云计算风险：确保虚拟机密钥的安全性


密钥管理仍然是最有利的情况下，一个巨大的挑战。同时，键可以控制数据，和坏的密钥管理和存储将造成伤害。当第三方控制的物理和逻辑访问你的基础设施，增加了额外的风险，和关键的安全保护变得更加困难。主要的原因是，密钥管理和密钥存储相关。这就像你租一个保险箱的银行，让他们把钥匙。授权你的钥匙让你的供应商访问你的数据。


供应商的不良做法，如脆弱的密钥生成、存储和管理的做法，很容易泄漏的关键。仓促的密码的做法导致了微博的最近的安全问题。好的员工会添加后门到你的机器访问键，或者他们会通过一个非加密连接访问你的机器时，跑步和运动。在这种情况下，我认为最好是撤销键和一个新的密钥加密数据。


备份密钥管理造成了另一个问题，因为很难跟踪你的提供商的存储媒体。长期归档存储，我建议加密你的数据并将其发送到云数据存储供应商。这样你可以把握和控制密码密钥，密钥管理隔离从云供应商的托管数据也创造了分离约束。在法规遵从性问题的情况下，它将保护云提供商和你自己。密码粉碎也是转移云计算风险的一种非常有效的技术。也就是说，供应商销毁所有的密钥副本，确保在物理控制之外无法访问任何数据。如果您管理自己的密钥，密码碎片也是您的策略的重要组成部分。


云计算还介绍了密钥管理其他风险。漏洞是在所有的虚拟化软件，可升级的特权或通过特定的安全限制。此外，新的技术意味着我们不能假定存在的过程仍然是安全的。安全研究人员Stamos贝赫勒，和威尔考克斯最近声称，虚拟机无法加密数据的随机访问。这是因为他们比传统机器加密源少。传统的机器可以使用鼠标和键盘按键产生随机密码创建加密库。在这种情况下，很容易产生投机的加密密钥。这不是一个直接的威胁，但它是一个警告，我们有很多的安全问题，了解云计算和虚拟化计算。


关注的最重要的领域是你的供应商的安全策略有多强，实现它有多好。他们应用密钥管理生命周期，生成多少密钥，使用多少，存储量多少，备份多少，多少钱，多少钱一旦不再需要它们，他们使用什么样的数据清洗方法来销毁关键材料与你的供应商的合同应包括无密钥存储，条款声明：提供使用任意键将不再保留，这是至关重要的。这一条是唯一之前，支付卡行业数据安全标准声明不允许企业存储信用卡CVS号码，即使他们是用于身份验证。最后，如果你仍然不满意，一个云供应商的合同，不使用它。