自带密钥 (BYOK) 解决安全挑战

已发表: 2023-09-27

虽然云计算有许多优点，但安全性一直是一个缺点，因为数据仍然由云服务提供商 (CSP) 保留，并且不受该信息所有者的直接控制。 这意味着加密密钥安全对于选择这种数据保护方法的组织来说至关重要。

定义 BYOK：什么是“自带密钥”？

自带密钥 (BYOK) 本质上是一个管理系统，使企业能够加密其数据，同时保留控制和管理。 然而，一些 BYOK 程序会将加密密钥上传到 CSP 服务器。 在这些情况下，该公司再次失去了密钥的保管权。

应对这一“自带密钥”挑战的最佳实践解决方案是，组织通过高度安全的硬件安全模块 (HSM) 生成更强大的密钥，并管理将密钥安全导出到云端，从而改善其密钥管理流程。

打开包装自带密钥 (BYOK)：它是如何工作的？

自带密钥 (BYOK) 使企业能够保留对自己数据的加密凭据的控制，无论他们使用哪个云提供商来存储数据。 为此，必须采取以下步骤：

  • 云提供商使用云平台安全模块中的密钥管理器生成自己的数据加密密钥 (DEK)。
  • 该组织聘请第三方为这些 DEK 生成加密密钥。 由第三方提供的用于加密 CSP 的 DEK 的密钥称为密钥加密密钥 (KEK)。
  • KEK“包装”DEK，以确保只有维护 KEK 所有权和控制权的组织成员才能解锁 DEK 并访问 CSP 中包含的数据。 有时，此过程被称为“密钥环绕”。
  • 当寻找可以生产 KEK 并提供密钥包装的第三方时，组织通常有两种选择：
    • 硬件安全模块 (HSM) ：这些是昂贵的、高度安全的专用硬件组件，可能需要额外的工具和技术才能与云进行通信。
    • 基于软件的密钥管理系统 (KMS) ：这些应用程序位于标准服务器上。 采用基于软件的 KMS 的优点是适应性更强、管理更容易并且通常可以降低费用。
  • DEK 在加密和解密时可供用户使用，但密钥在使用后将从缓存中删除。 请记住，密钥永远不会长期存储。 相反，DEK 或 EDEK 被加密并与加密数据一起保留。

简而言之，BYOK 帮助公共云服务用户在自己的生态系统中生成加密密钥，并在他们选择的云服务器上轻松访问这些密钥来保持对这些密钥的控制。

BYOK 如何解决安全挑战？

安全经理和 IT 决策者有很多理由关心 BYOK，甚至在进行云投资时寻求它。

1. 遵守数据隐私法

2017 年和 2018 年，50 个国家颁布了新的隐私法。 欧盟的《通用数据保护条例》(GDPR) 希望企业确保消费者的个人身份信息 (PII) 的安全和保密。 当将 PII 转发给外部供应商（例如 SaaS 提供商）时，这些组织也对其安全负责。 BYOK 提供数据访问的可见性以及撤销数据的能力。

2. 通过扩展控制，轻松实现向云的文化过渡

当公司开始在云上存储数据时，安全性是首要考虑的问题。 BYOK 允许企业收回对其机密信息的控制权。 它将锁和钥匙系统分为两半，使公司能够使用自己的加密密钥程序并保留独立的权限。

这使组织能够安心无忧（只有授权人员才能访问其敏感数据。当公司首次实施云时，这一点尤其重要。它还允许他们没收来自个人或系统的加密密钥，不应该有访问权限。

3. 更好地为异构云环境做好准备

跨多个平台（例如数据中心、云或多云）管理许多加密密钥可能具有挑战性且耗时。 组织可以使用 BYOK 加密模型从单一平台处理所有加密凭证。

它通过提供一个用于创建、轮换和保存加密密钥的界面来集中管理密钥。 如果组织的数据位于多个云（多云）中，则可以将各个云的管理集中在一个管理员之下。

4. 添加另一层安全保障

这是拥有自己的密钥的最明显的优势。 通过将加密数据与其关联密钥隔离，BYOK 为机密信息创建了额外的安全层。 借助 BYOK，组织可以使用其加密密钥管理工具来存储加密密钥并确保只有他们有权访问，从而提高数据安全性。

5. 省钱，只要你有技术专长

BYOK 支持加密凭证的内部管理。 通过监督它们，组织可以停止为第三方供应商的关键管理服务付费。 然而，这排除了重复订阅和许可费用的可能性。

此外，BYOK 加密旨在使恶意行为者无法理解数据，例如黑客和冒充云管理员的人。 这可以间接降低与披露潜在敏感信息相关的成本。 反过来，这可以避免严重的合规处罚和收入损失。

顶级 BYOK 示例：Zoom 和 Salesforce

BYOK 正在迅速成为行业规范，而不是差异化因素。 除了所有主要的云提供商之外，SaaS 公司也纷纷加入这一行列。 事实上，大多数组织都喜欢携带自己的密钥，即使他们选择依赖 CSP 进行加密。

Zoom 推出了专为 AWS Key Management Service (AWS KMS) 客户保留的客户管理密钥产品。

其目的是满足银行、金融和医疗保健行业的监管需求。 医疗保健提供商必须遵守 HIPAA 规范，金融服务必须遵守 NY DFS、Gramm-Leach-Bliley 法案和其他法规。

Salesforce 还提供 BYOK 功能，作为 Salesforce Shield 的一部分，Salesforce Shield 是一套原生集成的安全服务。 它使用户能够独立于 Salesforce 生成自己的加密密钥，这使得该平台更加安全和保密。

组织可以使用 OpenSSL 等开源加密库、当前的 HSM 基础设施或 AWS KMS 等第三方解决方案。

结束语：BYOK 无懈可击吗？

虽然 BYOK 降低了数据丢失的风险，尤其是传输中的数据，但其安全性取决于公司保护其密钥的能力。

加密密钥的丢失可能最终导致数据永久丢失。 为了降低这种风险，请尝试在密钥生成和轮换后进行备份，停止在没有触发器的情况下删除密钥，并建立详尽的密钥生命周期管理。 此外，制定包含密钥轮换规则、保存、撤销步骤和访问策略的管理计划将是有益的。

最后，与 BYOK 相关的成本也不容忽视——同时关注管理和支持成本。 采用 BYOK 并不容易； 因此，组织可能必须投资额外的团队和 HSM，从而产生更高的费用。

简而言之，BYOK 不是灵丹妙药，而是总体安全策略的必要组成部分。 检查所有数据出口和入口路径，例如 API 或文件传输，以及各种特权访问标准。 这也适用于身份验证和全行业最佳实践，例如零信任。

接下来，阅读有关端到端保护数据的白皮书，以制定您的安全策略。