新密鑰技術簡化雲端資料加密

待用資料一直是通過被稱為公開金鑰基礎設施(PKI)的技術來保護：當資料被建立時，就會使用公開金鑰對資料進行加密，並且從理論上講，只有持有私密金鑰的授權人才能夠解密資料。當將這種資料保護辦法擴充到雲環境後，事情會變得更加複雜。

由於在雲環境中，IT團隊缺乏對資料安全的直接控制，所以資料移轉到雲環境將會給IT團隊帶來新的複雜的安全問題。此外，雲供應商認為資料安全是需要共同承擔責任，即服務供應商保證物理安全，使用者必須保護其伺服器和資料的安全。這將需要新的加密策略和密鑰管理原則，將金鑰儲存區在雲環境外部，而不是雲環境中。

初創安全公司Porticor剛剛推出了一個解決方案，專門解決雲環境中待用資料安全問題。Porticor公司提供了一種分離祕密金鑰加密解決方案，雲客戶是唯一知道主要金鑰的人。另外，Porticor公司解決了所有與加密資料有關的複雜問題，客戶幾乎不要去想這些問題。這種獨特的密鑰管理解決方案既提供了安全性，也提供了便利性。

在雲中加密資料的根本問題是將金鑰儲存區在哪裡。客戶不能將金鑰儲存區在雲端的磁碟中，因為這可能受到駭客攻擊。另外，客戶也可以讓供應商來協助儲存密鑰，但這意味著你要將信任交給第三方。客戶也可以將密鑰帶回他們自己的資料中心，但這似乎違背了將資料中心服務外包到雲環境的目的。Porticor公司現在提供了一種既簡單又安全的密鑰管理方案。

Porticor的方法主要基於銀行安全保管箱的概念，這種保管箱有兩個密鑰，一個交給客戶，另一個交給Porticor虛擬Key Management Service。正如安全保管箱一樣，客戶如果不提供Porticor提供的密鑰，就無法解密資料，同樣的，如果Porticor不提供客戶持有的主要金鑰，也無法解密資料。在實踐中，客戶的每個項目(通常是指一個應用程式)都有一個密鑰。Porticor持有數以千計的密鑰，每個金鑰組應著客戶項目的每個檔案或者磁碟。儘管如此，密鑰必須配對使用才能夠訪問被加密的資料。

除了密鑰分別交由客戶和Porticor保管外，這種解決方案獨特的部分在於密鑰本身都是通過客戶的主要金鑰來加密，而主要金鑰只有客戶持有和知道。因此，雖然Porticor持有項目配對的密鑰，但是供應商並不能讀取密鑰，因為它們已經加密了。通過使用客戶的主要金鑰來加密Porticor密鑰，Porticor完全緩解了終端資料保護的壓力。客戶必須寫下主要金鑰，並儲存在鋼製箱內，這樣世界上就沒有其他人能夠看到密鑰。另一個方法是將主要金鑰交給託管服務。

Porticor解決方案部署在雲端伺服器和儲存間，以確保伺服器和儲存間的每位元組資料都被加密了，並且從儲存移動到伺服器的每位元組資料都只能通過客戶來解密。Porticor解決方案的中間部分是其核心，Virtual Private Data(VPD)應用程式，VPD是使用密碼編譯演算法(例如AES-256)用於解密任何磁碟或存放裝置陣列的虛擬設備。VPD檢索Porticor密鑰，以及請求客戶密鑰。

Porticor公司稱，這具有軍用級安全性，因為只有一方(即客戶)持有主要金鑰來解密資料。只有當整個伺服器叢集需要重新啟動時，主要金鑰才需要從鋼製箱中取出來，而這是很罕見的情況。當新應用程式伺服器被建立時，它們將通過VPD自動繼承之前的加密。

在安全和風險管理方面，Porticor不會將任何“普通密鑰”儲存到任何磁碟中。這樣，即使駭客滲透到服務供應商的網路來搜尋資料，駭客也找不到任何可以偷竊的東西。

Porticor解決方案能夠與任何雲部署協作。目前，Porticor已經與亞馬遜網路服務(AWS)以及Red Hat建立了夥伴關係。