目前，亞馬遜EBS的加密功能是由AWS提供。專家Dave Shackleford解釋了它的工作方式、企業為之努力的原因，以及它是否使行業更進一步的默認云數據加密。
2014年5月，亞馬遜網絡服務（AWS）發布了一款新的加密產品，該款產品可讓用戶輕松解密任何在AWS中控制的彈性塊存儲（EBS）卷標。
亞馬遜EBS也加入了亞馬遜的其它加密功能，其中包括S3和Glacier存儲的服務器端加密、亞馬遜RedShift和SQL服務器的加密以及亞馬遜關系型數據庫服務（RDS）內的Oracle數據庫加密。新的加密產品是否是云計算存儲向默認加密功能發展又邁出的堅實一步呢？
這似乎是亞馬遜公司在其首席技術官 Werner Vogels領導下朝著這個方向所做出的努力。在一次接受麻省理工學院技術論壇的采訪中，Vogels指出，安全性是亞馬遜的“……第一優先級……如果你希望對訪問數據的用戶擁有完全的控制權，那么我們真的希望云計算成為你保存數據的所在。”
云計算應用的最大障礙之一就是在數據安全性控制方面用戶缺乏安全感，尤其是當云計算供應商可以訪問和潛在地控制用于保護數據的加密密鑰時。從CipherCloud公司、Perspecsys公司、Porticor有限公司到其它無數的云計算高科技公司，他們都在致力于幫助企業獲取云計算數據加密的控制權，但是諸如亞馬遜這樣一些云計算服務供應商似乎更多的是在為用戶提供實現相同目標的內置功能。
EBS加密：它如何工作
亞馬遜新的EBS加密功能是如何工作的？EBS卷標等同于連接至彈性計算云（EC2）虛擬機的額外硬盤驅動器。使用新的EBS加密功能，用戶無法對啟動卷標和EC2實例操作系統所安裝的硬盤執行加密操作。用戶可輕松地對任何連接至該實例的附加卷標進行加密操作。
創建加密卷標的操作是非常簡單明了的。其中，最簡單的方法就是在卷標實例化的過程中勾選“Creat Volume”，配置面板中的一個復選框。通過設置卷標類型、容量、性能規格以及可用區域等參數，就會在一開始出現一個允許加密的新選項。
用戶還可以使用各種API方法來創建加密卷標并訪問它。所有的加密操作都使用了一個獨特的256位高級加密標準密鑰（該密鑰也可應用于EBS卷標快照），該密鑰符合目前業界對安全性和合規性的最佳實踐。
EBS加密的缺點
亞馬遜EBS加密功能的最大缺點之一就是它無法對現有的EBS卷標進行加密操作。從目前形式看，客戶必須首先創建一個新的加密卷標，然后使用諸如Robocopy或rsync這樣的工具把現有數據從它們所在的實例上復制到新卷標上。最后，用戶可刪除舊卷標。這一缺點可能是出于某些原因的運算障礙而導致的。
EBS加密的另一個顯著缺點在于密鑰管理。目前，亞馬遜管理并保留著用于EBS加密的密鑰的所有控制權，這就意味著客戶無法完全確保他們數據安全。鑒于亞馬遜技術的成熟度和嚴格的安全標準，讓AWS妥協的可能性是極低的，但是其中的某些不確定因素仍然會讓某些企業選擇不把數據存儲在EBS中。雖然亞馬遜聲稱，加密功能并不會影響EBS卷標的I/O和性能，但是客戶應當在生產工作負載中實施亞馬遜EBS加密功能之前先進行一下測試，這樣做是非常明智的。
結論
近日，亞馬遜為S3 存儲服務實施了服務器端的加密，其密鑰的所有權和保管權歸客戶。與亞馬遜所提供的新CloudHSM服務一樣，Redshift 和 RDS 還允許客戶管理密鑰。這是亞馬遜未來所有云計算存儲產品發展的大方向，毫無疑問，這也是其他云計算服務供應商們將緊隨其后的一個趨勢。一旦加密功能（客戶管理密鑰）在全球范圍內普及開來，那么云計算服務距離在默認情況下被加密無疑又更近了一步。
京公網安備 11010502049343號