Hashicorp Vault在企业信息化系统中应用的可行性调研

一、Hashicorp Vault 简介

Hashicorp Vault 是一个基于身份认证的机密数据安全和加密管理系统。机密数据是您想要严格控制访问的任何内容，例如 API 加密密钥、密码或证书。Vault 提供由身份验证和授权方法控制的加密服务。使用 Vault 的 UI、CLI 或 HTTP API，可以安全地存储和管理对机密和其他敏感数据的访问，严格控制数据访问，而且是可审计的。

创新互联网站建设公司，提供成都网站设计、成都网站制作，网页设计，建网站，PHP网站建设等专业做网站服务;可快速的进行网站开发网页制作和功能扩展；专业做搜索引擎喜爱的网站，是专业的做网站团队，希望更多企业前来合作!

现在很多系统需要访问大量机密数据：数据库凭证、外部服务的 API 密钥、面向服务的架构通信的凭证等。了解谁在访问哪些机密已经非常困难。如果没有自定义解决方案，几乎不可能添加密钥滚动、安全存储和详细的审计日志。这就是 Vault 介入的地方。

以下是 Vault 的关键特性：

• 静态存储：

任意键/值可以存储在 Vault 中。Vault 在将这些机密数据持久化之前对其进行加密，因此获得对原始存储的访问权不足以访问您的机密数据。Vault 可以写入磁盘、Consul 等。

• ·动态存储：

Vault 可以为某些系统按需生成机密数据，例如 AWS 或 SQL 数据库。例如，当应用程序需要访问 S3 存储桶时，它会向 Vault 索取凭证，而 Vault 将根据需要生成具有有效权限的 AWS 密钥对。创建这些动态机密数据后，Vault 会在租约到期后自动撤销它们。

• 数据加密：

Vault 可以在不存储数据的情况下加密和解密数据。这允许安全团队定义加密参数，开发人员可以将加密数据存储在 SQL 数据库等位置，而无需设计自己的加密方法。

• 租赁和续订：

Vault 中的所有机密数据都有与之相关的租约。在租约结束时，Vault 将自动撤销该机密数据。客户也可以通过内置的更新 API 更新租约。

• 撤销：

Vault 具有对秘密撤销的内置支持。Vault 不仅可以撤销单个机密数据，还可以撤销机密树，例如特定用户读取的所有机密数据，或特定类型的所有机密数据。撤销有助于密钥滚动以及在入侵情况下锁定系统。

Vault 带有各种称为 secrets engines 和 authentication methods 的可插拔组件，允许您与外部系统集成。这些组件的目的是管理和保护动态基础设施中的机密(例如数据库凭证、密码、API 密钥)。

二、引入 Vault 的可行性分析

(一)企业信息化系统中敏感信息安全现状

大多数企业信息化系统或平台中，有很大一部分的敏感数据。在分析某一个企业信息化软件时，在敏感数据方面发现了以下信息，这些信息应是具有一些代表性的：

• 系统使用的敏感配置信息，比如数据库账号信息等;
• 用户的账号及密码，登录 web 使用;
• 主机账号、密码、密钥，使用远程桌面时使用;
• 数据库账号、密码，登录数据库时使用。

这些敏感信息，安全方面主要采取了以下几种方式：

• 系统配置相关敏感信息，无安全措施;
• 用户密码采用了MD5+SHA256方式静态加密;
• 主机密码、密钥，数据库密码，采用的是python自带的加密模块进行静态加密。

这些敏感数据的存储位置也大致分为两个地方：

• 系统的敏感配置信息，明文存储;
• git 上存储着系统使用的加密方式和 salt;
• 数据库里存储着加密后的数据。

(二)当前企业信息化系统加密存储方式风险分析

要解密一份加密后的敏感数据，需要三个方面的信息：加密方式 + salt + 加密后数据，这三个数据的存储本身，也就成了安全风险所在。

目前许多企业的信息化性中，敏感信息任意存放，无序管理，缺乏系统性安全管理手段和系统，因此，这些敏感信息风险非常高。

(三)引入 Vault 可行性分析

Vault 的字面意思是“保险库”。

对于静态加密模型来说，最重要的是加密密钥的存储位置以及对这些密钥的访问控制。密钥如果能够进行严格的保护，能够由指定的用户进行管理，并可供特定的服务使用，那静态加密的安全性就会得到大幅提升。

对于企业的信息化系统来说，目前的安全性保证依赖于产品本身上，如果能借助保险库，将数据存入保险库中，并由用户保管各自钥匙，那系统的安全性就有了很大的保证。

针对 Vault 的特性，以及企业信息化系统的现状，我们可以作如下安全提升方案：

• 系统配置信息：

比如数据库凭证，采用静态存储方案，不再以明文方式存储在配置文件中;

• 用户账号信息、主机凭证信息：

采用静态存储方案，将密码、SSL 密钥以静态方式存储在 Vault 中，信息化系统中不再存储直接的凭证信息;

• 数据库堡垒机凭证信息：

支持静态和动态两种存储方式，可以让用户自行选择，信息化系统中不再存储直接的凭证信息。

安全提升方案落地后，给用户在使用信息化系统时提供安全方案选择，可以选择默认的平台加密方案，也可以选择安全性更高的 Vault 解决方案，提高用户的选择权和灵活性。

这样的安全提升方案，在PaaS/SaaS 平台中，由各租户管理员自行配置独立的安全方案，安全优势将更为明显。

三、引入 Vault 的成本分析

• Hashicorp Vault 提供开源版本，授权采用 MPL V2.0 协议，商业软件可免费使用;
• 接入的人力成本需要考虑，主要包括产品、研发、测试的人力成本。

四、引入 Vault 对产品亮点的提升

近几年，在信息化全面普及的大环境下，各种安全问题层出不穷，国家对信息化的安全也越来越重视，《网络安全法》、《数据安全法》、《个人信息保护法》相继出炉。相关的企业和个人对信息安全的要求也越来越高。

企业信息化系统引入 Vault 来提高敏感数据的安全性，可以令企业在信息安全管理方面合规，并成为企业信息化系统的安全亮点。

文章名称：Hashicorp Vault在企业信息化系统中应用的可行性调研
本文网址：http://www.csdahua.cn/qtweb/news40/278990.html

网站建设、网络推广公司-快上网，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 快上网