21 an toan dien toan dam may

BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT MÃ ThS PHẠM DUY TRUNG, KS NGUYỄN THỊ THU THỦY GIÁO TRÌNH AN TỒN ĐIỆN TỐN ĐÁM MÂY HÀ NỘI, 2013 BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT MÃ ThS PHẠM DUY TRUNG, KS NGUYỄN THỊ THU THỦY GIÁO TRÌNH AN TỒN ĐIỆN TỐN ĐÁM MÂY HÀ NỘI, 2013 MỤC LỤC LỜI NÓI ĐẦU CHƯƠNG GIỚI THIỆU ĐIỆN TOÁN ĐÁM MÂY LỊCH SỬ RA ĐỜI VÀ PHÁT TRIỂN KHÁI NIỆM 12 ĐẶC ĐIỂM, TÍNH CHẤT CƠ BẢN CỦA ĐIỆN TOÁN ĐÁM MÂY .13 1.3.1 Tự phục vụ theo nhu cầu (On-demand self-service) 13 1.3.2 Truy xuất diện rộng (Broad network access) .13 1.3.3 Dùng chung tài nguyên (Resource pooling) .14 1.3.4 Khả co giãn (Rapid elasticity) 15 1.3.5 Điều tiết dịch vụ (Measured service) 15 ƯU ĐIỂM VÀ ỨNG DỤNG ĐIỆN TOÁN ĐÁM MÂY .15 VẤN ĐỀ TỒN TẠI TRONG ĐIỆN TOÁN ĐÁM MÂY .16 CHƯƠNG NỀN TẢNG KỸ THUẬT CHO ĐIỆN TOÁN ĐÁM MÂY 23 2.1 CƠNG NGHỆ ẢO HỐ 23 2.1.1 Bare-metal hypervisor 26 2.1.2 Hosted Hypervisor .26 2.2 THOẢ THUẬN MỨC DỊCH VỤ .27 2.3 TÍNH TỐN LƯỚI (GRID COMPUTING) 28 2.4 MỘT SỐ NỀN TẢNG KHÁC 31 2.4.1 Công nghệ Web Service .31 2.4.2 Điện toán theo nhu cầu (Utility Computing) 33 CHƯƠNG MƠ HÌNH KIẾN TRÚC ĐIỆN TOÁN ĐÁM MÂY 40 3.1 KIẾN TRÚC PHÂN LỚP DỊCH VỤ 41 3.1.1 Dịch vụ ứng dụng (Software as a Service – SaaS) .46 3.1.2 Dịch vụ tảng hệ thống (Platform as a Service – PaaS) 49 3.1.3 Dịch vụ sở hạ tầng (Infrastructure as a Service – IaaS) .51 3.1.4 Quan hệ nhà cung cấp dịch vụ/ khách hàng sử dụng dịch vụ điện toán đám mây 52 MƠ HÌNH TRIỂN KHAI 55 3.2.1 Đám mây riêng 56 3.2.2 Đám mây công cộng 58 3.2.3 Đám mây lai .59 3.2.4 Đám mây cộng đồng 61 3.3 MỘT SỐ NỀN TẢNG ĐIỆN TOÁN ĐÁM MÂY TRONG THỰC TẾ 62 3.3.1 Amazon Elastic Compute Cloud (EC2) .63 3.3.2 Google App Engine 64 3.3.3 Microsoft Live Mesh 64 3.3.4 Sun Grid .64 3.3.5 GRIDs Lab Aneka 65 CHƯƠNG NGUY CƠ MẤT AN TỒN TRONG ĐIỆN TỐN ĐÁM MÂY 67 4.1 TIÊU CHUẨN ĐÁNH GIÁ, PHÂN LOẠI 67 4.1.1 CSA (Cloud Security Alliance) 70 4.1.2 CIA (Confidence – Integrity – Avaibility) 70 4.2 CÁC NGUY CƠ CHÍNH 72 4.2.1 Vấn đề riêng tư 84 4.2.2 Vấn đề sở hữu liệu rị rỉ thơng tin .89 4.2.3 An toàn, bảo mật liệu 92 CHƯƠNG KIẾN TRÚC AN TOÀN ĐIỆN TỐN ĐÁM MÂY 95 5.1 MƠ HÌNH KIẾN TRÚC AN TỒN 95 5.2 CƠNG NGHỆ ĐẢM BẢO AN TỒN CHO ĐIỆN TỐN ĐÁM MÂY 99 5.2.1 Mã hóa quản lý, phân phối khóa 99 5.2.2 An tồn ảo hóa 102 5.2.3 Xác thực quản lý truy cập 105 5.3 AN TOÀN DỊCH VỤ ỨNG DỤNG .106 5.4 AN TOÀN DỊCH VỤ NỀN TẢNG HỆ THỐNG 109 5.5 AN TOÀN DỊCH VỤ CƠ SỞ HẠ TẦNG .111 CHƯƠNG AN TOÀN, BẢO MẬT DỮ LIỆU ĐIỆN TOÁN ĐÁM MÂY 115 6.1 TRẠNG THÁI DỮ LIỆU 115 6.1 Tạo liệu 116 6.2 Truyền tải 116 6.3 Sử dụng 117 6.4 Chia sẻ .117 6.5 Lưu trữ .118 6.1.6 Phá huỷ liệu .121 6.2 MƠ HÌNH AN TỒN, BẢO MẬT DỮ LIỆU ĐIỆN TOÁN ĐÁM MÂY .122 6.3 MỘT SỐ KỸ THUẬT TRONG BẢO MẬT DỮ LIỆU ĐIỆN TOÁN ĐÁM MÂY 130 6.3.1 Xác thực 130 6.3.2 Mã hóa, toàn vẹn riêng tư 132 6.3.3 Phục hồi 136 KẾT LUẬN .140 TÀI LIỆU THAM KHẢO 141 LỜI NĨI ĐẦU CHƯƠNG 1.GIỚI THIỆU ĐIỆN TỐN ĐÁM MÂY LỊCH SỬ RA ĐỜI VÀ PHÁT TRIỂN Khái niệm điện toán đám mây xuất từ năm 1960 trở lại đây, John McCarthy phát biểu “một ngày tính tốn tổ chức tiện ích cơng cộng” Các đặc điểm điện toán đám mây tạo khả co giãn, cung cấp tiện ích trực tuyến, với khả xem vô hạn Thuật ngữ “đám mây” lấy kỹ thuật điện thoại công ty viễn thông Các học giả sử dụng thuật ngữ ‘điện toán đám mây” thuật ngữ giảng năm 1997 Ramnath Chellappa Amazon góp vai trò quan trọng phát triển điện tốn đám mây cách đại hóa trung tâm liệu Hầu hết mạng máy tính tạo sử dụng 10% lực thời điểm Với kiến trúc điện toán đám mây giúp tối ưu lực làm việc máy chủ Amazon bắt đầu phát triển sản phẩm để cung cấp điện toán đám mây cho khách hàng tung dịch vụ Web Amazon (AWS) tiện ích máy tính năm 2006 Trong năm 2007, Google, IBM số trường đại học bắt tay vào nghiên cứu dự án điện toán đám mây với quy mô lớn Vào đầu năm 2008, Eucalyptus trở thành mã nguồn mở cho AWS API, nên tảng tương thích cho việc triển khai đám mây riêng tư Đầu năm 2008, OpenNebula tài trợ dự án kho lưu trữ trở thành phần mềm mã nguồn mở triển khai đám mây riêng, đám mây lai liên đồn đám mây Trong năm đó, nỗ lực tập trung vào việc cung cấp chất lượng dịch vụ (QoS) để đảm bảo đám mây hoạt động, thuộc dự án ủy ban IRMOS tài trợ Đến năm 2008, Gartner nhận thấy tiềm điện tốn đám mây đưa làm dịch vụ cung cấp cho khách hàng Điện toán đám mây (cloud computing) vấn đề quan tâm nghiên cứu Tuy nhiên, khơng phải phát triển mang tính cách mạng Thực tiến hóa diễn suốt vài thập kỷ trình bày hình 1.1 đây: Hình GIỚI THIỆU ĐIỆN TOÁN ĐÁM MÂY.1 Sự phát triển hướng tới điện toán đám mây Xu hướng tới điện toán đám mây bắt đầu vào cuối năm 80 với khái niệm điện toán lưới (grid computing) Điện toán lưới, phổ biến với Globus Aliance vào năm 2003, giúp cho việc phối hợp hoạt động hệ thống tính tốn nằm phân tán với mặt địa lý trở nên dễ dàng So với công nghệ đời trước máy tính cụm (cluster computing), điện tốn lưới có phạm vi phân tán hoạt động rộng hơn, cluster trở thành thành phần tính tốn (node) hệ thống lưới Cơng nghệ lưới khơng địi hỏi thành phần phải có tương đồng với cấu trúc, lực xử lý Có thể xem mơi trường lưới tập hợp rộng lớn tài ngun tính tốn có cấu trúc phân tán, khơng đồng nhất, nguồn tài nguyên tổ chức riêng biệt quản lý Người dùng thấy môi trường lưới máy chủ ảo khổng lồ với hệ thông phần cứng hệ điều hành bên ảo hóa hệ thống trung gian (middleware) Tuy nhiên, từ việc có hạ tầng hỗn tạp nên hệ thống trung gian lưới tính tốn thường phức tạp điều khiến cho thao tác tạo lập, triển khai quản lý dịch vụ mơi trường lưới gặp nhiều khó khăn Vào năm 90, khái niệm ảo hóa mở rộng, vượt khỏi phạm vi máy chủ ảo sang cấp độ cao trừu tượng hóa, tảng ảo (virtual platform), tiếp ứng dụng ảo (virtual application) Điện tốn theo nhu cầu (utility computing) cung cấp máy cụm (cluster) theo yêu cầu để làm tảng ảo cho ứng dụng Và tiếp sau dịch vụ ứng dụng (software as a service – SaaS) đời phổ biến năm 2001, cung cấp cho người sử dụng dịch vụ phần mềm trực tuyến Điểm chung điện toán theo nhu cầu SaaS người dùng dễ dàng tùy chọn định mức sử dụng phải trả phí cho định mức mà thơi Khái niệm điện toán đám mây (cloud computing) phát triển từ điện toán lưới, điện toán theo nhu cầu SaaS Trong mơi trường đám mây, tài ngun điện tốn máy chủ, định hình động cắt nhỏ từ sở hạ tầng phần cứng trở nên sẵn sàng tiếp nhận tải công việc Thế mạnh hệ thống đám mây nằm khả quản lý sở hạ tầng với trưởng thành tiến cơng nghệ ảo hóa để quản lý sử dụng tốt tài ngun vật lý thơng qua tự động hóa việc cung cấp, tạo sao, cân tải công việc, giám sát xử lý yêu cầu thay đổi hệ thống Các ứng dụng chạy môi trường đám mây nằm trung tâm liệu có tính mở rộng lớn, tài nguyên điện tốn cung cấp động chia để đạt hiệu kinh tế, truy cập từ đâu thơng qua thiết bị kết nối mạng Sự phổ biến thiết bị di động thông minh, kết nối không dây tốc độ cao giao diện Web 2.0 phong phú biến mơ hình điện tốn đám mây qua mạng không trở thành thực mà cách để giảm mức độ phức tạp hạ tầng cơng nghệ thơng tin Hình GIỚI THIỆU ĐIỆN TỐN ĐÁM MÂY.2 Tiến trình tiến hóa lên điện toán đám mây Sự phát triển điện toán đám mây giới ngày phát triển, số liệu doanh thu điện toán đám mây gia tăng mạnh hàng năm, tăng mạnh năm gần đây, biểu đồ thống kê mức chi tiêu hàng năm dựa cơng nghệ điện tốn đám mây Hình GIỚI THIỆU ĐIỆN TỐN ĐÁM MÂY.3 Lịch sử phát triển điện toán đám mây 10 Bảng 6.1 Các rủi ro bảo mật liệu điện toán đám mây Giai đoạn Tạo Lưu trữ Chia sẻ Sử dụng Duy trì Phá hủy Nguy  Tạo/khám phá/hiện thực liệu cá nhân nhóm trái phép  Vấn đề tích hợp liệu tạo khu vực địa lý chưa xác định  Truy cập liệu trái phép (để lưu trữ di chuyển liệu nơi khác nhau)  Vi phạm luật liên quan đến an toàn liệu lưu trữ khu vực địa lý khác  Các vấn đề liên quan đến Tích hợp/Sẵn sàng/Bảo mật liệu  Mất liệu khơng thể phục hồi  Mã hóa khơng đảm bảo an tồn quản lý khóa yếu  Truy cập liệu trái phép  Vi phạm toàn vẹn liệu truyền  Các vấn đề với giao thức Internet DHCP, DNS  Sử dụng liệu người trái phép  Vi phạm luật suốt sử dụng không liệu  Sử dụng liệu cho mục đích khác khơng ban đầu  Truy cập trái phép  Mất liệu phục hồi  Sai lệch khoảng thời gian lưu giữ liệu thiết lập tổ chức  Nhân rộng liệu trước phá hủy lưu giữ  Phá hủy liệu trái phép  Phá hủy liệu khơng hồn tồn (với có khả phục hồi) 128 6.3 MỘT SỐ KỸ THUẬT TRONG BẢO MẬT DỮ LIỆU ĐIỆN TỐN ĐÁM MÂY 6.3.1 Xác thực Duy trì tính bảo mật, tính tồn vẹn tính sẵn sàng cho bảo mật liệu chức ứng dụng xác cấu hình mạng quen thuộc, hệ thống, chế bảo mật ứng dụng cấp độ khác sở hạ tầng điện toán đám mây Trong số chế loạt thành phần thực xác thực kiểm soát truy cập Xác thực người dùng chí hệ thống truyền thơng thực phương tiện khác nhau, số mật mã Xác thực người dùng sử dụng nhiều hình thức khác nhau, tất dựa kết hợp yếu tố xác thực: thông tin xác thực mà cá nhân biết (chẳng hạn mật khẩu), mà họ có (ví dụ thẻ an ninh), số chất lượng đo lường nội với họ (ví dụ dấu vân tay) Đơn yếu tố xác thực dựa có yếu tố xác thực Xác thực mạnh đòi hỏi yếu tố khác, ví dụ, hai yếu tố xác thực dựa hai yếu tố xác thực (như mã pin dấu vân tay) Xác thực thường xác minh sở hạ tầng Chương trình thống kê thông tin cho người sử dụng giữ tập tin sử dụng để xác minh danh tính mật khẩu, chương trình khơng rộng lên tới số hệ thống Một thảo luận đầy đủ điều khiển nhận dạng truy cập vượt phạm vi sách này, chìa khóa để kiểm sốt truy cập hiệu tập trung sắc Một vấn đề với việc sử dụng phương pháp tiếp cận sắc truyền thống mơi trường điện tốn đám mây phải đối mặt doanh nghiệp sử dụng nhiều CSP Trong trường hợp sử dụng vậy, đồng hóa thông tin nhận dạng với doanh nghiệp mở rộng Một tập hợp vấn đề phát sinh với phương pháp tiếp cận sắc truyền thống 129 di chuyển sở hạ tầng giải pháp dựa đám mây Infrastructuretends để sử dụng phương pháp tiếp cận sắc miền trung tâm không cho phép cho liên kết lỏng lẻo với đối tác Đối với lý này, quản lý danh tính liên (FIM) tảng hiệu cho sắc điện toán đám mây Tuy nhiên, liên minh sử dụng mơ hình mã thơng báo u cầu bồi thường dựa trên, mà địi hỏi khởi đầu cho chương trình truyền thống Tuy nhiên, nhu cầu sắc truyền thống hỗ trợ mơ hình liên mã thông báo Đối với thảo luận dài sắc điện toán đám mây, người đọc giới thiệu đến tháng năm 2010 phần 12: Hướng dẫn nhận dạng truy cập V2.1 quản lý chuẩn bị liên minh an ninh điện toán đám mây Cơ chế kiểm soát truy cập phương tiện quan trọng mà trì mơi trường Cơng nghệ thơng tin phức tạp, đáng tin cậy hỗ trợ tách tính tồn vẹn nhà cung cấp khác loại thơng tin thuộc nhiều bên Nhưng kiểm sốt truy cập không đứng riêng họ, họ hỗ trợ nhiều khả bảo mật khác Ngồi ra, kiểm sốt truy cập phụ thuộc vào khả quản lý sắc đáp ứng nhu cầu để thực Kiểm sốt truy cập thường mơ tả hai tùy ý không tùy ý, mô hình kiểm sốt truy cập phổ biến là:  Điều khiển truy cập tùy ý - Discretionary Access Control (DAC) Trong hệ thống, đối tượng có chủ sở hữu Với DAC, kiểm soát truy cập xác định chủ sở hữu đối tượng người định có quyền truy cập đặc quyền mà họ có Cho phép quản lý DAC khó để trì, nữa, DAC khơng vượt quy mơ bên ngồi nhớ người sử dụng  Điều khiển truy cập dựa vai trò - Role Based Access Control (RBAC): Chính sách truy cập dựa vai trị xác định hệ thống, nơi có truy cập MAC dựa chủ đề tin tưởng, truy cập RBAC dựa vai trò đối tượng Một chủ đề truy cập đối tượng thực chức thiết lập quyền hay vai trị cho phép  Điều khiển truy cập bắt buộc - Madatory Access Control (MAC): Chính sách truy cập bắt buộc xác định hệ thống thực 130 nhãn nhạy cảm, giao nhiệm vụ cho đối tượng đối tượng Một nhãn hiệu đối tượng quy định cụ thể mức độ tin cậy, nhãn đối tượng xác định mức độ tin tưởng cần thiết để truy cập Nếu chủ đề nhằm đạt quyền truy cập vào đối tượng, nhãn đối tượng phải thống 6.3.2 Mã hóa, tồn vẹn riêng tư Mã hóa thành phần quan trọng để bảo vệ liệu điện toán đám mây Ứng dụng có độ bảo mật phù hợp sử dụng mã hóa quan trọng, mã hóa mạnh thường ưu tiên sử dụng liệu có giá trị lưu trữ khoảng thời gian dài Hiện nay, có nhiều cách để thực mã hóa liệu lưu trữ điện toán đám mây Dưới liệt kê sơ lược số dạng mã hóa thường sử dụng phổ biến phương thức bảo vệ liệu lưu trữ điện toán đám mây:  Mã hóa tồn ổ cứng chứa liệu (Full Disk Encryption) cấp đĩa hệ điều hành, ứng dụng nó, liệu ứng dụng sử dụng tất mã hóa đơn giản đĩa mã hóa Đây phương pháp cơng vét cạn để mã hóa liệu từ tất thứ mã hóa, điều đòi hỏi hiệu suất độ tin cậy mối quan tâm Nếu mã hóa khơng thực cấp độ phần cứng ổ đĩa, sau thuế hệ thống hiệu suất Một yếu tố hỏng hóc đĩa gây hủy hoại hệ điều hành, ứng dụng liệu  Mã hóa mức thư mục tệp hệ thống (Directory Level or Filesystem) Trong mã hóa dạng này, tồn thư mục liệu hay tệp hệ thống mã hóa giải mã chứa Truy cập vào tập tin cần sử dụng khóa mật mã Cách tiếp cận sử dụng để phân biệt liệu nhạy cảm giống hệt phân loại thành thư mục mã hóa riêng biệt với khóa mật mã khác 131  Mã hóa mức tệp (File level): thay mã hóa tồn ổ đĩa cứng chí thư mục, có hiệu để mã hóa tập tin cá nhân  Mã hóa mức ứng dụng (Application Level) Ứng dụng quản lý mã hóa giải mã liệu ứng dụng quản lý Vấn đề quan trọng để thực hình thức mã hóa cần phải quản lý khóa mật mã sử dụng để thực trình mã hóa giải mã liệu Ngồi ra, việc xác định phương pháp phục hồi khóa mật mã bị cần xem xét Khi khóa bị không sẵn sàng, điều quan trọng biết tùy chọn có sẵn để phục hồi liệu chẳng hạn, lưu tồn Ngoài ra, xem xét khả cơng kênh kề với mã hóa Đơn giản cần xác định, công kênh kề công nhắm tới mục tiêu tính chất hoạt động (hoặc mơi trường), nơi mã hóa diễn trái ngược với khai thác chế mã hóa Trong bối cảnh an ninh điện tốn đám mây, kênh kề có khả tồn nhờ hoạt động sở hạ tầng vật lý sử dụng tài nguyên chia sẻ với thuê bao khác Các trang web sidechannelattacks.com có danh sách đầy đủ loại khác cơng kênh kề Trong ví dụ, phần mềm- - một-dịch vụ điện toán đám mây cơng cộng, chất nó, khơng cho phép th bao để mã hóa liệu họ Điều hạn chế chức với dịch vụ thực tế thân Trong ví dụ mạng xã hội có bao gồm Facebook, MySpace, Linkedin, đơn giản khơng thể sử dụng mã hóa để đảm bảo bí mật thơng tin cá nhân Các nhà cung cấp điện toán đám mây khơng muốn có động lực để đồng ý cho phép liệu phải mã hóa từ nhiều nhà khai thác SaaS khơng có khả cung cấp dịch vụ họ có nhìn khơng rõ ràng với liệu họ tương tác với Ví dụ, Facebook khơng thể giải thích loại hoạt động xảy đám mây mình, họ nhắm mục tiêu bạn với quảng cáo có hiệu chúng liên quan đến hoạt động đăng bạn ? Nếu liệu bạn mã hóa, sau khía cạnh mơ hình kinh doanh nhà cung cấp bị phá vỡ Cùng thực tế điều với 132 loại khác đám mây tốt Các nhà cung cấp IaaS khơng có khả mã hóa mức hệ điều hành cản trở khả họ để theo dõi quản lý trường hợp 133 Hình Sơ đồ sử dụng mã hóa điện tốn đám mây 134 Mã hóa liệu lưu trữ Mã hóa liệu quan trọng 'ở phần lại "sẽ bảo vệ tính bảo mật liệu trường hợp liệu bị tổn thương Tuy nhiên, đánh giá liệu phải thực để xác định liệu cần phải mã hóa Viện SANS cho rằng: "Mật mã thiết thực cho mức phân loại liệu bao phủ quy định điều khoản, liệu nhạy cảm bên cần bảo vệ giá" Dữ liệu mã hóa tập tin, ổ đĩa hay tồn máy ảo Mã hóa đối mặt với nhiều thử thách điện toán đám mây, liệu trải rộng nhiều vị trí địa lý liệu khơng phải thiết bị lưu trữ chuyên dụng dành riêng cho doanh nghiệp hay cá nhân Thông tin nhạy cảm bí mật chứa tập tin thư mục mã hóa trước lưu trữ điện tốn đám mây sử dụng cơng cụ mã hóa truyền thống GnuPG (thực miễn phí PGP) phiên thương mại PGP Những bất lợi bước bổ sung để mã hóa truyền tập tin sau giải mã tập tin yêu cầu Điều thủ tục rườm rà làm việc với tập tin Một cách tiếp cận tốt sử dụng mã hóa vốn có hệ điều hành Ví dụ, Windows Encrypting File System (EFS) sử dụng để xử lý mã hóa giải mã tập tin thư mục làm cho trình minh bạch cho người sử dụng (Microsoft TechNet) Điều bất lợi cho EFS khơng thực mã hóa đĩa đầy đủ đầy đủ mã hóa máy ảo Tuy nhiên, mã hóa đĩa đầy đủ (FDE) mã hóa loạt cơng cụ mã hóa Các hệ thống Linux Amazon gắn kết đàn hồi khối lưu trữ (EBS) khối lượng sử dụng hệ thống tập tin mã hóa EnFS, Loop-AES, dmcrypt TrueCrypt Cuối cùng, tồn máy ảo mã hóa An ninh điện toán đám mây cung cấp sản phẩm mà thực mã hóa tồn máy ảo An ninh điện toán đám mây cung cấp cho an tồn máy ảo, quản lý khóa quản lý sách, máy ảo tối ưu hóa lưu trữ để đảm bảo mã hóa kiểm tốn báo cáo Trong mã hóa để bảo vệ liệu phần lại dường rõ ràng đơn giản, có thách thức để xem xét Bất lúc tập tin đĩa mã hóa thời gian xử lý bổ sung cần thiết Mặc dù mã hóa giải 135 mã tập tin thực FDE khơng tiêu thụ số lượng lớn nguồn lực bổ sung, tổng số yêu cầu cần thiết để thực hành động ảnh hưởng xấu đến hiệu môi trường đa người dùng với số lượng xác định trước nguồn lực tổng hợp Thứ hai, mã hóa liệu phần cịn lại sử dụng ứng dụng điện toán đám mây ngăn lập mục tìm kiếm liệu Thứ ba, quản lý chủ chốt trở thành vấn đề Nếu khóa bị mất, liệu bị Nếu khóa bị tổn thương, sau liệu bị tổn hại Do đó, quản lý chủ chốt yếu tố quan trọng tham gia vào thỏa thuận với CSP Mã hóa liệu di chuyển Dữ liệu trình di chuyển đến CSP khơng có khác biệt so với liệu sử dụng Internet cho nhu cầu khác dịch vụ, liệu truyền cần bảo mật Tuy nhiên, trách nhiệm người dùng để đảm bảo liệu phạm vi di chuyển sở hạ tầng CSP bên trung tâm liệu cách an toàn SSL/TSL sử dụng để truyền liệu an toàn Internet Theo truyền thống, liệu mã hóa đứng yên di chuyển Tháng 6/2009, IBM khám phá phương pháp mã hóa cho phép liệu xử lý mà không cần phải giải mã Các nhà nghiên cứu phát triển mã hóa đồng phơi đầy đủ Mã hóa đồng phơi việc chuyển đổi liệu vào mã phân tích làm việc với dạng rõ Điều có ứng dụng trực tiếp tới lưu trữ liệu điện tốn đám mây liệu lưu trữ trạng thái mã hóa điện tốn đám mây tìm kiếm, đánh mục thao tác liệu trì trạng thái mã hóa Hiện nay, liệu giải mã khỏi đám mây địi hỏi phải có quyền truy cập vào liệu 6.3.3 Phục hồi Trong mơ hình ba lớp bảo vệ liệu điện toán đám mây, lớp thứ đòi hỏi liệu cần phải phục hồi nhanh theo tốc độ giải mã hình đây: 136 Hình 6.5 Mơ hình bảo vệ liệu điện toán đám mây ba lớp - Lớp 1: Lớp xác thực người dùng truy cập điện toán đám mây, với giải pháp thường áp dụng dùng mật lần (One Time Password – OTP) Các hệ thống địi hỏi tính an tồn cao u cầu xác thực từ hai phía người dùng nhà cung cấp, với nhà cung câp điện toán đám mây miễn phí, xác thực chiều - Lớp 2: Lớp bảo đảm mã hóa liệu (Data Encryption), toàn vẹn liệu (Data Integrity) bảo vệ tính riêng tư người dùng (Private User Protection) thơng qua thuật tốn mã hóa đối xứng - Lớp 3: Lớp liệu người dùng phục vụ cho việc phục hồi nhanh liệu theo tốc độ giải mã Sử dụng liệu yêu cầu đảm bảo tính sẵn sàng liệu điện toán đám mây việc sử dụng (ảo hóa, xử lý truy cập) người cấp quyền Quản lý truy cập chiếm phần quan trọng giai đoạn Quyền gắn liền với cá nhân/tài khoản, thiết bị vị trí cho phép kiểm sốt quyền truy cập để sử dụng liệu Việc sử dụng điều khiển logic nên tập trung vào đảm bảo tính tồn vẹn liệu (bên cạnh truy cập liệu) việc sử dụng chúng Việc sử dụng truyền liệu mạng an tồn lưu trữ lập, sử dụng phương pháp khác MPLS, mạng riêng ảo (VPNs), mạng cục ảo (VLAN) Trong trình MPLS-VPN, việc cô lập thực 137 thông qua thiết bị định tuyến tới hệ thống định tuyến ảo hệ thống chuyển tiếp Lớp phải đảm bảo việc xóa bỏ hồn tồn an tồn liệu (bao gồm việc xóa bảo khóa mật mã) Nhà cung cấp dịch vụ điện toán đám mây nên đưa khẳng định phá hủy liệu (bao gồm lưu) phục hồi Phương pháp kiểm sốt an tồn cho việc hủy bỏ liệu tùy thuộc vào nhà cung cấp dịch vụ điện toán đám mây sở hạ tầng Các SLA (thỏa thuận mức dịch vụ) phải xác định việc phá hủy lưu trữ, biên pháp an ninh cho liệu nhà cung cấp dịch vụ đưa cho người thuê dịch vụ lựa chọn Để giảm nguy cho việc phá hủy khơng hồn tồn liệu, việc kiểm sốt tìm kiếm khác biệt nội dung đám mây cần áp dụng 138 CÂU HỎI VÀ BÀI TẬP CHƯƠNG VI Câu 1: Trình bày mơ hình an tồn bảo mật liệu điện toán đám mây Câu 2: Trình bày kỹ thuật xác thực mã hóa bảo mật liệu điện toán đám mây Câu 3: Nêu vấn đề phục hồi liệu điện toán đám mây 139 KẾT LUẬN 140 TÀI LIỆU THAM KHẢO [1] NIST Cloud computing definition, http://csrc.nist.gov/groups/SNS/cloudcomputing/index.html, 2009 [2] Controls Matrix (CM), Cloud Security Alliance V1.0; 2010 [3] Catteddu D, Hogben G Cloud Computing Information Assurance Framework, European Network and Information Security Agency (ENISA) http://www.enisa.europa.eu/; 2009 [4] NIST Special Publication 800-53 Revision 3, Recommended Security Controls for Federal Information Systems and Organizations; 2009 [5] J W.Rittinghouse and J F.Ransome, “Cloud Computing Implementation, Management and Security”, CRC Press 2010 [6] A.T.Velte et al, “Cloud Computing A Practical Approach”, McGrawHill, 2010 [7] Vic(J.R.) Winkler, “Securing the Cloud: Cloud Computer Security Techniques and Tactics”, Syngress, 2011 [8] Borko Furht, Armando Escalante, (2010), Handbook of Cloud Computing, Springer [9] Ronald L.Krutz, Russe Dean Vines, (2010), A Comprehensive Guide to Secure Cloud Computing, Wiley [10] Tim Mather, Subra Kumaras, Shahed Latif, (2009), Cloud Sercurity PrivacyAn Enterprise Perspective on Risks and Compliance, O’Reilly [11] Raluca Ada Popa et al, (2011), “ Relational Cloud: A Database-as-aService for the Cloud” [12] Raluca Ada Popa et al, (2010), “ CryptDB: A Practical Encrypted Relational DBMS” 141 [13] A Boldyreva et al, (2009), Order preserving symmetric encryption In Proceeding of the 28th Annual Internatinational Conference on the Theory and Application of Cryptographic Techniques, Cologne, Germany 142 ... doanh nghiệp: Đây giải pháp kinh doanh cung cấp cho công ty doanh nghiệp Chúng cung cấp thông qua doanh nghiệp đăng ký dịch vụ Các ứng dụng cung cấp thơng qua hình thức bao gồm q trình kinh doanh... phối khóa 99 5.2.2 An tồn ảo hóa 102 5.2.3 Xác thực quản lý truy cập 105 5.3 AN TOÀN DỊCH VỤ ỨNG DỤNG .106 5.4 AN TOÀN DỊCH VỤ NỀN TẢNG HỆ THỐNG 109 5.5 AN TOÀN DỊCH VỤ CƠ... Các tài nguyên cấp phát cho doanh nghiệp doanh nghiệp muốn cách tức thời Thay việc doanh nghiệp phải tính tốn xem có nên mở rộng hay không, phải đầu tư máy chủ doanh nghiệp cần yêu cầu “Hey, đám