【HC3i獨(dú)家翻譯】這些天，人們對(duì)DropBox.com或Box.net網(wǎng)站提供的簡(jiǎn)單安全的文件共享服務(wù)的需求非常強(qiáng)勁,，這些網(wǎng)站都對(duì)隱私權(quán)進(jìn)行了適當(dāng)?shù)南拗坪透檶彶?。FolderGrid等公司正在想方設(shè)法解決HIPAA兼容文件的共享問(wèn)題。FolderGrid的做法在醫(yī)療行業(yè)可謂獨(dú)樹(shù)一幟,，并為其他醫(yī)療信息技術(shù)開(kāi)發(fā)商創(chuàng)建了軟件基礎(chǔ),，使之能夠在此基礎(chǔ)上進(jìn)行構(gòu)建。筆者聯(lián)系了FolderGrid公司的首席技術(shù)官兼患者安全組織(Patient Safety Organization,，PSO)Pascal Metrics信息技術(shù)總監(jiān),、首席安全官Eric Simmerman，并向Eric討教他在醫(yī)療市場(chǎng)搭建評(píng)估云服務(wù)得到的經(jīng)驗(yàn)教訓(xùn),，及應(yīng)該避免哪些錯(cuò)誤,。Eric是這樣回復(fù)的：

　　在充分利用云計(jì)算的種種好處、追求唾手可得的便利性的同時(shí),，不要忽略安全問(wèn)題,。如果新技術(shù)能在更好的層面上等同于服務(wù)的話，那再好不過(guò)了,。然而,，近期新聞顯示，即便是最新成立的公司在保障客戶敏感信息安全方面做得的工作仍不夠充分,，甚至在有些情況下,，還顯得漫不經(jīng)心。

　　如果你是一名正在搭建新的云服務(wù)的工程師,，或者是一名正在評(píng)估服務(wù)提供商的安全策略的潛在用戶,，下列八大戒條可以使你避免在云服務(wù)中出現(xiàn)安全漏洞，這些漏洞已經(jīng)導(dǎo)致賬戶信息失竊和敏感信息泄露,。不要寄希望于得到全面的戒條清單,，現(xiàn)在的這張清單只能幫助你把漏洞縮小到最小的范圍內(nèi)。如果服務(wù)要求高于HIPAA或PCI規(guī)范等標(biāo)準(zhǔn)安全措施,，就應(yīng)該把那些不能遵守這些簡(jiǎn)單規(guī)則的廠家驅(qū)逐出外或提出異議。

　　1,、不要忘給密碼加鹽

　　加密鹽是在用單項(xiàng)函數(shù)加密前,，將一根字符串加到密碼上。這是一個(gè)非常重要的元素,，可以保護(hù)密碼,。今年6月，linkedIn非常吃驚地發(fā)現(xiàn),，有650萬(wàn)用戶的密碼公布在一個(gè)俄羅斯用戶論壇上,。這些密碼都沒(méi)有加鹽,，使用簡(jiǎn)單的詞典式攻擊或類(lèi)似技術(shù)就能馬上侵入60%的密碼。在實(shí)施和操作方面,，給密碼加鹽是件小事,，人們常常忽略給現(xiàn)代系統(tǒng)的密碼加鹽。

　　2,、不要使用MD5散列算法給密碼加密

　　芯片制造商恩威迪亞(NVIDIA)承認(rèn),，7月初其論壇上有400,000用戶的密碼被竊取，這些密碼都沒(méi)有加鹽,，用MD5散列算法給密碼加密,。早在7年前，著名計(jì)算機(jī)安全專(zhuān)家Bruce Schneier就宣布了MD5失效,，目前人們普遍認(rèn)為MD5“成事不足,，敗事有余”。最好的做法是要求使用更為復(fù)雜的bcrypt之類(lèi)的跨平臺(tái)文件加密工具進(jìn)行加密,。

　　3,、不良設(shè)計(jì)方案也會(huì)暴露敏感數(shù)據(jù)

　　新式用戶界面架構(gòu)松散，可能會(huì)變成無(wú)意識(shí)的信息泄露平臺(tái),。隨著AJAX技術(shù)使用量的增加,，網(wǎng)絡(luò)和移動(dòng)應(yīng)用程序常常能把大量數(shù)據(jù)“推到”終端用戶設(shè)備上，用來(lái)支持多個(gè)視圖和操作,，而無(wú)需發(fā)出新的請(qǐng)求,。如此一來(lái)，就能帶來(lái)更佳的用戶體驗(yàn)和更快的應(yīng)用程序響應(yīng)速度,。

　　然而,，這些技術(shù)的不當(dāng)使用可能導(dǎo)致敏感信息的泄露，讓看起來(lái)有效保護(hù)的系統(tǒng)更加脆弱,。

　　4,、不要使用通用密鑰給多用戶數(shù)據(jù)加密

　　如果辦公樓中的每個(gè)房間都使用同一把鎖，每個(gè)租戶領(lǐng)的鑰匙也一樣,，這樣的辦公室沒(méi)有人會(huì)租用,。同理，在給云中的敏感數(shù)據(jù)加密時(shí),，應(yīng)該堅(jiān)持用其自己特定的密鑰進(jìn)行加密,。因多用戶的數(shù)據(jù)而使用通用加密密鑰使所有這些用戶遭受額外的泄露風(fēng)險(xiǎn)。如果有一個(gè)用通用密鑰加密的對(duì)象成功遭到襲擊的話,，那么每一個(gè)使用同一個(gè)通用密鑰加密的其它對(duì)象都會(huì)成為潛在的受害者,。

　　在多租戶平臺(tái)上，這一點(diǎn)尤為重要，因?yàn)楹苡锌赡芤幻蚨嗝脩艋蜃鈶艄室庑孤锻ㄓ妹荑€,，并由此獲取其它租戶的數(shù)據(jù),。

　　亞馬遜(Amazon)的服務(wù)器端加密支持(Server Side Encryption Support)，為每個(gè)對(duì)象存儲(chǔ)信息時(shí)都使用通用密鑰,，就是一個(gè)合理設(shè)計(jì)的范例,。但是，并不是每一個(gè)為加密敏感信息買(mǎi)單的廠家都堅(jiān)持這個(gè)立場(chǎng),。

　　5,、不要無(wú)限期地使用重置令牌

　　每一項(xiàng)與個(gè)人用戶和密碼有關(guān)的服務(wù)都需要某種形式的密碼重置。密碼重置一般采用“重置鏈接”或向提出重設(shè)密碼申請(qǐng)的用戶的電子郵箱發(fā)送“臨時(shí)密碼”等方法,。最佳做法是在一段時(shí)間后使臨時(shí)憑證國(guó)企,，但大多數(shù)服務(wù)不能堅(jiān)持遵循這種原則。

　　本月雅虎的泄露事件表明,，電子郵件賬戶是病毒和惡意軟件傳播,、身份信息盜竊的主要目標(biāo)。設(shè)計(jì)科學(xué)的云服務(wù)應(yīng)該避免將有效密碼保存在電子郵件中的時(shí)間超過(guò)必要的密碼重設(shè)時(shí)間,。15分鐘后密碼失效是一個(gè)很好的方法,。

　　6、不要將用戶密碼保存在移動(dòng)設(shè)備或共享工作站

　　在安全與可用性孰輕孰重問(wèn)題上,，安全的問(wèn)題常常讓步于終端用戶對(duì)可用性的要求,。當(dāng)云服務(wù)安裝在共享工作臺(tái)或移動(dòng)設(shè)備的應(yīng)用程序上，用戶常常希望只需一次就能登錄到云服務(wù)上,。然而,，如果應(yīng)用程序能讓用戶無(wú)限期地獲得驗(yàn)證，就必須用一種不安全的方法存留用戶密碼,，使得服務(wù)的安全性依賴于設(shè)備的安全性,。

　　如果在重啟或退出登錄后，應(yīng)用程序可以保存和讀出密碼,，那么訪問(wèn)設(shè)備的攻擊者也能這么做,。諸多證據(jù)證明不應(yīng)該將設(shè)備的實(shí)際占有等同于授權(quán)服務(wù)。

　　7,、不要存留身份認(rèn)證令牌

　　最后一條戒律解決了用戶密碼保存問(wèn)題,，確保密碼不會(huì)因?yàn)閻阂庥脩粼L問(wèn)同一個(gè)工作站而被竊取。這條戒律與最后一條類(lèi)似,，但是提醒我們?cè)诒Ｗo(hù)密碼的同時(shí)通過(guò)其它持續(xù)方法允許驗(yàn)證,，這兩種方法都可能“貽誤時(shí)機(jī)”。

　　Dropbox網(wǎng)站也由于無(wú)法堅(jiān)持這個(gè)做法,，而遭到媒體負(fù)面的報(bào)道。Dropbox網(wǎng)站用戶發(fā)現(xiàn),，僅僅復(fù)制受害人電腦的一個(gè)文件就可以秘密獲得任何人賬戶中的所有文件,。

　　8,、一定支持與最新流程的整合

　　有一句安全方面的老格言這樣說(shuō)道;“你讓某事變得更安全，它就會(huì)變得更不安全,?！痹蚝卧?因?yàn)槿绻踩K事的話，善意的用戶也會(huì)想出變通的方法破壞安全,。因此,，粘在監(jiān)視器前面的密碼和回收站會(huì)造成一發(fā)不可收拾的結(jié)局。

　　我們把這些經(jīng)驗(yàn)教訓(xùn)運(yùn)用到云服務(wù)領(lǐng)域,，意味著必須用新型工具和工作流集成來(lái)支持用戶的需求,。如果不想讓用戶從云服務(wù)中加載敏感文件,、把敏感文件發(fā)送給同事的話，那么云服務(wù)就必須提供分配和協(xié)作的便利方法。如果不想讓用戶共享一套共同的憑證,，那么就要讓認(rèn)證和授權(quán)過(guò)程盡量簡(jiǎn)化。

　　對(duì)于云服務(wù)提供商來(lái)說(shuō),，這還只是開(kāi)始,。很多提供商在進(jìn)入市場(chǎng)時(shí)在安全方面偷工減料。今天,，如果在評(píng)估云服務(wù)提供商的安全策略時(shí)進(jìn)行盡職調(diào)查,，就可以達(dá)到未雨綢繆的效果。如果你正在搭建云服務(wù),，那么堅(jiān)持上述八條戒律則就會(huì)實(shí)現(xiàn)良好的開(kāi)局