Czy nasze dane w chmurze są bezpieczne?

W ostatnich latach chmura obliczeniowa stała się bardzo popularną usługą, która przyciąga setki tysięcy klientów gotowych zapłacić za profesjonalne i, co najważniejsze, bezpieczne składowanie cennych informacji. Na ile zatem bezpieczne jest przechowywanie danych przy użyciu cloud computingu?

autor: Maciej Ziarek

W rzeczywistości klient nie ma możliwości zweryfikowania poprawności działania danej usługi oraz podatności zastosowanych systemów bezpieczeństwa na ataki cyberprzestępców. Wszystko sprowadza się tak naprawdę do informacji zawartych na stronie, opinii innych klientów oraz wiarygodności firmy. Klient ma tylko dwie opcje do wyboru – uwierzyć zapewnieniom usługodawcy lub nie.

Wiara czyni cuda

Oczywiście zasada ta nie sprowadza się jedynie do firm świadczących usługi przechowywania danych w chmurze, ale także do firm hostingowych i każdej innej instytucji, która proponuje świadczenie usług na odległość. Kupując dysk twardy o dużej pojemności, do pewnego stopnia sprawujemy nad nim kontrolę, wiemy kto może uzyskać do niego dostęp lub odwrotnie – trzymamy go w bezpiecznym miejscu, wiedząc, że nikt poza nami nie dowie się, co na nim jest. W przypadku chmury, składujemy dane na serwerze i nawet jeżeli są one szyfrowane, nigdy nie uzyskamy stuprocentowej pewności, że w wyniku błędu lub czynnika ludzkiego, informacje nie dostaną się w niepowołane ręce. Nie kontrolujemy fizycznie serwerów i musimy zaufać producentowi/usługodawcy, że dane faktycznie są bezpieczne.

Każda większa wpadka związana z bezpieczeństwem cloud computingu, „odbija się czkawką” wszystkim firmom z tej branży, gdyż klienci zadają sobie pytanie: jeżeli u jednego usługodawcy doszło do wycieku danych z chmury, to czy moje zasoby na serwerach są bezpieczne?

W 2011 r. firma Context zaprezentowała wyniki badań dotyczących usług przetwarzania danych w chmurze, oferowanych przez czterech dostawców (szczegóły raportu można znaleźć pod adresem http://www.contextis.com/research/blog/dirty-disks-raise-new-questions-about-cloud-securi/). W pewnej sytuacji klienci korzystający z usług cloud computingu, mogą mieć dostęp do danych innych osób, które także wykorzystują serwery dostawcy do przechowywania informacji. Początkowo, firma Context nie mówiła wprost, o jakich usługodawców chodzi. Dziś jednak wiemy, że były to Amazon EC2, Gignet, Rackspace oraz VPS.net.

Błędy wykryte podczas badań to m.in. brak aplikacji antywirusowych oraz łat bezpieczeństwa. Najpoważniejszym uchybieniem była jednak sytuacja, w której klient rezygnował z dalszych usług chmury. Taka decyzja powinna zaowocować skasowaniem wszystkich danych klienta z serwera. Tak się jednak nie stało i nowy nabywca otrzymał dostęp do tej samej wirtualnej maszyny, a także wszystkich zapisanych na niej informacji. Oczywiście zanim te informacje zostały upublicznione, firma Context dała czas na naprawienie błędów. Nie zmienia to jednak faktu, że osoby o mniej przyjaznych zamiarach, niekoniecznie musiały dzielić się swoim odkryciem dotyczącym dostępu do cudzych danych.

Zrób to sam

Bądźmy szczerzy, patrząc z perspektywy czasu przeznaczonego na wdrażanie usługi, chmura obliczeniowa czy też chmura danych jest stosunkowo młodym rozwiązaniem. Przez lata firmy wolały składować dane w swoich budynkach. Nie oznacza to jednak, że chmura jest czymś niebezpiecznym i niedojrzałym. Wielu usługodawców zapewnia realne bezpieczeństwo, a nie jedynie puste slogany reklamowe. Jeżeli informacje, które składujemy na zewnętrznych serwerach, mają dla nas najwyższą rangę, nic nie stoi na przeszkodzie, by – poza aplikacjami dostarczanymi przez samych usługodawców – skorzystać z dodatkowych, często bezpłatnych narzędzi do szyfrowania danych i na serwery firm trzecich przesyłać informacje w formie zaszyfrowanej. Mamy wówczas pewność, że nawet w przypadku wycieku danych lub błędu owocującego uzyskaniem dostępu do serwera przez osoby niepożądane, nikt nie odczyta tego, co składujemy np. na wirtualnej maszynie.

Czym zatem kierować się podczas wyboru odpowiedniej dla nas chmury? Absolutnym minimum jest szyfrowanie procesu logowania (SSL) czy odpowiedni certyfikat bezpieczeństwa (np. VPN). Ważne, by dane przechowywane na serwerach były domyślnie szyfrowane po stronie usługodawcy, zaraz po zakończeniu sesji. Na stronie firmy świadczącej usługę w chmurze powinny znajdować się informacje o użytym oprogramowaniu i jego wersji. W ten sposób sprawdzimy, czy przypadkiem dostawca nie używa przestarzałych i niezałatanych aplikacji.

Warto zwrócić także uwagę na następujące czynniki:

• serwery powinny być zaopatrzone w zapasowe generatory i zasilacze UPS w celu zagwarantowania nieprzerwanego dostępu do danych;
• łączność z serwerami powinna być błyskawiczna i niezawodna (najlepsze rozwiązania wykorzystują światłowody);
• środowisko serwerowni powinno być stałe, temperatury i wilgotność muszą być utrzymane na tym samym poziomie, przez cały okres używania serwerów;
• warto zapoznać się z lokalizacją budynku, by dowiedzieć się, czy serwery nie znajdują się w regionach, które często dotykają katastrofy naturalne np. huragany czy powodzie;
• klient powinien także dowiedzieć się w jaki sposób kontrolowany jest fizyczny dostęp do informacji. Chodzi o sytuację, kiedy właściciel np. jednej szafy serwerowej uzyskuje możliwość fizycznego dostępu do urządzenia, i czy w tym samym pomieszczeniu nie znajdują się także urządzenia innych klientów. Ważne jest także to, na ile urządzenia te są odseparowane od siebie.

Na koniec należy dodać, że firmy zagraniczne, które oferują usługę hostingu czy wykorzystania serwerów wirtualnych, a więc dostępu do szeroko pojętej chmury obliczeniowej, podlegają prawu państwa, w którym mają swoją siedzibę. Innymi słowy, dane przechowywane na serwerach mogą być objęte jurysdykcją inną niż właściwa dla klienta. Oczywiście istnieją regulacje prawne, omijające ten problem, jednak warto się z nimi zapoznać, zanim zaczniemy przechowywać dane na serwerach w innym kraju.

Warto też pamiętać, że producenci sprzętu i oprogramowania coraz częściej oferują wraz ze swoimi produktami pewną przestrzeń na dane w chmurze – na przykład, kupując laptopa możemy otrzymać 50 GB miejsca na nasze dane – oczywiście w chmurze. Nawet jeżeli taka oferta pochodzi od znanej, renomowanej firmy, nic nie stoi na przeszkodzie, aby zapoznać się ze specyfikacją sprzętu oraz metodami ochrony danych – w końcu to nasze informacje i nikt o nie zadba lepiej, niż my sami.