专访微软副总裁：云安全要靠硬件保证

　　5月26日，微软公司副总裁斯科特•查尼（Scott Charney）在接受搜狐IT专访时表示，云计算时代的到来让互联网信息安全面临更高的挑战，越来越多的互联网犯罪是从最终用户下手，因此，需要更多地将安全措施植根于硬件中，例如采用比用户名、密码更为可靠身份认证机制，以为每一个用户提供安全的、隐私得到保护的、可靠的计算体验。

微软公司副总裁斯科特•查尼

　　查尼先生负责微软公司的可信赖计算，领导公司安全战略小组，与产品开发部门合作，开发及提供可靠的产品、服务和计算机基础设施。查尼先生有深厚的司法行业背景，但在采访中，搜狐IT觉得旁征博引的他更像是一位颇有些高深的哲学家。

　　从攻击操作系统到攻击最终用户

　　由于从上个世纪90年代初就开始和计算机犯罪作斗争，查尼先生谈起20年来信息安全领域的变化很有发言权。他说，2002年比尔盖茨发布了微软可信赖计算战略，目标是为每一个用户提供安全的、隐私得到保护的、可靠的计算体验，从此，微软花了很多时间改变编写代码的方式。但在微软的产品脆弱性下降的同时，世界变得越来越危险。罪犯从以往不经允许进入某些系统，发展到现在带有经济动机的犯罪，一些犯罪组织也开始进行计算机犯罪，甚至一些国家间貌似也展开了计算机攻击。

　　随着操作系统越来越安全，罪犯开始对应用进行攻击；应用软件安全性能提高后，罪犯则开始欺骗最终用户，让他们打开带有恶意代码的网站。查尼先生认为，黑客一直在寻找整个信息系统中的漏洞，目前，最终用户已经成了他们的明确目标。事实表明，最终用户是目前互联网上的薄弱环节。有越来越多的黑客攻击是针对这些目标的，例如僵尸网络的攻击越来越多，使用最终用户的电脑攻击其他受害者。因此，查尼先生呼吁，要建立端到端的信任机制。

　　云计算对安全是个好消息

　　因为可以带来更高效、更有弹性的计算、存储和服务资源使用方式，云计算成为目前IT领域最热门的话题之一。但安全一直是阻挡一些用户实施云计算，特别是公有云模式的障碍。

　　查尼先生也承认，云计算的模式会让客户的数据落户到其他国家的数据中心里面；来自不同应用的用户会把数据存储在一个硬件上，只是通过虚拟化区隔；因此，对大部分用户，云计算意味着比以往更为集中的数据管理，也对安全性提出了更高的要求。同样，随着云计算的应用普及，存储在云端的数据也越来越敏感。两年前，用户存储在云端的只是邮件和用于分享的照片；未来几年，云端的数据可能是任何信息，包括医疗健康记录、财务信息、重要文档。“目前对大多数人来说，访问云端数据的认证手段只是用户名和密码。我们需要更强有力的手段，对接入云服务的用户进行认证。”查尼先生如是说。

　　但在查尼先生看来，云计算模式不仅是安全挑战，也是提高信息安全一条捷径。例如，对比IaaS（基础架构即服务）、PaaS（平台即服务）和SaaS（软件即服务）三种模式，云计算服务提供商的服务越多，对安全的责任也更大。“如果对比一个普通企业和一个采用云计算的企业。普通企业需要雇佣系统管理员，并操心系统管理的质量，他们可以购买操作系统和应用，但要自己配置、打补丁。一个应用出现了漏洞，大公司在全球打补丁会是一件很有挑战性的工作。如果采用云服务，这些的责任就会变成服务商的，他们会用更专业的人员和更专业的手段来保证信息安全，例如一次性进行修补，保护所有用户的安全性。”查尼先生告诉搜狐IT，云计算的架构甚至可以缓解全球信息技术扩张的速度过快导致的安全人才缺口。

　　同时，查尼先生也提醒用户，需要认识到公有云并不适合任何应用。例如，政府部门不会把公民信息等重要数据放在公有云上，这正是私有云大展宏图的领域。“这个世界永远不会有绝对的安全，问题就是我们是否能够建立一个理想的云，让更多的人更安全地从事更多活动；是否可以在提高云计算带来利益的同时，降低风险。我相信，如果我们采用正确的措施，可以做到这一点。”

　　提升硬件在互联网安全中的重要性

　　由于互联网的前身是军方的通信网络，建立之初每个接入的用户都是可靠的，因此不需考虑安全问题。此后，政府让互联网走向公众、IBM推出便宜的个人电脑、每个人都上网了，因此信息安全成为日益严重的问题。

　　为此，微软制定了四方面的工作：首先，把基础工作做好，降低代码脆弱性，提供纵深防御；其次，建立更加可信赖的信息组织，让安全更多地植根于硬件中，使用户更容易了解他们计算机上正运行的软件以及是否正常运行，了解接收的数据和邮件是否来自可靠的来源，同时，在互联网上要有更好的用户认证方法。第三，把握好是隐私和可信赖的问题。第四，处理好外围因素，例如经济力量、市场力量、政策法规。查尼先生认为，通过这四个领域的努力，可以建立端到端的信任。

　　搜狐IT注意到，在微软的安全举措中，硬件占据了相当重要的位置。查尼先生也举例说，目前互联网上的身份认证大都采用用户名、密码方式，一些用户在所有的应用中都使用同一个密码，这样会让网络犯罪有可乘之机；使用身份卡或其他物理状态的认证体系，就可以解决相应的问题。

　　当然，与单纯的密码方式相比，基于硬件的安全方式会带来成本的提高。查尼先生对搜狐IT表示，这不会成为推进硬件安全措施的障碍，因为增加的成本很少，而且不一定需要最终用户买单。例如，很多笔记本电脑上的指纹安全认证系统的模块对整机成本提升非常有限。同时，由于基于硬件的方式可以带来更可靠的互联网身份认证，让政府和企业能把更多传统业务迁移到互联网上，从而节省大量成本，相较之下，硬件安全所付出的成本是很低、很值得的，甚至不用最终用户买单。

　　“别指望硬件安全的措施完全消除安全问题，即便提高了安全性，还是存在各种漏洞和问题。但这样可以大幅度降低网络犯罪，让政府可以用更多的资源解决那些更为棘手的安全问题。”查尼先生的言论总是滴水不漏。

　　在专访的最后，查尼先生对搜狐IT表示，从用户端的体验而言，微软会努力会让安全来得更简单。在教育用户重视信息安全的同时，微软会开发更多的自动工具，例如软件、病毒库的自动更新，更好的身份认证工具，让安全唾手可得。