HKCert
HKCERT logo 香港電腦保安事故協調中心

HKCERT logo 香港電腦保安事故協調中心

保安指南

雲端儲存服務保安

發布日期: 31 / 03 / 2014
最後更新: 31 / 03 / 2014
 

近年因互聯網高速發展及流動裝備的流行,使得雲端儲存服務的需求不斷增加,由於雲端儲存服務沒有地域限制,這類服務的供應商遍佈在世界各地,而每個國家對資訊保安的要求也不相同,所以在選擇雲端儲存服務時要加倍小心。

 

當我們滿足於雲端儲存服務所帶來的方便及前所未有的體驗如:擴展性、因應所需付款、離線資料儲存及何時都能存取等,其實它也帶來了其他的保安風險,包括有:

  1. 數據資料被洩漏及竊聽:
    • 雲端伺服器受到攻擊被入侵。
    • 沒有提供加密渠通上載及下載檔案。
    • 只提供密碼保護並洩漏了密碼給第三者。
  2. 不良的服務供應商:
    • 伺服器沒有加密,員工隨意瀏覽你所上載的檔案。
    • 變賣你上載的檔案給第三者。
  3. 個人的失誤:
    • 沒有將資料分類,上載所有檔案包括敏感資料到雲端儲存服務。
    • 錯誤地將敏感資料分享。
    • 手機遺失被第三者登入。
  4. 數據管轄權:
    • 對於一些受監管的行業,可能有一些法律條文監管它們的資料數據必需存於管制範圍內。雲端儲存服務有可能無法控制所上存的資料數據在管制範圍內。
  5. 雲端鎖定:
    • 儲存的數據及數據庫的結構有可能不能被轉移,當需要停止服務或轉用其他的供應商時,無法帶走所儲存的數據。

選擇雲端服務供應商

由於雲端儲存服務的供應商十分之多,而使用雲端儲存服務會產生不同的風險,我們只要選擇適合自己的服務,風險是可以減低的,以下是在選擇服務時比較重要的項目:

  1. 服務供應商的誠信 – 應選用有信譽的服務供應商,確保所儲存的資料不會被轉讓給第三方。
  2. 存取控制 – 容許用戶管理不同檔案及資料夾的存取權限。
  3. 版本控制 – 有否提供可保存多個版本的功能。
  4. 密碼管理 – 有否容許自定密碼的複雜度及有效期,有否提供雙重驗證功能。
  5. 資訊加密 – 有否提供其他加密的功能,如有可否選擇加密的強度。
  6. 刪除資料 – 當需要刪除檔案及取消服務時,是否提供檔案永久刪除功能。
  7. 數據管轄 – 如果需要控制數據管轄權,供應商提供儲存數據地點的選擇,能否符合你的需求。
  8. 數據匯出 – 有否提供方便的方法讓用戶隨時匯出所需的數據,匯出設施最好能夠有定時和自動化功能。

給商業用戶的指引

對於使用雲端儲存服務作為資料備份用途的商業用戶,我們中心有以下的建議:

  1. 資料分類 – 要先將會備份上雲端儲存服務的檔案分類,如當中含有機密及敏感資料,可能需要進一步處理 (如:加密)才上傳。
  2. 存取控制政策 – 先將需要存取的用戶分類並分配不同的儲取權限。
  3. 版本控制 – 請保留最少七天的備份版本,如可能請保留一個月。
  4. 加密保護 – 對於機密及敏感資料請先加密才備份到雲端儲存服務。
  5. 檢查是否需要執行數據管轄權。
  6. 計劃數據轉移 - 應先計劃好當停用或轉換雲端供應商時所需要的數據轉移方法。

給個人用戶的指引

個人用戶可以利用雲端儲存放置不同類型的資料,包括個人通訊錄 (如:Gmail,Yahoo電郵),行事曆 (如:Google 日曆),相片和多媒體數據(如:Flickr,Picasa)及一般的數據(如:Dropbox,Google Drive,Amazon CloudDrive)。以下是一些保安提示:

  1. 保護的靜止數據
    • 用戶應小心地規劃那些數據需要存放在雲端儲存。敏感的數據須有真正的需要,方可存到雲端,若然,數據仍應使用較強的加密標準如 AES-128 及 AES-256 來加密檔案後才上傳到雲端。
  2. 保護移動中的數據
    • 在雲端儲存上傳及下載數據時,應使用已加密的通訊渠道(如:SSL或SSH)。
  3. 自動數據同步的保安措施
    • 如使用者安裝了客戶端程式(桌面客戶端或手機客戶端)自動同步桌上電腦(或手機)上的數據到雲端,你應該:
      • 確認客戶端同步資料夾內祇存放欲與雲端儲存交換的檔案。
      • 確保客戶端程式是經官方網站下載。
      • 如客戶端程式有提供,應該啟動加密本機檔案的功能(如:Wuala, SpiderOak)。
      • 謹慎處理文件的更改和刪除,因為從一個客戶端更改或刪除數據,將導致雲端儲存數據的改變,進而影響其他同步的設備。
    • 如使用者安裝了客戶端程式(桌面客戶端或手機客戶端)或設定網絡附加存儲(NAS)自動同步數據到雲端儲存,你需要:
      • 建立容量規劃,確保使用不會超越兩邊的磁碟空間限制。
      • 設定在數據傳輸發生錯誤或磁碟空間耗盡時,給用戶發出提示。
    • 大多數手機應用程式都會同步手機上的數據(檔案,相片和影片,短訊,電郵,即時訊息,已安裝的應用程式及設定)到雲端,請確保沒有敏感資料被上傳。
  4. 驗證的保安措施
    • 如使用帳戶名稱和密碼作為雲端儲存服務的驗證,在不同的服務應該使用不同的帳戶名稱和密碼,萬一其中一個服務供應商出現數據洩露時,也不至於影響其他的服務。
    • 如使用 OpenID(登入一個OpenID身份提供商,例如 Google 或Facebook)進行多個雲端儲存服務的驗證,應該使用較強的驗證方法。我們建議使用兩步驗證,有一些OpenID 身分供應商(如:Google,Facebook,Twitter)支援。
  5. 存取控制的保安措施
    • 如用戶有需要將檔案,相片及其他數據分享給朋友或家人,請明確授予有關帳戶適當的訪問權限,而不是提供一個隱蔽的分享連結,因為隱蔽的分享連結不提供任何保密性,任何人只要知到這個連結就能夠瀏覽相關的數據,不受任何控制。
    • 要分享數據時,最好用檔案分享方法而不是分享整個資料夾。
    • 要分享數據時供給一組的成員時,最好給每一組員設獨立帳戶,而不應全組成員分享同一個。

雲端數據存取設備的安全

大多數用戶使用瀏覽器或流動應用程式訪問雲端中的數據。

  1. 確保瀏覽器的安全:
    • 確保瀏覽器和插件都安裝了最新的保安修補程式,你可以利用以下免費工具 Qualys 的瀏覽器檢查器。
    • 訪問雲端存儲網站的時候,請檢查SSL數字證書的有效性。
    • 設置瀏覽器不存儲密碼。
    • 完成存取後立即登出。
  2. 大多數流動應用程序儲存登錄的憑據並能自動登錄的雲端存儲服務。流動裝備遺失或被竊意味著不法份子可能得以訪問雲端的數據。我們建議:
    • 請開啟遠端抹除裝置功能,並使用螢幕鎖密碼,保障當手機遺失時不會給第三者登入,如手機被盜時應立即利用遠端抹除裝置功能清除手機上所有資料。
    • 不要使用自動登入功能,避免手機遺失時給第三者直接登入雲端儲存服務。
    • 儘量不要保留已下載的檔案,如有需要請對手機進行密碼。

雲端儲存服務的急速發展,所提供的服務也不停在變,用戶應多了解自己所應用的服務,及保持留意雲端儲存服務的相關事故,選擇最合適的服務避免數據事故。

 

相關資料
雲端服務用戶的備忘事項|雲資訊入門網站
http://www.infocloud.gov.hk/home/9?lang=tc