“不含Oracle代碼”的Oracle云服務(wù)器使它更安全嗎？

本文對Larry Ellison聲稱的一種更優(yōu)秀的、“全然不同”的云架構(gòu)進行了更深入的分析。在9月份的Oracle OpenWorld大會上，Oracle聯(lián)合創(chuàng)始人兼首席技術(shù)官Larry Elliso...本文對Larry Ellison聲稱的一種更優(yōu)秀的、“全然不同”的云架構(gòu)進行了更深入的分析。在9月份的Oracle OpenWorld大會上，Oracle聯(lián)合創(chuàng)始人兼首席技術(shù)官Larry Ellison聲稱，Oracle的云服務(wù)器比包括AWS在內(nèi)的其他云提供商的云服務(wù)器來得更安全，原因是其專用服務(wù)器上只有客戶代碼，沒有用于管理云平臺的Oracle代碼。Ellison在舊金山舉辦的這次大會上發(fā)表主題演講時說：“專用基礎(chǔ)設(shè)施是今年的新品。它是一種專用、預(yù)留的資源池，是只有貴公司使用的機器。只有你這一個租戶，唯一的租戶。”他說，其他云提供商將自己的管理代碼放在服務(wù)器上，甚至放在不與其他客戶共享的專用計算機上。Ellison說：“你可能是該計算機上的唯一租戶，但你也與亞馬遜共享。亞馬遜可以看到你的數(shù)據(jù)，你可以看到亞馬遜的代碼。這兩個都是很糟糕的主意。你不應(yīng)該能夠訪問云控制代碼。亞馬遜不應(yīng)該能夠訪問你的數(shù)據(jù)。”Ellison說，Oracle有一種“全然不同的云配置”。他說：“以我們?yōu)槔?，你有一臺專用計算機，而我們的控制代碼在擁有不同內(nèi)存系統(tǒng)的另一臺計算機中。這形成了安全的隔離區(qū)域，因此威脅無法進入到云端。而且如果不懷好意的人憑信用卡進入，他無法離開其區(qū)域、進入到你的區(qū)域。”OpenWorld上宣布的Maximum Security Zones還沒有上市。Oracle安全產(chǎn)品營銷副總裁Fred Kost表示，這些僅包含客戶信息的云服務(wù)器將于明年上市。還推出了另一個架構(gòu)層面，Oracle聲稱使其云平臺具有獨特的安全性：使用第2層軟件定義網(wǎng)絡(luò)，該網(wǎng)絡(luò)允許用戶訪問服務(wù)器，無需在服務(wù)器上運行虛擬化代理。Oracle云基礎(chǔ)設(shè)施高級副總裁Clay Magouyrk在大會上的另一場演講中說：“我們是第一家提供裸機的公共云，我們將是第一家提供普遍性第2層網(wǎng)絡(luò)的公共云。”亞馬遜確認，它提供的專用服務(wù)器和裸機服務(wù)器上都有一層AWS代碼。AWS發(fā)言人說：“專用的租賃實例是只有客戶在使用硬件的實例，這有助于滿足合規(guī)和許可要求。裸機實例也是專用的——沒有其他客戶在使用硬件，客戶獲得硬件的全部資源，因為AWS網(wǎng)絡(luò)、存儲和安全虛擬化完全在一個單獨的Nitro系統(tǒng)上運行。”然而，在該客戶硬件上運行的AWS代碼與Ellison描述的不一樣。專用實例和裸機實例都“運行一層很薄的AWS代碼……但這不是管理工具。該層是低級的、非交互的，邏輯上與其他非客戶代碼沒有什么區(qū)別，比如固件、BMC、BIOS、內(nèi)存初始化以及系統(tǒng)上運行的控制器代碼。實際上，該層讓AWS得以驗證非客戶代碼未被惡意軟件破壞或替換。”AWS發(fā)言人說，Oracle的機器上也有固件，固件本身可能會帶來安全風(fēng)險。那么，Oracle的基礎(chǔ)設(shè)施是否在安全上比其他云提供商有任何顯著的改進？總部位于帕洛阿爾托的數(shù)據(jù)安全公司Vera的高級副總裁Ramon Peypoch說：“改進不大。”他說，第2層網(wǎng)絡(luò)也是如此。他說：“經(jīng)驗豐富的安全從業(yè)人員知道，任何服務(wù)器都可能被人鉆空子或被人破壞。”與此同時，希望獲得完全裸機服務(wù)器的客戶可以使用專業(yè)公司的產(chǎn)品，比如IBM的前SoftLayer基礎(chǔ)設(shè)施或Rackspace。許多數(shù)據(jù)中心提供商將與大型企業(yè)客戶合作，為它們提供所需的控制級別，使用此類服務(wù)的云供應(yīng)商Protegrity的產(chǎn)品和開發(fā)高級副總裁Dominic Sartorio如是說。他說：“我們自己在康涅狄格州斯坦福德市辦公室的街對面有主機托管設(shè)施——實際上，我們在全球各地都這么做。只要想一想外面的所有主機托管，所有托管的數(shù)據(jù)中心。你甚至可以拿來自己的裸機，他們會為你托管。”