浅析云计算及其安全问题

浅析云计算及其安全问题

随着云计算作为当前IT领域、学术界、产业界乃至各界都关注的焦点，代表当前IT领域向集约化、规模化、专业化、弹性化发展的主流趋势，当云计算提供前所未有的使用效率并不断发展的同时必然也会面临很多问题，而在所有问题当中安全问题更为突出。本文简述了云计算的定义，并通过分析当前云计算所面临的安全问题及研究现状，介绍了云计算安全中的一些关键技术。

标签：云计算安全问题关键技术

一、引言

伴随互联网的高速发展，当原始的互联网系统与服务设计已经不能解决发展所带来的各种诸如存储、计算机能量消耗，数据急增，运行成本升高等一系列问题时，互联网急需新的解决方案，数据的收集与分析必须建立在一种新的平台上。这时，一个称为“云计算”的概念首次被Google提出，这是信息技术的又一次革新。云计算以特有的便利、经济、可扩展性等优势被广泛的应用。越来越多的企业和个人将他们的存储和计算需求付诸于云端。目前很多IT公司致力于云计算的研究，推出了自己的云计算平台，并对外提供各种云计算服务，亚马逊、谷歌、微软等老牌互联网或者软件公司更开始以云计算服务提供商的新面貌示人。

二、云计算概述

云计算（Cloud Computing）是继分布式计算（Distributed Computing）、并行处理（Parallel Computing）、网格计算（Grid Computing）等之后计算模式的最新发展。云计算通过将各种互联的计算、存储、数据、应用等资源进行有效整合来实现多层次的虚拟化与抽象，用户只需要连接上网络即可方便使用云计算强大的计算和存储能力。虽然云计算的定义没有统一认识，但一般我们按业界普遍认同的美国国家标准技术研究院推出的云计算规范，其认为云计算是一种模式，能以泛在的、便利的、按需的方式通过网络访问可配置的计算资源（如：网络、服务器、存储器、应用和服务），这些资源可实现快速部署与发布，并且只需要极少的管理成本或服务提供商的干预。基于互联网技术、以服务为基础、分享资源、可扩展性、弹性、按使用计量等都是云计算所具有的特点。根据云计算所提供的服务类型，将其划分为3个层次：应用层、平台层和基础设施层。各自对应着一个子服务集合：软件即服务（SaaS Software as a Service）、平台即服务（PaaS Platform as a Service）和基礎设施即服务（IaaS Infrastructure as a Service）。

三、云计算面临的安全问题及研究现状

在云计算被广泛关注的同时，云的各种安全问题也逐渐显现，成为目前阻碍云计算发展的最大阻力。2008年美国Gartner公司总结了七条云计算安全风险，它们分别是：1.特权用户访问风险；2.法规遵守风险；3.数据位置不确定风险；

4.共享存储数据风险；

5.数据恢复风险；

6.调查支持（数据跟踪功能）风险；

7.

长期发展风险。2009年CSA发布了7个最常见、危害程度最大的威胁，它们分别是：1.滥用和恶意使用云计算；2.不安全的接口和API；3.不怀好意的内部人员；4.基础设施共享问题；5.数据丢失或泄漏；6.帐户或服务劫持；7.未知的风险。

云计算的安全问题已经引起业界的高度重视，安全是用户权衡是否使用云计算服务的重要指标之一，也是云计算健康发展的基础。许多云服务提供商均提出相应的安全解决方案，以应对日益增长的安全威胁。如IBM推出了Proventia和Tivoli两个云安全产品，Proventia虚拟化网络安全平台是一个可扩展的虚拟安全平台，它嵌入到云计算基础架构里，具有入侵监测、网络应用程序保护和网络政策执行在内的安全防护功能；Tivoli是IBM提高到智能基础设施管理的解决方案，通过集中的身份、访问、认证、加密数据存储等管理服务，可实现基础架构的安全管理。

Amazon在保证用户端到端的安全和隐私，以及保障用户系统和数据保密性、完整性、可靠性等方面所作的努力，包括认证鉴权、物理安全、备份、EC2安全、S3DB安全和Simple DB安全等几个方面的内容，以提高云计算业务平台的稳定性和用户数据的安全性；CSA在《云安全指南》中着重总结了云计算的技术架构模型、安全控制模型以及相关的合规性模型之间的映射关系，围绕着13个识别出来的关注点，从用户角度阐述了可能存在的商业隐患、安全威胁，以及推荐采取的安全措施。

总体来说，目前云计算安全的研究主要集中在以下几个方面：（1）云计算系统自身的安全性和服务的连续性；（2）用户数据的安全性、完整性和保密性；（3）云计算用户身份认证与权限管理及云计算数据中心的安全管理等。

四、云计算的安全关键技术

1.可信访问控制

由于无法信赖服务商忠实实施用户定义的访问控制策略，所以在云计算模式下，关心问题往往是如何通过非传统访问控制类手段实施数据对象的访问控制，特别受到关注的则是基于密码学方法实现访问控制。

2.密文检索与处理

数据变成密文时丧失了许多其他特性，往往导致很多数数据分析方法失效，密文检索有基于安全索引的方法和基于密文扫描的方法两种典型方法，密文处理的研究则主要集中在秘密同态加密算法设计上。

3.数据存在与可使用性证明

由于大规模数据所导致的巨大通信代价，用户不可能将数据下载后再验证其正确性。因此，云用户需在取回很少数据的情况下，通过某种知识证明协议或概率分析手段，以高置信概率判断远端数据是否完整。

4.隐私保护

在云计算环境中，用户的数据被存放在云端，这就造成了敏感数据的隐私保护问题。当然云安全指南提出的不要将敏感数据存放在云端，这并不是解决隐私保护这一问题的关键。在数据存储和使用阶段，一种基于用户的隐私管理器，以用户为中心建立信任模型，在提供商不能协同工作的情况，可以通过混淆来保护数据隐私安全，而一种隐私保护系统，支持对计算结果的自动除密。

5. 虚拟安全技术

虚拟技术是实现云计算的关键核心技术，使用虚拟技术的云计算平台上的云架构提供者必须向其客户提供女全性和隔离保证。虚拟机映像文件的安全问题，每一个映像文件对应一个客户应用，它们必须具有高完整性，且需要可以安全共享的机制所提出的映像文件管理系统实现了映像文件的访问控制、来源追踪、过滤和扫描等可以检测和修复安全性违背问题。

总之，云计算作为当前发展很迅速的新兴产业之一，具有非常广阔的发展前景，其面临的安全技术挑战也是同时存在的，需要IT学术界、产业界从及各界高度重视与关注，共同探索解决面临的问题。

参考文献

[1]冯登国，张敏，张妍，徐震.云计算安全研究.软件学报，2011，22（1）.

[2]杜芸芸，解福，牛冰茹.云计算安全问题综述.网络安全技木与应用，2012.8[3] 杨健，汪海航，王剑，俞定国.云计算安全问题研究综述.小型微型计算机系统，2012.3

[4]张爱玉，邱旭华，周卫东，夏吉广.云计算与云计算安全.中国安防，2012.3