新闻背景资料:

12月22日,国家互联网应急中心(CNCERT)发布了《关于CSDN中文社区用户帐号密码泄露的安全公告》主要内容:疑似泄露的数据库有26个,涉及帐号、密码2.78亿条。确认CSDN社区、天涯社区两家网站发生了用户数据泄漏事件,但泄漏原因还有待进一步分析。详细情况参见公告:http://www.cert.org.cn/articles/bulletin/common/2011123025709.shtml

我的一点看法:

这起事件之所以造成了较大的社会影响,主要有以下几个方面的原因:

1,涉及的账户数据库高达26个,账户信息更高达2.78亿条。
2,事关CSDN和天涯两大超人气社区。
3,因为很多人习惯于在多个不同的地点使用相同的账号,因此受影响的范围实际远大于以上数字。
4,泄密数据库中的密码被黑客导入到“蛮力”攻击工具作为密码字典,一旦被广泛使用,泄密造成的影响将长期存在。
5,泄密的原因至今不明,网上流传多种说法。可以肯定的是,相关网站没有尽到其应尽的义务。
6,2012年将是云计算蓬勃发展的一年,这一事件给很多企业敲响了警报,云安全将成为企业发展云计算,特别是应用公有云的最大障碍。

暴露出的主要问题及如何避免类似事件再次发生:

从技术的层面来讲,这一次泄密事件实在没有什么新意,发生这样的事件也丝毫不用感到意外,CERT给出的“五条建议”已经很全面了,我就不再累述了。

我只想谈一谈发生类似事件的必然性,以及这一事件与云安全的关系。实际上我们是没有能力“避免”类似事件再次发生的,只能尽力降低泄密的风险。

让我们从“责权利”的角度来看看泄密事件发生的根本原因:

1,责即责任,从互联网诞生的那一天开始,网站对用户信息的保护就有着不可推卸的责任,但是真正担负起这一责任的又有几家呢?特别是那些提供“免费服务”的网站,不仅没有责任心,不肯在安全方面投入,甚至还坚守自盗,变卖用户信息大发不义之财。

2,权即权力,网站在保护用户信息方面有多大权力,也是不容忽视的问题,网站一方面要保护用户的信息,另一方面要接受政府部门的监管,如果不能够很好地界定各方的权力,监管职能也可能被滥用。

3,利即利益,商人无利不起早,在安全方面的投入能得到什么回报呢?这就需要政府和社会两方面的努力了。在中国经商,违法违规的成本太低了,因此必须完善法律法规,且重点不应该放在事后惩治,而应该放在事前预防,英语里有个“due care”,这个词很好,政府应该对商家讲清楚,什么是你的职责,你必须尽职尽责。商家要接受审查,且在发生事故后要负有举证责任,要提供审计日志证明自己是尽责的,否则要遭受严惩,违法成本要远高于尽责成本。另一方面,社会要重视商家的信誉,大家一起建立起诚信社会,中国人太健忘了,这极大地纵容了商家。我们一边高喊“道歉有用,还要警察干什么”,一边很快地原谅那些靠眼泪博取同情蒙混过关的商家,还自我安慰说“其实都一样”。有句俗语叫“好了伤疤忘了疼”,有了如此宽容的政府和用户,商家从不曾体会到“疼”的感觉,又怎么会花钱去尽责呢?

再谈谈云安全吧,看看这一事件在云安全方面给我们的启示,我同样不谈技术层面的东西,技术能解决的,根本就不是问题。

严格意义上的云计算应该只有公有云而没有私有云,大企业自建的私有云,实际上也是内部各个部门之间服务关系的体现。因此,云计算是一种新的IT服务形式,云计算服务的提供者与消费者是一种契约关系。

问题来了,双方在签订服务合同时,能否把一切相关内容都写入合同之中呢?这显然是不现实的,任何一份商业合同都不可能面面俱到。那么服务过程中如果产生了纠纷,而相关内容在合同中又没有言明,该作何处理?

这就是我要讲的合规性,它是云安全的关键点。我认为当前中国发展云计算的三大障碍是投资回报,网络及安全性,而云安全中最重要的部分则是合规性。

为什么前一段很多云计算项目被戏称为“云地产”呢,是因为本末倒置。先把云平台建起来,再“挖掘”需求。或者先讲故事,编造出一堆需求,为云计算项目的上马铺路。这是很可怕的。

云计算时代,什么是政府应该做的?第一是敦促并帮助运营商把网络建好,第二是把相关的法律法规完善起来,当好裁判员。这两件事情做不好,政府就拖了中国云计算发展的后腿。有了健全的法律法规,自然会有安全厂商开发出自动化的工具,帮助服务商实现合规性,用户也更容易选择好的服务提供商。

失去一部分控制力并不可怕,可怕的是服务提供商的“责权利”不明晰,服务提供商的行为得不到监管,这样服务质量肯定得不到保证,用户拥有再多的选择权也是白搭,最后就真的应了前面那句话“其实都一样”。

[完]