云計算三大亟解難題
在走向市場(chǎng)化的過(guò)程中，云計算在安全性、性能和可用性方面呈現出了一些問(wèn)題。這些問(wèn)題的解決，要依靠更加先進(jìn)的技術(shù)手段和對云計算的更深層次研究來(lái)解決。這些問(wèn)題的解決過(guò)程中，云計算的市場(chǎng)地位將逐步得到確定。
云計算的安全問(wèn)題
《適合于新時(shí)代的新安全模式》認為云計算安全改變了一切。云計算的可擴展性依賴(lài)于共享以前從來(lái)沒(méi)有共享過(guò)資源，迫切要求一套新的最優(yōu)安全方法。
云安全聯(lián)盟(CSA)對于組織部署云計算資源提出了一些需要關(guān)注的關(guān)鍵IT操作領(lǐng)域：治理和企業(yè)風(fēng)險評估，法律和合同問(wèn)題，電子發(fā)現的程序，合規性和審計，信息生命周期管理，可攜帶和互操作性，業(yè)務(wù)連續性和災難恢復，數據中心運營(yíng)，事件響應、通知和補救，應用安全，加密和密鑰管理，身份和訪(fǎng)問(wèn)管理，存儲器操作，虛擬操作。
在傳統的數據中心內，圍繞需要保護的基礎設施和數據構建穩定的邊界，在適當的位置可以安置管理程序和控制。由于組織能夠控制其服務(wù)器的位置并且利用全部物理硬件，這種部署比較容易管理。然而，在云中，由于應用動(dòng)態(tài)地遷移并且組織與第三者共享同一個(gè)遠程安置的物理硬件，邊界變得模糊并且減弱了對安全的控制。
云不使用專(zhuān)用虛擬網(wǎng)(VPN)技術(shù)。這意味著(zhù)匿名攻擊可以像任何系統的合法用戶(hù)或管理人員那樣訪(fǎng)問(wèn)連接點(diǎn)。在傳統的計算環(huán)境中，只有少數服務(wù)器可接入互聯(lián)網(wǎng)。在云計算環(huán)境中，大多數服務(wù)器可接入互聯(lián)網(wǎng)，這顯然擴大了攻擊面。在云中，多租賃意味著(zhù)多個(gè)不同的個(gè)別終端用戶(hù)群體共享相同的服務(wù)和/或資源。這些共享的環(huán)境在一個(gè)用戶(hù)的資源堆內具有特殊的風(fēng)險。風(fēng)險隱現于共享該云的群體將會(huì )有意或無(wú)意地訪(fǎng)問(wèn)彼此的私有數據。特別是在基于IaaS的云中，安全研究者發(fā)現了在舊系統中不存在的全新漏洞。由于云消費者的數據存放在公共的存儲器硬件中，松懈的管理或惡意攻擊可能危及其安全。在云中，由于應用的邊界是動(dòng)態(tài)變化的，隨著(zhù)應用在云中的隨機遷移，安全方案也必須是動(dòng)態(tài)和虛擬的，即實(shí)現按需安全。
沒(méi)有位置特異性有利于云服務(wù)的廣泛可用性。然而無(wú)論用戶(hù)或云供應商或者兩者都不可能直接確認在特定云中計算資源的詳細位置。在安全防衛者甚至不知道數據在什么地方的時(shí)候，設想他們如何保護數據?云供應商能夠如何識別用戶(hù)的數據(為了法律和其它目的)?如果用戶(hù)退出云方案，云供應商如何安全地抹去用戶(hù)的數據?云計算的公營(yíng)性質(zhì)嚴重地影響到數據的隱私和機密性。云數據通常存儲于純文本中，并且幾乎沒(méi)有公司完全了解其數據存儲所擁有的敏感級別。數據損失和泄漏是云中最嚴重的安全問(wèn)題之一。
在存儲和傳送數據的時(shí)候，應當始終加密數據，在存儲的時(shí)候使用單獨的對稱(chēng)密鑰。對用戶(hù)密鑰特有的保護將需要云供應商的一些合作。與專(zhuān)用硬件不同，在下列情況下將內存緩沖區清零不可能刪除密鑰：①內存被一個(gè)系統管理程序加固而使其持久地保存。②為了恢復的需要，虛擬機已經(jīng)被快照獲取。③虛擬機在連續地遷移到不同的硬件上。如何在云內安全地使用密鑰是一個(gè)尚未解決的問(wèn)題。
在決定如何鑒定大量的不同用戶(hù)的時(shí)候，互聯(lián)網(wǎng)的可接入性和多租賃形成挑戰。因為常規的鑒定服務(wù)趨向使用共享的公共資源，資源縮放和多租賃使鑒定過(guò)程變得復雜。例如，在A(yíng)ctive Directory中，Everyone團體的成員能夠看見(jiàn)和列出所有種類(lèi)資源的清單。
第一代云要求所有終端用戶(hù)在其數據庫中具有單獨的賬號，必須分別登錄到每個(gè)他們所具有賬號的網(wǎng)站上。很明顯，要求終端用戶(hù)為他們將來(lái)要使用的每個(gè)Web服務(wù)注冊和管理個(gè)別的登錄賬號是不切實(shí)際的。任何優(yōu)良身份元系統的主要原則是用戶(hù)應該只必須出示服務(wù)和事務(wù)處理所必需暴露最少的身份信息。關(guān)于廣泛身份鑒定方案的工作仍然在進(jìn)行之中。
在《內部威脅的真實(shí)程度》一書(shū)中，對3000名英國工人的調查結果顯示，37%的人曾經(jīng)與朋友和家庭共享特權的公司信息。即使58%的個(gè)人計算機與其他人共享或者至少能夠被別人訪(fǎng)問(wèn)，21%的便攜/桌面計算機擁有者曾經(jīng)將公司的數據轉移到其個(gè)人計算機中，14%的人承認將工作信息轉移到個(gè)人的智能手機中。82%的回答者認為內部威脅等于或者比由外部攻擊者對組織構成的威脅更大。內部安全可能是內部人員有意或無(wú)意而造成的，也可能是內外部勾結而進(jìn)行的惡意攻擊或竊取信息。但是，迄今為止，涉及云計算安全的文獻中很少討論云的內部安全問(wèn)題。《防御內部威脅，降低IT風(fēng)險》討論了云計算、虛擬化和內部威脅。云計算中，內部人員不再僅僅是在防火墻之內的職工，并且也包括為組織提供云服務(wù)的服務(wù)供應商內部成員，這增加了內部威脅的復雜性。內部威脅明顯地涉及到虛擬化，在關(guān)鍵服務(wù)器被虛擬化的時(shí)候，需要嚴格控制以限制特權用戶(hù)控制那些虛擬服務(wù)器的權利。
云計算的性能問(wèn)題
Compuware公司在2010年11月對幾乎700個(gè)美國和歐洲企業(yè)進(jìn)行獨立調查，其中378個(gè)北美公司，英國、德國和法國各100個(gè)公司，并于2011年2月19日發(fā)布了《云中性能調查報告》。
《云中性能調查報告》認為，云計算性能?chē)乐氐匾蕾?lài)于延伸交付鏈中的每一個(gè)組成部分：數據中心、傳送網(wǎng)絡(luò )(包括互聯(lián)網(wǎng)、廣域網(wǎng)、局域網(wǎng)或物理運輸工具等)、其他服務(wù)供應商，甚至終端用戶(hù)的設備和瀏覽器。
Compuware公司以前的研究清楚地證明，應用性能和收入之間存在直接的聯(lián)系。例如，在公司網(wǎng)站頁(yè)面響應時(shí)間接近4秒的時(shí)候，用戶(hù)越來(lái)越感到灰心;在達到6秒的時(shí)候，33%的用戶(hù)將放棄訪(fǎng)問(wèn)頁(yè)面，并轉向競爭企業(yè)的頁(yè)面。
影響傳送網(wǎng)絡(luò )響應時(shí)間的因素包括：正在傳送的數據總量、WAN的帶寬、往返行程時(shí)間、應用輪流的數目、同時(shí)TCP會(huì )話(huà)的數目、服務(wù)器端的延遲和客戶(hù)端的延遲。Riverbed Technology公司在《釋放云性能，使云的承諾成為現實(shí)》的報告中比較了IT發(fā)展的歷史，分析了網(wǎng)絡(luò )反應時(shí)間對公共云性能的影響。公共云可以或可以不“合并”，就是說(shuō)，一個(gè)企業(yè)可以將其資產(chǎn)分離在其數據中心和其他人的云中，但是一些資產(chǎn)將在更遠處的公共云中。將資源遷移到遠離用戶(hù)會(huì )導致性能問(wèn)題。在云供應商方面有一個(gè)假設：如果他們管理其云內基礎設施的性能，在云和終端用戶(hù)(無(wú)論業(yè)務(wù)用戶(hù)或IT用戶(hù))之間的性能將不會(huì )影響技術(shù)和業(yè)務(wù)價(jià)值。這個(gè)假定是不成立的，因為云服務(wù)將迫使用戶(hù)和其數據拉開(kāi)更大的距離而導致更大的延遲，并影響性能。
《采用云的風(fēng)險》指出，云服務(wù)不能擔保消費者獲得高品質(zhì)的Web體驗。云供應商在跨越地理網(wǎng)站性能上展示出了遠離目標的變化，在有些重要城市，交付終端用戶(hù)的響應時(shí)間比有些城市差不多慢10倍，許多云服務(wù)在消費者居住的互聯(lián)網(wǎng)邊緣展示出性能問(wèn)題。
如果假設應用跨越云的邊界，那么這將使得數據的存儲和傳輸工作變得很復雜。亞馬遜在開(kāi)發(fā)新的云端服務(wù)的過(guò)程中發(fā)現，發(fā)送大量數據最便宜的做法是：通過(guò)連夜送貨服務(wù)運送磁盤(pán)，甚至整個(gè)電腦。除了廣域網(wǎng)帶寬是瓶頸外，云內部網(wǎng)絡(luò )技術(shù)也可能是一種性能瓶頸。數據中心節點(diǎn)、交換機、路由器的連接會(huì )帶來(lái)帶寬性能瓶頸。帶寬不足正是科學(xué)家們幾乎不使用云計算的原因。
Webtorials出版的《2010年云網(wǎng)絡(luò )報告和廣域網(wǎng)》提出沒(méi)有互聯(lián)網(wǎng)的云網(wǎng)絡(luò )。例如，一些云計算定義設想云服務(wù)總是通過(guò)互聯(lián)網(wǎng)交付。但是，互聯(lián)網(wǎng)不總是用于訪(fǎng)問(wèn)云計算方案中最適當的連接服務(wù)。
