云計(jì)算環(huán)境下漏洞的研究

摘 要：在計(jì)算機(jī)安全領(lǐng)域，漏洞即是系統(tǒng)的一些弱點(diǎn)，攻擊者可以通過這些弱點(diǎn)來降低系統(tǒng)信息的安全性。云計(jì)算則是要使用互聯(lián)網(wǎng)所提供的計(jì)算資源（包括硬件和軟件資源），而這些資源是被服務(wù)提供商作為一種服務(wù)提供到互聯(lián)網(wǎng)上的（通常是指internet）。綜上所述，云計(jì)算由于其的虛擬化技術(shù)和海量數(shù)據(jù)分布存儲(chǔ)技術(shù)和編程模式以及集中化管理從而節(jié)省很多資源的特點(diǎn)而正在被廣泛地應(yīng)用，但是它的安全性能將會(huì)被各方面所重視。這是因?yàn)橛捎谠谠朴?jì)算環(huán)境中，用戶的硬件和軟件以及整體的架構(gòu)將不再被用戶所看見和所熟知，所以需要很安全的保護(hù)機(jī)制來使用戶所信服；而且云計(jì)算和傳統(tǒng)系統(tǒng)結(jié)構(gòu)不同的特點(diǎn)也將是云計(jì)算安全所要考慮的。

關(guān)鍵詞：云計(jì)算；漏洞

中圖分類號(hào)：TP393.07

云計(jì)算如今被用到各行各業(yè)，主要是由于云計(jì)算的以下的幾個(gè)特點(diǎn)：靈活性、很好的應(yīng)用界面、節(jié)省資源、設(shè)備和位置的獨(dú)立性、虛擬化、多租戶、可靠性。以上這些特性使得云計(jì)算的發(fā)展的提供了很好的理論依據(jù)，然而與之共同存在的是云計(jì)算的安全的問題。

在信息化的時(shí)代，一些新聞和科技出版物里都在提醒著我們關(guān)于在云計(jì)算環(huán)境里存在著安全的風(fēng)險(xiǎn)和威脅，如：通過網(wǎng)絡(luò)以交互模式和按需而獲得的云服務(wù)，云計(jì)算安全被認(rèn)為是云計(jì)算發(fā)展過程中的最重大的障礙。然而，與計(jì)算機(jī)安全相比，云計(jì)算環(huán)境下的安全很難形成實(shí)際上的安全評(píng)估，因?yàn)槊恳粋€(gè)所提出來的安全的問題并不是特別針對(duì)于云計(jì)算安全的。所以為了更好地理解云計(jì)算安全，必須分析如今的云計(jì)算是如何影響已經(jīng)建立好的計(jì)算機(jī)安全問題。

1 計(jì)算機(jī)漏洞的定義和特征

計(jì)算機(jī)漏洞其實(shí)就是系統(tǒng)的一些脆弱點(diǎn)，計(jì)算機(jī)的漏洞的種類可以根據(jù)相對(duì)應(yīng)的資產(chǎn)的級(jí)別來分。在硬件方面主要是一些物理上的擾亂而產(chǎn)生的漏洞，如：由于對(duì)濕度的敏感度而造成的漏洞，由于對(duì)灰塵的銘感度而造成的漏洞，由于存儲(chǔ)器沒有收到保護(hù)而造成的漏洞。在軟件方面主要是由于不充分的測(cè)試而造成的漏洞和由于缺少審計(jì)工作而造成的漏洞。在網(wǎng)絡(luò)方面主要是：由于未受保護(hù)的通信線路而造成的漏洞，由于不安全的網(wǎng)絡(luò)架構(gòu)而造成的漏洞。在人員方面主要是：由于人員的安全意識(shí)不足而造成的漏洞。在地點(diǎn)方主要是：由于自然災(zāi)害而造成的漏洞，由于不穩(wěn)定的電源而造成的漏洞。在組織方面主要是：由于缺乏定期的審計(jì)而造成的漏洞，由于在制定計(jì)劃的時(shí)候缺乏連貫性和長(zhǎng)遠(yuǎn)性而造成的漏洞，由于人員缺乏安全意識(shí)而造成的漏洞。

2 云計(jì)算的基本特征

云計(jì)算的基本特征。（1）按需自助服務(wù)。用戶可以在沒有人工干預(yù)下向服務(wù)提供者定制和管理服務(wù)（例如：可以把WEB門戶管理界面來作為接口），同時(shí)，服務(wù)以及相關(guān)資源均可以在提供商那一段自動(dòng)地配置和解除配置；（2）無處不在的網(wǎng)絡(luò)接入。云服務(wù)器可以通過標(biāo)準(zhǔn)的機(jī)制和協(xié)議來接入互聯(lián)網(wǎng)；（3）資源池。被用來提供云服務(wù)的計(jì)算資源可以通過一個(gè)同態(tài)化的基礎(chǔ)設(shè)施來實(shí)現(xiàn)，其中這個(gè)同臺(tái)化的基礎(chǔ)設(shè)施是可以服務(wù)用戶之間共享的；（4）快速的彈性。資源可以彈性地快速地被放大和縮??；（5）測(cè)量服務(wù)。資源和服務(wù)的使用情況正在不斷被測(cè)量，同時(shí)這個(gè)系統(tǒng)將會(huì)支持資源的優(yōu)化使用和使用情況的上報(bào)以及支付的商業(yè)模式。

除此之外，云計(jì)算還可以應(yīng)用云計(jì)算的云托管平臺(tái)，這樣用戶不再擁有各自的基礎(chǔ)資源，開發(fā)者可以在此托管平臺(tái)上的展示應(yīng)用和一些資源信息，從整體來講，云計(jì)算的云端就像是電網(wǎng)一樣，客戶端可以源源不斷的從這個(gè)“電網(wǎng)”中來獲取資源。

3 云計(jì)算環(huán)境下的漏洞

3.1 重要的云計(jì)算特征的漏洞。正如上文所述，NIST提出了五種云計(jì)算的基本特征：按需自助服務(wù)，無處不在的網(wǎng)絡(luò)接入，資源池，快速彈性，和測(cè)量服務(wù)。以下例子將會(huì)在以上五種例子中存在：（1）未授權(quán)的訪問界面管理。在按需自助服務(wù)當(dāng)中，系統(tǒng)需要一個(gè)可以讓用戶自主接入的管理接口，所以未授權(quán)而進(jìn)入管理接口的漏洞即是云計(jì)算的漏洞；（2）互聯(lián)網(wǎng)協(xié)議的漏洞。無處不在的網(wǎng)絡(luò)接入一定會(huì)用到互聯(lián)網(wǎng)協(xié)議的，因?yàn)榇蠖鄶?shù)的用戶都是通過互聯(lián)網(wǎng)接入的，而通常情況下，互聯(lián)網(wǎng)是不可以信任的；（3）數(shù)據(jù)恢復(fù)的漏洞。云計(jì)算里的資源池和快速彈性意味著分配給一個(gè)用戶的資源將會(huì)在隨后的時(shí)間里重新分配給其他不同的用戶，而這意味著，對(duì)于上個(gè)用戶的內(nèi)存或者是存儲(chǔ)器將有可能被下一個(gè)云所要給的用戶給恢復(fù)了，從而造成用戶的信息的不安全性；（4）計(jì)量和計(jì)費(fèi)的逃脫。云計(jì)算里的計(jì)量服務(wù)指的是：在云計(jì)算中，一些抽象的服務(wù)（如存儲(chǔ)，計(jì)算處理，用戶賬戶的激活）將會(huì)用在一定范圍內(nèi)的測(cè)量能力上。而計(jì)量數(shù)據(jù)是用來更好地優(yōu)化服務(wù)的傳遞和計(jì)費(fèi)，而這方面的漏洞就是針對(duì)于計(jì)費(fèi)數(shù)據(jù)的逃脫。在以上NIST的定義中，可以更好的理解云計(jì)算環(huán)境中所存在的漏洞。

3.2 云計(jì)算環(huán)境下漏洞的特征。云計(jì)算環(huán)境下的漏洞主要是關(guān)于集中管理方面的，而這些漏洞的產(chǎn)生主要是云計(jì)算中特定的背景和特定的架構(gòu)，下面介紹幾個(gè)關(guān)機(jī)云計(jì)算環(huán)境下的漏洞的例子。

3.2.1 會(huì)話劫持漏洞。會(huì)話劫持就是利用現(xiàn)有用戶的一些權(quán)限來訪問不是自己權(quán)限能夠訪問的資源，這個(gè)原理是由于系統(tǒng)為了用戶的訪問的方便，會(huì)在cookie里保存一定量的用戶信息以供用戶下次或者下一個(gè)連接能夠和很方便地訪問，然后當(dāng)用戶下線之后，系統(tǒng)沒有來得及刪除cookie里的信息或者沒有機(jī)制來刪除這些信息，從而給下一個(gè)登錄系統(tǒng)的用戶使用了這些“便利”。不光如此，有些攻擊者也會(huì)偶然的發(fā)現(xiàn)被攻擊者，他會(huì)通過一些釣魚網(wǎng)站來騙取用戶的重要信息從而來達(dá)到攻擊的目的。

3.2.2 虛擬機(jī)的逃逸。虛擬機(jī)的逃逸其實(shí)就是云環(huán)境內(nèi)部的漏洞，它的存在是由于主機(jī)（也就是云的控制系統(tǒng)）沒有控制好被控制機(jī)器（也就是主機(jī)所產(chǎn)生的虛擬機(jī)）的一些權(quán)限，從而使得在被控虛擬機(jī)中也可以執(zhí)行一些操作或者是代碼來讓主機(jī)運(yùn)行，這些代碼或者是操作都是通過接口來實(shí)現(xiàn)（這些接口主要是WEB應(yīng)用接口等），從此可以看出主機(jī)的在權(quán)限管理方面沒有徹底的測(cè)試和使用排除法來看看程序運(yùn)行的情況來很好地限制權(quán)限，攻擊者可以利用這個(gè)漏洞來對(duì)同一個(gè)服務(wù)器內(nèi)的用戶進(jìn)行攻擊。

3.2.3 不安全的加密系統(tǒng)。攻擊者通過把原始的加密算法扭曲，在普通物理機(jī)器上，用戶在操作系統(tǒng)中執(zhí)行一系列的加密操作時(shí)，都需要一串隨機(jī)數(shù)，而這串隨機(jī)數(shù)的產(chǎn)生一般都是由某個(gè)物理機(jī)上特定的鼠標(biāo)及鍵盤和其他硬件的操作來得到的，但是在云計(jì)算的虛擬環(huán)境中則沒有這樣的條件，所以這些虛擬機(jī)所產(chǎn)生的隨機(jī)數(shù)將會(huì)依據(jù)實(shí)體的主機(jī)，從而給虛擬機(jī)上的操作系統(tǒng)帶來不安全性。

3.2.4 數(shù)據(jù)的保護(hù)性和可攜帶性。在云計(jì)算中數(shù)據(jù)保護(hù)是相當(dāng)重要的，這個(gè)漏洞主要是云計(jì)算用戶在和云計(jì)算提供商解約時(shí)而發(fā)生的用戶信息泄露，由于在云計(jì)算環(huán)境中，云計(jì)算用戶既然有和云計(jì)算提供商發(fā)生簽約的情況，則就會(huì)存在著云計(jì)算用戶和云計(jì)算提供商的解約的情況，當(dāng)云計(jì)算提供商解約后，不會(huì)太關(guān)心用戶的信息，或許會(huì)把這些信息轉(zhuǎn)讓給其他的商業(yè)機(jī)構(gòu)，這樣就在無形中給用戶帶來安全的危險(xiǎn)。而解決這些漏洞主要還要建設(shè)適當(dāng)?shù)幕ヂ?lián)網(wǎng)的法律來限制運(yùn)營(yíng)商的行為和用戶的知情權(quán)。本課題是以武威市政務(wù)云平臺(tái)安全關(guān)鍵技術(shù)驗(yàn)證與攻防平臺(tái)項(xiàng)目為背景，主要研究云計(jì)算環(huán)境下的漏洞。由于云計(jì)算環(huán)境中存在很多的安全的問題，需要一個(gè)長(zhǎng)期的積累的過程，這是因?yàn)樵朴?jì)算系統(tǒng)根據(jù)互聯(lián)網(wǎng)上所提的建議而給自己的系統(tǒng)打了補(bǔ)丁或者是做了安全的設(shè)置，然而不能很好的使得系統(tǒng)絕對(duì)安全。

參考文獻(xiàn)：

[1]薄明霞.云計(jì)算安全體系架構(gòu)研究.信息網(wǎng)絡(luò)安全[J]，2011（08）：79-81.

[2]陳尚義.淺談云計(jì)算安全問題.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用[J]，2009（10）：20-22.

作者簡(jiǎn)介：鄒萬芳（1983.12-），女，講師，本科，研究方向：計(jì)算機(jī)系統(tǒng)結(jié)構(gòu)。

作者單位：甘肅武威職業(yè)學(xué)院，甘肅武威 733000