作为云计算安全系列文章的第三部分，本文将关注在平台即服务（PaaS）云计算服务模式中你可能会遇到得威胁因素。在软件即服务（Saas)模式中，用户往往依靠供应商来保证应用的安全。然而，在PaaS模式中，尽管说供应商可以保障潜在云计算基础架构（防火墙、服务器、操作系统等等）的安全，但控制和保证应用安全的任务还是需要用户自己来承担。因此，处理应用配置不当、保密插口层协议缺陷、以及数据不安全许可的工作对用户而言显得很有必要。

　　本文中提到的一系列威胁都是用户可以靠自己的能力解决的，而不需要去向供应商求助。

　　根据我的经验，当你在使用PaaS云服务时最有可能会遇到以下威胁：

• 应用配置不当
• SSL（保密曾插口协议）及部署缺陷
• 云数据中的非安全访问许可

　　尽管说PaaS云服务模式中还有其它很多风险和危险因素存在，但以上这几条绝对是最有可能影响你云服务部署工作的。需要记住的是，在SaaS服务模式中谈到的那些威胁因素也还是可能存在，也必须得到解决。

　　应用配置不当

　　当你在云基础架构中运行应用时，应用在默认配置下安全运行的概率机会为零。因此，你最需要做的事就是改变应用的默认安装配置。要熟悉一下应用的安全配置流程，也就是说如果要使用它们，就要知道如何确保其安全，因为它们占据了云架构中所有应用的80%之多。

• LAMP：在LAMP（一种基于Linux、Apache、MySQL和PHP环境的通用配置）配置堆内，你需要对Apache、MySQL和PHP给予更多的关注，掌握更多的技巧。
• Windows：在Windows环境下，你需要具备确保Internet Information Services（IIS）、Microsoft SQL和.NET安全的能力，这也相当于Windows LAMP环境。

　　要想做到以上这几点，你最需要关注的是以下这些问题：

• 安装后遗留下来的默认和示例文件和目录
• 提供的多余服务，比如说WebDAV、FrontPage、Lightweight Directory Access Protocol（轻量级目录访问协议LDAP）、 Simple Network Management Protocol（简单网络访问协议SNMP）等等。
• 默认的应用管理用户名和密码（特别是在Web或SNMP下）

　　如果你需要更多的信息，应该去具体的供应商网站来查看其安全配置建议。

　　SSL协议和部署缺陷

　　对PaaS用户而言，第二个需要考虑的威胁是SSL攻击。SSL是大多数云安全应用的基础。目前，众多黑客社区都在研究SSL，SSL在不久的将来将成为一个主要的病毒传播媒介。因此，用户必须明白当前的形势，并采取可能的办法来缓解SSl攻击，这样做只是为了确保应用不会被暴露在默认攻击之下。

　　为了解决这一问题，在2009年11月份，SSL协议Bug组织公布了许多人为攻击行为。由于这是一个协议缺陷，任何基于此协议的部署都需要打补丁。另一个问题在去年初夏也暴露出来，有人可以在SSL认证框内添加一个空字符串来骗取SSL认证，这对用户是一种极大的愚弄，他们会以为自己访问的是一台真实的服务器。这只是最近相关部门研究揭示的一些SSL攻击行为的一部分。类似的问题会越来越多，用户们需要加把劲了。

　　只有这些威胁得到缓解，才会有具体的部署方案产生。你需要依靠应用供应商来提供正确应用配置或配置补丁的具体步骤。这里最关键的问题是要及时，你必须要确保自己有一个变更管理项目，来确保SSl补丁和变更程序能够迅速发挥作用。

　　云数据中的非安全访问许可

　　对于PaaS用户而言，第三个需要考虑的威胁是需要解决对云计算中数据的非安全访问问题。尽管说这似乎是一个特定环境下的问题，但我经过测试发现，许多应用实际上存在严重的信息漏洞，数据的基本访问许可往往设置不当。从安全的角度讲，这意味着系统批准的访问权限太多。

　　要解决这一问题，需要从两方面来考虑。一方面需要对你的应用进行重新设计，把安全工作做得更细一点，来确保使用应用的所有用户都能被证明是真实可靠的。另一方面，通过这样做，你可以应用适当的数据和应用许可制度，来确保所有访问控制决策都是基于用户授权来制定的。

　　结语

　　这是PaaS公共云计算平台中常见的三个问题。采取适当的应用安全措施、及时处理SSL问题、站在用户的角度来设定用户账户并采取适当的访问许可制度可以对你的PaaS安全工作起到积极的作用。

　　最后我要说的是，我并不想夸大我对SSL问题的担忧，但是在未来一年的时间内，这一问题将会逐渐浮出水面，大家切不可忽视它。