基本介紹
- 中文名：雲數據
- 外文名：Cloud data
基本簡介,平台背景,聚合數據,雲數據安全存儲面臨的挑戰,雲數據安全存儲框架,雲數據安全存儲技術,雲數據安全審計研究,
基本簡介
平台背景
雲數據是由財富線上研發團隊獨立自主研發而成的金融數據集成處理平台，該平台通過高頻數據清洗技術，研發出最完整的金融數據分析模型。為用戶提供高效的投資決策參考。以數據層（數據流）——信息層（信息流）——精算層（多維整合平台）——多功能集成分配層——信息推送平台——超導報警系統為處理平台，是完整的證券信息高速處理平台。
聚合數據
聚合數據是一個為智慧型手機開發者，網站站長，移動設備開發人員及圖商提供原始數據API服務的綜合性雲數據平台。包含手機聚合，網站聚合，LBS聚合三部分，其功能類似於Google APIS。聚合數據允許開發者免費自由調用JUHE平台所開放的有效數據API接口，這包含了數千萬LBS數據，公共交 通，金融，日常生活，資訊等多個分類的有效數據。聚合數據提供XML,JSON,SOAP, GET/POST 四種調用模式方便開發者調用，同時提供相關數據統計服務！
雲數據安全存儲面臨的挑戰
在傳統信息系統中，數據安全主要關注數據的加密存儲和傳輸、安全審計和容災備份；而在雲中， 除了要關註上述內容外，還有更多關注，雲計算的特點決定了要實現集中式的數據存儲，必須確保不同用戶數據的安全隔離；雲端的伺服器可能會“宕機”，在這種情況下，如何高效地進行數據安全地遷移很關鍵；雲計算採用租賃方式向用戶提供資源，這意味著一個用戶使用過的存儲區域會被其他用戶使用，因而必須解決好數據殘留問題。
（1）數據的加密存儲
在傳統的信息系統中，一般採用加密方式來確保存儲數據的安全性和隱私性．在雲中，似乎也可以這樣做，但實現起來卻不那么容易．在基礎設施即服務雲模式中，由於授權給用戶使用的虛擬資源可以被用戶完全控制，數據加密既非常有必要也容易做到（無論是在公有雲或者私有雲中）。但在平台即服務雲模式或者軟體即服務雲模式中，如果數據被加密，操作就變得困難．在雲中，對於任何需要被雲套用或程式處理的數據，都是不能被加密的，因為對於加密數據，很多操作像檢索、運算等都難以甚至無法進行． 數據的雲存儲面臨這樣的安全悖論：加密，數據無法處理；不加密，數據的安全性和隱私性得不到保證．
（2）數據隔離
多租戶技術是PaaS雲和SaaS雲用到的關鍵技術。在基於多租戶技術系統架構中，多個租戶或用戶的數據會存放在同一個存儲介質上甚至同一數據表里。儘管雲服務提供商會使用一些數據隔離技術（如數據標籤和訪問控制相結合）來防止對混合存儲數據的非授權訪問，但非授權訪問通過程式漏洞仍然是可以實現的，比如GoogleDocs在2009年3月就發生過不同用戶之間文檔的非授權互動訪問．一些雲服務提供商通過邀請第三方或使用第三方安全工具軟體來對應用程式進行審核驗證，但由於平台上的數據不僅僅針對一個單獨的組織，這使得審核標準無法統一．
（3）數據遷移
當雲中的伺服器（這裡，伺服器是指提供SaaS和PaaS的物理機，對於IaaS而言，伺服器或者是物理機，或者是虛擬機）“宕機”時，為了確保正在進行的服務能繼續進行，需要將正在工作的進程遷移到其他伺服器上．進程遷移，實質上就是對與該進程相關的數據進行遷移，遷移的數據不僅包括記憶體和暫存器中動態數據（或稱進程快照），還包括磁碟上的靜態數據．為了讓用戶幾乎無法感覺到“宕機”的發生，遷移必須高速進行；為了讓進程能在新的機器上恢復運行，必須確保數據的完整性；另外，如果進程正在處理的是機密數據，還必須確保這些數據在遷移過程不會泄露．
（4）數據殘留
數據殘留是指數據刪除後的殘留形式（邏輯上已被刪除，物理上依然存在）．數據殘留可能無意中透露敏感信息，所以即便是刪除了數據的存儲介質也不應該被釋放到不受控制的環境，如扔到垃圾堆或者交給其他第三方．在雲套用中，數據殘留有可能導致一個用戶的數據被無意透露給未授權的一方， 不管是什麼雲，SaaS、SaaS和PaaS都有可能．如果 一個未授權數據泄露發生，用戶可以要求第三方或者使用第三方安全工具軟體來對雲服務提供商的平台和應用程式進行驗證．迄今為止，沒有哪個雲服務提供商解決了數據殘留問題．
（5）數據安全審計當數據以外包方式存儲在雲中時，用戶會關注兩個問題：外包存儲的數據確實已存儲到雲中並歸數據所有者所有；除所有者和授權用戶外的任何人不能更新數據．這兩個問題的解決都離不開安全審計．在數據存放到本地或企業可信域中時安全審計較易實現，而一旦將數據以外包方式存儲到雲中時，安全審計就變成了難題．顯然，用戶不可能將數據都下載下來後再進行審計，因為這會導致巨大的通信代價，更可行的思路是：只需取回很少數據，通過某種知識證明協定或機率分析手段，就能以高置信機率判斷雲端數據是否完整或為用戶所有．
雲數據安全存儲框架
微軟研究院的Kamara等人提出了面向公有雲的加密存儲框架，如圖4所示．在該框架中，數據處理DP、數據驗證DV、令牌生成TG和憑證生成CG是核心組件，這些組件工作在數據所有者的可信域中．數據處理組件負責在數據存儲到雲中前對數據進行分塊、加密、編碼等操作；數據驗證組件負責驗證存儲在雲中的數據塊的完整性；令牌生成組件負責生成數據塊訪問令牌，雲存儲服務根據用戶提供的令牌提取相應的密文數據；憑證生成組件負責為授權用戶生成訪問憑證．在訪問授權時，數據所有者會將已分享檔案的令牌和憑證發往授權用戶．授權用戶使用令牌從雲中提取已分享檔案的密文，使用憑證解密檔案．該框架的主要特點有兩個：數據由所有者控制；數據的安全性由密碼機制保證．該框架除了能解決數據存儲的隱私問題和安全問題外，還能解決數據訪問的合規性、法律訴訟、電子取證等問題．不過，該框架只是一個巨觀的模型，並沒有給出具體實現方法．
雲數據安全存儲技術
（1）同態加密技術
同態加密是一種加密技術，運用這種技術可以實現對明文上執行指定的代數運算結果等同於在密文上的另一個（可能是不同運算）代數運算結果①同態加密，這個特性使得雲計算面臨的數據存儲悖論迎刃而解．同態加密的思想起源於私密同態 ，它允許在不知道解密函式的前提下對加密數據進行計算。
（2）基於VMM的數據保護技術
鑒於雲環境下虛擬機工作在虛擬化平台之上並由虛擬機監控系統或監控器進行管控，提出了一種基於VMM的雲數據機密性保護方法，該方法基於SSL來保證數據傳輸的安全，利用Daoli安全虛擬監控系統保護數據存儲的安全．數據在傳輸到雲端前，用戶客戶端SSL模組會將數據加密．雲端的作業系統接收到用戶密文數據後，將密文數據提交給分散式檔案系統．分散式檔案系統的SSL模組會將數據解密以進行處理．如果用戶要將數據保存到分散式檔案存儲系統，虛擬監控系統會在存儲前對數據進行加密；反之，如果用戶要從分散式檔案存儲系統中讀取數據，虛擬監控系統會先將數據解密．該方法顯著特點是將雲端的作業系統和分散式檔案系統進行了隔離，數據加解密由虛擬機監控系統來完成，實現了作業系統和用戶數據的隔離．由於對於作業系統而言數據始終是加了密的密文，當虛擬機作業系統被攻破時，攻擊者得到的都是加了密的密文數據，保證了記憶體數據和硬碟數據的安全性和機密性．該方案能保證多租戶環境下隱私數據不會泄露給其他用戶，但數據還是可能會泄漏給雲服務提供商。
（3）基於加解密的數據安全存儲技術
公有雲中存儲的數據一般屬於外包數據，存在不少基於傳統的加解密技術的研究來確保外包數據的安全．提出了基於代理重加密方法的數據分散式安全存儲方案．數據所有者使用對稱的內容加密密鑰來加密檔案內容，再使用主公鑰加密所有的內容加密密鑰，只有擁有主私鑰的所有者才能解密這些內容加密密鑰．所有者使用其擁有的主私鑰和用戶的公鑰來生成代理重加密密鑰．半可信伺服器能使用代理重加密密鑰將密文轉化成指定授權用戶能解密的密文，進而實現訪問控制．該方案的主要問題是存在惡意伺服器和任意一個惡意用戶勾結就能計算出所有密文數據的解密密鑰的漏洞，嚴重威脅著數據的安全．除此之外，用戶訪問許可權得不到保護也是該方案的明顯不足。
雲數據安全審計研究
雲數據安全審計面臨兩個難題。實際上，第2個難題是數據持有問題，第2問題是數據的完整性保護問題．雲數據安全審計的重難點是數據的公開審計（或第三方審計），而一個理想的公開審計方案應具有這樣幾個特性：額外增加的時空代價小，隱私不會泄露，支持數據的動態變化（即支持數據追加、插入、修改、刪除等基本操作）和支持批量審計。
