雲端服務消失會怎樣?

越來越多使用者將數位生活的一部分放入雲端,他們也越常遇到一個問題:它不會永遠存在。更具體地說,人們所依賴的雲端服務就跟任何其他業務一樣:它們可能會關門。
人物Keep your data in check6

近日有些雲端服務關閉或徹底改變了產品內容:

 

 

但這些服務所帶來的變化也有著明顯的「陣痛」。以MySpace為例子,它已經推出新功能一段時間了,並且在六月重新推出新版。有些人讚賞這新版,但還是有些忠實的用戶感到沮喪,因為新版會刪掉他們的內容。

行動技術和雲端服務的快速創新腳步也代表了,如果不幸的無法成功並且快速地獲利,那就會被關閉,即使有許多使用者依賴它們的服務。那麼身為一個使用者,如果同樣的事情發生在你身上,你可以怎樣做來盡量減少風險?

如果服務本身所使用的資料並非屬於你(比方說影片和音樂串流服務),那你沒有什麼可以做的。不過,如果是屬於你自己的資料,像是文件、圖片和新聞來源列表,那有些步驟可以進行。

還記得傳統的3-2-1備份規則:至少有三個副本,存放在至少兩種不同的媒體,至少有一個是異地儲存。將你的資料存放在雲端可以符合最後的兩個要求,不過這些副本不能是存放在服務自己的封閉雲端內。

舉例來說,將你的電影和圖片存一份在你的設備上(甚或是另一個雲端服務)。對於不同的雲端服務來說,程序會有所不同,但概念是一樣的:確保你的資料以應用程式或服務自己的伺服器之外的形式存在。

為雲端服務離線狀況做好準備可能像是個極端的預防措施。但是除了服務徹底消失外,還有許多情況會讓你需要在雲端服務離線下存取資料:你處在無/不安全/昂貴網路的情況下,或服務因為維護或安全事件而離線。

至於雲端服務供應商,他們最好可以在重大變動(或關閉)前的幾個月就加以公告。最近Google閱讀器關閉就是有效公告的一個好例子,因為這可以讓使用者的影響變到最小(當然,除了必須尋找另一個替代服務之外)。MySpace的不幸失態,顯示了改變或增強可能會有反效果。

基準點:「放入雲端」並不是讓你可以不盡心管理資料的藉口。你還是需要為你的資料負責,並且避免將所有的雞蛋放在同一個籃子裡。想要知道如何保護你存放在雲端的資料,可以參考我們的以下數位生活電子指南:「保持你的雲端資料在掌握中」。

 

保持你的雲端資料在掌握中

人物 Keep your data in check1

建立密碼、安裝安全軟體、養成安全的上網習慣。這些典型的安全措施並不足以保護你儲存在雲端的資料。

有許多因素可能會危及到它。註1網路犯罪分子就是一例,他們可能會為了名氣或金錢而籌劃攻擊活動,入侵你的帳號來刪除或洩漏你的資料。你所使用的雲端服務可能會突然遭遇硬體問題,使得你所有的一切都被消除。你的網路連線可能會變得太慢而幾乎無法存取你的雲端服務。

為了避免不必要的悲劇發生,你需要有著安全意識,並採取額外的步驟來確保你資料未來幾年的安全。

人物 Keep your data in check2

確保只有你可以回復你的密碼。

當建立網路帳號時,選擇只有你自己可以回答的密碼回復問題。現在的雲端服務有比較不常見的安全問題可選,越獨特的安全問題越好。如果可以的話,建立屬於自己的問題。

接下來,要建立足夠強大和獨特的答案,就跟要恢復的密碼強度一樣。讓答案完全不可能在網路上查到就能夠做到這一點。

比方說,如果你的安全問題是 – 「誰是你最喜歡的卡通人物?」應該沒有人有辦法去嘗試每一個卡通人物名稱,查看你的社群網頁或檢查你在部落格裡提到的卡通來找到答案。答案應該就像你的密碼一樣,只和你有關。

將答案的字母混雜更好,或是將它變成一個縮寫詞組。利用你原本答案的每個字母當成一個字的第一個字母。再組合成一個隨機短句。為了讓它更加安全,可以選擇和問題本身完全不相干的答案。任何網路犯罪份子都會非常難去猜出這樣的安全答案。

下面是一個例子:

安全問題:你在哪裡遇見你的另一半?

不好的答案:At work(在工作中)。

好答案:Aliens That Want Only Rocket Kits(外星人只需要火箭套件)。

【這是個很好的答案,因為它隨機,而且縮寫讓你足夠容易記住。】

最佳答案:開心果冰淇淋頂部帶有酸味

【這答案和安全問題完全無關,所以網路犯罪份子很難去猜到。】 繼續閱讀

從CSA看雲端服務與資訊安全威脅(CloudSec2012 企業資安高峰會精彩議題搶先看)

CloudSec2012 企業資安高峰會 <立即報名>

蔡一郎

CSA(Cloud Security Alliance)雲端安全聯盟台灣分會創辦人暨研究小組召集人

雲端服務成為下一波網路攻擊的目標,新概念的服務導向型態,推動了下一波的資訊科技革命,進階的攻擊手法目前已朝向組織化、精緻化發展,大規模的攻擊行為已不多見,取而代之的是經過精心設計的網路攻擊,其中利用各種惡意程式感染受害者為當下最常見的手法之一,將針對雲端服務的安全問題進行探討,從雲端安全聯盟(CSA, Cloud Security Alliance)的角度,分析目前常見的資訊的竊取或是大規模的攻擊活動,其中對於惡意程式行為模式的掌握,對於特徵比對的方式進行偵測,變種速度快,系統一旦感染,防毒軟體不易偵測與清除等特性進行介紹

CSA依據不同的研發主題,已啟動了近二十個工作小組以因應目前雲端服務的發展趨勢,並嘗試從學術、產業、政府部門等角度,針對雲端服務的安全問題進行研析,雲端服務的平台受到特定的攻擊,造成雲端服務平台的資源耗盡或系統弱點被廣泛的運用,其中所隱藏的風險,將挑戰使用者對於雲端服務平台的信賴程度,面對此種威脅,講者將透過深入淺出的介紹,帶領與會人員掌握與瞭解雲端服務需要解決的資訊安全威脅與面臨的挑戰。

 
  • 蔡一郎,現職為財團法人國家實驗研究院 國家高速網路與計算中心副研究員,為IT界知名評論家與自由作家,擔任The Honeynet Project 台灣分會負責人(Taiwan Chapter Leader),雲端安全聯盟台灣分會(Cloud Security Alliance Taiwan Chapter)創辦人暨研究小組召集人(Founder and Director of Research),積極推動資訊安全領域關於偵測、分析與誘捕技術之推廣與研究,以及雲端安全在於產官學研界之核心技術;負責台灣學研網路資訊安全維運 與事件的偵測、分析與追蹤,為大型資訊安全計畫執行團隊負責人;專業技術精通UNIX-Like、Windows 作業系統與通訊網路技術,熟悉資訊安全領域相關技術,涵蓋系統安全、網路安全、資訊安全管理制度、資訊探勘與數位鑑識等領域。
  • 現職:財團法人國家實驗研究院 國家高速網路與計算中心 副研究員
  • 學歷:國立成功大學電腦與通訊研究所
  • 經歷:國立成功大學研究發展基金會 助理研究員
    1. The Honeynet Project Taiwan Chapter Leader
      Cloud Security Alliance Taiwan Chapter Founder and Director of Research
  • 網站:https://blog.yilang.org/
  • 自由作家:電腦圖書著作33本、Information Security (資安人)、Linux Guide、NetAdmin等專欄,計70餘篇
  • 專業證照:RHCE、CCNA、CCAI、CEH、CHFI、ACIA、ITIL Foundation、ISO 27001 LAC、ISO 20000 LAC、BS10012 LAC

    CloudSec2012 企業資安高峰會 <立即報名>

  •  CloudSec2012 企業資安高峰會-8/21台北場 8/23 高雄場(另有粉絲報名禮"萬用轉接頭" 即刻報名!!!) 繼續閱讀

《雲端運 算與網路安全 》愛國者法案研究顯示,你的資料在任何國家都不安全

雲端運 算與網路安全 愛國者法案研究顯示,你的資料在任何國家都不安全

作者: 趨勢科技雲端安全副總裁Dave Asprey

趨勢科技雲端安全副總裁Dave Asprey

 

全球資料隱私法律事務所Hogan Lovells發表一份白皮書,概述關於政府存取雲端資料的研究結果。這份報告是由Hogan Lovells的隱私和資訊管理實務主任 – Christopher Wolf和巴黎辦事處的合夥人 – Wiston Maxwell所撰寫。Hogan Lovells的新聞稿在這裡,而完整的白皮書在這裡

 

全世界的IT媒體都提到了這份研究報告,包括ComputerworldPC WorldIT World和IDG新聞。不幸的是,一般都是說「美國的愛國者法案沒有賦予美國特殊權利在資料上」,淡化了美國和其他十個國家法律間的差異。

 

的確,在大多數國家,如果政府想要貴公司的資料,那他們都有方法可以取得。也的確,如果西方政府想要放在其他西方國家雲端伺服器內的資料,他們也都有方法來取得。

 

我在一個資安研討會上親自跟某位聯邦調查局副主任確認了後者。我問說:「如果妳需要一家德國公司放在德國雲端服務供應商的資料以供美國調查,那妳會怎麼做呢?妳有權取得嗎?」她笑著說出類似以下的回答:「我們只要聯絡我們在德國情報單位的同伴們並要求該資料。他們會提供給我們,因為我們也會在他們下次調查時做出一樣的幫助。」當然也有共同法律互助協定(MLAT)來提供法律上的框架以解決這類問題。

 

這項研究也指出,只有德國和美國有禁制令規定來防止雲端服務供應商提出所交出的資料是客戶付錢要求保護的事實。這是「愛國者法案」傷害到美國雲端服務供應商的部分。

  繼續閱讀

最便宜的雲端運算破解MD5法是利用Google,而非Amazon雲端服務

趨勢科技雲端安全副總裁 Dave Asprey

不斷地有關於如何利用雲端運算來破解資訊安全的新聞出現,甚至有用「弱點攻擊即服務(Exploit-as-a-Service)」模式來提供付費入侵的雲端服務。雲端技術可以提供幾乎無上限的運算能力,讓我們必需重新思考一些像是雜湊(hashing)這樣的核心安全技術。

而在今日,有研究人員表示他可以利用雲端服務來破解MD-5雜湊碼,這是一個破解相對比較困難的雜湊演算法。他使用的是Google,而且幾乎不需要花費任何運算時間。聽起來很不可思議,但它優雅的地方就在於它真的很簡單。用著非常跳脫框架的作法,就跟駭客有著一樣的思考模式。

我們看過利用Amazon雲端服務(AWS)來做無線網路的密碼破解攻擊,透過Amazon的「GPU叢集運算服務(Cluster GPU Instances)」你可以拿到許多NVIDIA顯示卡建立的高速運算能力加上10 Giga的網路存取速度跟22 GB的記憶體。比自己建立一個網格雲(這裡的例子是用殭屍網路)要來的更容易的多。

這研究人員用了一個叢集GPU虛擬主機,在不到一小時內破解了超過10個SHA-1編碼的密碼。每個密碼只花費了差不多0.2美元的CPU運算時間。

繼續閱讀

當你把應用程式移到雲端….

你怎麼知道在酒店裡不會得到鼠疫?
鼠疫或許太罕見了,不過一般的感冒咳嗽病毒就很容易會在公共場所裡散播。當你入住飯店的時候,你有多少把握去相信一切都是安全和消毒過的?飯店會雇用清潔人員來落實清潔和衛生標準,以確保你的房間是乾淨的。但是像是門把、電梯按鈕等其他客人整天都會碰到的地方,也都是可能的感染途徑。這些都是我們日常生活中,會在公共場合所面對的風險 我們透過自身的免疫系統和個人衛生來幫助抵禦疾病和感染。

當你將應用程式移動到雲端之後,你會希望能從你的雲端服務供應商得到以下關於資料和應用程式的保證:

·         不會從另一個合租用戶的系統那被感染到病毒。

·         不會成為攻擊其他系統的途徑

·         對其他客戶的應用程式和系統來說是不可見的

·         對雲端服務供應商的管理者來說是不可見的

·         當你離開雲端服務後,一切都會被消除

而且你的雲端服務供應商應該在發生資資料外洩事件時主動通知你。最後,你的雲端服務供應商會遵守一些相關的標準,像是HIPAAPCINIST SAJCCDIACAP等等。

同時,你也有責任去保護自己的資料:

  繼續閱讀