azure - KeyVault 为何比标准存储更安全？

Question

我正在尝试了解 Azure Key Vault(或同样的 AWS KMS)提供的安全优势

我了解 key 管理的好处，即能够轻松轮换、更改、审核 key 访问。

让我有点困惑的是它如何更安全。

据我了解，如果我开发一个 Web 应用程序并想要保护我的连接字符串(例如)，我可以在 Key Vault 中创建一个 key 对并将其保存在那里。然后，我在 AAD 中创建一个应用程序，并使用客户端 ID/Secret/URI 向 Key Vault 进行身份验证以获取我的连接字符串。资源组进一步限制这一点也可能有好处。

但是，这现在意味着我有一个客户端 ID/ secret /URI 需要保护。

这怎么更好？

附注我不是开发者!我只是喜欢研究这些东西，从 DevOps 的角度来理解它们。因此，如果您能将答案针对典型的无能操作人员，我们将不胜感激；)

Answer 1

Azure Key Vault 使用 Thales 的硬件安全模块 (HSM)。 HSM 的特殊之处在于它们不会为您提供 key 。您创建 key 或将 key 导入到 HSM 中。稍后，您将数据提供给 HSM，HSM 将对该数据执行加密操作。例如。加密、解密、散列等。顺便说一下，那些硬件设备确实很贵。借助 Azure Key Vault，您可以以较低的价格使用此保护。这是使用 Azure Key Vault 的好处之一。

对于您的问题为什么这更安全: key 比已被泄露的单个虚拟机更有值(value)。如果您的一台虚拟机已被泄露，并且您在该虚拟机上拥有加密 key ，那么攻击者就会拥有您的 key 。

如果您的虚拟机上只有客户端 ID 和 key ，那么攻击者只有这些凭据，而没有您的 key 。正如您所知，即使拥有这些凭据，攻击者也无法从 HSM 获取您的 key 。这意味着攻击者能够使用您的凭据在一定时间内执行加密操作。一旦您识别出攻击，您的凭据就会失效。

简而言之，区别是:

没有 HSM:攻击者拥有您的 key ，并且可以根据需要使用这些 key (并且它们是有效的)。

使用 HSM:攻击者没有您的 key ，并且只能使用您的凭据执行加密操作(只要它们有效)。