هویت ‌identity و مدیریت دسترسی در محیط ابری : مکانیزم ها و چالش ها

چکیده ABSTRACT :رایانش ابری cloud computningیک سیستم پیچیده از ترکیب از دستگاههای شبکه های گوناگون است که با آن یک خدمات مورد نظر پشتیبانی می شود.معاری محاسبات ابری متکل از انواع مختلف سیستم های توزیع شده می باشد ک با طیف گسترده ای از اتصالات شبکه برای استفاده در سازمانها تشکیل شده است.سازمانها با توجه به مزایای که cloud computing دارند به سرعت به سمت استفاده از آنها می رند.مزایای Cloud Computing مانند : مقرون به صرفه بودن Cost effectiveness - مقیاس پذیری Scalability - قابلیت اطمینان reliability- و انعطاف پذیری Flexibility می باشداگرچه Cloud Computing برای استفاده کاملا امید،ارکننده است ولی در عین حال آسیب پذیری شدیدی دارد یعنی کاملا آسیب پذیر هستند. به انواع مختلف حملات شبکه و مسایل privacyحریم خصوصی ویژگی های مانند multi tenancy(چند اجاره ای ) و third parity مستلزم زیر ساخت ها در محیط ابری اهراز هویت identityو مدیریت دسترسی Access Management اشت.مشکلات دسترسی امن در ابر cloudبه منابع و اطلاعات توسط بسیاری از دانشگاهیان و پرسنل صنعت گزارش شده است.در این مقاله مسايل مربوط به احراز هویت، مدیریت دسترسی ، امنیت و خدمات در محیط ابری همراه با کنیک های حرفه ای برای غلبه و حل مشکلات مطرح شده است.معرفی :Cloud Computingترکیبی از منابع مختلف قابل تنظیم محاسباتی مانند شبکه ها، سرورها، ذخیره سازها، خدمات و برنامه های کاربردی که در ارایه دسترسی مناسب و طبق تقاضای کاربر کمک می کند. ابر رایانه ها در حال حاضر در بسیاری از زمینه های تجاری مورد استفاده قرار می گیرد. ارایه کنندگان خدمات ابری CSPs مسوول هویت و انواع دیگر از مدیریت در محیط ابری هستند. با این حال تعداد زیادی از حوادث نشت داده ها به علت vulnerabiities در سیستم های مدیریت هویت ( احراز هویت ) است.احراز هویت و مدیریت دسترسی ها IAMدر محیط ابری نگرانی بسیار مهمی برای پذیرش خدمات مبتنی بر ابر است. در حال حاضر مکانیسم مدیریت هویت که عمدتا CSP محور است که دسترسی کاربرات به موارد مورد نیاز را به سختی انجام می دهد.از محیط ابر بطور کلی بعنوان ابر خصوصی و ابر عمومی و ابرهای ترکیبی Hybrid/federedاست. ابر خصوصی طراحی و اختصاصی می باشد برای اختصاص داره به نیازهای یک سازمان خاص است.در محیط ابر عمومی ، پشتیبانی زیر ساخت به سازمانهای مختلف ، سهولت و مدیریت ارایه دهندگان parityمی باشد.مدل ابر عمومی نیز که بعنوان محیط عمومی دارای چندین استفاده کننده همزمان است که در این سازمانها پایین آوردن هزینه خدمات مدنظر است، زیرساخت های H/F ترکیبی از دو حالت در یک محیط است که بر روی چندین ارایه دهنده CSPمتکی است و برای تقسیم کار در محیط ابر است.Cloud Computingیک پلتفرم که شامل ۳ مدل اصلی ذیل تقسیم شده است.SaaS نرم افزار بعنوان یک سرویس software as a servicePaaS پلتفرم بعنوان یک سرویس Platform as a serviceLaaS زیرساخت بعنوان یک سرویس Infrastructure as a serviceابر براساس معماری سرویس گرا است که توانایی ارایه پایگاه داده بعنوان یک سرویس DBaaSدارد. رایانش ابری بهترین راه برای مدیریت منابع در صنعت و محیط دانشگاه است.سیستم های ابری به صورت طبیعی دسترسی کاربران دستگاه ها شبکه ها سازمان ها و منابع را صورت مکرر با قطع و وصل سیستم مدیریت می‌کند .بهترین گزینه برای مدل سرویس ابری از طریق تعدادی از عوامل است عوامل مهمی که در نظر گرفته می‌شود پذیری مقیاس پذیری و قابلیت اطمینان قابلیت همکاری و کنترل خدمات است استفاده از محاسبات انبوه احراز هویت و مدیریت مجوزها مکانیزمی برای برای تامین امنیت داده ها و منابع با توجه به پیچیدگی از استفاده آن ها استفقدان یک مکانیزم کارآمد که چالش های متعدد در محیط ابر است که شامل مدیریت حوزه مدیریت ریسک مدیریت اعتبارات رعایت امنیت داده ها حفظ حریم خصوصی شفافیت و نشت داده هاستهمچنین چالش مربوط به کنترل و شفافیت ذخیره سازی و پردازش اطلاعات کاربر توسط ارائه دهندگان سرویس ابری CSPs ها و یا خارج از مرزهای سازمانی استدر یک سیستم ابری ذخیره سازی و پردازش اطلاعات توسط سازمان و یا با کمک یک شخص ثالث شکل می گیرد ارائه دهندگان این خدمات بایستی اطمینان حاصل کنند که داده ها و برنامه های کاربردی ذخیره شده در ابر را محافظت می کنند و همچنین زیرساخت ها در یک محیط امن است علاوه بر آن کاربران نیاز دارند که بررسی کنند آیا دسترسی به اطلاعات امن است اگرچه استانداردها و بهترین شیوه برای غلبه ابر وجود داردارائه دهندگان سرویس های ابری با با مجموعه های به روز شده از استانداردهای امنیتی امنیت شبکه خود را تامین می‌کنند. هویت و مدیریت دسترسی یکی از بهترین شیوه برای اندازه گیری بر روی خدمات ابری است در حال حاضرIAM امنیتی موثر برای سیستمهای ابر فراهم می کند ، سیستم IAM انجام عملیات های مختلف برای تامین امنیت در محیط ابر که شامل دسترسی ، اختیارها ، ذخیره سازی و تایید است. سیستمIAM امنیت هویت و ویژگی های کاربران ابر را تضمین می کند که آیا افراد مجاز به اطلاعات دسترسی دارد.طبقه بندی امنیت خدمات ابر2) مکانیزم احراز هویت:احراز هویت از طریق تصویب یا پردازش یکentity از روی یکentity دیگر است و از این مکانیزم جهت تایید اطمینان از اینکه آیا فرد یا برنامه کاربردی واجد شرایط برای دسترسی و یاClaming است استفاده می شود.عملیات پردازش احراز هویت معمولا توسط یک نرم‌افزار و یا بخشی از یک نرم افزار صورت می‌گیرد. این مکانیسم حاوی اطلاعات و روش های تایید شده برای ورود به یک شبکه و احراز هویت است.متد های مختلف احراز هویت به شیوه های پسورد متنی ثابت 3D password object ، graphical password و biometric password و دستگاه‌های دیجیتال احراز هویت استانواع مکانیزم احراز هویت:1) physical2-1) مکانیزم های امنیتی فیزیکی:مکانیزم های امنیتی فیزیکی مانند کارت های دسترسی و امنیت بیومتریک از منابع ابر و یا عدم دسترسی از طریق احراز هویت استCSDs (مراکز ارائه دهنده داده های ابری) به دنبال ارائه سهولت در دسترسی به مشتریان خود در هر زمان از طریق این مکانیزم هستندCSD ها وظیفه ساماندهی به همه سرور ها شبکه ها و برنامه های کاربردی برای ارائه خدمات به کاربران با دسترسی ها در هر زمان و هر مکان را داردبه عنوان بخشی از مرکز امنیت داده ها کارت های دسترسی و بیومتریک که شامل: حسگر اثر انگشت شبکیه چشم ، تشخیص چهره ، تشخیص چاپ کف دست و . . . می توان استفاده کردبه منظور جلوگیری از نشت اطلاعات از خودی و یا هر دسترسی غیر مجاز مراکز داده ها ، امنیت فیزیکی همراه با سیاست های استفاده از آن مورد نیاز است2-2 ) مکانیزم های امنیت دیجیتال:2-2-1 ) اعتبار سنجی و کلید پوسته‌ امن : اعتبارسنجی وضعیت حقوق دسترسی کاربر به اطلاعات است. و برای آن کاربرد دارد که آیا کاربر خاص حق دسترسی به استفاده از منابع و خدمات را دارد یا نه ، استفاده از رمز یکبار مصرف ، الگو و کپچا راه های اعتبارسنجی در یک سیستم هستند امنیت سیستم را از فعالیت‌های مخرب در امان نگه می دارند و امنیت آن را تامین می کندشایع ترین مکانیسم مورد استفاده برای مدیریت اعتبارسنجی و دسترسی کاربر استفاده از پروتکل LDAP و AD استLDAP و AC سرور هایی هستند که توسط فروشندگان third parity مدیریت شبکه ها در یک رایانش ابری مورد استفاده قرار می گیردضعف این روش تنظیم مجدد اعتبار نامه که دارای مکانیزم های بازیابی رمز عبور هستند که هکرها می‌توانند با نظارت و یا دستکاری داده ها در ابر امنیت اعتبار نامه را به خطر بیندازند.Secure Shell : کلیدهایssh به شناسایی سرور ssh کمک می‌کند و بر اساس یک کلید استفاده می شودوضعیت کلید اصلی ssh احراز هویت به سرور است که بدون رمز عبور در شبکه صورت میگیرد2-2-2) احراز هویت چند عاملی:احراز هویت چند عاملی یکی دیگر از متدهای امنیتی برای استفاده معاملات و تراکنش های دیجیتال بر روی اینترنت استبه طور معمولOTP (رمز های یکبار مصرف) ، کپچا و الگو ها به عنوان احراز هویت ثانویه استفاده می شود به همراه اعتبار سنجی کاربردر معاملات آنلاین معمولاً یک کد یکتا در سرور به صورت یک بار مصرف ایجاد می گردد و از طریق شماره تلفن و یا ایمیل برای شخص ارسال می گردد نوع دیگرOPT ها یک سخت افزار/ نرم افزار است که جهت ایجاد یک شماره تصادفی و ایجاد کد توکن استفاده می شود که به آن PIN می گوینداز این کد میتوان یک بار استفاده کرد و در مدت زمان خاص آن را فعال نگه داشت کد های یکبار مصرف برای حفظ امنیت برنامه های تحت وب از نرم افزارهای مخرب استفاده می‌شودعمدتاً در وب از انتخاب تصویر استفاده می شود روش جایگزین برای تامین امنیت داده‌های دیجیتال استفاده از سوالات امنیتی می باشد که به صورت پیش فرض تعریف در لیست قرار دارد و از کاربر زمان ثبت نام پرسیده شده است2-2-3) chip & PIN :chip و pin معمولا متود ای برای امنیت معاملات مالی است. از این روش می‌توان برای امنیت ماشین ها/ سرویس ها در شبکه نیز استفاده کرددر این روش از تکنولوژی رمزگذاری نامتقارن با استفاده از کلید عمومی و خصوصی برای رمزگذاری و رمزگشایی صورت می گیردریزپردازنده های chip از طریق اطلاعات کاربر و کلید امنیتی به ایجاد داده های منحصر به فرد در برابر تقلب استفاده می شودبرای احراز هویت کاربر/ترمینال برای دسترسی به اطلاعات و صحت امضا و رمزگذاری در chip از کلیدpin استفاده می شود2-3) SSO & federation ( Single Sign One ):مکانیسم های تایید هویت معمولاً همیشه قابل استفاده برای احراز هویت از راه دور نیستند احراز هویت برای دسترسی به نرم‌افزارهای SaaS نیاز به یک مرکز مانیتورینگ مرکزی دارند که دسترسی به اطلاعات را محدود سازی نماید خدمات زیادی که عمدتاً به صورت مشترک به استفاده کنندگان از ابر می باشد نیاز به یک سیستم احراز هویت مرکزی استدر واقعsso یک سرور است که سرویس های وابسته به آن اعتماد کامل دارند و اگر این سرویس به دیگران بگوید که فلانی احراز هویت شده است و قابل اعتماد است سرویس های وابسته به کاربر مورد نیاز بدون نیاز به وارد کردن نام کاربری و رمز عبور امکان استفاده از امکانات اش را می دهد نمونه واقعی sso را در فیس بوک می توان مشاهده کرد و یا اگر شما اکانت مایکروسافت داشته باشید بدون وارد کردن نام کاربری می‌توانید mail خود را کنترل نمایید2-3-1) Enterprise sso :sso تجاری برای ذخیره سازی و انتقال اطلاعات در صفحات وب بر اساس اعتبار سنجی کاربر با کمک کوکی های رمزگذاری شده در هرsession استدسترسی های یک کاربر بر اساس یک سرور مرکزی کنترل می شود ، زمانی که یک کاربر به سرور مرکزی دسترسی ها متصل می شود sso یک کوکی رمزگذاری ابر گونه ایجاد می کند که برای حرکت یاnavigate کاربر استفاده می شود. پس از آن کو که کاربر منقضی می گردد ، کاربر مجدد برای دسترسی باید از سرور درخواست نماید2-3-2) OpenID:OpenID یک پروتکل دسترسی استاندارد باز می باشد که در آن کاربر به کمک RP دسترسی دارد به این صورت که دسترسی به وب سایت و نرم افزار نیاز به تایید کاربر نهایی داردopenID از سرویسSSO برای دسترسی اعتبار تکی به یک وب سایت و یا چند وب سایت استفاده می کند و وب سرویس های آن دسترسی پیدا می کند نسخه گذشتهOPENID تحت عنوانOIDC شناخته می شود که مخفف OpenID Connect می باشد که از پروتکل OAUTH منشا گرفته استOpenId مکانیزم دسترسی به اپلیکیشن‌هایNative و موبایلی را ساپورت میکند به طور کلیopenID یا همان شناسه آزاد یک سامانه Single Sign one است و با استفاده از آن تمامی کاربران وب از به خاطر سپردن شناسه های مختلف به همراه رمز عبور آنمقایسه مکانیزم های تائید هویت در محیط Cloud2-3-3) OAuth: یک روش جایگزین مکانیزم احراز هویت OAuth است که به عنوان احراز هویت یک طرفه و یا تصدیق دو جانبه برای رایانش ابری می باشدOAuth یک استاندارد باز است که به کاربران خدمات اینترنتی و وب سایت ها و یا برنامه های کاربردی اجازه می دهد اطلاعاتکاربرانشان را بدون دادن گذرواژه و نام کاربری ، به صورت امر با خدمات دیگر به اشتراک بگذارند توییتر از OAuth پشتیبانی می کند2-3-4) SAML : استانداردی برای ورود ورود تکی کاربری این استاندارد بر اساس مکانیزم استاندارد برای ارتباط بین دو عضو یا نماینده استاین استاندارد برای تضمین امن احراز هویت کاربران و این تضمین را می کند که کاربر به صورت امن به سرور متصل است یا خیرSAML تشکیل شده است از مرورگر تحت وبSSO و استاندارد سازی شده برای صفحات وب3) مکانیزم‌های مجوزهامجوزها یک متد برای دسترسی و یا مخالفت دسترسی یک کاربر به منابع است روند مجوز ها تصمیم می گیرد که آیا یک کاربر دسترسی به آن منبع دارد یا خیربا استفاده از مجوز ها در رایانش ابری می توان خدمات به یک کاربر را محدود و یا دسترسی به آن خدمت را در نظر گرفت همچنین می توان سطوح امنیتی بیشتری بر برای کاربر در نظر گرفت3-1 ) مکانیزم های کنترل دسترسی( Access Control mechanisms):3-1-1) کنترل دسترسی اجباری یا Mandatory Access Controlکنترل دسترسی اجباری که به اختصارMAC نیز نامیده می شود ، مدلی است ایستا که از یک سری سطوح دسترسی از پیش تعریف شده به فایل های روی سیستم تشکیل شده است . این سطوح دسترسی را مدیران سیستم تعریف می کنندو پارامترهای مربوط به آنها را نیز به یک حساب کاربری ، فایل یا منبع اطلاعاتی مرتبط می کنند. کنترل دسترسیMAC بسیار محدود کننده است .در یک مدلMAC مدیران سیستم منابع را تخصیص داده و فقط آنها هستند که توانایی اعمال تغییرات در سطوح دسترسی را دارند . کاربران به هیچ عنوان نمی توانند منبعی را به اشتراک بگذارند ، مگر اینکه قابلیت ایستایی برای به اشتراک گذاشتن منابع از قبل به آنها داده شده باشد . واژه مخفف شدهMAC ممکن است در بسیاری از اصطلاحات کامپیوتر اعم از آدرس سخت افزاری کارت شبکه که آن هم MAC نامیده می شود مورد استفاده قرار گیرد ، اما توجه داشته داشته باشید که همیشه در صورت بروز چنین مشکلاتی واژه کامل را به خاطر داشته باشید.مدل کنترل دسترسی MAC از برچسب یا Label برای تعیین حساسیت امنیتی که به اشیاء اعمال می شود استفاده می کند .زمانی که کاربری قصد استفاده از منبع اطلاعاتی یا شیی را دارد ، این برچسب مورد بررسی قرار می گیرد و بر حسب آن تعین می شود که آیا کاربر می تواند به این منبع اطلاعاتی دسترسی داشته باشد یا خیر. همیشه این کته را به خاطر داشته باشید که زمانی که حرف از کنترل دسترسیMAC می شود پشت سر آن مبحث برچسب یاLabel نیز بدون شک وجود خواهد داشت و شما می توانید این نکته را به عنوان الگوی شناسایی این نوع کنترل های دسترسی در نظر بگیرید . بعضا دیده شده است که به این نوع مدل کنترل دسترسیNon-Discretionary Access Control نیز گفته می شود.3-1-2) کنترل های دسترسی احتیاطی یا Discretionary Access Controlکنترل های دسترسی احتیاطی به اختصارDAC نیز نامیده می شود ، در این نوع مدل از کنترل های دسترسی این مالک منبع است که برای دیگران سطوح دسترسی را تعیین می کند . تفاوت اصلی بین MAC و ِ DAC استفاده از برچسب ها است که در MAC قطعا برچسب امنیت وجود دارد اما درDAC می تواند برچسبی وجود نداشته باشد . کنترل دسترسی DAC به کاربر این اجازه را می دهد که بتواند منابع اطلاعاتی خود را به اشتراک بگذارد و یا از منابع اطلاعاتی به اشترا گذاشته شده توسط دیگران استفاده کند. در این روش لیست کنتر دسترسی یاAccess Control List ای به وجود خواهد آمد که نمایانگر این است که چه کاربری ، چه نوع سطح دسترسی به این منبع اطلاعاتی خواهد داشت ، به اینگونه سطوح دسترسی ACL نیز گفته می شود . این قابلیت به مالک منبع این امکان را می دهد که بتواند به اشخاصی که می خواهد دسترسی لازم را داده و یا دسترسی را براحتی از آنها سلب کند . این مدل بسیار پویا است و ذاتا اجازه به اشتراک گذاشتن اطلاعات را به ساده ترین روش می دهد.3-1-3) Entitlement/Task based access control :3-1-4) کنترل های دسترسی بر اساس نقش یا Role-Based Access Controlکنترل های دسترسی بر اساس نقش به اختصارRBAC نیز نامیده می شوند ، این نوع کنترل های دسترسی به کاربر این اجازه را می دهند که بر اساس یک سری سطوح دسترسی از پیش تعیین شده برای یک نقش در سازمان بتواند به منابع دسترسی داشته باشد ، در این حالت هر شخص بر اساس نقشی که در یک سازمان ایفا می کند دسترسی های لازم را بدست خواهد آورد . معمولا این نقش ها تا حد زیادی با چارت سازمانی یک سازمان مطابقت دارد . در این نوع از کنترل های دسترسی کاربران یک نقش یا Role را در سازمان بر عهده می گیرند ، بر اساس نقشی که بر عهده گرفته اند عملیات ها و فعالیت های خاصی را می توانند انجام دهند و نمی توانند از این سطح دسترسی فراتر بروند. برای مثال نقشی در سازمان به عنوان فروشنده را تصور کنید ، یک فروشنده صرفا به اطلاعاتی می تواند دسترسی داشته باشد که برای نقش فروشنده در سازمان تعیین شده است .کاربران می توانند به اطلاعات مربوط به نقش خود در هر جای شبکه سازمان که باشند. دسترسی داشته باشند ، در همین حین نقش دیگری به نام مدیر فروش را در نظر بگیرید ، طبیعی است که این دو نقش تفاوت هایی در سطوح دسترسی خواهند داشت ، این مدیر فروش می تواند حتی به اطلاعات مربوط به نقش فروشنده نیز دسترسی داشته باشد و این در حالی است که فروشنده ب هیچ عنوان نمی تواند به اطلاعات مدیر فروش دسترسی داشته باشد .کنترل دسترسیRBAC بیشتر در مدیریت شبکه ها مورد استفاده قرار می گیرد .برای تهیه نسخه پشتیبان از اطلاعات موجود در هارد دیسک به دسترسی نسبتا کمی نیاز است ، این دسترسی را به یک نقش با عنوان اپراتور تهیه نسخه پشتیبان یا backup operator با دسترسی های مورد نیاز داده و بعد از آن به این شخص backup operator گفته می شود . این شخص صرفا به مواردی که برایش توسط نقش تعیین شده از پیش تعیین شده است دسترسی دارد .کنترل های دسترسی بر اساس قانون یاRule Based Access Control ، کنترهای دسترسی بر اساس مجوعه قوانین یا Rule Set Based Access Control ، کنترل های دسترسی بر اساس سازمان یا Organization Based Access Control و کنترل دسترسی Bell–LaPadula و Lattice Based از انواع جانبی مدل های کنترل دسترسی هستند که در مقاله ای جداگانه به آنها خواهیم پرداخت .5-1-3) Attribute based access control :3-2) Access Control goveranance :ارائه دهندگاه سرویس های رایانش ابری پالیسی هایی برای برای کنترل دسترسی در سیستم های IAM System جهت اطمینان قرار می دهند که تنها برای کاربرانی ست که دارای اعتبار برای دسترسی به منابع و اطلاعات هستند. به منظور دستیابی به اهداف هر سازمان CSP ها باید اطمینان حاصل کنند که سه ویژگی اصلی ذیل وجود داشته باشد :Governance و Risk Management and compliance و important characteristics3-2-1) Certification & risk score : صدور گواهینامه و رتبه ریسکصدور گواهینامه روند تائید ارتباط بین کاربران، نقش ها و منابع را بررسی و صحت ان را تائید می کند و هویت شخص در سازمان یا سیستم می باشد. سیستم بصورت خودکار در IAM هویت کاربر را تائید می کند و نسبت به صدور گواهینامه اقدام می کند . گواهینامه ها با حساب کاربر در ارتباط هستند.3-2-2) مدیریت چرخه عمر Life Cycle Management :مدیریت چرخه عمر فرآیندیست که در آن روند ایجاد حساب یک کاربر، حذف حساب، مدیریت حساب، تغییرات حساب، اعمال پالیسی و رفتار های کاربر در آن مدیریت و ذخیره می شود. سازمان ها نیاز به تعریف این سیستم برای کنترل رفتار های کاربران دارند تا در صورت بروز مشکل گزارش مورد نیاز را بررسی و به نتیجه مورد نظر دستیابند. نگهداری اطلاعات می تواند باعث بروز نشت اطلاعات گردد که در این صورت بایستی این فرآیند توسط حق دسترسی های لازم بررسی و اطمینان از امنیت صورت گیرد.3-2-3) تفکیک وظایف Segregation of duties :تفکیک مناسب یکی از اهداف ایجاد سیستم ها می باشد که در چارچوب سازمان بایستی باشد. در واقع یک یا چند مرحله از انجام یک فعالیت به یک کاربر تخصیص داده می شود که در این صورت کاربر دیگر حق دسترسی به آن فرآیند را نخواهد داشت مگر در صورتی که دسترسی برای آن کاربر ایجاد شده باشد. تفکیک وظایف هر کاربر توسط احراز هویت شخص تکمیل می گردد و در IAM مشخص می باشد.4) سیستم های مدیریت هویت و دسترسی Identity & access management systemsمدیریت هویت IAM قادر به انجام توابع مانند : مدیریت، کشف، تعمیر و نگهداری، اجرای سیاست، مدیریت، تبادل اطلاعات و احراز هویت است.IAM مدیریت برای تمامی برنامه ها و سیستم ها کاربر دارد و تائید هویت کاربر ، دستگاه یا خدمات توسط IAM برقرار می شودچهارچوبی برای مدیریت یکپارچه هویت‌های الکترونیکی در فرایندهای حوزه‌ی کسب و کارند که با استفاده از تکنولوژی‌های مدیریت هویت و مدیریت دسترسی قادرند فرایند ایجاد، نگه‌داری و مدیریت هویت کاربران و مجوزهای دسترسی مربوط به آنها را ارائه دهند.استفاده از این سیستم‌ها تضمین می‌کند که سطح دسترسی تمامی کاربران به منابع و سیستمها، منطبق بر سیاستهای امنیتی بوده و همه‌ افراد در هر لحظه به خوبی هویت‌سنجی، تائید و حسابرسی شوند. کنترل هویت کاربران و دسترسی‌ آنها به منابع گوناگون سازمان در راهکار IAM، بصورت متمرکز و پویا از طریق یک سامانه مدیریت خواهد شد.در نتیجه تنها "کاربران معتبر" قادر خواهند بود تا در "زمان مشخص" و به "دلایل موثق" به "منابع معین" دسترسی داشته باشند. این راهکار سازمان را قادر می‌سازد که با صرف هزینه کمتری، بتواند کاربران و منابع خود را با امنیت بسیار بالاتر و نظارت یکپارچه مدیریت کند.در حال حاضر سیستم های IAM مکانیزم کارآمد برای کاهش خطرات مرتبط با رایانش ابری می باشند. در عین حال سادگی در پیاده سازی، امن بودن اطلاعات و حصول اطمینان از کارایی IAM دلایل استفاده از IAM در رایانش ابری و سایر سیستم ها میباشد.5) تهدید امنیت در رایانش ابری Security threats in cloud environment :تکنولوژی رایانش ابری یک سیستم ظهور کرده است که قابل اطمینان برای ذخیره سازی اطلاعات و امن بودن داده ها است.حتی اگر از فرآیند های IAM نیز برای امنیت سیستم استفاده گردد باید مسائل امنیتی در خصوص امنیت داده ها کاملا بررسی و پیاده سازی گردد. گام اول از بین بردن خطرات عمده ای است که در رایانش ابری وجود دارد که می تواند نشت اطلاعات ذخیره شده و اشتراک اطلاعات موجود در رایانش ابری است.تهدید های امنیتی در رایانش ابری را می توان به حالت های ذیل تقسیم کرد:5-1) تهدید در زیرساخت های ابر Threats in cloud infrastructure5-1-1) امنیت داده ها Data Security :حفاظت اطلاعات در محیط ابری از نظر در دسترس بودن، صداقت و محرمانه بودن ضروری است. یکی از مکانیزم های امنیتی داده ها امکان رمز نگاری بر رودی داده ها است. مکانیزم رمز گذاری مستقیم یکی از اقدامات امنیتی می باشد که مستقیم با داده ها در تماس است.رمز گذاری ها معمولا دارای یک الگوریتم مشخص با استفاده از یک عدد تصادفی می باشد.داده های حساس از جمله جزئیات مربوط به کاربر، حساب کاربری، اطلاعات و امتیازات کاربر از جمله داده های حساس می باشد.5-1-2) ویروس یا بدافزار ها virus or malware :بدافزارها نرم افزار های مخربی هستند که عموما جهت قطع ارتباط با کامپیوتر معمولی استفاده می شود. نحوه کار این بدافزارها اینگونه است که به جمع آوری اطلاعات حساس پرداخته و یا دسترسی به داده های سیستم می پردازد. بدافزارها اقدامات علیه کاربر انجام می دهد و بسیار مخرب برای رایانش ابری است. معمولا مجرمان اینترنتی بدافزار ها را بایکدیگر به اشتراک گذاشته تا کاربران بیشتری این نرم افزارها را نصب و استفاده نمایند بدین ترتیب به اطلاعات بیشتری دست یابند.5-1-3) در دسترس بودن منابع Availability of resources :دردسترسی بودن منابع به سیستم ها و خدماتی که توسط یک نهاد از طریق مجوز به کاربر اعطا شده است اشاره دارد. در دسترس بودن بدین معنا است که در هر لحظه و هر زمان اطلاعات در دسترسی اشخاص مجاز باشد. در دسترس بودن بعنوان یکی از ضروریات یک رایانش ابری می باشد که شرکت های ارائه دهنده رایانش ابری با استفاده از این امکان تضمین استفاده از اطلاعات را برقرار می کنند.5-1-4) ماشین های مجازی و چند گانه Virtual Machine & Multitenancy :چند گانه یک سبک از رایانش ابری می باشد که در آن مشتریان متعددی از یک واحد یا نمونه یک نرم افزار استفاده می کنند.. در سیستم های ابری استفاده کنندگان بعنوان مستاجر و ارائه دهنده بعنوان فروشنده شناخته می شود. در رایانش ابری می توان بیش از یک مستاجر به داده ها دسترسی داشته باشد و هر شخص کاربرد خاص از آن را داشته باشد.5-1-5) Apts and malicious outsiders :تهدید مداوم پیشترفته APT یک نوع از حمله که در آن مهاجم یا دستاوردهای دسترسی یک فرد غیر مجاز به یک محیط ابری و مدت اقامت آن در شبکه طولانی مدت باشد است بدون آنکه شناسایی شود.هدف حمله Apt سرقت اطلاعات بجا و خسارت به شبکه یا سازمان می باشد. سازمان های هدف Apt معمولا مناطق دارای اطلاعات حساس می باشند مانند صنایع، دفاع ملی و صنعت، حوزه های مالی. Apt اطلاعات را از شرکت ها، دولت ها و افرادی که مورد هدف قرار دارند جمع آوری می کند و در زمان مورد نظر از آن استفاده می کند . Apt یک فاز جهت جمع اوری اطلاعات دارد و یک فاز برای مدل سازی تهدید، که در آن مهاجم شبکه یا سیستم هدف را به بهترین نحو از فعالیت جلوگیری کرده و سوء استفاده صورت می گیرد.5-2) تهدید در خدمات ابر Threats in cloud services :محیط ابر نه تنها شامل سخت افزار برای ذخیره سازی داده ها است بلکه شامل مسیر برای انتقال داده نیز می باشد. زیر ساخت ابر با استفاده از استانداردها و پروتکل های مختلف است که با حوزه های مختلف برای مقاصد خاص ایجاد می شود5-2-1) پروتکل ها و استاندارد ها Protocols and standards :مدل ارتباطی در اینترنت مدل TCP/IP است و از پروتکل ها و استاندارد های مختلفی تشکیل شده است. در رایانش ابری استانداردها و پروتکل های استانداردی وجود دارد که الزامات مورد نیاز برای ارائه خدمات بهتر می باشد که شامل : برنامه ریزی، ایجاد، عمل، پیاده سازی، بررسی و نظارت، بهبود می باشد.5-2-2) خدمات وب ابری Cloud web services :از محیط ابر برای انواع مختلف خدمات در برنامه های کاربردی تحت وب استفاده می شود. خدمات وب یکی از استانداردهای درگیر در ارائه خدمات وب استو در خدمات وب از پروتکل های مختلف برای انجام عملیات های مختلف بطور موثر استفاده می شود. زبان Xml و غیره برای انتقال داده ها، حلقه، پروتکل دسترسی به اشیا SOAP خدمات توصیف وب WSDL و غیره نشان داده می شود5-2-3) فناوری های وب web technologies :فناوری های وب سایت مکانیزیم است که اجازه می دهد بین یک وب سرویس و افراد در شبکه ارتباط برقرار شود، این تکنولوژی اجازه می دهداطلاعات سریع، بدون کاهش کیفیت از تعدادی دستگاه و سیستم به دستگاه و سیستم های غیر منتقل شود. فناوری های وب شامل روش های مختلفی برای افزایش بهره وری عملیات است. فناوری های درگیر در تکنولوژی وب پیچیده و متنوع هستند.شبکه های ابری می تواند از تکنولوژی های وب نیز تاثیرات مخرب دریافت نمایند. نقطه ضعف اصلی فناوری وب کاربرپسند نبودن آن است. بصورتی که برای استفاده از تکنولوژی های وب نیاز به کاربر با معلومات تخصصی و مهارت های خاص است.5-2-4) در دسترسی بودن خدمات Availability of services :مراکز ارائه دهنده داده ها با استفاده از تعداد زیادی سرور که خدمات پشتیبانی را میزبانی می کنند تشکیل شده استو به منظور حمایت از این خدمات یا مقدار زیاد از انتقال داده ها نیاز به لینک های اینترنت با سرعت بالا می باشد با پهنای باند بالا. که در این صورت انواع مختلف حملات امنیتی نیز می تواند رخ دهد که در دسترسی بودن یک سرویس را با چالش روبرو کند مانند حملات DDos ، Dos حملات تقویت شده، انعکاس و غیره . در واقع این حملات بار سرویس را افزایش می دهند و موجب کند شدن و آسیب به سرور می شوند.6) تجزیه و تحلیل امنیتی در رایانش ابری Security analysis in cloud environment :6-1) MITM attacks :حمله( مرد میانی (اغلب با مخفف MITM و همچنین با عنوان حملهیbucket brigade یا گاهی اوقات با عنوان حمله ژانوس شناخته شده‌است) در رمزنگاری و امنیت رایانه شکلی از استراق سمع فعال است که در آن حمله‌کننده اتصالات مستقلی را با قربانیان برقرار می‌کند و پیام‌های مابین آن‌ها را بازپخش می‌کند، به گونه‌ای که آن‌ها را معتقد می‌کند که با یکدیگر به‌طور مستقیم در طول یک اتصال خصوصی، صحبت می‌کنند؛ در حالی که تمام مکالمات توسط حمله‌کننده کنترل می‌شود. حمله‌کننده باید قادر به استراق سمع تمام پیام‌های رد و بدل شده مابین دو قربانی و گذاشتن پیغام جدید که در بسیاری از شرایط درست کار کند، باشد. (برای مثال، حمله کننده‌ای با حوزه دریافت یک پیام Wi-Fi wireless access point، می‌تواند خودش را به عنوان یک مرد میانی جا بزند).6-2) Insider attacks :این نوع از حملات به شبکه سازمان توسط کاربران داخلی که دسترسی‌هایی به سیستم‌ها دارند صورت می‌گیرد. دانش این کاربران از شبکه های کامپیوتری به‌گونه‌ای است که می‌توانند به سیستم‌ها نفوذ کنند. به‌منظور جلوگیری از این نوع حملات امنیت لایه ۲ را تأمین کرده، تمرکز زیادی بر روی احراز هویت شود و امنیت فیزیکی به‌طور کامل تأمین شود، می‌توان از بسیاری از این حملات جلوگیری کرد.6-3) Password/Key compromise :6-4) Replay Attacks :این حمله بدین گونه صورت می‌گیرد که فرد حمله‌کننده داده‌های در حال انتقال را رهگیری کرده، آن‌ها را از روی سیم برمی‌دارد و پس از بدست آوردن اطلاعات مهم مانند نام کاربری و رمز عبور یا تغییر اطلاعات، آن‌ها را دوباره ارسال می‌کند؛ که معمولاً هم به وسیلهی جایگزینی بسته‌های IP صورت می‌گیرد مانند حمله رمزگذاری جریانی.6-5) Session/Cookie hijackings:به Cookie hijacking همچنین session hijacking یا سرقتcookie نیز گفته می شود.Cookie hijacking پروسه hack است که طی آن نفوذگر دسترسی غیرمجاز به اطلاعاتی محرمانه به شیوه ای تسهیل نشده توسط کاربر و یاsessionهای غیرایمن دست پیدا می کند.به طور مشخص cookie hijacking به معنی نفوذ و سرقت cookieهایی که شامل اطلاعات محرمانه جهت احراز هویت یا ارتباط با یک وب سرور راه دور نیاز است، می باشد.Cookie hijacking توسط نفوذگرها با استفاده از کامپیوتری بین یک node و سرور یا به وسیله ایجاد دسترسی به cookieهای ذخیره شده در کامپیوتر کاربر انجام می شود.همچنین یک نفوذگر از IP مسیریاب منبع یا packetهای IP جهت دسترسی غیرمجاز بین دو node در حال ارتباط استفاده می نماید. سپس packetهای محتوی cookie را به صورتیroute می کند تا پیش از رسیدن به مقصد از کامپیوترش عبور کنند.6-6) Guessing attacks :خوب اولین نوع حمله پسورد کرکینگ به نام حمله دیکشنری یا Dictionary Attack معروف است . وقتی صحبت از دیکشنری می شود یعنی شما یک فایل حاوی لغاتی دارید که بصورت معمول در هر زبان استفاده می شوند برای مثال اگر شما قرار است پسوردهایی را کرک کنید که مطمئن هستید کاربر آنها فارسی زبان است باید از فایل دیکشنری استفاده کنید که لغات و کلمات آن به زبان فارسی باشد تا احتمال کرک کردن پسورد برای شما بالا برود. این فایل که بعضا ممکن است شامل میلیون ها کلمه مختلف باشد در قالب ورودی به یک برنامه داده می شود و برنامه به ترتیب شروع می کند به کرک کردن پسورد مورد نظر ، تکنیک حمله دیکشنری هم تقریبا شبیه به Brute Force است که در ادامه در خصوص آن هم صحبت خواهیم کرد اما نکته اینجاست که معمولا حملات Brute Force دارای فایل پایگاه داده نیستند اما دیکشنری حمله ای است که ابتدا پایگاه داده خودش را بررسی می کند. این نوع حمله نمی تواند در سیستم هایی که از پسوردهای موقتی و لحظه ای استفاده می کنند ، استفاده شود. توجه کنید که مکانیزم کاری ساده است ، ما نوع الگوریتم رمزنگاری Hash پسوردی که داریم را تشخیص می دهیم ، برنامه بصورت تک تک تمامی لغات موجود در دیکشنری را به همان الگوریتم تبدیل کرده و سپس با Hash موجود مقایسه می کند و به محض مشابه بودن Hash ها پسورد را پیدا می کند.تکنیک Dictionary Attack در دو حالت قابل استفاده است ، در ابتدا همانطور که گفتیم برای خارج کردن پسورد Plaintext از حالت Cipher text یعنی از حالت رمزنگاری شده به حالت غیر رمزی ) و همچنین در زمانیکه شما می خواهید سیستم های احراز هویتی را دور بزنید و به یک سیستم Login کنید که معمولا Dictionary Attack در این حالت بصورت حدس زدن پسوردها انجام می شود که ما به آن Password Guessing هم می گوییم.6-7) Denial-of-Service attacks(Dos/DDos) :حمله منع سرویس (به انگلیسی: Denial of Service attack) (یا به اختصار DoS) در علم رایانه حمله منع سرویس یا حمله منع سرویس توزیع شده، تلاش برای خارج کردن ماشین و منابع شبکه از دسترس کاربران مجازش می‌باشد؛ در واقع هر حمله‌ای علیه دسترس پذیری به عنوان حمله منع سرویس تلقی می‌شود. اگرچه منظور از حمله DOS و انگیزه انجام آن ممکن است متفاوت باشد، اما به‌طور کلی شامل تلاش برای قطع موقت یا دائمی یا تعلیق خدمات یک میزبان متصل به اینترنت است.اهداف حمله DOS معمولاً سایت‌ها یا خدمات میزبانی وب سرور با ویژگی‌های مناسب مانند بانک ها، کارت‌های اعتباری و حتی سرورهای ریشه را هدف قرار می دهند. یکی از روش‌های معمول حمله شامل اشباع ماشین هدف با درخواست‌های ارتباط خارجی است به‌طوری‌که ماشین هدف، نمی‌تواند به ترافیک قانونی پاسخ دهد یا پاسخ‌ها با سرعت کم داده می‌شوند یا در دسترس نمی‌باشند. چنین حملاتی منجر به سربار زیاد سرور می‌شوند. حمله DOS کامپیوتر هدف را وادار به ریست شدن یا مصرف منابع اش می‌کند، بنابراین نمی‌تواند به سرویس‌های مورد نظرش سرویس بدهد و همچنین سیاست‌های مورد قبول فراهم کنندگان سرویس‌های اینترنتی را نقض می‌کنند.7) توصیه ها و بهترین شیوه:مدل های هویت و کنترل دسترسی مختلف با مقایسه و جنبه های امنیتی از هر مدل در مقاله بصورت مروری جامع قرار داده شده است که بعنوان بهترین سیستم IAM برای دانشگاهیان و پرسنل صنعت تجزیه و تحلیل شد.. همچنین استفاده از روش های احراز هویت و مجوز ها نیز بررسی شد.مواردی که باید در نظر داشته باشیم :· استفاده از یک مکانیز احراز هویت چند عاملی مانند احراز هویت بر اساس SSH، اعتبار نامه های سنتی و یا استفاده از Chip و احراز هویت بیومتریک· چارچوب ایجاد حساب کاربری متصل شده که با ارائه یک الگوریتم رمز نگاری مناسب در اختیار باشد.· استفاده از SSO برای سناریو های تحت وب، رمز گذاری شده و SAML· کنترل دسترسی منتبی بر نقش کاربر، استفاده از مدل RBAC در سازمانها· مدل ABAC برای اشتراک زیر ساخت های رایانش ابری8) نتیجه گیری:خدمات ابر مهمترین راه حل های دیجیتال است که به ارمغان می آورد، پایین آمدن هزینه های سرمایه گذاری و هزینه های عملیاتی از این تکنولوژی برای سازمان است. خطرات امنیتی و آسیب پذیری هستتند که باعث نگرانی عمده ای در تکنولوژی های ابری می شود.