云安全联盟提出超级云安全计划“软件定义边界”

云安全联盟(CSA)近日针对软件定义网络和云环境，提出了一个创新的加密安全架构，该架构的某些灵感来自美国国防部和情报机构所使用的高安全性网络。

CSA提出的这个叫做“软件定义边界”的架构采用了类似VPN的认证和加密方法，利用一个安全流程便可严格地确定云环境中的服务和应用的有效性。在上周召开的CSA大会上，参与该架构制定的一些技术作者称此架构为“软件定义边界”，其使命是为云安全建立最佳实践和相关标准。

我们认为软件定义边界可能会成为规则改变者。需要做的正确事情就是把它交给开源社区，让云计算不再是你必须考虑的一件事情。

——Bob Flores，美国中情局前任CTO

在他们看来，云服务的兴起加速了企业对传统网络边界的不满，因此必须采用新的方法来保护在云数据中心、企业网络和移动设备间共享的数据。

“这个创新架构的一部分是提出了一种易于调整的方式去调整边界，”美国中情局前任CTO Bob Flores说。他也是“软件定义边界”架构文档的编撰者之一。CSA所提出的这个概念有可能改变人、应用和数据流的授权认证方式，会在接入网络之前便要求进行认证。

“软件定义边界”所使用的技术包括基于数字证书交 换的所谓“mutual TLS”以及强认证加密等，Vidder公司的CTO Jamaid Islam解释道。他也是“软件定义边界”架构文档的编撰者之一。该架构文档的其他编撰者还有可口可乐公司企业架构与新兴技术总监Alan Boehme，Verizon首席创新架构师Jeff Schweitzer。

Vidder的Islam称，CSA的这一概念对于实现强大的云安全来说是很理想的。这个直接源自美国国防部高安全性网络的方法能够嵌入目前市面上出现的各种SDN产品中去。CSA这一计划的优势在于，它能够实现一个所谓“黑箱”网络，即在互联网上看不到的网络，因而也更难以对其进行攻击。

“国防部的网络就是个黑箱，”Flores说。“要对其加以攻击非常困难，因为实际上人们根本不知道它的存在，也根本看不到它的界面。”

Vidder的Islam承认，CSA的这一概念能否成功取决于密钥管理结构能否及时到位。他说，这里可能就是云服务提供商可以发挥作用的地方，会有越来越多的云服务商为其客户提供各种硬件安全模块(HSM)。但企业客户还是会在企业内维持他们自己的密钥管理流程。Islam说他的企业就构建了这种高安全网络为私营企业提供服务。

Flores说有家大企业目前正在其生产环境中使用CSA的“软件定义边界”，而明年将举办的RSA大会上也将会看到更多的关于行业支持这一概念的新闻。CSA计划让“软件定义边界”软件作为开源软件供公众采用。

“我们认为软件定义边界可能会成为规则改变者。需要做的正确事情就是把它交给开源社区，让云计算不再是你必须考虑的一件事情。”