云深不知處 一位云計算專業(yè)人士的迷茫和憤慨
前些天去聽了下“中國計算機大會”的安全專場，在杭州的“第一世界大酒店”。
我前一天晚上記錯了，告訴老婆說，我明天要去“世界第一大酒店”開會，牛X的不行，到了才知道，原來是“第一世界大酒店”。
這次大會是我們公司的主場，主會場是討論云計算、物聯(lián)網(wǎng)。安全有個分會場，來了許多專家，估計是出于主辦方的要求，言必出“云安全”、“云計算安全”，云來云去的，搞的我也云里霧里了。
說來慚愧，我在公司的主要工作之一就是搞云計算安全，但是搞來搞去，我發(fā)現(xiàn)什么都沒有改變。
什么是云計算
要說起云計算，至今業(yè)界都沒有一個非常標準的定義。每個企業(yè)都有自己定義的云計算。主要有兩類，一個是跑在Map/Reduce框架下的計算平臺，以此為代表的有hadoop，還有一些海量存儲的，比如google的bigtable等。另一類就是虛擬機平臺，以此為代表是Amazon、VMware。
云計算的另一個特征應該就是有“數(shù)據(jù)中心”，用土話來說就是要有一個超大規(guī)模的機房，規(guī)模沒上去，也不叫云計算。所以用個三到四臺服務器搭了hadoop，這個也不能叫云計算。
至今為止，很多人都搞不明白虛擬機類的云計算平臺比起那些賣虛擬空間的有啥區(qū)別，說句老實話，我也沒搞清楚。即便是后臺調(diào)度有些區(qū)別，我認為也是有限的，不具有突破性。可能最大的區(qū)別在于，“云”的價格會便宜點，不過這不是我們這些安全工程師所關心的。
#p#
戳穿云計算安全
嘗試著講明白了什么是“云”，那現(xiàn)在就來戳穿一下所謂的“云計算安全”。先講講所謂的“云安全”，現(xiàn)在很多安全廠商，都跟風把自己的產(chǎn)品叫云安全。什么是云安全？就是建個機房，然后有桌面產(chǎn)品的就把產(chǎn)品上抓到的木馬樣本發(fā)回中心機房，有IDC流量監(jiān)控的就把數(shù)據(jù)抓了發(fā)回中心機房，這個就叫做“云安全”。
我靠，這玩意不是若干年前就有的嗎？很多軟件雖然沒說，但早就這么做了。原來這就是“云安全”，一個我們用了很多年的東西，現(xiàn)在終于可以光明正大的說出來了！更可怕的時候，在沒有所謂云安全的時候，我們的隱私還是自己的，有了云安全，個人電腦里的數(shù)據(jù)、文件會自動發(fā)給廠商，你不擔心嗎？
所以“云安全”這個東西，和“云計算安全”完全是兩碼事，跟云計算也不搭邊。當然，你要硬說你建了數(shù)據(jù)中心，也用了hadoop，所以你的云安全是真的，那我也無話可說了。
"云計算安全"這個概念，在我看來，和以前有一個概念很像。什么呢？“電子商務”。我大學是學這個專業(yè)的，我讀了個在職研究生，也是讀這個方向。但我至今沒搞明白學了什么，至今無法講清楚電子商務的概念。記得當初畢業(yè)的時候，我們專業(yè)的所有人都很迷茫，不知道這個專業(yè)能干嗎，沒人知道。
當沒有人能夠講清楚一個大家都在用的概念時，那么，肯定是有問題的。這并不是一個只有愛因斯坦才懂相對論的時代，這是一個賣冰棍的大媽都知道云計算的時代！
什么是電子商務？在中國，是淘寶，是阿里巴巴，在美國，是ebay，是amazon。
今天的所有概念，都在隨著實踐的改變而改變。所以今天沒有人能講清楚什么是“云計算安全”，是很正常的一件事情。我們看一張MAP：
什么是云計算安全？這就是云計算安全。從這張圖上的第一個直觀印象就是，所有的安全方法、安全產(chǎn)品，都沒有改變。我們以前是怎么做安全的，在云計算時代，還是怎么做。
我們要做代碼review，要做防火墻，要做WAF，要做XXX，這些都沒有變。
既然你什么都沒變，那你在折騰個什么勁？因為今天“云計算”被炒的太火了，很少有人能說清楚什么叫云計算，更沒有人可以說清楚什么叫“云計算安全”。但是你不這么說，好像就會落伍了，就會被鄙視了。陋習！
從字面上看，給云計算做安全，就叫云計算安全。從某種意義上來說，“云計算安全”是另外一種屠龍術，掛羊頭賣狗肉。如果有人要開個班，培訓“云計算安全”，那一定是騙人的。因為我今天見到的任何所謂“云計算安全”，無論國內(nèi)的還是國外的，都不具有突破性，不需要專門開辟一個領域，叫做“云計算安全”，我們也不需要任何的神壇。
但是云是需要安全的，云需要什么樣的安全？我們不妨叫做：“云計算的安全”。從宏觀層面來說，和傳統(tǒng)安全沒什么變化，還是網(wǎng)絡策略，代碼實現(xiàn)安全，數(shù)據(jù)保護等等。
真要說云時代安全的特征，我認為有兩個，一個是在云中需要執(zhí)行用戶代碼的時候，比較注重虛擬機技術以及各類sandbox技術，另一個就是用戶數(shù)據(jù)的保護。不過這些技術，都沒有突破傳統(tǒng)安全技術的范疇。局部有創(chuàng)新，總體沒改變。
會有些變化的領域，應該是“基于云計算的服務安全”，上層應用會帶來各種各樣的多變性。比如賣虛擬空間啊，比如云的終端放在手機上啊，再比如一些基于云的SAAS服務啊，都會帶來非常獨特的功能，所以基于云服務的安全怎么做，才是真正需要創(chuàng)新和定制化的地方。
我已經(jīng)厭煩了整天云來云去的，這個安全產(chǎn)業(yè)出于對利益的追逐，太浮躁了。
【編輯推薦】
- 云端對決：私有云公共云誰是最后贏家？
- 公共云、私有云 一個都不能少
- 期待+質(zhì)疑 游戲行業(yè)首例公共云落地
- 公共云與私有云的安全區(qū)別 勿囿于舊識
- 如何保障公共云計算彼端的數(shù)據(jù)安全
- 四個真實案例 讓你0距離觸摸云安全
