[觀點] 雲端運算安全入門(十一) - 雲端資料加密與金鑰管理

上一次談到了雲端環境對應用程式部署的影響，我們需要考量資料控制、資源共享和法規問題所可能帶來的風險，更應確保一開始在軟體開發生命週期中，已將安全問題納入成為檢測的重點之一，本期我們將探討雲端資料加密與金鑰管理。 

在雲端運算服務之中，若以公有雲為例，雲端資料的儲存基本上是以委外方式來進行，這意味著除了同一個儲存資源會由多個用戶來共享之外，系統管理人員也可能會擁有可存取資料的權限，因此，如何確保資料的機密性與完整性，這是在雲端安全中最常被提出來探討的問題。
 

相對於傳統的IT服務而言，企業資料皆是存放在內部並且透過內網來傳輸和交換，如果擔心資料可能外洩或受到不當的竄改，最簡單的方式就是採取加密機制。例如使用電子憑證或壓縮加密方式，針對檔案本身來進行加密；或者是針對網路傳輸的管道加密，像是採用VPN或SSL加密等，當然兩種方式也是可以同時使用的。 

可是一旦轉換到雲端的環境之中，企業到底該如何來因應這樣的情況呢？一般而言，傳統的加密方式在雲端之上仍舊是可行的，只不過在應用的過程中可能會讓作業模式變得較為複雜，進而違背了當初選擇採用雲端服務可以簡化資訊服務的初衷，所以是否要採取加密的作法，往往會讓企業陷於兩難的思考。

評估資料轉移後的安全 

針對重要的商業營運的機密性或是和個人有關的敏感性資料，我們實施安全管控的目的是希望能確保它的安全，因此可能會採用身分驗證、存取控制和資料加密等種種措施來加以防護。不過，當資料可能從原先受到良好控制的環境，移動到不同的儲存地點或儲存媒體時，必須注意到原有的安全機制是否仍然存在。 

舉例來說，某些資料存放在內部檔案伺服器時，在存取時會受到帳號密碼和系統權限的控管，但是當這些資料備份到磁帶之後，原先的安全機制可能會無法生效，因此必須採用其他補償性的作法，包括檔案加密、可上鎖的容器、專人遞送等，都是可行的辦法之一。同理，一旦資料移轉到雲端環境之中，也千萬別忘了要採用對應的安全措施，以避免資料受到侵害事件的發生。

雲端加密的佈署重點 

對許多的雲端服務供應商來說，為了提高用戶對於雲端服務的信心，同時也避免可能的資料外洩問題，在其所提供的服務中，資料加密往往會是標準的安全配備之一，只是對於雲端用戶來說，除了期待供應商能夠提供這樣的安全機制之外，為避免可能會有供應商的內部員工不當存取，以及確保未來資料可以徹底的銷毀，也會採用自我的加密方式，為資料安全提供更多一層的保障，同時也降低對於供應商的過多依賴。 

目前，在雲端環境之中，企業需要考量的加密實施重點，大致有以下三個層面：

• 加密靜態存放的資料 – 對於採用雲端儲存的用戶，如果資料需要長期的存放，可在採取自行加密之後，再傳輸到服務供應商所提供的儲存環境，這樣的作法可以讓用戶管理加密的金鑰，在必要時再自行將資料加以解密。 

• 加密動態傳輸的資料 – 一旦資料離開可自行控管的安全邊界，需要傳輸到服務供應商所提供的雲端環境之中，並且在供應商的網路進行傳輸時，必須要確保資料能受到妥善防護。所以在選擇服務供應商時，就要先了解其針對資料傳輸的實際作法，評估是否具備所需的安全強度，並且明訂在合約之中。 

• 加密備份媒體的資料 – 資料的備份若是採用一般的備份媒體如磁帶、光碟等，服務供應商通常會提供相關的加密作法，但這也會需要用戶來自行驗證加密的可靠性，並且確認資料可以在解密之後完全復原。 

萬一在雲端的環境之中，實施資料加密的方式是有困難的，而且可能會對用戶或服務供應商的營運流程造成干擾，其實還有一些替代性的作法。例如用戶可以依賴供應商所提供的整體安全機制，但是當發現傳輸至雲端的資料若含有敏感性內容時，可以利用自行建置的資安產品技術，在資料傳輸之前將它修改，並加入可追蹤的資料標記。另外，如果傳輸的是可識別至特定個人的資料，也可以預先將特定的欄位內容進行模糊化，例如姓名、身分證字號、信用卡號等，以避免違反了個資法規的要求。

金鑰管理的安全建議 

在雲端環境之中，採用加密的好處是可以強化資料的存取安全，同時也能確保一旦資料需要徹底銷毀時，透過銷毀加密所使用的金鑰，讓資料不會殘存在服務供應商或是輕易地被還原。但是考量到雲端多租戶的特性，對於公有雲的服務，使用單一金鑰方式來加密所傳輸和儲存的資料是不被建議的，而且為了避免過度依賴供應商，建議由用戶自行來維護加密機制並進行金鑰管理，將是比較適合的安全作法。 

基本上，雲端的金鑰管理方式，相較於傳統金鑰管理要求是相同的，其考量的重點包括了：

• 金鑰的儲存保護 – 金鑰的處理方式應如同其他敏感的資料，因此在傳輸、存放、備份時都需要受到妥善的防護，尤其是金鑰的儲存地點要避免和加密資料位於相同的儲存媒體，以避免連帶性的災難同時發生。 

• 金鑰的存取控制 – 誰可以取得並使用金鑰，是金鑰存取控制實施的重點，為了限制只有特定的個體才可使用，因此強健的身分驗證機制和職務角色的分離，都可以預防發生不當的資料存取事件。 

• 金鑰的備份還原 – 金鑰一旦遺失，也就意味著資料再也回不去了，所以針對經過加密的重要資料，必須建立其安全的金鑰備份機制，在管理的作法方面，可以參考一些國際的協議和標準，例如OASIS和IEEE1619.3等。 

在CSA的雲端運算關鍵指南中，針對金鑰管理方面，也提出了以下可供參考的建議：

1. 無論採取何種加密和解密的產品方案，都應採取業界認可的金鑰管理實務作法(best practice)，並確認其來源的可靠性，加密方式也要依循相關的行業要求與政府標準，避免採用老式的加密作法如DES等。 


2. 請建立一系列的權責區分運作方式，例如將雲端服務供應商和金鑰管理方式分開，並且了解供應商的人員管理是否實施了職責分離，以避免系統管理員權限過大。 


3. 如果金鑰管理的機制是由雲端服務供應商所提供的，必須要確保金鑰的產生、使用、儲存、備份、還原和銷毀等生命周期，已經有適當的定義並導入管理作法，並且也要了解供應商如何區隔與管理多租戶在金鑰方面的使用。 


4. 針對金鑰的註冊和使用流程應進行完整的測試，尤其當企業採用了DLP方案或檔案內容偵測系統時，應確認相關的加解密動作可以順利的進行。 


5. 建議可將加密機制與金鑰管理運作與企業的身分驗證機制相結合，將可獲得彈性化的運作，並且易於進行安全審查和稽核。 


6. 包括靜態、傳輸和備份的資料，都應該納入加密的考量，如果採用了IaaS服務，包括虛擬機器(VM)的加密機制，也必須事前進行評估和了解。 

了解您的雲端安全責任 

在雲端服務之中，藉由服務供應商所提供的操作介面，我們看似可針對所擁有的資料進行上傳、編輯、下載等，進行種種的管理，但事實上用戶對於資料的掌控是受到限制的，例如無法得知資料實際所在的位置、資料被備份存放的地點，以及資料是否已完全進行銷毀等。因此，若想要避免可能的資安問題，並非都只是將責任完全轉嫁給服務供應商，自己不需要採取任何的安全措施。 

當然，安全控管的實施內容是取決於用戶如何看待其所存放的資料，從現階段來看，在雲端服務之中，資料加密和金鑰管理已是可用來保護資料的機制，至於該如何實施，這就牽涉到用戶本身的企業營運模式，也請您務必要將法規風險放在其中來加以審慎評估了。(本文刊載於2012年10月號網管人雜誌)  

[參考資料]
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing