云計算作為一個新名詞，人們甚至還沒有弄清楚它的確切定義，云計算安全問題就隨之而來，關于云計算安全的討論也屢見媒體和學術報章。但是，根據筆者的觀察，很多人對云計算安全問題的理解多有模糊之處，對云計算安全問題的本質缺乏足夠的理解。本文就云計算安全問題發表一下自己的看法。文章分為五個部分，第一部分是關于云計算安全問題的范圍;第二部分涉及廣義的云計算安全問題，即可靠性和可用性;第三部分介紹云計算對傳統信息安全領域的影響;第四部分討論解決云計算安全問題的措施;第五部分是結語。

一、云計算安全問題究竟是什么問題

人們常把云計算服務比喻成電網的供電服務。《哈佛商業評論》前執行主編Nick Carr在新書“The Big Switch”中比較了云計算和電力網絡的發展，他認為“云計算對技術產生的作用就像電力網絡對電力應用產生的作用”一樣，電力網絡改進了公司的運行，每個家庭從此可以享受便宜的能源，而不必自己家里發電。他認為云計算也會在下一個十年促成和電力網絡發展類似的循環。也有人把云計算服務比喻成自來水公司的供水服務。原來每個家庭和單位自己挖水井、修水塔，自己負責水的安全問題，例如避免受到污染，防止別人偷水等等。

從這些比喻當中，我們窺見了云計算的本質：云計算只不過是服務方式的改變!自己開發程序服務于本單位和個人，是一種服務方式 ;委托專業的軟件公司開發軟件滿足其自身的需求也是一種方式;隨時隨地享受云中提供的服務，而不關心云的位置和實現途徑，是一種到目前為止最高級的服務方式。

從這些比喻當中，我們還看出云計算的安全問題：

就像我們天天使用的自來水一樣，我們究竟要關心什么安全問題呢?第一，我們關心自來水公司提供的水是否安全，自來水公司必然會承諾水的質量，并采取相應的措施來保證水的安全。第二，用戶本身也要提高水的使用安全，自來水有多種，有僅供洗浴的熱水，有供打掃衛生的中水，有供飲用的水等等，例如，不能飲用中水，要將水燒開再用，不能直接飲用，這些安全問題都是靠用戶自己來解決。還有嗎?如果要算的話，還有第三個安全問題，那就是用戶擔心別人會把水費記到自己的賬單上來，擔心自來水公司多收錢。

和自來水供應一樣，云計算的安全問題也大致分為三個方面。第一方面，云計算的服務提供商他們的網絡是安全的嗎，有沒有別人闖進去盜用我們的賬號?他們提供的存儲是安全的嗎?會不會造成數據泄密?這些都需要云計算服務提供商們要解決、要向客戶承諾的問題。就像自來水公司要按照國家有關部門法規生產水一樣，約束云計算的服務提供商的行為和技術，也一定需要國家出臺相應的法規。第二方面，客戶在使用云計算提供的服務時也要注意：在云計算服務提供商的安全性和自己數據的安全性上做個平衡，太重要的數據不要放到云里，而是藏在自己的保險柜中;或將其加密后再放到云中，只有自己才能解密數據，將安全性的主動權牢牢掌握在自己手中，而不依賴于服務提供商的承諾和他們的措施。第三方面，客戶要保管好自己的賬戶，防止他人盜取你的賬號使用云中的服務，而讓你埋單。

不難看出，云計算所采用的技術和服務同樣可以被黑客利用來發送垃圾郵件，或者發起針對下載、數據上傳統計、惡意代碼監測等更為高級的惡意程序攻擊。所以，云計算的安全技術和傳統的安全技術一樣：云計算服務提供商需要采用防火墻保證不被非法訪問;使用殺病毒軟件保證其內部的機器不被感染;用入侵檢測和防御設備防止黑客的入侵;用戶采用數據加密、文件內容過濾等防止敏感數據存放在相對不安全的云里。

不一樣的地方是隨著服務方式的改變，在云計算時代，安全設備和安全措施的部署位置有所不同;安全責任的主體發生了變化。在自家掘井自己飲用的年代，水的安全性由自己負責，在自來水時代，水的安全性由自來水公司作出承諾，客戶只須在使用水的過程中注意安全問題即可。原來，用戶自己要保證服務的安全性，現在由云計算服務提供商來保證服務提供的安全性。

二、廣義的云計算安全問題

關于云計算的安全性的討論，見諸于很多場合。人們往往將服務的可靠性(Reliability)、可用性(Availability)和安全性(Security)一起談論。但嚴格講來，可用性和可靠消息是有很多差別的。

可靠性指的是，對于一個產品或一個過程，如果它像您期望的那樣正確工作，你就可以說它是可靠的。更具體地，在工程領域，可靠性是系統在規定時間內、在規定的環境里，按照預定的目的和方式正確運行的可能性大小(概率)。

可用性指的是，在遇到問題(例如一個零件失效)的時候，系統保持提供服務的能力。如，一個磁盤驅動器失效之后，系統在不中斷任何應用的前提下，仍能提供數據訪問能力。對互聯網環境，可用性至關重要，例如當用戶訪問一個網站的時候，即使服務器繁忙，也要給用戶一個合理的反饋，如“系統繁忙，請稍等”，不能沒有任何反應。

安全指的是沒有危險和風險，免受打探和攻擊;安全性也是一種信心的體現，沒有懷疑和擔心。在計算機領域，安全性是保證存儲在計算機上的數據不被沒有權限的人盜取和訪問，絕大多數安全措施涉及到數據加密和口令。

不難看出，用戶在關鍵時刻無法訪問云計算服務器的問題屬于可用性或可靠性問題。例如，微軟云計算平臺WindowsAzure運作的中斷，亞馬遜的“簡單存儲服務”(Simple StorageService，S3)兩次中斷，導致依賴于網絡單一存儲服務的網站被迫癱瘓，S3問題阻止了新虛擬機在計算云上的注冊，以至于有些虛擬機無法啟動，凡此種種，都屬于可用性和可靠性問題。當然這類問題的背后，有可能是微軟、亞馬遜的安全措施沒有到位，遭受了黑客的攻擊所致;也可能是系統自身的可靠性沒有得到充分保證所致。但其表現出來的問題不是我們傳統意義上的安全問題，而是可靠性和可用性問題。這里我們姑且將之納入到廣義的云安全里。

Linkup與博客平臺JournalSpace發生的云端失聯或云端消失的事故，還可能為你保管資料的公司突然關門大吉，導致你不能繼續使用云端服務，都屬于廣義的云計算安全問題。

可靠性、可用性和安全性一樣重要，可靠性、可用性和安全性成為當前云計算的主要威脅，其重要性足以引起我們的高度關注。