SSL是否足以保障云安全？

网站这些应用程序非常复杂，它们依赖于服务器与浏览器之间持续的信息传输。这种数据交换涵盖了各种信息，包括登录信息、金融交易记录、个人信息的存储，以及用户的浏览习惯和社交生活相关的信息。Web应用程序能够实时生成这些信息，从而为用户提供定制化的、个性化的内容。

请告诉我们吧。什么是SSL？它为什么重要？仅使用SSL是否足以保障云安全呢？让我们开始吧！！

目录

• 云计算与安全风险
• 云托管服务中的隐私与安全问题挑战
• SSL在云安全方面的局限性
• 脆弱性评估与渗透测试的作用
• 为什么仅仅依靠SSL是不够的？
• 实际中的攻击案例

什么是SSL？

SSL（安全套接层）这是一种能够帮助保护您在使用互联网时个人信息的技术。它能够……确保您的浏览器与网站之间能够建立安全连接。确保你发送的数据，比如密码或信用卡号码等，都经过加密处理，从而不会被黑客窃取。

当某个网站使用SSL时，在浏览器的地址栏中，通常会看到一个锁形图标。此外，该网站的URL也会以“https://”开头，而不是“http://”。这意味着该网站正在使用SSL技术来保护用户数据在传输过程中的安全性。

云计算与安全风险

那个美国国家标准与技术研究院（NIST）将云计算定义为：

这是一种能够实现按需、便捷地访问共享计算资源的模型。这些资源包括网络、服务器、存储应用以及各种服务。这些资源可以迅速被提供，而且无需进行复杂的令牌管理或与服务供应商的互动。

随着云技术成为企业运营中不可或缺的一部分，人们可以全天候地访问信息。因此，数据的安全性就变得至关重要了。 云解决方案被认为更加可靠且高效，因为它们具有可扩展性和支持多租户的能力。 然而，使用过时或存在安全漏洞的技术，可能会导致安全漏洞。 这意味着基于云的应用程序容易受到那些存在已知漏洞的组件的攻击。正如A9在2013年发布的OWASP Top 10 Attacks报告中所指出的那样。

此外，云计算的虚拟化特性也带来了风险。当客户操作系统在虚拟机管理程序上运行时，由于存在未修复的安全漏洞，可能会导致安全漏洞的出现。这样一来，攻击者就有可能利用这些漏洞来攻击系统。

云托管服务中的隐私与安全问题挑战

随着云计算如果企业需要将内部业务资源存储在云端，那么涉及员工和客户敏感数据的存储问题就会引发隐私方面的担忧。由于云服务提供商能够确保数据存储位置的透明性，企业往往无法掌控自己数据的物理存储位置。这样一来，企业的安全防御措施就完全依赖于云服务提供商了，从而使得数据更容易受到攻击。

云解决方案必须遵守与数据存储相关的法规，尤其是涉及公民数据的方面。此外，还需要确保符合各国特定的法律要求。例如，企业必须将用户数据存储在特定的地理位置上，以遵守相关法规。

SSL在云安全方面的局限性

许多组织声称，他们的应用程序是安全的，因为它们使用了SSL（安全套接层）技术。例如，用户可能会看到这样的提示信息：

• 该网站采用了128位安全套接层（SSL）技术进行加密处理。
• 该网站每天都会进行扫描，以确保我们始终符合PCI支付安全标准，同时避免受到黑客的攻击。

SSL通常被用来让用户放心，他们的数据确实被安全地传输了。不过，尽管SSL被广泛使用，但……SSL/TLS技术许多网络应用程序仍然存在安全漏洞。仅仅遵守支付卡行业的标准，并定期进行漏洞扫描，并不能确保完全免受攻击的威胁。

脆弱性评估与渗透测试的作用

ISO/IEC 27001:2013建议，组织应至少每年由经过认证的审核员进行两次检查，以便向用户和服务提供商提供保障。定期进行的漏洞评估与渗透测试有助于发现系统中的潜在漏洞。

OWASP每三年会根据全球范围内对造成最大损害的攻击行为的调查结果，列出前10大漏洞。这些攻击中的大多数都是利用Web应用程序中的漏洞进行的，通常是通过注入恶意代码来触发应用程序中的异常行为。

为什么仅仅依靠SSL是不够的

SSL/TLS加密技术可以确保通过网络传输的数据处于安全状态，但它无法阻止攻击者向服务器发送恶意数据。SSL无法防范的常见攻击方式包括：

• 调整产品价格攻击者可能会篡改隐藏的HTML表单字段，以此来操纵价格。
• SQL注入恶意输入可以被用来注入有害的数据库查询语句，从而泄露敏感数据。
• 会话劫持通过修改HTTP cookie中的会话令牌，攻击者可以劫持有效的用户会话。
• 利用逻辑缺陷攻击者可能会删除某些参数，以此来利用应用程序逻辑中的漏洞。

SSL能够确保攻击者在数据传输过程中无法读取或修改这些数据。但是，一旦数据到达服务器，SSL就无法保护服务器免受恶意请求的攻击。这意味着攻击者可以通过SSL隧道发送任何他们想要发送的内容，从而利用那些尚未被修复的服务器端漏洞来实施攻击。

实际中的攻击案例

即使使用了SSL加密技术，那些未得到修复的服务器端漏洞仍然可能导致严重的安全漏洞。一个著名的例子就是……WannaCry病毒该攻击利用了Windows XP系统中存在的安全漏洞，导致欧洲的医疗系统遭到严重破坏。这次攻击的源头是一款泄露出来的CIA间谍软件，后来被黑客重新利用了起来。

最近，又发生了类似的攻击事件，这次的攻击目标是一组特定的设备。华硕的供应链利用特定设备的软件中的漏洞来进行攻击。

结论

虽然 SSL 是保护数据传输的关键组件，但仅靠它本身是无法确保数据传输的安全性。为基于云的应用程序提供完全的安全保障。各组织需要实施相应的措施/计划。这是一种多层次的安全策略，包括定期进行漏洞评估、补丁管理、渗透测试，以及采用最佳安全实践。无论是在应用程序的服务器端还是客户端，SSL都应当被视为安全体系中的一部分而已，而不是一个完整的解决方案。