從云計算的關鍵領域談數據安全

劉素嬌

摘 要 對于用戶來說，把數據交由云存儲，此時數據的擁有與管理進行了分離，數據處于托管狀態，數據的安全性對于用戶來說是不可控的。文章從云架構和安全進行研究，云平臺的每個層都應承擔相應的安全職責，分析對于數據保護的技術和訪問控制。

關鍵詞 云安全；安全職責；訪問控制；加密

中圖分類號 TP3 文獻標識碼 A 文章編號 1674-6708（2018）205-0123-02

傳統計算通過定義物理和邏輯上的安全域，保護設備用戶和劃分邊界，而云計算是利用的虛擬化技術，模糊了邊界的界限，從而使得系統缺失邊界的保護，產生了新的安全隱患。云提供租賃性質的服務是面向多用戶的，這要就勢必造成多用戶在共享同一資源池。每個用戶所擁有的資源是隔離和孤立的，隔離是將資源進行劃分到不同的組，孤立確保用戶之間不能看到或修改彼此的資源，即要求資源之間彼此是有邊界保護的。

在創建云的過程中虛擬化技術是重要的關鍵技術，它其實包含兩個方面的含義：抽象和分配資源。虛擬是將位于不同地理位置的物理設備或資源抽象出來并聚集起來創建資源池，對資源進行劃分并將資源按需分配和基于一定的策略或算法分配給用戶。而傳統的虛擬化技術只是將資源進行抽象化，缺失對資源的整合和把資源自動的分配給用戶[ 1 ]。

1 云架構及安全職責

1.1 邏輯模型

NIST對云計算的定義包含了五大特點（廣域網接入、快速彈性分配/配置、可測量的服務、按需服務和資源池）、3個云服務模型（基礎設施即服務、平臺即服務和軟件即服務）和四個云部署模型（公有云、私有云、混合云和社區云）。

從宏觀上來講，云計算和傳統的計算模型都遵循著同一邏輯模型，這種邏輯模型不僅可以從功能上識別不同的層次，也有利于解釋計算模型之間的差別。邏輯模型按照由下往上依次可以劃分為：基礎設施（主要是是計算、網絡和存儲以及其他組件建立的基礎）、元結構（基礎設施層與其他層之間接口的協議和機制，把多種技術結合起來，提供管理和配置功能）、應用結構（部署應用程序和構建底層應用程序結構）和信息結構（數據和信息，例如數據庫中的內容、文件存儲等）。不同的邏輯層要承擔不同的安全責任，比如應用程序結構負責應用程序的安全性，信息結構負責數據安全，基礎設施層負責基礎設施的安全性。云計算安全與傳統計算安全之間關鍵的安全管理差異是元結構，云計算的元結構包含了可以遠程訪問和網絡接入的管理平臺組件，另外一項關鍵的差異性體現在對于云計算來說，每層都賦予了雙重含義，例如對于基礎設施來說既包含創建云的物理設施又包含用戶對虛擬基礎架構的管理和使用[2]。

1.2 云安全范圍、職責

針對每一個云項目來說，實現的具體過程，采用的配置和技術，所依據的參考模型以及設計模型都會有所不同，但是大致都會有一個相對簡單關鍵的流程：首先是確定需求和合規的要求，再是定義和設計架構，最后根據底層云平臺的功能來識別和彌補差距。

云從本質上看是一種共享技術模式，云安全依賴于具體的云服務商、服務模型以及功能/產品，所有的云服務商、云服務提供者以及云用戶都必須承擔相應的安全職責。從一定程度上講，云安全其實也是一種共享責任模型，依據服務模型和部署模型所決定的應當承擔的職責，這些安全職責構成了責任矩陣。

云參與者承擔相應的安全職責與在云架構體系中對資源的控制程度是相對應的，在軟件即服務模型中，云服務商要承擔絕大部分的安全責任，而用戶僅僅負責對訪問和管理所要使用的應用程序；在平臺即服務模型中，云服務商負責平臺的安全性，而用戶負責部署平臺上的應用以及安全配置；基礎設施即服務模型中，前者負責基本的安全職責，后者負責在此模型基礎上的創建工作以及他們的安全，相對其他兩種模型來說，用戶要承擔比較多的安全職責。

基礎設施安全是一切云安全的基礎，包含最底層設備的安全，大致可以包含3個方面：物理設施、用戶的配置和基礎設施組件的實現。其中存儲安全是基礎設施層的核心。而存儲安全中最重要的部分是保證數據安全。

2 數據安全

由于云存儲利用的是虛擬化技術，它支持不同于傳統存儲技術的數據存儲類型，主要包含以下四種存儲類別：對象存儲：“對象”一般是文件，對象存儲和文件系統比較相似，在云存儲中大多數訪問采用不是標準的文件共享協議而是都是通過API，即使用特定的機制進行存儲。卷存儲：在本質上是實例或者是虛擬機的虛擬硬盤。數據庫：支持不同類型的關系的或是非關系的數據庫。應用程序/平臺：大多數在軟件即服務中文件、緩存或其他選項中。大多數云平臺也使用冗余持久的存儲機制，這些機制經常使用數據分散（有時也稱為分位數據碎片）。此過程需要大量數據，將其分解，然后將多個副本存儲在不同的物理存儲上，以提供高持久性。以這種方式存儲的數據在物理上是分散的。例如，單個文件不會存儲在單個硬盤驅動器上。

3 數據保護

3.1 數據安全需求

云存儲中的數據保護需要滿足如下安全需求：保密性一是通過訪問控制來保護數據不被非法或者非授權用戶訪問；二是通過數據加密處理，來保證數據內容的機密性、完整性、可用性和數據共享安全（其實質就是要訪問控制增強。為使數據按照用戶指定的策略共享并且數據不會遭到泄露，需要有安全可靠的安全訪問措施。）

3.2 數據保護技術

數據保護主要采用以下兩種方式：第一種是通過運用可信計算技術提高平臺安全的可信度，使得用戶相信云服務提供商通過采用數據加密技術和訪問控制機制能夠確保用戶數據安全；另外一種是密文訪問控制技術，即通過數據加密實現對數據機密性的保護，通過對密鑰的管理和分發來實現數據的訪問控制。

本部分內容將從數據安全保護的4個要求，分別是從用戶角度和云服務提供商兩個角度進行分析：數據機密性保護：前者主要通過是對數據進行加密，然后再放置云端進行存儲來保證數據的機密性，加密密鑰由用戶管理。后者主要采用加密后存儲的方式來保護數據機密性。主要采用對稱加密算法或者信息分散算法，加密密鑰由云服務提供商管理，目前比較成熟的方案是Amazon Web Services使用AES-256對數據進行加密保護，同時又為用戶提供客戶端加密工具；數據完整性保護：前者在數據存儲時采用數據可取回證明或者持有證明等技術校驗數據完整性。在數據取回時采用消息認證碼等技術驗證數據是否遭到破壞；后者采用容錯、容災備份技術、糾刪編碼冗余等技術保護數據在存儲時完整性；數據可用性保護：用戶把數據交由多個云服務提供商來提高數據的可用性，后者采用的方法有數據冗余（或多副本）、備份技術來提高數據的生存能力；訪問控制增強：用戶采用密文訪問控制技術來實現不依賴于云服務提供商的、用戶自主的訪問控制機制，云服務提供商采用用戶認證和訪問控制權限矩陣等方式來實現訪問控制，并可以采用可信技術增強訪問控制的安全性和可靠性[3]。

3.3 數據安全控制

對于許多租戶或多用戶來說，基于安全考慮都不會把大量的私有數據或敏感數據放心的交給云端進行存儲，這主要是對云服務提供商的不可信。此外由于云中的資源主要是通過API進行訪問的，這使得用戶無法完全相信云服務提供商不盜用或是竊取私有數據，云服務商有必要建立一種可信的機制。所以對數據的安全控制是用戶和云服務提供商一直持續關注的問題。對于數據的安全控制來說最重要最基本的方法是加密和訪問控制。

數據的安全控制大致分為3個方面：

第一，對進入云端的數據進行控制；第二，保護和管理云中的數據，關鍵過程如下：訪問控制：訪問控制技術有兩種含義，一是控制非授權或非法用戶訪問數據權限，另外一種是限制合法用戶使用和訪問未授權的資源或者數據。加密：加密系統由數據、加密引擎和密鑰管理三部分構成。常用的加密系統應該是基于威脅模型的。架構：確保元結構安全，建立數據安全架構，盡可能的把威脅或者攻擊局限于應用。監控、審計和警告：它們是與整體云監控密切相關的。第三，附加控制，包括云平臺/提供商以及企業權限管理控制、執行信息生命周期管理安全、管理數據位置/歸屬地、確保合規、備份和業務連續性[2]。

參考文獻

[1]云安全聯盟大中華區.CSA 0001-2016《云計算安全技術要求總則》.

[2]CSA.云計算關鍵領域安全指南V4.0 22-136.

[3]程勇.云存儲中密文訪問控制機制性能優化關鍵技術研究[D].長沙：國防科技大學研究生院，2013：19-24.endprint