谷歌，亚马逊等大公司如何管理其私钥基础设施？

Question

我公司的一名员工私钥已被盗用，对公司造成了灾难性的后果。 现在该公司计划进行公钥/私钥管理。 我想知道像Google，Amazon这样的大公司如何进行密钥管理。 他们是否使用第三方应用程序进行集中化？ 或者他们使用要在组织中实施的一组PKI策略来执行此操作。 他们如何管理关键生命周期？

谢谢你的时间。

Answer 1

我相信他们这样做的方式大不相同，但是有很多解决方案。 从AWS的角度来看，我建议您看一下AWS Cloud HSM，这是一种作为安全密钥管理服务而配置的硬件安全模块： https : //aws.amazon.com/cloudhsm

Answer 2

如果您真的对安全性抱有偏执，则不要将私钥存储在文件系统上，而是将其存储在硬件中。 来自SafeNet或Thales / nCipher等公司的硬件安全模块（HSM）是经过物理加固的安全设备，旨在生产加密密钥。 在HSM上生成密钥后，就无法将其删除。 也就是说，您无法提取密钥并将其复制到其他地方以用于恶意目的。 此外，他们还加固了操作系统和软件，以防止攻击者入侵该设备。 登录失败太多？ 设备会安全擦拭其内容物。 尝试撬开盒子以取出按住键的闪存吗？ 物理硬件组件上有环氧树脂，您将最终破坏它们。

这些设备通常还包括密码加速器，以提高执行密码操作的速度。 它们还倾向于包括基于标准的API，例如PKCS＃11或JCE，因此可以轻松地与其他软件（例如Apache或Java JVM）集成。

HSM并不便宜，但是如果您真的担心加密材料的安全性，那么这就是保护它的方法。