房秉毅 张云勇 徐雷

摘要移动云计算是移动互联网产业与云计算技术的结合，是ICT行业炙手可热的新业务发展模式，但其面临着新的安全威胁。文章浅析了移动互联网环境下的云计算安全问题，给出了安全建议，为移动互联网环境下云计算安全发展提供参考。

关键词移动互联网云计算安全

1概述

云计算的发展并不局限于PC，随着移动互联网的蓬勃发展，基于手机等移动终端的云计算服务已经出现。根据云计算的定义，移动互联网云计算是指通过移动网络以按需、易扩展的方式获得所需的基础设施、平台、软件(或应用)等的一种IT资源(或信息)服务的交付与使用模式。当移动互联网产业与云计算技术结合，移动云计算成为ICT行业炙手可热的新业务发展模式。2009年7月ABI Research一份关于移动云计算的研究报告提到，云计算不久将成为移动世界中的一股爆破力量，并最终成为移动应用的主导运行方式。由于拥有开放的技术接口、分布式的计算理念、超强而又灵活的处理能力，云计算正在被人们所接受。经过了一年多的市场培育期，人们将注意力逐渐从对云计算技术特点和业务模式的分析转向对其业务所提供的可用性与响应速度的关注上来。借助于移动云计算，Google的手机导航系统、手机语音搜索系统以及Android平台上各种服务的表现已经让人赞叹不已。2011年3月，美国苹果公司的市值和利润都超越了微软，其被世界上公认为最有创意的最有价值的IT公司，这也证明了移动云计算的重要性。

2009年中国各大运营商获得3G牌照，标志着移动互联网在中国的发展进入了快车道。我国3G网络投入了过万亿，其成功应该且必须借鉴于类同苹果AppStore方式的移动云计算。利用移动云计算的各种移动互联网服务正逐步深入到人们的生活中，而人们对移动互联网各类服务的大量使用反过来又进一步推动着“移动云计算”市场与技术的发展。

正如任何新技术或新业务模式的发展一样，云计算在创造新机遇的同时也带来了新的风险。云计算的发展使移动互联网网络资源、业务资源、用户资源在应用模式上发生重大变化。多租户、资源共享、数据存储的非本地化、承载业务类型的多元化以及网络带宽的快速增长，不仅要求进一步强化应对传统的安全问题，同时也要求应对移动互联网应用引入的新安全问题。因此，在云计算快速推进、广泛普及的同时，有必要重点对移动环境下的云安全技术进行研究，在云计算中采取更强大的安全措施；否则，云中的特性以及云提供的服务不仅无法控制，还将对国家、企业、用户带来严重的安全威胁。

2移动互联网环境下云计算安全问题

2.1云安全的含义

云安全包括两个层面的含义：

(1)云计算技术在安全领域的应用

云计算技术在安全领域的具体应用，属于云计算应用的一个分支，即通过采用云计算技术来提升安全系统的服务效能，比如基于云计算的防病毒技术、挂马检测技术等。

(2)安全技术在云环境下的应用

利用常规安全技术，解决云环境下的安全问题，提升云计算自身的安全性，保障云计算服务的可用性、数据机密性和完整性、隐私的安全性等，这是云计算技术健康可持续发展的基础。

传统安全厂商多立足于第一层面，利用云计算技术解决常规安全问题；云厂商多位于第二层面，构建云平台的安全保障体系。

2.2云计算技术面临的安全问题

从总体来说，云计算技术主要面临如下安全问题：

(1)虚拟化安全问题

利用虚拟化带来的经济上的可扩展特性，有利于加强在基础设施、平台、软件层面提供多租户云服务的能力，然而虚拟化技术也会带来如下安全问题；

◆如果主机受到破坏，那么主要的主机所管理的客户端服务器有可能被攻克；

◆如果虚拟网络受到破坏，那么客户端也会受到损害；

◆需要保障客户端共享和主机共享的安全，因为这些共享有可能被不法之徒利用其漏洞加以攻击；

◆如果主机有问题，那么所有的虚拟机都会产生问题。

(2)数据集中后安全问题

用户的数据存储、处理、网络传输等都与云计算系统有关。如果发生关键或私隐的信息丢失和窃取，对用户来说无疑是致命的。如何保证云服务提供商内部的安全管理和访问控制机制符合客户的安全需求?如何实施有效的安全审计，对数据操作进行安全监控?如何避免云计算环境中多用户共存带来的潜在风险……都已成为云计算环境下所面临的安全挑战。

(3)云平台可用性问题

用户的数据和业务应用处于云计算系统中，其业务流程将依赖于云计算服务提供商所提供的服务，这对服务商的云平台服务连续性、SLA和IT流程、安全策略、事件处理和分析等提出了挑战。另外当发生系统故障时，如何保证用户数据的快速恢复也成为一个重要问题。

(4)云平台遭受攻击的问题

云平台由于其用户、信息资源的高度集中，容易成为黑客攻击的目标，拒绝服务攻击造成的后果和破坏性将会明显超过对传统的企业网应用环境的影响。

(5)法律风险

云计算应用地域性弱、信息流动性大，信息服务或用户数据可能分布在不同的地区甚至不同的国家，因而在政府信息安全监管等方面可能存在法律差异与纠纷；同时由于虚拟化等技术引起的用户间物理界限模糊，可能导致的司法取证问题也不容忽视。

2.3区别于传统互联网环境下的安全问题

移动互联网环境下的云计算安全涉及移动终端、移动互联网和云计算整个架构的安全，移动互联网毕竟是在固定互联网的基础上发展的，安全问题两者必然存在着相似性，但在每个环节上却又有所区别。这些区别具体体现在其终端、网络、业务和应用几个环节，既包括上面分析的云计算安全问题，如租户的接入控制、认证、虚拟化安全、数据隔离、业务隔离、云服务滥用等，也包括移动终端使用云服务时的安全问题。

(1)终端安全

作为移动互联网“无所不在”的服务、个人信息和业务创新的载体，终端是移动互联网区别于固定互联网的最重要环节，其安全问题贯穿并影响了移动互联网安全的各个环节。由于移动互联网终端软、硬件技术存在的局限，从总体来说安全性比固定互联网终端好。但是在移动云计算环境下，终端也有其安全问题的特殊性，即浏览器已经普遍成为云服务应用的客户端，目前互联网浏览器毫无例外地存在软件漏洞，这些软件漏洞加大了终端用户被攻击的风险，从而影响云计算应用的安全。另一方面，移动互联网环境下的Always－on的特性会招致更多的窃听和监视问题；其“个性化”容易引发涉及隐私等的恶意代码攻击；同时，较PC用户，移动互联网用户在使用云服务时缺乏安全意识，病毒传播途径呈现多样化，如短信、彩信、蓝牙等。

(2)网络安全

移动互联网建立在固定互联网基础之上，其网络节点和相应的协议由于引入了“移动性”需求进行扩展。移动互联网的接入方式多种多样，因此网络安全也

将呈现不同的特点。相比较固定互联网，移动互联网的网络结构封闭，便于管理和控制。网络安全的特殊性主要表现在网络结构、协议及其网络标识几个方面。互联网主张开放、平等，网络中没有控制点，而移动通信网多主张封闭性更强的“围墙花园”模型和有差别的服务。网络中可以部署关键控制点，便于实现可管、可控；移动互联网的网络标识是其最重要的特点之一，除了可以像固定互联网一样使用IP地址作为位置和身份标识，在移动互联网中也可以采用SIM卡信息作为用户标识，精确定位终端及位置。因此，从这个方面来讲，移动互联网的溯源性要优于固定互联网。但在移动网络环境下使用云服务时，对于传输中数据的最大威胁是不采用加密算法。通过移动网络传输数据，采用的传输协议也要能保证数据的完整性。

(3)应用和云平台安全

对固定互联网的业务复制是目前移动互联网业务发展的特点，而融合“移动”特征的业务创新则是移动互联网业务发展的方向。因此，其业务系统环节会更多，应用涉及到的用户及服务器的信息也会更多。由于云计算技术中的数据是存储在云中，一方面为用户提供了较大的数据存储空间；另一方面为用户提供便捷的存取机制，方便不同用户之间进行数据分享。但是，服务关闭的事件近年来在云服务提供商中时有发生，包括亚马逊，谷歌和微软等大企业也不例外。因此，对一个移动云服务提供商服务的过分依赖会导致服务发生故障时受到致命的打击，因为用户将自己的数据全部托付给移动云服务提供商，同时又没有选择价格昂贵的备份和容灾服务，一旦发生事故，将导致一些关键数据不能恢复。

(4)信息和内容安全

在移动互联网业务中，不同客户的需求是不同的，个性化和定制化服务虽然可以满足不同用户的需求，但是往往会造成服务负载过大。移动云服务使各个服务之间的资源得到共享，有效地降低了服务成本，但同时也造成了更多信息内容的暴露，涉及大量的私密信息和位置信息。因此，有可能引发大规模的攻击和信息发掘，包括拒绝服务攻击及其对于特定群组的敏感信息搜集等。

3移动互联网环境下云计算安全建议

本文针对上述安全问题，借鉴互联网和云计算安全保障措施，根据移动互联网的特点，从如下几个方面对移动互联网环境下云计算安全提出建议：

(1)加强对于云终端的控制，发现漏洞，弥补漏洞；较固定终端而言，移动终端对用户的重要性越发明显，已经如身份证一样不可或缺，而且用户使用云业务，大量的信息存储云端，因此必须加强云端的安全性。

(2)加强移动网络接入和传输的安全性。避免身份假冒、数据在传输过程中被非法篡改、遭受拒绝服务攻击等。对用户隐藏网络拓扑，使得用户无法对网络节点发起攻击。

(3)加强移动云服务业务系统之间访问控制，制定统一的安全策略管理，防止业务流程被非法修改、业务被非法控制、业务流程被中断等。

(4)加强移动互联网云应用的统一认证技术研究，可以避免用户在登录多个业务系统时用户信息泄露。

(5)对于负载变化较大的应用，采用智能负载均衡技术弹性地为用户提供资源，有效地利用多个应用之间周期的变化，智能均衡应用负载，提高资源利用率，从而保证每个应用的可靠性和安全性。

(6)运营商加强对移动互联网运营的优化，包括对不良内容过滤、网络流量清洗、在关键节点部署DPI／DFI的策略。

(7)加强统一身份管理(IDM)及IP地址的溯源机制的部署，降低各种安全威胁，提高网络的整体安全强度。

4结束语

云计算将大幅降低移动互联网用户对终端设备计算能力的依赖程度，用户可以通过“瘦客户端”使用移动互联网服务和应用，但信息安全是当前制约移动云计算发展的主要因素之一。能否确保移动互联网环境下云计算的机密性、完整性、可用性，将很大程度影响用户是否愿意将其数据和应用向云计算平台进行迁移。本文浅析了移动互联网环境下云计算安全问题，给出了安全建议，希望能为移动互联网环境下云计算的发展提供参考。