但NSA監(jiān)控項(xiàng)目的曝光并不會(huì)使一些企業(yè)因害怕數(shù)據(jù)泄露不再采用托管服務(wù)，而是它能促進(jìn)企業(yè)用戶(hù)和云服務(wù)供應(yīng)商改革其內(nèi)部的安全和隱私保護(hù)策略，加強(qiáng)云數(shù)據(jù)安全保護(hù)，而這是企業(yè)和供應(yīng)商早就應(yīng)該做的、卻又遲遲未做的事情。

 

愛(ài)德華·斯諾登首次向媒體泄露NSA監(jiān)控項(xiàng)目時(shí)，業(yè)界分析師就已預(yù)料到這一泄密事件將給云計(jì)算部署帶來(lái)很大的變化。

 

比如，在2013年8月，“信息技術(shù)和創(chuàng)新基金會(huì)(ITIF)”表示，NSA監(jiān)控項(xiàng)目的曝光將導(dǎo)致美國(guó)云計(jì)算供應(yīng)商損失10%至20%的海外市場(chǎng)占有率，或者到2016年這些企業(yè)將損失350億美元的潛在銷(xiāo)售額。

 

 

 

ITIF關(guān)于NSA監(jiān)控泄密事件對(duì)美國(guó)云計(jì)算企業(yè)影響的最低估計(jì)數(shù)據(jù)表(單位：十億美元)

 

 

 

ITIF關(guān)于NSA監(jiān)控泄密事件對(duì)美國(guó)云計(jì)算企業(yè)影響的最高估計(jì)數(shù)據(jù)表(單位：十億美元)

 

基于歐洲企業(yè)對(duì)美國(guó)政府?dāng)?shù)據(jù)收集的擔(dān)憂(yōu)，另外一個(gè)業(yè)界組織——云安全聯(lián)盟(CSA)也預(yù)測(cè)了這一擔(dān)憂(yōu)將給美國(guó)云服務(wù)供應(yīng)商帶來(lái)的沖擊。

 

大約六個(gè)月之后，NSA監(jiān)控項(xiàng)目曝光事件產(chǎn)生的影響便隨之而來(lái)，只不過(guò)沒(méi)有預(yù)想得那么嚴(yán)重。

 

盡管有報(bào)道稱(chēng)美國(guó)云服務(wù)供應(yīng)商在海外出現(xiàn)滯銷(xiāo)狀況，但有專(zhuān)家預(yù)測(cè)斯諾登泄密事件將對(duì)美國(guó)云服務(wù)供應(yīng)商的長(zhǎng)期銷(xiāo)售影響較小。因?yàn)槭褂迷品?wù)所帶來(lái)的商業(yè)利益會(huì)逐漸消除企業(yè)對(duì)美國(guó)政府監(jiān)控的恐懼。

 

與此同時(shí)，由于NSA監(jiān)控項(xiàng)目細(xì)節(jié)的曝光，企業(yè)對(duì)云數(shù)據(jù)的安全保護(hù)意識(shí)也在不斷加強(qiáng)，且在2014年將會(huì)上升到一個(gè)高度。

 

斯諾登泄密事件也讓人們清楚地知道，企業(yè)對(duì)存儲(chǔ)在云上的數(shù)據(jù)的控制力是有多小。咨詢(xún)公司IT-Harvest的負(fù)責(zé)人Richard Stiennon說(shuō)：“云計(jì)算領(lǐng)域?qū)?huì)出現(xiàn)零信任安全模式的根本性轉(zhuǎn)變，泄密事件將使企業(yè)加強(qiáng)云安全保護(hù)措施，使得企業(yè)的數(shù)據(jù)無(wú)論是從企業(yè)傳輸?shù)皆贫耍€是從云端下載到企業(yè)中等各個(gè)環(huán)節(jié)，都盡可能避免有任何縫隙，從而導(dǎo)致企業(yè)的數(shù)據(jù)泄露。”

 

分析稱(chēng)，企業(yè)安全官們正著手準(zhǔn)備提高企業(yè)的云安全保護(hù)，并從一下幾個(gè)主要方面入手，包括數(shù)據(jù)加密、密鑰和數(shù)據(jù)所有權(quán)、區(qū)域化和提高政府透明度。

 

 

自斯諾登泄密事件發(fā)生之后，數(shù)據(jù)加密開(kāi)始引起了人們的極大關(guān)注。主要的云服務(wù)供應(yīng)商，如微軟、雅虎和谷歌都對(duì)其托管和管理的用戶(hù)數(shù)據(jù)進(jìn)行了端到端的加密設(shè)置。

 

例如，谷歌云存儲(chǔ)現(xiàn)在可以實(shí)現(xiàn)對(duì)寫(xiě)入磁盤(pán)的新數(shù)據(jù)進(jìn)行自動(dòng)加密，而這種服務(wù)器端的加密方式也將很快用于存儲(chǔ)在谷歌云上的老數(shù)據(jù)，以保障所有數(shù)據(jù)的安全。

 

自NSA監(jiān)控項(xiàng)目公布之后，微軟就向業(yè)界宣布了其新的計(jì)劃，即加強(qiáng)微軟所提供的包括Outlook.com、Office 365、SkyDrive和Windows Azure等在內(nèi)的各種服務(wù)的加密設(shè)置。

 

到2014年底，微軟希望找出合適的辦法對(duì)傳輸于用戶(hù)與微軟數(shù)據(jù)中心之間的數(shù)據(jù)進(jìn)行加密，同時(shí)還將對(duì)傳輸于其數(shù)據(jù)中心之間的數(shù)據(jù)進(jìn)行加密。

 

微軟表示，要像谷歌一樣將存儲(chǔ)在微軟云上的所有數(shù)據(jù)進(jìn)行加密。

 

其他云服務(wù)供應(yīng)商，如Dropbox、Sonic.net和SpiderOak也都宣布將實(shí)施類(lèi)似的數(shù)據(jù)加密項(xiàng)目，并提供2048-bit密鑰長(zhǎng)度的服務(wù)，同時(shí)采用“完美轉(zhuǎn)發(fā)保密性”的方法用于未來(lái)的數(shù)據(jù)加密。

 

專(zhuān)家表示，這些方式對(duì)于保護(hù)傳輸于企業(yè)用戶(hù)和數(shù)據(jù)供應(yīng)商之間的數(shù)據(jù)安全至關(guān)重要。

 

Information in the classified documents about NSA attempts to weaken encryption algorithms, and to tap fiber links connecting service provider data centers provided much of the impetus for these efforts.

 

NSA加密文件中的信息顯示，NSA試圖減弱加密算法，并通過(guò)光纖鏈路連接到云服務(wù)供應(yīng)商的數(shù)據(jù)中心以獲得用戶(hù)數(shù)據(jù)。

 

 

美國(guó)政府與Lavabit之間富有爭(zhēng)議性的關(guān)系引起了人們對(duì)密鑰管理和數(shù)據(jù)所有權(quán)的高度重視，Lavabit是一家安全電子郵件服務(wù)供應(yīng)商，美國(guó)政府曾向這家云服務(wù)公司索要數(shù)據(jù)密鑰。

 

云基礎(chǔ)設(shè)施管理公司HyTrust的總裁Eric Chiu說(shuō)：“云服務(wù)供應(yīng)商的加密做法的確是提高云安全的一個(gè)重要方式，但是他們卻只做到這一點(diǎn)而已。”

 

“只有其密鑰管理系統(tǒng)安全了，數(shù)據(jù)加密才會(huì)安全”，Chiu說(shuō)：“當(dāng)云服務(wù)供應(yīng)商采用加密的方法時(shí)，用戶(hù)需要清楚的是：如果供應(yīng)商拿著數(shù)據(jù)密鑰的話(huà)，那么他們很有可能會(huì)竊取用戶(hù)數(shù)據(jù)，或者將密鑰交給別人，如果有人跟他們要的話(huà)。”

 

這種擔(dān)憂(yōu)刺激了人們尋找其他方式以保護(hù)云安全的興趣，而這一方式就是能夠讓采用云服務(wù)的企業(yè)用戶(hù)自己擁有其數(shù)據(jù)密鑰，并了解數(shù)據(jù)靜止時(shí)、數(shù)據(jù)使用時(shí)和數(shù)據(jù)傳輸時(shí)的密鑰管理程序。

 

越來(lái)越多的云計(jì)算供應(yīng)商，如Vaultive、CipherCloud、TrendMicro和HyTrust都提供相應(yīng)的工具，使得企業(yè)用戶(hù)在使用云托管基礎(chǔ)設(shè)施和服務(wù)時(shí)，能夠?qū)λ麄冏约旱臄?shù)據(jù)擁有更大的控制力。

 

例如，CipherCloud提供一種網(wǎng)關(guān)技術(shù)，可以讓企業(yè)用戶(hù)對(duì)傳輸和存儲(chǔ)在云端的數(shù)據(jù)進(jìn)行加密。同時(shí)，這個(gè)網(wǎng)關(guān)允許企業(yè)在本地存儲(chǔ)密鑰，并能夠管理存儲(chǔ)在云端的加密數(shù)據(jù)。

 

這種技術(shù)的出現(xiàn)意味著政府部門(mén)只能通過(guò)數(shù)據(jù)的所有者才能獲取數(shù)據(jù)，其目的是為了消除在數(shù)據(jù)所有者不知情的情況下，云服務(wù)供應(yīng)商將密鑰交給政府部門(mén)這種行為。

 

安全專(zhuān)家一直都在建議使用持久、穩(wěn)定的加密方式來(lái)保護(hù)云中的數(shù)據(jù)安全，然而到目前為止，由于密鑰管理的高成本和復(fù)雜性導(dǎo)致這種方式的采用率還很低。但這種情況正在改變。

 

Chiu預(yù)測(cè)說(shuō)：“出于合規(guī)性和內(nèi)部目標(biāo)的需要，一些企業(yè)需要真正的數(shù)據(jù)隱私，而我們也將看到這些企業(yè)會(huì)執(zhí)行加密措施，并將密鑰存儲(chǔ)在企業(yè)內(nèi)部。”

 

Vaultive、CipherCloud，以及其他云服務(wù)供應(yīng)商均表示，由于NSA監(jiān)控丑聞的曝光，企業(yè)用戶(hù)對(duì)于他們所提供的技術(shù)需求在顯著增長(zhǎng)。

 

 

斯諾登泄密事件也能夠加速云計(jì)算服務(wù)的區(qū)域化發(fā)展。

 

人們對(duì)位于美國(guó)的服務(wù)器和基礎(chǔ)設(shè)施云上的托管數(shù)據(jù)的擔(dān)憂(yōu)導(dǎo)致企業(yè)用戶(hù)，尤其是那些非美企業(yè)用戶(hù)更希望使用距離自己企業(yè)比較近的云服務(wù)供應(yīng)商提供的服務(wù)。

 

特別是中國(guó)和亞非地區(qū)的企業(yè)，自NSA監(jiān)控項(xiàng)目公布之后，他們對(duì)美國(guó)云服務(wù)供應(yīng)商及其提供的技術(shù)非常擔(dān)心，Stiennon說(shuō)。很多企業(yè)開(kāi)始選擇美國(guó)以外的其他地區(qū)的供應(yīng)商或者本地供應(yīng)商提供的托管服務(wù)。

 

Steinnon說(shuō)：“我不喜歡用‘割據(jù)(Balkanization)’這個(gè)詞，但是現(xiàn)在全球的云計(jì)算供應(yīng)商確實(shí)呈現(xiàn)了一種分散分布的現(xiàn)象。”過(guò)去幾年，在世界各個(gè)不同的地區(qū)，有數(shù)以百計(jì)的小型公有云服務(wù)提供商如雨后春筍般地涌現(xiàn)出來(lái)，并服務(wù)于本地市場(chǎng)。據(jù)Stiennon預(yù)測(cè)，在這些供應(yīng)商中，將會(huì)有許多公司從斯諾登泄密事件中受益。

 

與此同時(shí)，位于美國(guó)本土的大型云服務(wù)供應(yīng)商們也將在世界各地設(shè)立服務(wù)運(yùn)營(yíng)部門(mén)，以減少運(yùn)費(fèi)成本，并向本地用戶(hù)提供更好的服務(wù)，Gartner分析師Lawrence Pingree說(shuō)。

 

例如，2013年12月，亞馬遜宣布2014年將其AWS公有云服務(wù)遷入中國(guó)。該計(jì)劃包括亞馬遜在中國(guó)安裝云服務(wù)器，以便向中國(guó)的企業(yè)提供托管服務(wù)。

 

Pingree說(shuō)：“許多云服務(wù)供應(yīng)商和SaaS供應(yīng)商都在實(shí)行區(qū)域化，以提高敏捷性和產(chǎn)品性能。” Pingree表示，對(duì)安全問(wèn)題的高度關(guān)注將加快區(qū)域數(shù)據(jù)中心的使用步伐。

 

 

受斯諾登泄密事件的影響，人們也要求政府在收集數(shù)據(jù)時(shí)增加透明度，提高人們的知情權(quán)。

 

谷歌、微軟、雅虎和大批其他高科技提供商正向政府施加壓力，讓政府允許他們公布NSA和其他情報(bào)機(jī)構(gòu)向其索取用戶(hù)數(shù)據(jù)的細(xì)節(jié)。這些企業(yè)表示，由于法律禁止他們公開(kāi)NSA索取用戶(hù)數(shù)據(jù)的細(xì)節(jié)，使人們對(duì)他們?cè)谡`取用戶(hù)數(shù)據(jù)事件中所扮演的角色產(chǎn)生誤解。

 

谷歌、蘋(píng)果、Facebook和微軟等企業(yè)的高管們都紛紛給奧巴馬總統(tǒng)寫(xiě)信，要求政府改革監(jiān)控行為，并提高政府的透明度。這在美國(guó)是史無(wú)前例的。

 

谷歌、微軟和其他企業(yè)計(jì)劃在他們定期發(fā)布的透明度報(bào)告中提供更多有關(guān)政府?dāng)?shù)據(jù)采集的細(xì)節(jié)，同時(shí)這些企業(yè)還表示，他們將積極、合法地挑戰(zhàn)政府索取數(shù)據(jù)的行為。

 

分析師表示，甚至是電信公司，即使他們回應(yīng)有關(guān)政府收集數(shù)據(jù)事件的速度明顯慢于這些云服務(wù)供應(yīng)商，但在未來(lái)他們也將會(huì)有同樣的計(jì)劃。

 

例如，美國(guó)的一家電信公司Verizon表示，公司將很快發(fā)布一個(gè)透明度報(bào)告，公布執(zhí)法機(jī)關(guān)向其索要用戶(hù)數(shù)據(jù)的細(xì)節(jié)。

 

2013年12月，微軟公司總顧問(wèn)Brad Smith在一篇博客中寫(xiě)道：政府監(jiān)控與復(fù)雜的惡意軟件和網(wǎng)絡(luò)攻擊共同形成了一種“高級(jí)持續(xù)性的威脅”。

 

Smith表示，除了在一些非常受限制的情況下，未來(lái)微軟將與政府索取其云端用戶(hù)數(shù)據(jù)的行為作斗爭(zhēng)。Smith說(shuō)：“我們認(rèn)為政府部門(mén)可以直接到企業(yè)用戶(hù)或者政府用戶(hù)那里去獲取每一位員工的信息和數(shù)據(jù)，就像以前用戶(hù)數(shù)據(jù)沒(méi)有遷到云端時(shí)他們所做的那樣，而不是通過(guò)我們這樣的云服務(wù)供應(yīng)商來(lái)獲取數(shù)據(jù)。”