，達到78億歐元的價值。

數(shù)據失竊的擔憂

不過，云監(jiān)控調查研究明確指出企業(yè)對云計算的應用仍有所保留。大多數(shù)企業(yè)選擇了內部解決方案（即私有云），其理由只是為了避免將重要的公司數(shù)據存儲在外部服務器，只有約10%的企業(yè)使用了公有云。企業(yè)之所以沒有廣泛采用公有云，主要是擔心數(shù)據丟失、信息技術入侵、法律上存在不合規(guī)性，以及難以將此類解決方案集成至公司的系統(tǒng)等原因。企業(yè)仍將云端的安全性視為云計算使用中的主要挑戰(zhàn)。

自NSA丑聞曝光以后，企業(yè)愈加懷疑云計算的安全性——尤其是擔憂美國的云計算服務。信息技術與創(chuàng)新基金會（ITIF）預計美國的云計算服務提供商在接下來的三年里，將會損失高達350億美元的營業(yè)額。換個角度分析，這也為德國和歐洲的云計算服務提供商開辟了新的機會。目前，由于德國軟件制造商SAP的成功案例（SAP可以按需為企業(yè)提供應用程序，吸引了約30萬的客戶使用其開發(fā)的SAP數(shù)據云），市場上出現(xiàn)了對“德國制造”的云計算解決方案的特定需求。德國聯(lián)邦經濟與技術部（BМWi）很快就明白、并強調了可靠性、安全性、可用性和數(shù)據保護對云計算的高度重要性，并在2010年啟動了“可信云計算”科技競賽，以此來開發(fā)和測試符合法律規(guī)定的云計算安全解決方案。在總共提交的116個參賽項目中，獨立專家評審團選出了14個最具潛力的項目——這其中，有許多項目都有弗勞恩霍夫協(xié)會（Fraunhofer）的參與。

但如何才能保證存儲在公共云中的數(shù)據的安全性呢？如何防止公共云計算服務的提供商獲得權限訪問企業(yè)的敏感信息呢？弗勞恩霍夫應用研究促進協(xié)會的研究人員，聯(lián)合Uniscon、SecureNet兩家公司，共同開發(fā)特殊的封閉式IT基礎設施架構——密封云。在密封云中，有一個完整的安全防范系統(tǒng)，能夠確保未經授權的人員無法獲得數(shù)據訪問權限。該項目的負責人Мario Hoffmann解釋：“密封云不僅對所有的數(shù)據進行加密，也通過先進技術和機電系統(tǒng)全面保護服務器的訪問情況”。

密封服務器

截至目前，云服務的經營者及其員工普遍有權不受限制地訪問IT技術基礎設施以及存儲在其中的信息。密封的云計算則對此做出了改變，能從技術和組織的角度，雙重確保每一個應用程序服務器的安全。每個服務器都被鎖定在一個機架中。在服務器需要維護時，系統(tǒng)首先要將所有數(shù)據信息和內部存儲空間轉移至其它安全的計算機中。在此之后，管理員才能獲得一個電子令牌，允許其打開機架。一旦修復完成，機架就會再次被鎖定，系統(tǒng)將從一個中心點重新啟動，然后自動觸發(fā)一個驗證過程，以保證所有的數(shù)據和程序都與授權認證的版本相匹配。

在密封云中，有一個重要的組成部分——“安全數(shù)據存儲”云服務（即SDS服務），該服務提供了一個管理分布式過程相關數(shù)據的可信方式。在SDS的中心，是一個存儲信息以及指向外部資源鏈接的數(shù)據庫。當授權用戶訪問數(shù)據時，在其登陸過程中，系統(tǒng)會根據其登陸信息（如用戶名和密碼）生成一個個性化秘鑰。用戶可以利用該秘鑰來定位、解密和處理應用程序的數(shù)據。在用戶注銷后，數(shù)據又會重新加密并保存。

每次將數(shù)據從用戶端轉移至SDS的操作，均通過一個安全通道來執(zhí)行，整個過程持續(xù)至數(shù)據在用戶設備上完成加密為止。這可以防止任何未經授權的第三方在數(shù)據轉移過程中獲得信息訪問權。Hoffmann表示，密封云計算解決方案的特色優(yōu)勢就在于“其結合了公共云在經濟上的優(yōu)勢，以及私有云在安全性上的優(yōu)勢”。

可信任的身份識別機制

智能手機、平板電腦和上網本的出現(xiàn)，使得員工可以隨時隨地地訪問公司數(shù)據，這雖然讓工作變得更加靈活機動，但也讓未經授權的用戶有機會竊取員工的數(shù)據訪問權，無需許可就能讀取企業(yè)的敏感信息。為防止這種情況的發(fā)生，云端務必需要一個強大的身份識別機制。Fraunhofer正在研究的KID-neity項目是將德國新身份證、電子醫(yī)療卡、銀行卡和員工證上的安全電子身份識別（eID）技術應用到云計算中，從而為用戶提供可信任的身份識別機制，更好地保用戶和企業(yè)的所有業(yè)務流程。

然而，移動通信還隱藏著更大的風險。例如，黑客、數(shù)據泄露和間諜攻擊的入侵表明，當數(shù)據在工作站和云端之間、智能手機和智能手機之間傳輸時，數(shù)據保護能力往往是最脆弱的。Fraunhofer光電研究院正在研究一個極為安全可靠的通信解決方案，通過增加一個被稱為“CyphWay”的小型額外設備，提供安全且高速的數(shù)據傳輸服務。該系統(tǒng)改用模塊化結構進行設計：一個模塊進行數(shù)據的加密和解密，而另一個模塊則用于確保通信硬件和其它設備之間的安全連接。

Fraunhofer還將開發(fā)一款數(shù)據監(jiān)控軟件，該軟件將永久地監(jiān)控敏感數(shù)據的使用情況，使用戶在數(shù)據“脫手”的情況下仍能保有對數(shù)據的控制權。IND2UCE（集成分布式數(shù)據的使用、控制、執(zhí)行）讓定義用戶權限和限制數(shù)據的傳遞使用成為可能。通過準則的設立，確定誰被允許接收一個給定的文件，怎樣的編輯是可行的，一個文件可以被打開多長時間，以及何時會自動刪除接收者系統(tǒng)中的數(shù)據。

然而，云計算不只是與負面的潛在風險相關，它也能幫助企業(yè)通過一個高度可靠的方式來保障數(shù)據的安全。云端為企業(yè)提供了專業(yè)的數(shù)據備份服務，數(shù)據被存儲在提供商的服務器上，并由服務商負責必要的管理工作、物理性安全，合格的人才和高度的資源可用性。

連接到云的文件服務器

云計算在企業(yè)中得不到普及的另一個原因是，他們不想被一家云計算服務商套牢，即所謂的供應商鎖定。此外，目前而言，要將存儲在云端的數(shù)據進行傳輸仍是一個非常艱難的過程，因為每一個云計算服務提供商通常都有其自身專屬的接口，這也正是Fraunhofer安全信息技術研究人員正在關注的問題，他們已經開發(fā)出一種文件服務器——OmniCloud，便于企業(yè)能夠無縫接入任何一家云計算服務提供商。在2012年，OmniCloud被Horst G?rtz基金會評為德國信息技術安全獎的第一名，它能夠準確識別各個服務提供商的各種編程接口，并提供了一項數(shù)據“移民”服務，即企業(yè)可根據需要，輕松地將數(shù)據快速傳輸至新的存儲服務提供商。通過OmniCloud，企業(yè)能夠將所有應用程序和備份軟件連接至任何一家云服務供應商。

OmniCloud的另一個優(yōu)點是，其能在數(shù)據離開企業(yè)網絡、存儲至云端之前，將所有的數(shù)據進行本地加密。研究院云計算認證和隱私方面的負責人Мichael Herfert強調：“無論企業(yè)的存儲服務提供商采用任何安全措施，OmniCloud均保證企業(yè)的數(shù)據能始終保持在機密狀態(tài)?！蓖ㄟ^OmniCloud，企業(yè)可使用一個單獨的秘鑰對每一個文件進行加密，不僅可以保護文件的實際內容，還能保護文件的名字和目錄結構。此外，OmniCloud還具有一個訪問控制系統(tǒng)，用于清楚地指定哪個用戶有權訪問哪個文件。

如果要讓企業(yè)和政府機構能夠訪問所有的數(shù)據和云服務，我們需要一個高度安全的可用網絡。訪問權限將會受到技術問題或針對性攻擊的阻礙。目前，幾乎每周都有關于網絡威脅的報告——從阻斷式服務攻擊，到間諜程序，以及電腦劫持形成的僵尸網絡。2007年的愛沙尼亞事件提醒了我們，現(xiàn)代社會和經濟在與互聯(lián)網捆綁后已變得非常脆弱。在愛沙尼亞事件中，網絡攻擊導致了全國范圍內的網絡停機和大部分公共設施的功能失效。因此，我們現(xiàn)在需要新的云計算服務概念，保證在突發(fā)情況下，即使服務的可用性受限，但用戶仍能進行正常工作。

弗勞恩霍夫研究院通信、信息處理和工效學小組（FKIE）的Jens T?lle博士強調：“網絡空間需要有其自身的防御策略?！盕KIE的專家正在“網絡防御實驗室”中研究這些策略。T?lle認為“我們的防御策略應該與網絡基礎設施技術的進步，以及相應產生的各種潛在威脅保持同步，阻斷式服務攻擊、信息的蓄意抽取、工業(yè)控制系統(tǒng)的惡意操縱、以及針對性的用戶信息刺探等所有風險都是需要我們采取相應措施主動預防的?！?/p>

因此，用戶在云端工作時，不必單一地依靠其服務提供商的安全保護措施。FKIE可用網絡安全小組的研究人員正在研究如何使數(shù)據安全存儲至云端的新技術?，F(xiàn)有的數(shù)據加密方法，如Boxcryptor或Wuala，都無法提供企業(yè)所需的集成處理服務。此外，這些方法功能有限，只能在特定情況下使用。大型云服務提供商，如亞馬遜，其提供的安全保護措施也具有類似缺陷。波恩大學安全和隱私專業(yè)的教授Мatthew Smith博士表示：“到目前為止，客戶進入云端或向云端添加其自身的加密機制時，已不得不主動采取安保措施?！睘閹椭髽I(yè)能更輕松、更安全地使用云計算服務，F(xiàn)KIE提出了一個極為創(chuàng)新的方法——通過整合IT安全保護技術和安全保護服務概念，將安保服務提供商和云計算資源提供商區(qū)分開來。這意味著企業(yè)之間可以通過合作，共同保障數(shù)據存儲的安全性。

在云端取得成功

盡管云計算服務不盡完美，仍有一些缺陷，但事實證明，它所擁有的巨大優(yōu)勢仍值得企業(yè)嘗試該項服務。IBМ應用研究中心在2013年進行了一項比較研究，結果顯示，系統(tǒng)化使用云計算服務的企業(yè)，與其他很少使用云服務的競爭對手相比，前者的增長速度是后者的兩倍，毛利率約為后者的2.5倍。如果我們希望未來有更多的企業(yè)、政府機關和公共機構使用云計算服務，我們就需提供最佳的數(shù)據保護措施，確保云服務是安全的、可靠的、隨時可用的。