云計算及其安全技術(shù)

1、云計算及其安全技術(shù)東北大學 信息安全研究所徐劍,1,云計算體系結(jié)構(gòu),云計算面臨的安全挑戰(zhàn),云計算的特征與優(yōu)勢,云計算的相關(guān)概念,云安全及其關(guān)鍵技術(shù),提綱,云計算相關(guān)概念,3,計算機的發(fā)展簡史,4,什么是云,Computing and software resources that are delivered on demand, as service. (2013, January) A Walk in the Clouds. Cloud Computing, CDW-G Reference Guide., 3-5,5,內(nèi)存和外存 CPU通過相關(guān)軟件進行數(shù)據(jù)、文件管理,單機時代回顧計算機存儲,

2、Standard Computer Tower or Central Processing Unit (CPU,Inside the Computer,6,數(shù)據(jù)內(nèi)容必須存儲在計算機上 使用這些數(shù)據(jù)必須訪問計算機 無法從其他設備或計算機上直接訪問另一臺計算機上的內(nèi)容,單機時代回顧內(nèi)部存儲,7,單機時代回顧外部存儲,External Hard Drive,CD/DVD,Thumb Drive,SD Card,Micro SD Card,數(shù)據(jù)內(nèi)容的自由移動 可以將數(shù)據(jù)存儲設備應用到任何計算機上 數(shù)據(jù)內(nèi)容的開放,8,購買軟件（程序） 安裝和設置軟件 每一臺計算機都安裝和存儲相關(guān)的軟件,單機時代回顧-計

3、算機程序,9,多個網(wǎng)絡節(jié)點（工作站）連接起來作為整體來存儲數(shù)據(jù) 數(shù)據(jù)存儲在網(wǎng)絡中，而不是本地計算機中 通過聯(lián)網(wǎng)的計算機可以下載存儲在網(wǎng)絡上數(shù)據(jù)（P2P存儲,網(wǎng)絡存儲時代,10,并行計算,云計算時代的到來,集群計算,網(wǎng)格計算,云計算,云計算發(fā)展路線,11,起源 九十年代，Sun即提出“網(wǎng)絡即計算機”，作為云計算概念的前身 提出 云計算概念是由Google提出的，一個美麗的網(wǎng)絡應用模式 名字的含義與來源 可能是借用了量子物理中的“電子云”（Electronic Cloud） 強調(diào)說明計算的彌漫性、無所不在的分布性和社會性特征,云計算的起源,12,云計算就在身邊,13,云計算概述,14,數(shù)據(jù)在云端：

4、不怕丟失,不必備份,可以任意點的恢復 ； 軟件在云端：不必下載自動升級 ； 無所不在的計算：在任何時間，任意地點，任何設備登錄后就可以進行計算服務； 無限強大的計算：具有無限空間的，無限速度,硬件為中心,軟件為中心,服務為中心,一個虛擬化的計算機資源池。托管多種不同的工作負載通過快速提供虛擬機器或物理機器，迅速部署和增加工作負載,以公開的標準和服務為基礎，以互聯(lián)網(wǎng)為中心，提供安全、快速、便捷的數(shù)據(jù)存儲和網(wǎng)絡計算服務,云端計算”即“云”和終端都會具備很強的計算能力；所有應用程序都在本地終端上使用也不一定合理，因此強調(diào)“云”和終端的均衡將是一種合理的方式；云是“軟件+服務”的綜合,權(quán)威機構(gòu)關(guān)于云計

5、算的定義,一種將規(guī)?？蓜討B(tài)擴展的虛擬化資源通過Internet提供對外按需使用服務的計算模式，用戶無需了解提供這種服務的底層基礎設施，也無需去擁有和控制,云計算的定義（HP,云帶來的革新,服務消費者,云，是一種高度可擴展的計算方式，通過互聯(lián)網(wǎng)將資源以“按需服務”的形式提供給用戶，而用戶不需要了解、知曉或者控制支持這些服務的技術(shù)基礎架構(gòu),服務提供者,新的商業(yè)模式: 開放租賃的軟件平臺 一切都是服務,新的應用模式: 新的連接方式， 更好的信息利用方式,新的計算模式: Internet為中心的計算 海量，并行擴展,16,云計算定義,云計算（Cloud Computing）是網(wǎng)格計算（Grid Com

6、puting）、分布式計算（Distributed Computing）、并行計算（Parallel Computing）、網(wǎng)絡存儲（Network Storage Technologies）、虛擬化（Virtualization）、負載均衡（Load Balance）等傳統(tǒng)計算機技術(shù)和網(wǎng)絡技術(shù)發(fā)展融合的產(chǎn)物。它旨在通過網(wǎng)絡把多個成本相對較低的計算實體整合成一個具有強大計算能力的系統(tǒng)，并借助SaaS、PaaS、IaaS等商業(yè)模式把這強大的計算能力分布到終端用戶手中。云計算的一個核心理念就是通過不斷提高“云”的處理能力，進而減少用戶終端的處理負擔，最終使用戶終端簡化成一個單純的輸入輸出設備，并能

7、按需享受“云”的強大計算處理能力,17,40多億的移動電話一 2010年 數(shù)據(jù)來源: Nokia,個人電腦和 筆記本電腦,企業(yè)電腦 和服務器,PDA,云計算的特征與優(yōu)勢,18,超大規(guī)模 Google云計算已經(jīng)擁有100多萬臺服務器 Amazon、IBM、微軟、Yahoo等的“云”均擁有幾十萬臺服務器 企業(yè)私有云一般擁有數(shù)百上千臺服務器。 “云”能賦予用戶前所未有的計算能力,云計算的特點,19,虛擬化 支持用戶在任意位置、使用各種終端獲取應用服務 所請求的資源來自“云”，而不是固定的有形的實體 應用在“云”中某處運行，但實際上用戶無需了解、也不用擔心應用運行的具體位置。只需要一臺筆記本或者一個手

8、機，就可以通過網(wǎng)絡服務來實現(xiàn)用戶需要的一切，甚至包括超級計算這樣的任務,云計算的特點,20,高可靠性 “云”使用了數(shù)據(jù)多副本容錯、計算節(jié)點同構(gòu)可互換等措施來保障服務的高可靠性，使用云計算比使用本地計算機可靠 通用性 云計算不針對特定的應用，在“云”的支撐下可以構(gòu)造出千變?nèi)f化的應用，同一個“云”可以同時支撐不同的應用運行 高可擴展性 “云”的規(guī)?？梢詣討B(tài)伸縮，滿足應用和用戶規(guī)模增長的需要 按需服務 “云”是一個龐大的資源池，你按需購買；云可以像自來水，電，煤氣那樣計費,云計算的特點,21,云計算的優(yōu)勢,云計算與傳統(tǒng)計算（分布式計算、IBM大機計算）的成本分析,采用云平臺技術(shù)的效益,節(jié)省IT成本9

9、0,云計算的發(fā)展趨勢,市場引入階段,技術(shù)發(fā)展、概念推廣階段； 云計算概念不夠明確； 用戶對云計算認知度很低； 云計算的技術(shù)和商務模式尚不成熟； 用戶不知道云計算到底是什么？能做什么？如何去做？能帶來什么好處？有哪些弊端？ 成功案例十分匱乏； 用戶對成功案例比較期待； 重點廠商各自為政；,成熟階段,云計算廠商競爭格局基本形成 云計算廠商解決方案更加成熟 SaaS模式的應用成為主流,成長階段,應用案例逐漸豐富； 用戶對云計算已經(jīng)比較了解和認可； 云計算商業(yè)應用理念開始形成； 越來越多的廠商開始介入； 出現(xiàn)大量的功能豐富的應用解決方案提供給用戶； 用戶會比較主動地考慮云計算與自身IT應用的關(guān)系,20

10、07年-2010年,2011年-2015年,2015年以后,到底什么是云計算？眾說紛紜！ 公有云是云，私有云不是云? 支持虛擬化叫云，不支持虛擬化不叫云，但是Google不支持虛擬化，而通常都認為Google是云 1000臺服務器是云，999臺就不是云? 現(xiàn)在有個別高性能計算中心，什么都沒變，就是名字改成叫云計算中心,判斷云計算的標準,25,用戶所需的資源不在客戶端而來自網(wǎng)絡 這是云計算的根本理念所在，即通過網(wǎng)絡提供用戶所需的計算力、存儲空間、軟件功能和信息服務等 服務能力具有分鐘級或秒級的伸縮能力 如果資源節(jié)點服務能力不夠，但是網(wǎng)絡流量上來，這時候需要平臺在一分鐘幾分鐘之內(nèi)，自動地動態(tài)增加服

11、務節(jié)點的數(shù)量，從100個節(jié)點擴展到150個節(jié)點。能夠稱之為云計算，就需要足夠的資源來應對網(wǎng)絡的尖峰流量。當流量下降時，服務節(jié)點的數(shù)量在隨著流量的減少而減少?，F(xiàn)在有的傳統(tǒng)IDC自稱也能提供伸縮能力，但需要多個小時之后才能提供給用戶。問題是網(wǎng)絡流量是不可預期的，不可能等那么久。 具有較之傳統(tǒng)模式5倍以上的性能價格比優(yōu)勢 云計算之所以是一種劃時代的技術(shù)，就是因為它將數(shù)量龐大的廉價計算機放進資源池中，用軟件容錯來降低硬件成本，通過將云計算設施部署在寒冷和電力資源豐富的地區(qū)來節(jié)省電力成本，通過規(guī)?；墓蚕硎褂脕硖岣哔Y源利用率。 國外代表性云計算平臺提供商達到了驚人的10-40倍的性能價格比提升。 國內(nèi)由

12、于技術(shù)、規(guī)模和統(tǒng)一電價等問題，暫時難以達到同等的性能價格比，因此暫時將這個指標定為5倍。擁有256個節(jié)點的中國移動研究院的云計算平臺已經(jīng)達到了5到7倍的性能價格比提升，其性能價格比隨著規(guī)模和利用率的提升還有提升空間,判斷云計算的標準,26,判斷例子 PC系統(tǒng) iPhone應用軟件 Web網(wǎng)站 上網(wǎng)本 廣告聯(lián)盟 超級計算中心 在線Office 在線CRM IaaS Paas 云安全服務,判斷云計算的標準,27,網(wǎng)格計算與云計算的比較,云計算體系結(jié)構(gòu),29,當前IT架構(gòu),30,云服務提供 面向云服務消費者，提供統(tǒng)一登錄界面和訪問 根據(jù)云服務資源狀況和消費者需求，包裝云服務資源 對云服務的消費設立服

13、務等級，按需計費 管理云消費者狀態(tài)和請求 云服務管理 運行維護云計算架構(gòu)系統(tǒng)，保障云架構(gòu)的穩(wěn)定和可靠 云服務資源 是云計算架構(gòu)向消費者提供服務的根本 根據(jù)平臺的特征，分為 軟件即服務SaaS 平臺即服務PaaS 基礎架構(gòu)即服務IaaS,云計算整體架構(gòu),31,服務目錄與服務門戶 云服務消費者接口 提供服務清單、服務說明等 用戶管理 對云服務消費者的權(quán)限管理、帳務管理、信息管理等 4A管理 對云架構(gòu)內(nèi)的訪問、權(quán)限、審計和XX的安全管理 客戶服務管理 云服務消費者的服務請求、服務受理、投訴建議等的管理 SLA管理 云服務的等級協(xié)定管理，定義和管理云服務的響應時間、響應級別等 計費管理 管理云服務的費

14、率、批價、計費/收費、賬務、優(yōu)惠等 業(yè)務連續(xù)性保障管理 通過建立容災備份系統(tǒng)等保障云服務的持續(xù)運行,云服務提供架構(gòu),32,運維管理 IT運維管理流程 基于ITIL的IT服務管理，保障運維工作的規(guī)范化和標準化 運維自動化管理 通過自動化手段，對大規(guī)模的云架構(gòu)內(nèi)系統(tǒng)進行維護，提高運維管理效率和管理質(zhì)量，提高對服務需求的響應速度 統(tǒng)一監(jiān)控管理 對云架構(gòu)內(nèi)軟硬件及應用系統(tǒng)進行全方位的監(jiān)控管理 安全管理 服務器安全管理 服務器的安全加固 防病毒管理等 數(shù)據(jù)安全管理 數(shù)據(jù)存儲加密 數(shù)據(jù)傳輸加密 數(shù)據(jù)備份 網(wǎng)絡安全管理 防入侵管理 安全域管理,云服務管理架構(gòu),33,云服務資源架構(gòu),34,云資源環(huán)境 (Iaa

15、S)：云計算以服務的方式提供存儲，網(wǎng)絡，服務器等計算資源,基礎設施資源,云平臺環(huán)境 (PaaS)：向下使用云計算資源，向上對云服務的構(gòu)建和部署提供支撐,平臺資源,云服務(SaaS)：被云環(huán)境外部的組織機構(gòu)使用的，具有特定能力的服務,應用資源,IaaS,PaaS,SaaS,云服務資源架構(gòu)（續(xù),35,計算資源池,基礎設施資源,存儲資源池,網(wǎng)絡資源池,平臺資源,應用資源,數(shù)據(jù)庫,中間件,ERP,辦公服務,自動化運維管理,系統(tǒng)監(jiān)控管理,商業(yè)智能,操作系統(tǒng)資源,開發(fā)環(huán)境,測試環(huán)境,IaaS,PaaS,SaaS,并行計算框架,物理資源層 物理資源實體的提供層，包括： 服務器資源 存儲資源 網(wǎng)絡資源 虛擬化

16、平臺層 將物理資源實體進行虛擬化，以實現(xiàn)對物理資源的整合、池化和共享 資源服務提供層 將虛擬化的物理資源進行分割和包裝，形成可對外提供服務的虛擬資源 根據(jù)服務對象需求，靈活、動態(tài)調(diào)配虛擬資源,IaaS資源架構(gòu),36,虛擬機動態(tài)部署 根據(jù)資源和虛擬機負載情況，靈活、動態(tài)的部署虛擬機 實時容量規(guī)劃 基于資源的實時數(shù)據(jù)，進行優(yōu)化評估，實現(xiàn)資源的智能調(diào)整 統(tǒng)一控制 統(tǒng)一管理相關(guān)資源,IaaS資源架構(gòu) -資源動態(tài)分配,37,資源服務提供層,虛擬機動態(tài)部署,資源動態(tài)分配,實時容量規(guī)劃,統(tǒng)一控制,小型機服務器虛擬化 硬分區(qū)/物理分區(qū) HP nPar, Sun Dynamic System Domains 邏

17、輯分區(qū)/虛擬化分區(qū) HP vpar, Sun LDom, IBM LPar 操作系統(tǒng)虛擬化 HP IVM, KVM PC服務器虛擬化 完全虛擬化技術(shù) 半虛擬化技術(shù) 硬件輔助虛擬化技術(shù) Intel VT-x, AMD-V,IaaS資源架構(gòu)-服務器虛擬化平臺,38,虛擬化平臺層,完全虛擬化,半虛擬化,硬件輔助虛擬化,硬分區(qū)/物理分區(qū),PC服務器虛擬化,小型機服務器虛擬化,邏輯分區(qū)/虛擬分區(qū),操作系統(tǒng)虛擬化,服務器層面 通過部署于主機上的邏輯卷管理軟件實現(xiàn) 對多存儲設備進行統(tǒng)一管理和映射 存儲設備層面 利用存儲設備的存儲控制器統(tǒng)一管理多種存儲設備 存儲網(wǎng)絡層面 通過在存儲網(wǎng)絡中添加相應的虛擬化設備而

18、實現(xiàn)的對存儲網(wǎng)絡中存儲設備的虛擬化 池化軟件層面 通過云平臺管理軟件等池化軟件進行集中化管理,IaaS資源架構(gòu)-存儲虛擬化平臺,39,虛擬化平臺層,服務器層面,存儲設備層面,存儲網(wǎng)絡層面,存儲虛擬化,池化軟件,浮動/動態(tài)IP地址 通過浮動的、動態(tài)的IP地址分配，實現(xiàn)對網(wǎng)絡的動態(tài)規(guī)劃 IP地址與MAC地址不綁定 路由虛擬化 單一路由器可以虛擬成多個路由器，用于管理不同的網(wǎng)絡區(qū)域 虛擬連接 虛擬內(nèi)部網(wǎng)絡 VPN/VLAN 通過VPN/VLAN技術(shù)對網(wǎng)絡連接的概念進行了抽象，使用戶訪問限定于特定的區(qū)域內(nèi),IaaS資源架構(gòu)-網(wǎng)絡虛擬化平臺,40,虛擬化平臺層,浮動/動態(tài)IP地址,路由虛擬化,VPN/V

19、LAN,網(wǎng)絡虛擬化,虛擬連接,虛擬內(nèi)部網(wǎng)絡,PaaS和SaaS,平臺資源,數(shù)據(jù)庫,中間件,操作系統(tǒng)資源,開發(fā)環(huán)境,并行計算框架,PaaS 并行計算框架 如Hadoop：在文本搜索、數(shù)據(jù)挖掘等方面得到廣泛的應用 數(shù)據(jù)庫 中間件 開發(fā)測試環(huán)境 操作系統(tǒng) SaaS ERP 辦公服務 測試環(huán)境 自動化運維服務 系統(tǒng)監(jiān)控管理 商業(yè)智能,應用資源,ERP,辦公服務,自動化運維管理,系統(tǒng)監(jiān)控管理,商業(yè)智能,測試環(huán)境,云計算體系邏輯結(jié)構(gòu),42,云計算體系物理結(jié)構(gòu),43,云計算應用的動態(tài)IT架構(gòu),44,集成 基于密文掃描的方法:對密文中每個單詞進行比對,確認關(guān)鍵詞是否存在,以及統(tǒng)計其出現(xiàn)的次數(shù).由于某些場景(如

20、發(fā)送加密郵件)需要支持非屬主用戶的檢索, Boneh 等人提出支持其他用戶公開檢索的方案 密文處理研究主要集中在秘密同態(tài)加密算法設計上. 早在 20 世紀 80 年代,就有人提出多種加法同態(tài)或乘法同態(tài)算法.但是由于被證明安全性存在缺陷,后續(xù)工作基本處于停頓狀態(tài). 而近期,IBM 研究員 Gentry 利用“理想格(ideal lattice)”的數(shù)學對象構(gòu)造隱私同態(tài)(privacy homomorphism)算法,或稱全同態(tài)加密,使人們可以充分地操作加密狀態(tài)的數(shù)據(jù),在理論上取得了一定突破,使相關(guān)研究重新得到研究者的關(guān)注,但目前與實用化仍有很長的距離,云計算安全關(guān)鍵技術(shù)- 數(shù)據(jù)存在與可使用性證明

21、,由于大規(guī)模數(shù)據(jù)所導致的巨大通信代價,用戶不可能將數(shù)據(jù)下載后再驗證其正確性. 因此,云用戶需在取回很少數(shù)據(jù)的情況下,通過某種知識證明協(xié)議或概率分析手段,以高置信概率判斷遠端數(shù)據(jù)是否完整. 典型的工作包括: 面向用戶單獨驗證的數(shù)據(jù)可檢索性證明(POR)方法 公開可驗證的數(shù)據(jù)持有證明(PDP)方法 .NEC實驗室提出的 PDI(provable data integrity)方法改進并提高了 POR 方法的處理速度以及驗證對象規(guī)模,且能夠支持公開驗證. Yun等人提出的基于新的樹形結(jié)構(gòu)MAC Tree的方案; Schwarz等人提出的基于代數(shù)簽名的方法 Wang 等人提出的基于 BLS 同態(tài)簽名和

22、 RS 糾錯碼的方法等,云計算安全關(guān)鍵技術(shù)- 數(shù)據(jù)隱私保護,云中數(shù)據(jù)隱私保護涉及數(shù)據(jù)生命周期的每一個階段. Roy等人將集中信息流控制(DIFC)和差分隱私保護技術(shù)融入云中的數(shù)據(jù)生成與計算階段,提出了一種隱私保護系統(tǒng) airavat,防止 map reduce 計算過程中非授權(quán)的隱私數(shù)據(jù)泄露出去,并支持對計算結(jié)果的自動除密. 在數(shù)據(jù)存儲和使用階段,Mowbray 等人提出了一種基于客戶端的隱私管理工具,提供以用戶為中心的信任模型,幫助用戶控制自己的敏感信息在云端的存儲和使用. Munts-Mulero 等人討論了現(xiàn)有的隱私處理技術(shù),包括 K 匿名、圖匿名以及數(shù)據(jù)預處理等,作用于大規(guī)模待發(fā)布數(shù)據(jù)

23、時所面臨的問題和現(xiàn)有的一些解決方案. Rankova 等人則提出一種匿名數(shù)據(jù)搜索引擎,可以使得交互雙方搜索對方的數(shù)據(jù),獲取自己所需要的部分,同時保證搜索詢問的內(nèi)容不被對方所知,搜索時與請求不相關(guān)的內(nèi)容不會被獲取,云計算安全關(guān)鍵技術(shù)- 虛擬安全技術(shù),虛擬技術(shù)是實現(xiàn)云計算的關(guān)鍵核心技術(shù),使用虛擬技術(shù)的云計算平臺上的云架構(gòu)提供者必須向其客戶提供安全性和隔離保證. Santhanam等人提出了基于虛擬機技術(shù)實現(xiàn)的 grid環(huán)境下的隔離執(zhí)行機. Raj等人提出了通過緩存層次可感知的核心分配,以及給予緩存劃分的頁染色的兩種資源管理方法實現(xiàn)性能與安全隔離.這些方法在隔離影響一個 VM 的緩存接口時是有效的,并整合到一個樣例云架構(gòu)的資源管理(RM)框架中. Wei等人關(guān)注了虛擬機映像文件的安全問題,每一個映像文件對應一個客戶應用,它們必須具有高完整性,且需要可以安全共享的機制.所提出的映像文件管理系統(tǒng)實現(xiàn)了映像文件的訪問控制、來源追蹤、過濾和掃描等