云計(jì)算加密安全性之密鑰管理
cc 因云計(jì)算節(jié)可以省硬盤的存儲空間受到了大量用戶的喜愛，但是因?yàn)榘踩珕栴}又讓不少朋友對此又愛又恨。并且對于重要的敏感數(shù)據(jù)，我們好像并不傾向于保存在云計(jì)算中，因?yàn)楸绕鸱奖銇恚踩歉匾膯栴}。當(dāng)然對于云計(jì)算的安全問題， 專家們也在積極地尋求使用加密技術(shù)保護(hù)這類數(shù)據(jù)。但是，在某些情況下，也需要使用一些不同的方法和工具，尤其是對于加密密鑰管理而言。那么云計(jì)算密鑰管理也是非常重要的問題。
企業(yè)數(shù)據(jù)中心密鑰管理和云計(jì)算密鑰管理之間的主要區(qū)別在于密鑰的所屬權(quán)和管理。在傳統(tǒng)的數(shù)據(jù)中心內(nèi)，所有的密鑰管理功能和工具都是由一支內(nèi)部IT運(yùn)營團(tuán)隊(duì)來配置和維護(hù)的。而在云計(jì)算環(huán)境中，有可能采用的是一種密鑰共享模式或者是完全由供應(yīng)商管理和維護(hù)的。
云計(jì)算密鑰管理程序很大程度上取決于若干因素。在某些情況下，所使用云計(jì)算服務(wù)的類型將決定可用密鑰管理的類型。IaaS云計(jì)算為數(shù)字簽名虛擬機(jī)鏡像模板來維護(hù)內(nèi)部密鑰管理。使用公共密鑰基礎(chǔ)設(shè)施(PKI)用于API命令簽名和授權(quán)訪問虛擬機(jī)鏡像。在這種結(jié)構(gòu)中的私鑰需要由云計(jì)算消費(fèi)者來維護(hù)，這類密鑰可被保存在傳統(tǒng)密鑰管理平臺內(nèi)部。
對于PaaS和SaaS云計(jì)算服務(wù)模式來說，大部分密鑰管理功能都是由云計(jì)算供應(yīng)商內(nèi)部管理的，而用于訪問應(yīng)用程序和系統(tǒng)的私鑰都是可以被分配給消費(fèi)者以便于訪問數(shù)據(jù)、應(yīng)用程序或數(shù)據(jù)庫等云計(jì)算資源的。在公共密鑰部署中，密鑰管理和安全都是共享的，即密鑰分發(fā)給消費(fèi)者的控制權(quán)都在于消費(fèi)者本身。而其他所有的密鑰管理的責(zé)任則主要是由供應(yīng)商承擔(dān)的。
對于混合云計(jì)算，密鑰管理也很有可能是共享的，而私有云計(jì)算通常是在內(nèi)部網(wǎng)絡(luò)環(huán)境中配備密鑰管理工具和程序。
對于需要供應(yīng)商管理加密密鑰管理的云計(jì)算服務(wù)，企業(yè)用戶應(yīng)當(dāng)向供應(yīng)商對供應(yīng)商的密鑰管理安全程序和控制措施提哪些問題?
首先，服務(wù)供應(yīng)商應(yīng)當(dāng)闡明他們用于保存密鑰所使用的工具和產(chǎn)品類型。最重要的密鑰管理基礎(chǔ)設(shè)施包括：一個(gè)硬件安全模塊，或HSM，它可允許專用存儲設(shè)備以高性能密鑰訪問來執(zhí)行加密與解密操作。
其次，企業(yè)需要詢問云計(jì)算供應(yīng)商，密鑰是被誰以及如何被訪問的。理論上，密鑰管理不應(yīng)完全由單個(gè)人員掌控，任何的密鑰訪問都應(yīng)由內(nèi)部團(tuán)隊(duì)中兩個(gè)或以上的可信成員共同管理，同時(shí)還應(yīng)建立深入的審計(jì)憑據(jù)。
企業(yè)還應(yīng)當(dāng)詢問供應(yīng)商如何恢復(fù)密鑰。目前，很多供應(yīng)商都不允許在客戶的控制下恢復(fù)私鑰，但是如果今后他們允許了，那么他們應(yīng)當(dāng)嚴(yán)格控制恢復(fù)密鑰所涉及的程序以及對客戶請求恢復(fù)私鑰的審批。
最后，如果服務(wù)供應(yīng)商數(shù)據(jù)庫或應(yīng)用程序訪問要求多個(gè)密鑰訪問，那么應(yīng)當(dāng)詢問供應(yīng)商是如何維護(hù)控制措施和每個(gè)密鑰的分發(fā)，以及他們是如何確保密鑰是被正確地創(chuàng)建、管理、更新或銷毀的。
在一個(gè)理想情況下的多租戶環(huán)境中，每個(gè)組戶都擁有一個(gè)被共同管理的單獨(dú)密鑰。但是，很多供應(yīng)商所采用的架構(gòu)都涉及了多個(gè)密鑰(每個(gè)租戶有一個(gè)或多個(gè))，然后對內(nèi)部某個(gè)資源都有一個(gè)“訪問密鑰”。在這種情況下，任何主密鑰或“訪問密鑰”的管理都應(yīng)被嚴(yán)格控制和記錄，并附有任何訪問和與這些密鑰相關(guān)的詳細(xì)審計(jì)憑據(jù)。任何共享密鑰訪問都具有較大的風(fēng)險(xiǎn)，尤其是這一密鑰以任何的方式被泄露。
近期，NIST發(fā)布了一個(gè)關(guān)于云計(jì)算密鑰管理的內(nèi)部白皮書，其中主要涉及不同云計(jì)算服務(wù)模式中密鑰管理潛在風(fēng)險(xiǎn)和架構(gòu)解決方案的詳細(xì)信息。市場上正在不斷涌現(xiàn)許多新的產(chǎn)品和服務(wù)，以方便實(shí)現(xiàn)云計(jì)算中更安全的密鑰管理。
目前，云計(jì)算加密密鑰管理挑戰(zhàn)仍然是在云計(jì)算供應(yīng)商環(huán)境中保存敏感數(shù)據(jù)的一個(gè)主要障礙。但是，云計(jì)算供應(yīng)商和消費(fèi)者都已開始著手解決這個(gè)問題。不過隨著世間的推移，云計(jì)算密鑰管理也會越來越成熟，更加服務(wù)于大眾。
