云计算引发第三场IT浪潮：安全成规模化发展最大瓶颈

云计算是继1980年代大型计算机到客户端-服务器的大转变之后的又一种巨变。云计算的出现并非偶然，早在上世纪60年代，麦卡锡就提出了把计算能力作为一种像水和电一样的公用事业提供给用户的理念，这成为云计算思想的起源。在20世纪80年代网格计算、90年代公用计算，21世纪初虚拟化技术、SOA、SaaS应用的支撑下，云计算作为一种新兴的资源使用和交付模式逐渐为学界和产业界所认知。继个人计算机变革、互联网变革之后，云计算被看作第三次IT浪潮，是中国战略性新兴产业的重要组成部分。它将带来生活、生产方式和商业模式的根本性改变，成为当前全社会关注的热点。

由于云计算涉及个人和企业运算模式的改变，涉及个人和企业的敏感信息，因此云计算面临的第一个重要问题就是云计算的安全。对云计算的安全的关注程度，就像关注网上银行安全一样。在云计算安全方面市场主要在：在特定的服务中，不同客户之间的数据溢出;供应商系统遭到大量恶意软件攻击;“恶意人群操作”导致的资料外泄;共享信息的不安全性;以及黑客盗取供应商系统的数据。这几个方面比较担心。

虽然云计算已经开始被运用到网络安全领域，但云计算环境是否是一个陷阱？是否会给用户带来伤害？云计算要解决安全性问题，很好地为公众提供服务，就必须解决以下三个层次的安全性问题：

云安全如何服务？

在当前的网络环境下，单独依靠一个终端去检查木马病毒，被认为越来越不可行，因此需要安全厂商通过建立云计算平台，承担恶意代码的检测工作，云安全系统可以预先扫描各个网页，以鉴别网页上是否挂有木马，是否含有恶意代码。因此，用户在访问一个网页时，如果通过云安全系统来访问，就立即知道所要访问的网站是否安全，所要访问的网页是否可以下载。

由此可见，云安全的优势是利用大计算能力将所有网页进行扫描，保护用户上网时不受恶意代码的侵害。但对终端用户而言，上网只是威胁来源之一，还有些威胁是来自邮件、U盘等，而用户不愿意把自己的所有隐私公开，因此基于这种模式的云安全系统并不能够包打天下。

此外，以云为核心的云安全体系也存在一些致命问题，这就是过分地依赖于传输信道。由于用户的资源和信息均交给云来处理，所以云就变成了集中安全站，所有资源和信息都要在云中转一圈，从而引发了传输通道的受限问题。因此，云服务提供商需要和宽带服务提供商密切配合，架构出适合云服务的宽带传输体系，这样云才能发挥出强大的后端力量。当然，值得推崇的做法是云安全体系与电信运营商相结合，由云安全体系来鉴别信息的有害与否，由电信运营商来通知用户访问相应的网站是否存在风险。

云自身的安全会不会受到危害？

在云中提供服务，就意味着开放，而开放往往就等于不安全。这就好比开放的公共场所不可能安全一样。所以，未来的研究课题是如何保证云不被攻击，而且保证它能够始终提供服务。曾经由于提供云服务的亚马逊宕机，导致了Twitter等网站服务都中断了。值得思考的是，这种中断会不会造成历史数据都被毁灭，这涉及到用户对云安全的容忍程度。如何解决云自身的安全问题？解决方案可能有容灾备份、为云设置监控系统等，这都是未来需要研究的问题。

云如何保证用户安全？

云中的用户程序的安全标准是不被分析，数据不被复制，从而保证商业秘密不被侵害，用户的数据不会被盗窃。用户需要的是一个可信的云，就是说保证云的可信是云得到广泛应用的重要前提。正如用户在买设备时，可以先去考察厂商实力后，才决定是否购买。而在云模式下，用户可能并不知道如何考察云的可信性，因为人们不知道服务于具体用户的那部分云的物理位置，存在不确定性。而如果采用加密的方式，又会导致用户程序的运行效率很低。

云的开放性也可能让云变成作恶工具。目前，在网上作恶必须要控制终端，钓鱼网站也需要有假网站，木马也得有网络控制端。云的出现使得网络侵害主体都跑到云上，从而导致云成了作恶的源泉。

云的经济模型理念是弹性理论，即云提供给用户的资源是弹性资源，例如某用户在一年中某个时间段需要满负荷运转，需要10000台计算节点，而平时顶多用到10000个节点的5%到20%，如果在云里申请，平时申请可能是200个节点，或者是1000个节点，关键时候则需要申请到10000个节点。

当前，出于保证用户的安全考虑，一些云系统会给用户提供独占的私有资源，这就容易导致用户的独有资产和在云上的独有资产的成本没有差别。这种解决方案显然违反了云自身的经济规律，使用户不值得到云上寻求资源，这种模式是否属于云模式还有待探讨。