統(tǒng)一安全管控之密鑰管理KMS-服務(wù)器運維
2020-05-08 19:13 作者：admin
統(tǒng)一安全管控之密鑰管理KMS-服務(wù)器運維
談到信息安全免不了要解決一個問題就是數(shù)據(jù)加密。加密就會涉及到密鑰相關(guān)的問題，比如密鑰的生成、傳輸、保存、泄露等問題。如何保護好密鑰的安全就成了信息安全的非常重要的一個部分。一、為什么要統(tǒng)一管控密鑰
談到信息安全免不了要解決一個問題就是數(shù)據(jù)加密。加密就會涉及到密鑰相關(guān)的問題，比如密鑰的生成、傳輸、保存、泄露等問題。如何保護好密鑰的安全就成了信息安全的非常重要的一個部分。某司員工將密鑰泄漏到開源網(wǎng)站導(dǎo)致重要數(shù)據(jù)丟失事件，君們還記得否?如果有完善的KMS系統(tǒng)這種情況很大程度上就可以避免了。
對于大部分沒有KMS管理系統(tǒng)的公司而言，密鑰本地化會導(dǎo)致密鑰分散在代碼、配置文件中。缺乏統(tǒng)一管理,造成開發(fā)、維護成本巨大，而且導(dǎo)致密鑰容易泄露。還有一部分公司采用硬件加密機來管理密鑰即HSM,全稱Hardware Security Module，這種方式管理密鑰安全性確實很高，但是因為各級密鑰都在HSM中管理所以成本過高。
采用軟硬件結(jié)合是比較好的方式，通過項目密鑰管理服務(wù)KMS輕松創(chuàng)建和管理密鑰,同時提供對密鑰的保護,避免密鑰泄漏。使開發(fā)者沒有必要投入大量時間和精力來保證密鑰的保密性、完備性和可用性。通過密鑰管理服務(wù),開發(fā)者在處理密鑰時會更安全、更方便簡單,這樣可以更集中時間精力去研發(fā)如何借助加解密功能來實現(xiàn)業(yè)務(wù)場景。
二、KMS設(shè)計
1. 密鑰分級
這里按密鑰作用劃分為三級：
· 數(shù)據(jù)加密密鑰(DEK):將用于數(shù)據(jù)加密的密鑰,也稱三級密鑰(DEK);一般公司里面一個應(yīng)用對應(yīng)一個DEK。
· 密鑰加密密鑰(KEK):保護三級的密鑰,也稱二級密鑰(KEK 即對DEK進行加密);一般公司里面一個部門對應(yīng)一個KEK，DEK在KEK管轄之內(nèi)。
· 根密鑰(RootKey):保護二級密鑰的密鑰，也稱一級密鑰(RootKey，即是對KEK進行加密)，根密鑰構(gòu)成了整個密鑰管理系統(tǒng)的關(guān)鍵。
2. 基本架構(gòu)
本文中的KMS由三大部分組成SDK、后臺服務(wù)、HSM。
SDK：主要提供給服務(wù)的使用者集成到自己開發(fā)的項目中,實現(xiàn)密鑰的創(chuàng)建、導(dǎo)入、啟用、禁用等相關(guān)密鑰管理和加密以及解密等常見操作。SDK分為:Client模塊、加解密模塊，主要負(fù)責(zé)提供簡單接口完成加密解密功能。
KMS服務(wù)：主要負(fù)責(zé)從硬件安全模塊獲取和保存根密鑰,并且安全地保存在后臺內(nèi)存中,然后通過密鑰的派生算法生成KEK進而生成DEK。分為，根密鑰加載模塊、密鑰派生模塊、Server模塊。
HSM：提供根密鑰生成和保管服務(wù)。
架構(gòu)圖描述：
根密鑰生成，為了生成根密鑰的保密性，由三個人分別輸入三段約定好算法的隨機因子到HSM中去生成根密鑰，非法讀取HSM中的根密鑰會導(dǎo)致HSM被破壞而不可用從而保護了根密鑰不被泄露。另外為了保存好根密鑰以備及時恢復(fù)，要將三段隨機因子分別保存到三個保險柜中。
為了防止根密鑰被泄露，根密鑰RootKey由密鑰管理服務(wù)KMS從硬件安全模塊即HSM中讀取,按照一定的分散算法打散存儲在內(nèi)存中。
開發(fā)者將SDK集成到自己開發(fā)的服務(wù)或者系統(tǒng)的代碼中,以實現(xiàn)只需要調(diào)用較為簡單抽象的接口就能夠使用密鑰管理服務(wù)的相關(guān)功能。SDK中進行加解密是為了防止業(yè)務(wù)方私自保存密鑰。Client模塊主要是負(fù)責(zé)SDK的Http請求相關(guān)的功能,加解密模塊則是負(fù)責(zé)SDK加解密相關(guān)的功能。
3. 運行功能
密鑰派生：
KMS中最為關(guān)鍵的模塊是密鑰派生模塊。根據(jù)用戶ID和隨機因子通過偽隨機函數(shù)派生出KEK或者DEK等密鑰。KMS杜絕明文持久化保存密鑰，派生出來的KEK通過Rootkey加密保存在數(shù)據(jù)庫，派生出來的DEK通過KEK加密保存在數(shù)據(jù)庫。
· 用戶調(diào)用KMS提供的SDK中的創(chuàng)建用戶數(shù)據(jù)密鑰接
· 用戶傳入用戶ID等必要信息(如果要創(chuàng)建KEK則傳入部門信息，如果創(chuàng)建DEK則傳入應(yīng)用信息)
· KMS服務(wù)器驗證請求
· 驗證通過,KMS服務(wù)器在該用戶名下創(chuàng)建新的密鑰并返回密鑰ID
密鑰加密(解密同理)：
· 服務(wù)調(diào)用方調(diào)用KMS提供的SDK中直接加密的接
· 服務(wù)調(diào)用方傳入用戶ID、密鑰ID、待加密明文
· KMS服務(wù)器驗證密鑰ID、用戶ID以及是否為用戶ID名下
· 驗證通過,KMS服務(wù)器返回DEK到SDK中
· SDK加密算法中對明文進行加密，并返回密文
三、推動業(yè)務(wù)方使用KMS
就算KMS再安全，業(yè)務(wù)方不愿意使用對于安全來說無疑也是掩耳盜鈴。
如何讓業(yè)務(wù)方愿意使用，需要技術(shù)和管理相結(jié)合去推動。管理上:自上往下推動，通過高管的支持通知業(yè)務(wù)方使用KMS以及講述使用KMS帶來的收益，并通過KMS管理規(guī)范約定不通過KMS來使用密鑰所承擔(dān)的責(zé)任。通過定期安全宣傳和培訓(xùn)從反面和正面去講述其中利害。技術(shù)上：定期進行專項檢查，通過代碼掃描查看代碼中存在的密鑰硬編碼，如果存在密鑰硬編碼則說明很有可能業(yè)務(wù)方自行創(chuàng)建保管密鑰;定期去大數(shù)據(jù)平臺進行掃描將個別字段傳入KMS加密接口查看返回密文跟數(shù)據(jù)庫中的密文對比，如果一樣說明采用了KMS加密，如果不一樣很有可能就是自行保管密鑰。
現(xiàn)有一切加密技術(shù)都是建立在密鑰破解時間很長的情況下，暢想下如果量子計算機出現(xiàn)了，幾秒鐘就能破解2048位的密鑰，那么現(xiàn)有的加密技術(shù)都將形同虛設(shè)。
相關(guān)文章
- [服務(wù)器服務(wù)]IT安全運維_幾個常見web漏
- [網(wǎng)絡(luò)服務(wù)]VLAN配置-網(wǎng)絡(luò)運維
- [網(wǎng)絡(luò)服務(wù)]LAN配置-網(wǎng)絡(luò)運維
- [辦公設(shè)備服務(wù)]復(fù)印機的準(zhǔn)備工作-辦公設(shè)
- [辦公設(shè)備服務(wù)]數(shù)碼復(fù)印機的優(yōu)點-辦公設(shè)
- [辦公設(shè)備服務(wù)]數(shù)碼復(fù)印機的工作原理-辦
- [網(wǎng)絡(luò)服務(wù)]查看設(shè)備狀態(tài)-網(wǎng)絡(luò)運維
- [辦公設(shè)備服務(wù)]登錄設(shè)備的廣泛應(yīng)用-網(wǎng)絡(luò)
- [網(wǎng)絡(luò)服務(wù)]通過Web網(wǎng)管切換到命令行
- [辦公設(shè)備服務(wù)]復(fù)印機分類-辦公設(shè)備
- [辦公設(shè)備服務(wù)]復(fù)印機常用功能-辦公設(shè)備
- [辦公設(shè)備服務(wù)]復(fù)印機發(fā)展史-辦公設(shè)備
IT電腦維護外包
關(guān)閉