防火墻、入侵檢測和加密措施無法阻止黑客的步伐，他們從各種渠道入侵各大企業，獲取到大量用戶的數據（包括賬號、密碼、身份信息、其他機密），甚至有時還會給社會帶來災難性的影響，一如近期發生的Equifax數據泄漏以及Yahoo用戶信息泄漏事件就給美國社會掀起了不小的波瀾。

與此同時，網絡安全領域的專家學者以及科技企業，也正在積極探索全新的應對方法。

安全工程師 Diogo Mónica 在上周二時發表了一篇博客，詳細探討了他的想法。他認為將安全機制融入到企業服務器中數據交互的基本設計之中，可改善數據泄漏事件頻發的現狀。

　　Crypto Anchors 是什么

這種名為 Crypto Anchors 的方法，是一種基于 IT 架構層面的安全防護措施。實際上，在幾年之前這種方法已經在技術層面得到實現，但在最近才得到更多的應用。部分企業出于對重要／敏感數據進行保護的需要，應用了這種防護機制。在 2015 年來到 Docker 就職之前，Mónica 和他的同事 Nathan McCauley 曾在著名美國支付企業 Square 中設計并使用了這樣的系統。

Crypto Anchor 是一種將數據流的可用性強制保留在基礎設施邊界范圍之內的方法。

在這種機制之下，數據庫的內容在加密后，會單獨放在一個隔離的、單一目的、加固過的計算機內（硬件安全模塊 HSM ）。如果企業網絡中的另一臺計算機嘗試獲取數據庫內的數據記錄——無論是普通的操作行為還是黑客入侵后劫持了服務器進行的操作—— HSM 都會執行自己“ 看門人”的職責，將每條記錄依次解密返還給發出查詢請求的設備。

理論上，這種機制只會在每個請求的正常響應時間上再增加個百分之幾秒，但對滲透進一臺計算機設備或者潛入內網獲得進入目標數據庫權限的黑客來說，他們卻不再能夠簡單地打包他們需要的數據，然后輕松地離開了——因為 Crypto Anchor 機制的存在，他們不得不停留在網絡內部，辛苦地等待 HSM 來慢慢解密每個比特的數據。

而正是由于需要駐留在攻擊目標的網絡上，黑客們原本可能盤算的 搶劫完數據后就迅速跑路 的計劃注定泡湯，他們需要花上幾個月或幾年的時間才能實現原本的設想，這樣企業能夠更輕易地監測到這樣的行為，并及時響應。

　　將攻擊者錨定在內部，延緩盜取數據的速度

讓我們來看幾個應用 Crypto Anchors 的例子。

舉個例子1

數據流：你有一筆支付卡流程處理操作。交易需要在短期時間內保留下數據，然后在遠程訪問的設備上解密這個端到端加密的支付卡信息。

如果不使用 Crtpto Anchor：普通的實現方法是給支付系統提供一個私鑰，用它來解密從遠程終端上讀取到的支付卡信息，但這種處理方法的缺點在于，攻擊者可以想方設法滲透系統、竊取加密后的交易數據以及解密所需的私鑰。

應用 Crtpto Anchor ：如果利用 Crypto Anchro 加固這個數據流的處理，攻擊者就無法在這個系統之外解密這些交易數據。最簡單的應用方法就是將解密所需要的私鑰存儲在 HSM 的解密之后，并嚴格控制解密服務的速率。

舉個例子2

數據流：你需要建設一個標記系統（tokenization system），這個系統需要對特定的敏感數據（如 SSN ）生成相應的標記。

如果不使用 Crtpto Anchor ：最直接的標記系統實現方式是生成隨機標記并存儲標記與敏感信息散列值與標記的映射關系。但是，SSN 的最大數量只有不到 10 億，下載到數據內容的攻擊者可以輕易地進行暴力破解。

應用 Crtpto Anchor ：與例 1 相似，你可以在數據流中應用 Crypto Anchor ，將離線的暴力破解轉變成在線破解。最簡單方法是把標記生成過程設為只能在 HSM 內部進行鍵控單向函數。

　　改變企業毫無察覺的現狀

實際上，大多數的企業數據泄漏事件都可以歸納到如下的模式中來，因為攻擊者的攻擊思路便是如此。

1. 攻擊者使用各種各樣的方法侵入某企業的信息基礎設施中。

2. 攻擊者盜取/獲得敏感內容（散列密碼，或者其他內容）

3. 攻擊者開心地在自家搗鼓這些數據內容（嘗試解密等等），得到他們所需要的東西或換取利益。

在一些典型案例中，攻擊者通過一些手段獲得權限，接觸到了數據庫中的用戶數據之后（包括進行身份驗證的散列密碼），他們就可以在任何地方自由破解這些密碼。

而如果在攻擊數據庫并提取數據的哪個時刻，系統并沒有監測出攻擊行為，那這家企業就可能在之后的很長一段時間里都無知無覺。直到暗網上開始出售被黑客破解后的用戶密碼信息，這些企業才會意識到他們的數據早已遭到泄漏。

即便有傳統加密的加持，企業也很難應對這個痛點。數據庫必須是實時可用的，Web 服務器自然需要能夠解密數據。而入侵了 Web 服務器的黑客自然能夠解開數據的加密。其次，散列密碼雖然可以將數據不可逆轉地轉換成加密字符，也不一定有很大的幫助。Equifax 事件中泄漏的社會安全號碼的總數由于不超過十億，黑客們可以簡單地竊取所有的哈希值，然后再產生所有的哈希值，并將結果與他們竊取的哈希值進行匹配，最終完全可能解密散列密碼值。

Crypto Anchors 應用現狀

目前Crypto Anchros 還沒有得到廣泛的應用，但在幾家頂級的科技企業安全團隊已經以某種形式成功應用該方法。除了Square之外，Facebook 與 Uber 的安全工程團隊也已經應用了類似的設計。

而涉及到 HSM 本身，Gemalto 及 Thales 在幾年前就完成了技術實現。而云端版本的 HSM 也同樣存在，如亞馬遜的 CloudHSM 以及微軟的 Azure Key Vault。約翰霍普斯金大學的密碼學專家 Matthew Green 表示，他正在為多家主要技術公司提供這方面的咨詢工作。