与使用私钥的任何应用程序一样，如何安全地存储敏感的私钥材料始终存在问题。

通常情况下，网关类产品将所有设置（包括密钥和证书）存储在数据库中。将所有数据存储在数据库中的一个好处是，它使备份、群集和故障转移变得简单。

但这里存在一个严重的问题：即使所有敏感数据（例如私钥）都使用可配置的密码进行加密，任何能够访问数据库内容和系统密码的人还是都可以访问私钥，这使得属于信息安全的网关产品实际上并不是那么安全。

当然，这不是某网关产品所需解决的问题，任何使用私钥并且不使用专用硬件来安全存储私钥材料的应用程序都存在同样的问题！因此，仅允许授权人员访问数据库并使用强密码加密网关的系统备份非常重要。

其实，我们可以在网关产品的底层，通过专业的产品来解决这一问题。即使具有完全物理访问权限，也要确保私钥永远不会被复制——这就是硬件安全模块（HSM）。HSM可以理解为一个很大的智能卡。它可以直接在HSM设备内部生成私钥，并将私钥存储在防篡改硬件上。HSM还提供额外的安全功能，例如内置安全随机生成器。在实际使用网关类产品时，如果要满足FIPS 140 level 2及更高版本合规性要求，也需要HSM！因为FIPS 140-2需要物理安全机制，而HSM可以帮助我们解决这一合规问题。

如果要使用合格、安全的证书，使用HSM进行加密和电子邮件数字签名也非常重要。例如，我们的一个客户从连接到网关的外部CA（EJBCA）发出自己的可信证书。如果指示网关对电子邮件进行数字签名，则网关可以自动从外部CA请求S / MIME签名证书。签名证书的私钥在附加的HSM上生成，证书签名请求（CSR）将发送给CA，然后CA将自动颁发证书。

通过使用HSM，您的安全级别可以大大提高。在实际部署时HSM需要至少两个，最好是在群集设置中，以防万一发生故障。目前某些网关产品已经可以使用HSM用于S / MIME和PGP密钥（大多数其他网关不支持在HSM上存储PGP密钥），例如：CipherMail网关。

揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：

• 数据库访问控制：揽阁LGPAC系统

• 通用HSM：Luna HSM、ProtectServer HSM

• 支付HSM：payShield 10K

• KMS产品：CipherTrust Manager、Vormetric、KeySecure

• 数据保护：应用层数据加密、数据库加密、令牌化（Tokenization）、透明加密

• 网络传输加密：Thales High Speed Encryption（HSE）

• 身份认证：STA、SAS、USB令牌、智能卡、OTP令牌、手机令牌、虚拟智能卡、FIDO2、读卡器

您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问！

相关阅读

• 机器学习如何加速并提高敏感数据分类的准确性

• SaaS产品的数据安全解决方案

• CipherTrust数据保护网关

• 加密密钥管理的类型

• 保护敏感数据的主要方法是什么？