021-54410609
介绍
在密码学中，密钥是一种非常重要的信息，用于与算法（密码）结合，将明文转换为密文（加密）。
预防性安全的第一步不是加密；然而，正确管理加密密钥是至关重要的。
密钥管理包括密钥的生成、使用、存储、归档和删除。在现代商业中，加密在保护电子通信和金融交易方面起着至关重要的作用。
成功的密钥管理对密码系统的安全性至关重要。密码学是一个更具挑战性的方面，它涉及到社会工程的各个方面，如组织、系统策略和部门协调。
加密最好的一点是，如果实现正确，它就能高度抵抗攻击。不幸的是，加密的弱点在于密钥。如果一把钥匙被折中，你所有的努力和复杂性都是徒劳的。这使得密码学密钥成为任何公司最宝贵的资产。密钥的值等于您最关键的信息或数据的值。
什么是加密密钥管理？
加密密钥管理是对密码系统中加密密钥的管理。密钥管理关注的是用户级的密钥，无论是在用户之间还是在系统之间。因此，强健的密钥管理系统非常重要，策略必须包括以下内容：
密钥生命周期：密钥生成、密钥激活、密钥过期和密钥销毁
对密钥服务器的物理访问
对密钥服务器的逻辑访问，这应该是企业需要知道的基础
基于用户角色对加密密钥的访问
我们可以把这些主要分为三种主要的密钥管理方法：
分散的：在这个版本中，最终用户对自己的密钥管理100%负责，组织不需要处理密钥治理
分布式：组织中的每个团队或部门根据其流程和策略处理自己的密钥管理协议。他们可能会也可能不会在部门之间联系或协调
集中式：在这种集中式密钥管理的情况下，在整个组织中有一个必须由所有人遵循的策略。每个团队，每个部门：组织中的用户遵循相同的密钥管理协议
加密密钥的类型
加密密钥有四种基本类型：对称密钥、非对称密钥、公钥和私钥。
对称加密：在对称密钥密码学中，一个加密密钥用于数据的加密和解密。这种加密是用来保护数据的，是一种快速的算法。
非对称加密:在不对称密钥中，使用一对密钥对数据进行加密和解密。两个密钥相互配对，同时创建。它们被称为公钥和私钥
公钥主要对数据进行加密，只用于对数据进行加密，不用于解密
私钥用来解密数据。这是唯一能够解密加密数据的密钥。应该有密码保护
加密密钥管理问题
对加密密钥的正确管理对于加密产品的安全使用至关重要。丢失这些密钥会导致访问系统和数据的丢失。不幸的是，密钥管理是一个随着环境的大小和复杂性而增加的挑战。有许多威胁会导致密钥被破坏，通常情况下，在攻击者利用密钥之前，您甚至不知道密钥被破坏了，这使得威胁更加危险!
以下是一些需要考虑的主要威胁：
弱密钥：密钥的长度应该是复杂的，因为它所保护的敏感数据的值和需要保护的时间段
密钥的不正确使用：应该只为一个特定目的/任务生成一个密钥
密钥重用：不恰当地将单个密钥用于多个目的可能是危险的，并可能使组织处于高风险之中
密钥存储不当：这一点非常重要：密钥不应该存储在数据所在的同一个地方，也不应该存储在它们保护的数据中，比如服务器或数据库中。HSM是国际上最常用的、最安全的密钥存储设备。
密钥保护不当：即使只存储在服务器内存中的密钥也容易受到损害！密钥在存储时应进行加密，并且只能在安全篡改保护环境中以未加密的形式提供。
密钥的不安全移动：在系统之间安全移动密钥非常重要。这应该通过将密钥封装在预共享传输密钥下来完成，该传输密钥可以是对称的，也可以是非对称的。
加密密钥管理最佳建议：
安全密钥存储：为了达到最佳的安全性，密钥存储必须使用复杂密钥进行保护，就像任何其他敏感数据一样。在储存或运输过程中，特别是在备份过程中，它们也必须受到保护。密钥存储不当可能导致所有加密数据丢失
对密钥存储的访问：对密钥存储的访问必须仅限于需要该特定访问的实体。还应该有控制密钥存储的策略，这些策略使用角色分离来帮助控制访问。使用给定密钥的实体不应该是存储该密钥的实体
密钥备份和可恢复性：密钥丢失直接意味着密钥保护的数据丢失。虽然这是一种无意中有效的销毁数据的方法，但意外丢失保护关键任务数据的密钥对企业来说将是毁灭性的。必须始终实现安全备份和恢复解决方案
专业的加密密钥全生命周期管理产品选择
通常情况下可以选择使用专业的HSM或KMS来作为加密密钥的管理工具，但是该如何选择，成为每个组织的不得不面对的问题。以Thales公司的HSM和KMS为例：
HSM（HardWare Security Module，硬件安全模块）
产品分为PCIe和NetWork两种形态的产品。
通过命令行的方式对HSM进行访问和使用。
通常用于根密钥（Root Key）或少量密钥的业务场景。
拥有FIPS 140-2 Level 3和CC EAL 4+等国际专业认证。
提供JAVA（JCA/JCE）、Microsoft C 、PKCS#11等API，用于应用系统对接调用。
KMS（Key Management System，密钥管理系统）
产品分为物理款和虚拟款两种产品形态。
产品提供可视化图形界面。
用于海量密钥的业务场景。
提供了众多功能模块，适用在不同的业务场景下对密钥进行使用。如：应用层调用密钥对数据保护、数据库层直接对字段内数据加密、文件级透明加密、实现数据脱密的令牌化功能（Tokenization）等等
支持基于KMIP的密钥使用。
自身拥有FIPS 140认证，并且还可以和Luna HSM连接，通过HSM保护KMS内的加密密钥，以提升安全等级。
Thales HSM包括：ProtectServer HSM 和 Luna HSM
Thales KMS产品：CipherTrust Manager（新）、Vormetric、KeySecure
结论
安全是每个员工的事。为了维护最佳实践，每个组织都应该管理自己企业的关键字或任何其他可信的服务。并非所有的敏感数据都应该对任何人和所有人开放，但应该在需要了解的基础上对那些需要了解的人进行限制。监测小组应不时调查访问日志并保护敏感区域，以减少数据受到损害的机会。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话