（使用AI生成）

互聯(lián)網(wǎng)上一直在進行著道高一尺，魔高一丈的較量。不管工程師想出多少解決方案來保護寶貴的數(shù)據(jù)，黑客總能找到入侵途徑。當今最好的安全工具是加密 — 就是對數(shù)據(jù)進行編碼，即使數(shù)據(jù)被攔截，如果沒有加密“密鑰”，也無法訪問。從理論上來說這沒問題，但實際上，騙子會利用加密管理中的漏洞。這些漏洞會導(dǎo)致數(shù)據(jù)泄露，就像鎖好家門卻把鑰匙放在門墊下面一樣，因為鑰匙沒有妥善保管，所以家里的平板電視很容易被盜。一旦黑客拿到密鑰，就會解密所有數(shù)據(jù)，然后賣給出價最高的人。

有多種方法可以堵上加密安全的漏洞，但大多數(shù)解決方案都需要熟練的編程人員和嚴謹?shù)陌踩鞒?。這些超出了許多公司的資源能力，因此他們只能寄希望于黑客不會找他們的麻煩。不過現(xiàn)在，這些公司可以通過部署一個或多個硬件安全模塊 (HSM) 來提升他們的安防能力，而無需承擔昂貴的編碼成本。

HSM通過提供高度安全、防篡改的隔離環(huán)境來保護公司最寶貴的加密密鑰，從而杜絕黑客入侵。沒有密鑰，就算黑客截取到數(shù)據(jù)，也不會造成任何威脅，因為他們永遠無法讀取這些數(shù)據(jù)。

加密的工作原理

竊取互聯(lián)網(wǎng)上的數(shù)據(jù)相對容易，但如果數(shù)據(jù)無法讀取，對于黑客來說也毫無用處。加密是通過將純文本編碼為密文格式來實現(xiàn)。生成的信息看起來像是字母、符號和數(shù)字的隨機組合，但實際有自己的意義。只有知道信息是如何加密的人，才能通過密碼恢復(fù)原始數(shù)據(jù)。

這種密碼以加密密匙的形式保存。這些密鑰本質(zhì)上是一組按照既定規(guī)則運行的算法，用于加密和解密數(shù)據(jù)，每個密鑰都是隨機且唯一的。發(fā)送方和接收方都需要密鑰才能使加密工作正常運行。最常用的加密技術(shù)是高級加密標準 (AES)。它采用128位密鑰，如果沒有它，即便用世界上最強大的超級計算機，要破解現(xiàn)代密文也幾乎是不可能的。

加密并非萬無一失

加了密就一定安全嗎？ 目前，大約95%的互聯(lián)網(wǎng)流量都是加密的，[1]但幾乎每天都有那些自以為安全的公司遭到網(wǎng)絡(luò)攻擊的頭條新聞。上個月，一個大型交通樞紐遭受網(wǎng)絡(luò)攻擊，造成了重大風險，這是關(guān)鍵基礎(chǔ)設(shè)施面臨威脅的又一例證。[2]

黑客通常會先獲取密鑰，然后利用它打開公司數(shù)據(jù)的大門。黑客一旦入侵公司內(nèi)網(wǎng)，會首先查看數(shù)據(jù)庫、文件系統(tǒng)或應(yīng)用程序配置文件，因為這些是最常見的密鑰存儲位置。這種方法經(jīng)常會成功，因為有些公司對密鑰的管理不夠小心。諷刺的是，這就像購買了世界上最好的安全系統(tǒng)，卻在門上貼了通行碼。

一種防御措施是用另一個密鑰對密鑰進行加密，精心設(shè)計一個密鑰加密密鑰 (KEK)，然后將其存儲在另一個安全位置 — 但很少有人這樣做。很多公司經(jīng)常犯的另一個錯誤是使用相同的加密密鑰來保護所有數(shù)據(jù)。因此，一旦黑客拿到密鑰，就能讀取所有數(shù)據(jù)。網(wǎng)絡(luò)安全專家建議將數(shù)據(jù)存儲在多個安全區(qū)，每個區(qū)都有自己的密鑰。遺憾的是，這條建議常常被忽視。

硬件安全模塊：加密的下一步

由于各種網(wǎng)絡(luò)風險為黑客破解加密技術(shù)提供了機會，網(wǎng)絡(luò)安全行業(yè)通過硬件安全模塊 (HSM) 減輕了密鑰管理的麻煩。HSM用于保護和管理加密密鑰，并執(zhí)行加密和解密過程。

HSM是一種物理器件，通過提供安全的環(huán)境進行密鑰管理來加強數(shù)據(jù)保護。它以插卡、智能卡或其他外接器件的形式出現(xiàn)，連接到網(wǎng)絡(luò)服務(wù)器，從云端訪問，或作為獨立硬件使用。這種高級安全工具使公司能夠輕松實施保護策略。例如，公司可以使用HSM來隱藏商業(yè)機密或知識產(chǎn)權(quán) (IP)，并通過僅允許授權(quán)人員訪問此模塊來確保數(shù)據(jù)安全。

HSM具有一系列防止非法使用的特性， 包括：

●   硬件和軟件均按照聯(lián)邦信息處理標準化 (FIPS) 140-2等政府高安全標準制造。

●   通過硬化處理，HSM很難被干擾或故意損壞，從而具有抗篡改性。

●   安裝在安全區(qū)域，與其他進程隔離。通過將HSM放在第三方數(shù)據(jù)中心，安全性可以得到進一步提升。

●   支持一系列用于開發(fā)定制應(yīng)用程序的應(yīng)用程序編程接口 (API)，包括公鑰加密標準 (PKCS) 和下一代密碼學(xué)API (Cryptography API: Next Generation)。

HSM負責管理加密密鑰生命周期的各個階段 — 從創(chuàng)建到銷毀。最初，HSM使用真隨機數(shù)生成器生成（或“提供”）密鑰。然后HSM復(fù)制密鑰并將其作為備份儲存，以防原始版本丟失或損壞。有些HSM還會對備份密鑰加密。密鑰投入使用后，HSM將根據(jù)行業(yè)標準以及用戶的內(nèi)部系統(tǒng)對其進行控制和監(jiān)控。 HSM還將管理密鑰的輪換，在現(xiàn)有密鑰過期時更換新密鑰。

最后，HSM會在密鑰失去使用價值后將其停用。此類密鑰會長期離線保存，以便在需要訪問其最初加密的數(shù)據(jù)時使用。只有在用戶確認不再需要某個密鑰后，才會將其安全、永久地銷毀。          

結(jié)語

互聯(lián)網(wǎng)讓數(shù)據(jù)能夠在發(fā)送方和接收方之間快速傳遞，同時也讓那些心懷惡意的人有了獲取這些數(shù)據(jù)的機會。為防止泄密，開發(fā)人員使用AES-128加密技術(shù)，按規(guī)定的方式對數(shù)據(jù)進行加密，以便能在遠端使用適當?shù)拿荑€解密。這種方法使黑客無法讀取數(shù)據(jù)，除非他們拿到密鑰。所以，他們可能會對數(shù)據(jù)進行簡單解鎖，然后再兜售給不懷好意的第三方。

因此，保護密鑰就成為了數(shù)據(jù)安全的重中之重。雖然這項工作可能很繁重，但HSM通過確保安全保管加密密鑰，讓最有決心的黑客也無法獲取，幫用戶免去了許多麻煩。

作者簡介

Steven Keeping曾獲得英國布萊頓大學(xué)的BEng（榮譽學(xué)士）學(xué)位。他先在Eurotherm和BOC的電子部門工作了七年， 然后又加入了《Electronic Production》雜志，擔任電子制造、測試和設(shè)計領(lǐng)域的高級編輯以及出版方面的工作長達13年。Steven還曾在英國和澳大利亞的三一鏡報、CMP和RBI工作過，負責《What's New in Electronics》和《Australian Electronics Engineering》雜志的相關(guān)工作。2006年，Steven成為了專攻電子行業(yè)的獨立記者，他目前居住在悉尼。