1. 引言
雲端運算代表運算領域嘅範式轉移，以最少嘅管理功夫提供按需存取共享資源。美國國家標準與技術研究院 (NIST) 將其定義為一種模型，能夠透過無處不在嘅網絡存取共享嘅可配置運算資源池。主要特徵包括按需自助服務、廣泛網絡存取、資源池化、快速彈性同可量度服務。三大主要服務模式係軟件即服務 (SaaS)、平台即服務 (PaaS) 同基礎設施即服務 (IaaS)。
2. 雲端計算的安全性
雲端計算嘅獨特架構，帶嚟咗有別於傳統計算模式嘅嶄新安全、私隱同信任挑戰。
2.1 主要安全挑戰
- Data Access Control: 確保只有授權方，包括服務供應商，能夠存取用戶數據。
- 共同責任： 定義及管理雲端供應商與客戶之間的安全責任。
- 安全多租戶： 為不同客戶提供安全且高效的虛擬化共享基礎設施分區。
2.2 Cloud Security Alliance 威脅
雲端安全聯盟 (CSA) 指出了雲端計算面臨的七項關鍵威脅：
- 濫用與惡意使用： 利用雲端資源進行惡意活動，例如發送垃圾郵件、散佈惡意軟件、DDoS攻擊或殭屍網絡命令與控制。
- 惡意內部人員： 源自雲端服務供應商組織內部的威脅。
- 數據丟失或洩漏： 未經授權存取、刪除或修改數據。
- 帳戶或服務劫持： 用戶憑證或服務介面遭洩露。
- 不安全的介面與API： 雲端管理介面嘅漏洞。
- 共享技術問題： 底層組件並非為多租戶環境中嘅強隔離而設計，令攻擊者可以針對其他客戶嘅數據。
- 未知風險概況： 缺乏關於誰共享基礎設施的透明度，以及對安全日誌（例如入侵日誌）的存取權限有限。
這些威脅被分類為： 被放大的傳統威脅 (1-5) 同埋 雲端特有威脅 (6-7) 利用雲端固有特性嘅威脅。
3. 雲端計算中的隱寫術
隱寫術，即於看似無害的載體中隱藏資訊的技術，在雲端環境中構成一個強大的威脅媒介。它可用於數據外洩、協助發動網絡攻擊，或促進惡意方之間的隱蔽通訊。理想的載體應具普及性（其使用不會顯得異常），且為嵌入隱寫信息而對其作出的修改，對不知情的第三方而言是難以察覺的。
3.1 隱寫載體要求
在雲端環境中尋找合適的載體至關重要。先進互聯網服務的擴展提供了眾多潛在載體，例如虛擬機器映像檔案、雲端實例之間的網絡流量模式、儲存元數據或API呼叫時序。載體必須能無縫融入正常的雲端操作中。
3.2 場景分類
本文根據隱寫訊息接收者嘅位置引入一種分類方法：
- 內部對外部： 從雲端內部向外部實體進行隱蔽數據外洩。
- 內部對內部： 同一雲端環境內兩個實體（例如虛擬機器）之間的隱蔽通訊。
- 外部對內部： 從外部傳入雲端基礎設施的隱蔽指令或數據。
這些情境突顯出，在設計安全雲端服務時必須考慮隱寫術威脅。
4. 核心洞察 & Analysis
5. Technical Details & Mathematical Models
隱寫技術嘅成效通常取決於其不可檢測性同埋容量。分析隱寫系統 $S$ 安全性嘅常用模型，係基於載體 ($P_C$) 同隱寫對象 ($P_S$) 嘅概率分佈之間嘅 Kullback-Leibler 散度 ($D_{KL}$)，該系統將訊息 $M$ 嵌入載體 $C$ 以產生隱寫對象 $S$。
$D_{KL}(P_S || P_C) = \sum_{x} P_S(x) \log \frac{P_S(x)}{P_C(x)}$
理論上，要達到完美安全性，$D_{KL}(P_S || P_C) = 0$，即隱寫對象喺統計上同載體無法區分。喺雲端環境中，載體 $C$ 可以係虛擬機之間網絡封包嘅到達間隔時間、動態分配儲存區塊嘅大小，或者容器嘅 CPU 使用模式。攻擊者嘅目標係喺嵌入資訊嘅同時，盡量減細呢個散度。
另一個關鍵指標係嵌入率或容量 $\alpha$，通常係相對於載體嘅大小來定義：$\alpha = \frac{|M|}{|C|}$，其中 $|M|$ 係隱藏訊息嘅長度，而 $|C|$ 係載體媒介嘅大小或維度。
6. Analysis Framework & Example Case
情境： 透過網絡時序通道進行內部至外部數據滲透。
框架應用：
- 載體識別： 正常、允許的HTTPS流量，來自雲端企業虛擬機器至外部看似良性的網站（例如新聞網站）。
- 隱蔽通道： 連續 HTTPS 請求封包之間的時間間隔被調製。稍短的間隔代表二進制「0」，稍長的間隔代表二進制「1」。這些差異均在正常網絡抖動的範圍內。
- 接收端： 由攻擊者控制的外部網絡伺服器記錄封包到達時間。協作進程解碼時間序列，以重構外洩的數據（例如被盜取的憑證）。
- 偵測挑戰： 檢查封包內容的標準防火牆和入侵偵測系統（IDS）將不會發現任何惡意活動。流量分析可能只會顯示流向合法網站的一般流量。
框架內的緩解策略： 一套實施本文邏輯嘅雲端安全工具，唔會只係睇目的地同流量。佢會為虛擬機器建立行為檔案，包括其典型流量時序分佈。然後，佢會使用統計測試（例如Kolmogorov-Smirnov檢驗）來檢查呢個特定數據流嘅觀察時序序列，係咪顯著偏離咗該虛擬機器自身嘅歷史基準，或者偏離咗資源池中同類虛擬機器嘅基準，從而標記異常情況以供深入調查。
7. Future Applications & Directions
隱寫術與雲端計算嘅交叉領域，喺新興技術嘅推動下，正準備迎接重大演變：
- Serverless Computing (FaaS): 無伺服器計算（FaaS）中，函數具有短暫、事件驅動的特性，攻擊者可利用函數調用時機或冷啟動延遲作為載體，建立高度短暫且難以追蹤的隱蔽通道。
- AI/ML-Powered Steganography & Steganalysis: 生成對抗網絡（GANs），例如CycleGAN論文（"Unpaired Image-to-Image Translation using Cycle-Consistent Adversarial Networks"）中描述嘅類型，可以加以改造應用。一個網絡學習將數據隱藏喺雲端運算軌跡中，而佢嘅對抗網絡則嘗試檢測隱藏數據，從而催生出愈嚟愈穩健嘅隱藏技術。相反，深度學習模型對於檢測呢啲先進方法將至關重要。
- Quantum Cloud Computing: 量子雲嘅發展可能會引入量子隱寫協議，將資訊隱藏喺共享雲端資源嘅量子態中，帶來根本性嘅新挑戰。
- 軟件定義萬物（SDx）： 雲端中軟件定義網絡（SDN）、儲存同基礎設施嘅可編程特性，可能會被篡改以喺控制平面訊息或配置更新內建立隱蔽通道。
- 監管與合規重點： 未來法規（例如不斷演變的GDPR版本或特定行業規則）可能會要求雲端服務供應商證明其具備偵測及防止隱蔽數據外洩的能力，使這成為一項合規要求。
防禦重點可能會從純粹偵測轉向 trusted execution environments (TEEs) 例如 Intel SGX 或 AMD SEV，以及採用 零信任架構 假設網絡已遭入侵，並嚴格驗證所有通訊，不論其來源。
8. References
- Mell, P., & Grance, T. (2011). The NIST Definition of Cloud Computing. National Institute of Standards and Technology.
- Cloud Security Alliance. (2011). 《雲端運算關鍵領域焦點安全指引 V3.0》.
- Zhu, J., Park, T., Isola, P., & Efros, A. A. (2017). 使用循環一致性對抗網絡進行非配對圖像到圖像轉換. In Proceedings of the IEEE International Conference on Computer Vision (ICCV).
- Fridrich, J., & Kodovsky, J. (2012). Rich Models for Steganalysis of Digital Images. IEEE Transactions on Information Forensics and Security.
- Wang, Z., & Bovik, A. C. (2009). 均方誤差：愛它還是棄它？信號保真度度量新探. IEEE Signal Processing Magazine.
- Anderson, R., & Petitcolas, F. A. P. (1998). 關於隱寫術嘅極限. IEEE Journal of Selected Areas in Communications.
- Subramanian, N., & Jeyaraj, A. (2018). 雲端計算近期嘅安全挑戰. Computers & Electrical Engineering.
核心洞察
該論文的基本啟示是，雲端計算的核心優勢——資源池化、彈性與多租戶——正是其隱寫術的阿喀琉斯之踵。這些驅動效率的特性，恰恰為隱藏數據創造了一個完美、高容量且充滿雜訊的環境。傳統的邊界安全措施對這些隱蔽通道視而不見。正如 IEEE Transactions on Information Forensics and Security隱寫術嘅可檢測性同載體媒介嘅熵成反比；雲端嘅動態特性提供咗巨大嘅熵。
邏輯流程
作者正確追溯威脅演變：1) 雲端採用創造新攻擊面（APIs、共享硬件）。2) 標準威脅（數據洩漏）演變成更隱蔽形式。3) 隱寫術利用雲端流量嘅「正常性」。佢哋作出嘅邏輯飛躍——亦係關鍵所在——係唔按攻擊類型分類威脅，而係按 receiver location這將焦點從隱藏了「甚麼」轉移至它正「去往何處」，對於監控網絡流量的防禦者而言，後者更具可操作性。
Strengths & Flaws
優點： 情境式分類法務實而新穎。它超越了理論探討，為雲端安全架構師提供了一個實用的框架。將其與CSA威脅模型連結，更使其立足於行業實踐。
缺點： 該論文明顯缺乏 量化. 它敲响了警钟，但几乎没有提供关于这些隐蔽通道在真实云环境中普遍性或实际带宽的数据。在触发异常之前，你实际上能通过虚拟机镜像隐写术外泄多少数据？它也低估了机器学习在检测中的作用，这一领域已由诸如 "Steganalysis Using Deep Learning" 來自ACM電腦與通訊安全會議，可被用於對抗這些威脅。
可行動的洞察
對於雲端服務供應商：實施 behavioral baselining不僅僅係監測已知嘅惡意軟件，仲要為虛擬機器通訊模式、API調用序列同埋儲存存取節奏建立常態基準。呢啲模式中嘅異常，即使喺「允許」嘅流量之內，都可能係隱寫術嘅信號。
對於企業：要求透明度日誌超越存取嘗試，包含時間元數據同虛擬機器間流量分析。你嘅雲服務供應商嘅共同責任模型必須明確處理隱蔽通道風險。
對於研究人員：下一個前沿領域係 主動防禦. 我們能否像圖像隱寫術中使用的對抗技術一樣，在雲端環境中注入受控的雜訊，以破壞隱寫術所依賴的信噪比？這場遊戲不再僅僅是隱藏；而是關於操控載體環境本身。