Veiligheid in de ether

In 2006, toen Amazon de Elastic Compute Cloud (EC2) introduceerde, was het een keerpunt in de zoektocht om computergebruik te transformeren in een alomtegenwoordig hulpprogramma, zoals elektriciteit. Plots kon iedereen door een online menu scrollen, een creditcard tevoorschijn halen en zoveel rekenkracht inhuren als nodig was, en daarvoor een vast tarief betalen: aanvankelijk 10 cent per uur om Linux te gebruiken (en vanaf 2008 12,5 cent per uur om Windows te gebruiken). Die systemen zouden draaien op virtuele machines die in een oogwenk kunnen worden gemaakt en geconfigureerd en die net zo snel verdwijnen als ze niet langer nodig zijn. Naarmate hun behoeften groter werden, konden klanten eenvoudig meer kwartjes in de meters stoppen. Amazon zou zorgen voor gedoe zoals het onderhouden van het datacenter en het netwerk. De virtuele machines zouden natuurlijk in echte machines draaien: de duizenden zoemende, knipperende servers die zijn geclusterd in de datacenters van Amazon over de hele wereld. De cloud computing-service was efficiënt, goedkoop en even toegankelijk voor individuen, bedrijven, onderzoekslaboratoria en overheidsinstanties.

Maar het vormde ook een potentiële bedreiging. EC2 bracht iets naar de massa dat ooit voornamelijk beperkt was tot zakelijke IT-systemen: engineering waarbij Oz-achtige programma's, hypervisors genaamd, virtuele processors, netwerken en schijfstations creëren en besturen, waarvan er vele op dezelfde fysieke servers kunnen werken. Computerbeveiligingsonderzoekers hadden eerder aangetoond dat wanneer twee programma's tegelijkertijd op hetzelfde besturingssysteem draaien, een aanvaller gegevens kan stelen door een afluisterprogramma te gebruiken om te analyseren hoe die programma's geheugenruimte delen. Ze stelden dat dezelfde soorten aanvallen ook in clouds zouden kunnen werken wanneer verschillende virtuele machines op dezelfde server draaien.

Dit verhaal maakte deel uit van ons nummer van januari 2010

• Zie de rest van het nummer
• Abonneren

In de onmetelijkheid van een cloudomgeving leek de mogelijkheid dat een hacker zelfs de beoogde prooi op een specifieke server zou kunnen vinden, ver weg. Dit jaar gingen echter drie computerwetenschappers aan de Universiteit van Californië, San Diego, en één aan het MIT door en deden het (zie Snooping Inside Amazon's Cloud in de diavoorstelling hierboven). Ze huurden een aantal virtuele machines in om als doelwit te dienen en andere om als aanvallers te dienen - en probeerden beide groepen op dezelfde servers in de datacenters van Amazon te laten hosten. Uiteindelijk slaagden ze erin om 40 procent van de tijd kwaadaardige virtuele machines op dezelfde servers te plaatsen als doelwitten, en dat allemaal voor een paar dollar. Hoewel ze niet echt gegevens hebben gestolen, zeiden de onderzoekers dat een dergelijke diefstal theoretisch mogelijk was. En ze lieten zien hoe juist de voordelen van cloudcomputing - gemakkelijke toegang, betaalbaarheid, centralisatie en flexibiliteit - aanleiding kunnen geven tot nieuwe vormen van onveiligheid. Amazon benadrukte dat niemand EC2 met succes op deze manier heeft aangevallen en dat het bedrijf dat specifieke soort aanval nu heeft voorkomen (hoewel het begrijpelijkerwijs niet zou specificeren hoe). Maar wat Amazon niet heeft opgelost - wat nog niemand heeft opgelost - is het beveiligingsprobleem dat inherent is aan de grootte en structuur van clouds.

SNOOPING IN DE WOLK VAN AMAZON
Onderzoekers hebben onlangs een manier bedacht om kwaadaardige virtuele machines te plaatsen op de servers die virtuele machines hosten die zijn toegewezen aan beoogde slachtoffers in Amazon's Elastic Compute Cloud, waarvan ze zeggen dat het een aanvaller mogelijk zou kunnen maken om gegevens te stelen. Amazon zegt dit soort aanvallen sindsdien te hebben voorkomen en dat de dreiging van gegevensdiefstal slechts theoretisch was. Dit is hoe de onderzoekers het deden.
een. De onderzoekers huurden virtuele machines (VM's) van slachtoffers uit de cloud van Amazon en noteerden de IP-adressen van de machines. Ze kwamen erachter dat als ze meerdere VM's op bijna hetzelfde moment zouden kopen, die machines vergelijkbare IP-adressen zouden hebben, wat aangeeft dat ze waarschijnlijk op dezelfde server werden gehost.

Cloud computing - programma's en diensten die via internet worden geleverd - verandert snel de manier waarop we computers gebruiken ( zie Briefing, juli/augustus 2009 en Wolken, oplopend in bovenstaande diavoorstelling) . Gmail, Twitter en Facebook zijn bijvoorbeeld allemaal cloudapplicaties. Webgebaseerde infrastructuurdiensten zoals die van Amazon, evenals versies van leveranciers zoals Rackspace, hebben talloze zakelijke en institutionele klanten aangetrokken die aangetrokken werden door hun efficiëntie en lage kosten. De klantenkring voor de clouddiensten van Amazon omvat nu: de New York Times en Pfizer. En de browser van Google en het toekomstige besturingssysteem (beide Chrome genoemd) zorgen voor gemakkelijke toegang tot cloud-applicaties.

Zelfs traag bewegende overheidsinstanties komen in actie: de stad Los Angeles gebruikt Google's Apps-service voor e-mail en andere routinetoepassingen, en het Witte Huis heeft onlangs www.apps.gov om federale agentschappen aan te moedigen om clouddiensten te gebruiken. De luchtvaart, de detailhandel en de financiële sector zijn voorbeelden van bedrijven die kunnen profiteren van cloud computing, zegt Dale Jorgenson, een econoom van Harvard en expert op het gebied van de rol van informatietechnologie in nationale productiviteit. De focus van IT-innovatie is verschoven van hardware naar softwareapplicaties, zegt hij. Veel van deze toepassingen gaan razendsnel en cloud computing zal voor veel van deze mensen een geweldige faciliterende technologie zijn.

twee. Ze realiseerden zich dat om de kans te vergroten dat een kwaadwillende VM op dezelfde server als een slachtoffer-VM wordt geplaatst, ze een slachtoffer zouden moeten dwingen om op een bepaald moment een machine te huren. Een manier om dit te doen, zeggen ze, zou zijn om de website van het slachtoffer te bombarderen met verzoeken, waardoor het slachtoffer wordt gedwongen de capaciteit te vergroten.

Dit kan natuurlijk niet gebeuren tenzij cloudservices veilig worden gehouden. En dat zijn ze niet

zonder risico. Wanneer duizenden verschillende klanten dezelfde hardware op grote schaal gebruiken, wat de sleutel is tot de efficiëntie die cloud computing biedt, kunnen storingen of hacks voor velen verwoestend zijn. Tegenwoordig heb je deze enorme, gigantische cloudproviders met duizenden en duizenden bedrijven die erin samenkomen, zegt Radu Sion, een computerwetenschapper aan de State University van New York in Stony Brook. Als niet iedereen de cloud gebruikt, kun je geen goedkope service hebben. Maar als iedereen de clouds gebruikt, heb je al deze beveiligingsproblemen die je plotseling moet oplossen.

Cloud Crises

Cloud computing brengt in feite verschillende afzonderlijke maar gerelateerde beveiligingsrisico's met zich mee. Niet alleen kunnen opgeslagen gegevens worden gestolen door hackers of verloren gaan door storingen, maar een cloudprovider kan ook verkeerd omgaan met gegevens - of gedwongen worden deze op te geven als reactie op een dagvaarding. En het is duidelijk genoeg dat dergelijke inbreuken op de beveiliging niet alleen het spul zijn van academische experimenten. In 2008 dwong een enkel beschadigd bit in berichten tussen servers die worden gebruikt door Amazon's Simple Storage Service (S3), die online gegevensopslag per gigabyte biedt, het systeem enkele uren uit te schakelen. Begin 2009 kon een hacker die het antwoord op de persoonlijke e-mailbeveiligingsvraag van een Twitter-medewerker goed raadde, alle documenten in het Google Apps-account pakken dat de medewerker gebruikte. (De hacker stuurde er vrolijk een paar naar de nieuwsmedia.) Toen bracht een bug de deelbeperkingen in gevaar die waren gesteld aan de documenten van sommige gebruikers in Google Documenten. Onderscheidingen werden gewist; iedereen met wie u documenttoegang heeft gedeeld, kan ook documenten zien die u met iemand anders hebt gedeeld.

En in oktober raakten een miljoen smartphones van T-Mobile Sidekick gegevens kwijt na een serverstoring bij Danger, een dochteronderneming van Microsoft die voor de opslag zorgde. (Veel van de gegevens werden later teruggevonden.) Vooral met applicaties die via openbare clouds worden geleverd, is het aanvalsoppervlak zeer, zeer hoog, zegt Peter Mell, leider van het cloudbeveiligingsteam van het National Institute of Standards and Technology (NIST) in Gaithersburg, MD. Elke klant heeft toegang tot elke knop en widget in die applicatie. Als ze een enkele zwakte hebben, heeft [een aanvaller mogelijk] toegang tot alle gegevens.

3. Terwijl het slachtoffer nieuwe VM's inhuurde om aan de extra vraag te voldoen, huurde de aanvaller ook VM's in. Door IP-adressen te controleren, ontdekten de onderzoekers dat de slachtoffers en aanvallers 40 procent van de tijd op dezelfde Amazon-servers terechtkwamen.

Op dit alles is de algemene reactie van de cloudindustrie: clouds zijn veiliger dan wat u nu gebruikt. Eran Feigenbaum, directeur beveiliging van Google Apps, zegt dat cloudproviders beveiligingsbedreigingen veel effectiever kunnen voorblijven dan miljoenen individuen en duizenden bedrijven die hun eigen computers en serverruimten hebben. Ondanks alle hype over de Google Docs-glitch, wijst hij erop, had deze invloed op minder dan 0,05 procent van de documenten die door Google werden gehost. Een van de voordelen van de cloud was de mogelijkheid om snel en uniform te reageren op deze getroffen mensen, zegt hij. Het werd allemaal gecorrigeerd zonder dat gebruikers software hoefden te installeren, zonder serveronderhoud. Denk na over de manieren waarop beveiliging in traditionele omgevingen kan worden aangetast, voegt hij eraan toe: tweederde van de respondenten van één enquête gaf toe dat ze USB-sleutels kwijt waren geraakt, waarvan velen met privébedrijfsgegevens; in 2008 werden in de Verenigde Staten minstens twee miljoen laptops gestolen; bedrijven kunnen drie tot zes maanden nodig hebben om urgente beveiligingspatches te installeren, vaak uit angst dat de patches nieuwe glitches zullen veroorzaken. Je kunt geen 100 procent beveiliging krijgen en toch de bruikbaarheid beheren, zegt hij. Als u een perfect beveiligd systeem wilt, neem dan een computer, koppel deze los van externe bronnen, zet hem niet op een netwerk en houd hem uit de buurt van Windows. Sluit het op in een kluis.

Maar niet iedereen is zo optimistisch. Op een computerbeveiligingsconferentie afgelopen voorjaar noemde John Chambers, de voorzitter van Cisco Systems, cloud computing een beveiligingsnachtmerrie die niet op traditionele manieren kan worden aangepakt. Tijdens hetzelfde evenement zei Ron Rivest, de computerwetenschapper van het MIT die het RSA-algoritme voor openbare sleutelcryptografie uitvond dat veel wordt gebruikt in e-commerce, dat

de term zelf cloud computing kan beter worden vervangen door moeras computergebruik . Later legde hij uit dat hij bedoelde dat consumenten de luchtige beveiligingsclaims van de cloudindustrie onder de loep moeten nemen: mijn opmerking was niet bedoeld om te zeggen dat cloudcomputing echt 'moerascomputing' is, maar dat terminologie een manier heeft om onze percepties en verwachtingen te beïnvloeden. Dus, als we stoppen met het gebruik van de zin cloud computing en begon te gebruiken moeras computergebruik in plaats daarvan merken we misschien dat we veel nieuwsgieriger zijn naar de services en beveiligingsgaranties die 'swamp computing-providers' ons geven.

Vier. Toen de kwaadaardige VM's eenmaal op dezelfde server stonden als de VM's van het slachtoffer, konden de onderzoekers aantonen dat ze het gebruik van computerbronnen door het slachtoffer konden volgen. Ze zeiden dat regelrechte gegevensdiefstal ook mogelijk zou zijn, hoewel ze deze stap niet hebben genomen.
Bron: Ristenpart et al, 2009. Hé, jij, verlaat mijn cloud: onderzoek naar informatielekken in computerwolken van derden. In de Proceedings van de 16e ACM-conferentie over computer- en communicatiebeveiliging.

Een soortgelijk standpunt, zij het minder kleurrijk uitgedrukt, bezielt een nieuwe poging van NIST om te definiëren wat cloud computing is en hoe de beveiliging ervan kan worden beoordeeld. Iedereen heeft verwarring over dit onderwerp, zegt Peter Mell; NIST is aan zijn 15e versie van het document dat de term definieert. De typische clouddefinitie is zo vaag dat het alle bestaande moderne IT omvat, zegt hij. En het is problematisch om unieke beveiligingsproblemen weg te nemen. NIST hoopt dat het duidelijker identificeren van deze zorgen de industrie zal helpen om een ​​aantal gemeenschappelijke normen te smeden die gegevens veiliger zullen houden. Het bureau wil clouds ook interoperabel maken, zodat gebruikers hun gegevens gemakkelijker van de ene naar de andere kunnen verplaatsen, wat kan leiden tot nog grotere efficiëntie.

Gezien de snelle groei van de industrie, de duistere huidige beveiligingsnormen en de anekdotische verslagen van storingen, is het niet verwonderlijk dat veel bedrijven nog steeds argwanend kijken naar het idee om gevoelige gegevens in de cloud te plaatsen. Hoewel de beveiliging momenteel redelijk goed is, zullen cloudproviders hun betrouwbaarheid op de lange termijn moeten bewijzen, zegt Larry Peterson, een computerwetenschapper aan de Princeton University die leiding geeft aan een internettestbed genaamd het PlanetLab Consortium. De cloudprovider heeft mogelijk passende beveiligingsmechanismen, zegt Peterson. Maar kan ik er niet alleen op vertrouwen dat hij mijn gegevens tegen een derde partij zal beschermen, maar dat hij mijn gegevens niet zal misbruiken, en dat de gegevens er over vijf of tien jaar zullen zijn? Ja, er zijn beveiligingsproblemen die aandacht behoeven. Maar technologie op zich is niet genoeg. De technologie hier kan het comfort en het vertrouwen overtreffen.

Cloudinfrastructuur: Steeds meer computerdiensten worden via internet geleverd. Achter de technologie bevinden zich enorme externe datacenters, zoals deze twee gebouwen ter grootte van een voetbalveld die Google exploiteert in The Dalles, OR, die vier jaar geleden werden getoond tijdens de bouw ervan.

In een onopvallend datacenter in Somerville, MA, net buiten Boston, ligt een tastbare herinnering aan het wantrouwen waar Petersonis het over heeft. Het centrum is eigendom van een klein bedrijf genaamd 2N+1, dat bedrijven gekoelde vloeroppervlakte, beveiliging, elektriciteit en connectiviteit biedt. Op de eerste verdieping staat een verzameling van een tiental zwarte kasten vol servers. Vincent Bono, medeoprichter van 2N+1, legt uit dat deze eigendom zijn van zijn eerste klant, een nationale bank. Het koos ervoor om zijn eigen servers te behouden in plaats van een cloud te huren. En voor de veiligheid koos de bank voor het tastbare type: een stalen hek.

De cloud versleutelen

Cloudproviders hebben nog geen virtueel stalen hek om u te verkopen. Maar ze kunnen ten minste beloven uw gegevens op servers in bijvoorbeeld de Verenigde Staten of de Europese Unie te bewaren, om naleving van de regelgeving of om andere redenen. En ze werken aan virtuele muren: in augustus kondigde Amazon plannen aan om een ​​private cloudservice aan te bieden die zorgt voor een veiligere doorgang van gegevens van een bedrijfsnetwerk naar de servers van Amazon. (Het bedrijf zei dat deze stap geen reactie was op het onderzoek van de San Diego en MIT-groep. Volgens Adam Selipsky, vice-president van Amazon Web Services, was het probleem eenvoudigweg dat er een reeks klanten en een klasse van applicaties is die om nog betere beveiligingsniveaus dan onze bestaande services.)

Ondertussen zijn er nieuwe beveiligingstechnologieën in opkomst. Een groep van Microsoft heeft bijvoorbeeld een manier voorgesteld om te voorkomen dat gebruikers van één virtuele

machine op een server om informatie te verzamelen door het gebruik van gedeeld cachegeheugen door een andere virtuele machine op dezelfde server te monitoren, iets dat volgens de onderzoekers van San Diego en MIT mogelijk was. En onderzoekers van IBM hebben een nieuw soort beveiligingsmechanisme voorgesteld dat in wezen nieuwe virtuele machines zou fouilleren als ze de cloud binnenkomen. Software zou iedereen controleren om te zien hoe het werkt en de integriteit ervan te waarborgen, deels door de code te verkennen. Dergelijke technologieën kunnen binnen twee of drie jaar marktrijp zijn.

WOLKEN, OPSTIJGEND
Traditionele IT is complex om in te zetten en brengt hoge overheadkosten met zich mee...
Kostenverdeling
Bronnen: Merrill Lynch

Maar het volledig waarborgen van de veiligheid van cloudcomputing zal onvermijdelijk vallen op het gebied van cryptografie. Natuurlijk kunnen cloudgebruikers al gegevens versleutelen om te voorkomen dat ze worden gelekt, gestolen of - misschien vooral - worden vrijgegeven door een cloudprovider die wordt gedagvaard. Deze benadering kan echter problematisch zijn. Versleutelde documenten die in een cloud zijn opgeslagen, kunnen niet gemakkelijk worden doorzocht of opgehaald, en het is moeilijk om berekeningen uit te voeren op versleutelde gegevens. Op dit moment kunnen gebruikers deze problemen omzeilen door hun informatie ongecodeerd (in het openbaar) in de cloud te laten of het gecodeerde materiaal terug te brengen naar de veiligheid van hun eigen beveiligde computers en het te decoderen wanneer ze ermee willen werken. Praktisch gezien beperkt dit het nut van clouds. Als je echt alles moet downloaden en terugzetten naar de oorspronkelijke plaats voordat je die gegevens kunt gebruiken, is dat onaanvaardbaar op de schaal waarmee we vandaag geconfronteerd worden, zegt Kristin Lauter, hoofd van de cryptografie-onderzoeksgroep bij Microsoft Research.

Opkomende coderingstechnologieën kunnen echter gegevens in clouds beschermen, zelfs als gebruikers ernaar zoeken, het ophalen en er berekeningen op uitvoeren. En dit zou cloudcomputing veel aantrekkelijker kunnen maken voor sectoren zoals het bankwezen en de gezondheidszorg, die beveiliging nodig hebben voor gevoelige klant- en patiëntgegevens. Om te beginnen hebben verschillende onderzoeksgroepen manieren ontwikkeld om hiërarchische codering te gebruiken om verschillende niveaus van toegang tot gecodeerde cloudgegevens te bieden.

… maar cloud computing-services zijn zeer efficiënt, en dat is een van de redenen waarom ze snel groeien.
Wereldwijde IT-uitgavenprognoses, in miljarden
Bronnen: IDC

Een patiënt zou bijvoorbeeld een loper kunnen hebben van zijn of haar eigen elektronische medische dossiers; artsen, verzekeraars en anderen kunnen subsleutels krijgen die toegang geven tot bepaalde delen van die informatie.

In het ideale geval zouden we het praktischer maken om te werken met gevoelige gegevens die versleuteld moeten worden, zoals medische dossiers, zodat onbedoelde kijkers deze niet kunnen zien als ze worden blootgesteld door een hack of een storing bij de cloudprovider. Het algemene thema van cloud computing is dat je allerlei soorten functionaliteit wilt kunnen uitbesteden, maar je privacy niet wilt weggeven - en daarvoor heb je zeer veelzijdige cryptografie nodig, zegt Craig Gentry, een cryptografie-onderzoeker bij IBM. Watson Research Center in Yorktown, NY. Het gaat om cryptografie die ingewikkelder is dan we vandaag de dag gebruiken.

Totdat vragen over privacy en beveiliging zijn afgehandeld, blijven bedrijven clouddiensten reserveren voor de minst gevoelige taken.
Hoe openbare cloudservices worden gebruikt
Bronnen: 451 Groep

Om versleutelde documenten te vinden en op te halen, werken groepen aan de Carnegie Mellon University, de University of California, Berkeley en elders aan nieuwe zoekstrategieën die beginnen met het taggen van versleutelde cloudgebaseerde bestanden met versleutelde metadata. Om een ​​zoekopdracht uit te voeren, versleutelt de gebruiker zoekreeksen met behulp van wiskundige functies waarmee tekenreeksen overeenkomsten kunnen vinden in de versleutelde metagegevens. Niemand in de cloud kan het document of zelfs de gebruikte zoekterm zien. Microsoft Research heeft onlangs een theoretische architectuur geïntroduceerd die verschillende cryptografische technologieën zou samenvoegen om de versleutelde cloud beter doorzoekbaar te maken.

Het probleem van het manipuleren van versleutelde gegevens zonder deze te ontsleutelen, hield onderzoekers tientallen jaren bezig totdat Gentry begin 2009 een doorbraak maakte. Hoewel de onderliggende wiskunde een beetje dik is, omvat Gentry's techniek het uitvoeren van berekeningen op de versleutelde gegevens met behulp van een wiskundig object dat een ideaalrooster wordt genoemd. In zijn schema kan elk type berekening worden uitgevoerd op gegevens die veilig zijn versleuteld in de cloud. De cloud geeft vervolgens de berekende antwoorden vrij - uiteraard in versleutelde vorm - zodat gebruikers ze buiten de cloud kunnen decoderen. Het nadeel: het proces vreet enorme hoeveelheden rekenkracht op, waardoor het op dit moment onpraktisch is voor clouds. Ik denk dat je het moet herkennen voor wat het is, zegt Josyula Rao, senior manager beveiliging bij IBM Research. Het is net de eerste vlucht die de gebroeders Wright demonstreerden. Maar, zegt Rao, groepen bij IBM en elders werken eraan om Gentry's nieuwe algoritmen efficiënter te maken.

Risico's en voordelen

Als cloud computing veilig genoeg wordt om:

volledig benut worden, kunnen zich nieuwe en verontrustende problemen voordoen. Om te beginnen kunnen zelfs clouds die veilig zijn voor gewone hackers centrale punten van internetcontrole worden, waarschuwt Jonathan Zittrain, de medeoprichter van Harvard's Berkman Center for Internet and Society en de auteur van De toekomst van internet - en hoe het te stoppen? . Regelgevers, rechtbanken of overdreven overheidsfunctionarissen zouden ze kunnen zien als geschikte plaatsen om te reguleren en te censureren, zegt hij.

Bovendien zouden cloudproviders zelf klanten kunnen aanpakken als bijvoorbeeld auteursrechthouders druk uitoefenen om het gebruik van software voor het delen van bestanden te stoppen. Voor mij, zegt Zittrain, is het grootste probleem in cloudbeveiliging niet de Sidekick-situatie waarin Microsoft je gegevens verliest. Verontrustender voor hem is het toegenomen vermogen van de overheid om je spullen te krijgen, en minder grondwettelijke bescherming ertegen; het toegenomen vermogen van de overheid om te censureren; en een groter vermogen voor een leverancier of overheid om innovatie te controleren en echt ontwrichtende dingen te vernietigen.

Zittrain vreest ook dat als wolken ons gebruik van IT domineren, ze zouden kunnen veranderen in het soort ommuurde tuinen dat het internet kenmerkte in het midden van de jaren negentig, toen bedrijven zoals Compuserve, Prodigy en AOL beperkte menu's met online nieuwigheden zoals nieuws aanboden. , e-commerce en e-mail naar de hoi polloi. Als mensen eenmaal een cloud en applicaties hebben gekozen die ze leuk vinden, zegt hij, bijvoorbeeld Google Apps, hebben ze mogelijk beperkte toegang tot geweldige apps in andere clouds, net zoals Facebook-gebruikers niet kunnen netwerken met mensen op MySpace.

Maar dergelijke zorgen houden de opkomst van de cloud niet tegen. En als cloudbeveiliging wordt bereikt, kunnen de voordelen enorm zijn. Er is een enorme hoeveelheid computer- en databasebeheer waarbij cloud computing duidelijk relevant is, zegt Dale Jorgenson van Harvard. Stel je voor dat de opkomende online opslagplaatsen voor persoonlijke gezondheidsgegevens, zoals Google Health en Microsoft HealthVault, zouden kunnen aansluiten op het groeiende aantal elektronische dossiersystemen in ziekenhuizen op een manier die privégegevens te allen tijde beschermt. De resulterende medische megacloud zou bestaande applicaties goedkoop en efficiënt kunnen verspreiden naar alle hoeken van de medische wereld. Artsen kunnen bijvoorbeeld gemakkelijk MRI-scans van patiënten vergelijken met die van andere patiënten in het hele land, en zich verdiepen in enorme databases om de werkzaamheid van behandelingen en preventiemaatregelen te analyseren (zie Voorschrift: Netwerken, november/december 2009) . Het potentieel daar is enorm, omdat er in de nabije toekomst een aantal transformaties in de geneeskunde kunnen plaatsvinden uit enorme collecties medische dossiers, zegt Ian Foster, een computerwetenschapper die leiding geeft aan het Computation Institute van het Argonne National Laboratory en de University of Chicago . Hij wijst erop dat individuen tegenwoordig toegang vragen tot hun eigen medische informatie, terwijl medische instellingen nieuwe bronnen van genomische en andere gegevens zoeken. Die twee kunnen samen worden aangedreven door het op grote schaal delen van informatie, zegt hij. En misschien kun je het in de cloud doen. Maar het heeft bijzonder uitdagende beveiligingsproblemen.

Dit is niet de eerste keer dat een nieuwe informatietechnologie grote voordelen biedt en tegelijkertijd mogelijk ondraaglijke veiligheidsrisico's met zich meebrengt. De komst van de radio bracht een eeuw geleden soortgelijke problemen met zich mee, zegt Whitfield Diffie, een van de pioniers van public-key cryptografie, die nu gasthoogleraar is aan het Royal Holloway College van de Universiteit van Londen. Radio was zoveel flexibeler en krachtiger dan wat het verving - de telegraaf - dat je... had om het te adopteren om te overleven in zaken of oorlog. De vangst was dat radio door iedereen kan worden opgepikt. In het geval van radio vervingen snelle, geautomatiseerde coderings- en decoderingstechnologieën langzame menselijke encoders, waardoor het veilig genoeg was om zijn belofte waar te maken. Wolken zullen een vergelijkbare evolutie doormaken. Wolken zijn systemen, zegt Peter Mell van NIST. En bij systemen moet je goed nadenken en weten om te gaan met vraagstukken in die omgeving. De schaal is zoveel groter en je hebt geen fysieke controle. Maar we vinden dat mensen optimistisch moeten zijn over wat we hier kunnen doen. Als we slim zijn in het inzetten van cloudcomputing met een duidelijk idee van wat de risicomodellen zijn, kunnen we misschien kan daadwerkelijk de economie redden door middel van technologie.

David Talbot is Technologie beoordeling 's hoofdcorrespondent.

zich verstoppen