RAČUNALSTVO U OBLAKU

A KOLATERALNE ŽRTVE?

Više nećete plaćati skupo održavanje sustava za pristup vašem podatkovnom centru, ali nećete ni znati tko je pokraj poslužitelja na kojem su podaci o svim vašim klijentima. Zapravo, čak ni gdje se uopće nalaze vaši podaci za koje i dalje snosite punu odgovornost.

Može li korisnik cloud computinga zaboraviti sve suvišne detalje koji se odnose na hardver i potpuno se posvetiti osnovnom poslovanju?

PIŠE: BRANIMIR LAMBAŠA

Buzzword je posljednjih godina jedan je od spominjanijih izraza u IT svijetu. Uvriježio se kao oznaka za riječ, frazu ili temu koja vrlo brzo postaje izuzetno popularna, no iza nje često ne stoji ništa konkretno. Izuzetno je popularan među osobama iz prodajnog sektora budući da spominjanje tog izraza gotovo uvijek znači zadobivanje velike pažnje, a govornika svrstava među ljude koji prate trendove i nove tehnologije. Jedan od najpopularnijih buzzworda proteklog desetljeća bio je cloud computing ili računalstvo u oblaku. Iako je već odavno izašao iz faze buzzworda i postao zbilja svakog modernog IT sustava, implikacije korištenja ­cloud computinga na sigurnost i privatnost podataka i dalje intrigiraju i javnost i korisnike tih sustava.

Odabirom cloud computing rješenja i obveza moguće procedure oporavka prebacuju se na leđa pružatelja usluga, ali odgovornost za očuvanje podataka i dalje ostaje njihovom vlasniku

Uspon do oblaka
Iako o računalstvu u oblaku intenzivno slušamo tek posljednjih desetak godina, znanstvenik Herb Grosch već je 1950. godine iznio teoriju o svijetu koji će biti upravljan primjenom glupih terminalskih radnih stanica spojenih na petnaestak velikih podatkovnih centara. Desetak godina poslije, John MacCharty predvidio je kako bi se računalna moć jednog dana mogla ponuditi kao javna usluga. Iako se pojava i razvoj interneta poklapaju s osnovnim postulatima cloud computinga prava komercijalna primjena na način na koji su to zamišljala ta gospoda javlja se tek krajem prošlog i početkom ovog stoljeća.
Koja je ideja cijele priče? Budući da u svijetu IT-a usluga, servis ili aplikacija (softver) kreira puno veću dodanu vrijednost od hardvera koji služi kako bi sve nabrojano uopće radilo, rodila se ideja da se taj hardver koji je jeftiniji dio priče pokuša iskorištavati na efikasniji način. U vrijeme prije komercijalne upotrebe cloud computinga svatko s idejom za uspješan servis ili aplikaciju ipak je morao proći i fazu ulaganja u podatkovni centar koji će služiti kao središte računalnih operacija, spremište podataka i komunikacijski čvor. Ti su troškovi često tako visoki da bi sama ideja, čak i uz veliku vjerojatnost uspjeha i monetizacije bila potpuno neisplativa. Skaliranje veličine podatkovnih centara uvijek se radilo za predviđen maksimalni broj korisnika (ako ideja uistinu zaživi, a netko tko pokreće takav posao svakako vjeruje u to).

Niže cijene hardvera u proteklom desetljeću dovele su do toga da velike kompanije mogu bez velikih financijskih izdataka kontinuirano graditi svoju mrežu procesne snage i spremišta podataka. Kako bi se lakše upravljalo tom količinom željezarije još je ranijih dana zaživio koncept virtualizacije, odnosno mogućnost da na jednom fizičkom računalu poslužitelju bude prisutno više virtualnih računala istodobno koja obavljaju različite zadatke dijeleći stvarne resurse računala domaćina kao što je procesorska snaga, radna memorija, mrežna infrastruktura i spremište podataka.
Razvojem novih načina izrade poluvodičkih čipova snaga hardvera je toliko ojačala da je često premašivala stvarne potrebe koje je zahtijevao servis ili aplikacija te se pojavio višak procesorske snage. Taj je problem vrlo efikasno riješila virtualizacija dijeleći stvarne resurse poslužitelja među potpuno odvojenim operativnim sustavima koji su obavljali različite zadatke. Ipak, održavanje takvih sustava zahtijevalo je puno administratorskog rada jer je i dalje trebalo podesiti pojedini virtualni stroj, dodijeliti mu kapacitete, voditi brigu o tome da se ne iscrpe i tako dalje.

Prednosti...
Cloud-computing podigao je razinu apstrakcije na viši stupanj od virtualizacije. Korisnik cloud computinga može potpuno zaboraviti na hardverske i tehničke specifikacije uređaja na kojem se vrte njegove aplikacije ili servis. Njegova je briga isključivo definirati koliko mu točno treba procesorske snage, radne memorije, diska... i zaboraviti na sve suvišne detalje koji se odnose na hardver. Takav se koncept čini kao win-win situacija za sve korisnike te transakcije. Pružatelj cloud usluga izgradit će infrastrukturu i ponuditi je brojnim korisnicima ovisno o njihovim potrebama. Korisnici cloud usluga služit će se hardverom u koji nisu uložili ništa na optimalan način uzimajući dodatne resurse točno u trenutku kad im zatreba. Mnoge startup kompanije danas mogu ponuditi svoje usluge na malim kapacitetima dok vrijeme ne pokaže jesu li uspješni ili ne te otkazati tu uslugu (kapacitete) u trenutku kad im više ne treba. Savršeno, zar ne?


...i rizici cloud computinga
Opisane karakteristike koncepta računalstva u oblacima čine se uistinu fantastične za sve sudionike, ali tu u priču uskače problematika informacijske sigurnosti. Iako su pojmovi ušteda na optimizaciji resursa, non-core dijelu poslovanja, jako popularni u IT i poslovnom svijetu još je popularnija zaštita privatnosti, zaštita korporacijskih podataka i očuvanje trajnosti poslovanja. Kao i mnogo puta dosad, a zasigurno bit će tako i u budućnosti, ljudi koji se bave informacijskom sigurnošću srušili su naivne iluzije o apsolutnoj genijalnosti koncepta cloud computinga.

Kako biste umanjili rizike oblačnog outsourcinga bilo bi pametno dobro se upoznati s poslovnim praksama, zaposlenicima, lokacijom i ostalim značajkama vašeg pružatelja usluge cloud computinga

Stvar jednostavno nije crno-bijela pa kako bi korisnici uistinu mogli donijeti ispravnu odluku treba predstaviti i sve rizike poslovanja koje donosi korištenje računalstva u oblacima. Ono što predstavlja plus za poslovanje s financijske strane, a to je negubljenje vremena na nebitne stvari kao što je održavanje poslužitelja, komunikacijskih linkova i spremišta podataka, za informacijsku sigurnost tvrtke predstavlja golemi problem. Prepuštajući pružatelju usluge obvezu brige o tim stvarima, tvrtka mu je prepustila i kontrolu nad njima. O kojim stvarima je tu riječ? S gledišta informacijske sigurnosti o najbitnijim, a to su - podaci!
Kako su o ovoj problematici već napisane cijele knjige, pokušat ću ukratko objasniti samo neke od rizika koje kompanije moraju preuzeti kad odluče prebaciti svoje poslovanje na sustav cloud computinga. Svi rizici koje navodim odnose se samo na varijantu kad se cloud computinga koristi kao usluga koju nudi treća strana, a ne kod takozvanog private cloud sustava gdje tvrtka i dalje ima cjelokupnu infrastrukturu i kontrolu.
Kad odlučite prebaciti poslovanje na cloud computing vaši podaci o korisnicima, o poslovanju... koji čine okosnicu vašeg posla nužno su izloženi ljudima koje uopće ne poznajete. Kako i zašto? Pa sami ste odlučili da vam vaš glavni administrator sustava kojeg ste pomno birali, pazeći da je pouzdana osoba duboko svjesna odgovornosti koju donosi briga o podacima tvrtke, zapravo više ne treba. Njegov posao sad će preuzeti zaposlenik tvrtke koja pruža cloud­ usluge, a tu osobu ne poznajete. Iako će se pružatelj usluge zaklinjati da je njegov administrator jednako pouzdan i stručan (što je vjerojatno i istina) činjenica je da više nemate kontrolu nad osobom koja pomoću nekoliko naredbi može kompromitirati vaše podatke i poslovanje.

Sustavi smješteni na cloud tehnologiji redovno će predstavljati poželjnu metu jer njima se istodobno služe brojni korisnici od najmanjih do vrlo velikih s ozbiljnim poslovanjem

Iako se čini fantastičnim da više ne morate plaćati skupo održavanje sustava pristupa vašem podatkovnom centru često ćete se sjetiti da sad ne znate tko se nalazi pokraj poslužitelja na kojem se nalaze podaci o svim vašim klijentima. Kako biste eventualno umanjili utjecaj tog rizika bilo bi pametno da se dobro upoznate s poslovnim praksama, zaposlenicima, lokacijom i ostalim značajkama vašeg pružatelja usluge cloud computinga. Također bilo bi zgodno dogovoriti redoviti audit njegova poslovanja, ali to će vam poći za rukom isključivo ako ste velik i važan klijent.
Pojam audit predstavlja drugi veliki problem za tvrtke koje se odluče za cloud computing. Najveće tvrtke u današnjem svijetu često su podložne regulaciji države u kojoj posluju. Čak i ako nisu tvrtke često imaju certifikate stručnosti čije održavanje zahtijeva povremeni audit neovisnih tijela. Iako podaci više nisu pod kontrolom tvrtke, odgovornost za sigurnost i integritet podataka i dalje je njezina. U slučaju kad tvrtka više nema pouzdana saznanja gdje se nalaze njeni podaci (jer su negdje u oblaku) postavlja se pitanje može li jamčiti da sigurnost podataka ima i dalje pod kontrolom. A to pitanje moglo bi zasmetati organizacijama koje dolaze provesti audit.
Ako vam konstatacija da su podaci u oblaku zvuči kao banaliziranje, to nije tako. Podaci su zaista negdje u oblaku koji je obično raširen preko nekoliko zemalja ili čak kontinenata. Budući da se oblakovi podatkovni centri sastoje od velikog broja poslužitelja, pojedini od njih se često kvare. Kako bi se izbjeglo da se podaci s poslužitelja koji treba zamijeniti izgube ili da budu privremeno nedostupni oni se dijele na komadiće i kopiraju na nekoliko mjesta. Iako s tehnološke strane taj princip zvuči savršeno logično, činjenica da vlasnici ne znaju gdje se točno nalaze njihovi podaci i u koliko su kopija umnoženi u određenom trenutku svakako bi trebala utjecati na odluku je li taj rizik prihvatljiv ili ne. Taj se rizik može potencijalno smanjiti ako pružatelj usluga pristane zadržati podatke određene tvrtke kojoj je to važno unutar jednog geografskog područja, odnosno nacionalne jurisdikcije.

A tko su nam susjedi?
Ovisno o vrsti zakupljene ­cloud-usluge korisnici mogu pristupati svojim podacima i aplikacijama koje su negdje u oblaku gdje se nalaze i podaci te aplikacije tisuća drugih korisnika. Ta nas činjenica dovodi do pitanja može li jedan korisnik pristupati i pregledavati podatke drugoga jer se jedni i drugi nalaze u istom spremištu.
Iako svi ozbiljni pružatelji usluga cloud computinga koriste mehanizme razdvajanja podataka i njihove obvezne enkripcije, rizik od neželjenog pregledavanja podataka od legitimnog korisnika iste usluge svakako postoji. Pružatelj bi morao jasno predstaviti mehanizme enkripcije i mehanizme oporavka u slučaju neželjenih događaja jer baš je to jedan od sljedećih velikih rizika. Disaster recovery procedure danas su već uobičajena pojava u svakom IT sustavu. Odabirom cloud computing rješenja i ta se obveza zapravo prebacuje na leđa pružatelja usluga, ali odgovornost za očuvanje podataka i dalje ostaje vlasniku. Kako će se sustav oporavljati u slučaju neželjenih događaja treba detaljno saznati od pružatelja usluge čime se rizik može dodatno umanjiti.

U situaciji kad tvrtke prepuste pohranu i obradu svojih podataka računalstvu u oblaku postoji još niz rizika, ali nemamo dovoljno prostora da bismo ulazili u sve detalje. Upravo u vrijeme pisanja ovog članka dogodio se jedan od najvećih sigurnosnih incidenata povezanih s cloud tehnologijom:
iCloud je usluga tvrtke Apple koja omogućuje korisnicima njenih uređaja (iPhone, iPad, iPod) pohranu i sinkronizaciju podataka kao što su kontakti ili fotografije. Korištenjem nekih od uobičajenih tehnika kompromitacije korisničkih računa (iskorištavanjem propusta u sustavu oporavka lozinke i phishingom) napadači su uspjeli dobiti pristupne podatke korisnika među kojima su bile i neke poznate javne osobe. Napadači su preuzeli sadržaj pohranjen na iCloud računima žrtava, a među njima i privatne fotografije koje su odmah objavljene na internetu izazvavši veliku pažnju javnosti. Iako je sam vektor napada iskorištavao neke od odavno poznatih ranjivosti sustava, činjenica je da su kompromitacijom jednog računa žrtvi otuđeni podaci sa svih uređaja spojenih na iCloud. Iako je napada na sustave koji implementiraju cloud computing tehnologiju bilo i ranije, napad na Appleov servis u rujnu ove godine je incident koji je izazvao najveću pažnju javnosti.

Oslanjajući se potpuno na vanjskog pružatelja usluga u oblaku tvrtka će dugoročno izgubiti znanja upravljanja IT sustavom

Tko vedri i oblači?
Iako je područje relativno novo, zbog velikog interesa i brzog širenja tog koncepta objavljene su i prve godišnje statistike o incidentima povezanim s cloud computingom. Najučestalije prijetnje koje se odnose na te sustave su zlouporaba i zlonamjerna uporaba cloud-usluga, nesigurna sučelja, zlonamjerni korisnici, gubitak i curenje podataka. Što se tiče kompanija koje su prijavile najveći broj incidenata to su mahom igrači koji su prvi ušli na to tržište s velikim planovima, Google, Amazon, Microsoft, Apple. Kako se tržište razvija pokazuje broj incidenata koji raste iz godine u godinu. Dok je do 2008. prijavljivano manje od deset incidenata godišnje, 2011. je već premašena brojka od 70 incidenata.
Iako je riječ o tehnologiji koja počiva na principima različitim od uobičajenog poimanja računalnih sustava, sigurnosne implikacije imaju zasad podosta sličnosti s tradicionalnim IT sustavima. Važan faktor kod cyber security analiza jest i vrijednost mete iz perspektive napadača - isplati li se napadati određenu metu, trošiti resurse i moguće 0-day ranjivosti. Sustavi implementirani na cloud tehnologiji redovno će predstavljati poželjnu metu jer ih istodobno upotrebljava velik broj različitih korisnika, od onih najmanjih i najnevažnijih do velikih s ozbiljnim poslovanjem. Baš zato jer je moguće iskorištavanjem sustava manjeg korisnika (koji najčešće posvećuje manju pažnju informacijskoj sigurnosti) doći do povlaštenog pristupa dijelu sustava koji koriste veliki korisnici.
Iz perspektive napadača vrijednost kompromitacije takvog sustava izuzetno je velika i u budućem razdoblju zasigurno možemo očekivati nove vijesti o incidentima na toj vrsti IT sustava. Prelaskom na cloud computing tehnologiju kompanija zapravo eksternalizira važan dio svog poslovanja prepuštajući ga trećoj strani. U novim okolnostima tvrtka se može posvetiti svojem core poslovanju ne opterećujući se problematikom organizacije internog IT sustava. Međutim, oslanjajući se potpuno na vanjskog pružatelja usluga tvrtka će dugoročno izgubiti znanja upravljanja IT sustavom. U takvom su okruženju i aspekti informacijske sigurnosti među zaposlenicima (koji i dalje kao ljudski faktor predstavljaju najveću razinu) nužno zapostavljeni čime se povećava rizik od neželjenih događaja.

Nije sve tako sivo
Iako ton ovog članka sugerira da je cyber sigurnost dealbreaker za tehnologiju računalstva u oblaku, mislim da je izvjesno da će prevladati njegove pozitivne strane - osobito zbog uštede i optimizacije resursa - i da u sljedećim godinama možemo uz postojeće očekivati niz novih servisa u oblaku. Ideja ovog članka bila je ukazati na sigurnosne aspekte koji se nužno nameću kad razgovaramo o IT okruženjima zasnovanim na dijeljenim resursima. Izuzetno je bitno da se o tim temama razgovara sada jer će nas u protivnom stvarnost natjerati da o njima pričamo u kontekstu stvarnih incidenata i kompromitacije podataka.