多方位保证云数据安全 对威胁不再袖手旁观

ZDNET安全频道 09月09日 综合消息：

云内数据的安全保障可以从如下多个方面全方位地进行：

卷存储加密

卷加密可抵御如下风险：

• 保护卷免除快照克隆或泄漏风险
• 保护卷免除被云供应商（和私有云管理员）而随意查看的风险
• 保护卷免除物理硬盘丢失（这更像是一个实际发生的安全事件，而不是仅仅满足合规性要求那么简单）而导致的信息泄漏风险

基础设施服务的数据卷可通过以下三种方式加密：

• 实例管理加密。这种加密引擎是在实例中运行，密钥被存放在卷中，并采用密码或密钥对进行保护。
• 外部管理加密。这种加密引擎同样在实例中运行，但密钥在外部管理，并响应实例请求而进行分配。
• 代理加密。在这一模型里，先将卷连接到一个特定的实例或设备/软件中，然后将该实例再连接到加密实例上。代理处理所有的加密操作，并将密钥保管在代理内部或外部之中。在线方式或外携方式保管密钥。

对象存储加密

对象存储加密用于抵御很多类似卷存储同样存在的风险。因为对象存储长期被暴露在公共网络上，并允许用户搭建虚拟私有存储（VPS）。就像VPN一样，它在保护好数据的同时，可以使用公共共享的基础设施，即使这些数据被暴露，也只有那些有加密密钥的人才能查看。

• 文件/文件夹加密和企业数字版权管理DRM。在将数据放到对象存储前，先使用标准的文件/文件夹加密工具或者企业数字版权管理工具（EDRM）加密数据。
• 客户端/应用程序加密。在一个应用程序（包括移动应用）里，对象存储通常被当作后端使用时，可以使用嵌入在应用程序内或客户端中的加密引擎加密数据。
• 代理加密。在数据发送到对象存储前，使用加密代理进行数据加密。

平台服务加密

因为平台服务（PaaS）是多样化的，所以可以采用下面列表的保护机制：

• 客户端/应用加密。数据在PaaS应用中加密，或者在访问平台的客户端程序中加密。
• 数据库加密。数据通过数据库内置的加密机制加密并存储于数据库中，这需要数据库平台支持这种加密机制。
• 代理加密。在数据发送到平台前，通过一个加密代理进行加密。
• 还可以在平台中内置加密API，外部加密服务和其它可选形式。

软件服务加密

软件服务（SaaS）供应商可以使用上述提到的任何一种选项，对于多租户式的隔离模型中，建议每个用户使用不同的密钥。以下选项可供软件服务用户使用：

• 服务提供方管理加密。数据在SaaS应用中加密，并通常由服务提供方管理。
• 代理加密。数据通过加密代理后再送到SaaS应用中。

数据防泄漏

云计算环境中的数据防泄漏（DLP）可定义如下： 基于中心策略，通过深度内容分析识别、检测和保护数据的运转和使用及其它过程的产品。 DLP能够发现是否违规操作数据并进行阻断操作（停止其工作流），或采用诸如DRM、ZIP或OpenPGP等加密机制处理后允许其继续运行。

DLP常通过如下机制进行内容发现，监测数据运行：

• 专用设备/服务器。在云环境与其他网络/互联网边界，或云环境的两个子区域的抑制点部署标准的硬件
• 虚拟设备
• 终端代理
• Hypervisor代理。相对于在实例中运行，DLP代理则内置在Hypervisor层，或可在Hypervisor层得以访问到
• DLP SaaS。DLP集成在一个云服务中（如：托管电子邮件），或者以一个独立标准的服务提供（一般是内容发现服务）

隐私保护

几乎所有的云存储系统都需要访问者（云用户或内容供应商）通过某种身份认证方式来建立信任关系，无论是单向通讯还是双向通讯均需如此。尽管加密证书能够为多 数应用场景很多提供足够的安全性保障，但其因为与真人（云用户）而严格绑定而不适用于隐私信息。因为证书的任何一次应用均可能将证书持有者的身份泄漏给发 起认证请求的团体。有很多场景（如：电子病历存储）就是因为采用了证书认证方式而不必要的暴露了证书持有者的身份。

在过去的十到十五年里， 大量技术（如密码证书等）涌现，并且被用于使系统在值得信任的同时还能保护持有者的隐私信息（例如：隐藏真实持有者的身份信息等）。基于属性的证书就像普 通加密证书（如x.509证书）一样都使用数字（或加密的）签名密钥。然而，基于属性的证书（attribute-based credentials, ABCs）允许持有者将其作为一个仅包含源证书内所含属性的子集封装在新的证书里。这些封装后的新证书能够被当作普通加密证书（使用公有密钥）来校验，以 提供同样强度的安全保证。

数字版权管理（DRM）

DRM的核心就是用其加密内容，并应用一系列版权要求。版权要求既可 以简单如防拷贝，也可以复杂如限定某组或基于用户的诸多活动集合，诸如剪切、粘贴、发送邮件、改变内容等。任何使用DRM进行数据保护的应用或系统必须能 够解释和执行权限，这常常意味着系统需整合密钥管理系统。

这里有两种主要的数字版权管理分类：

• 消费者DRM 多用于保护广泛分发的媒体内容，如：提供给广大受众的音频、视频和电子书。这一DRM可使用各种不同的技术与标准，但重点是都基于单向分发方式。
• 企业DRM 是用于保护组织内部的信息和合作伙伴之间的信息。重点在于有很多复杂的权限、策略，以及与业务环境，尤其是企业目录服务DS的整合。

企业DRM能够很好地保护存储在云中的信息，但需要深度的基础架构整合。这对基于内容管理的文件和分发是非常有用的。消费者DRM能够为分发给消费者的内容有较好的保护，但是却因为大多数技术在单点上易被破解而无法保持很好的跟踪记录。