Sicurezza del cloud computing: differenze tra le versioni

Versione delle 03:43, 26 gen 2018

Versione delle 23:14, 27 gen 2018

Riga 1:

La '''sicurezza del cloud computing''' o, più semplicemente, la '''sicurezza del [[cloud]]''', si riferisce ad un'ampia gamma di politiche, tecnologie e controlli atti alla protezione di dati, applicazioni e infrastrutture associate di [[cloud computing]]. La sicurezza di questo ambito è un sotto-dominio della  [[sicurezza informatica]]  nel suo complesso.

== Problemi di sicurezza associati al cloud ==

Il [[cloud]] offre agli utenti di archiviare ed elaborare i loro dati e processi in [[Centro elaborazione dati|data center]] di terze parti.<ref name="cloudid">{{Cita pubblicazione|cognome1= Haghighat |nome1= M. |cognome2= Zonouz |nome2= S. |cognome3= Abdel-Mottaleb |nome3= M. |anno= 2015 |titolo= CloudID: Trustworthy Cloud-based and Cross-Enterprise Biometric Identification | doi = 10.1016/j.eswa.2015.06.025 |rivista= Expert Systems with Applications |volume= 42 |numero= 21|pp= 7905–7916 }}</ref> Le aziende utilizzando il [[cloud]]  tramite differenti modelli di servizio ([[Software as a service|SaaS]], [[Platform as a service|PaaS]], and [[IaaS]]) e modelli di distribuzione (privati, pubblici, ibridi o di community).<ref name="Srinavasin">{{Cita web|cognome=Srinavasin|nome=Madhan|titolo='State-of-the-art cloud computing security taxonomies: a classification of security challenges in the present cloud computing environment|editore= ACM ICACCI'|anno=2012|url=http://doi.acm.org/10.1145/2345396.2345474}}</ref> I problemi di sicurezza associati al cloud computing si dividono in due ampie categorie: problemi di sicurezza affrontati dai [[cloud provider]] (organizzazioni che forniscono servizi cloud) e problemi di sicurezza affrontati dai loro clienti (aziende, organizzazioni o privati che utilizzano i servizi offerti dal cloud stesso).<ref>{{Cita news|url=http://security.sys-con.com/node/1231725|titolo=Swamp Computing a.k.a. Cloud Computing|editore=Web Security Journal|data=28 dicembre 2009|accesso=25 gennaio 2010}}</ref> La responsabilità è condivisa: il provider deve assicurare che la loro infrastruttura è sicura e che i dati e le applicazioni dei clienti sono protette, mentre gli utenti devono adottare misure per rendere le loro applicazioni difficilmente violabili.

Quando un'organizzazione decide di effettuare lo storage dei propri dati o di ospitare un'applicazione sul cloud, perde la possibilità di avere l'accesso fisico ai server che contengono queste informazioni. Di conseguenza, i potenziali dati sensibili sono esposti al rischio di attacchi interni.

Secondo un recente report della [[Cloud Security Alliance]], gli attacchi che partono dall'interno del cloud provider sono la sesta più grande minaccia nel [[cloud computing]].<ref name="Top Threats to Cloud Computing v1.0">{{Cita web|titolo=Top Threats to Cloud Computing v1.0|url=https://cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf|editore=Cloud Security Alliance|accesso=20 ottobre 2014}}</ref> Pertanto, i cloud providers  devono garantire che vengano eseguiti controlli approfonditi sui dipendenti che hanno accesso ai server nei loro data center.

Al fine di risparmiare risorse, ridurre i costi e mantenere alta l'efficienza, i cloud provider spesso memorizzano i dati di più clienti sulla stessa macchina. Di conseguenza, esiste la possibilità che i dati privati ​​di un utente possano essere visualizzati da altri utenti (eventualmente anche loro concorrenti). Per gestire tali situazioni sensibili, i fornitori di servizi cloud dovrebbero garantire il corretto isolamento dei dati e la separazione logica dell'archiviazione.<ref name ="Srinavasin"/>

L'ampio uso della [[virtualizzazione]] nell'implementazione dell'infrastruttura cloud crea problemi di sicurezza per i clienti di un servizio di cloud pubblico.<ref name="Cloud Virtual Security Winkler">{{Cita web|cognome=Winkler|nome=Vic|titolo=Cloud Computing: Virtual Cloud Security Concerns|url=https://technet.microsoft.com/en-us/magazine/hh641415.aspx|editore=Technet Magazine, Microsoft|accesso=12 febbraio 2012}}</ref> La [[virtualizzazione]] altera il rapporto tra il sistema operativo e l'hardware sottostante: sia esso relativo al computing, all'archiviazione o persino al networking. Ciò introduce un ulteriore livello che deve essere configurato, gestito e protetto correttamente.<ref name="virtualization risks hickey">{{Cita web|cognome=Hickey|nome=Kathleen|titolo=Dark Cloud: Study finds security risks in virtualization|url=http://gcn.com/articles/2010/03/18/dark-cloud-security.aspx|editore=Government Security News|accesso=12 febbraio 2012}}</ref> Una delle preoccupazioni include la potenziale compromissione del software di virtualizzazione, o "[[hypervisor]]".<ref name="Securing the Cloud Winkler virt">{{Cita libro|cognome=Winkler|nome=Vic|titolo=Securing the Cloud: Cloud Computer Security Techniques and Tactics|anno=2011|editore=Elsevier|città=Waltham, MA USA|isbn=978-1-59749-592-9 |p=59|url=http://www.elsevier.com/wps/find/bookdescription.cws_home/723529/description#description}}</ref> Ad esempio, una violazione della workstation dell'amministratore con il software di gestione della virtualizzazione può causare l'interruzione dei servizi erogati dall'intero data center o la riconfigurazione a piacere di un utente malintenzionato.

Riga 29:

== Le dimensioni della sicurezza nel cloud ==

In genere si raccomanda di selezionare e implementare i controlli di sicurezza dell'informazione in base e in proporzione ai rischi: valutando le minacce, le vulnerabilità e gli impatti. I problemi di sicurezza del cloud possono essere raggruppati in vari modi; [[Gartner]] ne ha identificati sette <ref>{{Cita news|url=http://www.infoworld.com/d/security-central/gartner-seven-cloud-computing-security-risks-853|titolo=Gartner: Seven cloud-computing security risks|editore=InfoWorld|data=2 luglio 2008|accesso=25 gennaio 2010}}</ref> mentre la Cloud Security Alliance ha preso in considerazione quattordici aree di interesse<ref>{{Cita web|url=https://cloudsecurityalliance.org/research/projects/security-guidance-for-critical-areas-of-focus-in-cloud-computing/|titolo=Security Guidance for Critical Areas of Focus in Cloud Computing|editore=Cloud Security Alliance|anno=2011|accesso=4 maggio 2011}}</ref><ref name="forrester">{{Cita news|url=http://blogs.forrester.com/srm/2009/11/cloud-security-front-and-center.html|titolo=Cloud Security Front and Center|editore=Forrester Research|data=18 novembre 2009|accesso=25 gennaio 2010|urlmorto=sì|urlarchivio=https://web.archive.org/web/20091124191907/http://blogs.forrester.com/srm/2009/11/cloud-security-front-and-center.html|dataarchivio=24 novembre 2009}}</ref>. I [[Cloud Access Security Broker|Cloud Access Security Brokers (CASB)]] sono un tipo di software che si trova a metà tra gli utenti del servizio cloud e le applicazioni cloud per monitorare tutte le attività e applicare correttamente le politiche di sicurezza.<ref>{{Cita web|titolo= What is a CASB (Cloud Access Security Broker)?|editore=Skyhigh Networks|url= https://www.skyhighnetworks.com/cloud-security-university/what-is-cloud-access-security-broker/|accesso= 11 agosto 2017}}</ref> Siccome creare un infrastruttura sicura al 100% non è mai possibile, spesso ci si affida a servizi di tipo assicurativo che coprono il rischio residuo.

== Sicurezza e Privacy ==

;Gestione dell'identità

:Ogni azienda ha il proprio sistema di gestione dell'identità per controllare l'accesso alle informazioni e alle risorse informatiche. I fornitori di servizi cloud integrano il sistema di gestione delle identità del cliente nella propria infrastruttura, utilizzando la tecnica del [[Single_sign-on |SSO]] o sfruttando un sistema di identificazione basato su dati biometrici <ref name="cloudid"/> oppure ancora fornendo un proprio sistema di gestione delle identità <ref>{{Cita web|url=http://www.darkreading.com/identity-management-in-the-cloud/d/d-id/1140751 |titolo=Identity Management in the Cloud |editore=Information Week |data=25 ottobre 2013 |accesso=5 giugno 2013}}</ref>. CloudID,<ref name="cloudid"/> ad esempio, fornisce un sistema di identificazione biometrica cross-enterprise basata sul cloud che preserva la privacy. Esso collega le informazioni riservate degli utenti ai loro dati biometrici e li memorizza in modo crittografato. Facendo uso di una tecnica di crittografia, l'identificazione biometrica viene eseguita in un dominio crittografato per assicurarsi che il fornitore di servizi cloud o potenziali aggressori non ottengano l'accesso a dati sensibili. <ref name="cloudid"/>

;Sicurezza fisica

Riga 47:

== La sicurezza del dato ==

Una serie di minacce alla sicurezza sono associate ai servizi in cloud: non solo le tradizionali minacce alla sicurezza, come intercettazioni di rete, esfiltrazioni e attacchi [[DOS|denial of service]], ma anche minacce specifiche al [[cloud computing]], come attacchi ai [[Canale laterale|side channel]], vulnerabilità della virtualizzazione e abuso di servizi cloud. I seguenti requisiti di sicurezza limitano le minacce. <ref>{{Cita pubblicazione|cognome=Jun Tang|nome=Yong Cui|data=2016|titolo=Ensuring Security and Privacy Preservation for Cloud Data Services|url=http://www.4over6.edu.cn/cuiyong/lunwen/Ensuring%20Security%20and%20Privacy%20Preservation%20for%20Cloud%20Data%20Services.pdf|rivista=ACM Computing Surveys}}</ref>

;Confidenzialità

Riga 64:

=== Algoritmi di crittografia basati sugli attributi (ABE) ===

==== Ciphertext-policy ABE (CP-ABE) ====

Nel CP-ABE, l'encryptor ha il controllo degli accessi, all'aumentare della complessità della strategia di accesso, diventa più difficile la creazione della chiave pubblica del sistema. Il principale lavoro di ricerca di CP-ABE è focalizzato sulla progettazione della struttura di accesso.<ref>{{Cita pubblicazione|titolo= Attribute-Based Encryption Schemes|url= http://pub.chinasciencejournal.com/article/getArticleRedirect.action?doiCode=10.3724/SP.J.1001.2011.03993|rivista= Journal of Software|pp= 1299–1315|volume= 22|numero= 6|doi = 10.3724/sp.j.1001.2011.03993|nome= Jin-Shu|cognome= SU|nome2= Dan|cognome2= CAO|nome3= Xiao-Feng|cognome3= WANG|nome4= Yi-Pin|cognome4= SUN|nome5= Qiao-Lin|cognome5= HU}}</ref>

==== Key-policy ABE (KP-ABE) ====

Nel KP-ABE, gli insiemi di attributi vengono utilizzati insieme alla chiave privata per visualizzare correttamente i testi crittografati.<ref>{{Cita pubblicazione|titolo= Attribute-based encryption schemes with constant-size ciphertexts|url= http://www.sciencedirect.com/science/article/pii/S0304397511009649|rivista= Theoretical Computer Science|data= 9 marzo 2012|pp= 15–38|volume= 422|doi = 10.1016/j.tcs.2011.12.004|nome= Nuttapong|cognome= Attrapadung|nome2= Javier|cognome2= Herranz|nome3= Fabien|cognome3= Laguillaumie|nome4= Benoît|cognome4= Libert|nome5= Elie|cognome5= de Panafieu|nome6= Carla|cognome6= Ràfols}}</ref>

Riga 88:

;[[Business continuity|Business Continuity]] e [[Recupero dati|Data Recovery]]

:I fornitori di servizi cloud dispongono di piani di [[Business continuity|business continuity]] e di [[Recupero dati|recupero dati]] per garantire che il servizio possa essere mantenuto in caso di disastro o in caso di emergenza e che qualsiasi perdita di dati venga ripristinata.<ref>{{Cita web|url=http://content.dell.com/us/en/enterprise/d/large-business/benefits-cloud-based-recovery.aspx|titolo=It’s Time to Explore the Benefits of Cloud-Based Disaster Recovery|editore=Dell.com|accesso=26 marzo 2012|urlmorto=sì|urlarchivio=https://web.archive.org/web/20120515134339/http://content.dell.com/us/en/enterprise/d/large-business/benefits-cloud-based-recovery.aspx|dataarchivio=15 maggio 2012}}</ref> Questi piani possono essere condivisi e rivisti dai loro clienti, idealmente in linea con le disposizioni di continuità richieste da questi ultimi. Fare esercitazioni di continuità congiunta possono essere appropriati, simulando, ad esempio, una grave interruzione della fornitura di energia elettrica o di Internet.

;Log and Audit trail

Riga 109:

* [http://www.cloudsecurityalliance.org Cloud Security Alliance]

* [https://www.usatoday.com/story/cybertruth/2013/11/25/why-cloud-security-requires-multiple-layers/3683171 Why cloud security requires multiple layers]

* [http://visual.ly/data-security-breaches-2014 Data Security Breaches Infographics]

* [https://aws.amazon.com/security/introduction-to-cloud-security The Beginner's Guide to Cloud Security]