在云中运行非托管硬件安全模块(HSMs)

Question

我不得不承认，我从来没有问过，也没有人问过，是否有可能在公共云中建立一个硬件安全模块，我指的是谷歌、亚马逊或Azure。有没有人找到让组织使用他们完全管理的HSM的技术？

在我看来，云和HSM这两个概念从根本上说是不一致的--因为云通常涉及“外包”或将操作硬件的风险转移给云服务提供商。

在Azure和AWS中，在完全管理的HSM方面显然有一个中间地带：

• Azure KeyVault：使用Key Vault，您不需要提供、配置、修补和维护HSM和密钥管理软件。在分钟内提供新的金库和密钥(或从您自己的HSM导入密钥)，并集中管理密钥、机密和策略。
• AWS CloudHSM：AWS CloudHSM是一个基于云的硬件安全模块(HSM)，它使您能够轻松地在AWS上生成和使用自己的加密密钥。使用CloudHSM，您可以使用FIPS140-2级3级验证的HSM管理自己的加密密钥。

此外，还有一些非HSM的密钥管理解决方案：

• 云密钥管理(谷歌)：Cloud是一种云托管的密钥管理服务，它允许您像在现场一样管理云服务的加密。您可以生成、使用、旋转和销毁AES256加密密钥。云KMS与IAM和集成在一起，这样您就可以管理各个密钥的权限，并监视这些权限的使用情况。使用Cloud来保护您需要存储在Google平台中的机密和其他敏感数据。
• 各种安全装置可在所有云市场上使用。

有没有人找到让组织使用他们完全管理的HSM的技术？

Answer 1

因此，在过去几周的时间里，Azure亲自向我证实，在Microsoft中使用FIPS-140二级认证硬件安全模块的唯一方法是使用Azure钥匙库。

Answer 2

理查德，你说得对，云和HSMs是两个相互矛盾的概念。

为了满足密钥管理和密码操作的可用性和弹性要求，需要一个中间件来控制所有硬件。这基本上是由现在可用的云KMS完成的。

使用AWS，不再存在完全管理的可用性和弹性。相反，如果需要(可伸缩性)，您可以将HSM添加到集群中，如果它们位于不同的可用性区域，您也可以达到一定的可用性水平(但相对于KMS，还没有SLA保证)。此外，AWS正在进行备份。但是，您必须信任AWS和Cavium，它们从不协作，并且计算出HSM之外的AKBK和MKBK (参见AWS白皮书第10页)的备份加密密钥。

当您真正想要完全控制HSM时，您必须自己托管HSM，并使用VPN将其连接到云端。但是，取决于数据中心的Internet连接，您可能会受到较低的延迟，并且您的外部Internet连接可能容易受到DoS攻击。因此，像Utimaco密码服务器云这样的解决方案包括从它们的数据中心到云的私有连接。根据数据中心和云区域的位置，这些连接可以具有非常低的延迟。由于HSM不属于任何云服务提供商，所以您可以更容易地切换CSP，因为您不需要移动键(这在KMS中是很难做到不可能的)。此外，多云方案也是可能的。另一方面，您必须承担所有的管理任务，如备份或固件升级。此外，要实现高可用性，您必须租用至少两个HSM，而缩放粒度只是一个完整的HSM。但这是对HSM拥有完全控制的非常安全的代价。

Answer 3

我只想向你们指出，有一些解决方案，以受益于HSM aaS专用。我们正在Interxion (欧洲定位服务提供商)进行试验：https://www.interxion.com/products/key-guardian/