基于策略提升公共云存储信息安全水平的方案研究.docVIP

基于策略提升公共云存储信息安全水平的方案研究 　　【摘 要】云存储服务是当前典型的云计算成功案例之一，在迅速发展的同时也面临安全方面的挑战。分析了公共云存储在信息安全方面的现状和存在的问题，并站在客户视角，结合对客户信息安全需求的分析，提出了一种基于策略提升公共云存储信息安全水平的方案，从而提升公共云存储客户在安全方面的感知，助力公共云的应用推广。 　　【关键词】云计算 云存储 信息安全 策略 　　中图分类号：TP315 文献标识码：A 文章编号：1006-1010（2013）-21-0053-05 　　1 公共云存储服务发展情况及存在问题 　　1.1 公共云存储背景和发展情况 　　近年来，对云计算的研究和应用在国内已经得到了非常广泛的关注，其范围不再局限于互联网行业，而是所有应用到IT技术的行业和企业；其深度也逐步由研究、探讨进入到试点、实施、应用阶段。面向各类不同客户、不同需求的基于云计算的创新性服务如雨后春笋般涌现，各种可能的商业盈利模式也都在被摸索尝试，部分服务已经在推广应用阶段，进入了Gartner技术曲线的复苏期（Slope of Enlightenment）[1]。其中，云存储服务在国内的个人和中小企业市场得到了广泛的应用，成为典型的云计算成功应用案例之一。 　　云存储服务是云计算应用中的先行者，互联网行业巨头们很早就提供相关服务，如Amazon的弹性块存储（EBS）、Google的在线存储服务Google Drive、苹果公司的iCloud、微软公司的SkyDrive/WindowsAzure、Dropbox公司的Dropbox等。既有面向企业的服务，也有面向个人客户的服务；既有“裸盘”，也有和相关增值业务的捆绑。国内的云存储服务在近几年也得到了快速的发展，根据艾媒咨询的报告[2]，2012年云存储用户达到5亿，并仍将保持两位数的增速到2017年，届时用户数将达到13亿。目前不仅金山（快盘）、腾讯（QQ网盘）、一一五科技（115网盘）等互联网企业积极投入，网易、新浪、搜狐等传统门户和邮件服务提供商也在相关产品中捆绑了类似服务，而且电信、移动、联通三大运营商也提供了类似服务，其火热程度可见一斑。云存储服务作为客户粘性大、资源复用度高、生命周期长的服务，其潜在的商业价值已经得到了广泛的认可。 　　1.2 公共云存储发展面临的安全问题 　　在快速发展的同时，云存储服务发展中面对的一些挑战也日益显性化，这些挑战往往是所有云计算服务都需要面对的，但在云存储服务中特别突出。比如根据云计算安全联盟（CSA）2013年发布的报告[3]，云计算面临的挑战按照严重程度主要有：数据泄露、数据丢失、账号劫持、不安全的API、拒绝服务、恶意内部攻击、滥用云服务、调研不充分误用、数据隔离技术等九方面。这些云计算服务的短板，特别是安全相关问题，已经制约了包括云存储服务在内的各类云计算服务的更快推广，阻碍了服务的商业化进程进一步提速。考虑到公共云存储服务中，企业和个人要将私有数据托管给第三方，其对客户的可控度和透明度都相当低，客户对安全的顾虑也是可以理解的，因此公共云存储的信息安全问题不可回避。 　　为解决公共云存储信息安全问题，相关服务提供商先后采取了一系列技术手段，如：在存储上采用多份备份技术降低数据丢失的风险；在数据传输链路上引入SSH等手段降低账号劫持和传输过程中数据泄露；通过加强安全设施建设防御DDOS攻击和不安全API的发布等。现有的研究一部分主要解决传输和存储层面的安全问题[4]，针对恶意内部攻击一直没有好的技术手段来防范；一部分强调加密技术的应用[5]，方案整体实施难度较大且费用较高，在实际应用中跟客户的需求存在一定程度的脱节。 　　另一方面，相关云存储服务提供商自身也是一个潜在风险点，如Google和微软的云存储服务使用协议中，都明确了服务提供商有“使用、复制、修改、分发、展示发布”客户上传内容的权利，尽管目的是“优化和提升其服务以及开发新的服务”，但客户心中难免有所顾虑。最近曝光的美国政府“棱镜计划”[6]无疑进一步加重了各类客户使用公共云存储服务的疑虑。 　　总体而言，针对公共云存储服务的安全问题，目前主要是服务提供商在提供各种保障方案。但要打消客户在安全方面的顾虑，完全靠服务提供商来提供安全保障远远不够，必须赋予客户能充分控制的安全的手段，客户数据加密就是一个较为通用的方法。本文提出了一种基于策略（使用包括加密在内的各种手段）提升公共云存储信息安全水平的方案。 　　2 现有公共云存储服务技术方案 　　现有的公共云存储服务普遍采用客户端-服务器方案，客户可以从客户端登录，而后进行数据同步和其他操作。典型的客户端可以分为三类：基于Web浏览器的Web页面客户端、基于各类物理终端（如PC、