云加密：云端使用数据加密技术

虽然许多企业组织期望充分利用云计算，但数据安全仍然是需要操心的首要问题。然而，借助众多云解决方案，有望实现并享用云端的有效数据保护和强加密。

随着商业监管和信息安全以不对称的步伐扩展，企业主管常常到头来面临隐私和安全方面的挑战，他们缺乏相应的知识或经验来应对这些挑战。虽然加密是隐私专家们一致认为是安全基石的基本技术，但云端加密可能困难重重。由于有那么多不同类型的加密技术可供使用，中小型企业发觉这种方案很诱人却又非常让人困惑。

加密根本不是一项新技术;但在过去，加密的数据存储在服务器上，而服务器摆放在公司内部，公司直接控制着它们。由于如今许多流行的业务应用程序托管在云端，企业主管们要么需要依赖合同条文来保护资产，选择一家让客户可以先加密数据，然后发送到云端以便存储或处理的云服务提供商，要么与软件即服务(SaaS)提供商合作，由对方管理其企业数据的加密和解密工作。

有时候，公司别无选择;Salesforce.com等一些客户关系管理(CRM)应用程序和思杰ShareFile等企业文件同步及共享(EFSS)应用程序使用安全的互联网连接，比如传输层安全(TLS)加密连接，将数据从用户的键盘或服务器传送到互联网应用程序。一些云存储应用程序还让用户可以在企业网络或移动系统与云存储应用程序之间建立一条安全链路，比如梭子鱼网络公司(Barracuda)的Copy.com。一旦数据到达云服务提供商的服务器，应用程序提供商通常会加密数据，确保静态数据的安全。

云端的有效数据保护

然而，我们遇到了云环境不对称发展带来的挑战之一。在过去，IT经理面临的最重要任务之一就是管理加密密钥。Green House Data是一家云托管和数据中心服务提供商，首席技术官Cortney Thompson表示，为了确保数据安全，将加密密钥与加密数据分开来极其重要。

他说：“我们提醒医疗行业客户需要留意的一个方面就是，加密密钥的存储和使用。客户们常常将密钥与数据本身放在同一个地方。”

应用程序在使用时，还可能将密钥存储在内存中。加密密钥应该放在另外的服务器或存储块上。所有密钥的备份也应该放在异地，以防灾难发生。这种备份应该每几个月就要审查一次。

Thompson补充说：“加密密钥还需要经常更新。常常逼迫公司这么做，因为密钥本身被设成了自动到期失效，而其他密钥需要定期更新。应考虑对密钥本身进行加密(不过这导致加密再加密的恶性循环)。最后，对主密钥和恢复密钥采取多因子验证。”

安全平台开发商Covata USA的首席技术官兼产品和技术主管Vic Winkler特别指出，并非所有的企业数据都需要加密，也并非所有的用户都有一样的数据访问需要。对公司而言，尤其对中小企业而言，制定规则以识别哪些信息需要加密、哪些数据可以以明文格式安全地存储，这点很要紧。

Winkler特别指出，使用可以自动加密应用程序里面数据的软件即服务应用程序来隔离数据，对于确保重要数据得到保护大有帮助。保护数据的同时又不给公司的业务流程带来负面影响，这点同样很要紧。

Winkler表示，为了有效保护数据，无论是大企业里面的首席信息安全官(CISO)，还是中小企业里面的指定管理员，负责安全的企业主管都需要保护处于这三个状态的数据：传输中数据、使用中数据和静态数据。他表示，如今许多公司在使用TLS保护传输中数据方面做得相当到位，但是静态数据和使用中数据的安全仍有待提高。

Winkler表示，实际上，保护静态数据非常重要。最佳的选择就是，敏感数据创建时，对它进行加密，那样该数据存储到数据中心后，无论是存储在本地还是存储在云端，数据都会得到保护。他表示，应用程序安全就好比夹层蛋糕。数据添加到应用程序中的文件后，安全应该是整体的一个必要组成部分，那样随时为数据确保了安全。

云加密：挑战和建议

思杰公司的安全和合规高级经理Manny Landrón建议，由于移动应用程序日益扩展，客户应该考虑让服务提供商或第三方代理提供商管理加密密钥，而不是由公司自己的IT部门来管理。他表示，公司碰到的问题是，如果数据先加密，然后上传到云存储服务提供商;随后还没有拥有解密密钥的移动或远程设备需要访问数据，之后下载的数据将是毫无用处的加密数据。当公司试图与业务合作伙伴共享数据，但是又不想合作伙伴直接访问解密密钥，这个问题会显然尤为严重。

他特别指出，如果公司为可能需要众多文件的系统管理自己的密钥，密钥轮换和销毁也变得更复杂。第三方代理提供商可以将密钥与云提供商处的加密数据分开来保管，从而增添一层保护，但是这也增添了另一层复杂性，而且增添了公司请另一家第三方提供商所需的额外成本。

Landrón提醒公司应询问提供商和潜在的SaaS合作伙伴：它们使用什么协议来传输数据。安全套接层(SSL)方法一向是多年来的标准;可是自从2014年发现SSLv3降级加密协议Padding Oracle攻击(POODLE)攻击后，它已失宠。POODLE是一种中间人攻击漏洞，实际上被设计到SSL代码里面。

实施TLS而不是SSL消除了这个漏洞，但一些运行旧式操作系统(比如Windows XP)的遗留系统无法实施TLS。因而，一些零售商拥有的一些服务器仍运行SSL来支持这些旧式系统，尽管机密数据有可能遭到危及。要完全消除这个风险，唯一的办法就是在客户机系统或服务器上完全禁用SSL，虽然这消除了问题，但是也导致服务器无法被只拥有SSL功能的系统所访问。

云安全厂商Prime Factors的产品管理副总裁Jeff Cherrington表示，除了密钥管理外，中小企业要处理的最大问题是，相信云提供商比自己更擅长保护敏感数据，与数据所有者一样注重保护公司数据。

他指出，云提供商并不像银行、联邦政府部门及其他实体那样受制于同样的数据泄密披露法;果真发生的数据泄密可能不会广泛宣传，或者不会与云提供商联系起来。然而，拥有数据的企业组织却要负责，即便数据泄密的起因出在云托管组织。如果此类的数据泄密事件广为人知，负面的关注会更多地着眼于数据所有者，而不是着眼于云计算提供商。最终，企业有义务保护其数据，无论数据在哪里处理、怎样处理。

这就是为什么云安全联盟(Cloud Security Alliance)在其《云计算关键领域安全指南》中建议敏感数据应该：

•加密以确保数据隐私，使用认可的算法和较长的随机密钥;

•先进行加密，然后从企业传输到云提供商;

•无论在传输中、静态还是使用中，都应该保持加密;

•云提供商及其工作人员根本无法获得解密密钥。

Cherrington补充说：“这最后一个规定对中小企业来说可能最具挑战性，这取决于它们实际使用的云。就简单的文件共享而言，有一些优秀的附件面向Dropbox和类似的服务，比如Viivo或SafeMonk。如果中小企业将数据处理这块移到云端，情况就会变得复杂一点。”

与Landrón一样，Cherrington建议如果敏感数据的处理在云端进行，用户就要充分利用云计算的规模经济效应和弹性/灵活性。他表示，数据直到使用那一刻，都应该保持加密;只有在受到保护的瞬时内存空间，解密密钥和加密数据才可以敞露无遗。

他说：“密钥和明文格式的敏感数据都要做到在符合审查的要求下能够擦除，那样根本没有副本写入到磁盘上。”他另外建议，处理过程中绝不能将明文格式的敏感数据的副本写入到任何日志或其他持久性记录中。