不必布署硬件配置安全性控制模块，谷歌GCP终究
2021-01-20 00:21
谷歌终究决策为管理方法员出示在谷歌Cloud Platform(简称GCP)上管理方法自有数据加密密匙的工作能力，而实际服务更是云密匙管理方法服务(简称KMS)。谷歌层面亦是3大关键云供货商中最终1家出示此类密匙管理方法服务的厂商 Amazon与微软此次早已推出这类计划方案。
现阶段尚处在beta检测环节的Cloud KMS能协助管理方法员管理方法公司内的数据加密密匙，且不用附加维护保养內部密匙管理方法系统软件或布署硬件配置安全性控制模块。运用Cloud KMS，管理方法员可以管理方法公司中的所有数据加密密匙，而不但限于GCP内用于维护数据信息的密匙。
管理方法员可以根据Cloud KMS API建立、应用、轮换及消毁AES⑵56对称性数据加密密匙。1条密匙的好几个版本号可随便用于开展数据加密，但在其中仅有1套主密匙版本号能用于对新数据信息开展数据加密。轮换方案可开展界定，从而全自动根据固定不动時间周期转化成新的密匙版本号。在其中还内嵌有24小时的密匙消毁延迟时间，这是以便防止尝试消毁密匙时导致出现意外或欠佳危害。Cloud KMS可与GCP的云身份浏览管理方法与云财务审计系统日志纪录服务相融合，管理方法员可借此管理方法本人密匙管理权限并监管其应用状况。
Cloud KMS还出示1个REST API，容许在Galois/Counter方式下开展AES⑵56数据加密或解密，其应用谷歌云储存内用于数据信息数据加密的同1套数据加密库。AES GCM由谷歌维护保养的BoringSSL库完成，且该企业仍在运用多种多样专用工具对这套数据加密库的欠缺阶段开展查验， 包含与最近Wycheproof新项目中所应用的开源系统数据加密检测专用工具相近的各类专用工具， 谷歌企业商品主管Maya Kaczorowski在谷歌Cloud Platform的blog中指出。
相较于AWS与微软Azure，GCP在数据加密层面1直主要表现得较为滞后。Amazon早在2014年6月就为其S3服务出示了顾客出示数据加密密匙(简称CSEK)选项，并于当年晚些情况下推出了AWS密匙管理方法服务。微软于2015年1月根据Key Vault加上了CSEK作用。谷歌的CSEK适用出現于2015年6月，并且直至如今才推出Cloud KMS。
谷歌云储存服务默认设置对服务器端数据信息开展数据加密，而管理方法员务必专业挑选 云密匙管理方法服务 以管理方法该中的密匙，或应用 顾客出示数据加密密匙 管理方法內部密匙。CSEK亦可与谷歌Compute Engine相互配合应用。
Kaczorowski表明，来自金融业服务及诊疗环境卫生等制造行业的顾客可以充足享有代管密匙管理方法服务带来的便捷。但是，管理方法员理应考虑到到假如政府部门下达法律法规指令逼迫谷歌出示密匙信息内容，那末这类方便快捷性是不是会给比较敏感信息内容导致威协 由于依据现有政策，谷歌务必相互配合政府部门稽查并容许其浏览全部服务管理方法密匙。
此外，公司还应试虑谷歌层面是不是会从欧洲地区内搜集本人信息内容。欧洲1般性数据信息维护管控规定可用于欧洲地区内的本人数据信息，不管其储存在全世界哪一个部位，且管控组织提议顾客不必应用由云供货商出示的数据加密密匙。假如该密匙由顾客方安全性持有，则云供货商只能负责保持数据信息的浏览与能用性。应用GCP及Cloud KMS有将会(也是有将会不)与欧洲管控组织规定造成矛盾。
云数据加密厂商CipherCloud企业创办人、董事长兼CEO Pravin Kothari表明， 数据加密体制只在将数据加密数据信息与密匙各自储存时才会起效。假如应用同1家供货商，不管是AWS或谷歌，那末密匙与数据信息共存的状况都会给许多公司导致合规性与安全性性挑戰。
扫描二维码分享到微信