当前linux主机上web应用的行业标准密钥管理解决方案

Question

场景:数据被发送到应用服务器，在将数据发送到DB服务器存储之前，您希望有选择地加密一些数据。所有服务器都运行一些linux发行版。这是一个相对较高的安全局势，如果数据泄露，可能会造成重大的经济损失，但同时这并不是国家安全问题。此外，服务器处于第三方云基础设施中，因此HSM不是一种选择。具体的监管要求是不必要的，但我怀疑这一问题的答案将满足大部分要求。

假设:数据被安全地发送到应用服务器，并且应用程序用户被正确地授权检索数据。

我已经寻找了一段时间，想出什么是目前公认的关键管理的“行业最佳实践”，并不断地遇到零散的好建议。有人能为我指出一个已经回答了这个问题的资源吗?或者我们能为上面描述的确切情况找到最好的“当前接受的答案”吗？

Answer 1

听起来就像在寻找一种解决方案来保护您的数据，而它是“在休息”。您可能已经知道，仅仅在数据“静止”时保护它，而在处理数据时忽略它的安全性是不够的。

如果您有购买商业(付费)解决方案的预算，您可能需要查看其中之一。

1. Oracle密钥管理器
2. RSA数据保护管理器

有许多潜在的解决方案取决于您正在使用的服务。例如，Amazon提供了与其亚马逊关系数据库服务()相结合的解决方案，该服务提供了使用保留格式的加密来加密数据的能力。

您可能需要查看“透明数据加密”。了解更多关于您的设置的体系结构将确实有帮助。这是一个真正的云设置，还是一个定位？

最后，我敦促您考虑在云中运行“敏感”数据的安全性问题。

Answer 2

在Linux服务器上实现应用程序级加密有点棘手，因为应用程序需要能够从某个地方获取加密密钥，而且您不希望这在任何地方都是明文。从管理的角度来看，您可能希望对加密密钥具有双重控制和拆分知识。

您可以在访问组之间以及应用程序和数据库之间进行某种程度的逻辑分离，这可以通过XOR一起创建加密密钥，尽管这可能会通过模糊提供一些有限的安全性。

另一种选择是手动干预，将密钥加载到应用程序内存中。例如，让user1解密包含密钥组件的gpg文件并将其加载到应用程序内存中，然后让user2解密包含密钥组件的gpg文件并将其加载到应用程序内存中。应用程序可以将这些组件放在一起，以便在内存中有一个加密密钥。您必须考虑系统重新启动/崩溃，我想user1和user2可能是服务帐户.你知道这个主意。

希望这能帮上忙。

Answer 3

你确定你不只是在寻找个人的公钥/私钥基础设施吗？您可以创建自己的CA服务器/ Intermediate / Servers，并对它们进行集中管理(OpenSSL/每个月的任何SSL版本)。您可以使用您的RSA对传输(DIT)中的数据和Rest中的数据(DAR)进行加密。

这基本上就是Oracle密钥管理器和RSA DPM。如果您有他们的预算，缺乏知识，这可能是实现商业解决方案的工作，但如果您知道您在linux上做什么，这并不是真正的挑战。您可能会发现这是一个正在进行的过程，您可以编写自动化任务脚本，并为黄金图像部署CA Certs。