硬件安全模塊的起源、發(fā)展、應(yīng)用與未來
隨著多數(shù)企業(yè)利用加密技術(shù)保護(hù)信用卡持有人資料，法國(guó)安全市場(chǎng)巨頭泰雷茲集團(tuán)（Thales Group）提出了一種硬件安全模塊（Hardware Security Modules，HSM）解決方案，以保護(hù)所有加密系統(tǒng)的核心——基礎(chǔ)密鑰管理系統(tǒng)。據(jù)泰雷茲集團(tuán)電子安全公司Thales eSecurity產(chǎn)品戰(zhàn)略副總裁Richard Moulds稱，全球約70%的信用卡和借記卡交易都是通過泰雷茲加密系統(tǒng)進(jìn)行的。美國(guó)信用卡公司Visa是泰雷茲的一家主要客戶，采用了泰雷茲HSM作為其基本基礎(chǔ)設(shè)施的一部分，以保護(hù)基于Visa卡的交易。泰雷茲于2008年收購了加密解決方案提供商N(yùn)Cipher并獲得了HSM技術(shù)，目前正與多家加密和標(biāo)記化供應(yīng)商密切合作。但是，為什么沒有更多的公司加緊部署HSM以加密信用卡持有人資料呢？是HSM過于昂貴而且難以維護(hù)嗎？還是更多的公司正在利用服務(wù)提供商保護(hù)信用卡資料，最終將所有的信用卡持有人資料外包給服務(wù)提供商進(jìn)行保護(hù)？Moulds就這些問題接受了我們的采訪，并指出了支付行業(yè)未來的挑戰(zhàn)。以下為訪談內(nèi)容：
泰雷茲2008年收購了NCipher，這似乎是泰雷茲密鑰管理和加密硬件的起源。這部分業(yè)務(wù)是獨(dú)立運(yùn)營(yíng)，還是被集成到現(xiàn)有的一些安全產(chǎn)品系列中？
Richard Moulds：不可否認(rèn)，收購NCipher壯大了泰雷茲的企業(yè)產(chǎn)品家族。但是，泰雷茲早已進(jìn)入加密領(lǐng)域，最著名的可能就是我們?cè)谥Ц毒W(wǎng)絡(luò)中的領(lǐng)先地位。全球約70%的信用卡和借記卡交易都是通過泰雷茲加密系統(tǒng)進(jìn)行的。最近有許多關(guān)于使用端到端加密保護(hù)PCI DSS（支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)）數(shù)據(jù)和信用卡持有人資料的談?wù)?，但是我們往往忘記了一個(gè)事實(shí)：由于整個(gè)支付基礎(chǔ)設(shè)施的發(fā)展，我們已經(jīng)對(duì)輸入到點(diǎn)銷售設(shè)備和ATM機(jī)的PIN（個(gè)人識(shí)別碼）號(hào)碼實(shí)現(xiàn)了端到端的加密和保護(hù)。因此，泰雷茲一直在全球支付加密和支付安全領(lǐng)域保持領(lǐng)軍地位。從根本講，收購NCipher所能夠達(dá)到的目標(biāo)，只是將我們的業(yè)務(wù)范圍從支付市場(chǎng)擴(kuò)展到更廣泛的金融服務(wù)市場(chǎng)。
部署支持PCI（支付卡行業(yè)）法規(guī)遵從加密的HSM能帶來什么好處？HSM似乎違背了支付卡行業(yè)的發(fā)展方向，它是不是也與整個(gè)云計(jì)算趨勢(shì)背道而馳呢？
Moulds：你認(rèn)為HSM似乎與外包服務(wù)和云計(jì)算的整體發(fā)展方向不一致，這一觀點(diǎn)很有意思。不過，我可以理解你的觀點(diǎn)。很多時(shí)候當(dāng)提到云計(jì)算時(shí)，我們總是想到云計(jì)算有許多運(yùn)營(yíng)效益，具有很高的靈活性和很多的優(yōu)點(diǎn)，但云計(jì)算或任何服務(wù)產(chǎn)品的缺點(diǎn)之一就是，你放棄了一定程度的控制權(quán)。你未必確切知道服務(wù)器在處理哪些交易，磁盤和備份磁帶究竟包含什么數(shù)據(jù)？云計(jì)算只是一種折中的解決方案。有時(shí)，你可能會(huì)為了靈活性而放棄了可見性。
當(dāng)談到加密時(shí)，我們討論的是真實(shí)的基礎(chǔ)設(shè)施級(jí)安全。正是這些稱之為密鑰的東西支撐著整個(gè)基礎(chǔ)設(shè)施。如果你部署了一個(gè)用于加密你的存儲(chǔ)環(huán)境的系統(tǒng)，或者部署了一個(gè)用于加密來自點(diǎn)銷售設(shè)備的數(shù)據(jù)的系統(tǒng)，則這些系統(tǒng)的一些關(guān)鍵部分將是到密鑰，并需要得到真正的保護(hù)。你需要知道這些密鑰存儲(chǔ)在什么地方，是否曾經(jīng)為這些密鑰創(chuàng)建過副本，你還需要對(duì)哪些曾經(jīng)訪問過這些密鑰的管理員一清二楚。在審核這些系統(tǒng)中的加密方案時(shí)，審計(jì)人員的第一要?jiǎng)?wù)就是弄清“這些密鑰存儲(chǔ)在什么地方、哪些人負(fù)責(zé)管理這些密鑰以及哪些人有權(quán)修改這些密鑰?”因此，雖然服務(wù)提供商的服務(wù)非常周到，但是有些東西，尤其是一些核心的安全基礎(chǔ)設(shè)施，你確實(shí)不希望將其托付給服務(wù)提供商。你希望這些核心的安全基礎(chǔ)設(shè)施部署在盡可能少的地方。有些東西就應(yīng)該嚴(yán)格地隔離和封鎖。
如果我們是一家一流的大型公司，而且我們希望部署HSM，那么我們是否需要在每個(gè)單點(diǎn)衛(wèi)星定位系統(tǒng)中都部署HSM，是否有比這更簡(jiǎn)單的方法？
Moulds：不，你當(dāng)然不需要在每個(gè)單點(diǎn)衛(wèi)星定位系統(tǒng)中部署HSM，單點(diǎn)衛(wèi)星定位系統(tǒng)中可能已經(jīng)采取了某種類型的加密方案。就像安全領(lǐng)域中的大多數(shù)事情一樣，你需要在風(fēng)險(xiǎn)與安全效益之間進(jìn)行某種形式的評(píng)估。評(píng)估可能會(huì)證明你正在使用一個(gè)加密系統(tǒng)，該加密系統(tǒng)能在你網(wǎng)絡(luò)的遠(yuǎn)程邊界加密數(shù)據(jù)，但是你的大多數(shù)密鑰實(shí)際上仍然位于網(wǎng)絡(luò)的中心位置。因此，真正保護(hù)密鑰的HSM對(duì)你的公司來說更加重要，而且應(yīng)該部署在你的數(shù)據(jù)中心。隨著時(shí)間的推移，我們可能會(huì)看到HSM逐漸向網(wǎng)絡(luò)的邊界遷移。這是一種比較專業(yè)的技術(shù)。一個(gè)公司中只有比較少的人員知道如何管理這種類型的安全系統(tǒng)，我認(rèn)為大多數(shù)人將會(huì)選擇在比較接近數(shù)據(jù)中心的位置部署HSM。
您剛才提到了端到端加密，最近不少人認(rèn)為端到端加密只是一個(gè)營(yíng)銷術(shù)語，你能介紹一下泰雷茲是如何定義端到端加密的嗎？
Moulds：從根本上講，與其說泰雷茲是一家加密技術(shù)提供商，倒不如說泰雷茲是一家真正的密鑰管理技術(shù)提供商。我們的合作伙伴（例如Voltage Security公司）才是真正的加密技術(shù)提供商。我們的產(chǎn)品實(shí)際上是增強(qiáng)這些合作伙伴提供的系統(tǒng)的安全性，我們提供的密鑰管理組件本質(zhì)上是Voltage產(chǎn)品的補(bǔ)充。據(jù)我所知，術(shù)語“端到端加密”是由美國(guó)信用卡處理商和支付服務(wù)提供商Heartland Payment Systems公司最近提出來的。這又回到了我前面提出的觀點(diǎn)。當(dāng)然，在支付網(wǎng)絡(luò)中，像PIN號(hào)碼這樣的數(shù)據(jù)長(zhǎng)期以來一直是采用端到端加密技術(shù)進(jìn)行保護(hù)的，我想Heartland公司完全知道這一點(diǎn)，因?yàn)樗旧砭褪且患抑Ц短幚砩?。Heartland所謂的“端到端加密”實(shí)際上只是將同樣的技術(shù)應(yīng)用到保護(hù)信用卡持有人資料上而已。它的意思就是，“看，如果我們能夠?qū)τ脩糨斎氲紸TM機(jī)或點(diǎn)銷售設(shè)備的PIN號(hào)碼進(jìn)行加密，那么我們?yōu)槭裁床荒軐?duì)信用卡持有人資料進(jìn)行加密？”術(shù)語端到端加密實(shí)際上表示，讓我們?cè)囋囋谛畔⒈徊东@的時(shí)候?qū)ζ浼用堋?/P>
PCI DSS對(duì)密鑰管理是如何規(guī)定的？
Moulds：PCI DSS對(duì)密鑰管理并沒有非常明確的規(guī)定。PCI DSS只是指出，應(yīng)該盡可能地減少存儲(chǔ)密鑰的地方，這一要求很有道理。應(yīng)該對(duì)密鑰管理員進(jìn)行強(qiáng)認(rèn)證。理想的情況是，實(shí)際更改密鑰管理系統(tǒng)的過程要求不止一名的管理員參加。建議采用一些管理員互相監(jiān)督的形式。當(dāng)你真正嘗試部署密鑰管理系統(tǒng)時(shí)，僅僅遵守PCI DSS指南可能還不夠。你可能還需要考慮更多運(yùn)營(yíng)方面的問題。
在你最近委托美國(guó)信息安全研究機(jī)構(gòu)Ponemon Institute實(shí)施的一項(xiàng)調(diào)查中，接受調(diào)查的155家合格安全性評(píng)估商（Qualified Security Assessor,QSA）中有81%的受調(diào)查對(duì)象表示需要或建議采用HSM保護(hù)加密系統(tǒng)。既然是這樣，那為什么沒有看到更多的公司部署HSM？是不是部署HSM的價(jià)格非常昂貴？
Moulds：正如我對(duì)我妻子說的那樣，價(jià)格總是相對(duì)的。如果你要保護(hù)你的整個(gè)支付基礎(chǔ)設(shè)施，而該支付基礎(chǔ)設(shè)施每年要處理數(shù)十億美元的交易，那么HSM的價(jià)格根本不算昂貴。你總是要在更廣泛的安全投資背景下看待HSM的價(jià)格。必須承認(rèn)，在相當(dāng)長(zhǎng)的一段時(shí)間里，HSM一直是一種相對(duì)專業(yè)的技術(shù)，這一點(diǎn)千真萬確。有些公司靠購買10套左右的HSM勉強(qiáng)應(yīng)付；多數(shù)公司并沒有大規(guī)模地部署HSM。HSM設(shè)備每年的市場(chǎng)銷售量還不到幾十萬。我認(rèn)為我們正處在該行業(yè)的轉(zhuǎn)折點(diǎn)。作為一種高度集中、非常專業(yè)的安全功能，全球最優(yōu)秀的安全產(chǎn)品采購商十年來一直采購HSM并對(duì)其贊不絕口。我們現(xiàn)在看到，同樣的最佳實(shí)踐和同樣的技術(shù)正被應(yīng)用到更加多樣化、更加主流的加密市場(chǎng)。這一趨勢(shì)給HSM市場(chǎng)帶來了一些壓力，以使其產(chǎn)品適應(yīng)特定客戶的需求，這些客戶缺乏經(jīng)驗(yàn)，正在尋求可以使用和部署不太復(fù)雜的加密方法。我認(rèn)為，HSM或強(qiáng)化密鑰管理以及加密處理市場(chǎng)將發(fā)生巨大的變化：價(jià)格下降、可用性提高、用戶在部署時(shí)需要考慮的因素更多。
【編輯推薦】
