订阅云计算RSS CSDN首页> 云计算

北京三未信安科技发展有限公司创始人兼CEO张岳公:基于密码技术的可控、可信、安全云

发表于2015-06-05 11:00| 次阅读| 来源CSDN| 0 条评论| 作者仲浩

摘要:张岳公表示,基于云资源的共享集约化,密码技术在云安全上更具优势:密码技术有系统理论基础;密码技术是主动的,在认证、授权、控制和数据保护上有优势;密码技术和数据的处理紧密结合,符合纵深保护策略。

【CSDN现场报道】2015年6月3-5日,作为云计算领域最具影响力的盛会—— 第七届中国云计算大会在国家会议中心盛大开幕。大会以“促进云计算创新发展,培育信息产业新业态”为主题,承续前六届的成功经验,超过100位国内外云计算领域核心专家精彩演讲,聚焦生态系统现状和发展趋势,交流实践经验,进一步推动技术创新应用。

6月5日的全体会议上,北京三未信安科技发展有限公司创始人兼CEO张岳公表示,基于云资源的共享集约化思想,云安全隐患主要来自:传统边界安全防护思想失效,封、堵、查、杀防不胜防,虚拟环境下认证授权、访问控制更加困难,云中管理员拥有更大的权限。针对这种现象,张岳公认为密码技术在云安全保障上更有优势:密码技术是有系统理论基础的技术;密码技术是主动的安全技术,在认证、授权、控制和数据保护上有优势;密码技术和数据的处理紧密结合,符合纵深保护策略。而在密码技术实现中,硬件无疑更有优势。 


北京三未信安科技发展有限公司创始人兼CEO 张岳公

以下为演讲实录:

很荣幸今天有机会给大家做这个演讲。现在进入了云计算、大数据时代,我们的重要数据都放在了云上,如果没有一定的安全保障措施,就像财富放在了露天里。所以现在是信息安全行业的好时机,不同的厂商都基于自己的技术在诠释云安全,北京三未信安科技发展有限公司是专注于密码产品和安全云的公司,我们这几年做了很大的投入,针对云需求做产品的开发,取得了很好的成绩。这个会场外面,正对的展台B33就是我们的展位,希望大家去参观一下云密码卡。我们这密码卡加密速度能达到14Gbps,大家不要小看这件事,因为我们是用硬件实现的,不是用CPU做的,用PCIE卡实现有很多的优势,能保护好密钥的安全。应该说,这是一个里程碑的产品,过去我们国家推自己的密码算法,说实在的一直没有很好的硬件环境的支持,像在一些高端设备,在一些高速的加密的场合缺乏解决方案,我们这几年也是花了工夫,有些芯片达到了多少G的速度,实际上是芯片本身的,如果加上通信接口就达不到了,我们这款密码卡,能够在主机端达到14G,我们克服了很多的难题,模式的问题,加密流水线的问题,很多的问题。基于这个核心技术,我们形成了一套云的安全解决方面的思考,这就是我们提出的可控、可信、安全云,今天跟大家分享。

云为什么离不开安全技术

云计算的共享和集约化带来了很多好处,但是这种共享、集约化却给云安全带来挑战,过去很多信息安全技术是基于边界防护的思想,到了云中这个边界不好找了,虽然现在有SDN,也可以设置一些数据流引导,做一些边界,但毕竟这个边界变得模糊了,传统的几大件,像防火墙、防病毒这种基于安全防护的遇到了挑战。另外,这几年信息资产越来越重要,黑客的攻击更加复杂。现在很多的攻击是有组织的,甚至是国家行为,比较简单的查杀的被动防御是防不胜防的,谷歌现在要做纵深防御,安全要在各个环节和应用系统结合,纵深防御。

另外,在云环境下,像和密码有关的,像常用的认证授权,访问控制更加困难了,因为信息资源共享了,虚拟机在流动。还有在云中还有管理员的问题,不管是私有云还是公共云,私有云中管理员一定对企业忠诚吗?在公有云,运营商能不能管好他的人,甚至运营商会不会非法利用我们的数据,对用户来说都没有保证。

所以云需要新的安全技术,一种强大的综合的安全技术。在云中部署安全技术也面临一些本身的挑战,目前大多数的方案,大家的思路还是从被动防御,传统的思想来考虑的,它缺乏主动的、成体系的安全方案。从云中,到了天上,用户找不到一个安全根了,在传统的网络中,最终的根是人本身,我人自己可信,我看着我的设备,现在到云里去了,相信的基础从哪里开始呢?在云中这些设备和技术都面临大数据高访问的挑战,性能都比较高。现在在当前的云环境下,我们需要创新,需要各种的思想,需要综合的防护措施。

我们是做密码的。我们认为密码技术在云环境下有很大的优势,这些可能是大家熟悉的,我们回顾一下密码技术的优势。首先,密码技术它是由系统理论基础的技术。比如防火墙,防病毒,基于规则的,但是设定了这样规则就安全了吗?不一定,新的漏洞,APT攻击,但是密码技术数据加密了就是加密了,你拿走了是解不了的,密码技术是有系统理论的技术。第二个,密码技术是一种主动的安全技术,在认证、授权、控制和数据保护上有优势,这些技术是主动的,当数据被保护好了我们是放心的。第三点,密码技术的应用和实施往往和数据的处理紧密结合,它符合纵深保护的策略。密码技术可以在物理层,像我们的加密电话,还有网络层,绘画层加密,应用层像文件加密,数据库加密,像电子签名等等,它是和应用紧密结合,如影随形,所以我们说密码技术有很大的优势。

密码技术在云中没有得到充分的重视,即使在传统系统中很多人也没有太重视它,有时候用到了,它是幕后的英雄,大家不知道。就像传统的安全技术一样,到云中来也是遇到了各种的限制和瓶颈。比如它的形态问题,过去在传统网络中的设备,密码的体系到云中是什么样的形态,它的性能怎么样,应用场景怎么样,我们在这里看一下,看一下在云中的密码形象。

说到密码形态,总的来说,密码在我们应用中两种形态。一种软件形态,一种硬件形态。软件形态是常用的,像在访问授权中很多地方都用到了密码,我们是做硬件的,当然我们说硬件形态。我们认为硬件形态有非常多的优势,为什么这么说呢,密码要解决两个问题,一个是算法的加速问题。大家知道密码算法是一个密集运算,如果用软件会占很多CPU处理时间,影响应用的效率。用了硬件可以解放CPU。第二点更重要,密码硬件可以保护密钥,因为所有的密码体系是取决于密钥的安全。就像去年发生的“心脏出血”的漏洞,如果你的密钥是用的软件的,密钥被黑客拿走了,你即使补上这个漏洞了,你这个体系的安全问题还是存在的。如果我们用硬件的话,永远拿不走你的密钥,所以在通常的系统中也是这两种形态。硬件的形态大家最常用的是U盾,在云中是密码卡、密码机这些东西。我们看看在云中的这些产品有什么特点。

首先说云密码卡,它就像传统网络一样,首先它是一个密钥容器,起到保护密钥的作用。但是在云中,现在虚拟机是常用的技术,它要支持虚拟机。过去支持一台机器,现在密码卡到云中了,要支持几十个甚至上百个虚拟机,所以不是被一台机器控制,必须是多状态的,大并发的,当然速度需要高,为一台机器服务和为几十台虚拟机服务显然不一样。我们要做到支持硬件虚拟化技术,效率更高。我们做密码的要符合国家的密码政策,我们国家要求支持我们国产的密码算法,我们要把效率和安全都要得到保证,要合规。另外我们的密码卡还支持可信计算的支持,后面我会讲可信计算对我们密码硬件的需要。可信计算2.0,也可以使用我们的国产密码算法,这是对可信计算的支持,可信计算也是对多虚拟机的支持。我们还做了RAS设计,这里先透露一下,某国外的大公司,将使用我们的高速密码卡,我们已经签订了协议,将来会在适当场合发布。这个大公司对RAS是有比较高的要求,我们必须要做到,所以,我们近几年一个很大的成果是云密码卡,在这里边我们投入了很大的心血,体现了我们很多的技术。

云密码卡是一个基础部件,是和设备紧密联系在一起的,云密码机应该说把密码的功能相对独立化,形成一个功能单元。在传统的网络中,像基于证书应用的密码机,电子签名设备,签章设备。到了云中我们要适应云中的变化,云中是资源的按需取用,我现在是一个小银行,我用密码机不能买一堆,买两台用着,如果不够再加两台,服务商来提供。整个密码机就要适应这种情况,首先支持虚拟化,就像其他系统一样,按需分配,同时还要有一套严密的密码管理的设施,到了云里不能不安全了,还是要紧密的保护好密钥,确保密钥的安全。服务器还有连接信道都不能有漏洞,这是必须要考虑的,这里我们有一个核心思想,也是对安全的贡献。我们这套设计理念要让用户掌控密钥,虽然我的东西放在云里,我掌控者密钥,运营商是拿不到,是不能用的,它的使用日志都会很可靠可信的发给我,我自己启用我的密钥,所以我能做到用户可控,控制住自己的密钥,密钥作为一个可控可信的根。

为了增加密码的可管理性、可用性,我们还开发了云中的密码服务管理平台。这个密码服务平台是应用商在传统应用中不动改动可以迁移到云中,只要有我们标准的接口就可以了,我们自己完成复杂的密钥管理,密码策略的集中管理,设备的配置,以及监控,这个监控我们提供的界面和运营商和用户是不一样的,运营商可以看到硬件使用情况,用户可以看到密钥使用情况,就是为了增加密码应用的方便性、应用型。

这是我刚才从产品角度提供的产品的形态,我们再看一下密码为云带来哪些特性呢?密码带来的特性还是那几点,私密性、完整性、身份认证和电子签名,在云中仍然需要这些特点,只不过是更分布了,更需要保护体系的安全。所以在云中我觉得这个更重要,因为云出了用户的控制范围,我们需要更主动的方式控制它、管理它。像基于我们的硬件可以做到,基于密码的强认证授权,你的服务器,不管是你虚拟桌面服务器,还是平常的服务器,你要管理它,对你是要强身份认证的,保证使用者的安全,要做资源的强授权。只有保护好密钥,用了密码的协议才能做到这一点。

在云中这些安全传输,还包括和VPN,在云中硬件设备软件化,可能VPN的厂商会把设备以软件的方式部署到云中去,但是部署到云中了,没有硬件载体了,密钥面临着风险,所以要使用我们的密码硬件,把你的密钥保护起来,你就不会发生“心脏出血”那种问题了。大家想想在云中是非常难以控制的环境,如果一个节点被突破,你的流量如果不做加密,不做保护的话都会泄露了,所以一定要保证密钥的安全,包括数据流、信息流根上的可控性。所以我们的硬件支持了硬件模块,在云的设备中,云的服务器中,云安全服务器能够把密钥保护起来,使得SSL、IPSec协议做到强认证、强保护,使得数据流是真正安全的。

还有我们数据的安全,数据很多时候也处于静态中,我们做了一系列的安全的解决方案,针对虚拟桌面的访问协议,我们做了一些硬件网关便于你部署,每一个的文件都是用自己的密钥加密的,分布式系统也做成网关,如果我们的速度处理足够快,密码分散在各个节点上,不会影响系统的可用性。在虚拟机上我们可以做到每一个虚拟机的隔离保护,我们在虚拟机的底层做数据流存储的假解密控制,出了你的控制范围外,你的数据全部是加密的,只有进入你的虚拟机才是明文的,做到强隔离。即使大家都在一个硬件机器上,不同的虚拟机是互相隔离的。还有现在做云操作系统,云操作系统本身也需要加固,它不同的实体也需要控制信息的传递,如果这种东西被黑客劫持,你这个操作系统就完全没有安全可言了,所以它的消息总线,甚至它的节点的控制命令都需要做加密,这也一样保护好密钥,要做密钥的加密安全的加固。这是我们简单分析了一下,在云中密码能带来的特性。

刚才我们看了一下密码在云中的应用,实际上这也是密码能做到的一些功能。每一个方案,如果你单一来做的话,它只是解决了一个问题,所以每一个方案只是一个剖面,如果我们思想开阔一下,把密码技术充分在云中应用,我们可以形成一个完整的体系,能够构造一个可控、可信的安全云环境。

可控,当朴实性的把密码模块,密钥保护的思想紧密和应用结合的思想结合起来,我们能控制云中的各个课题。把管理的主课题都找出来,确定这些主课题之间的信任准则和访问策略,管控它的行为,数据什么出去加密的,什么时候回来解密的,谁和谁之间交互需要解密的,还可以做信息测量,这样就能保证我们的数据安全。通过密码卡可以做到审计数据的不可改正性,因为有时候你做审计,如果这个机器已经没有安全了,被黑客攻破了,被改了,我们的密码卡黑客是改不了的,因为是脱离了主机环境的,CPU只可能使用它,控制不了内部的运作,这就是密码硬件的基本功能,所以我们是相信这个卡的,这个卡本身可以形成基本的操作,基本的审计信息,保证这些信息是准确的。所以,这些技术的综合应用可以达到一个可控的云环境。

再说可信,可信是利用了可信计算的技术,可信计算也存在很多年了,最早它是机遇PC机,应该说可信计算在PC机上用的不是很好,为什么?因为PC机是个人拿着的,太复杂了,这个产业链也太长。大家想象你在机器上今天装个游戏,可信计算基本上没有办法部署。但是到了云中,我们感觉可信计算大有可为,就是管理性更强,运行的软件都是白名单的,所以在云中可信计算可以更好的部署,据说在美国军方可信计算用的比较多。当然不一定完全按照可信计算的标准来,我们可以借助它的思想,更加实用化来做。可信计算从PC来说首先是可信度量技术,引导区中的操作系统没有改给,应用软件没被改过,把整个可信加在整个系统。在PC机上我们用一个模块,它的处理能力非常有限,如果到了云中也用它的话,虽然有一些变通的措施,但效率非常的低,它满足不了需要。我们现在和合作伙伴已经在做,是用密码卡具有强大处理能力的设备做可信的硬件根,一层层度量,构造可信的云环境。这是基于高速密码卡构建可信的根,在我们的密码卡里有这个设备的根可信密钥,然后有一些虚拟机。这个硬件环境能保证这些可信的根是安全的。

另外,通过我们强大的可信根,我们可以构造一个广义的可信云环境,资源可信,认证度量,这些东西,甚至发现处理异常都可以做起来。数据可信、传输加密、存储加密、重要信息保护,行为可信,审计、鉴别、控制、防止非法,所以把可信计算的思想广泛的来用。

可控,传统的安全手段,可以构造可控可信的安全模式,在云中用户缺乏可信的抓手,密码硬件就是这个可信根,基于这个可信根部署我们的思想,构造一个可信可控的安全模式,使得体系结构可信,资源配置可信,管理策略可信,数据存储可信,操作行为可信,因为用户可以进行可信度量。

所以说底层是我们干的可信虚拟化平台,我们提供了硬件环境,这套基本思想也是比较庞大的,我们一家是做不了的,我们只是从密码的角度,提供好了这些基础的组件,上面和软件厂商已经在合作,构造一个完整的云安全环境,可以防止管理员,可以做身份认证,用户的安全揭露,可以做到数据保护,统一策略,这是一套不同于被动防护的,一种主动的安全措施,我觉得这套措施还是非常有效的。

最后简单介绍一下我们公司。北京三未信安科技发展有限公司成立于2008年8月,我们专注于密码技术,特别是在密码硬件方面比较有长处。我们和山东大学建立和联合实验室,产学研合作,我们的创建团队来自于山东大学,我们还是国家密码行业标准化委员会的成员单位,我们还在积极推动云中的一些密码设备的标准,密码应用的标准。这是我们一些资质,ISO20007、9000,还有一些获奖证书。所以三未信安现在是以密码定义安全,我们现在的产品就是这些,云密码卡,云密码机,云密码服务平台,云安全存储,下面两个方案要和合作上一块合作的。

所以在云中,安全是看不见的,服务商是给用户提供了一个安全,他看不见,我们让安全看得见,在我的密码硬件下,用户掌控密钥,看到审计信息就能看到安全,让加密更简单,让我们的合作伙伴做加密一点都不复杂,不用做更大的改动,对你调几个接口就可以了。当然大家也说,在大数据环境下大数据还需要加密吗?我觉得大数据一定要加密,你最后的处理结果,形成的结论不加密能行吗。大数据也是分布式处理的,我们的密码硬件,如果也用分布式部署的思想,在每一个节点达到像存储一般的速度,完全可以适合大数据加密的需要,存的时候把关键的信息,当然不一定是所有的信息加密,处理的时候在这个节点,用你看不见的密码管理平台,开发商也感觉不到这个复杂性就解密了,完全是可以的。所以三未信安要和大家合作,共同打造一个安全的云环境。

最后,说一句广告,三未信安做云加密的领跑者,谢谢大家。

更多精彩内容,敬请关注 第七届中国云计算大会直播报道,关注新浪微博直播   @CSDN云计算

0
0