在企業中(zhong)使(shi)用基于(yu)云的(de)HSM是安全好處與風險(xian)并存的(de)。專家Dave Shackelford在這里介紹了支(zhi)持(chi)和反對使(shi)用云HSM的(de)兩種聲(sheng)音。

SoftLayer于近(jin)期發布了(le)一(yi)(yi)款名為(wei)Cloud HSM的產(chan)品(pin)，這(zhe)是一(yi)(yi)個(ge)用于在(zai)云中確(que)保密(mi)鑰(yao)(yao)安(an)(an)全管理(li)(li)的工具。AWS也(ye)有(you)類(lei)似的產(chan)品(pin)，也(ye)就是CloudHSM，而微軟Azure用戶可以(yi)使(shi)(shi)用Azure Key Vault。密(mi)鑰(yao)(yao)管理(li)(li)是安(an)(an)全的一(yi)(yi)個(ge)重(zhong)要組成(cheng)部分，但是云存儲會帶來新的安(an)(an)全問題，例如訪問硬件(jian)安(an)(an)全模塊平臺，開發或暴露(lu)的接口(kou)和API，等等。在(zai)使(shi)(shi)用基(ji)于云的HSM之前，云服務供應商的客戶們(men)應當(dang)理(li)(li)解在(zai)云保存密(mi)鑰(yao)(yao)的好處和風險。此外，并(bing)不(bu)是所有(you)的HSM產(chan)品(pin)都具有(you)相同的安(an)(an)全性。

基于(yu)云HSM的好處

使用HSM的(de)(de)(de)好處多(duo)多(duo)，這與是(shi)(shi)否基于云并沒有多(duo)大(da)關系(xi)。這些系(xi)統通常都是(shi)(shi)專為滿(man)足(zu)要(yao)求(qiu)嚴格的(de)(de)(de)政府和(he)(he)法規標準(如FIPS 140-2)而設計(ji)的(de)(de)(de)，它們往(wang)往(wang)有強大(da)的(de)(de)(de)訪(fang)問(wen)控(kong)制和(he)(he)基于角色的(de)(de)(de)權限模式、支持(chi)快速加密運算和(he)(he)物理防篡改的(de)(de)(de)專用硬件以及用于訪(fang)問(wen)的(de)(de)(de)靈(ling)活(huo)API選項。

如果這聽上去很美以至(zhi)于難(nan)以相信(xin)其真實(shi)性，那么它只是(shi)(shi)可能而已(yi);HSM平(ping)臺(tai)的(de)安(an)裝和配置是(shi)(shi)非(fei)常(chang)困(kun)難(nan)的(de)，它要求較(jiao)多的(de)管理和運行(xing)開銷(xiao)，同時它也(ye)是(shi)(shi)異常(chang)昂(ang)貴的(de)。云(yun)中(zhong)的(de)HSM也(ye)通(tong)常(chang)是(shi)(shi)非(fei)常(chang)昂(ang)貴的(de)，但(dan)所需的(de)配置和開銷(xiao)較(jiao)少，這是(shi)(shi)因(yin)為云(yun)計算供應商是(shi)(shi)在他們的(de)數據(ju)中(zhong)心內維護物理設備的(de)。

從積(ji)極方面來看(kan)，使(shi)(shi)用(yong)HSM是保存加密(mi)密(mi)鑰(yao)和管理密(mi)鑰(yao)生命周期最使(shi)(shi)用(yong)的(de)安全措施，這(zhe)一點也(ye)同樣適(shi)用(yong)于(yu)云。目前，使(shi)(shi)用(yong)云HSM是任何具有較高(gao)合規性要(yao)求的(de)組織使(shi)(shi)用(yong)云服務(wu)的(de)標(biao)準做法。如(ru)果云供(gong)應商(shang)沒有提供(gong)這(zhe)些工具和功能，那么他(ta)們會失(shi)去(qu)來自(zi)于(yu)政府、財務(wu)和醫療保健(jian)客戶(hu)的(de)合同，因為(wei)這(zhe)些客戶(hu)都(dou)對所(suo)有密(mi)鑰(yao)材料有較高(gao)的(de)保護性措施要(yao)求。

使用(yong)基于(yu)云HSM的(de)唯一(yi)真正(zheng)選(xuan)擇就是(shi)對云中的(de)應用(yong)程序和(he)基礎設(she)施進(jin)行(xing)架構(gou)設(she)計以便于(yu)使用(yong)內部托管(guan)的(de)加密(mi)密(mi)鑰，當然理(li)想情況是(shi)在HSM平臺中。對于(yu)重(zhong)點關注性能和(he)可擴(kuo)展性的(de)企業用(yong)戶(hu)來說，這簡直是(shi)非常難使用(yong)和(he)不切實際的(de)。

基于云HSM的(de)缺(que)點

基(ji)于(yu)云(yun)HSM的(de)主要(yao)缺點有三。首(shou)先，它為(wei)云(yun)部署帶來了較多的(de)成(cheng)(cheng)本支(zhi)出，對于(yu)那些希望通過(guo)使用(yong)云(yun)來達到成(cheng)(cheng)本節省的(de)企業來說(shuo)，這就意味(wei)著難以接受(shou)。其次(ci)，管理HSM運行和(he)生命周期要(yao)求(qiu)使用(yong)專用(yong)資源和(he)進行整合，所(suo)(suo)以運行能(neng)力(li)也(ye)被證明是(shi)一個問題。最(zui)后，同(tong)時(shi)從安全性角度來說(shuo)，可(ke)能(neng)也(ye)是(shi)最(zui)重(zhong)要(yao)的(de)是(shi)安全團隊將(jiang)需要(yao)評估如(ru)何在HSM中(zhong)生成(cheng)(cheng)和(he)存儲密鑰(yao)(yao)。此外，一些HSM平(ping)臺和(he)服(fu)務供(gong)應商可(ke)為(wei)租戶提供(gong)在場(chang)外生成(cheng)(cheng)他們(men)自己密鑰(yao)(yao)以及之后將(jiang)生成(cheng)(cheng)密鑰(yao)(yao)倒入云(yun)HSM的(de)能(neng)力(li)。這通常就是(shi)所(suo)(suo)謂的(de)BYOK加密服(fu)務。

理(li)想(xiang)情況下，任(ren)(ren)何基于(yu)云(yun)的(de)(de)HSM都(dou)(dou)允許(xu)租戶(hu)通過(guo)內部(bu)HSM或其他工具集上(shang)(shang)傳和同步(bu)密鑰(yao)(yao)，它們也提供(gong)(gong)了豐富的(de)(de)API集和調(diao)試(shi)工具以實現(xian)快速收擴(kuo)和部(bu)署工作流程自動化。此(ci)外，從安全性角度(du)來看，內部(bu)HSM和基于(yu)云(yun)HSM的(de)(de)直(zhi)接連接可(ke)能(neng)是非常理(li)想(xiang)的(de)(de)，這是因為(wei)這種方式(shi)從根(gen)本(ben)上(shang)(shang)杜絕了云(yun)供(gong)(gong)應商(shang)(shang)工作人員看到(dao)密鑰(yao)(yao)數據的(de)(de)可(ke)能(neng)性。但是，這也意味著云(yun)供(gong)(gong)應商(shang)(shang)在(zai)發生(sheng)主(zhu)密鑰(yao)(yao)丟(diu)失或損壞(huai)情況下也無法提供(gong)(gong)恢復功能(neng);任(ren)(ren)何考慮使用BYOK選項的(de)(de)企(qi)業用戶(hu)都(dou)(dou)應當(dang)記住，所有的(de)(de)密鑰(yao)(yao)生(sheng)成(cheng)和生(sheng)命周期管理(li)的(de)(de)重擔現(xian)在(zai)也都(dou)(dou)落(luo)到(dao)了他們的(de)(de)肩(jian)上(shang)(shang)。

由于大(da)多數主要的(de)云(yun)供應商(shang)都在他們的(de)基礎設施即服(fu)(fu)務和平臺即服(fu)(fu)務云(yun)環境中(zhong)提供了HSM工具和服(fu)(fu)務，那么(me)這些系統的(de)應用在不久的(de)將來也(ye)會有所(suo)發展。但是(shi)，與大(da)多數安(an)全措施一(yi)樣，云(yun)HSM也(ye)不是(shi)包(bao)治百(bai)病的(de)靈丹(dan)妙藥，它需(xu)要認真規劃、實施和執行(xing)以便于真正達成(cheng)安(an)全好處(chu)。

文章編輯：CobiNet(寧波)  
本公司專注于電訊配件,銅纜綜合布線系列領域產品研發生產超五類，六類,七類屏蔽網線/屏蔽模塊及相關模塊配件, 我們是萬兆屏蔽模塊，10G屏蔽模塊，屏蔽線生產廠家。

歡(huan)迎來電咨(zi)詢0574 88168918,郵箱sales@aliance.cn，網址aliance.cn