azure - Windows Azure 中的 key 管理

Question

我对如何在 Windows Azure 中存储 key (用于数据加密)有点困惑。

根据以下两个链接( #1 、 #2 )，建议将 key / keystore 存储在 Windows Azure 存储中:

Storing your own key library within the Windows Azure Storage services is a good way to persist some secret information since you can rely on this data being secure in the multi-tenant environment and secured by your own storage keys.

但是“开发 Windows Azure 应用程序的安全最佳实践”( #3 ) 建议不要在 Windows Azure 中存储任何与 key 相关的 Material :

Also, developers should not upload the key or any keying material to Windows Azure Storage, regardless of how careful they are about hiding it. If any computer or storage services were compromised, it could lead to encryption keys being exposed.

在 Windows Azure 中存储加密 key 的最佳方法是什么？

Answer 1

您将从我在第一个链接中的评论中看到我同意您的担忧。 :)

除了自己的证书存储之外，Azure 没有安全的方式来存储 key 。这是一篇关于使用此方法的文章:

Field Note: Using Certificate-Based Encryption in Windows Azure Applications

您会注意到我也评论了该文章的缺点，链接到这个问题:

Read azure ServiceConfiguration file's certificate section using c#

可以在此项目中找到使用 Azure 内置证书存储来加密 AES key 的示例(避免 RSA 对加密数据长度的限制，同时保持 AES key 的安全):

Codeplex: Azure Table Encryption via Attribute

EncryptDecrypt 项目中的 SymmetricKeyHelper 类特别令人感兴趣。

感谢 @breischl 的提及以及他对该项目的贡献。