互联网与信息安全云计算及其安全摘要：在信息高速发展、信息处理技术呈几何增长的今天，计算机现有有的基本模式已经不能应对当前大量的信息处理速度，为了解决这一问题，云计算顺应时代潮流、应运而生。这篇文章简述了云计算的概念和特点，结合现实中存在的问题，分析了当前环境下的安全风险，并提出了相应的安全策略。关键字：云计算 发展历程 安全 解决方案 1 引言互联网整个世界连接了起来通过看得见看不见的线 ，随着近十几年来互联网的急速发展与成长，存储、计算机能量消耗、信息产业人员和硬件成本不断提高，数据中心的空间日益匮乏，原有的服务模式已经不能应对当前巨大的计算吞吐量， 如何把众多的计算机节点组织起来， 以一种新的形式去解决当前出现的问题，这成为学术界和产业界共同关注的问题。由此，云计算的概念应运而生。云计算（Cloud Computing）已经成为当前最热门的一个话题，各大IT 巨头纷纷推出云计算的服务来吸引用户，中小IT企业也纷纷提出在“云”时代的战略蓝图。云计算不仅仅是一个计算的问题，也不是仅仅将众多计算节点组成超级计算机，它需要融合许许多多的技术与成果。简单的来讲，云计算是分布式计算（Distributed Computing）、网格计算(Grid Computing)、并行计算(Parallel Computing)等发展的基础上提出的一种新型计算模型，它面对的是超大规模的分布式环境，核心是提供数据存储和网络服务。正当云计算概念正如火如荼的发展时云计算的安全问题越来越引起人们的注意，并已经上升到云计算发展的战略已提上来。本本篇文章将简述云计算的概念、特点、发展历程，结合当前存在安全方面的问题， 简述了云计算环境下的安全风险， 并提出相应的安全防范与使用的策略。1.1 概念简介：云计算：是基于互联网的相关服务的增加、使用和交付模式，通常涉及通过互联网来提供动态易扩展且经常是虚拟化的资源。云是网络、互联网的一种比喻说法。过去在图中往往用云来表示电信网，后来也用来表示互联网和底层基础设施的抽象。狭义云计算指IT基础设施的交付和使用模式，指通过网络以按需、易扩展的方式获得所需资源；广义云计算指服务的交付和使用模式，指通过网络以按需、易扩展的方式获得所需服务。这种服务可以是IT和软件、互联网相关，也可是其他服务。它意味着计算能力也可作为一种商品通过互联网进行流通。云计算是继1980年代大型计算机到客户端-服务器的大转变之后的又一种巨变。 云计算（Cloud Computing）是网格计算（Grid Computing ）、分布式计算（Distributecomputing）、并行计算（Parallel Computing）、效用计算（Utility Computing）、网络存储（Network Storage Technologies）、虚拟化（Virtualization）、负载均衡（Load Balance）等传统计算机和网络技术发展融合的产物。所以人们常常将云计算与网格计算、效用计算、自主计算的概念相混淆。但是经过我们对概念的深刻掌握分析可知：网格计算，是分布式计算的一种，由一群松散耦合的计算机组成的一个超级虚拟计算机，常用来执行一些大型任务； 效用计算，是IT资源的一种打包和计费方式，比如按照计算、存储分别计量费用，像传统的电力等公共设施一样； 自主计算，是一种具有自我管理功能的计算机系统。 只要在日常学习和应用中好好把握三者的区别，对我们的应用是很有帮助。1.2 云计算的特点 超大规模。“云” 有相当大的规模，Google 云计算的服务器有上百万台服务器， 其它的IBM，Amazon也有几十万台，企业的私有云也有至少上百台，超大的规模赋予了用户前所未有的计算能力。虚拟化。云计算支持用户在任意位置使用各种终端获取应用服务， 请求的资源来自“云”，应用也在“云”中运行，用户只需要一个终端，就可以通过网络服务实现所需要的一切， 而不用关心整个过程是如何在哪里实现的。高可靠性。云计算使用了数据多副本容错、计算节点同构可互换等措施来保证服务的高可靠性。通用性。云计算不针对特定的应用，可以支撑不同的应用。可扩展性高。云的规模可以动态的伸缩，满足不同用户和应用增长的需要。按需服务。云中的资源可以按需购买，如同现在使用水电那种方便。极其廉价。众多的节点由极其廉价的服务器构成，其通用性使得利用率大幅提升，成本大幅下降。1.3云计算的发展历程1983年，太阳电脑提出“网络是电脑”（“The Network is the Computer”）2006年3月，亚马逊推出弹性计算云（Elastic Compute Cloud；EC2）服务。 2006年8月9日，Google首席执行官埃里克施密特在搜索引擎大会首次提出“云计算”（Cloud Computing）的概念。Google“云端计算”源于Google工程师克里斯托弗比希利亚所做的“Google 101”项目。 2007年10月，IBM与Google开始在美国大学校园，推广云计算的计划，这项计划希望能降低分布式计算技术在学术研究方面的成本，并为这些大学提供相关的软硬件设备及技术支持（包括数百台个人电脑及Blade Center与System x服务器，这些计算平台将提供1600个处理器，支持包括Linux、Oxen、Hardtop等开放源代码平台）。而学生则可以通过网络开发各项以大规模计算为基础的研究计划。 2008年1月30日，Google宣布在台湾启动“云计算学术计划”，将与台湾台大、交大等学校合作，将这种先进的大规模、快速计算技术推广到校园。 2008年2月1日，IBM公司宣布将在中国无锡太湖新城科教产业园为中国的软件公司建立全球第一个云计算中心（Cloud Computing Center）。 2008年7月29日，雅虎、惠普和英特尔宣布一项涵盖美国、德国和新加坡的联合研究计划，推出云计算研究测试床，推进云计算。该计划要与合作伙伴创建6个数据中心作为研究试验平台，每个数据中心配置1400个至4000个处理器。这些合作伙伴包括新加坡资讯通信发展管理局、德国卡尔斯鲁厄大学Steinbach计算中心、美国伊利诺伊大学香宾分校、英特尔研究院、惠普实验室和雅虎。 2008年8月3日，美国专利商标局网站信息显示，戴尔正在申请“云计算”商标，此举旨在加强对这一未来可能重塑技术架构的术语的控制权。 2010年3月5日，Novell与云安全联盟（CSA）共同宣布一项供应商中立计划，名为“可信任云计算计划”。 2010年7月，美国国家航空航天局和包括Backspace、AMD、Intel、戴尔等支持厂商共同宣布“Penstock”开放源代码计划。 2011年2月，思科系统正式加入Penstock，重点研制Penstock的网络服务。 3 云计算的安全问题从上文看云计算拥有诸多的优良性能， 那么它真的是无懈可击、无所不能吗？ 这个问题越来越引起人们的注意，随着云计算应用的越来越广，云计算中存在着以下几种个安全方面的问题：（1）特权用户接入问题。一般来说云端的数据都有其机密性，但是云服务商比用户有更高的访问权去获得这些数据，这样数据的安全性就不能被保证：这是人们最担心的问题之一。（2）可审查性。用户对自己数据的安全性负有最终的责任，如果服务商拒绝外部审计和安全认证，那么用户自己数据的安全性则无法得到有效的保证。（3）数据位置问题。用户并不知道自己的数据物理上存放在哪里，由于不同国家适用不同的隐私和数据管理法律，敏感信息被“合法”的泄漏恐怕是用户最不想看到的事情。（4）数据完整性问题。存放在云端没有备份是非常危险的，即使经过备份，一些物理灾害或者小概率的同时损坏同样会危害数据的完整性。（5）调查支持的问题。对于司法机关来说，在云中调查非常的困难，数据可能分布在全球各地，调查和取证将是非常庞大的工程。（6）数据隔离问题。在云计算的体系下，所有用户数据都位于共享环境中，如果隔离措施出现纰漏，非法用户将获得一些敏感信息，侵犯合法用户的权益。（7）持久的服务。如果云服务商突然破产或者被收购，庞大的数据如何安全地收回也是一个相当现实的问。所以我们在享受云计算所带来的方便与快捷的时候，不能不认真对待这些对云技术来说致命的问题。但是人的能力是无限的，任何问题都能找到破解的方法，我们也没有必要过分担忧。4 解决方案（1）云计算服务提供方的安全策略。云计算环境应该具有多个基本的安全域，每个安全域要有全局和局部主题映射；位于不同安全域之间的操作必须相互鉴别， 并且要提供完整单点登录认证、代理、协同认证、资源认证，在认证过程中的通信也必须通过SSL、VPN 等安全方式来保证用户的安全。同时建立可靠及时的备份容错服务，即使灾难发生，也可以保证数据的安全和完整性。还可以提供一种过滤器系统，目的在于监视哪些敏感数据离开了自己的网络，并自动阻止敏感数据。服务商本身还要建立严格的内部监管机制， 防止从内部泄漏用户数据。（2）云计算服务使用方的安全策略。用户可以对自己的文件先进行加密再上传到云端，PGP 或者True Crypt 都提供了足够强大的加密功能，并且这个加密软件是开源产品，不用担心后门的问题。而且无论从安全性还是完备性来考虑，都应该使用信誉良好的服务， 名气大的服务商不会拿自己的名牌来冒险，也不会窘迫到和营销商共享数据。而且要尽量采用付费的模式，因为免费的午餐终究是没有保证的。在使用云服务前，一定要仔细阅读隐私申明， 大多数的服务商都在政策条款中承认如果执法机关要求，自己会交出相关数据。通过了解究竟是哪些数据可能被泄露， 可以帮助你选择性地将数据保存在云计算环境中。4.1 具体安全方法4.1.1 对保存文件进行加密 加密技术可以对文件进行加密，有密码才能解密。加密让你可以保护数据，哪怕是数据上传到别人在远处的数据中心时，都可以实行全程护航。 4.1.2 对电子邮件进行加密 电子邮件是以一种仍能够被偷窥者访问的格式到达你的收件箱。为了确保邮件安全，可以使用Hush mail或者Mute mail 之类的程序自动对你收发的所有邮件进行加密。 4.1.3 使用信誉良好的服务 建议使用名气大的服务，它们不大可能拿自己的名牌来冒险，不会任由数据泄密事件发生，也不会与营销商共享数据。 4.1.4 考虑商业模式 收取费用的互联网应用服务可能比得到广告资助的那些服务来得安全。所以在选择存储环境时，首先考虑付费存储。 4.1.5 阅读隐私声明 在将数据存储到云计算环境中的时候， 一定要阅读隐私声明，因为几乎有关互联网应用的每项隐私政策里面都有漏洞，以便在某些情况下可以共享数据。这样你就可以确定应该把哪些数据保存在云计算环境，哪些数据保存在自己的电脑中。 4.1.6 安全传输 数据在网络传输到云中处理过程中需要得到保护，在传输过程中使用SSL,PPTP或VPN等不同的方式。另外在云计算服务提供商层面上，也应采取相关措施让用户放心使用云计算服务。首先，云计算服务提供商最好是本国注册且数据中心、总部或资产在本国的大规模企业，具有长久的存续能力。只有这样，才能保证其能够尊重驻在国家法律并受驻在国法律的监管，长久提供稳定、安全、可靠的服务。在发生事故后，由于其总部或资产在驻在国境内，因此赔偿或追讨可以顺利进行。在中国，这样的企业或组织包括大型IT服务商和开发商、电信运营商、银行、保险公司、各个高新技术园区、政府机构等。 其次，云计算服务提供商应该遵循相应应用的开放标准，尽量不采用私有标准。如果没有标准可以遵循，至少要提供数据导入导出框架以及数据转换机制，为数据迁移提供必要的保障和方便。 结论在我们生活中云计算技术扮演着越来越重要