原生加密：騰訊云數(shù)據(jù)安全中臺(tái)解決方案

一、企業(yè)數(shù)據(jù)安全風(fēng)險(xiǎn)和國(guó)內(nèi)密碼應(yīng)用現(xiàn)狀

隨著企業(yè)上云和數(shù)字化轉(zhuǎn)型升級(jí)的深化，數(shù)據(jù)正在成為企業(yè)的核心資產(chǎn)之一，在生產(chǎn)過程中發(fā)揮的價(jià)值越來越大。

近幾年大規(guī)模的數(shù)據(jù)泄露事件頻發(fā)，外部威脅和內(nèi)部威脅左右夾擊，由內(nèi)部威脅帶來的大規(guī)模數(shù)據(jù)泄露事件越來越多，不安全的配置、源代碼泄露及硬編碼都有可能造成數(shù)據(jù)泄露，企業(yè)業(yè)務(wù)數(shù)據(jù)安全面臨嚴(yán)峻挑戰(zhàn)。

業(yè)務(wù)安全挑戰(zhàn)

·提供數(shù)據(jù)傳輸、數(shù)據(jù)存儲(chǔ)等過程中的機(jī)密性和完整性的保護(hù)；

·完善的密鑰生命周期管理，保證密鑰產(chǎn)生和運(yùn)算過程的安全；

·保護(hù)金融支付、電子政務(wù)、身份認(rèn)證等業(yè)務(wù)過程的安全。

另一方面，《密碼法》、《網(wǎng)絡(luò)安全法》、網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0，以及相關(guān)行業(yè)安全規(guī)范對(duì)數(shù)據(jù)安全保護(hù)以及數(shù)據(jù)加密做出明確規(guī)定。

安全合規(guī)要求

·滿足外部合規(guī)需求，如密碼法應(yīng)用要求、等保安全合規(guī)建設(shè)等，系統(tǒng)安全標(biāo)準(zhǔn)PCI DSS、SOC、第三方支付認(rèn)證等；

·滿足內(nèi)部審計(jì)管理策略。

二、密碼常用技術(shù)簡(jiǎn)介

1.對(duì)稱加密

·AES、DES、3DES、SM4等；

·加密解密使用相同密鑰。

2.非對(duì)稱加密

·RSA、ECC、SM2等；

·公鑰加密，私鑰解密。

3.雜湊/哈希/散列

·SHA、MD5、SM3；

·單向不可逆。

4.數(shù)字簽名

·將非對(duì)稱密鑰反過來使用；

·私鑰簽名，公鑰驗(yàn)證。

三、企業(yè)數(shù)據(jù)安全面臨的難題

1.從數(shù)據(jù)安全生命周期看風(fēng)險(xiǎn)及防護(hù)關(guān)鍵難點(diǎn)

難點(diǎn)1：分類、治理和策略。

難點(diǎn)2：DaR/DiT/DiU加密技術(shù)。

難點(diǎn)3：密鑰管理。

難點(diǎn)4：事件監(jiān)測(cè)分析。

2.從開發(fā)運(yùn)營(yíng)過程看數(shù)據(jù)泄露風(fēng)險(xiǎn)

開發(fā)：意識(shí)疏忽泄露源代碼中包含的敏感憑據(jù)和密鑰。

測(cè)試：暴露高風(fēng)險(xiǎn)的測(cè)試數(shù)據(jù)庫(kù)訪問端口和弱賬號(hào)等。

部署/交付：臨時(shí)環(huán)境中的數(shù)據(jù)訪問端口，薄弱配置導(dǎo)致的安全問題。

生產(chǎn)/運(yùn)營(yíng)：賬號(hào)口令泄露、破解、弱口令，缺乏保護(hù)的隱私數(shù)據(jù)和密鑰。

3.從應(yīng)用服務(wù)的構(gòu)成看數(shù)據(jù)泄露風(fēng)險(xiǎn)

數(shù)據(jù)從產(chǎn)生、傳輸、存儲(chǔ)、處理，到共享展示，每一個(gè)環(huán)節(jié)都存在數(shù)據(jù)泄露的風(fēng)險(xiǎn)，涉及數(shù)據(jù)安全保障：

本地敏感數(shù)據(jù)存儲(chǔ)安全、網(wǎng)絡(luò)通道的安全、配置文件和硬編碼敏感信息的安全、密鑰的安全管理、云上數(shù)據(jù)的存儲(chǔ)安全、金融支付等敏感應(yīng)用的安全合規(guī)問題、數(shù)據(jù)的共享、展示脫敏的問題等等。

4.云架構(gòu)下數(shù)據(jù)加密及密鑰管理的挑戰(zhàn)

（1）云數(shù)據(jù)全生命周期保護(hù)

數(shù)據(jù)分級(jí)與治理，確保云上敏感數(shù)據(jù)從生產(chǎn)、存儲(chǔ)、流動(dòng)、使用到銷毀等數(shù)據(jù)全生命周期的加密策略的應(yīng)用。

（2）云產(chǎn)品數(shù)據(jù)加密及密鑰管理

云產(chǎn)品，如云硬盤、云存儲(chǔ)、云數(shù)據(jù)庫(kù)等精細(xì)化數(shù)據(jù)加密保護(hù)，密鑰策略集中管控、安全分發(fā)、多租戶隔離等挑戰(zhàn)。

（3）密碼方案云環(huán)境適配

傳統(tǒng)密鑰管理系統(tǒng)方案與云平臺(tái)架構(gòu)難以融合，合規(guī)化硬件密碼機(jī)部署困難，多租戶管理、權(quán)限管控困難，接口不適配等。

（4）密鑰權(quán)限租戶主管控

云數(shù)據(jù)加密與密鑰管理分離，密鑰全生命周期由租戶自主管控，包括密鑰訪問身份與策略管控、密鑰材料、加密算法等。

四、騰訊云數(shù)據(jù)安全中臺(tái)

騰訊云數(shù)據(jù)安全中臺(tái)具備三大特性，全數(shù)據(jù)生命周期支持、完整的云產(chǎn)品生態(tài)集成、國(guó)密與FIPS標(biāo)準(zhǔn)的支持。騰訊云數(shù)據(jù)安全中臺(tái)還能提供極簡(jiǎn)的加密API和SDK服務(wù)，讓用戶得以使用最小的工作量，極簡(jiǎn)地實(shí)現(xiàn)對(duì)云上數(shù)據(jù)的加密保護(hù)。

通過數(shù)據(jù)安全中臺(tái)的解決方案，可以在各個(gè)環(huán)節(jié)解決這些數(shù)據(jù)安全風(fēng)險(xiǎn)的問題，例如客戶端本地敏感數(shù)據(jù)的存儲(chǔ)，通過SDK結(jié)合KMS進(jìn)行數(shù)據(jù)的加解密。不同服務(wù)之間的調(diào)用，API密鑰的保管可以使用白盒密鑰解決，配置文件敏感信息可以通過憑據(jù)管理系統(tǒng)進(jìn)行很好的管理。

五、云上數(shù)據(jù)安全應(yīng)用最佳實(shí)踐

1.密鑰管理系統(tǒng)KMS

對(duì)于云上數(shù)據(jù)安全應(yīng)用方案，需要保管的核心內(nèi)容就是密鑰，密鑰存放在硬編碼配置文件里面，是寫在代碼里面的，這種情況下配置文件泄漏或者代碼泄漏，密鑰也會(huì)隨之泄漏，密鑰的丟失導(dǎo)致數(shù)據(jù)的密文不再安全，因此使用加密算法需要使用密鑰管理系統(tǒng)（KMS）來對(duì)密鑰進(jìn)行統(tǒng)一管理。

另外，密鑰的強(qiáng)度和隨機(jī)性也是安全的重要因素之一，使用軟件產(chǎn)生的偽隨機(jī)數(shù)的安全度要低于專用硬件加密機(jī)生成的真隨機(jī)數(shù)，這也是我們數(shù)據(jù)加密密鑰需要使用KMS的原因之一。

KMS是云平臺(tái)和產(chǎn)品合規(guī)的基礎(chǔ)安全組件，海外用戶需要滿足FIPS-140-2標(biāo)準(zhǔn)，國(guó)內(nèi)用戶需要支持國(guó)密。一般的密鑰管理系統(tǒng)提供以下特性：

·基于硬件加密機(jī)的真隨機(jī)數(shù)；

·密鑰的權(quán)限細(xì)粒度管控；

·密鑰的自動(dòng)輪換；

·密鑰生命周期的管理（創(chuàng)建、開啟、禁用、計(jì)劃刪除、銷毀等）；

·自有密鑰的導(dǎo)入；

·多級(jí)密鑰管理。

用戶根密鑰的創(chuàng)建、管理等操作都將在合規(guī)的HSM硬件中進(jìn)行，騰訊云在內(nèi)的任何人都無法獲取到您的明文主密鑰。

（1）安全合規(guī)的密鑰保障

KMS控制臺(tái)操作簡(jiǎn)單，用戶可自動(dòng)創(chuàng)建密鑰的類型，密鑰輪換的啟停、密鑰的啟用、計(jì)劃刪除等等。

密鑰有自己的生命周期，從狀態(tài)上可以看到，創(chuàng)建一個(gè)密鑰后，開啟的狀態(tài)就是可用的狀態(tài)，如果發(fā)現(xiàn)一個(gè)密鑰出現(xiàn)了泄漏的問題，管理員可以立即關(guān)掉，讓所有的數(shù)據(jù)都不能進(jìn)行解密。

最小粒度進(jìn)行授權(quán)，KMS與騰訊云訪問管理集成可進(jìn)行資源級(jí)別的授權(quán)，通過CAM身份管理和策略管理控制哪些賬戶、哪些角色可以訪問或管理敏感密鑰。首先管理員在KMS創(chuàng)建一個(gè)子賬號(hào)，不同子賬號(hào)分配給不同的應(yīng)用，根據(jù)不同應(yīng)用的特點(diǎn)可以進(jìn)行授權(quán)。

（2）敏感數(shù)據(jù)加密

敏感信息加密是密鑰管理服務(wù)（KMS）核心的能力，實(shí)際應(yīng)用中主要用來保護(hù)服務(wù)器硬盤上敏感數(shù)據(jù)的安全（小于4KB），如密鑰、證書、配置文件等。

通過直接調(diào)用KMS接口選擇采用對(duì)稱密鑰或非對(duì)稱密鑰進(jìn)行數(shù)據(jù)加解密，默認(rèn)海外節(jié)點(diǎn)是AES算法，國(guó)內(nèi)是國(guó)密的算法，解決傳統(tǒng)用戶本地加解密的痛點(diǎn)，權(quán)限是無法管控的。

另外加密算法庫(kù)的依賴，目前國(guó)密算法SDK相對(duì)比較少，通過KMS只需要KMS SDK避免對(duì)各種算法的依賴。這是數(shù)據(jù)量不大、并發(fā)性能要求不高的場(chǎng)景，可以直接調(diào)用SDK。

（3）高性能本地?cái)?shù)據(jù)加密

對(duì)于較大的文件或者對(duì)性能敏感的數(shù)據(jù)加密，推薦使用信封加密。

這里說一下多層密鑰管理，因?yàn)镵MS考慮安全性通訊鏈路是HTTPS，每一個(gè)請(qǐng)求都經(jīng)過遠(yuǎn)程調(diào)用，性能滿足不了要求，這種情況下可通過多級(jí)密鑰管理的方式來解決，多級(jí)密鑰存在用戶緩存中，只要主密鑰保證足夠的安全，數(shù)據(jù)密鑰就可以保證安全，數(shù)據(jù)密鑰保證安全，數(shù)據(jù)也就能夠保證安全性。這就是我們說的信封加密。

KMS產(chǎn)生兩級(jí)密鑰(主密鑰CMK和數(shù)據(jù)加密密鑰DEK)，海量的業(yè)務(wù)數(shù)據(jù)采用DEK進(jìn)行本地高效加密，而DEK通過CMK進(jìn)行加密保護(hù)。通過DEK加密后的密文數(shù)據(jù)及DEK密文傳輸并存儲(chǔ)至服務(wù)端業(yè)務(wù)系統(tǒng)。解密時(shí)，先用CMK解密DEK密文，獲得DEK明文后再本地解密業(yè)務(wù)數(shù)據(jù)。

數(shù)據(jù)加解密可以在本地進(jìn)行操作，避免每次發(fā)起SDK的請(qǐng)求。第一次數(shù)據(jù)加解密時(shí)觸發(fā)一次網(wǎng)絡(luò)調(diào)用，其他的所有時(shí)間都是本地進(jìn)行數(shù)據(jù)加解密，目前服務(wù)器算力加密算法對(duì)業(yè)務(wù)性能的影響基本上還是在可接受的范圍內(nèi)。

（4）BYOK（Bring Your Own Key）

KMS支持BYOK（Bring Your Own Key），允許用戶在騰訊云架構(gòu)上使用自有的密鑰材料進(jìn)行敏感數(shù)據(jù)加解密服務(wù)。通過KMS服務(wù)生成一個(gè)密鑰材料為空的用戶根密鑰，用戶可將自己的密鑰材料導(dǎo)入到該密鑰中，形成一個(gè)外部密鑰，再由KMS服務(wù)進(jìn)行該外部密鑰的分發(fā)管理。

（5）無縫集成云產(chǎn)品，實(shí)現(xiàn)云上數(shù)據(jù)透明加密

企業(yè)上云非常在意的一點(diǎn)是數(shù)據(jù)的存儲(chǔ)安全性，通過KMS如何如何實(shí)現(xiàn)簡(jiǎn)單數(shù)據(jù)的安全存儲(chǔ)？KMS集成了多款云產(chǎn)品，通過授權(quán)的方式實(shí)現(xiàn)特別數(shù)據(jù)加解密的功能。

以CBS加密為例：

用戶啟動(dòng)CBS加密特性時(shí)，KMS將自動(dòng)通過系統(tǒng)默認(rèn)生成CMK以信封加密的方式對(duì)業(yè)務(wù)數(shù)據(jù)進(jìn)行加密。用戶掛載CBS時(shí)，由CBS在用戶授權(quán)情況下為用戶創(chuàng)建CMK和數(shù)據(jù)密鑰，當(dāng)數(shù)據(jù)需要寫入時(shí)，由CBS觸發(fā)加密操作，密文存儲(chǔ)，當(dāng)用戶需要讀取數(shù)據(jù)時(shí)，由CBS自動(dòng)為用戶解密返回明文，整個(gè)流程對(duì)用戶來說是完全透明的

（6）白盒密鑰管理

在訪問API接口服務(wù)時(shí)，需要API鑒權(quán)的密鑰或者Token，例如云API訪問時(shí)需要SecretId和SecretKey，對(duì)于這類特殊數(shù)據(jù)的保護(hù)場(chǎng)景，推薦使用白盒加密的方式來保護(hù)API密鑰的安全。

白盒算法是將算法和密鑰進(jìn)行混淆，整個(gè)加密過程中都不需要明文密鑰，從而解決了標(biāo)準(zhǔn)密碼算法中明文密鑰的問題。使用過程中用戶作為管理員角色，創(chuàng)建白盒密鑰對(duì)API Key進(jìn)行加密，并把白盒解密密鑰和API Key密文分發(fā)給相應(yīng)的開發(fā)或運(yùn)維人員部署，使用白盒解密密鑰和白盒SDK解密API Key密文至內(nèi)存中使用，通過這樣的方式有效對(duì)API Key的安全進(jìn)行加固。

另外，白盒密鑰管理支持指定設(shè)備綁定，限定白盒密鑰解密的環(huán)境，即使密鑰全部丟失情況下，脫離環(huán)境也無法進(jìn)行解密，進(jìn)一步加固保護(hù)API Key的安全性。

2.憑據(jù)管理系統(tǒng)

像帳號(hào)密碼、敏感IP端口、數(shù)據(jù)庫(kù)連接信息等我們可以統(tǒng)稱為憑據(jù)，傳統(tǒng)的使用方式是把信息配置在配置文件或者配置中心?，F(xiàn)狀是大部分敏感憑據(jù)并沒有進(jìn)行加密保護(hù)，一旦配置文件丟失，容易造成敏感信息泄露。有一些有安全意識(shí)開發(fā)的同學(xué)會(huì)對(duì)敏憑據(jù)進(jìn)行一次簡(jiǎn)單的加密，但是加密憑據(jù)的密鑰放在哪里就成了關(guān)鍵問題。

這種情況，推薦使用憑據(jù)管理系統(tǒng)（SecretsManager，SSM)對(duì)敏感憑據(jù)進(jìn)行統(tǒng)一管理。

·安全的憑據(jù)托管以及權(quán)限控制，數(shù)據(jù)使用KMS加密

·憑據(jù)的版本管理

·憑據(jù)的自動(dòng)輪換

·憑據(jù)的生命周期管理

以一個(gè)源代碼為例，通常的方式會(huì)在配置文件中配置DB連接方式，代碼初始化會(huì)加載初始文件，建立數(shù)據(jù)庫(kù)連接池，配置文件里面是敏感信息。通過接入憑據(jù)管理系統(tǒng)，從源代碼中刪除硬編碼憑據(jù)，將程序中對(duì)敏感信息硬編碼或配置文件中敏感信息替換為通過API的方式查詢，以編程方式動(dòng)態(tài)檢索憑據(jù)，代碼中不會(huì)出現(xiàn)敏感信息，業(yè)務(wù)只需關(guān)心一個(gè)接口，這有助于避免代碼泄露時(shí)或者查看代碼的人獲取敏感信息。

憑據(jù)輪換是通過版本管理的方式，借助憑據(jù)管理系統(tǒng)，按周期更新敏感憑據(jù)內(nèi)容，依賴該憑據(jù)的所有應(yīng)用點(diǎn)將自動(dòng)完成同步，實(shí)現(xiàn)安全的憑據(jù)輪換管理，同時(shí)確保依賴該憑據(jù)的業(yè)務(wù)連續(xù)性。

3.云加密機(jī)

金融、支付、政務(wù)等敏感應(yīng)用有比較高的合規(guī)審計(jì)需求，云加密機(jī)可以很好地滿足這類特殊需求。

傳統(tǒng)的方式需要使用硬件加密機(jī)，但傳統(tǒng)硬件加密機(jī)的問題是部署周期長(zhǎng)、部署復(fù)雜、部署成本高。

利用虛擬化技術(shù)，提供可擴(kuò)展，高可用，高性能的虛擬硬件密碼機(jī)VSM服務(wù)，可以降低用戶自行部署物理加密機(jī)的風(fēng)險(xiǎn)和成本。

云加密機(jī)可以自身實(shí)現(xiàn)安全可靠的密鑰管理，支持國(guó)際、國(guó)密算法，支持選擇不同使用類型的VSM滿足不同的應(yīng)用需求。

（1）金融數(shù)據(jù)密碼機(jī)EVSM

主要應(yīng)用于金融支付領(lǐng)域保障金融數(shù)據(jù)的安全，符合各種金融行業(yè)的規(guī)范，符合金融磁條卡、IC卡業(yè)務(wù)等特點(diǎn)。

（2）通用服務(wù)器密碼機(jī)GVSM

提供國(guó)際和國(guó)內(nèi)通用的密碼服務(wù)接口，能獨(dú)立或并行為多個(gè)應(yīng)用實(shí)體提供密碼服務(wù)和密鑰管理服務(wù)的云加密實(shí)例。

（3）簽名驗(yàn)證服務(wù)器SVSM

提供基于PKI體系和數(shù)字證書的數(shù)字簽名、驗(yàn)證簽名等運(yùn)算功能，可以保證關(guān)鍵業(yè)務(wù)信息的真實(shí)性、完整性和不可否認(rèn)性。

4.數(shù)據(jù)庫(kù)加密

企業(yè)數(shù)據(jù)上云會(huì)用到多種關(guān)系型數(shù)據(jù)庫(kù)、非關(guān)系型數(shù)據(jù)庫(kù)，業(yè)務(wù)重要數(shù)據(jù)在落盤存儲(chǔ)時(shí)需要使用密碼技術(shù)對(duì)敏感數(shù)據(jù)進(jìn)行加密處理?？刹捎脩?yīng)用層加密或數(shù)據(jù)庫(kù)層加密的方式：

業(yè)務(wù)自己在應(yīng)用層進(jìn)行數(shù)據(jù)的加解密，結(jié)合SDK應(yīng)用內(nèi)對(duì)數(shù)據(jù)解密后進(jìn)行明文的展示，這種方式用戶實(shí)現(xiàn)的成本相對(duì)比較高，需要自己去實(shí)現(xiàn)各種各樣的邏輯。

數(shù)據(jù)庫(kù)層加密有幾種方式：

（1）數(shù)據(jù)庫(kù)插件

通過插件的方式來截獲用戶的請(qǐng)求，關(guān)聯(lián)用戶加解密的策略，進(jìn)行數(shù)據(jù)的加解密。這樣的方式優(yōu)點(diǎn)是性價(jià)比高、性能比較高、實(shí)施成本也比較低。

（2）數(shù)據(jù)庫(kù)加密網(wǎng)關(guān)

云上實(shí)施比較容易，自動(dòng)為用戶分配數(shù)據(jù)庫(kù)加密網(wǎng)關(guān)，用戶在業(yè)務(wù)敏感的前提下可以通過加密網(wǎng)關(guān)的方式實(shí)現(xiàn)字段級(jí)數(shù)據(jù)庫(kù)加解密。

（3）TDE表空間級(jí)加密

騰訊云數(shù)據(jù)庫(kù)服務(wù)對(duì)接KMS為用戶提供透明加解密的方案，實(shí)現(xiàn)的機(jī)制是通過KMS提供主密鑰，通過數(shù)據(jù)庫(kù)的TDE特性進(jìn)行表空間數(shù)據(jù)加解密，對(duì)業(yè)務(wù)上層透明，缺點(diǎn)是目前不能做到字段級(jí)的數(shù)據(jù)加解密的功能。

（4）云訪問安全代理CASB

對(duì)于期望對(duì)數(shù)據(jù)庫(kù)進(jìn)行字段級(jí)的加解密，防止被脫庫(kù)后敏感信息的泄露，除了應(yīng)用側(cè)自行實(shí)現(xiàn)加解密邏輯，云數(shù)據(jù)安全中臺(tái)提供了云訪問安全代理CASB方案組件。借助CASB，用戶可以輕松實(shí)現(xiàn)基于商用密碼算法的應(yīng)用免改造、字段級(jí)加密，以及基于密碼應(yīng)用的防黑客攻擊的數(shù)據(jù)安全保護(hù)方案。

Q&A

Q：一般加解密的耗時(shí)是在什么范圍？

A：通過KMS進(jìn)行加解密是通過硬件加密機(jī)，基本上在10毫秒以內(nèi)，整體耗時(shí)也需要看用戶的網(wǎng)絡(luò)環(huán)境，通常情況下是30-50毫秒以內(nèi)，如果對(duì)性能比較敏感的，可以通過多級(jí)密鑰的方式在本地進(jìn)行高性能加解密，本地進(jìn)行數(shù)據(jù)加解密主要取決于服務(wù)器的配置。目前來看，使用AES128對(duì)整個(gè)性能的影響是可接受的。

Q：加密數(shù)據(jù)如何傳送給另一個(gè)云服務(wù)供應(yīng)商或傳回給企業(yè)？

A：不同的服務(wù)商間傳遞可以通過信封加密的方式，在傳遞密文的同時(shí)也傳遞數(shù)據(jù)加密密鑰的密文，騰訊云帳號(hào)體系是支持通過角色來進(jìn)行跨帳號(hào)的授權(quán)，授權(quán)第三方綁用戶KMS的資源，接收方就可以解密密鑰的密文，拿到明文后對(duì)數(shù)據(jù)進(jìn)行解密，就可以拿到傳遞數(shù)據(jù)真實(shí)的信息。

Q：硬件加密相對(duì)一般軟加密有什么優(yōu)勢(shì)、其底層原理是什么？

A：一是它是基于硬件設(shè)備來產(chǎn)生的真隨機(jī)數(shù)，比如會(huì)采集周邊的光噪聲、熱噪聲，通過專用的硬件生成真隨機(jī)數(shù)，軟件生成的隨機(jī)數(shù)是偽隨機(jī)數(shù)，真隨機(jī)數(shù)保障整個(gè)密鑰的安全性。硬件密碼機(jī)是經(jīng)過國(guó)家密碼局安全認(rèn)證的，可以將密鑰安全地托管在密碼機(jī)內(nèi)，任何人都無法獲取它的明文，通過這樣托管的方式保障整個(gè)密鑰的安全性。

Q：內(nèi)部分析人員會(huì)接觸到原始客戶的數(shù)據(jù)，對(duì)于內(nèi)部數(shù)據(jù)有什么加密方案？

A：內(nèi)部的分析人員如果需要對(duì)原始數(shù)據(jù)進(jìn)行分析的話，建議還是在分析過程中對(duì)數(shù)據(jù)進(jìn)行解密后再進(jìn)行分析。用戶的明文數(shù)據(jù)一定不是明文進(jìn)行落盤?？梢酝ㄟ^KMS對(duì)數(shù)據(jù)進(jìn)行加解密。

Q：如果用AES 256加密算法是否會(huì)影響很大？這樣加密方式、數(shù)量類型、數(shù)據(jù)量相關(guān)嗎？

A：和數(shù)據(jù)量是相關(guān)的，AES256對(duì)性能有一定的影響，要看服務(wù)器的配置、有沒有硬件加速卡進(jìn)行加速等條件，AES128也有足夠的安全性，有特別的需求可以用AES256。

Q：白盒加密的加密流程是怎樣的？

A：實(shí)際上操作分兩部分，第一部分是KMS管理員通過控制臺(tái)創(chuàng)建一個(gè)白盒密鑰，第二步通過白盒密鑰對(duì)用戶的敏感數(shù)據(jù)進(jìn)行加密，這一步也是通過控制臺(tái)生成的，過程已經(jīng)將密鑰和算法進(jìn)行混合，管理員再將混合后的密鑰分發(fā)給研發(fā)或者是運(yùn)維同學(xué)使用，管理員通過控制臺(tái)進(jìn)行加密過程中實(shí)現(xiàn)了算法和密鑰的混合，保證其安全性。

Q：通過白盒加密的內(nèi)容，如何解密？

A：首先提供解密的SDK，會(huì)有白盒密鑰，以及經(jīng)過混淆后的密文，本地集成SDK方式進(jìn)行解密。

Q：客戶端需要從云端獲取密鑰，怎么防止客戶端冒充及怎么自證客戶端的身份？

A：騰訊云有一套健全的身份認(rèn)證體系，會(huì)分主帳號(hào)、子帳號(hào)多級(jí)認(rèn)證，通過騰訊云統(tǒng)一身份認(rèn)證鑒別用戶身份防止客戶端冒充，通過授權(quán)使用API key，也是通過帳號(hào)管理體系分配權(quán)限的。

Q：管理員分配給客戶端是存儲(chǔ)在客戶端本地嗎，如果被別人拿到是不是可以冒充客戶端？

A：對(duì)帳號(hào)的身份鑒權(quán)是根密鑰APIKey，不同服務(wù)間進(jìn)行API調(diào)用需要身份認(rèn)證，安全性是需要進(jìn)行保障的，傳統(tǒng)的方式是放到本地的某一個(gè)目錄下的文件中進(jìn)行權(quán)限控制，或者放在環(huán)境變量中，白盒密鑰是專門用來對(duì)這類APIKey進(jìn)行混淆加密實(shí)現(xiàn)安全加固的。

Q：國(guó)密算法和一般國(guó)外的算法有什么不同呢？

A：國(guó)密算法是國(guó)家出臺(tái)的一系列的算法，像非對(duì)稱加密也是利用了橢圓曲線算法的特性，大體思路上是相同的。