BYOK是否是云计算安全的关键?

然而，仍有一些企业想拥有携带自己的密钥的选择——或者甚至将密钥托管在一款他们运营的HSM中。在许多方面，托管自己的密钥违背了许多公司采用云服务的初衷，因为云服务的速度，简单性和节省成本的特点，使得企业不再运行自己的基础设施以提供这些服务。如果您企业想保持可接受的性能和服务水平，您将需要大量的基础设施。“那些客户将需要运行高可用性容错的数据中心分布式服务到问题密钥。”Plastina警告说。如果不是今天微软所提供的服务，那么这些行业的企业要做到像银行一样是相当重要的，因为这些银行企业已经有了流程和安全的密钥方面的专业知识，以及审查员工方面的经验。

精BYOK和Office 365 

“如果您在将相关的数据迁移到云服务之前对数据进行了加密，那么这些数据就不能被推理，而简单的表格，以及诸如垃圾邮件和病毒检测之类的任务也是不可能完成的，而更高级别的功能，如符合法律监管和深入的文档发现等等功能都将需要获得上传这些内容的人员的授权。企业CIO们明白，当他们来到云服务时，他们希望具备这些功能。他们所问的问题是“我们怎样才能让您能够通过利用机器做到这一点，同时又不让您的人员看到我们的数据呢?”

另一种选择是采用新的Office Lockbox。“这一服务理念是：提供云服务的人没有权限访问您的内容。您可以确保微软不会有人访问您所存储的内容。如果有我们需要访问的一个支持的理由，我们会请求获得访问许可，并直到我们得到该许可，人为运行的服务无法访问这些内容。”客户将获得透明度和能见度，Rich说;他们可以看到有哪些访问请求，并能够控制那些业务访问请求可以被批准，并获得相关的活动日志，了解当访问发生时，哪些内容被访问了。

而如果您想知道有哪些因素可以防止微软随意宣称他们并没有访问这些内容，或者监督管理员是否执行了远远超出了日志显示的操作的话，Rich列举了微软所负责运行的政府安全计划，在该计划中，微软负责提供对于微软源代码的访问控制，而这些代码最近刚刚被北约组织进行了更新。“我们与我们的客户达成协议，我们托管负责Lockbox的代码，并使其成为一个程序的一部分，允许第三方代码审查，以显示其没有侧门或后门。”

提供Lockbox意味着重写Office服务，以便能够删除来自企业内部部署的服务器软件的默认设置，因为管理员总是对于这些数据有访问权限。这在Exchange中已经实现了，而Lockbox中的选择现也已经有了;其将在2016年第一季度成为SharePoint的一项功能选项。

Office 365也将从依靠BitLocker转为对工作负载运行在其之上的服务器的加密，当工作负载运行时不会提供保护，而是转为对应用程序层进行加密。这一功能已经在SharePoint中完成，而对于在Exchange实现这一功能也已经于2015年底准备就绪了，企业版Skype的业务则被排在此之后。“这将把数据管理员与服务管理员独立开来。”他声称。其也将是BYOK的。”我们将在应用程序层中使用密钥包装，以通过用户所拥有的Azure密钥库保护邮箱的内容。”

“当服务完全释放时，我们的计划是为客户提供少量的密钥，也许10或20个，方便用户用来与您的客户通过Exchange、SharePoint和企业版Skype进行交流。大多数客户表示说他们不需要太多的密钥，例如在美国和欧洲企业一般位三个密钥，而在亚太地区，他们会将密钥存储在密钥库。

这些密钥将需要保护，但不会使得Office 365的运行更复杂，他预测说。“您企业只需要做最少量的管理工作，偶尔调整一下密钥。”Rich表示说。“您使用这些密钥的方法是作为整个服务的策略。在正常操作中，我们没有权限访问您的内容;如果一个人需要访问，那么Office Lockbox便会记录，这样用户就能够知道谁在何时进行了访问。而一旦您离开办公大楼时，在密钥库中的密钥会把所有的灯关掉。”

记住，BYOK并不是您企业所需要承担的唯一与密钥管理相关的安全责任。Windows 10包括了新设备的保护选项以限制PC机只能运行那些要么来自于Windows商店或已经由ISV或由企业自己签署的使用微软认证密钥链的应用程序。ISV和微软可以签署任何企业能运行的应用程序;但这些企业组织已经经历了保护高价值的密钥的过程。

签名密钥的企业得到的是更多的限制，生产的签名应用程序只能运行在自己的领域。但这仍然意味着违背了您的签名密钥的攻击者可以产生恶意软件，以攻击您的最安全的设备。

如果您正在使用设备保护配置代码以完整您的电脑，微软的Chris Hallum指出，“确保这些访问的人员是值得信赖的人进行的是非常重要的，您企业可以使用双因素身份验证，以确保只有有限数量的、您信任的资深人员在您的企业组织才有访问权限。”

在2007年，黑客偷了诺基亚用于其塞班操作系统应用程序的数字签名的密钥，并勒索该公司交出数百万欧元。

如果您企业没有准备好处理从突发火灾事故到黑客勒索的这一系列或将潜在的对您企业的信息基础设施和公司的数据造成拒绝服务攻击的状况的话，您企业可能不会准备采用携带自己的密钥的策略。最近，在Visual Studio 2015的创建的GitHub的插件bug，意味着开发者在他们的代码中嵌入AWS凭据上传到一个私人库，却发现，黑客们利用这些密钥运行了价值数千美元的AWS实例。

来源：机房360

免责声明：本新闻资讯仅代表原作者个人观点，与本站无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。