|
前言 2013年6月，棱镜门事件爆发。在过去一年多的时间里，网络信息安全话题持续升温、发酵，高危漏洞、泄漏、攻击事件层出不穷，就连蓝翔都藉此机会又免费火了一把…… 从早前的国家863、973计划，到近年来老生常谈的云计算、大数据、虚拟化、物联网、移动互联网大趋势，衍生的APT攻击，站在风口的BYOD/企业安全；从“去IOE”、国产化、自主可控疯狂造势、到咱们的习大大亲自带队组建中央网络安全和信息化领导小组，强调“没有网络安全，就没有国家安全”，目标从网络大国过渡“建设网络强国”，网络信息安全俨然踩了各种光环成了国家战略。 【PConline 专访】在2014 Inspur World大会的云数据中心安全分论坛上，浪潮正式对外发布了国内首个云主机安全产品解决方案——可信计算和云安全领域的新一座里程碑。据了解，该方案将融合可信计算、操作系统加固、虚拟计算安全等技术，以可信芯片为根，构建链接固件、VMM、Guest OS和上层应用的软硬一体化信任链，应对云主机和云数据中心安全威胁。 会后，针对这套云安全主机产品解决方案，可信服务器，可信计算领域，包括过渡云主机安全的战略转变，我和浪潮的三位领导做了进一步的沟通探讨。我们的老朋友蔡一兵博士也在其中，此外，浪潮云计算产品部的总经理张东先生以及浪潮信息安全事业部的刘刚经理也一同接受了采访。
现阶段，有这样一个大背景：云应用软件漏洞风险、云基础平台风险、云服务访问失控风险、云数据泄密风险、内部人员非法操作和APT攻击风险等云数据中心安全风险，已成为制约新一代信息系统建设瓶颈；由物理服务器群和虚拟计算软件构成的云主机是IaaS的重要组成，不仅要面临服务器固件、硬件、OS、应用等传统攻击，还面临着虚拟引入的VMM篡改、Guest OS镜像篡改、主机租户攻击等新型威胁。 可信计算可划分为两个层面，“信任链”的建立需要各方协作 “我们谈到可信，经常把两个概念搞混，第一个概念是可信的安全感觉，第二个是可信的技术。”如此一来，这就触及到两个不同层面的可信，蔡一兵博士进一步解释。 第一个，可信的安全感。打个比方，如果操作系统是国外的，用户会说这个东西不可信，但很少会跟技术扯上关系，而是会直接扯到安全上去，会说这东西放到老美那里是安全的，但在我这里就是不安全的，这实际上就是一种信任感。云安全解决方案讲求自主可控、安全可信，会通过可信的计算、操作系统加固、虚拟化安全三个维度保障用户的这种安全感。 第二个，可信的技术。在解决计算机体系本身架构缺陷时，最核心的技术就是完整性的度量，在算法里面有加密算法、哈希算法。可信计算则基于哈希算法，威胁来了，可信计算可以通过完整性度量的方式找到它，而且，这个度量的启动机制是在恶意代码之前就形成了的，这就是可信计算的根本价值，实际上也是计算机在设计之初就没有考虑到的一个缺陷。
除了以上两点，蔡博士最后还补充说道了“信任链”的建立。他表示，我们做完一个产品和技术最后要放到客户那里应用、反馈，形成需求，这中间不同行业会在建设包括安全上存在细微差异，然后我们再有计划的进行合作，最终会形成一个完善的且安全的生态圈。“大家对浪潮抱有厚望，我们也希望在政策的指导下，和产业界的朋友一起来推动可信计算这件事。” 行业云推进器：浪潮云数据中心信息安全实验室 在研发和合作层面，浪潮特设云数据中心信息安全实验室，依托国家安全主管部门、科研院所、第三方安全测评机构、信息安全产业联盟、国产主机产业联盟、关键行业客户等国内安全产业各方力量，构建起一个完善的云安全生态圈，来推进行业云安全方案、核心产品及关键技术落地。 “云安全不是浪潮的问题，也不是中国的问题，而是世界性的问题。”在被问及该实验室职责和相关情况时蔡博士首先讲到，“实验室更像是一个立体的舞台，是浪潮构建云安全生态圈的骨架，这出戏可不是我们单方面能唱好的。”
据介绍，浪潮云数据中心信息安全实验室目前有两大任务，一就是研究和完善云数据中心安全解决方案，以应对未来更为严峻、复杂的安全形势以及来自国家和用户不断变化的监管和业务需求；第二个则是具体的云安全设备，这里会涉及网络、应用、服务、数据多层面，实验室目前聚焦在主机安全层面，譬如我们刚刚发布的两路和四路可信服务器。 显然对于浪潮来说，可信服务器才是此次方案祭出的大杀器，是舞台上真正的主角。浪潮也承认，可信服务器是这套云主机安全产品解决方案的核心，是构建所谓“信任链”的重要基石，没了可信服务器，这个链条也将是不完整不安全的。
云计算是“罪魁”但非“祸首”：1.0方案的前前后后 实际上，在这次发布云主机安全产品解决方案1.0之前，浪潮的战略定位在主机安全，并在去年发布了主机安全的1.0方案，“当时强调自主可控安全可靠的理念，解决了服务器的高可用性，包括运维管理、性能监控，初步形成了传统物理主机的安全方案。然而，随着云计算大数据时代的到来，我们认识到主机安全也必须向云靠拢，这才有了今天的云主机安全1.0方案。”刘刚经理做了简要的回顾。
云计算虽然是我们改变战略的“罪魁”，但绝非“祸首”，蔡博士补充说道，“在无法改变当前形势的情况下，浪潮只有一条路可以走，那就是勇往直前。云计算给人类带来的变化和商机都是不可估量的。” 浪潮云主机安全产品解决方案1.0虽然刚刚起步，但后续会做不断的演进和完善。据透露，在虚拟化方面，下一步将支持KVM，里面会有一个渐进；然后会对云海OS平台做深度的吻合，将安全固件嵌进去；最后，浪潮还会不断改进现有云主机平台，硬件是一方面，还有软件一端，比如思考如何加入软件定义的架构。信息安全产业风云变幻，浪潮当然不会止步于此。 说到云海平台，架构比较复杂，张总前面也作了进一步的解释：现如今的云体系大致可分为云中心、云服务、云安全和云伙伴几个方面，浪潮云海平台则是云中心的一部分。其中，云海OS是云管理平台，上面还有一个大数据服务平台。今天的云主机解决方案实际上是技术和产品的集成，和浪潮整个云海平台，同基础架构和每一个层面都是结合在一起的，包括比如硬件层的核心服务器，软件层的虚拟化支持。安全的覆盖面大，平台的软件分层，所以浪潮整个云主机解决方案会覆盖从硬件到上层方案每一层，大家是相互配合的关系。 附录 ■方案可拆分，按需灵活部署 “虽然我们在方案架构上强调一体化，但这里边实际还有一个分工协作的规则在。”张东说。 蔡一冰补充说明，云主机安全整个方案可分可合，客户可以根据自己的需求选择。比如有这样一个客户，他需要增强安全沙箱，要新建一套系统，而且还要求高安全高可靠性，这时候，SSR和虚拟安全套件协同就是最合适的。但如果客户不需要虚拟计算，或者不需要系统加固，就可以选择放弃部署。最后，除了在应对不同场景时表现出的灵活性，浪潮还会根据不同客户量身对方案做优化设计，以加强安全性。 ■TPM可信计算芯片自身的安全性 浪潮可信服务器采用国民技术生产的TPM2.0可信计算芯片，那么问题来了，TPM本身是国际化标准，由可信计算组织（TCG）进行规范，国民技术的合作伙伴遍布海内外，如何保障芯片自身的安全性？ 对此，张总解释到，国际化的公司把产品卖给全球很正常，TPM的确是全球通用标准，但它来中国就要符合中国标准，要有合规性，TCM和TPCM就是中国标准的芯片，所以国民技术卖给不同国家的产品实际是不一样的，这当中包含不同的密码算法。
■操作系统安全目前还只有两条路可以走 最后我们还聊到了操作系统安全。当被问及除了SSR加固，浪潮是否还有其他手段时，张总表示，目前的操作系统安全只有两条路可以走，一是自己做，Linux、Unix平台其实已经十分成熟，比如合作伙伴中标软他们的产品，还有一条路就是放弃上边的平台用Windows，然后想办法加固它。
|
