云计算环境的安全性问题探讨

在云计算环境中，用户不再拥有基础设施的硬件资源，软件都运行在云中，业务数据也存储在云中，因此云计算安全关系到云计算这种革命性的计算模式是否能够被业界接受。云计算的安全问题主要有两方面:一是云计算自身环境特有的安全问题，二是云计算会怎样改变现有的软件系统安全防护模式。

从云计算自身环境特有的安全问题来说，传统的观念认为将信息保存在自己可控制的环境内，比存放在不了解、不熟悉的地点更安全。因此，云计算在安全领域遇到的第一个问题，就是传统用户无法认可自己不可控的环境能提供更好的安全性。其实，用户的个人电脑或者中小型服务器、数据中心，远没有云计算环境安全。因为在云计算环境中，数据中心和它运行的基础服务都有专业的机构和人员进行运营和管理，他们比个人用户及中小企业的IT管理员更有安全管理的经验。同时，云计算提供的资源抽象、隔离、用户管理等技术，也能更好地提高安全性。另外，由于云计算提供的规模效应，用户可以在付出更小成本的情况下享受更高级别的安全服务。

不过，云计算还有一些安全问题有待解决。由于云计算最开始是在企业内部网络运行，并不对外开放，因此云计算在设计之初没有太多考虑安全性问题，从而导致云计算安全的一系列问题。首先，传统的IT系统是封闭的，存在于企业内部，对外暴露的只有网页服务器、邮件服务器等少数接口，因此只需要在出口设置访问控制、防火墙等安全措施，就可以解决大部分安全问题。但在吞环境下，云暴露在公开的网络中，任何一个节点及它们的网络都可能受到攻击，因此安全模式需要从 "拒敌于国门之外"改变为"全民皆兵，处处作战"，而大多数安全厂商还没有准备好迎接这样的场景。其次，在云环境中，用户的服务系统更新和升级大多数是由用户在远程执行的，而不是采用传统的在本地按版本更新的方式，每一次升级都可能带来潜在的安全问题和对原有安全策略的挑战。另外一个严重的问题不是技术层面的，而是政策法规层面的。虽然人们经常把将数据存在云环境中与把钱存在银行申做类比，但是云环境与银行最大的区别就在于，银行业是一个传统的行业，有相应的法规来规范银行的流程和制度;国家或者相关机构对银行的信誉进行了担保，而对于云环境来说，目前缺乏有效的规范和立法，云环境提供商的信誉完全依靠于用户的认同感。对云计算环境的规范和立法，也是一个需要关注的问题。

目前应对云的安全问题，有一个传统的技术可以派上用场，就是虚拟专用网lV研ualPhvateN讨work，简称VPN)。VPN在云计算出现之前已经普遍地应用于企业网络应用中，一个典型的场景是，企业对自己的网络设置了防火墙和安全策略，在默认的情况下，如果用户处于企业外部的网络，由于他不在企业内部的网段之内，他就无法访问很多企业内部受保护的服务。但在很多情况下，用户需要在家庭、宾馆、户外等场所接人企业网络以实现移动办公，这时就可以使用VPN。VPN会给这种移动用户提供一个虚拟的企业内部的网络地址，用户通过身份认证、授权等方式，利用这个虚拟地址接人企业内部网络，进行办公。VPN的这种使用场景存云计算的环境内可以得到很好的应用，云服务提供商以及云用户可以设置灵活的访问控制策略，使得用户还是像在传统的局域网内一样地使用云，由此一定程度上克服云计算的安全问题。