云计算风险:如何确保虚拟机密钥安全
在受到别人的物理控制和/或拥有时,谈到云安全,实际上很可能是要确保虚拟机的密钥安全吗?
密钥管理在最有利的情况下仍旧是繁重的挑战。同时密钥可以对数据进行访问控制,糟糕的密钥管理和存储会导致危害。让第三方控制你的基础架构的物理和逻辑访问时,增加了额外的风险,保护密钥安全就变得更难了。主要原因是密钥管理和密钥存储相关。类似于你租赁了一个银行的保险箱,让他们保管钥匙。授权你的密钥,让你的提供商可以访问你的数据。
提供商糟糕的实践,比如脆弱的密钥生成、存储和管理实践都很容易泄露密钥。草率的密码实践导致了推特最近的安全问题。恶劣的员工会在你的机器上增加后门来访问密钥或者他们会通过一个非加密的链接在其运转和动态迁移时访问你的机器。这种情况下,我认为撤销密钥和用一个新的密钥加密数据比较好。
备份对于密钥管理导致了另一个问题,因为很难追踪你的提供商的归档介质。对于长期的归档存储,我建议加密你的数据,然后将其送到云数据存储厂商那里。这种方式你可持有和控制密码关键字。这种来自云提供商托管数据的密钥管理隔离也创造了分离束缚,万一发生法规遵从问题,这样会保护云提供商和你自身。密码粉碎对于迁移云计算风险也是一种非常有效的技术。也就是提供商毁坏了所有密钥的副本,确保你物理控制之外的任何数据不能访问,如果你管理自己的密钥,密码粉碎也是你战略的重要部分,
云计算就密钥管理也引入了其他的风险。所有虚拟化软件中都发现了漏洞,会通过具体的安全限制被利用或者获得升级特权。此外,新的技术意味着我们不能假设现有的流程仍旧安全。安全研究员Stamos、Becherer和Wilcox最近在争论虚拟机不一定能够访问适合加密数据所需的随机数字。这是因为他们比常规机器拥有较少的加密源,常规机器可以使用鼠标移动和键盘键入来创建加密池,用于生成随机加密密码。这种情况下更容易生成可推测的加密密钥。这并不是一种立即的威胁,但是却警示我们对于云计算和虚拟化计算还有很多要学习的安全问题。
最主要的要关注的领域是你的提供商的安全策略多么强壮,实施的有多好。他们是否适用密钥管理生命周期;生成多少密钥、使用多少,存储多少,备份多少,恢复多少,删除多少?一旦不再需要了,他们在采用破坏密钥材料时进行哪些数据清理实践?同你的提供商的合同应该包含“非密钥库(no key storage)”条款声明:“提供使用的任何密钥将不再被保留”,这一条必不可少。这种条款是前所唯有的。支付卡行业数据安全标准声明商家不得存储信用卡CVS数字,即使他们为了认证而使用。如果最终,你还是对于云厂商的合同或者吹不满意,就不要使用。
【推荐阅读】
◆设备管理系统运维管理专区
◆云计算变革下的企业设备管理系统运维管理演进
◆云性能管理工具技术应用解析
◆2013云管理将实现混合云和云安全
◆设备管理软件软件专区
本文来自互联网,仅供参考- 1未来IT技术展现——虚拟化技术大盘点
- 2设备管理系统维护经验:如何预防黑客攻击WEB
- 3IT技术人员如何华丽转身走向管理岗位?
- 4IT设备管理系统安全解密安全浏览器真相
- 5IT运维管理发展之路回顾
- 6设备管理系统包括哪些作用?
- 7设备管理系统需要了解的路由器设备管理系统软件问题
- 8数字化设备管理软件有哪些优势?
- 9网络虚拟化六大基本概念释疑
- 10什么软件管理流动设备比较好?
- 11IT部门应该关注大数据
- 12CIO关心十年的问题:IT和业务调整
- 13企业应用云计算的十大理由与注意事项
- 14IT系统运维的八个主要方面
- 15云性能管理工具技术应用解析
- 16企业如何高效管理设备台账?
- 17图解企业数据中心人员技能需求
- 18谁有机电设备管理台帐软件啊,最好免费的??
- 19安全不是买来的!六个高性价比管理措施
- 20IT运维管理人员必须掌握的IT能源管理技术
- 21设备管理系统员如何通过预定义需求来精简RFP
- 22IT运维管理人员未来应该掌握哪些软技能?
- 23设备台账管理软件需求分析
- 24IT运维管理体系转变维护观念
- 25新手答疑:设备管理系统中最重要的概念是什么?
- 26NAS为何是数据中心虚拟化存储的首选?
- 27IT运维管理安全五大错误解析
- 28IT业界面临的九大最严峻安全威胁
- 29高效的设备管理系统软件助设备管理系统解决难题
- 30顶级CIO必不可犯的八大IT失误