Hkrati z razvojem tehnologije moramo torej predrugačiti tudi pristop k njeni varnosti. V časih centralnih računalnikov (mainframe) so zidovi in ključavnice zadostovali. Nato je prišlo obdobje strežnikov in odjemalcev, ko je bil dober požarni zid v kombinaciji s protivirusnim programom povsem zadostna zaščita. Trenutno je popis dobrih praks že precej daljši in poleg požarnega zidu obsega še sisteme za preprečevanje vdorov, nadzor dostopa, spletno varnost, varnost elektronske pošte, ocenjevanje ranljivosti … A v oblaku za zdaj niso zares znane še niti nevarnosti, kaj šele izčrpen seznam dobrih varnostnih praks ali celo standardov.
TEMNI OBLAKI
Obeti občutnega zmanjšanja stroškov kapitala, zmanjševanja zoprne naloge vzdrževanja infrastrukture, večjega osredotočenja na osnovne kompetence ter prilagodljivost dobave IT- zmogljivosti na zahtevo so glavne prednosti, ki se jih podjetja lahko nadejajo od oblaka. A nad vsemi pozitivnimi učinki se zbirajo temni oblaki novih nevarnosti, ki so, kot vedno, na obzorju prej kot rešitve zanje.
Ustanovljenih je bilo kar nekaj organizacij, ki se ukvarjajo predvsem z varnostjo v oblaku, čeprav ta po mnenju mnogih strokovnjakov ravno tako kot znotraj kake druge tehnologije zahteva holističen pristop (glej okvir). Med temi organizacijami je v ospredju CSA (Cloud Security Alliance), ki je konec leta 2009 izdala dokument z naslovom Security Guidance for Critical Areas in Cloud Computing. Varnostne usmeritve, ki jih dokument priporoča, so zlagoma prerasle v katalog dobrih praks, ki ga mnoge organizacije uporabljajo pri upravljanju svojih strategij v zvezi z oblakom. V »nadgradnji« tega dokumenta CSA kot najnevarnejše navaja naslednje grožnje, ki pa niso razvrščene po stopnji nevarnosti: zloraba in zlonamerna raba računalništva v oblaku, ranljivi vmesniki in API, zlonamerni uslužbenci CSP (Cloud Service Provider), težave v zvezi z deljeno rabo tehnoloških virov, možnost izgube ali »odtekanja« podatkov, prisvajanje uporabniških računov ali storitev ter neznana stopnja in profil tveganja.
Svoj seznam potencialnih varnostnih težav je objavila tudi analitska hiša Gartner v svojem junijskem poročilu z naslovom Assessing the Security Risks of Cloud Computing, v katerem kot ključne kamne spotike pri pogajanjih s ponudnikom oblačnih storitev (ob katere se je vredno obregniti pred podpisom pogodbe) na prvem mestu navaja dostop privilegiranih uporabnikov na strani CSP-jev do občutljivih podatkov uporabnika. Za zmanjšanje tveganja velja ponudnika povprašati o procesih kadrovanja, nadzora nad privilegiranimi administratorji in nadzora dostopa(nja) teh do podatkov uporabnika. Na seznamu možnih težav sledi skladnost z regulativo, saj so uporabniki odgovorni za varnost in celovitost svojih podatkov, kar je še posebej pomembno, ko gre za organizacije – upravljavce zbirk osebnih podatkov. Težava je tolikanj težje rešljiva, ker obstoječi standardi in certifikacijski programi niso usklajeni z napredkom tehnologije in kot taki pravzaprav nimajo nobene prave teže. To je povezano tudi s problemom same lokacije podatkov, saj običajno pri velikih ponudnikih, kot so Amazon, Google in drugi, niti ne vemo, v kateri državi so ti podatki. Upoštevanje lokalne zakonodaje v zvezi z, denimo, hrambo podatkov pri tem ostaja odgovornosti uporabnika, čeprav ta v resnici nima niti vpogleda niti nadzora nad tem, ali zakonodajo krši ali ne. S sorodno težavo se srečuje uporabnik tudi pri potrebi po preiskovanju nezakonitih dejavnosti v zvezi s svojo oblačno rešitvijo, kajti tudi dnevniške datoteke so pri ponudnikih običajno v souporabi. Gartnerjev seznam se zaključuje z obnovo podatkov in dolgoročnostjo odnosa ter zaupanjem med ponudnikom in uporabnikom, ki bi pravzaprav moral biti temelj uporabe tovrstnih storitev.
FaaS in preostale težave
Kar nekaj jih je, in to ne zanemarljivih. Prva izhaja iz narave modela dostave oblačnih storitev. Ponudniki teh imajo namreč nekaj močnih argumentov proti pretiranemu razkrivanju podatkov o svojem oblaku, tako potencialnim in obstoječim pogodbenim uporabnikom kot drugim deležnikom. Konkurenca bi namreč tako lahko prišla do podatkov o obremenjenosti in delovanju njihovih storitev ter jih izkoristila za pridobivanje konkurenčne prednosti. Kar je še pomembneje, iste podatke bi lahko zlonamerni posamezniki ali organizacije (glej FaaS) izkoristili za povzročanje škode in napade bodisi na sistem (tj. ponudnikov oblak) bodisi na ugled ponudnika. Tudi to je eden izmed razlogov za precejšnjo zaskrbljenost glede izvedbe »tradicionalne« preiskave, če se je incident zgodil na enem izmed navideznih strojev uporabnika v ponudnikovem oblaku: je preiskava potemtakem sploh možna, in če da, kje jo sploh začeti?
Pri RSA so se že v letu 2008 razpisali o pojavu FaaS (Fraud as Service) oziroma »prevare kot storitve«. Gre za celovite zlonamerne rešitve, ki omogočajo izkoriščanje oblaka na pravzaprav enak način kot v čisto legalnih primerih. Naročnik, oglaševalec, kdorkoli, ki tovrstno storitev potrebuje, lahko naroči gostovanje v pred radovednimi očmi in prsti zaščitenem strežniku z vgrajenim administratorskim vmesnikom, »trojansko« programsko opremo, orodji za množično okuževanje ter drugimi potrebščinami za digitalno gverilo. Iskanje, kupovanje in vzdrževanje tovrstne programske opreme je namreč zoprno in drago, prav tako iskanje »varnega« strežnika in širjenje zlonamerne kode po t. i. infekcijskih točkah. Zato zadevo najameš kot storitev, spremljaš ROI in se posvetiš svoji osnovni dejavnosti. Zveni znano, mar ne?
Brez obojestranskega zaupanja in nadzora med ponudnikom in uporabnikom oblačnih storitev preiskava takšnih in podobnih zlonamernih operacij gotovo ni mogoča. Pogoj za zaupanje in nadzor je transparentnost, ki pa je, zaradi prej omenjenih, dokaj upravičenih skrbi ponudnika, bolj ali manj ni.
VARNOSTNE PREDNOSTI RAČUNALNIŠTVA V OBLAKU
Ne boste verjeli, tudi teh je kar nekaj. Dejstvo, da so oblačne strukture večje in centralizirane za posameznega uporabnika pomeni manjšo investicijo, boljšo porazdelitev tveganja, preprostejše nameščanje varnostnih popravkov ter preglednejše upravljanje. Tudi sama kompleksnost tega centraliziranega sistema pomeni en adut v rokavu obrambe uporabnikovih podatkov, prav tako prilagodljivost virov, ki jih uporabljamo za filtriranje, nadzor in upravljanje prometa, overjanje, šifriranje in druge varnostne ukrepe in politike. Ne glede na to, da je prednosti, merjenih recimo v številu vrstic tega članka, manj, pa se pravzaprav nanašajo na iste lastnosti oblaka kot njegove nevarnosti.
PREDNOSTI IN SLABOSTI VRSTNEGA REDA
Tudi to kaže, da gre pri računalništvu v oblaku za zelo pomemben prehod v zgodovini informacijskih tehnologij. Toda tudi za tega bomo, kot v vsakem prelomnem tehnološkem trenutku doslej, plačali določeno ceno, preden ga usvojimo. Zato bomo potrebovali precej časa. Časa, da se tehnologije navadimo, časa, da se med deležniki uravnotežijo medsebojne relacije, časa, da prihodnje generacije uporabnikov in poslovnežev model vzamejo za svojega. Kot vselej pa bo tudi tokrat napredek težko prehiteti po desni, tako da bi se še pred rojstvom problema zanj pojavila pravšnja rešitev.
Nemara malce čudna, a vendarle ustrezna primerjava bi bili zakladi in dragocenosti, ki so jih imeli kralji njega dni spravljene v grajskih kleteh. Te so bile obdane z grajskim obzidjem, grad pa z okopom, polnim vode. Potem so se razmere spremenile, bolj ali manj uspešni roparji in napadalci so z razvojem strelnega orožja in novih, drznejših osvajalskih strategij pridobili prednost pred branilci in model gradu se je nekako izpel. Dragocenosti tako zdaj večinoma ležijo v bančnih trezorjih skupaj s tistimi drugih lastnikov, kjer jih varuje ista varnostna služba, alarmi in drugi varnostni sistemi. A v bankah so (v nasprotju s zagotavljanjem računalništva na zahtevo) koristi, pravila igre, tveganja ter odgovornosti vseh deležnikov znana že dolgo.
Pravila igre glede varnosti v oblaku pa moramo zgraditi skorajda od začetka, saj smo šele pravkar dodobra spoznali, kaj je to banka. Če novih pravil ne bo, potem podjetja in druge organizacije ne bodo mogle izkoristiti poslovnih prednosti storitev v oblaku in bodo svoje podatkovne zaklade še naprej hranili v svojih prostorih.
Omenjena pravila igre so namreč, enako kot v prejšnjem srednejeveškem primeru, posledica reakcije na nove variacije venomer istih varnostnih težav – kako dragocenosti (v bitih ali karatih) zavarovati pred nepridipravi in uničenjem. Obliko, primernost in učinkovitost te reakcije lahko ob tokratni reinkarnaciji teh težav definiramo skorajda od začetka. Zato varnost niti za ponudnike niti za uporabnike oblaka ni in ne sme biti dodaten strošek, saj lahko omogoči ali onemogoči širši prehod v oblak. Prehod, ki je pogoj za v začetku omenjene inovacije, te pa za novonastale prednosti, ki jih bodo prej ali slej zaradi znižanih operativnih stroškov podjetij na svoji koži občutili tudi končni uporabniki.
Moj mikro, december 2010 | Boštjan Klajnščak |
