随着计算机与互联网的发展，云计算与物联网、智慧地球等概念一样备受关注。目前云计算已从产生到实质发展阶段，因此云计算的安全问题备受关注，近年来成为计算机学科领域的研究热点。

1 云计算的概念及特征

1．1云计算概念

2011年1月，美国国家标准与技术研究院(National Institute of standards and llechnology，NIsT)公布了其对云计算的定义，受到业界的高度认可，其定义如下：云计算是一种模式，基于这种模式终端用户可以通过网络按需访问可配置的计算资源(例如网络、服务器、存储设备、应用程序和服务)，这些资源可实现快速部署并发布，同时可以减少服务提供商的干预，并且使管理成本降到最低。

1．2云计算的特征

按需的自助服务，广泛的网络访问，资源池，快速伸缩性，高可扩展性。

2 云计算安全研究现状

2．1云计算安全支撑体系

目前，全球范围内已有30多个标准组织宣布加人云计算标准的制订行列。其中有一些组织做了大量有意义的工作，推动了云计算安全的发展进程。例如1)2009年成立的云安全联盟CSA(cloud security Alliance)，致力于在云计算环境下提供最佳的安全方案，于2009年发布了新版的《云安全指南》v2．1，该指南非常务实，贴近当前的最新的业界实践。2020儿年1月，NIST发布了“公共云计算安全与隐私指南”，该指南概述了公共云计算面临的安全与隐私挑战。同时还发布了最终版的“完全虚拟化技术安全指南”。

2．2云计算安全体系架构

目前安全业界各大公司推出了各种各样的云安全解决方案。csA(云安全联盟)从云服务模型角度提出了一个云计算安全参考模型，该模型描述了三种基本云服务的层次性及其依赖关系；IBM公司基于其企业信息安全框架给出了一个云计算安全架构，思科公司提出了一个云数据中心安全框架，该云数据中心安全框架描述了云数据中心的威胁模型以及可减少安全风险的措施。

3 云计算面临的安全隐患

3．1云计算平台的安全隐患

1)针对系统可靠性的隐患

由于“云”中存储大量的用户业务数据、隐私信息或其他有价值信息，因此很容易受到攻击，这些攻击可能来自于窃取服务或数据的恶意攻击者、滥用资源的合法云计算用户或者云计算运营商内部人员，当遇到严重攻击时，云计算系统将可能面临崩溃的危险，无法提供高可靠性的服务。

2)安全边界不清晰

因为虚拟化技术是实现云计算的关键技术，实现共享的数据具有无边界性，服务器及终端用户数量都非常庞大，数据存放分散，因此无法像传统网络一样清楚地定义安全边界和保护措施，很难为用户提供充分的安全保障。

3.2“云”中的数据安全

1)数据隐私

首先，“云”中的数据是随机地存储在在世界各地的服务器上，用户并不清楚自己的数据具体被存储在什么位置;另外当终端用户把自己的数据交付给云计算提供商之后，数据的优先访问权已经发生了变化，即云计算提供商享有了优先访问权，因此如何保证数据的机密性变得非常重要。

2)数据隔离

在通过虚拟化技术实现计算和资源共享的情况下，如果恶意用户通过不正当手段取得合法虚拟机权限，就有可能威胁到同一台物理服务器上其他虚拟机。因此进行数据隔离是防止此类事件的必要手段，但是隔离技术的选择及效果评估目前仍在进一步研究之中。

3.3其他安全隐患

1)云计算提供商能否提供持久服务

在云计算系统中，终端用户对提供商的依赖性更高，因此在选择服务提供商时，应考虑这方面的风险因素，当云计算技术供应商出现破产等现象，导致服务中断或不稳定时，用户如何应对数据存储等问题。

2)安全管理问题

企业用户虽然使用云计算提供商的服务或者将数据交给云计算提供商，但是涉及到网络信息安全相关的事宜，企业自身仍然负有最终责任。但用户数据存储在云端，用户无法知道具体存储位置，很难实施安全审计与评估，因此会带来很多的安全管理困难。

4 云计算中确保信息安全的解决方案

针对以上提出的云计算面临的安全隐患，从企业终端用户和云计算运营商以及监管方国家层面来研究和设计基于云计算的安全解决方案。如图1所示。

4.1企业用户

从企业终端用户来看，可采用以下四种保护技术:

1)数据加密技术

目前除了软件即服务(SaaS)运营商之外，云计算运营商一般不具备隐私数据的保护能力，因此在使用云计算过程中，企业用户若直接以明文的形式将数据存储于分散的云端服务器，则无法保证数据的机密性和完整性，因此企业用户可以采用加密技术对敏感数据进行加密，但是加密会降低数据的利用率，需要企业用户权衡二者的关系，同时做好密钥管理工作。

在云计算的虚拟化条件下，企业用户无法知道自己的数据到底存储在“云”中的什么位置，如果能利用数据隔离技术将自己的数据与其他数据隔离开.则可以更加有效地保护数据安全。

3)选择信誉较高的运营服务商

考虑到自身的长期发展，企业用户在选择运营服务商的时候，应考虑该服务商是否具备提供持久服务的能力，一般选择经营规模大、信誉度较高的公司，同时不能与其他服务商共享用户数据，这样在避免恶意操作给用户带来的损失同时，最大程度地保证了持久服务。

4)进行权限控制

企业用户将数据传输到云端服务器之后，数据的优先访问权发生变化，因此要对数据的访问权限加以控制，限制云计算服务商的访问权限，数据的完全控制权应属于企业用户。

4.2云服务提供商

对于云服务提供商的解决方案:

1）使用过滤器监视出网数据。

制定监控策略，对于离开网络的数据，使用过滤器进行监视，阻止隐私数据外泄。

2)进行安全风险评估，建立公有云和私有云。云计算服务提供商首先制定自己的安全服务等级，然后以此为依据协助用户对自己的数据和应用进行风险平估，根据风险评估结果，向用户提供相应等级的安全服务。

3)整合数据加密技术、VPN技术、身份认证等技术手段，完整解决云计算架构安全、虚拟化技术安全、分布式计算安全，保证云计算的可用性、可靠性及用户信息的安全。

4)加强安全认证，建立可信云。在云架构中，使用可信算法从底层到顶层建立可信任关系，最终构建成可信任云。同时可以采用多种认证方式相结合的方法，防止用户信息的外泄，保证数据安全。

除了以上所述之外，对内部员工的安全培训与教育，是云计算运营商和企业用户都要进行的工作。因为企业用户在使用云计算服务时，最常使用的客户端工具是WEB浏览器等，如何避免用户在使用自己的服务时将密码泄露给第三方、避免利用合法身份进行信息窃取等，都依赖于对内部员工的安全培训和教育，因此不管是运营商还是企业用户，都应该规范内部员工，健全内部机制，从而减少各种攻击的出现，保障数据安全。

4.3从监管方的角度

目前云计算已经从概念发展到实质发展和应用阶段，然而，对于云计算的监管仍处于相对落后的阶段，云计算相关的核心技术国内仍未掌握，而且也没有厂商能够提供完整的云计算业务解决方案，因此我国有必要从建立健全相关的法律法规、加强核心技术的自主研发与创新、建立基于云计算的安全评估和监管休系几个方面人手，快速部署云计算的安全基础设施及安全平台，为云计算的进一步发展和应用做好强有力的支撑。

5 结束语

云计算的产生使得云计算的安全架构、安全解决方案近年来也成为计算机领域的研究热点，随着云计算的发展和应用，将面临新的安全威胁，这使得云计算安全涉及到的云计算的监管方、云计算的使用方(企业或个人)、云计算的提供方都要更加关注云安全，不论是哪一方，都需要在安全问题上付诸更多的研究和实践。