看看这篇来自ScotlandIS成员的博客文章, 速度反盗版, 讨论了密钥轮换作为云安全的新层次及其可能带来的挑战.
加密已成为保护互联网上的数据和关键秘密的最关键技术. 没有可靠的, 安全, 以及可管理的加密技术, 互联网和云服务, 有那么多的服务, 市场, 公司取决于, 会有风险.
任何加密的使用都面临的挑战是密钥的潜在泄露. 如果密钥被破解，加密就会被破解，系统就会崩溃. 因此, 密钥的保护至关重要, 尤其是在一个, 以云为中心的组织，通常结合硬件安全模块(hsm)和外围网络保护技术.
但, 在我们目前居住的世界上, 这些钥匙通常需要在受保护的外围使用. 事实上, 在云服务中, 物联网, 区块链, 以及其他网络服务, 至关重要的是，这些密钥可以在外围和外面的大世界中共享和使用. 因此，大多数云服务提供商和组织将实现一种称为 关键旋转.
键旋转在原则上是相对简单的. 这就像给家里换锁一样, 但是每天都这样做, 周, 或者一个月，这样任何丢失的房子钥匙都不会被找到的人使用. 当然, 用于实现这一目标的技术和技术与快速拨号上的锁匠不太一样, 但是很接近了!
密钥轮换已成为云服务中的良好实践，并且是一种已知的、可信的安全技术.
轮转的主要挑战
关键轮岗在一些行业存在挑战. 我们在外围已经讨论过了, 这是个丛林, 但是当连接到网络并提供服务的设备真正处于网络的边缘时, 它们很容易落入坏人之手，并被入侵者访问. 这些案例范围从医疗、工业的物联网设备 & SCADA系统，到你口袋里移动设备上的应用程序.
键 可以 在外部设备上旋转，无论是否“始终打开”. 然而, 需要专业架构, 包括硬件解决方案，如hsm, 可信执行环境, 和安全元素, 以及 软件技术，如白盒密码.
移动支付的键轮换
让我们更仔细地看看其中一个用例: 移动支付. 消费者通过移动设备向商家支付商品或服务的能力已经彻底改变了许多消费者的购物方式——疫情大大加速了这一进程. 和 新MPOC (mpo——移动销售点)规格 一种总线标准在美国，商家可以在自己的常规移动设备上直接接受支付. 这为支付服务提供商(PSP)公司扩展和增强自己的服务开辟了新的途径.
有几种互锁和免费的安全技术是支付轨道的监管者可以接受的. 一种总线标准列出了允许将服务交付给普通帐户持有人消费者的各种硬件和软件组合, 旨在保护交易和防止欺诈的消费者或商家.
为了提供额外的安全他们的PSP客户应该从密钥轮换, 移动支付和mpo开发者必须定期更改应用中的底层加密密钥，并通过应用商店向用户推送更新.
简单的,是的?
嗯，是又不是……
是的, 通过App Store或Play Store发布新版本是标准程序，应该成为任何开发者的第二天性……
不，更改加密密钥有一些挑战.
软件中的旋转键
主要问题是在纯软件环境中, 一种总线标准规定的技术是一种被称为白盒加密的技术. 这是一种技术 请在其他地方详细描述 但基本原理是，它是一种特殊形式的软件库，用于保护应用程序(或SDK)软件中的加密算法(密钥)。.
在您更仔细地观察这个市场中供应商交付白盒技术的方式之前，这是没有问题的. 供应商获取应用程序开发人员提供的信息, 然后使用它(包括所需的密钥)创建一个软件库，该软件库可以内置到最终的应用程序中，以便分发到应用程序商店. 这个过程, 被称为第一代白盒, 该服务是由提供白盒解决方案的大多数公司提供的吗.
第一代白盒
对于任何使用第一代白盒的软件应用程序开发人员来说，都存在许多挑战. 第一个是显而易见的:您的关键密钥必须发送给第三方, 现在已经不受你控制了.
然而，可以说这个挑战并不是最关键的. 第一代白盒的供应商可能会将其作为年度订阅许可的一部分提供. 本许可证的细节对于充分理解至关重要:
- 订阅是否包括按需生成的新白盒?
- 什么是服务水平协议?
- 会有服务限制吗? 例如，每年需要的白盒数量
- 是否存在开发队列?
- 额外的白盒是否需要收费?
- 给定SLA，键可以多长时间轮换一次?
记住，白盒库的创建是由供应商控制的, 而且很可能是一项非常昂贵的服务, 任何付费应用开发者都必须考虑到密钥轮换的实用性, 这就是为什么很多人不打算经常换钥匙——甚至可能每年换一次.
这是一个不言而喻的安全风险, 哪些应用开发者应该制作psp, 银行, 其他人也意识到了. 保护密钥的重要性是显而易见的，然而，管理密钥的能力更是如此.
正如本文开头所述，加密密钥本身 可以 成为单点故障. 如果对手可以分析应用程序, 找到钥匙, 并在攻击中加以利用, 然后整个过程, 包括支付, API访问, 及个人身份资料(PII), 会面临巨大的风险吗. 财务和声誉损失可能是巨大的，更不用说来自行业监管机构的审查了.
另一种选择……..
是否可以更改创建和使用白盒的模型, 有机会领养普通的孩子, 安全的密钥管理, 尤其是键旋转.
如果任何移动支付应用或SDK的开发者可以随意生成白盒, 每次建筑都要这样倾斜, 然后在纯移动软件环境中首次实现键旋转的良好实践.
第三代白盒密码, 由PACE开发并用于其自己的许可解决方案, 提供一个独特的工具包，能够根据应用程序开发人员的需要经常创建新的白盒实现, 只是作为正常应用构建过程的一部分.
随着监管机构和支付品牌越来越多地要求移动应用的关键旋转, 移动支付开发者, mpo, 数字id, 数字版权管理, 处理敏感用户数据的应用程序需要考虑如何达到这一标准.
白盒的作品, PACE全新的第三代白盒解决方案, 通过允许应用程序开发人员理解，简化了键旋转, 生成, 并随意实现新的白盒架构. 这使他们能够根据需要轻松更改加密密钥, 符合开发周期和法规要求.