如果數據在數據庫中存儲以及數據在不同地方傳輸時都被加密，那么人們可能會認為這種方法比較安全。但是這仍然給數據中心安全策略留下了一個很大的盲區(qū)：要使用這些數據，必須對其進行解密，在解密的過程將會為攻擊者創(chuàng)建一個窗口，以便從內存中抓取數據。
如今已經出現了多種方法來解決這個問題，但是只有一個方法被證明是實用的，并且在數據中心運營商中越來越受歡迎。與人們的智能手機存儲最敏感的個人數據的方式類似，此方法不會將選擇敏感的應用程序數據以未加密的狀態(tài)暴露給主機操作系統(tǒng)。
最近的一個例子是利用Heartbleed漏洞的攻擊。Cygilant公司安全研究主管Neil Weitzel說：“黑客能夠從內存中獲取存儲的數據。”
現在也有各種各樣的解決方法。一些公司使用令牌替換關鍵數據，這樣他們就可以處理敏感信息而不會暴露它們。其他人使用保存功能的加密功能，稱為同態(tài)加密。
但是，標記化和同態(tài)加密都有很大的局限性，并沒有被廣泛采用的數據中心安全以外的一些特定的使用情況。另外，任何基于軟件的解決方案都會影響性能。
NTT安全公司威脅情報產品管理總監(jiān)ChrisCamejo說：“在同態(tài)系統(tǒng)的情況下，這些影響性能的情況很普遍。”
輸入基于硬件的安全飛地
通過新型智能手機就會看到這種方法的一個例子。人們的iPhone或Android手機中的“安全元素”存儲個人的生物識別信息和付款數據，使其不會暴露給操作系統(tǒng)的其他部分。
數據中心安全等同于2015年發(fā)布的英特爾SGX芯片，其中包括一個可信的運行時間系統(tǒng)，其中安全的私有安全區(qū)域被留出以供正在運行的應用程序使用。
即使黑客能夠進入本地操作系統(tǒng)，他們也將無法竊聽應用程序正在做什么。
安全廠商Fortanix公司近日發(fā)布了一款產品，利用新硬件來保護加密密鑰和數據，而應用程序開發(fā)將會積極使用。
Fortanix公司聯合創(chuàng)始人兼首席執(zhí)行官Ambuj Kumar表示，安全飛地適用于其他應用程序或操作系統(tǒng)本身。
他說：“如果在操作系統(tǒng)中發(fā)現了一個零日的錯誤，這個飛地是安全的。如果具有惡意的內部人員訪問系統(tǒng)，這個飛地是安全的，如果一個能夠解密所有內存的物理攻擊，飛地被嵌入CPU內部，所以它仍然是安全的。”
因此，如果導致大量數據對外泄露的Equifax公司使用安全區(qū)域運行其應用程序，則在運行時加密將保護它的話，就不會造成這么大的影響。
他說：“可以在Apache Struts中發(fā)現一個漏洞，并使用它升級權限，現在人們可以控制整個系統(tǒng)以及系統(tǒng)上運行的所有應用程序。但是，當嘗試使用它時，運行時加密將阻止這種攻擊。”
Equifax公司將黑客獲得美國信貸局存儲的14550萬人的個人信息的安全漏洞歸因于開源Web應用服務器ApacheStruts的未修補實例。
Fortanix公司運行的加密平臺允許現有應用程序利用新的基于硬件的安全性。
Kumar說：“應用程序認為它是在解密的數據上運行。當程序需要時，數據總是變得神奇可用，不需要其他的應用程序管理來加載或卸載數據。“
英特爾公司的SGX擴展自2016年以來一直在市場上推出，可用于企業(yè)的本地數據中心和云服務下的基礎架構。
例如，Microsoft Azure在其新的Azure保密計算產品中支持SGX的飛地技術，今年9月這種產品已提供給早期客戶。
Equinix和IBM也在致力于支持安全飛地。
但Kumar警告說，在運行時進行加密并不是解決數據中心安全性的一個靈丹妙藥。
例如，如果應用程序本身受到攻擊（無論是通過漏洞還是通過盜取證書），黑客就可以使用它來訪問數據。
數據中心運營商Markley集團首席技術官Patrick Gilmore表示，運行時加密對于保護公共和多租戶基礎設施（如云平臺）中的數據至關重要。但是它在數據中心中也有一席之地。
他說：“并不是所有的威脅都是來自外部的。”
京公網安備 11010502049343號