云安全聯(lián)盟(CSA)是全球領(lǐng)先的組織，致力于定義標(biāo)準(zhǔn)、認證和最佳實踐，以幫助確保安全的云計算環(huán)境，日前發(fā)布了云安全行業(yè)的新立場文件峰會(CSIS)技術(shù)工作組文件—云計算數(shù)據(jù)中心的固件完整性。在其中，關(guān)鍵數(shù)據(jù)中心開發(fā)利益相關(guān)者使用安全服務(wù)器分享他們關(guān)于構(gòu)建云計算基礎(chǔ)設(shè)施的建議，這些服務(wù)器使客戶能夠在硬件/固件級別信任云計算提供商的基礎(chǔ)設(shè)施。

具體而言，該立場文件確定了行業(yè)中的差距，這使得難以滿足美國國家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)對“標(biāo)準(zhǔn)”通用服務(wù)器的要求，并提供了構(gòu)建滿足美國國家標(biāo)準(zhǔn)與技術(shù)研究院要求的服務(wù)器的方法(包括在適用時調(diào)用缺少的技術(shù))，以及可以進一步提高服務(wù)器安全級別的其他要求。

“隨著攻擊者的復(fù)雜程度和民族主義國家威脅緩解程度的不斷提高，構(gòu)建新的、更安全的服務(wù)器系列至關(guān)重要。硬件/固件行業(yè)必須更好地構(gòu)建具有高代碼質(zhì)量的固件，并且在固件級別上具有最小的漏洞可能性。我們希望能夠就此事及后續(xù)行動展開討論。”云安全聯(lián)盟美洲研究總監(jiān)John Yeoh說。

“從組件到系統(tǒng)再到解決方案的每一步都必須驗證供應(yīng)鏈安全性至關(guān)重要，”Yeoh繼續(xù)說道，“我們認為，如果云計算供應(yīng)商不必設(shè)計和構(gòu)建專用硬件，而是通過標(biāo)準(zhǔn)化商品硬件，就可以滿足這些要求。”

新立場文件峰會(CSIS)挑選出的硬件制造商立即關(guān)注的差距包括：

(1)第一指令完整性-能夠以云計算提供商而不僅僅是制造商可驗證的方式確保第一條指令(第一條代碼或從可變非易失性媒體加載的數(shù)據(jù))的完整性。

(2)外圍設(shè)備的信任鏈-利用信任的主機根和其他信任根來創(chuàng)建對外圍設(shè)備的信任鏈(例如，用于PCIe設(shè)備或其他共生設(shè)備)的能力。

(3)自動恢復(fù)-在檢測到損壞的固件(初始啟動之后)時執(zhí)行自動恢復(fù)到已知啟動時狀態(tài)的能力。

云計算安全行業(yè)峰會技術(shù)工作組是一組云計算服務(wù)提供商(CSP)和云計算的利益相關(guān)者，其使命是發(fā)展對云計算的信心，為企業(yè)和云服務(wù)提供商帶來廣泛的利益，與行業(yè)團隊合作，共同發(fā)展協(xié)調(diào)云安全的方法。該集團包括來自頂級云服務(wù)提供商的成員，包括1&1、IBM、云安全聯(lián)盟、Microsoft、Oracle、Rackspace、Swisscom等。英特爾公司是該集團的推動者。