加密的重要性以及 AWS 如何提供帮助 安全博客

加密的重要性及 AWS 的帮助

关键要点

加密是深层防御安全策略中的关键组成部分，旨在通过多重防御机制保护工作负载、数据及资产。在企业寻求创新并建立客户信任的过程中，满足法规要求和提升数据安全显得尤为重要。正确使用加密技术可以增加防范未授权访问的保护层，从而加强数据保护，遵守规范，并提升通信安全性。

加密的工作原理与重要性

加密通过使用算法和密钥将数据转换为不可读的数据密文，只有使用正确的密钥才能再次变为可读的形式。例如，一个简单的短语“Hello World!”在加密后可能变成“1c28df2b595b4e30b7b07500963dc7c”。不同类型的加密算法采用不同的密钥，而强加密算法依赖于数学特性，生成无法在没有密钥的情况下进行解密的密文。因此，保护和管理密钥成为任何加密解决方案的关键环节。

加密在安全策略中的角色

有效的安全策略从严格的访问控制开始，并持续努力定义访问数据所需的最小权限。当使用 AWS 云时，您需要遵循共享责任模型。您负责管理自己的访问控制策略。加密作为深层防御策略的一部分，可以减轻主要访问控制机制中存在的弱点。假设访问控制机制失效，允许访问硬盘上的原始数据或在网络链接中传输的数据。如果数据使用强密钥进行加密，只要解密密钥不与数据存储在同一系统内，恶意第三方几乎是不可能解密该数据的。

以下是一个可靠性概念的说明：以高级加密标准AES256位密钥AES256为例。AES256 是业界公认并获得政府批准的最强加密算法。使用当前和可预见的未来计算技术，解密 AES256 加密需要至少一万亿年。当前研究表明，未来量子计算的出现也不会显著减少破译 AES256 的时间。

加密解决方案的要求

为了最大程度地优化加密解决方案，需要考虑以下两点：

保护静态密钥：使用加密密钥的系统是否安全，以确保密钥永远不会在系统外部使用？此外，这些系统是否正确实现加密算法，以生成强密文，确保没有访问正确密钥就无法解密？独立的密钥管理：使用加密的授权是否独立于如何控制对基础数据的访问？

AWS 提供各种选项来简化加密和密钥管理。

保护静态密钥

使用第三方密钥管理解决方案时，很难评估明文密钥泄露的风险。密钥必须存储在某处，而您不能总是知道或审核所有存储系统的安全措施。技术复杂性和加密性能及可用性要求之间的平衡意味着，选择和操作密钥管理解决方案可能会面临困难的权衡。最佳实践是使用硬件安全模块HSM，这是一种专门的计算设备，内置了多种安全控制，防止密钥以可以被对手访问和利用的方式离开设备。

现代 HSM 中的一项控制机制是防篡改反应，该设备能够检测到未经授权访问明文密钥的物理或逻辑尝试，并在攻击成功之前摧毁密钥。由于您无法在 AWS 数据中心安装和操作自己的硬件，AWS 提供了两个使用 HSM 和防篡改反应的服务来保护客户的密钥：AWS Key Management Service (AWS KMS)，它代表客户管理 HSM 的集群，以及AWS CloudHSM，客户可以自行管理 HSM。

这些密钥可以直接用于加密数据，也可以保护分发给直接进行数据加密的应用程序的其他密钥。桶式加密Envelope Encryption可以使加密和解密过程在纯文本客户数据存在的计算机上进行，而无需每次都将数据发送给 HSM 处理。因此，这种方法使得在处理大型数据集时如数据库，不需要每次读/写操作都移动大量数据到 HSM。此外，AWS 服务在替客户加密数据时使用的本地加密也为性能优化提供了保障。

独立的密钥管理

尽管 AWS KMS 和 AWS CloudHSM 可以代表您保护明文主密钥，您仍需负责管理访问控制，以确定谁可以在什么条件下使用哪些加密密钥。使用 AWS KMS 的一个优势是您定义密钥的访问控制时使用的策略语言与定义其他 AWS 资源访问时使用的语言相同。您需要使用不同的机制来管理密钥的访问与管理数据的访问。AWS KMS 提供了这一机制，使您可以为仅管理密钥的管理员和仅管理其加密数据访问的管理员分配不同的权限，如此配置可有效分离职责，避免意外提升权限导致未授权用户解密数据。

在 AWS 中加密数据

AWS 服务实现了数据在静止状态和传输过程中的加密，它们分别使用 AES256 加密。在数据以加密的方式在网络之间传输的过程中，AWS 服务使用传输层安全协议TLS提供安全加密，大多数商用解决方案使用一个开放源代码项目 OpenSSL 来满足 TLS 的需求。

在云环境中，AWS 采用了自家开发的 TLS 实现(s2n)，目的是简化理解并实现网络加密，以此确保代码在每次更改时都经过自动化的逻辑分析来检测安全性与正确性。

加密数据的处理和量子计算

您可能还会遇到保护正被使用的数据的用例，可以通过密码计算等技术，允许在加密数据上执行计算，从而保护活跃使用中的数据。在许多情境中，这种密码计算方法能让组织在不暴露明文数据的情况下，联合训练机器学习模型。

随着量子计算的快速发展，传统加密机制如非对称密钥加密可能面临挑战，但当前研究表明，像 AES 这样的对称密钥算法在量子计算时代是安全的。

总结

在 AWS，安全是我们的首要任务。我们致力于帮助您控制数据的使用方式、访问权限及保护方式。通过构建并支持与云和本地环境兼容的加密工具，我们帮助您确保数据安全，并在整个环境中实现合规。我们在所有工作中以安全为中心，以确保客户能够有效、经济地应用最佳的安全技术。

如您对本文章有任何意见反馈，请在评论区留言。如有疑问，欢迎在 AWS KMS 论坛 或 AWS CloudHSM 论坛 开启新话题，或 联系 AWS 支持。