云存储安全

什么是云存储安全

云存储安全是指保护存储在 Google Drive、Dropbox、OneDrive、iCloud、Amazon S3 等云存储服务中的数据免受未授权访问、泄露和丢失的全面措施。

云存储虽然非常便利，但数据存储在自身管理范围之外的外部服务器上，因此需要与本地部署（自有服务器）不同的安全考量。“存放在云端的数据是安全的”这种认知是危险的 - - 实际上，因云存储配置错误导致的数据泄露事故频繁发生。

云安全的责任由服务提供商和用户共同承担（共享责任模型）。提供商负责基础设施的物理安全和基础加密，用户负责访问控制、数据分类和加密设置。

云存储加密的类型

• 传输中加密（Encryption in Transit）：使用 TLS 加密设备与云服务器之间的通信。所有主流云存储服务均已支持。可防止通信路径上的窃听。
• 静态加密（Encryption at Rest）：加密存储在云服务器上的数据。Google Drive、Dropbox、OneDrive 均在服务器端应用 AES-256 加密。但由于加密密钥由提供商管理，提供商本身或针对提供商的法律要求可能导致数据被访问。
• 客户端加密：在将数据上传到云端之前，在用户设备上进行加密。由于只有用户持有加密密钥，即使提供商也无法查看数据内容。可通过 Cryptomator 或 Boxcryptor 等工具实现。
• 端到端加密（E2EE）：客户端加密的一种形式，只有发送方和接收方能够解密数据。Tresorit 和 Proton Drive 默认提供 E2EE。基于零知识证明的概念，提供商完全无法知晓数据内容。

对于安全要求较高的数据，建议选择支持客户端加密或 E2EE 的服务。

访问控制与共享设置管理

大多数云存储数据泄露事故的原因不是加密被破解，而是访问控制的配置错误。

• 共享链接管理：“知道链接的人都可以访问”的共享链接虽然方便，但一旦链接泄露，数据就会暴露。对于机密数据，应使用指定特定账户的共享方式。为共享链接设置有效期和密码。
• 最小权限原则：为共享对象授予最低限度的权限（仅查看、可编辑、禁止下载等）。随意授予“编辑者”权限会产生数据篡改或删除的风险。
• 与 IAM 集成：在企业环境中，将云存储的访问控制与 IAM 集成，基于职位和部门应用基于角色的访问控制（RBAC）。与人事系统的联动也很重要，以防止离职员工的账户残留。
• 定期共享设置审计：定期审查过去共享的文件和文件夹的共享设置。项目结束后共享仍然保留的情况很常见。可在 Google Drive 的“与我共享”或 Dropbox 的“共享”标签中确认。

备份与数据保护策略

将云存储本身视为备份是危险的。云存储数据丢失的场景有多种。

• 账户被入侵：攻击者接管账户，删除或加密（勒索软件）数据。
• 误操作：用户误删文件，超过回收站保留期限（通常 30 天）后无法恢复。
• 同步问题：本地设备上的文件损坏同步到云端，覆盖正常文件。
• 服务终止：云存储提供商可能终止服务。

建议遵循 3-2-1 备份规则，将云存储的数据也备份到其他位置。具体来说，就是将云存储 A 的数据也保存到云存储 B 或外置硬盘中。

在企业环境中，通常使用专用的云存储备份服务（如 Backupify、Spanning Backup 等）自动备份 Google Workspace 或 Microsoft 365 的数据。利用版本历史功能，确保文件可以恢复到勒索软件加密之前的状态也很重要。

常见误解

存放在大型云存储服务中的数据绝对安全

云提供商确保基础设施安全，但无法防止因访问控制配置错误、账户被入侵或用户误操作导致的数据泄露和丢失。基于共享责任模型，用户端的配置和运营不可或缺。

保存到云存储就不需要备份了

云存储是同步服务，而非备份服务。本地的误删除或勒索软件加密会同步到云端，导致数据丢失。应遵循 3-2-1 规则，在其他位置也保留备份。

相关术语