Bezpieczeństwo w chmurze

Najważniejszą różnicą między bezpieczeństwem tradycyjnej infrastruktury, a bezpieczeństwem w chmurze jest to, że infrastruktura chmury jest dzielona pomiędzy różnych użytkowników z innymi poziomami zabezpieczeń. To, wraz z dynamiką i ulotnością chmury nieco komplikuje problem, ponieważ stwarza więcej miejsc w których możemy popełnić błąd konfiguracyjny, tym samym ułatwiając życie złodziejom danych.

Dla większości informatyków największą więc przeszkodą stojącą na drodze do chmury jest bezpieczeństwo danych.

Środowisko obliczeń umieszczonych w chmurze może być jednak równie bezpieczne jak większość wewnętrznych infrastruktur. Większość podstawowych przeszkód można usunąć za pomocą znanych technologii takich jak szyfrowanie danych, VLAN czy nawet firewalle i filtry pakietów. Oczywiście nie są to jedyne metody zabezpieczeń.

Zapewnienie bezpieczeństwa centrom danych w chmurze zaczyna się od fizycznego zabezpieczenia sprzętu.
Operatorzy największych centrów danych, jak Google, Amazon czy Microsoft wykorzystują swoją wiedzę oraz doświadczenie przy tworzeniu infrastruktury cloud.

Najnowocześniejsze centra danych znajdują się w nieoznaczonych budynkach w dzielnicach mieszkalnych. Obszar samego obiektu, jak i teren wokół niego jest chroniony całodobowo przez strażników oraz systemy wykrywające wtargnięcia. Personel, który jest autoryzowany do wstępu musi przejść przynajmniej trzykrotny proces uwierzytelniania aby dostać się do sali z serwerami, same serwery natomiast umieszczane są w ufortyfikowanych bunkrach z jeszcze większą ilością zabezpieczeń.

Odwiedzający i podwykonawcy, aby uzyskać dostęp do obiektu muszą okazać dowód tożsamości oraz się podpisać, a podczas całej wizyty będzie im towarzyszył autoryzowany personel.

Kolejnym wymaganiem, które zostało wprowadzone w celu ochrony centrum danych przed wewnętrznymi atakami jest zapewnienie dostępu do obiektu oraz informacji o jego istnieniu wyłącznie tym pracownikom, którzy mają uzasadniony powód aby o tym wiedzieć. Dodatkowo, wszelkie formy kontaktu fizycznego i elektronicznego nawiązywane przez pracowników są rutynowo zapisywane.

Opisane praktyki są podstawą przyznania certyfikatu SAS 70.

Certyfikat Statement on Auditing Standards No. 70: Service Organizations, Type II (SAS 70 typu II) jest przyznawany organizacjom świadczącym usługi mające wpływ na sprawozdania finansowe klientów. Ten certyfikat oraz jemu podobne, przyznawane przez AICPA świadczą o tym że dostawca nie tylko wprowadził wystarczającą wewnętrzną kontrolę, ale również dba o jej utrzymanie.

Za bezpieczeństwo fizyczne odpowiada wyłącznie dostawca chmury, natomiast za kontrolę dostępu odpowiadają dostawca i użytkownicy.

Kolejnym istotnym sposobem zabezpieczenia danych, po środkach fizycznych, to kontrola osób które mają prawo dostępu do naszej części chmury. Aby lepiej zrozumieć proces weryfikacji i uwierzytelniania użytkownika, podamy krótkie przykłady sposobów używanych przez Amazon Web Services.

Pierwszym krokiem do potwierdzenia tożsamości jest weryfikacja adresu wpisywanego do faktury. Innym dobrym pomysłem jest weryfikacja poprzez inny, nie związany z chmurą interfejs. W tym przypadku jest to potwierdzenie telefoniczne. To bardzo silne zabezpieczenie, ponieważ użytkownik musi wykorzystać zasób zewnętrzny, (telefon) aby wpisać podany na stronie numer pin. W następnej kolejności dopiero podajemy dane logowania.

Mając pełną kontrolę nad danymi służącymi do potwierdzenia naszej tożsamości musimy zadbać o silne hasło. Alternatywnie można wykorzystać wieloczynnikową autentykację, np. opartą o mechanizm RSA SecurID.

Dla wielu osób jest to sposób polecany, szczególnie gdy jedynym czynnikiem autoryzacji w pierwszej metodzie jest hasło, które musimy wprowadzać z każdą próbą dostępu do usług w chmurze za pomocą przeglądarki. Wyjątkiem jest korzystanie ze specjalnej API, wtedy podajemy jedynie klucz uwierzytelniający. Do generacji takiego klucza najlepiej wykorzystać zaufany certyfikat X.509 wygenerowany w urzędzie certyfikacji.

Certyfikat ten bazuje na kryptografii klucza publicznego i składa się z pliku certyfikatu oraz odpowiadającego mu pliku z częścią prywatną klucza. Certyfikat zawiera klucz publiczny i związane z nim metadane. Jest to część publiczna, wysyłana w każdym żądaniu danej usługi. Klucz prywatny jest wykorzystywany do zatwierdzenia takich żądań, jest on tajny i nie powinno się nim dzielić.

Przedstawione metody kontroli dostępu do chmury publicznej są niemal identyczne we wszystkich infrastrukturach publicznych tego typu, mają one jednak kluczowe znaczenie dla identyfikacji, uwierzytelniania oraz autoryzacji użytkowników danej chmury.


Jeśli chcecie się dowiedzieć czym jest chmura, lub jak jest zbudowana to zapraszamy do naszych poprzednich artykułów.