10月25日，阿里云课堂第二期在上海开课，“云安全架构设计与实践”主题分享在众多朋友的期待下精彩上演，现场观众再次爆满。本次活动中，李雪峰（花名：虚舟）和杨孟哲（花名：孟哲）两位安全专家为大家献上了精彩演讲，并在OpenSpace环节与观众展开讨论，积极互动。应广大用户要求，我们将云课堂讲师现场分享内容全文整理出来，供大家参考。阿里云课堂会继续在全国各地陆续开课，欢迎大家继续支持！
以下为讲师李雪峰（虚舟）的分享内容：
一、背景介绍
这张图是飞天的体系结构介绍。整个的飞天系统，最基础的两大系统，盘古和伏羲。如果大家之前了解过这方面的资料，应该对这张图非常熟悉。飞天基础系统上承载着多个云产品，ECS/SLB、OSS、OTS、OSPS、包括ODPS的系统。安全机制在飞天及飞天承载的云产品中起着至关重要的作用。
主要的工作包括几个方面，一个是访问控制机制另一方面是安全沙箱。访问控制机制包括从盘古文件的访问、读取和认证机构，还有ODPS、OTS、OSS等系统基于飞天做，飞天会帮它们做所有上层的安全措施基础机制支撑工作。尤其是ODPS系统，其所有的访问控制机制和安全沙箱的系统，都是由飞天安全提供机制来支持的。
今天我们要讲的议题，首先会从攻击者的角度看一下云上的计算系统有哪些Attack Surfaces可以利用。然后看一下目前开源的产品，比较着名的产品从这个角度来看是如何解决安全问题的。以及linux系统提供了那些安全机制可供安全沙箱使用。最后，我们具体了解一下飞天安全沙箱的方案。
首先，我们看一下典型的云计算环境中，为支撑用户代码的运行，从上到下的结构。通常为了让用户代码能够执行高级语言，我们都会有一层高级语言的虚拟机，比如JVM，Cpython.我们以后有些系统会跑JS，这里对应的是V8.这些虚拟器通常是C语言来开发的，相对来说是一个独立的系统，再下一层是Libc的库，这个对应的是C语言的so.再往下一层是LinuxKernel.再往下其实还有，如果是说这个系统用的是虚机，往下还会有物理机，本次分享不讨论这个问题。对于这样的系统来说，如果User code的恶意代码，为了拿到Linux Kernel的root权限需要一步步的渗透。入侵者如果想要到达最终目标，首先要突破高级语言虚拟机的安全防护，比如Java的SecurityManager机制。不过根据最近几年的漏洞情况判断， JVM安全沙箱对入侵来说是并没有太大的难度，可以假定一定会被突破。通过JVM提供的Navtive调用，它可以直接调用到Libc.Libc对入侵者来说，主要目的是要拿到当前进程的权限。最后一层是Linux Kernel，我们在云计算平台上来说，跑用户代码的进程不会是root，大家想像一下也知道，root不会给最终用户区跑这个代码的。当入侵者真的通过前基层的安全防护机制，并成功攻破root权限，那么这台机器已经被他控制在手里了。我们可以想像一下，在云计算这样一个集群里面，我们通常来说会跑成千上万的实例，如果我们把这个实例数放到最大，这样的代码被执行完之后，是不是整个集群所有机器的权限都可以拿到了。这是非常可怕的事情。就算我们在某一方面可以控制用户提交数量，云计算平台上通常会使用相同一台机器同时处理多个用户，如果有一台机器被用户集权到root，上面的所有数据和密钥，对于入侵者来说都是可见的了。
接下来我们看一下，业内有一些做得比较好的安全产品，在安全方面沙箱方面如何解决的用户隔离问题。
首先我们看一下Docker目前使用哪些机制，这张图主要是使用了三个纬度，有两个纬度产生了LXC，使用了Namespaces，Namespaces它可以在多个方面实现一定的隔离能力。这个能力需要在2.6.x以后才能部分开始使用。Cgroups机制保证操作系统资源的合理管理。另外，Docker启用了AUSF的分层文件系统。传统文件系统，我们可以认为是纵向的文件系统，你写哪个文件，这个文件一直到硬件，而AUSF是可以进行叠加的。一层层的文件夹叠加，会映射成一个相同的文件夹。Docker里面，最下面的image用来做系统环境，中间会做APP，最上面是用户运行期的东西，这些东西会被Docker封装成一层层，实现了类似于集装箱式的部署能力。