然而在私有云的環(huán)境中，數(shù)據(jù)中心仍然在企業(yè)IT的完全掌控之中，安全威脅有新的變化，但總體來(lái)說(shuō)，邊界安全仍然非常重要，而在公有云的體系中，則不盡如此，多租戶的形式讓企業(yè)不得不考慮內(nèi)部的安全風(fēng)險(xiǎn)。

      在本屆的RSA大會(huì)上，包括亞瑟·科維洛的主題演講中都提到了建立全局安全策略的重要性，而記者也在分會(huì)場(chǎng)的間隙采訪到了道里云信息技術(shù)有限公司首席執(zhí)行官毛文波博士，毛博士也向記者暢談了他對(duì)云計(jì)算，尤其是公有云安全的了解，以及道里云是如何運(yùn)用網(wǎng)絡(luò)虛擬化去解決云數(shù)據(jù)中心安全的干擾。 

      道里云的道理

      道里云2011年7月在中關(guān)村軟件園落地，成立一年多以來(lái)，下來(lái)摸爬滾打，跌跌撞撞，公司的規(guī)模非常小，僅有17個(gè)人，這個(gè)數(shù)量甚至還包含一些臨時(shí)的實(shí)習(xí)生，他們摸索出一些云安全數(shù)據(jù)中心，特有的安全方面問(wèn)題的解決思路，目前做了一個(gè)POC，或者說(shuō)是概念系統(tǒng)，主要解決數(shù)據(jù)中心內(nèi)部的網(wǎng)絡(luò)虛擬化問(wèn)題。云安全里面急需要解決的是網(wǎng)絡(luò)虛擬化問(wèn)題，道里云嘗試用可信計(jì)算的方法保護(hù)密鑰。

      道里云作為一家公司來(lái)說(shuō)，先從創(chuàng)新開(kāi)始，目標(biāo)是市場(chǎng)化，要用產(chǎn)品說(shuō)話，一年下來(lái)，與合作伙伴一起，推出了一些非常新穎的方案，不過(guò)，鑒于云的商業(yè)模式成功還需要時(shí)日，道里云目前仍然是一個(gè)以理念為主的公司。與此同時(shí)，道里云在不放棄研發(fā)創(chuàng)新的同時(shí)也做一些市場(chǎng)要的東西，比如說(shuō)防數(shù)據(jù)泄露方面的產(chǎn)品和解決方案，以及網(wǎng)絡(luò)隔離的方案。從本質(zhì)上來(lái)說(shuō)，道里云是技術(shù)方案提供方，為合作伙伴所做的產(chǎn)品做服務(wù)，還有可以類似于OEM。

但毛文波博士也坦承，目前道里云還沒(méi)有開(kāi)始盈利。

     流動(dòng)的云 不安的數(shù)據(jù)中心

     在云計(jì)算中，信息是具有很強(qiáng)流動(dòng)性的，資源具有共享性，資源處理的地點(diǎn)失控，都是給云計(jì)算帶來(lái)的新的安全的挑戰(zhàn)。毛博士認(rèn)為，在傳統(tǒng)環(huán)境中，IT作為固定資產(chǎn)，為企業(yè)所擁有的時(shí)候不同，云計(jì)算的安全不僅僅是技術(shù)問(wèn)題，還有監(jiān)管等等的問(wèn)題，比如合規(guī)性的問(wèn)題，這是整個(gè)產(chǎn)業(yè)面臨的挑戰(zhàn)。

公有云環(huán)境中的資源共享必然造成一些安全的問(wèn)題，比如在數(shù)據(jù)中心，存儲(chǔ)磁盤(pán)的共享，網(wǎng)絡(luò)的共享，以前企業(yè)自己擁有的各類計(jì)算和存儲(chǔ)資源都在共享狀態(tài)下，這些共享也是內(nèi)部共享，而傳統(tǒng)的安全更多是防外，對(duì)于數(shù)據(jù)中心內(nèi)部的安全威脅則無(wú)能為力。

因此，在從外部看，是合法的行為，內(nèi)部就有可能是攻擊行為，防火墻的意義不能說(shuō)沒(méi)有，但是不大了。

    不同的網(wǎng)絡(luò)虛擬化

     毛博士對(duì)記者介紹，在云計(jì)算數(shù)據(jù)中心中，服務(wù)器以及虛擬化，存儲(chǔ)也已經(jīng)虛擬化，大多數(shù)情況下，只有網(wǎng)絡(luò)也是共享的，而為了安全的保障，我們就需要將網(wǎng)絡(luò)也虛擬化。但同時(shí)，毛博士也表示，現(xiàn)在網(wǎng)絡(luò)虛擬化更多還不是密碼學(xué)的，而是基于標(biāo)記租戶類型的，比如源數(shù)據(jù)部分，加上地址信息，以及這個(gè)背后的數(shù)據(jù)，被加上標(biāo)記，這個(gè)標(biāo)記是不同租客的標(biāo)記，于是乎，每一個(gè)租客就被區(qū)分開(kāi)來(lái)，現(xiàn)在還要額外和租客有關(guān)的，不關(guān)是和地址有關(guān)的信息，這個(gè)租客的網(wǎng)絡(luò)要發(fā)到某個(gè)虛擬機(jī)就可以清晰化了，這樣的網(wǎng)絡(luò)虛擬化，是讓不同的租戶走不同的隧道，根據(jù)標(biāo)簽來(lái)定義的。

     然而，這樣的模式會(huì)導(dǎo)致一個(gè)問(wèn)題，如果我們將虛擬機(jī)遷移到另外服務(wù)器上，那么虛擬機(jī)將會(huì)不連接，由于IP的變化，虛擬機(jī)需要重新打上標(biāo)記，或者說(shuō)是重新挖條隧道。毛博士表示，道里云的方法，整個(gè)數(shù)據(jù)中心全連好的，不同的租客的數(shù)據(jù)，用加密的辦法形成邏輯隔離。這樣，每一個(gè)租戶的數(shù)據(jù)，是單獨(dú)加密的，不論這個(gè)虛擬機(jī)遷移到什么地方，租戶都可以通過(guò)虛擬的網(wǎng)絡(luò)進(jìn)行輸入輸出。毛博士表示，這是一個(gè)比較新的網(wǎng)絡(luò)虛擬化方案，工業(yè)界還沒(méi)有開(kāi)始，正如本屆RSA中國(guó)大會(huì)的主題一樣：偉大密碼勝于利劍，這樣利用密碼學(xué)進(jìn)行的網(wǎng)絡(luò)虛擬化擁有無(wú)限光明的未來(lái)。