“不含Oracle代码”的Oracle云服务器使它更安全吗？

本文对Larry Ellison声称的一种更优秀的、“全然不同”的云架构进行了更深入的分析。在9月份的Oracle OpenWorld大会上，Oracle联合创始人兼首席技术官Larry Elliso...本文对Larry Ellison声称的一种更优秀的、“全然不同”的云架构进行了更深入的分析。在9月份的Oracle OpenWorld大会上，Oracle联合创始人兼首席技术官Larry Ellison声称，Oracle的云服务器比包括AWS在内的其他云提供商的云服务器来得更安全，原因是其专用服务器上只有客户代码，没有用于管理云平台的Oracle代码。Ellison在旧金山举办的这次大会上发表主题演讲时说：“专用基础设施是今年的新品。它是一种专用、预留的资源池，是只有贵公司使用的机器。只有你这一个租户，唯一的租户。”他说，其他云提供商将自己的管理代码放在服务器上，甚至放在不与其他客户共享的专用计算机上。Ellison说：“你可能是该计算机上的唯一租户，但你也与亚马逊共享。亚马逊可以看到你的数据，你可以看到亚马逊的代码。这两个都是很糟糕的主意。你不应该能够访问云控制代码。亚马逊不应该能够访问你的数据。”Ellison说，Oracle有一种“全然不同的云配置”。他说：“以我们为例，你有一台专用计算机，而我们的控制代码在拥有不同内存系统的另一台计算机中。这形成了安全的隔离区域，因此威胁无法进入到云端。而且如果不怀好意的人凭信用卡进入，他无法离开其区域、进入到你的区域。”OpenWorld上宣布的Maximum Security Zones还没有上市。Oracle安全产品营销副总裁Fred Kost表示，这些仅包含客户信息的云服务器将于明年上市。还推出了另一个架构层面，Oracle声称使其云平台具有独特的安全性：使用第2层软件定义网络，该网络允许用户访问服务器，无需在服务器上运行虚拟化代理。Oracle云基础设施高级副总裁Clay Magouyrk在大会上的另一场演讲中说：“我们是第一家提供裸机的公共云，我们将是第一家提供普遍性第2层网络的公共云。”亚马逊确认，它提供的专用服务器和裸机服务器上都有一层AWS代码。AWS发言人说：“专用的租赁实例是只有客户在使用硬件的实例，这有助于满足合规和许可要求。裸机实例也是专用的——没有其他客户在使用硬件，客户获得硬件的全部资源，因为AWS网络、存储和安全虚拟化完全在一个单独的Nitro系统上运行。”然而，在该客户硬件上运行的AWS代码与Ellison描述的不一样。专用实例和裸机实例都“运行一层很薄的AWS代码……但这不是管理工具。该层是低级的、非交互的，逻辑上与其他非客户代码没有什么区别，比如固件、BMC、BIOS、内存初始化以及系统上运行的控制器代码。实际上，该层让AWS得以验证非客户代码未被恶意软件破坏或替换。”AWS发言人说，Oracle的机器上也有固件，固件本身可能会带来安全风险。那么，Oracle的基础设施是否在安全上比其他云提供商有任何显著的改进？总部位于帕洛阿尔托的数据安全公司Vera的高级副总裁Ramon Peypoch说：“改进不大。”他说，第2层网络也是如此。他说：“经验丰富的安全从业人员知道，任何服务器都可能被人钻空子或被人破坏。”与此同时，希望获得完全裸机服务器的客户可以使用专业公司的产品，比如IBM的前SoftLayer基础设施或Rackspace。许多数据中心提供商将与大型企业客户合作，为它们提供所需的控制级别，使用此类服务的云供应商Protegrity的产品和开发高级副总裁Dominic Sartorio如是说。他说：“我们自己在康涅狄格州斯坦福德市办公室的街对面有主机托管设施——实际上，我们在全球各地都这么做。只要想一想外面的所有主机托管，所有托管的数据中心。你甚至可以拿来自己的裸机，他们会为你托管。”