約翰霍普金斯大學的研究人員質疑“零知識”政策

一些希望在云安全獲得領先優勢的云存儲供應商采用了“零知識”政策，這些供應商稱，在這種政策中，客戶數據不可能會被窺探。但約翰·霍普金斯大學的計算機科學家質疑這種零知識策略的安全性。

[[112059]]

零知識云服務的工作原理是，以加密方式存儲客戶數據，只給客戶解密密鑰，供應商則不能獲取這些密鑰。但研究人員發現，如果數據在云服務中共享，這些密鑰可能會受到攻擊，讓攻擊者可以窺探客戶數據。該研究對零知識云計算[注]產生了質疑，并建議最終用戶應充分了解供應商是如何處理其數據的。

約翰·霍普金斯大學的研究人員對Spider Oak、Wuala和Tresorit等零知識供應商進行了檢查，這些供應商采用的方法是，當數據存儲到云中時就會被加密，而只有當用戶從云端下載這些數據時才會被解密。這種模式是安全的，但是，研究人員警告說，如果數據在云中共享，這意味著數據是通過云服務被發送，而不是用戶下載到其系統，那么，供應商將有機會查看這些數據。約翰·霍普金斯大學計算機科學系信息安全研究所博士生Duane Wilson表示：“當數據通過云存儲服務與另一個接收者共享時，供應商能夠訪問其客戶的文件和其他數據。”

這些供應商通常會依賴于中間人服務，在將密鑰解密數據之前會驗證用戶。這些研究人員發現，供應商有時候會提供自己的驗證。這給供應商提供了一個機會來發出假證書，解密數據，從而查看客戶數據。這類似于傳統的中間人攻擊。

研究人員表示他們沒有發現任何證據表明客戶數據被泄露，他們也沒有發現任何供應商的可疑行為，但研究人員稱這可能是一個漏洞。“雖然我們沒有發現任何證據證明任何安全云存儲供應商在訪問其客戶的隱私信息，但我們認為這種情況可能會發生，”該大學副教授Giuseppe Ateniese表示，“這就像是發現你的鄰居家門沒鎖，可能還沒有人從里面偷東西，但你不覺得這讓盜賊很容易進去?”

其中一家供應商Spider Oak的代表人員表示，他們同意該研究的某些方面的結果。Spider Oak鼓勵用戶使用桌面應用程序來傳輸文件，而不是通過該公司的門戶網站，利用Spider Oak的桌面應用程序將確保最終用戶經過驗證來解密這些數據，消除了供應商窺探這些數據的可能性。部署Spider Oak服務的用戶被要求在合同中勾選這一項，即他們了解實現真正的零知識需要使用一個桌面應用程序。

Spider Oak表示希望圍繞其云平臺實現協作服務，意味著數據將在其云中傳輸。為了實現這個功能，Spider Oak表示他們計劃結合RSA安全標識和密鑰及加密平臺。他們還希望為用戶提供一種方式來驗證誰正在瀏覽文件。一些供應商(例如加密通信提供商Silent Circle)使用語音識別工具來提供此項功能，而Spider Oak表示他們正在評估類似的方法來確保數據只在擁有者批準的人之間共享。