什么是加密密钥管理和KMS实施？_揽阁信息科技（上海）有限公司

021-54410609

您当前的位置: 首页 > 新闻中心

什么是加密密钥管理和KMS实施？

发布时间：2021-03-18 22:59:52 阅读次数：

什么是加密密钥管理和KMS实施？(图1)

什么是加密密钥管理？实施KMS解决方案时应考虑哪些因素？

为了提供有效的数据保护和应用程序防御并保持合规性，当今的组织需要在创建、传输和存储其最关键的数据时保护它们。这就要求公司成功地对该数据进行加密，这一过程提出了与加密密钥管理和有效实施密钥管理服务器（KMS）解决方案有关的挑战。

那么数据加密如何工作？加密是一种众所周知的保护数据的技术，它是一个非常简单易懂的概念：用户希望使数据或内容不可读，但那些被允许查看的用户除外。为此，密钥将文本加密为难以理解的密文，并在出现提示时将其解密或转换回原始格式。

多年来，随着数据加密技术的不断发展，采用的速度比以往任何时候都快。

根据Gartner的“制定企业加密密钥管理策略或丢失数据”一文，大多数计划数据加密部署的组织都缺乏加密密钥管理策略，这增加了数据丢失的风险。

安全和风险管理负责人必须制定企业范围的加密密钥管理策略，否则将面临可能丢失其数据的后果。但是，到2023年，将有40％的组织采用多孤岛、混合和多云数据加密策略，而今天这一比例还不到5％。此外，到2024年，35％的组织将利用加密和密钥编排平台来处理各种信息和加密管理，而目前这一比例为0％。

所有这些似乎都很棒，但令人困扰的是，在最近的许多引人注目的网络攻击中，该组织的数据实际上已经以某种能力进行了加密，但仍然遭到破坏。

密钥管理服务器（KMS）用于管理加密密钥的整个生命周期，并保护它们免于丢失或滥用。KMS解决方案和其他密钥管理技术最终控制了加密密钥的生成、使用、存储、归档和删除。另外，为了完全保护其丢失或滥用，公司必须限制访问这些密钥，方法是限制物理访问或通过创建明确定义的角色来控制用户访问。

从另一种角度考虑，以下是NIST的有关加密密钥管理的引文及其《密钥管理建议书》解决方案技术报告，该报告将KMS实施置于稍微不同的环境中：

“正确管理加密密钥对于有效使用加密技术以确保安全至关重要。钥匙类似于保险箱的组合。如果对手知道一个保险柜组合，则最强的保险柜不会提供防穿透的安全性。同样，密钥管理不善可能会轻易损害强大的算法。”

为了确保您的在线数据受到保护，至关重要的是要了解加密密钥管理服务的不同组成部分，以便在评估可以实施的新的和现有的KMS技术类型时知道正确的问题。

密钥存储：通常，存储加密内容的个人或公司也不应存储该内容的加密密钥（除非您对他们访问数据感到满意）。
策略管理：虽然加密密钥的主要作用是保护数据，但它们还可以提供强大的功能来控制加密的信息。策略管理允许个人添加和调整这些功能。例如，通过在加密密钥上设置策略，公司可以撤消，过期或阻止共享加密密钥，从而也可以取消未加密数据的共享。
身份验证：这是需要的，以验证给予解密密钥的人员应被允许接收它。加密数字内容时，有几种方法可以实现此目的。
授权：授权是验证人们一旦通过身份验证后可以对加密数据采取的措施的步骤。它是执行加密密钥策略并确保加密的内容创建者可以控制共享数据的过程。
密钥传输：这是整个加密密钥管理过程的最后一步，与如何将密钥传输给需要密钥的人有关，但仍然限制了对不需要密钥的人的访问。

与许多人共享的数字信息必须始终易于访问。为了使加密密钥有效地发生，必须容易且安全地大规模分发加密密钥。在传统的密钥管理模型中，每当密钥过期时，员工（通常是IT）都负责手动更新它们以及管理组织的整个密钥集。

此外，我们用于在线交流的方法的数量也在不断增长。即使我们在一个存储应用程序上创建了加密文件，也可能需要在另一个平台上共享这些文件，例如，通过电子邮件附件或使用其他存储工具。加密密钥在应用于不同平台时并不总是起作用，这意味着我们经常必须管理同一数据段的多个密钥交换。

这些工作通常非常耗时，并且使员工远离宝贵的时间，而员工可以利用这些时间专注于高价值的IT计划。更糟糕的是，错误的密钥管理实践可能会导致密钥丢失，甚至可能导致黑客获取密钥并将其用于窃取或操纵数据。。

除了如何安全地实施KMS的所有这些挑战之外，还存在两个常见的数据加密误解：

“如果供应商对您的数据进行加密，他们将无法访问它。” 这不是真的。即使一个第三方厂商如亚马逊AWS和微软Azure承诺让您的数据无法读取到未经授权的第三方，多数厂商仍保有您的未加密的内容。
“如果加密，黑客将无法访问您的数据。” 不幸的是，要保证这一点几乎是不可能的，尤其是在当今世界。

此外，低效的加密密钥管理做法甚至可能导致新的安全漏洞，例如更新系统证书或查找需要更新的系统。这也使遵守行业法规变得极为困难。

例如，支付卡行业数据安全标准（PCI DSS）要求商家保护持卡人的敏感信息不丢失，并采用良好的安全措施来检测并防止安全漏洞。PCI DSS具有与加密密钥和密钥管理服务有关的非常具体的指南。

例如，PCI DSS的各个子节要求组织维护“加密体系结构的文档说明”以保护数据，并限制“对加密密钥的访问应尽可能少地保管人”。

请记住，这只是一项规定。诸如GDPR、HIPAA之类的许多其他事物都有特定的要求，以确保公司尽其所能保护数据免遭盗窃，丢失或不当访问。

但是，经常会缺少能够成功克服与管理开销和潜在的不合规相关的问题的统一工具。

联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：

您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问！