新密钥技术简化云端数据加密

静态数据一直是通过被称为公钥基础设施(PKI)的技术来保护：当数据被创建时，就会使用公钥对数据进行加密，并且从理论上讲，只有持有私钥的授权人才能够解密数据。当将这种数据保护办法扩展到云环境后，事情会变得更加复杂。

由于在云环境中，IT团队缺乏对数据安全的直接控制，所以数据迁移到云环境将会给IT团队带来新的复杂的安全问题。此外，云供应商认为数据安全是需要共同承担责任，即服务供应商保证物理安全，用户必须保护其服务器和数据的安全。这将需要新的加密策略和密钥管理策略，将密钥存储在云环境外部，而不是云环境中。

初创安全公司Porticor刚刚推出了一个解决方案，专门解决云环境中静态数据安全问题。Porticor公司提供了一种分离密钥加密解决方案，云客户是唯一知道主密钥的人。另外，Porticor公司解决了所有与加密数据有关的复杂问题，客户几乎不要去想这些问题。这种独特的密钥管理解决方案既提供了安全性，也提供了便利性。

在云中加密数据的根本问题是将密钥存储在哪里。客户不能将密钥存储在云端的磁盘中，因为这可能受到黑客攻击。另外，客户也可以让供应商来帮助保存密钥，但这意味着你要将信任交给第三方。客户也可以将密钥带回他们自己的数据中心，但这似乎违背了将数据中心服务外包到云环境的目的。Porticor公司现在提供了一种既简单又安全的密钥管理方案。

Porticor的方法主要基于银行安全保管箱的概念，这种保管箱有两个密钥，一个交给客户，另一个交给Porticor虚拟密钥管理服务。正如安全保管箱一样，客户如果不提供Porticor提供的密钥，就无法解密数据，同样的，如果Porticor不提供客户持有的主密钥，也无法解密数据。在实践中，客户的每个项目(通常是指一个应用程序)都有一个密钥。Porticor持有数以千计的密钥，每个密钥对应着客户项目的每个文件或者磁盘。尽管如此，密钥必须配对使用才能够访问被加密的数据。

除了密钥分别交由客户和Porticor保管外，这种解决方案独特的部分在于密钥本身都是通过客户的主密钥来加密，而主密钥只有客户持有和知道。因此，虽然Porticor持有项目配对的密钥，但是供应商并不能读取密钥，因为它们已经加密了。通过使用客户的主密钥来加密Porticor密钥，Porticor完全缓解了终端数据保护的压力。客户必须写下主密钥，并存储在钢制箱内，这样世界上就没有其他人能够看到密钥。另一个方法是将主密钥交给托管服务。

Porticor解决方案部署在云端服务器和存储间，以确保服务器和存储间的每字节数据都被加密了，并且从存储移动到服务器的每字节数据都只能通过客户来解密。Porticor解决方案的中间部分是其核心，Virtual Private Data(VPD)应用程序，VPD是使用加密算法(例如AES-256)用于解密任何磁盘或存储阵列的虚拟设备。VPD检索Porticor密钥，以及请求客户密钥。

Porticor公司称，这具有军用级安全性，因为只有一方(即客户)持有主密钥来解密数据。只有当整个服务器集群需要重新启动时，主密钥才需要从钢制箱中取出来，而这是很罕见的情况。当新应用程序服务器被创建时，它们将通过VPD自动继承之前的加密。