云计算安全的体系的研究.docVIP

云计算安全的体系的研究 　　[摘要]云计算是信息技术领域发生的重大变革，这种变革为信息安全领域带来了巨大冲击。本文对云计算的安全需求进行了比较详细的总结和分析，指出云计算不仅在机密性、完整性、服务有效性等传统安全基本需求上赋予了新的内涵，而且增加了可靠性、身份认证、可移植性、合规性、可追责性、虚拟机及终端安全等方面新的安全需求。最后在对安全需求分析的基础上，提出了云计算的安全体系框架，为云计算的安全保障和研究提供了参考依据 　　[关键词]云计算；机密性；数据完整性；身份认证；可靠性；可移植性；合规性；可追责性；体系结构 　　[中图分类号]TP309 [文献标识码]A [文章编号]1672-5158（2013）05-0001-02 　　1 引言 　　云计算具有快速伸缩（Rapid elasticity）、按需自助服务（On-de mand self-service）、无所不在的网络访问（Broad network access）、资源池（Resource pooling）、服务可度量（Measured service）等独特优势，对于企业用户而言可显著降低计算和存储的维护成本；对个人用户而言通过将信息的存储和计算放在云端，降低了自身存储和计算资源有限所带来的很多约束。云计算提供商以自己强大的经济和技术实力，在法律法规的约束下保障云计算的高度可靠性。云计算高速发展，但安全问题却日益突出。据有关调查，70%以上受访企业认为近期不采用云计算的首要原因在于存在数据安全性与隐私n生的忧虑。文章对云计算安全面临的挑战进行研究，对安全需求进行深入探讨，最后提出云计算的安全体系结构。 　　2 挑战与风险 　　云计算是信息技术领域发生的重大变革，这种变革为信息安全领域带来了巨大挑战：（1）在云平台中运行的各类云应用没有固定不变的基础设施，没有固定不变的安全边界，难以实现用户数据安全与隐私保护；（2）云服务所涉及的资源由多个管理者所有，存在利益冲突，无法统一规划部署安全防护措施；（3）云平台中数据与计算高度集中，安全措施必须满足海量信息处理的需求。 　　云安全联盟与惠普公司共同在对29加企业、技术供应商和咨询公司的调查结果进行研究分析后，共同列出了云计算面临的数据丢失/遗漏、共享技术漏洞、供应商可靠n生不易评估、身份认证机制薄弱、不安全的应用程序接口、不正确的使用、对供应商的未知安全的安全七宗罪。国际著名IT咨询研究机构Gartner早在2008年就在文中描述了云计算存在的7大安全风险；ENISA（欧洲网络与信息安全局）在其发布的《云计算安全风险评估》中也提到了云计算安全所面临的7大关键性问题； 　　3 云计算的安全需求 　　3.1可靠性 　　云计算通过整合分散的、甚至是闲置的资源来提供服务，这种分散的、闲置的资源可能不是稳定“在线”的，所以，要求云计算系统要具有较强的数据容错和单个计算节点故障恢复措施来保障服务的高可用可靠性。云计算是以互联网为基础的，而互连网是脆弱和不可靠的。系统的高可靠性是云计算系统设计时的基本要求。Goog～电子邮件服务中断、微软云计算平台window s A zu re运作中断、亚马逊的“简单存储服务”（simpleStorage Service，s3）中断等问题都可归结为是由于云计算系统可靠性设计的不足而发生的。除了对设备、资源云系统可靠性考虑外，对可靠性需求的另外一个方面是提供商在选用员工时对员工背景的调查，选用可靠的员工。 　　3.2保密性 　　用户数据和应用程序都在第三方云提供商提供的基础平台中运行，云服务提供商可能随意处置用户的数据与代码，容易造成用户数据的泄露和丢失；服务提供商还可以通过数据挖掘及推理分析等技术发现用户的使用习惯，用户与其他用户之间存在的交易关系等私密信息，造成用户隐私泄露；在云端，应用程序要对处于加密状态的数据进行处理，应用程序需要首先解密数据，然后再完成运算，但是加密的方式又带来了运算上的开销，提高性能要求需要服务器能够在密文上面直接进行操作。在最理想的情况下，服务器在密文上的任何操作都能够直接对应到明文上的相应操作，这种加密方法称为完全同态加密。在完全同态加密不能高效实现的情况下，利用同态函数的特性保护隐私，研究基于密文的操作是云计算实现保密性的一个很重要的需求。 　　3.3数据完整性 　　完整性指系统内信息在存储或传输过程中不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等以造成破环和丢失的特性。云计算安全完整性需求主要包括云用户存储在云中的静态数据的存储，在存取过程中需要完成的完整性检测要求，以及应用程序在处理数据时，在从存储介质中存取数据，在对数据流中数据包的完整性检测校验。 　　3.4服务有效性 　　在云计算中，可能由于各种原因导致的用户在需要