網(wǎng)絡(luò)虛擬化借力密碼學(xué)：云計(jì)算的安全拼圖？

云計(jì)算的基礎(chǔ)架構(gòu)，從目前來看，已經(jīng)不會再有大的變動，目前的體系已經(jīng)日趨成熟，依托于虛擬化技術(shù)，云能實(shí)現(xiàn)快速的遷移和資源的動態(tài)調(diào)配。在私有云的環(huán)境中，數(shù)據(jù)中心仍然在企業(yè)IT的完全掌控之中，安全威脅有新的變化，但總體來說，邊界安全仍然非常重要，而在公有云的體系中，則不盡如此，多租戶的形式讓企業(yè)不得不考慮內(nèi)部的安全風(fēng)險。

在本屆的RSA大會上，包括亞瑟·科維洛的主題演講中都提到了建立全局安全策略的重要性，而記者也在分會場的間隙采訪到了道里云信息技術(shù)有限公司首席執(zhí)行官毛文波博士，毛博士也向記者暢談了他對云計(jì)算，尤其是公有云安全的了解，以及道里云是如何運(yùn)用網(wǎng)絡(luò)虛擬化去解決云數(shù)據(jù)中心安全的困擾。

道里云的道理

道里云2011年7月在中關(guān)村軟件園落地，成立一年多以來，下來摸爬滾打，跌跌撞撞，公司的規(guī)模非常小，僅有17個人，這個數(shù)量甚至還包含一些臨時的實(shí)習(xí)生，他們摸索出一些云安全數(shù)據(jù)中心，特有的安全方面問題的解決思路，目前做了一個POC，或者說是概念系統(tǒng)，主要解決數(shù)據(jù)中心內(nèi)部的網(wǎng)絡(luò)虛擬化問題。云安全里面急需要解決的是網(wǎng)絡(luò)虛擬化問題，道里云嘗試用可信計(jì)算的方法保護(hù)密鑰。

道里云作為一家公司來說，先從創(chuàng)新開始，目標(biāo)是市場化，要用產(chǎn)品說話，一年下來，與合作伙伴一起，推出了一些非常新穎的方案，不過，鑒于云的商業(yè)模式成功還需要時日，道里云目前仍然是一個以理念為主的公司。

與此同時，道里云在不放棄研發(fā)創(chuàng)新的同時也做一些市場要的東西，比如說防數(shù)據(jù)泄露方面的產(chǎn)品和解決方案，以及網(wǎng)絡(luò)隔離的方案。

從本質(zhì)上來說，道里云是技術(shù)方案提供方，為合作伙伴所做的產(chǎn)品做服務(wù)，還有可以類似于OEM。

但毛文波博士也坦承，目前道里云還沒有開始盈利。

流動的云 不安的數(shù)據(jù)中心

在云計(jì)算中，信息是具有很強(qiáng)流動性的，資源具有共享性，資源處理的地點(diǎn)失控，都是給云計(jì)算帶來的新的安全的挑戰(zhàn)。

毛博士認(rèn)為，在傳統(tǒng)環(huán)境中，IT作為固定資產(chǎn)，為企業(yè)所擁有的時候不同，云計(jì)算的安全不僅僅是技術(shù)問題，還有監(jiān)管等等的問題，比如合規(guī)性的問題，這是整個產(chǎn)業(yè)面臨的挑戰(zhàn)。

公有云環(huán)境中的資源共享必然造成一些安全的問題，比如在數(shù)據(jù)中心，存儲磁盤的共享，網(wǎng)絡(luò)的共享，以前企業(yè)自己擁有的各類計(jì)算和存儲資源都在共享狀態(tài)下，這些共享也是內(nèi)部共享，而傳統(tǒng)的安全更多是防外，對于數(shù)據(jù)中心內(nèi)部的安全威脅則無能為力。

因此，在從外部看，是合法的行為，內(nèi)部就有可能是攻擊行為，防火墻的意義不能說沒有，但是不大了。

不同的網(wǎng)絡(luò)虛擬化

毛博士對記者介紹，在云計(jì)算數(shù)據(jù)中心中，服務(wù)器以及虛擬化，存儲也已經(jīng)虛擬化，大多數(shù)情況下，只有網(wǎng)絡(luò)也是共享的，而為了安全的保障，我們就需要將網(wǎng)絡(luò)也虛擬化。

但同時，毛博士也表示，現(xiàn)在網(wǎng)絡(luò)虛擬化更多還不是密碼學(xué)的，而是基于標(biāo)記租戶類型的，比如源數(shù)據(jù)部分，加上地址信息，以及這個背后的數(shù)據(jù)，被加上標(biāo)記，這個標(biāo)記是不同租客的標(biāo)記，于是乎，每一個租客就被區(qū)分開來，現(xiàn)在還要額外和租客有關(guān)的，不關(guān)是和地址有關(guān)的信息，這個租客的網(wǎng)絡(luò)要發(fā)到某個虛擬機(jī)就可以清晰化了，這樣的網(wǎng)絡(luò)虛擬化，是讓不同的租戶走不同的隧道，根據(jù)標(biāo)簽來定義的。

然而，這樣的模式會導(dǎo)致一個問題，如果我們將虛擬機(jī)遷移到另外服務(wù)器上，那么虛擬機(jī)將會不連接，由于IP的變化，虛擬機(jī)需要重新打上標(biāo)記，或者說是重新挖條隧道。

毛博士表示，道里云的方法，整個數(shù)據(jù)中心全連好的，不同的租客的數(shù)據(jù)，用加密的辦法形成邏輯隔離。這樣，每一個租戶的數(shù)據(jù)，是單獨(dú)加密的，不論這個虛擬機(jī)遷移到什么地方，租戶都可以通過虛擬的網(wǎng)絡(luò)進(jìn)行輸入輸出。

毛博士表示，這是一個比較新的網(wǎng)絡(luò)虛擬化方案，工業(yè)界還沒有開始，正如本屆RSA中國大會的主題一樣：偉大密碼勝于利劍，這樣利用密碼學(xué)進(jìn)行的網(wǎng)絡(luò)虛擬化擁有無限光明的未來。

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]