《Data Security and Privacy Protection Issues in Cloud Computing》读后感

在工作中做的业务性东西比较多, 感觉自己还是需要点额外的学习, 所以参照如何读论文来坚持一下每周读一篇论文, 希望能坚持久一点 😀

一句话概括

2012年的论文, 总结了一下在云计算领域数据安全与合规存在什么问题, 以及当前业界解决方案的概括

一些数字

2009年的数据, 74%的IT高管认为云计算背后最大的问题是安全问题, 70%的CTO认为他们没有使用云计算的主要原因是因为担心安全与合规方面的问题

数据的生命周期的7个阶段: 生成, 传输, 使用, 分享, 存储(以什么方式存储), 存档(存储在什么地方), 销毁

Q&A

 

什么是同态加密?

知乎 中的解答比较直白: A way to delegate processing of your data, without giving away access to it. 即让数据使用者在不直接接触敏感数据的前提下, 让他们能正常地进行数据处理工作, 这其中包括了如何隔离, 如何验证数据正确性.

数据的生命周期的7个阶段跟数据安全的关系?
生成
数据生产者跟拥有者的定义阶段, 譬如用户A通过一个工具创建了一张表, 工具创建表使用的不是用户A的账号, 那么这张表的owner应该是A还是工具所使用的账号, 这个问题在这个阶段解决

同时在这个阶段, 我们要明确地让用户知道, 他的什么数据被采集了, 将会被如何使用, 以确保后续的步骤没有安全隐私风险

传输
数据生成后, 是如何从物理设备传输到云上, 以及云上的服务器间做备份的过程

使用
数据被谁使用, 怎么使用, 是否加密, 都在这个阶段

分享
这里主要做的事情主要是数据怎么分享, 非敏感的数据导出, 敏感数据的导出, 敏感数据脱敏后的导出等#### 存储
在数据库层面用户如何确认他的数据没有被非法访问, 如何安全地校验数据是被正确地存储

存档
机房是否安全, 物理设备层面的数据安全

销毁
删除的数据是否真实删除了, 是否不可恢复地删除了

总结

这篇论文实际没有提出什么框架跟方法, 只是一个大概的总结, 通俗易懂. 主要总结一下其中提到的一些技术点, 作为后续的阅读任务:

现在我们在完成实际业务时, 是把数据安全分为了事前, 事中, 事后三个阶段. 其中事后主要是指行为审计, 这个没有囊括在数据生命周期的7个阶段里. 但是这个7阶段模型还是值得我们去套用到设计里的.

IBM的Craig Gentry有提及一个同态加密的方案, 大致看了一下比较高深, 可能还是先从技术实现开始看起比较好

Airavat则是用在MapReduce中的隐私保护系统

在事后审计阶段, Randike Gajanayake提出了一个行为审计框架, 来控制数据的不当使用