云技术发展中的安全问题研究

易珏枫

（广东卓维网络有限公司，广东 佛山 528200）

1 前言

目前，云技术已经在网络服务中随处可见，其发展具有广阔的前景，但目前有很多报道披露了云技术尚缺乏安全性、可靠性和可控性。在IT产业权威公司Gartner发布的《云计算安全风险评估》报告中，列出了云技术存在的七大安全风险，这些风险将会给用户尤其是大企业用户造成不可估量的经济损失，因此，云安全问题已成为限制云技术发展和应用的瓶颈问题。

只有使得云技术的安全得到有序稳健的发展，才能让用户更放心的使用。云技术的安全问题主要包括终端安全及数据信息安全，通过对上述两项内容的详细分析，为提高云技术的安全提供一定的参考。

2 云技术的终端安全

2.1 信息系统设备安全。在云技术下，用户的一切操作包括数据的传输、存储等都是在虚拟的“云”中进行的，那么，一旦信息系统设备除了问题，用户所存储的信息就会丢失或发生泄漏，因此，保证信息系统的安全是云技术安全问题的重中之重。信息系统的安全主要指系统的可靠性和可用性。

2.1.1 可靠性。可靠性是指系统在受到自然或人为影响时仍能够保持正常运行或数据不被丢失的性能。提高系统的可靠性应通过各种技术措施，例如防病毒、防电磁等。数据传输是云技术中的重要一环，为保证数据在传输过程中的安全性应尽量采用光纤传输，或采用其他安全性强的传输设备。同时，为了降低信息系统遭受破坏的可能性，机房在设置过程中应尽量避开地震、闪电以及火灾等多发地区，建立完善的预警机制，当系统遭到破坏时，能够及时的报警并采取措施对危险进行控制，系统不仅要有完善的容错措施和单点故障修复措施，还要有大量的支撑设备，为防止电磁泄漏等问题，系统内部设备还应采用屏蔽、抗干扰等技术。

2.1.2 可用性。可用性是指授权用户可访问并使用其有权使用的信息的特性。安全的云技术应该能够通过权限设置来授权相应用户对云技术的使用，同时应保证在系统部分受损的情况下仍能为授权用户提供有效的服务。云技术主要通过建立认证机制、访问控制机制、数据流机制以及审计机制等来保证系统对可用性的需求。

2.2 用户终端安全。当一个企业的业务安全性受到破坏时，问题更多情况是出现在用户终端，而不是后端的服务器，因此，应对云技术的用户终端进行全面审核，避免用户受到安全影响。比如在线身份被盗、网络钓鱼攻击以及恶意软件下载等。目前大部分企业对于自身的设备有较深的了解，但在云技术的环境中，企业可能需要依赖于多个云服务提供商，而这些提供商在安全等级上可能存在差异，因此，对于不同服务在终端的整合则较为重要，但如果将终端的安全转由云服务提供商来保障，就会产生更多重要的问题，比如：安全和兼容性要求实现的问题、保护数据不被滥用的问题等等。

3 云技术的数据信息安全

3.1 数据使用安全。在云技术服务中，数据的存储可能在多处，在访问过程中的身份与访问权限管理尤为重要，只有对身份的充分保证才能够做到对数据安全的保证，因此，在涉及到重大问题的数据访问上都应采用现场认证及加密证书的形式进行认证。云服务中通常会有多个身份声明提供者，它们各自使用不同的流程。云系统需要理解这些不同的流程并将其验证为可信，因此当企业把服务转移到云上时，就会产生诸如身份的归属、身份提供者的更换权、验证与授权与身份的绑定各种问题等各类问题。可借助提供者的身份鉴定和声誉评定系统，来了解身份提供者在哪个安全级别。同时，使用强制证书的数字身份系统能够验证来自于自有平台和基于互操作声明的云提供商的用户，因而可以大大提高安全性和数据的完整性。在不同的企业和云提供商中使用云服务的数字身份系统并且采用强健的流程可以把身份与访问管理控制在可控的范围中，令其安全性得到保证。

3.2 数据传输安全。对于传输数据，首先需要确保的是机密性，即使用一定的加密程序，当然，对传输数据，尤其在互联网上传输数据时还需要考虑数据的完整性。在使用公共云时，对于传输中的数据最大的威胁是不采用加密算法。虽然采用加密数据和使用非安全传输协议的方法也可以达到保密的目的，但有时无法保证数据的完整性。

3.3 数据存储安全。与传统的存储技术相比，云技术可通过对服务器集群和虚拟化技术，临时调用计算和存储资源，分配给服务器和存储子模块，从而有效的处理突发性的大访问量。其次，企业在采用传统存储技术时，设备及软件的升级以及数据的有效管理均具有一定的风险，而采用云技术后，可以通过专业人员对上述问题进行处理，由云存储服务提供商来负责系统的升级、数据的备份归档等工作，使企业对这些数据管理的活动风险降至最低。但这同时也对云技术提出了较高的要求，必须加强数据保护的措施，确保数据被恰当地隔离和处理。对于静止的数据，可以通过加密磁盘的形式来保护数据，而对于非静止的数据，由于需要进行索引和搜索，加密则无法进行，可采用多租户模式，将所用的数据和其他用户的数据混合存储。虽然云技术应用在设计之初已采用诸如“数据标记”等技术以防非法访问混合数据，但是通过应用程序的漏洞，非法访问还是会发生，到目前为止还没有可靠的算法实现数据全加密，虽然有些云服务提供商请第三方审查应用程序或应用第三方应用程序的安全验证工具加强应用程序安全，但出于经济性考虑，无法实现单租户专用数据平台，因此惟一可行的选择就是不要把任何重要的或者敏感的数据放到公共云中。这也是云计算的数据存储安全的重大难点，只有突破这个难点才能实现云存储真正的安全。

结语

当前我国的云技术产业尚处于起步和准备阶段，已经处于大规模应用的前夕，在3～5年内，云技术产业将达到成熟阶段，云技术将成为企业发展过程中不可或缺的基础技术，我国政府也已经意识到云技术的重要性，以相继在北京、天津、上海、深圳等城市建立了云计算相关平台。目前信息安全技术主要被美国等发达国家所垄断，全球真正有实力研发、提供完善“云服务”并对其制定安全策略的企业只有微软、谷歌等少数IT企业，我国应加快云技术方面的安全建设，为云技术应用的大面积提供坚实的基础。

[1]陈康，郑纬民.云计算:系统实例与研究现状[J].软件学报，2009（5）:1337-1348.

[2]刘鹏.云计算[M].北京：电子工业出版社，2011.

[3]登国，张敏，张妍，等.云计算安全研究[J].软件学报，2011，22（1）：71-83.