Bankovní institut vysoká škola Praha Katedra matematiky, statistiky a informačních technologií
Cloud computing a jeho bezpečnost Bakalářská práce
Autor:
Jaroslav Moc Bankovnictví, ITK Informační technologie
Vedoucí práce:
Praha
doc. Ing. Vlasta Svatá, CSc.
Duben, 2012
Prohlášení: Prohlašuji, že jsem tuto bakalářskou práci zpracoval samostatně a v seznamu uvedl veškerou použitou literaturu. Svým podpisem stvrzuji, že odevzdaná elektronická podoba práce je identická s její tištěnou verzí, a jsem seznámen se skutečností, že se práce bude archivovat v knihovně BIVŠ a dále bude zpřístupněna třetím osobám prostřednictvím interní databáze elektronických vysokoškolských prací.
V Praze, dne 24.04.2012
Jaroslav Moc
Poděkování Rád bych poděkoval vedoucí mé bakalářské práce doc. Ing. Vlastě Svaté za odborné vedení a podnětné rady poskytnuté při psaní této práce. Dále bych chtěl poděkovat mé rodině za trpělivost a podporu během mého dosavadního studia a psaní této práce.
Anotace Cílem mé bakalářské práce bylo popsat cloud computing a jeho bezpečnost ze strany poskytovatele a ze strany jeho uživatele. Dále popsat z čeho cloud computing vychází, z čeho se skládá a co nabízí, zjednodušeně vysvětlit jak funguje technicky, jakým problémům dnes čelí a kam si myslím, že bude dále směřovat. V praktické části, jsem se rozhodl otestovat několik klientských aplikací pro synchronizaci a zálohování dat do prostředí cloudu. Nabídka podobných služeb se dnes velmi rychle mění a srovnání parametrů cena/výkon, nebo cena/kapacita je prakticky nemožné. V průběhu psaní mé práce, jsem musel několikrát aktualizovat vlastností nabízených služeb. Proto jsem se zaměřil jen na základní vlastnosti klientů, jednoduchost obsluhy, přívětivost a přehlednost. Dále jsem testoval, jestli je komunikace mezi klientem a cloudovým úložištěm nějakým způsobem zabezpečená, šifrovaná a podle IP adresy jsem následně dohledal zemi, ve které se cloudové úložiště nachází. Klíčová slova: cloud computing, virtualizace, bezpečnost, SaaS
Annotation The aim of my bachelor‟s thesis was to describe the cloud computing and its security from the side of the provider and the user. Furthermore, I tried to describe what the cloud computing comes from, what does it consist of and what does it offer. Simplifiedly I wanted to explain how the cloud computing works technically, what problems and difficulties it faces and finally where the cloud computing will lead to. In the practical part I decided to test a few clients applications for synchronization and data back up in the cloud computing setting. The offer of such services varies quickly at present and the comparison of parameters price / performance or price / capacity is almost practically impossible. During the writing of my thesis I had to bring up to date attributes of offered services. Therefore I aimed to the basic client‟s attributes, simplicity of operation, friendly interface and good arrangement. Furthermore I tested if the communication between client and the cloud dump is in some way secure, in code and sequentially by the IP address I found the country, where the cloud dump is located. Key words: cloud computing, virtuality, security, Saas
Obsah Obsah ................................................................................................................................ 5 Úvod .................................................................................................................................. 7 1.
Co je to „cloud computing“...................................................................................... 8 1.1. Představení cloud computingu .......................................................................... 8 1.2. Historie cloud computingu................................................................................ 9 1.3. Definice výrazu „cloud computing“ ............................................................... 10 1.4. Výhody a nevýhody cloudu ............................................................................ 12 1.5. Mediálně známé problémy cloudu .................................................................. 13 1.6. Dělení cloud computingu ................................................................................ 15 1.6.1. Rozdělení podle způsobu nasazení ............................................................. 15 1.6.2. Rozdělení podle typu služby ...................................................................... 15
1.7. Jak firmy přistupují ke cloud computingu ...................................................... 20 2. Bezpečnost v cloudu .............................................................................................. 22 2.1. Bezpečnost na straně poskytovatele cloudu.................................................... 25 2.1.1. Kdo je poskytovatel cloudu ........................................................................ 25 2.1.2. Technická infrastruktura poskytovatele ..................................................... 25 2.1.3. Software a technologie umožňující provoz cloudu .................................... 36 2.1.4. Legislativa, bezpečnostní procesy a certifikace ......................................... 39 2.1.1. Otázky uživatele na CSP, před vstupem do cloudu.................................... 42 2.2. Bezpečnost na straně uživatele cloudu ........................................................... 45 2.2.1. Kdo je uživatelem cloudu ........................................................................... 45 2.2.2. Technika uživatele cloudu .......................................................................... 47 2.2.3. SW uživatele............................................................................................... 47 2.2.4. Legislativa, metodiky, normy na straně uživatele ...................................... 50 2.2.5. Otázky na uživatele, před vstupem do cloudu ............................................ 51 2.3. Cobit, ITIL a ISO v cloudu ............................................................................. 53 2.3.1. ITIL ............................................................................................................ 53 2.3.1. Cobit ........................................................................................................... 53 2.3.2. ISO.............................................................................................................. 54 3.
Synchronizace a zálohování do cloudu .................................................................. 56 3.1. 3.2. 3.3. 3.4.
SkyDrive ......................................................................................................... 58 Live Mesh ....................................................................................................... 60 DropBox.......................................................................................................... 62 OpenDrive ....................................................................................................... 64 -5-
3.5. iDrive .............................................................................................................. 66 3.6. SpiderOak ....................................................................................................... 68 3.7. Mozy ............................................................................................................... 70 3.8. KeepVault ....................................................................................................... 72 3.9. SugarSync ....................................................................................................... 74 3.10. Box .................................................................................................................. 76 3.11. Minus .............................................................................................................. 77 3.12. SafeSync (dříve Humyo) ................................................................................ 77 3.13. Porovnání jednotlivých služeb ........................................................................ 78 3.14. Vyhodnocení ................................................................................................... 79 4. Závěr ...................................................................................................................... 80 5.
Slovník: .................................................................................................................. 81
6.
Seznam použité literatury:...................................................................................... 82
-6-
Úvod Toto téma jsem si zvolil, protože mě ihned zaujalo a zajímalo. V prostředí IT se pohybuji přes 20 let a cloudové technologie dle mého názoru po dlouhé době zcela mění pohled v IT, na nákup, správu, dohled na HW i SW, ale i na dostupnost a zálohování. V dnešní době se ve středních a větších podnicích zatím stále více prosazuje klasická virtualizace serverů, případně stanic, tam bude mít nasazení cloudu zpoždění. Ale dá se předpokládat, že malé a střední společnosti budou první, které přesunou své aplikace a data do prostředí cloudu, čímž si zjednoduší správu a sníží náklady na IT a navíc získají další funkcionality, které jejich původní IT vůbec neumožňovalo, např. dostupnost odkudkoliv. Tomuto trendu nahrává i nová aplikace AppBlast, kterou představila společnost VMWARE na konferenci VMworld 2011, která umožňuje spouštět aplikace pro jakoukoliv platformu v prostředí webového prohlížeče na jakémkoliv zařízení. Takže i aplikace, které nemají verzi pro cloud a investice do jejich přepsání by byla vysoká, bude možné „jednoduše“ v prostředí cloudu spustit a provozovat. Ve své práci, bych chtěl rozdělit a popsat bezpečnost cloudu ze strany poskytovatele cloudových služeb a pak ze strany uživatele-odběratele cloudových služeb. Některé bezpečnostní problémy mají obě strany společné a některé jsou zcela odlišné. Dále, bych se chtěl zaměřit na zjednodušený technický popis historie, ze které cloud vychází, že se vlastně jedná o skupinu známých a dlouho využívaných služeb, které jsou dnes na tak vysoké úrovni kvality, že společně umožní vznik dalších technologií a služeb. V praktické části, bych se chtěl věnovat službám webových úložišť, nebo lépe cloudových úložišť, která jsou dnes nabízena mnoha poskytovateli a jejich nabídka je stále širší, kapacita větší a které umožňují ukládat, zálohovat a sdílet dokumenty, fotografie, videa, hudbu, atd. Následně vybrat některé z nabízených služeb, otestovat je, instalovat jejich klienty a porovnat jejich možnosti a obsluhu, zjistit, jakým způsobem klient komunikuje s datovým centrem a ve které zemi se datové centrum nachází. Ještě musím upozornit na to, že cloud je opravdu velmi mladé odvětví IT, které se rychle mění a vyvíjí. V průběhu psaní mé práce se na trhu objevilo velké množství nových cloudových aplikací a služeb, ale spousty jich také z trhu zmizelo. -7-
1. Co je to „cloud computing“ 1.1. Představení cloud computingu Cloud computing je dnes jedním z nejčastěji zmiňovaných termínů v oblasti ICT, možná nejčastěji je zmiňováno spojení cloud computing a jeho bezpečnost, nebo zabezpečení dat v cloudech. Co tedy je a co není „cloud computing“? Na internetu najdeme tisíce různých popisů a definic, ale zjednodušeně bychom mohli napsat, že se jedná o sdílení a využívání, aplikací a prostředků ICT přes internet. Takže například aplikace v cloudu nejsou fyzicky instalované na našich počítačích, nemusíme si je kupovat, ale prostě si je pronajmeme, spustíme a poskytovatelům pak zaplatíme za jejich využívání. A protože jsou zdroje ICT velmi dobře škálovatelné, platíme poskytovateli podle typu služby za období, za odebraný výkon, počet pronajatých procesorů, serverů, za využitou kapacitu, anebo za kombinaci těchto zdrojů. Data pak nemáme uložená na lokálním disku, ale jsou uložená v cloudu. Nepotřebujeme vlastnit a spravovat drahý a výkonný server, nepotřebujeme výkonné počítače, ale stačí obyčejné, ale rozumné počítače s kvalitním přístupem k internetu. Takže cloud computing není konkrétní software, nebo hardware, ani konkrétní technologie, např. virtualizace. Jak ukazuje Obr. 1 – Cloud v dnešní podobě [zdroj: TSystems] cloud computing je soubor komponent a služeb, které jsou nabízené dohromady.
Obr. 1 – Cloud v dnešní podobě [zdroj: T-Systems]
-8-
Proto bývá cloud computing často připodobňován k dodávkám komoditních zdrojů, jako elektřina, voda, nebo plyn. U nich se také nestaráme jak je zajištěna jejich výroba a distribuce, ale pouze je odebíráme jako službu a platíme za odebrané množství.
1.2. Historie cloud computingu Již v roce 1961 uvedl John McCarthy, profesor na Stanfordské univerzitě, autor pojmu umělá inteligence (AI), že v budoucnu bude výpočetní kapacita nabízena jako veřejně dostupná služba. Jeho myšlenky v roce 1966 dále rozpracoval Douglas F. Parkhill ve své knize The Challenge of the Computer Utility. Jeho definice již odpovídá dnešnímu pojetí cloudu, tedy fungování výpočetní kapacity jako on-line dostupného veřejného zdroje. [1] Objevuje se srovnání se sdílením elektrické energie. Elektrickou energii potřebuje řada domácností a firem, které mají zakoupeny nejrůznější elektrické spotřebiče. Málokterá domácnost nebo firma si ale kvůli tomu pořizuje vlastní elektrárnu. Zároveň se objevuje rozdělení na veřejné, privátní, vládní a komunitní varianty. Právě díky tomuto téměř padesát let starému srovnání počítačů a elektřiny a podobných služeb souhrnně nazývaných v angličtině utility se Cloud computingu někdy říká také Utility computing. [2] V roce 1977 byl Dr. Ramnath K. Chellappa prvním, kdo v souvislosti s obdobným způsobem využití informačních a komunikačních technologií použil pojem Cloud Computing. [3] Pojem „Cloud“ či oblak je přitom pouze popisným vyjádřením schematického obrázku, ve kterém je nakreslena infrastruktura poskytovatele Utility computingu. Oblak je totiž historicky využíván v telekomunikacích pro zobrazení telekomunikační sítě. Od roku 1997 se tak neříká už Utility computing ale Cloud computing. Na myšlence to ovšem nic nemění. Co se trochu změnilo, je určitá standardizace názvosloví. Cloud computing se tak nyní uměle dělí na tři základní koncepty. [2]
-9-
1.3. Definice výrazu „cloud computing“ Od roku 1977 se pak dlouho neobjevila žádná definice pojmu Cloud Computing. Celá oblast začala získávat jasnější rámec až v posledních letech, a i dnes stále existuje řada rozličných pohledů, lišících se především ve striktnosti a přesnosti s jakou vymezují hranice pojmu Cloud Computing. Jedna z prvních formulovaných definic vznikla v roce 2009 v akademickém prostředí na univerzitě Berkeley v Kalifornii. Podle ní zahrnuje cloud computing na jedné straně aplikace, které jsou ve formě služeb zpřístupněny uživatelům prostřednictvím internetu (SaaS), a jsou zpoplatněny na základě pay-as-you-go1 modelu, na druhé straně ale také veškeré hardwarové a softwarové prostředky, které využívají datová centra zajišťující tyto služby. Když je cloud zpřístupněn široké veřejnosti modelem pay-as-you-go, říkáme, že se jedná o veřejný cloud. Pojem privátní cloud používáme v interních datových centrech, které nejsou zpřístupněny veřejnosti. [4] Společnost Gartner vidí velkou šanci na změnu, která přichází s koncepcí cloudu, a trefně popisuje cloud computing jako „poskytování škálovatelných IT služeb po Internetu pro potenciálně velký počet externích zákazníků.“ Její konkurent, společnost Forrester se za účelem vytvoření definice dotázala přibližně 30 společností aktivních v rámci tohoto segmentu a na základě zjištěných výsledků definovala cloud computing jako „fond abstraktní, vysoce škálovatelné a spravované IT infrastruktury, který poskytuje zákaznické aplikace a fakturace je uskutečňována na základě jejich používání.“ [5] V červenci 2011 zveřejnil National Institute of Standards and Technology (NIST) definici cloud computingu v 16. verzi: „Cloud computing je model umožňující všudypřítomný, pohodlný, dle potřeby, přístup k síti ke sdíleným konfigurovatelným výpočetním zdrojům (např. sítí, serverů, úložišť, aplikací a služeb), které lze rychle poskytnout a spustit s minimálním úsilím na řízení, nebo na spolupráci s poskytovatelem služeb. Tento cloud model je složen z pěti základních vlastností, tří modelů služeb a čtyř modelů nasazení.“ [6]
1
pay-as-you-go – klient platí poskytovateli za skutečné využití služby
- 10 -
Na českých webech najdeme definice cloudu: Cloud computing je jedno z velmi oblíbených marketingových spojení v IT průmyslu. Cloud computing je sdílení hardwarových i softwarových prostředků pomocí sítě. Právě tento princip dal systému název, v diagramu se podobá mraku (anglicky Cloud). [7] Základní myšlenkou cloud computingu je, že všechny aplikace pracují přímo na webu od jednoduchého softwaru až po kompletní operační systémy. Uživatel si nemusí obstarávat žádný drahý hardware, nemusí se zabývat aktualizací systému a aplikací a nepotřebuje ani kupovat žádný software. [8] Všechny definice se shodují na tom, že za termínem „cloud computing“, který je i v současnosti z hlediska širšího trhu stále vnímán jako velmi teoretický a abstraktní, stojí škálovatelné a standardizované IT aplikace, IT platformy a IT infrastruktury, poskytované na vyžádání uživatele ve formě služeb v prostředí Internetu. Poskytovatel nedodává příslušné prostředky ve fyzické podobě - aplikace a výpočetní a paměťová kapacita jsou zpřístupňovány přes Internet z fondu produktů metaforicky označovaného jako „mrak“ (cloud). [9]
Co cloud computing není? Určitě to není network computing – kdy jsou všechny aplikace uloženy na lokálních serverech, servery jsou přístupné v rámci firemní sítě, případně přes VPN. Není zde splněna hlavní myšlenka, tedy přístup odkudkoliv jen za pomoci internetového připojení. Dále to není grid computing – což je forma distribuovaných a paralelních výpočtů, kdy je “virtuální super počítač” složen ze seskupených a propojených sítí a výkonů jednotlivých počítačů. Nejedná se ani o klasický outsourcing, tedy o pronájem služeb. Při outsourcingu může realizující firma skladovat data na svých serverech, spravovat software na stanicích v rámci lokální sítě přes jeden server, ale toto stále není cloud computing.
- 11 -
1.4. Výhody a nevýhody cloudu Výhody jsou vcelku jasné, přistup je možný odkudkoliv, kde je dostupný internet, což je dnes skoro všude, dále je možné přistoupit z jakéhokoliv zařízení s internetovým prohlížečem, tedy mobilního telefonu, tabletu, notebooku až po klasický stolní počítač. Vlastností cloudu je škálovatelnost, vyšší efektivita, platba jen za to, co je používáno/odebráno.
Obr. 2 - Výhody cloudu oproti starším technologiím
V době sálových počítačů (mainframe) nebylo řešení klient-server vnímáno jako seriózní technologie. Působilo jen jako „hračka“, která systémy mainframe nemůže nahradit. Přesto se technologie klient-server postupně prosadila. Podobně tomu bylo, když byly poprvé navrženy virtualizační technologie. Jako překážky pro jejich širší nasazování byla uváděna kompatibilita aplikací a potenciální proprietární závislost na jednom dodavateli (vendor lockin). Přesto možné úspory ve výši 20 až 30% byly dostatečnou motivací, aby tyto problémy překonali a virtualizační technologie začaly být přijímány. [10] Ale nevýhodou je neexistující přímá vazba mezi HW a SW, která neumožní využívání stavových informací (např. registry). Přetrvávající „právní“ problémy vycházející z faktu, že není možné jednoznačně stanovit, kde se data nacházejí.
- 12 -
1.5. Mediálně známé problémy cloudu
Obr. 3 - Problémy s cloudem
V srpnu 2011 způsobil úder blesku do transformátoru kompletní výpadek napájení v datovém centru v Dublinu, které patří Amazonu a Microsoftu. Výsledkem byla zhruba půlhodinová nedostupnost všech cloudových služeb poskytovaných z tohoto centra. Nefungovala služba uživatelů iPhonu, kteří chtěli využít službu pro sdílení fotografií, dále geolokační web Foursquare, výpadek hlásil i Twitter. Za pár dní se pak podobný výpadek opakoval v cloudovém centru EC2 Amazonu v Severní Virginii, ten trval celkem 11 minut. Zprovozňování datového centra v Dublinu navíc prý zkomplikovala softwarová chyba, která způsobila smazání některých datových bloků, které byly identifikovány jako dlouho nepoužívané. Amazon slíbil informovat postižené uživatele s tím, že se bude snažit smazaná data obnovit co nejdříve, což se stalo po několika dnech. Výpadek opět poukazuje na možná rizika cloud computingu, kdy je nefunkčností jediného datového centra postižena celá řada uživatelů po celém světě. Amazon navíc v roce 2011 zažil horší výpadky, nejznámějším je dvoudenní výpadek v dubnu, také Google letos v březnu zaznamenal masivní ztrátu dat v Gmailu, která vzbudila zájem ohledně bezpečnosti cloudových služeb. [11]
- 13 -
(Mega)problém Megaupload Velkým problémem který může oslabit důvěru uživatelů v cloud, je vypnutí serveru http://www.megaupload.com americkými vyšetřovateli. Na jednu stranu je jasné, že byla porušována autorská práva, na webu bylo ke stažení velké množství filmů, hudby a warezu2. Problém vidím v tom, že poskytovatelé cloudu, společnosti Carpathia Hosting a Cogent Communications Group, kde je www.megaupload.com uložen, dostali pokyn, aby 2.2.2012 zahájili mazání dat Megaupload ze svých serverů. Což se do 25.3.2012 nestalo. Tím může dojít ke smazání velkého množství dokumentů, fotografií, videí, nahrávek soukromých uživatelů, kteří by tím trvale o svá data přišli.
Obr. 4 - web http://www.megaupload.com ze dne 30.1.2012
Z výše uvedeného vyplývá, že i když budou technika, software, poskytovatel bez komplikací, přesto může zákazník o svá data přijít.
2
Warez – termín označující autorská díla, se kterými je nakládáno nelegálně, v rozporu s autorským právem. Lidé, kteří s warezem zacházejí, bývají označováni jako počítačoví piráti.
- 14 -
1.6. Dělení cloud computingu 1.6.1.
Rozdělení podle způsobu nasazení
Dělení podle způsobu nasazení specifikuje, jak jsou služby poskytnuty koncovým uživatelům. veřejný (public) cloud - jedná se o model, kdy jsou výpočetní služby poskytovatele, nabízeny široké veřejnosti, nebo společnostem, ale poskytovatelem je externí subjekt zde je možné komukoliv vytvořit virtuální privátní cloud, kdy je určitá množina IT techniky oddělena. Její oddělení není fyzické, ale logické, proto virtuální privátní cloud. soukromý (private) cloud - služby jsou provozovány pouze pro vlastní organizaci a provozovány buďto organizací samotnou, nebo třetí stranou. komunitní (community) cloud - služby jsou poskytovány mezi několika organizacemi, nebo skupinami uživatelů, kteří ho využívají. Tyto organizace může spojovat bezpečnostní politika, nebo stejné zaměření. V tomto případě není rozhodující, zda jsou služby poskytovány interním nebo externím datovým centrem, ani jsou-li spravovány třetí stranou nebo organizací samotnou. hybridní (hybrid) cloud - zde jsou nabízené služby kombinací veřejného a soukromého cloudu, ale i komunitního cloudu, který navenek vystupuje jako jeden cloud. Uživatelům služeb se zdroje cloud computingu musí zdát neomezené. Proto je velmi důležité dlouhodobé efektivní fungování prostředí a správné plánování výkonů a kapacit. Bez tohoto může dojít jak k velkému přebytku, tak i k nedostatku zdrojů.
1.6.2.
Rozdělení podle typu služby
Princip dělení vychází z rozdělení poskytovaných prostředků podle poskytování prostředků „jako služeb“ = „as a service“ známé jako XaaS. Nejznámější a nejčastěji popisované jsou služby SaaS, PaaS a IaaS, ale jsou i další označení CaaS, MaaS, HaaS, DaaS, nebo ITaaS a mnoho dalších. Tato označení mají svou logiku např. CaaS = Communication as a Service, tedy komunikace jako služba. Rozdělení podle typu služby má i svou hierarchii, kdy nejvýše je SaaS tedy aplikace dostupné přes internetový prohlížeč. Pod nimi je PaaS, tedy platforma, kdy si pronajmete předvolenou platformu, která hostuje Vaši aplikaci. Poslední - 15 -
v řadě je IaaS, Pod tímto pojmem se skrývá pronájem infrastruktury, tedy počítačů. Typicky to probíhá tak, že si virtuálně pronajmete jeden počítač. Na něj si nahrajete operační systém dle vašeho výběru a platíte za hodiny, kdy máte tento počítač pronajatý. Úroveň správy uživatelem je přehledně vidět na obr. Obr. 5 - Úroveň správy při rozdělení podle typu služeb.
Obr. 5 - Úroveň správy při rozdělení podle typu služeb (zdroj: Microsoft)
Obr. 6 - Rozdělení podle typu služeb [zdroj: www.katescomment.com]
- 16 -
CaaS (Communication as a Service) v tomto případě jde o pronájem komunikačního software, mail serveru, VoIP, UC (Unified communications) a dalších komunikačních nástrojů. Zákazník si pronajímá službu a nezajímá ho, na jakém HW služba funguje, nestará se o něj. Výhoda CaaS: -
uživatel se nestará o provoz SaaS (Software as a Service) - poskytování software prostřednictvím webové aplikace, platí se za počet zákazníků a poskytnutý rozsah služeb, zákazník si zde pronajímá vybraný software v určitém rozsahu funkcí. Tato služba je ideální pro ty, kteří potřebují jen běžný aplikační software a požadují přístup odkudkoliv a kdykoliv. Využíváním SaaS, si firmy snižují přímé náklady na nákup softwaru, protože náklady
na licenci on-demand, bývají menší a zároveň není potřeba pořizovat serverové licence. Uživatelé si tedy kupují přístup k aplikaci, ne aplikaci samotnou. Organizace má výrazně nižší počáteční náklady, zná jejich výši, náklady jsou konstantní, často je lze rozložit volitelných časových intervalů. V ceně je i průběžné vylepšování a profesionální podpora včetně sledování logů a statistik. V současnosti se SaaS zdá být jedním z nejlepších řešení pro optimalizaci výdajů a software ve firemním prostředí. Také se jedná o zatím nejrozšířenější možnost z rodiny „řešení jako služba“, kde je možné získat různé aplikace, např.: textový editor, mailového klienta, CRM řešení. Jako příklad je možné uvést známou sadu aplikací Google Apps, nebo logistický systém Cargopass, Salesforce.com, SugarCRM, Box.net, huddle.net, nebo webnode.cz. [12] Výhody SaaS: -
uživatel se nestará o provoz.
-
nízké počáteční náklady,
-
časté aktualizace softwaru.
PaaS (Platform as a Service) – zde jsou poskytovány kompletní prostředky pro vývoj a údržbu vlastních aplikací dostupných prostřednictvím internetu bez možnosti stažení. V tomto případě má klient k dispozici kompletní vývojové, ladící a aplikační prostředí, ve kterém je možné vyvíjet a provozovat vlastní aplikace (IDE, nebo API). Je to přístup velmi známý vývojářům, kdy napíší aplikaci a nahrají ji na server. Dalo by se říci, že se jedná - 17 -
o podobný princip jako u normálního hostingu. Zvolíte hosting s předvybraným prostředím a tam nahrajete aplikaci. Když je vývojář s vývojem aplikace hotový a aplikaci poskytne skrze pronajatou platformu na internetu, je získaným výsledkem služba typu SaaS a uživatelé neplatí za vlastní software, ale za jeho užití. Nevýhodou tohoto přístupu je proprietární uzamčení, kdy může každý poskytovatel používat např. jiný programovací jazyk. PaaS je nejméně rozvinutým segmentem současného cloudu, nicméně společnost Gartner odhaduje, že právě o tento segment bude mezi dodavateli velký zájem a předpovídá velmi intenzivní boj o podíl na trhu, s výhledem na obrat okolo 1,7 miliardy USD v roce 2015. [13] Nabídka aplikací se pohybuje od kancelářských aplikací, až po operační systémy provozované v prohlížečích, jako je www.icloud.com, nebo www.silveos.com. Příkladem poskytovatelů jsou Google App Engine, Force.com (Salesforce.com), nebo Windows Azure. Výhody PaaS -
Výkon je alokovaný na základě aktuální potřeby,
-
platba za průměrnou spotřebu, nikoliv za extrémy.
Přihlášení na výše uvedené virtuální operační systémy je rychlé a zcela jednoduché, níže jsou přiložené obrazovky dvou systémů, do kterých se přihlásíte během několika minut.
Obr. 7 - www.silveos.com
- 18 -
Obr. 8 - www.icloud.com
IaaS (Infrastrukture as a Service) - zde si zákazník může pronajmout infrastrukturu, virtuální počítače, nebo virtuální servery (Dříve bylo také označováno jako HaaS, tedy hardware as a Service). Virtuální znamená, že si klient pronajímá část výpočetního výkonu, úložiště dat, síťovou vrstvu fyzického serveru, ale ne celý fyzický server. Průběh je takový, že si virtuálně pronajme jeden, nebo několik serverů, na ty podle potřeby nainstaluje operační systémy. Pokud výkon nestačí, zažádáme si o další servery, které nám budou vlastně okamžitě přiděleny. Počet pronajatých serverů poroste s nároky na aplikaci, servery je možné i klonovat. V případě, že nároky poklesnou, je možné nepotřebné servery uvolnit. Tohoto se dá využít v případě provozování internetového obchodu, kdy před vánoci stoupne počet návštěv a hrozilo by zpomalení odezvy serverů, nebo v případě testu nové verze internetového obchodu, kterou je nejprve třeba vyzkoušet, před spuštěním ostrého provozu. Výška platby se vypočítává buď podle velikosti požadovaného výkonu, případně času, po které byl výkon využíván, často ovšem také pomocí koeficientu, který porovnává obě tyto hodnoty. [14]
- 19 -
Výhodou IaaS je to, že se o veškeré problémy s hardwarem stará poskytovatel a klienta většinou nezajímá a ani nemůže zjistit, kde hardware leží. Příkladem jsou Amazon WS, Terremark.com, Gauzy.cz. Výhody IaaS: -
nízké počáteční náklady,
-
vlastní výběr prostředí pro běh.
MaaS (Monitoring as a Service) - hlavním smyslem monitorovacích služeb je sledování a vyhodnocování dat ve všech možných podobách. Jsou poměrně důležité pro všechny dříve uvedené typy služeb ale i mnoho dalších, protože poskytují komplexní přehled o fungování jednotlivých aplikací, jejich výpočetních potřebách, stejně jako o využití výkonu, který je k dispozici. [15]
1.7. Jak firmy přistupují ke cloud computingu
Obr. 9 - Cloud computing - nové přístupy – [zdroj: T-Systems]
Dnešní cílovou skupinou pro nabídky cloudu jsou hlavně malé společnosti s nízkými rozpočty na IT a s krátkými rozhodovacími procesy a soukromí uživatelé. Cílené zavádění cloud computingu však může být v krátkém a středním výhledu přínosem i pro podniky střední velikosti. Kvůli často nejasným otázkám týkajícím se ochrany dat, datové bezpečnosti a všeobecných právních podmínek mají střední firmy strach uložit svá data do cloudu.
- 20 -
Dalším problémem je, že nová neznámá generace poskytovatelů IT služeb, nemusí být považována za důvěryhodnou. Požadavky zákazníků středních podniků nemusí vždy splňovat ani vysoká úroveň standardizace nabídky. Velké firmy a velké mezinárodní skupiny přistupují k tématu cloud computingu pragmaticky. Vědí, že veřejný cloud pro ně znamená bezpečnostní rizika, ale privátní cloud, je pro ně správnou alternativou. Z tohoto pohledu hodnotí možnosti (volby) používání extrémně nízkonákladových zdrojů v nekritických scénářích nebo adaptaci zásad cloudu pro IT služby, které jsou pro firmu kritické. [16] Některé velké společnosti, které se rozhodly využít cloudových služeb a převedly do cloudu jen část svých aplikací, u kterých nebyl přenos tak veliký problém a naopak jsou tyto služby nyní lépe dostupné s nižšími náklady na provoz. Jako příklad těchto služeb, které jsou nyní dostupné v cloudu bych uvedl Microsoft On-line services, které nabízí MS Office 365, MS Exchange, MS Sharepoint a Microsoft Dynamics CRM. Podle vyjádření Jon Roskilla, který je Microsoftu zodpovědný za celosvětovou strategii v prodejním kanále pro komerční a cloudové služby, byl přesun velkých firem k on-line verzím docela překvapením. Mezi společnostmi to jsou například Coca-Cola, McDonald„s, Procter&Gamble a další. Předpokládali, že budou testovat pilotní provozy a zabere jim to zhruba čtyři roky, ale většina z nich to však zvládla za čtyři měsíce. Když firmy uviděly funkčnost a reálné náklady na provoz, začaly více zvažovat, kam umístí své IT prostředky. Rozhodování o investicích do IT bylo doposud pro společnosti těžké rozhodnutí, protože většinou 80 % rozpočtu musely vynaložit, aby udrželi své výpočetní vybavení a infrastrukturu funkční. Na rozvojové investice tak zbylo velmi málo peněz. [17] Vyjádření společnosti Gartner k využívání cloudových služeb: „Do roku 2012 bude 80 % podniků z žebříčku Fortune 1000 používat nějaké cloudové výpočetní služby, 20 % všech podniků bude využívat pro své IT potřeby jen cloudové výpočetní služby.“
- 21 -
2. Bezpečnost v cloudu V dnešní době, se všichni uživatelé Internetu aniž si to možná uvědomují s cloudem již setkali, přistupují k datům uloženým v cloudech každý den. Domácím uživatelům je jedno, kde jsou jejich data umístěná, kde se nachází servery s jejich poštovní schránkou např. seznam.cz, gmail.com, nebo server s jejich rodinnými fotografiemi, anebo kde leží video server youtube.cz, nebo youtube.com s videoklipy. Je pro ně důležité, že se k datům jednoduše a vždy dostanou, ne kde leží. Firmy jsou v používání cloudu a v ukládání svých dat do cloudu mnohem opatrnější, nemají ze svého okolí žádné důvěryhodné informace o tom, že by cloud používaly ostatní firmy. Naopak každý problém cloudového řešení je výrazně medializován, což má opět negativní vliv na rozšíření jeho použití v komerční sféře. Firmy mají strach z neznámého a neověřeného, z něčeho čemu moc nerozumí. Při jednání s několika správci malých a středních sítí, se kterými jsem hovořil i na téma nasazení cloudových služeb v jejich společnosti, mi většina z nich odpověděla, že to není pro ně, že nemohou mít data uložena mimo areál firmy, kde by se k jejich datům mohli dostat neoprávnění uživatelé, nebo že by se ke svým datům naopak nedostali oni, anebo že by o svá data mohli přijít. Tento názor pak většinou převezme i majitel, nebo jednatel dané společnosti. (ale často mi přišlo, že správci vlastně nevědí co cloud je a mají jen strach, že by přišli o práci). Pravdou je, že v případě dnes běžně dostupných SaaS služeb od Microsoftu, nebo Google, by klient nevěděl, v jakém datovém centru by byla jeho data umístěna, jestli by to nebylo za hranicemi jeho země, jak jsou zálohována a kdo k nim má přístup. Nemohl by si ověřit, zda a jak jsou jeho data zabezpečena. V Evropské unii dnes neexistují žádné jednotné zákony, nebo předpisy, které by tuto problematiku upravovaly, ale uplatňují se místní nařízení a předpisy. Problém je i s uložením citlivých dat, protože je rozdíl mezi daty internetového obchodu, emailovou poštou, účetními daty, která mohou být ve veřejném cloudu a mezi bankovními daty, nebo daty, které obsahuji zdravotní dokumentaci a údaje pacientů. Tato data si dnes nikdo nedovolí do cloudu umístit, mohou být jen v privátním cloudu.
- 22 -
Je to podobné, jako to bylo před lety s důvěrou lidí s ukládáním úspor do bank. Pokud si cloud představíme jako banku a data jako úspory. Tak v minulosti si lidé také své úspory schovávali raději doma „pod matraci“, což dnes už prakticky neexistuje, všichni s určitou důvěrou ukládají své peníze do bank. Zde si společnost musí projít určitým obdobím, po němž už jí přijde normální mít svá data v cloudu. Určitě bude muset dojít k legislativním úpravám, vznikne nějaký „zákon o datových bankách“, který sjednotí pravidla pro nakládání s daty nejen na národní, ale i na mezinárodní úrovni, či Evropské unii, dojde k zavedení předpisů, nebo standardů, které budou poskytovatelé muset dodržovat. Pak dojde ke zvýšení důvěry firem v cloud computing. Poskytovatelé cloudu se budou velmi snažit, jako dnes banky, aby si získali a udrželi své zákazníky, aby nabídka jejich služeb byla na vysoké úrovni. Požadavky na zajištění plnění předpisů můžou vycházet z organizace, která cloud využívá, nebo z oboru (zdravotnictví, finance, ..), anebo z vládní instituce (např. Směrnice EU o ochraně dat) a může být v současné době obtížné je při použití cloudového řešení bez robustní vývojové platformy určené pro podnikové potřeby splnit. S tím, jak se budou cloudové technologie zlepšovat a jak se budou požadavky na dodržování předpisů přizpůsobovat cloudovým architekturám, bude při využívání cloudů možné daleko lépe dodržovat předpisy. Tím pádem bude řešení přijatelné pro více organizací a úloh. Podobně tomu bylo například u elektronických podpisů, které v případě mnoha smluv a dokumentů v raných dobách Internetu nebyly vůbec akceptovány. Jak se postupně autentizační a šifrovací technologie zlepšovaly a jak se postupně měnily požadavky na dodržování předpisů, elektronické podpisy se staly přijatelnější. Dnes lze pomocí elektronického podpisu podepsat většinu smluv (včetně smluv pro založení bankovního účtu a žádostí o úvěr). [10] Velkou skupinu zákazníků, u kterých se rychle zvyšuje míra využívání veřejných cloudů, tvoří malé a střední podniky (SMB) a uživatelé využívající model Software jako služba (SaaS). Ti budou mít velký vliv na změny v této oblasti. Tato rostoucí skupina se bude snažit postupně přimět vlády, aby se přizpůsobily přechodu na cloudy modernizací právních předpisů. Tento regulační vývoj způsobí, že se veřejné cloudy budou stávat akceptovatelnější alternativou pro velké podniky a tím bude docházet k pohybu segmentů podél vodorovné osy směrem k upřednostňování veřejných cloudů.
- 23 -
Hlavní rizika cloudu podle ENISA BOX 1 jsou následující: ztráta governance nad bezpečností, závislost na poskytovateli (Lock-in), chyba oddělení v cloudu, nedodržení souladu, nezabezpečené rozhraní, ochrana dat, nedostatečné a neúplné mazání dat, interní útoky [18] Hlavní rizika cloudu podle Cloud Security Alliance jsou následující: zneužití a nekalé využívání cloudu, nezabezpečené rozhraní a API, úmyslné interní útoky, sdílené technologie, ztráta a únik dat, neoprávněné získání účtu nebo služby, neznámý profil rizik, interní útoky [19] Mnoho bezpečnostních expertů je přesvědčeno, že dnes nejsou žádné vážnější důvody se domnívat, že by veřejné cloudy měly být méně bezpečné než lokální řešení klient-server. Ve skutečnosti jsou pravděpodobné daleko bezpečnější než místní řešení, a to kvůli intenzivním kontrolám, které musí poskytovatelé provádět z hlediska zabezpečení a profesionálního zpracování. Problémem ale zůstává, že data jsou v cloudu zamčená, není jednoduše možné, je migrovat k jinému levnějšímu, nebo lepšímu poskytovateli. Větším nebezpečím je vždy strana uživatele, kdy zaměstnanec může ztratit, nebo mu může být zcizen notebook, kde nemá šifrovaná data, nebo chytrý telefon s přístupem do sítě zaměstnavatele, případně může mít v telefonu, nebo v diáři zapsáno „jak se přihlásit do práce“. Proto jsem od sebe v následujících kapitolách oddělil pohled na bezpečnost v cloudu ze strany poskytovatele a ze strany uživatele. V mnoha oblastech se sice hodně překrývají, ale určitou oblast bezpečnosti řeší vždy jen jeden z nich.
- 24 -
2.1. Bezpečnost na straně poskytovatele cloudu 2.1.1.
Kdo je poskytovatel cloudu
Poskytovatelů cloudových služeb, je hodně a jejichž množství narůstá. Podle webu http://searchcloudcomputing.techtarget.com jsou za rok 2011 deseti největšími světovými poskytovateli cloudových služeb firmy Amazon web services, IBM, Rackspace, Salesforce, Microsoft, Google, Bluerock, Verizon, Joyent, NephoScale., jejichž datová centra jsou rozesetá po celém světě, nebo alespoň po celém kontinentu. Aktuální informaci, kde, nebo alespoň v kterých zemích, mají jednotliví poskytovatelé datová centra, není jednoduše zjistitelné, našel jsem většinou neaktuální staré informace.
Obr. 10 - loga poskytovatelů cloudu (zdroj: Internet)
Vedle velkých celosvětových poskytovatelů, existují i menší, lokální poskytovatelé cloudových služeb, v ČR jsou to např. společnosti GTS Czech, T-Systems, Casablanca, O2, Cesnet (datacentrum ve výstavbě) a další.
2.1.2.
Technická infrastruktura poskytovatele
2.1.2.1. Historie a dědictví Cloud computing vnikl složením a vylepšením mnoha již dlouho využívaných technologií a služeb. Jeho princip, tedy poskytování aplikací prostřednictvím internetu pamětníkům určitě připomene neúspěšný pokus s ASP (Application Service Provider) kolem roku 2000/2001, ale díky nedostatečným výkonům HW a hlavně díky pomalému internetu, nakonec vše zkrachovalo. Několik společností tehdy dokonce přišlo o svá data a i proto dnes cloud computing nebudí přílišnou důvěru. - 25 -
Je tedy cloud computing něco nového? Na internetu jsou aplikace, které si spouštíme a ovládáme přes internetový prohlížeč, například emailový klient www.seznam.cz, nebo www.yahoo.com, která fungují přes 10 let, ale tehdy ještě o cloudu nikdo nemluvil. Kvalita služeb poskytovaných před 10-15 lety, byla proti službám dnešním velmi nízká, nabídka funkcí a možnosti aplikací byly mnohem nižší, velikost schránky v emailových klientech byla omezená. Jednalo se o jednotlivé fyzické servery, na kterých byl podle platformy nainstalován operační systém, webový server a aplikace, např.: Na Linuxu:
webserver: Apache + Squirrelmail
mailserver: Sendmail
později Na Windows
webserver: IIS + Exchweb
požadavky z internetu
firewall
mailserver: MS Exchange
webový server
mailový server
Obr. 11 – Jednoduchý webserver [zdroj: autor]
Fyzicky to pak většinou vypadalo tak, že poskytovatel měl několik serverů, které přes webovou aplikaci vyřizovaly požadavky klientů, za nimi byl pak připojen mailový, nebo databázový server s daty uživatelů. Můžeme tedy říci, že se tehdy již jednalo o určitou formu cloud computingu. Kvalita a spolehlivost nabízených služeb byla malá, ale postupem času se zvyšovala. Se spuštěním prvního takového serveru se začaly objevovat i bezpečnostní problémy, se kterými bojují i dnešní poskytovatelé cloud computingu: poruchy hardware, poruchy software, výpadky internetové konektivity, odolnost proti síťovým útokům, výpadky elektrické energie a chlazení, chyby obsluhy, případně změny legislativy. Tehdy poruchy a výpadky způsobovaly velké problémy a vyřazovali systémy na několik hodin i dnů. Jak se těmto problémům dnešní datová centra brání, se nyní pokusím zjednodušeně popsat. - 26 -
2.1.2.2. Poskytovatelé a jejich služby Poskytovatelé nabízeli a nabízí službu mailhosting -> webmail, kdy mohou být emaily dostupné přes internetový prohlížeč, případně je možné je stahovat do lokálního poštovního klienta. Dále nabízí službu webhosting, kdy je klientova internetová prezentace provozována na serverech poskytovatele, webovou prezentací může být i internetový obchod, který býval často řešen i službou serverhosting, kdy si klient u poskytovatele pronajal datový rozvaděč a konektivitu, a zde zapojil svůj vlastní server, nebo servery. S příchodem webu 2.0 přibylo úspěšných projektů, rostlo množství uživatelů, kteří servery navštěvovali, registrovali se a začali nabízené služby využívat, tím rostlo množství požadavků, které musely servery vyřizovat, rostly nároky na diskové prostory serverů, požadavky na kapacity internetových konektivit a samozřejmě na výkony serverů. Poskytovatelé internetových služeb postupně automatizovali své systémy. Bylo možné přes internetový prohlížeč zakoupit doménu, nastavit k ní emailové schránky, pravidla pro příjem pošty a vygenerovat jednoduchou internetovou prezentaci. požadavky z internetu
firewall - router
webové servery
switch
mailové servery
autorizační server
Obr. 12 - Rozložení zátěže mezi dva a více serverů – DNS load balancing. [zdroj: autor]
Poskytovatelům již nedostačoval výkon jednotlivých serverů, které nezvládaly vyřizovat požadavky klientů. Proto hledali řešení jak rozložit internetové požadavky na dva a více serverů. Pomohl DNS round robin load balancing, kdy DNS server odpovídal na dotazy tak, že postupně dokola vracel IP adresy uložené v daném A záznamu.
- 27 -
Př.: Pokud tedy uživatelé přistupovali na server http://mail.test.cz, tak každý dostal jako odpověď jinou IP adresu. Čtvrtý přistupující dostal opět první IP adresu. mail.test.cz
A
192.168.100.1
mail.test.cz
A
192.168.100.2
mail.test.cz
A
192.168.100.3
Požadavek na autorizaci klienta, byl přesměrován na autentizační server, kde byla uložena informace, na kterém poštovním serveru má daný uživatel své emaily. Rozložením zátěže na více serverů docházelo zároveň ke zvýšení dostupnosti služby a tedy i bezpečnosti.
2.1.2.3. Load balancing a cluster Časem neustále rostly požadavky na výkon, spolehlivost a dostupnost úspěšných služeb. Proto poskytovatelé dále investovali do infrastruktury, pořizovali záložní konektivity, obyčejná datová úložiště na serverech s RAID 1, nebo RAID 5, nahrazovali clusterovým řešením, diskovými poli, kdy byla disková úložiště mezi sebou duplikovaná. Webové servery spojovali do clusterů, DNS load balancing kombinovali s aktivním SW load balancingem, kdy mezi sebou servery komunikují a předávají si informace o svém vytížení. V případě, že nějaký server havaruje, je automaticky z clusteru vyřazen. Toto byl tedy další krok ke zvýšení dostupnosti nabízených služeb a bezpečnosti.
- 28 -
webové servery
mailové servery
požadavky z internetu
firewall - router
diskové pole
switch
optika
op
opt ika
a tik a optik
záložní konektivita
autorizační server
Obr. 13 - Load balancing, webový cluster a diskový cluster s diskovým polem. [zdroj: autor]
2.1.2.4. Moderní datová centra Později začínají vznikat datová centra, ve kterých jsou již tisíce fyzických serverů. Ochrana proti výpadku napájení, je řešena dvěma a více nezávislými dodavateli elektrické energie. Spotřeba elektrické energie je řízená, v případě kdy se sníží požadavek na výkon HW, sníží se i příkon, tedy spotřeba elektrické energie.
Obr. 14 – Klasifikace infrastruktury datových center, [zdroj: The Uptime Institute]
Datová centra jsou jištěna výkonnými záložními zdroji, pro pokrytí krátkodobého výpadku a dieselagregáty pro zajištění provozu při výpadku delším. Mají zálohovanou - 29 -
klimatizaci, která udržuje teplotu a vlhkost v určené toleranci. A nakonec mají duplikovanou i internetovou konektivitu. Jejich infrastruktura splňuje požadavky minimálně TIER3 III. Datová centra jsou pod trvalým dohledem 7/24/365, jsou vybavena hasícími systémy, které v případě požáru vypustí do ovzduší plyn, který sníží koncentraci kyslíku natolik, že se požár „zadusí“. Vstup do prostorů kde jsou uloženy servery, je povolen jen pro pracovníky se zvláštním povolením.
2.1.2.5. Geografická záloha Pro další zvýšení dostupnosti a zajištění bezvýpadkového provozu nabízených služeb a bezpečnosti uložených dat budují poskytovatelé záložní datová centra tzv. „Twin Core“, kam umisťují mirrory systémů a dat z primárních center. Obě centra jsou pak propojena vyhrazenou datovou linkou, přes kterou podle typu pronajaté služby probíhají on-line replikace/mirrory, nebo off-line zálohy.
Obr. 15 - Disaster Recovery Plan (http://www.ovh.cz)
Při geografické záloze, dojde v případě nedostupnosti primární lokality k přesměrování internetového provozu do lokality záložní. S tím samozřejmě stoupají nároky na diskový prostor.
3
TIER je klasifikace pro rozlišení datových center. Tier 1 (nejhorší) až Tier 4 (nejlepší) podle TIA-EIA 942 – Telecommunications Infrastructure Standard for Data Centers podle Uptime Institute. Podstatou je hodnocení vnějších vlivů a jednotlivých systémů v datacentru.
- 30 -
Společnost Microsoft má pro Evropu postavena zatím dvě obrovská datová centra čtvrté generace, jedno je v Amsterdamu a druhé v Dublinu. (podle informace z 10/2011 jich má hotových šest, 2x Evropa, 2x Amerika a 2x Asie) a po celém světě staví desítky dalších (i v ČR). Podobná, ale mnohem menší datová centra mají v ČR také společnosti Telefonica O2 (Nagano v Praze 3, Strašnicích, další v Praze 4, Chodov, v Hradci Králové), T-Systems a další. Centra jsou mezi sebou vždy propojená a umožňují geografickou zálohu.
2.1.2.6. Globalizace Díky globalizaci dochází k postupnému a relativně optimalizovanému využívání výkonu světových serverů s postupným přístupem uživatelů z jednotlivých světadílů. Například, když se na internetové služby připojují uživatelé z Evropy, tak velká část uživatelů z Asie již spí a uživatelům z Ameriky svítá. Pro tato připojení jsou potřeba výkonné páteřní linky. Se zvýšeným zájmem o globální služby postupně dochází k jejich rozšíření, k nárůstu množství uložených dat a tím potřebě většího diskového prostoru. Podle webu http://royal.pingdom.com byl Facebook v říjnu 2011 stejné veliký jako celý internet v roce 2004.
Obr. 16 - Porovnání velikosti Facebooku se světadíly (zdroj: http://royal.pingdom.com)
- 31 -
2.1.2.7. Infrastruktura datových center Infrastruktura v moderních datových centrech musí splňovat požadavky pro nasazení služeb cloud compuntigu. Cloud servis provider (CSP) musí klientovi garantovat šířku pásma, k tomu musel vybudovat kvalitní síťovou infrastrukturu, která mu umožní předejít vysoké latenci. Vše musí být zdvojeno, všechny úkony jsou předávány na hardwarové úrovni, která si dokáže poradit s jakýmkoli problémem. Servery jsou připojeny na dvě rozdílné sítě a dva různé switche. UID 1
2
1
záložní konektivita
firewall - router
switch
POWER SUPPLY
9
7
8
3
3
4
3
2
5
4
7
6
5
1
5
2
6
2
6
HP ProLiant DL380 G6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
9
8
ONLINE SPARE
1 PROC
MIRROR
5
1
POWER CAP
1
2
2
6
1
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
4
3
2
1
UID 1
2
1 POWER SUPPLY
9
7
8
3
3
4
1
3
2
5
4
7
6
9
8
ONLINE SPARE
1 PROC
MIRROR
5
HP ProLiant DL380 G6
POWER CAP
1
2
2
6
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
4
3
2
1
UID 1
Internet
2
1
stack
POWER SUPPLY
9
7
8
3
3
4
1
3
2
5
4
7
6
9
8
ONLINE SPARE
1 PROC
MIRROR
5
HP ProLiant DL380 G6
POWER CAP
1
2
2
6
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
4
3
2
1
UID 1
2
1 POWER SUPPLY
9
7
8
3
4
Switche
6
1
3
2
5
4
7
6
9
8 1
PROC
MIRROR
5
HP ProLiant DL380 G6
4
POWER CAP
1
2 ONLINE SPARE
2
Routery
3 OVER
2 POWER SUPPLY
5
6
PROC
FANS
4
3
2
1
Obr. 17 – Zapojení failover routerů a switchů [zdroj: autor]
Výsledkem je, že jakákoli chyba HW, nebude mít žádný vliv na funkci infrastruktury. Servery jsou samozřejmě napojeny ke dvěma nezávislým zdrojům elektrické energie, na dvě různé UPS. Rozložení zátěže serverů K rozložení zátěže serverů využívají moderní datová centra velmi výkonný a inteligentní load-balancing. Ten má za úkol optimalizovat přístup mezi fyzické i virtuální servery podle počtu požadavků, nebo podle kapacity přenosu a tím rovnoměrně vytěžovat všechny servery. UID
záložní konektivita
firewall - router
1
load balancing
switche
2
1 POWER SUPPLY
9
7
8
3
3
4
3
2
5
4
7
6
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1 PROC
4
3
2
1
UID 1
2
1 POWER SUPPLY
9
7
8
3
4
stack
1
4
3
2
5
4
7
6
9
8
ONLINE SPARE
1 PROC
MIRROR
5
4
3
2
1
UID 1
2
1 POWER SUPPLY
9
7
8
3
3
4
1
3
2
5
4
7
6
9
8
ONLINE SPARE
1 PROC
MIRROR
5
4
3
2
1
UID 1
2
1 POWER SUPPLY
9
7
8
3
4
Routery
Switche
1
3
4
POWER CAP
1
2
3
2
5
4
7
6
ONLINE SPARE
PROC
5
4
9
8 1
PROC
MIRROR
FANS
6
OVER
2 POWER SUPPLY
5
6 2
Load balancery (mohou být součástí switchů)
3
2
1
Obr. 18 – Zapojení failover routerů, load balancerů a switchů [zdroj: autor]
- 32 -
HP ProLiant DL380 G6
POWER CAP
1
2
2
6
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
HP ProLiant DL380 G6
POWER CAP
1
2
2
6
Internet
3 OVER
2 POWER SUPPLY
5
6
PROC
FANS
HP ProLiant DL380 G6
9
8
ONLINE SPARE
MIRROR
5
1
POWER CAP
1
2
2
6
1
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
HP ProLiant DL380 G6
V případě komplikací některého ze serverů, je problém detekován a vadný server dynamicky vyřazen. Load-balancing může být softwarový (Linux, Microsoft), nebo hardwarový (Cisco ASE). V případě hardware se může jednat o samostatné boxy, nebo o moduly do výkonného modulárního switche (Cisco Catalyst). VPN4 - oddělení provozu, VPN - management Ke zvýšení bezpečnosti je po ověření, každý uživatel zařazen do své unikátní VLAN5 sítě, která mu umožní přístupovat pouze k jeho virtuálním serverům a k jeho datům. Komunikace mezi servery je zřízena také pomocí privátních VLAN sítí, které jsou unikátní pro každého zákazníka. Provoz VLAN sítě není z vnějšího internetu viditelný, tím je provoz oddělen a i zabezpečen. UID 1
2
1
záložní konektivita
VPN
firewall - router
POWER SUPPLY
load balancing
switche
9
7
8
3
3
4
1
3
2
5
4
7
6
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1 PROC
4
3
2
1
UID 1
2
1
2
POWER SUPPLY
POWER SUPPLY
9
7
8
5
6
3
4
6
Internet
active active
1
3
4
OVER
1
3
2
5
4
7
6
9
8
ONLINE SPARE
1 PROC
MIRROR
5
4
3
2
1
UID
stack
1
2
1 POWER SUPPLY
9
7
8
3
3
4
1
3
2
5
4
7
6
9
8
ONLINE SPARE
1 PROC
MIRROR
5
4
3
2
1
UID 1
2
1 POWER SUPPLY
9
7
8
3
4
Routery
Switche
1
3
4
3
2
5
4
7
6
4
9
8 1
PROC
MIRROR
5
HP ProLiant DL380 G6
POWER CAP
1
2 ONLINE SPARE
PROC
FANS
6
OVER
2 POWER SUPPLY
5
6 2
Load balancery (mohou být součástí switchů)
HP ProLiant DL380 G6
POWER CAP
1
2
2
6
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
HP ProLiant DL380 G6
POWER CAP
2
2 PROC
FANS
HP ProLiant DL380 G6
9
8
ONLINE SPARE
MIRROR
5
1
POWER CAP
1
2
2
6
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
3
2
1
Obr. 19 – Failover zapojení VPN koncentrátorů, routerů, load balancerů a switchů [zdroj: autor]
Pro správu své infrastruktury používá zákazník přístup VPN, kdy je mezi jeho stanicí administrátora a cloudem vytvořen šifrovaný VPN tunel, který je dále směrován do přidělené VLAN sítě. Takže je celá trasa šifrovaná a oddělená od ostatního provozu. Pro správu VPN a VLAN sítí může být opět použito softwarové (Linux, Microsoft), nebo hardwarové zařízení např. (Cisco ASA), které je rychlejší a má vyšší propustnost, zároveň řeší i intervlan routing, tedy routování mezi sítěmi VLAN. Cisco VPN koncentrátor může být zapojen ve failover modu v režimu active/active.
4
VPN (Virtual Private Network)– je virtuální privátní síť, která zajišťuje bezpečné (autentizované a šifrované) a přitom pro uživatele zcela transparentní spojení mezi dvěma či více sítěmi. Pro spojení mezi uživatelem a požadovanou destinací je použita veřejná síť - nejčastěji internet. 5
VLAN - je virtuální LAN, která umožnuje v síti vytvářet vice virtuálních podsítí. Fyzickým médiem, ethernetovým, nebo optickým kabelem, pak může být vedeno vice sítí virtuálních. To je řešeno tak, že je k ethernetovému paketu doplněna značka (tzv. tag), která určuje do které VLANy daný paket patří. Při vstupu do switche jsou pakety označeny (tagovány) a při výstupu ze switche, jsou buďto odznačeny, případně mohou zůstat označeny. To záleží na módu v jakém je daný port nastaven (access, nebo trunk).
- 33 -
BGP6 – směrování mezi poskytovateli a datovými centry Aby si CSP zařídil dostupnost své infrastruktury od více jak jednoho poskytovatele internetu, musí si pro sebe zakoupit vlastní adresní prostor nezávislý na internetovém poskytovateli, tzv. „provider independent address space“. Celé to pak funguje tak, že se CSP domluví s poskytovateli internetu na vytvoření autonomních systémů, které jsou napojeny na jeho autonomní systém. Nezávislý adresní prostor, který má CSP přidělený, je pak dostupný jak ze sítě ISP1, tak ze sítě ISP2, což je zajištěno protokolem BGP. V případě výpadku konektivity u ISP1, protokol BGP zajistí směrování požadavků od ISP1 k ISP2. Autonomní Systém
vstupní routery
switchce
firewall
switchce
UID 1
2
1 POWER SUPPLY
Internet ISP1
9
7
8
eBGP
3
3
4
1
3
2
5
4
7
6
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1 PROC
4
3
2
1
UID 1
2
1 POWER SUPPLY
9
7
8
3
3
4
1
3
2
5
4
7
6
9
8
ONLINE SPARE
1 PROC
MIRROR
5
4
3
2
1
AS65001 stack
iBGP
F/O
stack
UID 1
2
1
2
POWER SUPPLY
POWER SUPPLY
9
7
8
5
6
3
4
6
Internet ISP2
1
3
4
OVER
1
3
2
5
4
7
6
9
8
ONLINE SPARE
1 PROC
MIRROR
5
4
3
2
1
UID
eBGP
1
2
1 POWER SUPPLY
9
7
8
3
4
1
3
4
3
2
5
4
7
6
4
9
8 1
PROC
MIRROR
5
HP ProLiant DL380 G6
POWER CAP
1
2 ONLINE SPARE
2
6
OVER
2 POWER SUPPLY
5
6
PROC
FANS
HP ProLiant DL380 G6
POWER CAP
2
2 PROC
FANS
HP ProLiant DL380 G6
POWER CAP
1
2
2
6
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
HP ProLiant DL380 G6
9
8
ONLINE SPARE
MIRROR
5
1
POWER CAP
1
2
2
6
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
3
2
1
active/active AS65002 Provider independent address space
BGP
AS65065
OSPF
BGP -> OSPF
Obr. 20 – Propojení autonomních systémů [zdroj: autor]
Na stejném principu může být zajištěno i směrování do záložní lokality, v případě výpadku primárního datového centra, protokol BGP zajistí směrování požadavků v sítích obou poskytovatelů do záložního datového centra přes síť každého z poskytovatelů. V optimálním případě může být protokolem BGP zajištěno i geografické rozložení zátěže, kdy od jednoho ISP může být z východní Evropy dostupné datové centrum v Amsterdamu a ze západní Evropy datové centrum v Dublinu. Opět v případě výpadku jedné z konektivit dojde k přesměrování na záložní konektivitu, nebo do druhého datového centra. [20]
6
BGP (Border Gateway Protocol) je směrovací protokol, určený pro výměnu směrovacích tabulek mezi autonomními systémy. Zabezpečuje především údržbu směrovacích tabulek, aktualizaci směrů a na základě definované metriky vyhodnocuje dostupnost cílových sítí. Dále se protokol BGP stará o propagaci optimální cesty s identifikátory autonomních systémů v naplánované cestě. Přenos potřebných informací pro směrování je umožněn přes protokol TCP na portu 179.
- 34 -
High availaibility Jednotlivé kontejnery, fyzické a virtuální servery jsou pod trvalým dozorem centrálního managementu, který hlídá vytížení, zdraví a dostupnost fyzických serverů. V případě přetížení, nedostupnosti nebo kolize, přesune virtuální servery na jiný fyzický server, nebo do jiného kontejneru, který má volný výkon. Virtuální rack V případě, že máme požadavek na větší množství virtuálních serverů, můžeme si pronajmout virtuální rack, kde pak nezáleží na počtu ani fyzickém umístění serverů v datovém centru. Servery se připojí do virtuálního switche s pomocí stejné privátní sítě. Servery mezi sebou mohou komunikovat privátně a zabezpečeně v dedikované VLAN. Virtuální rack nabízí větší flexibilitu a není omezen prostorem! Je jen na našem rozhodnutí, kdy do racku přidat další stroj. [21] Dynamické spouštění požadovaných služeb V případě, že klient v cloudu provozuje např. internetový obchod, tak při nárůstu přístupů, v době předvánočních nákupů, je možné během několika minut zvýšit množství serverů o 20% a naopak, ihned jak vánoční nákupy skončí, servery zase jednoduše zrušit. V případě že pracujeme na vývoji nové aplikace, kterou potřebujeme otestovat, je možné jednoduše spustit další server, provést testování a po jeho ukončení server smazat. V případě, kdy potřebuje poskytovatel provést upgrade nabízené služby na novou verzi, provede její instalaci v novém prostředí a následně provede import nebo migraci dat z původního prostředí do nové verze. Pokud je vše v pořádku, provede výměnu staré verze za novou.
- 35 -
Obr. 21 - Cloud computing podle Microsoftu (zdroj: Microsoft)
Na obrázku Obr. 21 - Cloud computing podle Microsoftu (zdroj: Microsoft)jsou vidět serverové kontejnery v datovém centru společnosti Microsoft. Na obrázku uprostřed je pak chodba uprostřed kontejneru, ve kterém je umístěno cca 2000 fyzických serverů. Instalace kontejneru je velmi rychlá, napojí se na elektřinu, vodu (kvůli chlazení) a konektivitu. Cirkulace vzduchu je v kontejneru optimalizovaná. Na spodním obrázku jsou pak dieselagregáty pro případ výpadku napájení.
2.1.3.
Software a technologie umožňující provoz cloudu
2.1.3.1. Virtualizace serverů S nárůstem výpočetního výkonu serverů dochází k tomu, že si výrobci HW a SW uvědomují, že fyzické výkonné servery jsou většinu času nevyužité, jejich výkon je využíván v průměru na 10%, a když je třeba provozovat více aplikací, je pro každou vyhrazen vlastní výkonný server, který zabírá místo, odebírá elektrickou energii, topí - ohřívá vzduch. Proto dochází k postupnému nástupu virtualizace, kdy je možné na jednom fyzickém serveru spustit více serverů virtuálních, výkon fyzických serverů je pak využíván na více jak 60%.
- 36 -
Podkladem je tzv. hypervisor, tedy podklad, který umožňuje spouštět virtuální serverové operační systémy, nezávisle na platformě Linux, Windows. UID 1
2
1 POWER SUPPLY
9
7
8
3
3
4
3
2
5
4
7
6
1
5
6
2
6
3
7
3
7
4
8
4
8
4
3
2
1
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
1
5
1
5
2
6
2
6
3
7
3
7
UID 1
2
1 POWER SUPPLY
9
7
8
3
3
4
1
3
2
5
4
7
6
3
2
1
UID 1
7
8
2
3
3
4
3
2
5
4
7
6
5
3
2
2
1
3
4
1
4
PROC
3
2
5
4
5
4
UID 1
7
6
2
1
9
POWER SUPPLY
9
8
7
3
3
1
4
OVER
2 POWER SUPPLY
5
PROC
3
2
8
1
6
4
6
4
8
4
2
3
2
5
4
7
6
ONLINE SPARE
2 PROC
5
4
5
1
5
2
6
2
6
3
7
3
7
4
8
4
8
HP ProLiant DL380 G6
9
8 1
PROC
MIRROR
FANS
1
POWER CAP
1
1
MIRROR
FANS
HP ProLiant DL380 G6
POWER CAP
1
2 ONLINE SPARE
2
6
3 OVER
2 POWER SUPPLY
5
6
HP ProLiant DL380 G6
9
1
UID 1
7
8
hypervisor
PROC
4
1 POWER SUPPLY
9
HP ProLiant DL380 G6
8
ONLINE SPARE
MIRROR
FANS
APP OS
POWER CAP
1
2
2
6
1
4
OVER
2 POWER SUPPLY
5
6
PROC
APP OS
9
1 PROC
4
1 POWER SUPPLY
9
APP OS
8
ONLINE SPARE
MIRROR
5
APP OS
POWER CAP
1
2
2
6
4
OVER
2 POWER SUPPLY
5
6
PROC
FANS
HP ProLiant DL380 G6
1 PROC
MIRROR
5
5
2
9
8
ONLINE SPARE
FANS
1
POWER CAP
1
2
2
6
1
4
OVER
2 POWER SUPPLY
5
6
PROC
3
2
1
8
Obr. 22 - 4 fyzické servery a 1 fyzický server se 4mi virtuálními [zdroj: autor]
Na obrázku vlevo jsou čtyři fyzické servery, které jsou využívány na 10% výkonu a na obrázku vpravo jsou na jednom fyzickém serveru čtyři servery virtuální, které využívají výkon fyzického serveru mnohem efektivněji, při čtvrtinových pořizovacích nákladech na HW při maximálně polovičních nákladech na zdroje a zálohy elektrické energie, na chlazení a na prostor. Největšími „hráči“ na trhu jsou dnes v oblasti virtualizace společnosti Microsoft s Hyper-V, VMware s ESXi, Citrix s Xen-serverem a RedHeat
s Red Hat Enterprise
Virtualization (RHEV). Ve vlastní praxi jsem se setkal s instalacemi virtuálních strojů na hypervisorech ESX od VMware a Hyper-V od Microsoftu. Na obě platformy jsme přenášeli hlavně servery Microsoft 2003 a 2008 a pak několik linuxových serverů s OS CentOS. Do virtuálního prostředí jsme instalovali nové, čisté servery a rovněž migrovali funkční běžící servery. Vzhledem k tomu, že jsme nepožadovali žádné další zvláštní funkce, mohu konstatovat, že obě platformy jsou funkční, rychlé a spolehlivé. Z pohledu centrální správy, je na tom lépe VMware, který nabízí pro řízení plnohodnotné, plně redundantní virtuální infrastruktury VMware vCenter Server, Microsoft má tuto správu rozdělenu mezi několik manažerů - Microsoft System Center Virtual Machine Manager 2008 R2 (VMM), Operations Manager a Configuration Manager.
- 37 -
S trvalým růstem výkonu počítačů a serverů, souvisí i nárůst výkonu hardware pro provoz sítí, tedy routerů a switchů. Tím stoupá jejich propustnost (lokálních i internetových) a samozřejmě stoupá i množství přenášených dat. Při trvalém poklesu nákladů na internetové konektivity, dochází k rostoucímu zájmu a rozšiřování internetových aplikací a jejich funkcí. Virtualizace nám přináší větší flexibilitu celé infrastruktury, jednodušší možnosti řízení a správy prostředků přidělených jednotlivým systémům. Dále nám umožňuje nastavit procesy, které zajišťují vysokou dostupnost (HA – high availibility), kontinuitu provozu (BC – business continuity) a obnovení po havárii (DR – disaster recovery), řízení spotřeby elektrické energie a rozložení zátěže (LB – load balancing).
Obr. 23 – Srovnání služeb Microsoftu, klasická distribuce a cloud [zdroj: Microsoft]
2.1.3.2. Antivirová ochrana cloudu Je samozřejmé, že i na virtualizovaných serverch cloudu, je potřeba mít instalovaný nějaký antivirový program, který bude hlídat operační systém jednotlivých serverů cloudu, bude hlídat aplikace a bude hlídat uživatele, aby neuložil zavirovaný soubor. Na webu http://www.hypertection.com/ je příklad antiviru, který je instalován na hypervisoru Hyper-V a kontroluje instalované virtuální operační systémy. Kontroly vybraných serverů a operačních systémů provádí on-line, off-line, ihned, nebo v nastaveném čase. Podle informace z konference SecNet 2011, by ale v budoucnu měl být princip antiviru takový, aby snížil vytížení jednotlivých virtualizovaných serverů, a to tak, že by prováděl kontroly již na síťových rozhraních jednotlivých hypervisorů, případně na předřazeném HW. - 38 -
Zde je ale problém v tom, že data procházející přes tyto interface, by měla být šifrovaná a pro antiviry tedy nečitelná.
2.1.4.
Legislativa, bezpečnostní procesy a certifikace
Všichni provozovatelé cloudových datových center se snaží přesvědčit případné klienty, že právě jejich cloud je ten nejlepší. Tento konkurenční boj již není jen o ceně, kapacitě, nebo rychlosti, ale o bezpečnosti, solidnosti, důvěře, historii. Proto investují mnoho peněz na zavedení procesů a získání certifikací v oblastech poskytování služeb, bezpečnosti, zálohování a v dalších. Zde je několik nejrozšířenějších certifikací, kterými se prezentují přední poskytovatelé cloudu na světě. V tuto chvíli není platná žádná speciální norma pro poskytovatele cloudu, ale její vydání se chystá na příští rok. ISO/IEC 20000 -
Tato norma je první celosvětový standard, který se speciálně vztahuje k managementu služeb IT a zaměřuje na zlepšování kvality, zvyšování efektivity a snížení nákladů u IT procesů. ISO 20000, které vzešlo ze standardu BS 15000, popisuje integrovanou sadu procesů řízení pro poskytování služeb IT a obsahově se řídí úspěšnými ustanoveními IT Infrastructure Library (ITIL). [22] ISO/IEC 27000
-
Sada norem definující požadavky na management systém zajišťující informační bezpečnost. SAS 70 Type II / SSAE 16
-
Statement on Auditing Standards No. 70 (SAS 70) je auditní standard vytvořený institutem American Institute of Certified Public Accountants (AICPA) a je zaměřen na organizace poskytující služby. To jsou obvykle subjekty, které poskytují služby outsourcingu, které mají dopad na řídicí prostředí zákazníků. Jako příklad organizací poskytujících služby lze uvést společnosti zpracovávající nároky vyplývající z pojištění a zdravotního pojištění, hostovaná datová centra, poskytovatele aplikačních služeb (ASP) a poskytovatele spravovaného zabezpečení. Od 15. června 2011 je standard SAS 70 nahrazen standardem SSAE 16 (Statement on Standards for Attestation Engagements No. 16), který bude sloužit pro účely poskytování nezávislého ověření souladu se zásadami řízení v organizacích poskytujících služby.
- 39 -
Audit podle standardu SSAE 16 i SAS 70 umožňují nezávislé ověření souladu se zásadami prvků zabezpečení a jejich účinnosti. -
Na závěr prověřování podle standardu SSAE 16 nebo SAS 70 vyjádří příslušný servisní auditor své stanovisko k následujícím skutečnostem: 1. Zda je popis řídících prvků organizace poskytující služby prezentován poctivě, či nikoli. 2. Zda jsou řídící prvky organizace poskytující služby navrženy efektivně, či nikoli. 3. Zda jsou řídící prvky organizace poskytující služby ke stanovenému datu uvedeny do provozu, či nikoli. 4. Zda během stanoveného časového období efektivně fungují řídicí prvky organizace poskytující služby, či nikoli (pouze SAS 70 typ II / SSAE 16 SOC 1 typ II). [23] EU Safe Harbor
-
Evropská unie má díky směrnici EU o ochraně údajů přísnější pravidla ochrany osobních údajů než USA a většina ostatních zemí. Podle těchto pravidel je v EU zakázán přenos osobních údajů přes hranice do jiných zemí s výjimkou případů, kdy je tento převod legitimní na základě uznávaného mechanismu, jako je například certifikace na základě smluvně zakotvených zásad ochrany osobních údajů (Safe Harbor) popsaných v následující části.
-
S cílem umožnit kontinuální tok informací vyžadovaný mezinárodním obchodem dospěla Evropská komise k dohodě s Ministerstvem obchodu USA, podle níž se mohou organizace v USA samy certifikovat, a potvrdit tak, že splňují zásady Safe Harbor, které volně sledují požadavky Směrnice.
-
Pokud chce nějaká americká společnost či jiná organizace legálně přenášet data z EU do USA, musí se veřejně zaručit, že bude dodržovat smluvně zakotvené zásady ochrany osobních údajů (Safe Harbor), které jsou v souladu s pravidly ochrany osobních údajů platnými v EU. Společnost Microsoft má certifikaci Safe Harbor a může tedy v rámci služeb Microsoft Online Services přenášet data z EU ke zpracování v USA. [23] HIPAA/HITECH
-
HIPAA (Health Insurance Portability and Accountability Act) reguluje korektní nakládání se zdravotními záznamy pacientů.
- 40 -
95/46/EC-aka EU Data Protection Directive, California SB1386 a další -
Různé státní, federální a mezinárodní zákony ošetřující privátnost dat. PCI Data Security Standard
-
Celosvětový informační standard pro karetní platební systémy a jejich bezpečnost. FISMA NIST SP800-53 revision 3 standard certifikace & akreditace
-
FISMA (Federal Information Security Management Act), americký federální zákon ošetřující informační bezpečnost na úrovni ekonomických a národních bezpečnostních zájmů USA, který má vyšší nároky než v Evropě platný standard ISO/IEC 27001:2005 definující požadavky na systém managementu bezpečnosti informací, mimo jiné soulad s legislativními požadavky (zákon č. 101/2000 Sb. o ochraně osobních údajů). ITIL7 a COBIT8
-
Poskytovatelé cloudových služeb neuvádějí na svých internetových stránkách, jestli mají aplikován ITIL, nebo COBIT. Pokud již něco uvedou, tak hlavně certifikace.
Obr. 24 - Certifikace a atesty datových center společnosti Microsoft 2010 [zdroj: Microsoft]
7
ITIL (Information Technology Infrastructure Library) je soubor konceptů a postupů, které umožňují lépe plánovat, využívat a zkvalitňovat využití informačních technologií, a to jak ze strany dodavatelů IT služeb, tak i z pohledu zákazníků 8
COBIT je framework vytvořený mezinárodní asociací ISACA pro správu a řízení informatiky (IT Governance). Jedná se o soubor praktik, které by měly umožnit dosažení strategických cílů organizace díky efektivnímu využití dostupných zdrojů a minimalizaci IT rizik.
- 41 -
2.1.1.
Otázky uživatele na CSP, před vstupem do cloudu
Ve chvíli, kdy organizace uvažuje o využívání některého z cloudů, ale hlavně o přenesení svých dat a aplikací do prostředí cloudu, je důležité si vybrat správného poskytovatele (CSP). Je vhodné nezvolit prvního a nejlevnějšího, ale vybrat si tři nejlepší poskytovatele, těm položit následující otázky a rozhodovat se, až na základě jejich odpovědí: [24]
2.1.1.1. Privilegovaný uživatelský přístup -
Kteří zaměstnanci CSP budou mít přístup k našim datům?
-
Kontrolujete přístupy těchto lidí k datům?
-
Jak vybíráte, přijímáte a propouštíte tyto pracovníky?
2.1.1.2. Dodržování právních předpisů -
Máte nějaký audit, nebo certifikaci od třetí strany? (např.: ISO 20001, 27001, …)
-
Máte aplikovánu nějakou metodiku? (např.: ITIL, COBIT)
-
Jak bude využívání cloudu ovlivňovat schopnost vyhovět souladu s předpisy? (např.: SOX, GLBA, HIPPA, PCI)
2.1.1.3. Umístění dat a vlastnictví -
Jak je zajištěna bezpečnost na straně serveru?
-
Kde budou naše data fyzicky uložena?
-
Budou replikována ze země?
-
Můžeme ovlivnit, kde budou naše data uložena?
-
Je cloud navržen jako odolné řešení proti katastrofám (disaster tolerant)?
-
Kdo vlastní data, uložená v cloudu?
2.1.1.4. Oddělení dat -
Jak máte zajištěno, že ostatní zákazníci "nevidí" naše data?
-
Jak je zajištěno oddělení dat a SW na stejném fyzickém HW?
-
Jak probíhá autentizace a jak je řízen přístup? - 42 -
-
Jaký druh šifrování je aplikován?
-
Jak je řízena výměna klíčů, certifikátů?
2.1.1.5. Obnova dat -
Co se stane s našimi daty v případě katastrofy?
-
Řídíte rizika, provedli jste analýzu rizik, vyhodnotili jste rizika a zvládáte je?
-
Máte vypracovanou bezpečnostní politiku a související standardy?
-
Máte zpracované DRP (Disaster Recovery Plan) a BCP (Business Continuity Plan) a jak v takovém případě komunikujete s klientem?
-
Kdy naposledy jste testovali své DRP a BCP a s jakým výsledkem?
-
Jaké je RTO (Recovery Time Objective) a RPO (Recovery Point Objective) ?
-
Jsou naše data zálohována, nebo replikována do jiné lokality?
-
Jak a jak často provádíte zálohování dat?
-
Jak lze získat přístup k zálohovaným datům?
-
Jak dlouho trvá obnova našich dat?
2.1.1.6. Spolupráce při vyšetřování -
Jak se zachováte v případě jakéhokoliv druhu právního vyšetřování kvůli ilegální aktivitě – bude poskytovatel podporovat zákazníka?
-
Provádíte auditing a monitoring sítě a systému? Jsou tyto informace dostupné?
2.1.1.7. Provozní spolehlivost a poruchy -
Kolik jste měli bezpečnostních incidentů a jakého byly typu?
-
Kolik jste měli výpadků za rok a v jaké délce?
-
Kolik jste měli plánovaných odstávek systému a jak dlouhých?
-
Jste schopni svým klientům kompenzovat způsobenou ztrátu?
2.1.1.8. Ztráta kontroly -
Na jaké platformě vaše řešení běží? x86 nebo mainframe?
-
Jaký maximální výpočetní výkon jste schopni nabídnout?
-
Jak velkým úložištěm disponujete a jakého je typu?
-
Jaký je maximální počet současně připojených uživatelů, které jste schopni obsloužit?
- 43 -
-
Na kolik procent je váš cloud momentálně vytížen, jaký je trend, máte zavedený capacity planning?
-
Jak moc je vaše řešení škálovatelné, jaká jsou omezení?
-
Jak rychle jste schopni výkon svého cloudu navýšit?
-
Jak rychle nám požadované zdroje přidělíte?
-
Jak vypadá vaše virtuální síťová infrastruktura?
2.1.1.9. Obtížný výběr dodavatele -
Je možné data vyexportovat a přejít k jinému CSP? (riziko Vendor/Data Lock-In)
-
V případě, že CSP selže, je možné vzít data zpět? (riziko Vendor/Data Lock-In)
-
Jste ochotni uzavřít specifické SLA, které bude reflektovat vaše požadavky? [24]
- 44 -
2.2. Bezpečnost na straně uživatele cloudu 2.2.1.
Kdo je uživatelem cloudu
Uživatelem cloudových služeb může být vlastně kdokoliv, domácí uživatel, menší firma, ale i veliká nadnárodní společnost. Zde právě dochází k rozdělení požadavků na poskytovatele a úroveň poskytnutých služeb. Domácí uživatel by byl sice nerad, aby přišel o svá data, fotky, emaily, nebo aby byla jeho data nedostupná několik hodin, ale zároveň za tuto službu nehodlá platit, chce jí využívat zdarma, a proto s tímto musí počítat. Malá, nebo střední firma, případně velká společnost si naopak nemohou dovolit, aby o svá data přišly, nebo aby jejich data byla nedostupná, a proto si raději zaplatí za kvalitní a prověřenou službu, kde jí poskytovatel doloží své kvality, nabídne rozumné SLA.
2.2.1.1. Jak vybrat poskytovatele? Cloudových řešení je celá řada, každé z nich je něčím unikátní. Mezi nejpodstatnější kritéria při výběru patří cena, stabilita a schopnost zvyšování poskytovaného výkonu či kapacity, ale neméně podstatnými atributy jsou bezpečnostní politika, zálohování a zákaznická podpora. Nejvhodnější je, když si zákazník dle svých požadavků vybere tři dodavatele a jejich služby otestuje ve zkušební době. Tím si ujasní, které řešení nejlépe vyhovuje jeho potřebám.
2.2.1.2. SLA Mezi odběratelem a poskytovatelem musí byt uzavřena smlouva, která zaručí odběrateli to, že se jeho data nedostanou do rukou třetích osob. V konečném důsledku je za data třetích stran, která jsou uložená v cloudu, zodpovědný zákazník. Proto by měl být cloud náležitě zabezpečen proti úniku dat. Šifrování je samozřejmostí, není ale lékem na všechny neduhy cloudu. Zálohování dat by mělo být implementováno na straně dodavatele, tedy poskytovatele, vždy ale existuje možnost využít externí zálohovací služby. SLA by mělo zajistit klientovi nějaké maximální časy dostupnosti, případně jasně definované kompenzace pro případ delší nedostupnosti služby způsobenou problémy na straně CSP.
- 45 -
2.2.1.3. Zaměstnanci Největším problémem každé organizace jsou její zaměstnanci. Protože podle obecně známých statistik jsou to právě zaměstnanci, kdo způsobí zaměstnavateli největší škody v oblasti úniku, nebo ztráty dat. Proto je třeba důsledně rozdělovat a kontrolovat přístupy k jednotlivým aplikacím a dokumentům, dodržovat složitost a obměnu hesel, aplikovat skupinovou politiku a zamezit uživatelům instalovat nepovolený software. Toto sice nepatří do bezpečnosti cloudu, ale v podstatě to s tím velmi úzce souvisí. Organizace by měly mít zpracovány postupy přidělování zdrojů a přístupů k jednotlivým aplikacím a datům. Nový zaměstnanec by měl být proškolen a měl by podepsat převzetí svých přístupů do sítě podobně, jako podepisuje převzetí klíčů od kanceláří, nebo kódu od zabezpečovacího zařízení. Což si často organizace neuvědomují a evidují jaký notebook, telefon, auto, nebo od jaké kanceláře dostal zaměstnanec klíče, ale vůbec je nenapadne, že jim může smazat, pozměnit, nebo dokonce ukrást data. Organizace by dále měly mít zajištěno, že v případě změny pracovní pozice zaměstnance, dojde i ke změně uživatelských přístupů, tedy že nepotřebné přístupy budou zrušeny a nové budou zřízeny. Ve své praxi, jsem se setkal s tím, že zaměstnanci (tzv. s inventárním číslem), kteří byli u svého zaměstnavatele dlouho a prošli si různými pozicemi, nebo se účastnili různých projektů, tak těm zůstaly přístupová práva ze všech pozic. Takže po letech byli v podstatě administrátory sítě, mohli nahlížet do účetnictví, skladů, mezd, prodejů, plánů, archivů, ale i různých dokumentů managementu a mohli kopírovat i mazat. Organizace by také měly mít zpracovány postupy jak se zachovat v případě, kdy některý zaměstnanec ze společnosti odchází, ať už na vlastní žádost, anebo je propuštěn. Je třeba zajistit, aby nemohl zcizit, nebo smazat data, případně „po sobě uklidit“, tedy smazat důkazy o své aktivitě. V praxi jsem se setkal s tím, že si organizace vůbec neevidovala vzdálené přístupy zaměstnanců, neměnila hesla a tak po odchodu jednoho pracovníka jí tento pracovník přes účet bývalého kolegy vykopíroval některé dokumenty a část databáze klientů.
- 46 -
2.2.2.
Technika uživatele cloudu
Velkou výhodou dnes je, že uživatel může použít jakoukoliv techniku, na kterékoliv platformě. V podstatě mu stačí kvalitní internetová konektivita. Pokud se jedná o domácího uživatele, tomu k připojení stačí veřejné WiFi, nebo levná xDSL konektivita. V případě organizace, která je na cloudu závislá, je určitě vhodné mít internetovou konektivitu zálohovanou jinou technologií. Např. vzduch/metalika, nebo vzduch/optika. V případě dvou konektivit na stejném médiu, není většinou zajištěna jejich nezávislost. Např. při zemních pracích mohou být poškozeny datové kabely (metalika/metalika, nebo metalika/optika), které jsou do budovy vedeny ve společné šachtě.
2.2.2.1. Úspora nákladů - BYOD Velkou oblibu získává program BYOD (Bring Your Own Device), který spočívá v tom, že zaměstnanec používá k řešení pracovních záležitostí své vlastní zařízení. Z důvodů vysokých požadavků na bezpečnost je ale stále dost organizací, které si nemohou dovolit toto řešení implementovat. Proto dochází k situaci, že organizace doporučí techniku, kterou si zaměstnanec může zakoupit a spolufinancuje mu její nákup. Toto je výhodné pro obě strany, organizace má zajištěno, že bude použita schválená technika, na kterou je možné aplikovat bezpečnostní politiku, dále je pravděpodobné, že se zaměstnanec bude o techniku, kterou si zakoupil lépe starat a déle mu vydrží. A zaměstnanec je spokojený, protože má kvalitní techniku, kterou zakoupil za méně peněz. I zde je samozřejmě potřeba, aby měla organizace zpracovány postupy a aby bylo každé zařízení, kterým se zaměstnanec napojuje do sítě zaměstnavatele schváleno, evidováno a povoleno.
2.2.3.
SW uživatele
Uživatel, nebo organizace může ke svému cloudu přistupovat ze všech zařízení, ve kterých je instalovaný internetový prohlížeč. Z operačních systémů Windows, Linux, Mac OS, Android a tedy ze stolních počítačů, notebooků a tabletů. U organizací je třeba, aby bylo možné na tyto operační systémy aplikovat bezpečnostní politiku. Tento požadavek se dnes týká i mobilních platforem, které jsou čím dál oblíbenější (Blackberry od RIM, Windows Mobile od Microsoftu a Mac OS od Apple).
- 47 -
Ve většině případů, přistupují uživatelé ke svým cloudovým službám přímo ze svého zařízení, což je sice výhodné z pohledu dostupnosti, ale nevýhodné z pohledu bezpečnosti, protože se hůře ověřuje uživatelova identita, která může být zcizena. Některé cloudové aplikace proto spolupracují se servery klienta, podporují LDAP, Active Directory, případně i skupinovou politiku, takže je ověření vlastně řešeno na serverech klienta. Zde pak může být aplikováno několik typů přístupu ke cloudovým službám: -
ze zařízení přímo do cloudu a ověření probíhá na serverech v cloudu
-
ze zařízení přes VPN do cloudu a ověření je směrováno na servery zaměstnavatele
-
ze zařízení přes VPN na servery zaměstnavatele (které mohou být v cloudu), kde proběhne ověření a následně stále přes VPN již přes MPLS přímo do cloudu Tím ale nezajistíme kontrolu zařízení, ani uživatelů, nezjistíme, zda jejich počítače
nejsou napadeny nějakým virem, nebo že mají neaktualizovaný operační systém. Aby bylo možné prověřovat stav zařízení, aplikovat bezpečnostní politiky, kontrolovat uživatelé přistupující k aplikacím a datům v cloudu, nepřistupují uživatelé přímo do cloudu, ale nejprve se musí připojit do VPN svého zaměstnavatele. Zde je po ověření zkontrolováno nastavení zařízení (PC, NTB, smartphone,…), proběhne kontrola, zda je zařízení bez problémů a jestli jsou na zařízeních instalovány požadované aktualizace a aktuální antivirové programy. Bezpečnostní systémy na tomto principu nabízí společnosti CISCO - NAC (Network Admission Control), nebo Microsoft - NAP (Network Access Protection). Z důvodu cloudových služeb a z důvodu používání vlastních zařízení (BYOD) nabízí společnost CISCO nově Cisco TrustSec a Cisco ISE (Identity Services Engine). Kdy se nepovolená, tedy neznámá zařízení do sítě vůbec nepřipojí, což je zajištěno komunikací ISE s aktivními prvky v síti.
Obr. 25 – Zapojení Cisco ISE v LAN (zdroj: www.cisco.com)
- 48 -
V případě, kdy zařízení nesplňuje požadavky nastavené v ISE (neaktuální OS, aktualizace, antivir), je zařízení zachyceno již na prvním aktivním prvku (swich Catalyst) a jeho síťový provoz je zařazen do VLAN sítě s omezeným přístupem, jen na vybrané servery (protected resources). Ze kterých může klient provést update a aktualizaci svého zařízení. Pokud zařízení požadavky ISE splňuje, dojde k přehodnocení, zařízení je přeřazeno do VLAN sítě, která již umožní přistupovat k serverům s daty, případně využívat cloudových služeb.
2.2.3.1. Staré bezpečnostní problémy Organizace i samostatní uživatelé se musí v případě přístupu ke cloudovým službám stále bránit klasickým bezpečnostním problémům: -
Data Loss – možnost ztráty, nebo zcizení dat [25]
-
Downtimes – výpadky, kdy se klient nedostane ke svým datum
-
Phishing - druh internetového podvodu, kterým se podvodníci snaží z uživatelů internetového bankovnictví vylákat přístupové údaje k účtům a zneužít je pro svoje obohacení.
-
Password Cracking – odhalení, rozluštění přístupového hesla
-
Antivirová ochrana - Botnets and Other Malware – Botnet je slangové pojmenování sítě softwarových robotu (botů), kteří provádějí autonomně konkrétní činnost. Síť může být poté využívána legálně (distribuované výpočty), nebo nelegálně (DoS útoky), Malware je nevyžádaný škodlivý software zahrnující počítačové viry (včetně trojských koní), spyware a adware, který je do operačního systému vpuštěn (spíše propašován) prostřednictvím internetu - zejména počítačových programů (hlavně freeware, tedy programů zdarma distribuovaných). Cílem malware je vždy určitým způsobem škodit cílovému počítači ať už mírou značnou (viry a trojské koně) nebo střední (spyware) či malou (adware) [26]
2.2.3.2. Nové bezpečnostní problémy Vedle původních bezpečnostních problémů, se s příchodem cloudu objevují problémy nové, které si některé organizace a samostatní uživatelé neuvědomují. -
Accountability – odpovědnost za přístup do cloudu je přenesena na uživatele
- 49 -
-
No Security Perimeter – nejedná se o uzavřenou síť s vlastním firewallem, ale přístup k datům je možný odkudkoliv z internetu.
-
Larger Attack Surface – útočník má větší prostor k napadení cloudu.
-
New Side Channels – nevíte, s kým sdílíte fyzický stroj, sdílíte virtuální zdroje.
-
Lack of Auditability – nedostatek možnosti ověření, pouze poskytovatel cloudu má přístup k plnému síťovému provozu, k logům hypervizorů a k fyzickým datum.
-
Vzájemné ověření – Poskytovatel cloudu zkontroluje potenciálně nebezpečné klienty a zákazník zkontroluje poskytovatele cloudu. [26]
2.2.4.
Legislativa, metodiky, normy na straně uživatele
Každý uživatel tuší, že by měl dodržovat bezpečnostní pravidla, aby ochránil nejen svá data, ale i zařízení, že by si měl data pravidelně zálohovat na nějaké externí médium. Problémem je, že skoro nikdo tato pravidla nedodržuje, zálohování odkládá „až na příště“. Větší organizace si tento problém uvědomují a snaží se ho řešit, proto hledají nějaké metodiky, nebo směrnice, kterými by se mohly řídit. Některé organizace se nechají certifikovat, aby měli jistotu, že to dělají správně a získali tím i konkurenční výhodu. Malé firmy začínají na základní normě ISO/IEC 9000, větší IT organizace pak aplikují ITIL, nebo COBIT, případně řadu norem ISO 20000, nebo ISO 27000. ISO/IEC 9000 -
Řada norem ISO 9000 definuje systém managementu jakosti a tuto certifikaci mohou využít jakékoliv společnosti zabývající se výrobou, distribucí nebo servisem. Jedná se o velmi rozšířenou řadu norem, již v této základní řadě norem může být definován systém přístupu k síti, přístupu k aplikacím, zálohování dat, atd. ISO/IEC 20000
-
Tato norma je první celosvětový standard, který se speciálně vztahuje k managementu služeb IT a zaměřuje na zlepšování kvality, zvyšování efektivity a snížení nákladů u IT procesů. ISO 20000, které vzešlo ze standardu BS 15000, popisuje integrovanou sadu procesů řízení pro poskytování služeb IT a obsahově se řídí úspěšnými ustanoveními IT Infrastructure Library (ITIL). [22]
- 50 -
ISO/IEC 27000 -
Sada norem definující požadavky na management systém zajišťující informační bezpečnost. ITIL
-
ITIL (Information Technology Infrastructure Library) je soubor konceptů a postupů, které umožňují lépe plánovat, využívat a zkvalitňovat využití informačních technologií, a to jak ze strany dodavatelů IT služeb, tak i z pohledu zákazníků. [27] COBIT
-
COBIT je framework vytvořený mezinárodní asociací ISACA pro správu a řízení informatiky (IT Governance). Jedná se o soubor praktik, které by měly umožnit dosažení strategických cílů organizace díky efektivnímu využití dostupných zdrojů a minimalizaci IT rizik. Prakticky je tedy určen především top manažerům k posuzování fungování ICT a auditorovi pro provádění auditu systému řízení ICT. Na rozdíl od ITIL, který je více určen manažerovi IT (CIO) [28]
2.2.5.
Otázky na uživatele, před vstupem do cloudu [24]
2.2.5.1. Přístup uživatelů k datům -
Kteří naši zaměstnanci budou mít přístup k datům v cloudu?
-
Máme zajištěno, jak budeme kontrolovat přístupy k datům?
-
Jak přijímáme a propouštíme pracovníky?
2.2.5.2. Dodržování právních předpisů -
Máme nějaký druh auditu, nebo certifikace od třetí strany? (např.: ISO 9001, 20001, 27001, …)
-
Máme aplikovánu nějakou metodiku ? (např.: ITIL, COBIT,...)
-
Jak bude používání cloudu ovlivňovat naši schopnost vyhovět souladu s předpisy? (např.: SOX, GLBA, HIPPA, PCI)
- 51 -
2.2.5.3. Bezpečnost dat -
Jak máme řízenu obměnu klíčů, certifikátů?
-
Je zajištěna bezpečnost přenosných zařízení (šifrované disky, certifikáty, ...)
2.2.5.4. Záloha dat -
Budeme provádět vlastní zálohování dat?
2.2.5.5. Cloud je nová rozvíjející se technologie -
Přijmeme riziko? Většina společností se zdráhá přijmout verzi 1.0
-
Obecně špatná reputace pojmu cloud computing, protože se jedná je relativně nový pojem v IT a je stále v rané fázi. Neexistuje skoro žádné dlouhodobé a spolehlivé doporučení ohledně používání technologie cloudu. A i samotné používání přes internet vyvolává mnoho otázek ohledně bezpečnosti dat.
2.2.5.6. Obtížný výběr dodavatele -
Závislost na poskytovateli – ztratíme možnost rozhodovat, který software a kterou verzi používat. Čím větší společností je poskytovatel, tím hůře se s ním komunikuje a vyjednávají podmínky. Musíme počítat s tím, že poskytovatel může zdražit ceny svých služeb, v horším případě zbankrotovat. V některých případech je změna na nového poskytovatele neskutečně nákladná, zvlášť v případech, kdy poskytovatel používá proprietární technologie.
-
Je možné data vyexportovat a přejít k jinému CSP? (riziko Vendor/Data Lock-In)
-
V případě, že CSP selže, je možné vzít data zpět?
-
Je ochoten uzavřít specifické SLA, které bude reflektovat vaše požadavky?
2.2.5.7. Omezení infrastruktury -
Bude třeba zajistit kvalitní internetové připojení, případně jeho zálohu, aby v případě výpadku primární konektivity nedošlo k zastavení prací.
-
Do cloudu převedeme jen ty aplikace, bez kterých může fungovat výroba, tedy bez kterých chvíli „přežijeme“ (poštovní server, CRM, ERP) [24]
- 52 -
2.3. Cobit, ITIL a ISO v cloudu 2.3.1.
ITIL
Každý poskytovatel si snaží vytvořit prostor pro sebe a pro své cloudové služby, mnoho malých i velkých organizací zkoumá, jak by mohly těžit z přesunu do cloudu. Poskytovatelé a organizace, kteří mají aplikován ITIL, se bojí, že by zavedení cloudu mělo dopad na jejich ITIL a museli by znovu definovat sadu procesů ITIL pro jejich organizaci. Zde je důležité si uvědomit, že pokud jsou procesy ITIL definovány správně (jako best & good practices), tak by přesun do cloudu neměl mít na ITIL žádný vliv. Obavy mohou vznikat jen v případě přesunu na veřejný cloud, nebo privátní cloud poskytovaný třetí společností. Pokud by se jednalo o místní privátní cloud, tak tam v podstatě není rozdíl ve způsobu práce oproti původnímu řešení klient-server. [29]
2.3.1.
Cobit
Robert Stroud, International Vice President ISACA, uvádí ve své prezentaci, že Cobit je na cloud připraven, jen je třeba aplikovat následující klíčové procesy: -
AI6 Manage Changes
-
DS1 Service Level Agreements
-
DS2 Manage third-party services
-
DS3 Manage performance & capacity
-
DS4 Ensure continuous service
-
DS5 Ensure system security
-
DS6 Identify and attribute costs
-
DS13 Manage Operations [30]
- 53 -
Obr. 26 - Cobit Framework (http://www.isaca.com)
2.3.2.
ISO
ISO normy, určené pro poskytovatele cloudu v tuto chvíli neexistují, ale poskytovatelé se mohou nechat certifikovat normami ISO/IEC 20001, což je norma pro řízení IT služeb. Případně klasickými normami ISO/IEC 9001 pro řízení jakosti, nebo ISO/IEC 14001 týkající se životního prostředí. Určitě je vhodné, aby datové centrum mělo certifikaci ISO/IEC 27001 a 27002 o bezpečnosti informací. Mezinárodní normalizační institut „International Organization for Standardization“, který vydává normy s označením ISO, připravuje na rok 2013 vydání následujících norem, které se týkají cloudových služeb: ISO/IEC 27017 -
Pod označením ISO/IEC 27017 Information technology - Security techniques Security in cloud computing (Informační technologie
- Bezpečnostní postupy
-
Bezpečnost v cloud computingu) vzniká norma, která bude poskytovat doporučení ohledně bezpečnosti informací pro cloud computing. Norma bude doplněna normou - 54 -
ISO 27018 pokrývající aspekty ochrany osobních údajů týkajících se cloud computingu. Norma bude obsahovat kromě opatření z normy ISO 27002 taktéž specifická opatření pro cloud computing. -
Vydání normy má širokou podporu ze stran národních orgánů a Cloud Security Alliance (CSA). Norma se nachází ve fázi draftu. [31] ISO/IEC 27018
-
Pod označením "Information technology - Security techniques - Privacy in cloud computing" (Informační technologie - Bezpečnostní postupy - Soukromí v cloud computingu) vzniká norma, která bude poskytovat doporučení ohledně ochrany osobních údajů v prostředí cloud computingu. Norma doplňuje standard ISO 27017, který pokrývá téma bezpečnosti informací v cloud computingu v širším měřítku.
-
Norma nemá být kopií nebo upravenou novou verzí normy 27002 s ohledem na prostředí cloudu, ale má obsahovat nová opatření týkající se ochrany soukromí a osobních údajů v cloudu.
-
Vydání této normy má také širokou podporu ze stran národních orgánů a CSA. Vydání se předpokládá v roce 2013. Norma se nachází ve fázi draftu. [31] ISO/IEC 27036
-
Soustava norem ISO/IEC 27036 - IT Security - Security techniques - Information security for supplier relationships je prozatím v pracovní verzi. Soustava norem by měla pomoci organizacím s hodnocením a snižováním rizik týkajících se outsourcovaných služeb a s podporou implementace bezpečnostních opatření pro outsourcing podle standardu ISO/IEC 27002. Plánované oblasti budou zahrnovat: o Strategické cíle, cíle a obchodní potřeby (ve vztahu k informační bezpečnosti); o Informační bezpečnostní rizika a techniky pro jejich zmírnění; o Poskytnutí záruk (a podle všeho shodu se smluvními závazky atd.).
-
Seznam obsažených norem: o ISO/IEC 27036-1 - Overview and concepts o ISO/IEC 27036-2 - Generic requirements o ISO/IEC 27036-3 - Information and communication technology supply chain risk management o ISO/IEC 27036-4 - Outsourcing o ISO/IEC 27036-5 - Cloud Computing [31] - 55 -
Praktická část – porovnání cloudových uložišť.
3. Synchronizace a zálohování do cloudu Pro praktickou část jsem si vybral porovnání cloudových úložišť, která jsou nabízena pro synchronizaci a zálohování dat, úložiště jsou umístěna ve veřejném cloudu jako a nabízena jako služba SaaS. Nabídka těchto služeb je dnes velmi široká, na internetu najdeme velké množství aplikací, které umožní data uložit přes webový prohlížeč na server do prostředí cloudu a následně k datům přistupovat odkudkoliv. Případně, lze použít front-endovou klientskou aplikaci a data synchronizovat, nebo zálohovat z lokálního, nebo síťového disku do cloudu, anebo opačně synchronizovat data z cloudu do lokální paměti, což může být pevný disk, paměť v tabletu, nebo v telefonu. Můžeme si tedy data synchronizovat mezi různými zařízeními. Protože je na internetu úložišť na podobném principu desítky a jejich nabídka a vlastnosti se stále mění, rozhodl jsem se, že nebudu porovnávat jejich kapacity, funkce a ceny, protože tyto hodnoty se v průběhu psaní mé práce několikrát změnily, resp. měnila se kapacita a služby, při stejné ceně. Ani nemá smysl porovnávat rychlost jednotlivých úložišť, která je závislá na typu připojení, poskytovateli, lokalitě a času. Rozhodl jsem se, že provedu základní popis klientské aplikace a pokusím se ověřit, zda komunikace, tedy synchronizace, nebo záloha probíhá po zabezpečeném spojení. Dále se pokusím z webových stránek zjistit, kde úložiště leží a zda má poskytovatel aplikovaný nějaký framework, případně je certifikován. Aplikace jsem vybíral podle dvou kritérií, za prvé, aby bylo úložiště zdarma, nebo trial, a za druhé, aby se mi bez komplikací podařilo stáhnout, instalovat a rozchodit klientskou aplikaci. Takže jsem nakonec výběr omezil na následující: Microsoft SkyDrive a Microsoft Live Mesh, DropBox, OpenDrive, iDrive, SpiderOak, Mozy, KeepVault, SugarSync. Zkoušel a vyřadil jsem ZunoDrive, kde se mi nepodařilo vytvořit účet, dále Minus, který vypadal zajímavě, ale neměl klienta, a nakonec Humyo, který jsem před lety i využíval, ale který byl zakoupen společností SafeSync. Klienta SafeSync se mi nepodařilo na mém - 56 -
notebooku rozchodit. Což nemuselo být chybou klienta ale tím, že jsem měl v operačním systému Windows 7 Professional již okolo deseti podobných aplikací a je možné, že některé kolidovaly s dříve instalovanou aplikací.
K odchytávání síťového provozu použiji aplikaci „Microsoft Network Monitor 3.4“.
Obr. 27 - Obrazovka z aplikace Microsoft Network Monitor (zdroj: autor)
Ke geografické lokalizaci jednotlivých datových center použiji webovou stránku http://www.topwebhosts.org/tools/ip-locator.php což pro určení země stačí.
- 57 -
3.1. SkyDrive SkyDrive
je
webová
aplikace
od
Microsoftu,
kterou
najdete
na
https://skydrive.live.com, která umožňuje ukládání a sdílení dat přes webové rozhraní, převážně tedy multimédií, které je možné sdílet s dalšími uživateli. Pro použití je třeba si vytvořit účet Windows LiveID, následně získáte zdarma úložiště 25 GB, podmínkou je, že nahrávaný soubor nesmí být větší než 100 MB. Potěší přítomnost tzv. „drag & drop” funkce. V praxi to znamená, že pro nahrání souboru z počítače stačí vybraný soubor myší přetáhnout do webové rozhraní, čímž se onen soubor automaticky nahraje. Webové rozhraní je v češtině, velmi propracované, nabízí prezentaci a práci s fotografiemi. Dokumenty je možné zobrazit v okně internetového prohlížeče. Uložené dokumenty je možné editovat v dostupných on-line MS Office.
Obr. 28 - Ikona připojeného cloudového disku (zdroj: autor)
Nové MS Office 2010 podporují přístup k dokumentům v aplikaci SkyDrive nativně, stejně tomu bude i ve Windows 8, u Windows 7 je možné si sdílený disk připojit:
Obr. 29 - SkyDrive zobrazení dokumentů v prohlížeči (zdroj: autor)
Takže SkyDrive nabízí zdarma uložiště o kapacitě 25GB, je primárně určen jen pro přístup z internetu, neumožňuje synchronizaci mezi PC a cloudem. Nyní je již dostupný klient pro Windows Phone a iPhone. Nenašel jsem možnost jak si kapacitu rozšířit.
- 58 -
Obr. 30 – SkyDrive - kontextové menu v prohlížeči (zdroj: autor)
Příklad zabezpečené komunikace aplikace SkyDrive, při kopírování: + Ipv4: Src = 192.168.182.36, Dest = 157.55.97.252, Next Protocol = TCP, Packet ID = 1523, Total IP Length = 40 - Tcp: Flags=...A...., SrcPort=62715, DstPort=HTTPS(443), PayloadLen=0, Seq=865355941, Ack=1679344489, Win=256 (scale factor 0x8) = 65536 SrcPort: 62715 DstPort: HTTPS(443) SequenceNumber: 865355941 (0x339448A5) AcknowledgementNumber: 1679344489 (0x6418C369) + DataOffset: 80 (0x50) + Flags: ...A.... Window: 256 (scale factor 0x8) = 65536 Checksum: 0x9E61, Disregarded UrgentPointer: 0 (0x0)
Umístění datového centra aplikace Sky Drive:
- 59 -
3.2. Live Mesh Druhá služba od Microsoftu, která již umožňuje synchronizaci dat do cloudu má název Live Mesh a zdarma nabízí kapacitu 5GB. Klienta do Windows, je možné instalovat z balíku software Windows Live Essentials. Klient Live Mesh, umožní synchronizovat, zálohovat do cloudu a přenést na jiné PC oblíbené položky z internetového prohlížeče, z MS Office pak podpisy, šablony, slovník.
Obr. 31 - Obrazovka klienta LiveMesh (zdroj: autor)
Službu Live Mesh využívám již delší dobu, nenabízí sice žádné speciální funkce, ale pro synchronizaci dat mezi PC a notebookem dat mi plně postačuje.
- 60 -
Příklad zabezpečené komunikace aplikace Mesh, při kopírování: + Ipv4: Src = 192.168.182.36, Dest = 65.55.202.157, Next Protocol = TCP, Packet ID = 765, Total IP Length = 40 - Tcp: Flags=...A...., SrcPort=63301, DstPort=HTTPS(443), PayloadLen=0, Seq=2194077471, Ack=476820105, Win=16620 (scale factor 0x2) = 66480 SrcPort: 63301 DstPort: HTTPS(443) SequenceNumber: 2194077471 (0x82C6F71F) AcknowledgementNumber: 476820105 (0x1C6BB289) + DataOffset: 80 (0x50) + Flags: ...A.... Window: 16620 (scale factor 0x2) = 66480 Checksum: 0xAA6A, Disregarded UrgentPointer: 0 (0x0)
Umístění datového centra aplikace Live Mesh:
- 61 -
3.3. DropBox DropBox je propracovaný systém, který nabízí nejen webové rozhraní, ale i klienty pro Windows, Linux, Mac a mobilní zařízení iPhone, iPad, Android a Blackberry. Umožňuje přístup odkudkoliv z internetu a synchronizuje data mezi všemi registrovanými zařízeními. DropBox nabízí zdarma jen 2GB prostoru, tyto lze zdarma rozšířit až na 16GB pomocí pozvánek pro přátele. V případě, že si některý z přátel Dropbox založí, získáte navíc 250 MB místa až do 8 GB. V případě placené verze je možné navýšit kapacitu.
Obr. 32 - Webové rozhraní DropBox (zdroj: www.dropbox.com)
Dokumenty je možné sdílet mezi celou skupinou uživatelů, které administrátor emailem pozve. Pozvaný uživatel si musí vytvořit na DropBoxu účet a pak se může do sdíleného prostoru přihlásit a může data kopírovat, synchronizovat, případně mazat. Pokud uživatel smaže některá data omylem, má administrátor 30 dnů na vrácení změny. Webové rozhraní umožňuje nahrát soubor o velikosti až 300MB, umožňuje kompletní správu složek a souborů i nastavení sdílení s jinými uživateli. Klient pro Windows upozorňuje na změny a na nové soubory, umožňuje nastavit umístění synchronizovaného adresáře v počítači, omezit trafik mezi počítačem a webovou aplikací, přistupovat k datům jako ke standardní složce. DropBox používám pro soukromé účely přes 3 roky, je spolehlivý a nikdy jsem neměl problém s přístupem.
- 62 -
Příklad zabezpečené komunikace aplikace DropBox, při synchronizaci: + Ipv4: Src = 192.168.182.36, Dest = 199.47.219.159, Next Protocol = TCP, Packet ID = 32277, Total IP Length = 52 - Tcp: Flags=......S., SrcPort=62618, DstPort=HTTPS(443), PayloadLen=0, Seq=3003382304, Ack=0, Win=8192 ( Negotiating scale factor 0x8 ) = 8192 SrcPort: 62618 DstPort: HTTPS(443) SequenceNumber: 3003382304 (0xB303FA20) AcknowledgementNumber: 0 (0x0) + DataOffset: 128 (0x80) + Flags: ......S. Window: 8192 ( Negotiating scale factor 0x8 ) = 8192 Checksum: 0x9201, Disregarded UrgentPointer: 0 (0x0) + TCPOptions:
Umístění datového centra společnosti DropBox Inc.:
- 63 -
3.4. OpenDrive Po registraci na webu OpenDrive, jsem jako free uživatel dostal 5GB volného prostoru, s omezením přenesených dat na 1GB denně. OpenDrive nabízí další již placené varianty: Home, Office a Pro, u kterých je nabídka mnohem větší a stále se rozšiřuje. Přístup je možný přes zabezpečené webové rozhraní, nebo přes klienta (Windows, Mac, iPhone). Provedl jsem instalaci klienta pro Windows, po restartu se mezi nabízenými disky objevila ikona disku s názvem „OpenDrive“, což je pro méně zkušené uživatele jednodušší a pochopitelnější, než hledat jeden synchronizovaný adresář. Na každém adresáři v systému Windows je jednoduše možné nastavit zálohu, nebo synchronizaci do úložiště OpenDrive.
Obr. 33 - Kontextové menu rozšířené o nabídku OpenDrive (zdroj: autor)
Obr. 34 - Menu vlastností adresáře, rozšířené o nabídku OpenDrive (zdroj: autor)
Spojení a přesun dat mezi počítačem a cloudovým úložištěm OpenDrive je zabezpečené a probíhá přes 128 bitové šifrování SSL. Data jsou šifrována v průběhu přenosu a uložení. Datové úložiště www.opendrive.com má certifikaci SAS 70 type II. Po nastavení synchronizace, nebo zálohy, se otevře TaskManager, který zobrazuje aktivitu OpenDrive klienta.
- 64 -
Výpis zabezpečené komunikace klienta OpenDrive, při synchronizaci: + Ipv4: Src = 192.168.182.36, Dest = 66.151.148.14, Next Protocol = TCP, Packet ID = 32373, Total IP Length = 40 - Tcp: Flags=...A...., SrcPort=63838, DstPort=HTTPS(443), PayloadLen=0, Seq=863519241, Ack=3037768656, Win=16451 (scale factor 0x2) = 65804 SrcPort: 63838 DstPort: HTTPS(443) SequenceNumber: 863519241 (0x33784209) AcknowledgementNumber: 3037768656 (0xB510ABD0) + DataOffset: 80 (0x50) + Flags: ...A.... Window: 16451 (scale factor 0x2) = 65804 Checksum: 0x50A2, Disregarded UrgentPointer: 0 (0x0)
Umístění datového centra aplikace OpenDrive:
- 65 -
3.5. iDrive Po registraci free verze dostane uživatel 5GB volného prostoru, ke kterému je možné přistoupit přes webové rozhraní, případně přes klienta, který je dostupný pro OS Windows, Mac a pro mobilní zařízení Apple a Android. Klient mi přijde velmi jednoduchý a přehledný.
Obr. 35 - Obrazovka klienta iDrive (zdroj: autor)
Stránky www.idrive.com jsou přehledné a je na nich uvedeno, že je poskytovatel certifikován a ve shodě s normami a zákony: HIPAA, Sarbanes-Oxley, Gramm-Leach-Bliley, SEC/NASD. Přenos a uložená data jsou zabezpečena použitím 256-bit AES šifrování. Po kliknutí pravým tlačítkem na vybraný libovolný adresář, je možné ho přidat do zálohování.
Obr. 36 - Kontextové menu rozšířené o nabídku iDrive (zdroj: autor)
- 66 -
Výpis zabezpečené komunikace klienta iDrive, při synchronizaci: + Ipv4: Src = 192.168.182.36, Dest = 64.14.192.234, Next Protocol = TCP, Packet ID = 11321, Total IP Length = 40 - Tcp: Flags=...A...., SrcPort=53198, DstPort=HTTPS(443), PayloadLen=0, Seq=1874831432, Ack=1764406971, Win=16514 (scale factor 0x2) = 66056 SrcPort: 53198 DstPort: HTTPS(443) SequenceNumber: 1874831432 (0x6FBFA848) AcknowledgementNumber: 1764406971 (0x692AB6BB) + DataOffset: 80 (0x50) + Flags: ...A.... Window: 16514 (scale factor 0x2) = 66056 Checksum: 0xEE14, Disregarded UrgentPointer: 0 (0x0)
Umístění datového centra aplikace iDrive:
- 67 -
3.6. SpiderOak Po registraci zdarma, jsou klientovi přidělena 2GB prostoru, které jsou dostupné jak přes zabezpečené webové rozhraní, tak z klienta, který umožňuje zálohování, synchronizaci a sdílení. Klient je jednoduchý, přehledný a dostupný pro Windows, Mac a Linux. SpiderOak používá vlastní datové centrum a šifrování pomocí kombinace 2048 bit RSA a 256 bit AES.
Obr. 37 - Obrazovka klienta SpiderOak (zdroj:autor)
Informace o certifikacích jsem na stránkách nenašel. Internetová prezentace www.spideroak.com mi přišla nepřehledná.
- 68 -
Výpis zabezpečené komunikace klienta SpiderOak, při synchronizaci: + Ipv4: Src = 192.168.182.36, Dest = 38.121.104.67, Next Protocol = TCP, Packet ID = 28807, Total IP Length = 40 - Tcp: Flags=...A...., SrcPort=52885, DstPort=HTTPS(443), Seq=3415449136, Ack=2332439568, Win=258 SrcPort: 52885 DstPort: HTTPS(443) SequenceNumber: 3415449136 (0xCB939E30) AcknowledgementNumber: 2332439568 (0x8B063410) + DataOffset: 80 (0x50) + Flags: ...A.... Window: 258 Checksum: 0xB01D, Disregarded UrgentPointer: 0 (0x0)
Umístění datového centra aplikace SpiderOak:
- 69 -
PayloadLen=0,
3.7. Mozy Mozy nabízí varianty mozyHome a mozyPro. Ve verzi Home, nabídne po registraci zdarma 2GB prostoru, přístup přes zabezpečené webové rozhraní a klienta pro Windows a Mac OS. Instalovaný klient do Windows je jednoduchý a přehledný. Mozy je určeno spíše pro zálohování, než pro synchronizaci. Umožňuje obnovu dat s logováním každé jednotlivé obnovy.
Obr. 38 - Obrazovka klienta Mozy (zdroj:autor)
Úložiště Mozy nedávno úspěšně dokončilo audit SOC 1 SSAE 16 Typ 2 a získalo certifikát ISO 27001. Kliknutím pravým tlačítkem na adresář se objeví nabídka s možností přidání do zálohování.
Obr. 39 - Kontextové menu rozšířené o nabídku Mozy (zdroj: autor)
- 70 -
Výpis zabezpečené komunikace klienta Mozy, při synchronizaci: + Ipv4: Src = 192.168.182.36, Dest = 74.112.151.22, Next Protocol = TCP, Packet ID = 6415, Total IP Length = 1492 - Tcp: Flags=...A...., SrcPort=52958, DstPort=HTTPS(443), PayloadLen=1452, Seq=2094763759 - 2094765211, Ack=2729443750, Win=65281 (scale factor 0x0) = 65281 SrcPort: 52958 DstPort: HTTPS(443) SequenceNumber: 2094763759 (0x7CDB8EEF) AcknowledgementNumber: 2729443750 (0xA2B001A6) + DataOffset: 80 (0x50) + Flags: ...A.... Window: 65281 (scale factor 0x0) = 65281 Checksum: 0xDDE6, Disregarded UrgentPointer: 0 (0x0) TCPPayload: SourcePort = 52958, DestinationPort = 443 TLSSSLData: Transport Layer Security (TLS) Payload Data + TLS: Continued Data: 1452 Bytes
Umístění datového centra aplikace Mozy:
- 71 -
3.8. KeepVault Na úložiště KeepVault jsem se registroval a přihlásil se k 14 dennímu testování trial verze s prostorem 15GB. Přístup je opět možný přes zabezpečené webové rozhraní, nebo klienta. K dispozici je klient pro Windows stanice a servery, pro lokální zálohování pak konektory pro Windows a Mac. Verze Pro umožňuje zálohy i na lokální síťový disk a na webu dostupné rozšíření kapacity na 5TB.
Obr. 40 - Obrazovka klienta KeepVault (zdroj:autor)
Na www.keepvault.com je u verze Keepvault for Business uvedeno, že je ve shodě s normou a zákonem HIPAA a Sarbanes-Oxley.
- 72 -
Výpis zabezpečené komunikace klienta KeepVault, při synchronizaci: + Ipv4: Src = 192.168.182.36, Dest = 74.208.38.222, Next Protocol = TCP, Packet ID = 19956, Total IP Length = 40 - Tcp: Flags=...A.R.., SrcPort=60407, DstPort=HTTPS(443), Seq=2330931421, Ack=4038152712, Win=0 (scale factor 0x0) = 0 SrcPort: 60407 DstPort: HTTPS(443) SequenceNumber: 2330931421 (0x8AEF30DD) AcknowledgementNumber: 4038152712 (0xF0B15208) + DataOffset: 80 (0x50) + Flags: ...A.R.. Window: 0 (scale factor 0x0) = 0 Checksum: 0xDB1B, Disregarded UrgentPointer: 0 (0x0)
Umístění datového centra aplikace KeepVault:
- 73 -
PayloadLen=0,
3.9. SugarSync Úložiště SugarSync nabízí po registraci zdarma 5GB volného prostoru a možnost sdílení se třemi uživateli. K dispozici jsou klienti pro Windows a Mac, mobilní klienti pro iPad, iPhone, iPod touch, Android, BlackBerry, Windows Mobile a dokonce i Symbian. Vaše soubory jsou převáděny zabezpečené pomocí protokolu TLS (Transport Layer Security) a jsou uloženy v cloudu v šifrovaném formátu pomocí 128-bit AES
Obr. 41 - Obrazovka klienta SugarSync (zdroj: autor)
Dále nabízí plug-in pro MS Outlook, který umožní k emailu připojovat přílohy z úložiště v cloudu.
Obr. 42 - Doplněk SygarSync pro MS Outlook (zdroj: autor )
- 74 -
Příklad zabezpečené komunikace aplikace SugarSync, při synchronizaci: + Ipv4: Src = 192.168.182.36, Dest = 74.201.86.29, Next Protocol = TCP, Packet ID = 826, Total IP Length = 582 - Tcp: Flags=...AP..., SrcPort=54119, DstPort=HTTPS(443), PayloadLen=542, Seq=222500682 - 222501224, Ack=575121669, Win=2047 SrcPort: 54119 DstPort: HTTPS(443) SequenceNumber: 222500682 (0xD43174A) AcknowledgementNumber: 575121669 (0x2247A905) + DataOffset: 80 (0x50) + Flags: ...AP... Window: 2047 Checksum: 0x49E9, Disregarded UrgentPointer: 0 (0x0) TCPPayload: SourcePort = 54119, DestinationPort = 443 TLSSSLData: Transport Layer Security (TLS) Payload Data + TLS: TLS Rec Layer-1 SSL Application Data
Umístění datového centra aplikace SugarSync:
- 75 -
3.10. Box Box je nové cloudové úložiště, které nabízí uložení dat pro jednotlivce, malé firmy a velké společnosti. Zatím jako první cloudové úložiště nabízí ve své nejvyšší třídě připojeni přes LDAP a active directory, pracuje se skupinami Active directory, používá řízení uživatelských účtů SAML 2.0 and ADFS 2, podporuje multifaktorovou autentizaci single sign-on. Komunikace mezi klientem a cloudem je zabezpečená pomocí protokolu SSL. Box vyhovuje SAS 70 Typ II, Safe Harbor a HIPAA. Na rozdíl od svých konkurentů má na svých webových stránkách www.box.com velmi dobře popsanou architekturu a zabezpečení.
Obr. 43 - Cesta a princip uložení dat do cloudu (zdroj: www.box.com)
Ve free verzi nabízí uložiště 5GB, které je dostupné jen přes zabezpečené webové rozhraní, klient je dostupný až u placených verzí. Proto jsem neprovedl test komunikace.
- 76 -
3.11. Minus Cloudové úložiště Minus je vhodné spíše pro domácí použití určené primárně ke sdílení fotografií a hudby. Umožňuje vytvořené adresáře a uložené soubory označit jako soukromé, nebo veřejné, kdy k veřejným mají zřejmě přístup všichni. Neumožňuje sdílení s vybraným uživatelem. Po přihlášení dostane uživatel zdarma prostor o velikosti 10GB. Pokud uživatel získá, dalšího uživatele, který se zaregistruje, dostane 1GB navíc, a to až do kapacity 50GB. Ke stažení zde najdete destopové klienty pro Windows, Mac a Ubuntu, mobilní aplikace pro Android, iPhone a iPad. Vedle toho nabízí doplňky pro internetové prohlížeče Chrome a Firefox. MINUS mi přijde nepřehledný a pro práci nepoužitelný, proto ho nebudu ani porovnávat.
3.12. SafeSync (dříve Humyo) Cloudové úložiště Humyo, bylo v průběhu psaní mé práce koupeno a přejmenováno na SafeSync, všech 400.000 účtů uživatelů úložiště Humyo, může nadále využívat své původního úložiště, ale postupně budou převáděni do SafeSync společností TrendMicro. Zde již není dostupný free účet, ale je možnost se zaregistrovat a testovat úložiště po dobu 30 dnů. V případě služby SafeSync for Business jsou k dispozici klienti pro Windows a Mac OS, pro mobilní telefony pak pro iPhone a Android. V případě přístupu přes web je SafeSync dostupný v IE, Firefoxu, Safari, Chromu, v mobilních zařízeních iPhone, iPad, s Androidem a Windows Mobile. Klienta pro Windows se mi podařilo nainstalovat, ale již se mi nepodařilo ho zprovoznit, stále vypisoval chybu DCOM. Zkoušel jsem klienta reinstalovat, odinstalovat jiné klienty, ale nepodařilo se. Nakonec jsem SafeSync z testování vyřadil.
- 77 -
3.13. Porovnání jednotlivých služeb
poskytovatel
přístup klient přes web Windows
klient Linux
Windows Live SkyDrive
Ano
Ano
Ne
Windows Live Mesh
Ano
Ano
Ne
klient Mac
šifrování synchronizace
certífikace
shod
HIPAA, S FISMA, DSS 95/46/E
Ne
částečně: jen přenos
Ano; skrze windows live mesh
ISO27001
Ano
částečně: jen přenos
Ano
ISO27001
Ano
nenalezeno
nenalez
Ano
nenalezeno
SAS 70 II
Dropbox
Ano
Ano
Ano
Ano
částečně: přenos SSL a uložení AES-256
OpenDrive
Ano
Ano
Ne
Ano
přenos SSL
Ano
IDrive
Ano
Ano
Ne
Ano
Ano; Peruser
Ano
nenalezeno
HIPAA Sarban Oxley Gramm Leach-B SEC/NA
SpiderOak
Ano
Ano
Ano
Ano
Ano; Peruser
Ano
nenalezeno
nenalez
Mozy
Ano
Ano
Ne
Ano
Ano; Peruser
Ne
ISO27001
SOC 1 S 16 Typ
KeepVault
Ano
Ano
Ne
Ne
Ano; Peruser
SugarSync
Ano
Ano
Ne
Ano
Ano
- 78 -
Ano
nenalezeno
HIPAA SOX
nenalezeno
nenalez
3.14. Vyhodnocení Všechny testované služby, používají ke spojení lokálního klienta s cloudovým úložištěm technologii SSL (Secure Socket Layer), která se v počítačových sítích používá pro šifrovanou a důvěryhodnou komunikaci. U všech klientů jsem vyzkoušel synchronizaci, nebo zálohu do cloudu, kdy jsem měl připravený adresář s různými dokumenty o kapacitě cca 1,5GB. Synchronizace probíhala spolehlivě a její rychlost závisela na rychlosti připojení mého notebooku k internetu. Nijak nezdržovala provoz operačního systému, ani internetovou komunikaci. V případě placených verzí, je u některých klientů možné nastavit omezení síťového provozu. Podle mého zjištění, leží všechna testovaná datová centra na území USA, což ale může být způsobeno tím, že jsem testoval jen free a trial verze. V případě placené verze by možná bylo možné si lokalitu zvolit. Pokud budu hodnotit internetové prezentace jednotlivých poskytovatelů aplikací, tak některé jsou velmi složité a nepřehledné, další naopak příliš jednoduché, že to vypadá, že stránky nefungují. Měl jsem problém, najít na internetových stránkách informace o tom jestli je poskytovatel jakkoliv certifikovaný, jaké datové centrum využívá, nebo ve které zemi jeho datové centrum leží.
- 79 -
Závěr V průběhu mého seznamování se s tématem cloud computingu se za poslední rok téma cloudu ze skoro neznámého a tajemného, stalo jedno z hlavních témat v oblasti IT. Počet odkazů na internetu celý rok rostl a stále roste, a i v českém jazyce je již dostupných dost relevantních informací. Absolutně největší počet odkazů je z velkých amerických firem a univerzit, vedle toho je také dostupných spousty zajímavých odkazů z Asie. Cloud computing nabízí mnoho výhod nejen pro koncové uživatele, ale i pro malé, střední a velké firmy. Proto je velmi pravděpodobné, že se bude postupně jejich zájem ke cloudu obracet a ten se bude stále rychleji rozšiřovat. Strach z neznámého opadne, legislativa se přizpůsobí, poskytovatelé se změní v datové banky a nikomu již nepřijde zvláštní nemít data „doma“ na vlastním serveru. K plné dospělosti cloud computingu povede ještě dlouhá cesta. Bude třeba sjednotit a jasně definovat standardy, aby bylo možné data přesouvat mezi poskytovateli cloudových služeb a klient nebyl závislý na jednom třeba i špatně vybraném poskytovateli. Bude potřeba vývoj mnoha nových aplikací, resp. přepsání současných aplikací do prostředí cloudu. Je to podobně dlouhá a složitá cesta, jako od DOSových aplikací k aplikacím pro Windows, nebo od lokálních aplikací k aplikacím síťovým. Velká část práce v budování důvěry leží na poskytovatelích cloudových služeb a aplikací, protože na svých webových stránkách neuvádějí pro klienty důležité informace. Hlavně jestli jejich data zůstanou uložená na území EU, anebo jestli budou někde „v teple“, např. v Californii, kde se na jejich data i na poskytovatele vztahují zcela jiné zákony, než v EU.
- 80 -
Slovník: ICT
Informační a komunikační technologie
CP
Cloud Provider, poskytovatel cloudových služeb
CS
Cloud Subscriber, klient cloudových služeb
SLA
Service level agreement, Dohoda o úrovni služeb. Tento formálně dohodnutý dokument je většinou součástí smlouvy o poskytování ICT služeb. Specifikuje měřitelné ukazatele, které jsou v pravidelných intervalech vyhodnocovány v rámci kontrol poskytovaných služeb.
DRP
disaster recovery plan
BCP
business continuity plan
RTO
recovery time objective, maximálně akceptovatelný čas výpadku firemního procesu
RPO
recovery point objective, maximální přípustná ztráta dat za definovaný čas
Twin Core nezávislá, geograficky oddělená datová centra mezi kterými jsou zrcadleny systémy a data za účelem zajištění bezvýpadkového provozu a ochrany před katastrofami.
- 81 -
Seznam použité literatury: [1] D. F. Parkhill, The Challenge of the Computer Utility, Boston: Addison: AddisonWesley Publishing Company, 1966. [2] M. Zikmund, „Co je to Cloud computing a proč se o něm mluví,“ 29 11 2010. [Online]. Available:
http://www.businessvize.cz/software/co-je-to-cloud-computing-a-proc-se-o-
nem-mluvi. [Přístup získán 2012]. [3] C. Ramnath, „Intermediaries in Cloud-Computing. INFORMS meeting,“ Dallas, 1997. [4] C. Jablonski, „UC Berkeley scientists define cloud computing,“ 2 3 2009. [Online]. Available: http://www.zdnet.com/blog/emergingtech/uc-berkeley-scientists-define-cloudcomputing/1295. [Přístup získán 2012]. [5] Forrester, „Cloud Computing Webinar SlideDeck,“ 2010. [Online]. Available: http://www.forrester.com/imagesV2/uplmisc/CloudComputingWebinarSlideDeck.pdf. [Přístup získán 2012]. [6] T. G. Peter Mell, „The NIST Definition of Cloud - Recommendations of the National Institute,“ 7 2011. [Online]. Available: http://csrc.nist.gov/publications/nistpubs/800145/SP800-145.pdf. [Přístup získán 2012]. [7] „Cloud Computing,“ 2010. [Online]. Available: www.cloudcomputing.cz. [Přístup získán 2012]. [8] M. Schreiber, „Práce v oblacích: Cloud Computing,“ 21 5 2009. [Online]. Available: http://www.chip.cz/clanky/trendy/2009/5/cloud-computing. [Přístup získán 2012]. [9] T-Systems, „Cloud Computing Alternativní strategie zajišťování firemních ICT,“ TSystems, 2010. [Online]. Available: http://www.t-systems.cz/tsip/servlet/contentblob/tsystems.cz/cs/604890_1/blobBinary/pdf-ps.pdf. [Přístup získán 2012]. [10] Microsoft, „Ekonomické výhody využívání cloudu,“ Microsoft, Praha, 2011. [11] M. Noska, „Cloudové služby Amazonu a Microsoftu vyřadil blesk,“ 09 08 2011. [Online].
Available:
http://computerworld.cz/udalosti/cloudove-sluzby-amazonu-a-
microsoftu-vyradil-blesk-43673. [Přístup získán 2012]. [12] „Cloud
Computing,“
26
9
2011.
[Online].
Available:
http://managementmania.com/cloud-computing. [Přístup získán 2012]. [13] Gartner, „Forecast: Platform as a Service, Worldwide, 2010-2015,“ Gartner, 14 9 2011. - 82 -
[Online].
Available:
http://www.gartner.com/DisplayDocument?ref=clientFriendlyUrl&id=1792219. [Přístup získán 2012]. [14] M. Noska, „Výhody virtualizace ocení i menší firmy,“ 30 3 2012. [Online]. Available: http://www.ictmanazer.cz/2012/03/vyhody-virtualizace-oceni-i-mensi-firmy/.
[Přístup
získán 1 4 2012]. [15] J. Prodělal, „Cloud computing – efektivní využívání a řízení prostředků ICT,“ OldanyGroup s.r.o., Praha, 2010. [16] T.-S. C. Republic, „Cloud computing - nové přístupy,“ T-Systems Czech Republic a.s., Praha, 2011. [17] J. Roskill, „Microsoft si s Googlem v cloudu nekonkuruje,“ Microsoft , 30 5 2011. [Online].
Available:
http://businessworld.cz/rady-nazory-zkusenosti/jon-roskill-
microsoft-si-s-googlem-v-cloudu-nekonkuruje-7408. [Přístup získán 2012]. [18] enisa, „Cloud Computing Risk Assessment,“ 20 11 2009. [Online]. Available: http://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-risk-assessment. [Přístup získán 2012]. [19] „CSA
-
Cloud
Security
Alliance,“
[Online].
Available:
http://www.cloudsecurityalliance.org/. [Přístup získán 2012]. [20] „Cisco
Identity
Services
Engine,“
Cisco,
[Online].
Available:
http://www.cisco.com/web/CZ/index.html. [21] „Virtuální
rack,“
[Online].
Available:
http://www.ovh.cz/dedikovane_servery/virtualni_rack.xml. [Přístup získán 2012]. [22] „ISO 20000,“ CIS - Certification & Information Security Services, s.r.o., [Online]. Available: http://www.cis-cert.cz/iso-20000.php. [Přístup získán 2012]. [23] Microsoft, „Zabezpečení, audity a certifikace,“ Microsoft, [Online]. Available: http://www.microsoft.com/online/legal/v2/cs-cz/MOS_PTC_Security_Audit.htm. [Přístup získán 8 4 2012]. [24] M. Čermák, Cloud computing a rizika, Řízení informačních rizik v praxi, 2009. [25] J. Stokes, „T-Mobile and Microsoft/Danger data loss is bad for the cloud,“ 2010. [Online].
Available:
http://arstechnica.com/business/news/2009/10/t-mobile-
microsoftdanger-data-loss-is-bad-for-the-cloud.ars. [Přístup získán 2012].
- 83 -
[26] P. James Walden, „Ohio Information Security Forum,“ Northern Kentucky University, July 16th, 2011. [27] „ITIL,“
Telefónica
O2
Czech
Republic,
a.s.,
2012.
[Online].
Available:
http://www.itil.cz/. [Přístup získán 2012]. [28] „COBIT,“ 2012. [Online]. Available: http://cs.wikipedia.org/wiki/COBIT. [Přístup získán 2012]. [29] S.
K.
Jha,
„ITIL
and
Cloud
Computing,“
2011.
[Online].
Available:
http://www.itilnews.com/ITIL_and_Cloud_Computing_by_Sumit_Kumar_Jha.html. [Přístup získán 6 4 2012]. [30] R. Stroud, „Governance, COBIT and the Cloud a match in the sky!,“ 10 12 2009. [Online].
Available:
http://www.itgi.jp/conf200912/20091210_RobertStroud.pdf.
[Přístup získán 2012]. [31] „Risk Analysis Consultants,“ Risk Analysis Consultants, [Online]. Available: http://www.rac.cz/. [Přístup získán 2012]. [32] Ernst&Young, „Audit, Cloud Computing – The role of Internal,“ Ernst&Young, October 2009. [33] „http://www.t-systems.cz/tsip/servlet/contentblob/tsystems.cz/cs/604890_1/blobBinary/pdf-ps.pdf,“ T-Systems. [Online].
Seznam obrázků Obr. 1 – cloud v dnešní podobě [zdroj: T-Systems] ................................................................... 8 Obr. 2 - výhody cloudu oproti starším technologiím ............................................................... 12 Obr. 3 - Problémy s cloudem .................................................................................................... 13 Obr. 4 - web http://www.megaupload.com ze dne 30.1.2012 .................................................. 14 Obr. 5 - úroveň správy při rozdělení podle typu služeb ........................................................... 16 Obr. 6 - rozdělení podle typu služeb [zdroj: www.katescomment.com] ................................. 16 Obr. 7 - www.silveos.com ....................................................................................................... 18 Obr. 8 - www.icloud.com ......................................................................................................... 19 Obr. 9 - Cloud computing - nové přístupy – [zdroj: T-Systems] ............................................. 20 Obr. 10 - loga poskytovatelů cloudu (zdroj: Internet) .............................................................. 25 Obr. 11 – jednoduchý webserver [zdroj: autor]....................................................................... 26 Obr. 12 - rozložení zátěže mezi dva a více serverů – DNS load balancing. [zdroj: autor] ...... 27 - 84 -
Obr. 13 - load balancing, webový cluster a diskový cluster s diskovým polem. [zdroj: autor]29 Obr. 14 – klasifikace infrastruktury datových center, [zdroj: The Uptime Institute] ............... 29 Obr. 15 - Disaster Recovery Plan (http://www.ovh.cz)............................................................ 30 Obr. 16 - Porovnání velikosti Facebooku se světadíly (zdroj: http://royal.pingdom.com) ...... 31 Obr. 17 – zapojení failover routerů a switchů [zdroj: autor] ................................................... 32 Obr. 18 – zapojení failover routerů, load balancerů a switchů [zdroj: autor].......................... 32 Obr. 19 – failover zapojení VPN koncentrátorů, routerů, load balancerů a switchů [zdroj: autor]......................................................................................................................................... 33 Obr. 20 – Propojení autonomních systémů [zdroj: autor] ........................................................ 34 Obr. 21 - Cloud computing podle Microsoftu (zdroj: Microsoft) ............................................ 36 Obr. 22 - 4 fyzické servery a 1 fyzický server se 4mi virtuálními [zdroj: autor] ..................... 37 Obr. 23 – Srovnání služeb Microsoftu, klasická distribuce a cloud [zdroj: Microsoft] ........... 38 Obr. 24 - certifikace a atesty datových center společnosti Microsoft 2010 [zdroj: Microsoft] 41 Obr. 25 – zapojení Cisco ISE v LAN (zdroj: www.cisco.com) ............................................... 48 Obr. 26 - Cobit Framework (http://www.isaca.com)................................................................ 54 Obr. 27 - obrazovka z aplikace Microsoft Network Monitor (zdroj: autor) ............................. 57 Obr. 28 - ikona připojeného cloudového disku (zdroj: autor) .................................................. 58 Obr. 29 - SkyDrive zobrazení dokumentů v prohlížeči (zdroj: autor)...................................... 58 Obr. 30 – SkyDrive - kontextové menu v prohlížeči (zdroj: autor) ......................................... 59 Obr. 31 - obrazovka klienta LiveMesh (zdroj: autor) ............................................................... 60 Obr. 32 - webové rozhraní DropBox (zdroj: www.dropbox.com) ........................................... 62 Obr. 33 - kontextové menu rozšířené o nabídku OpenDrive (zdroj: autor) ............................. 64 Obr. 34 - menu vlastností adresáře, rozšířené o nabídku OpenDrive (zdroj: autor)................. 64 Obr. 35 - obrazovka klienta iDrive (zdroj: autor)..................................................................... 66 Obr. 36 - kontextové menu rozšířené o nabídku iDrive (zdroj: autor) .................................... 66 Obr. 37 - obrazovka klienta SpiderOak (zdroj:autor) ............................................................... 68 Obr. 38 - obrazovka klienta Mozy (zdroj:autor)....................................................................... 70 Obr. 39 - kontextové menu rozšířené o nabídku Mozy (zdroj: autor) ...................................... 70 Obr. 40 - obrazovka klienta KeepVault (zdroj:autor).............................................................. 72 Obr. 41 - obrazovka klienta SugarSync (zdroj: autor) ............................................................. 74 Obr. 42 - doplněk SygarSync pro MS Outlook (zdroj: autor ) ................................................. 74 Obr. 43 - cesta a princip uložení dat do cloudu (zdroj: www.box.com) .................................. 76
- 85 -
