硬件安全模塊的起源、發(fā)展、應用與未來
隨著多數(shù)企業(yè)利用加密技術保護信用卡持有人資料，法國安全市場巨頭泰雷茲集團（Thales Group）提出了一種硬件安全模塊（Hardware Security Modules，HSM）解決方案，以保護所有加密系統(tǒng)的核心——基礎密鑰管理系統(tǒng)。據(jù)泰雷茲集團電子安全公司Thales eSecurity產(chǎn)品戰(zhàn)略副總裁Richard Moulds稱，全球約70%的信用卡和借記卡交易都是通過泰雷茲加密系統(tǒng)進行的。美國信用卡公司Visa是泰雷茲的一家主要客戶，采用了泰雷茲HSM作為其基本基礎設施的一部分，以保護基于Visa卡的交易。泰雷茲于2008年收購了加密解決方案提供商NCipher并獲得了HSM技術，目前正與多家加密和標記化供應商密切合作。但是，為什么沒有更多的公司加緊部署HSM以加密信用卡持有人資料呢？是HSM過于昂貴而且難以維護嗎？還是更多的公司正在利用服務提供商保護信用卡資料，最終將所有的信用卡持有人資料外包給服務提供商進行保護？Moulds就這些問題接受了我們的采訪，并指出了支付行業(yè)未來的挑戰(zhàn)。以下為訪談內(nèi)容：
泰雷茲2008年收購了NCipher，這似乎是泰雷茲密鑰管理和加密硬件的起源。這部分業(yè)務是獨立運營，還是被集成到現(xiàn)有的一些安全產(chǎn)品系列中？
Richard Moulds：不可否認，收購NCipher壯大了泰雷茲的企業(yè)產(chǎn)品家族。但是，泰雷茲早已進入加密領域，最著名的可能就是我們在支付網(wǎng)絡中的領先地位。全球約70%的信用卡和借記卡交易都是通過泰雷茲加密系統(tǒng)進行的。最近有許多關于使用端到端加密保護PCI DSS（支付卡行業(yè)數(shù)據(jù)安全標準）數(shù)據(jù)和信用卡持有人資料的談論，但是我們往往忘記了一個事實：由于整個支付基礎設施的發(fā)展，我們已經(jīng)對輸入到點銷售設備和ATM機的PIN（個人識別碼）號碼實現(xiàn)了端到端的加密和保護。因此，泰雷茲一直在全球支付加密和支付安全領域保持領軍地位。從根本講，收購NCipher所能夠達到的目標，只是將我們的業(yè)務范圍從支付市場擴展到更廣泛的金融服務市場。
部署支持PCI（支付卡行業(yè)）法規(guī)遵從加密的HSM能帶來什么好處？HSM似乎違背了支付卡行業(yè)的發(fā)展方向，它是不是也與整個云計算趨勢背道而馳呢？
Moulds：你認為HSM似乎與外包服務和云計算的整體發(fā)展方向不一致，這一觀點很有意思。不過，我可以理解你的觀點。很多時候當提到云計算時，我們總是想到云計算有許多運營效益，具有很高的靈活性和很多的優(yōu)點，但云計算或任何服務產(chǎn)品的缺點之一就是，你放棄了一定程度的控制權。你未必確切知道服務器在處理哪些交易，磁盤和備份磁帶究竟包含什么數(shù)據(jù)？云計算只是一種折中的解決方案。有時，你可能會為了靈活性而放棄了可見性。
當談到加密時，我們討論的是真實的基礎設施級安全。正是這些稱之為密鑰的東西支撐著整個基礎設施。如果你部署了一個用于加密你的存儲環(huán)境的系統(tǒng)，或者部署了一個用于加密來自點銷售設備的數(shù)據(jù)的系統(tǒng)，則這些系統(tǒng)的一些關鍵部分將是到密鑰，并需要得到真正的保護。你需要知道這些密鑰存儲在什么地方，是否曾經(jīng)為這些密鑰創(chuàng)建過副本，你還需要對哪些曾經(jīng)訪問過這些密鑰的管理員一清二楚。在審核這些系統(tǒng)中的加密方案時，審計人員的第一要務就是弄清“這些密鑰存儲在什么地方、哪些人負責管理這些密鑰以及哪些人有權修改這些密鑰?”因此，雖然服務提供商的服務非常周到，但是有些東西，尤其是一些核心的安全基礎設施，你確實不希望將其托付給服務提供商。你希望這些核心的安全基礎設施部署在盡可能少的地方。有些東西就應該嚴格地隔離和封鎖。
如果我們是一家一流的大型公司，而且我們希望部署HSM，那么我們是否需要在每個單點衛(wèi)星定位系統(tǒng)中都部署HSM，是否有比這更簡單的方法？
Moulds：不，你當然不需要在每個單點衛(wèi)星定位系統(tǒng)中部署HSM，單點衛(wèi)星定位系統(tǒng)中可能已經(jīng)采取了某種類型的加密方案。就像安全領域中的大多數(shù)事情一樣，你需要在風險與安全效益之間進行某種形式的評估。評估可能會證明你正在使用一個加密系統(tǒng)，該加密系統(tǒng)能在你網(wǎng)絡的遠程邊界加密數(shù)據(jù)，但是你的大多數(shù)密鑰實際上仍然位于網(wǎng)絡的中心位置。因此，真正保護密鑰的HSM對你的公司來說更加重要，而且應該部署在你的數(shù)據(jù)中心。隨著時間的推移，我們可能會看到HSM逐漸向網(wǎng)絡的邊界遷移。這是一種比較專業(yè)的技術。一個公司中只有比較少的人員知道如何管理這種類型的安全系統(tǒng)，我認為大多數(shù)人將會選擇在比較接近數(shù)據(jù)中心的位置部署HSM。
您剛才提到了端到端加密，最近不少人認為端到端加密只是一個營銷術語，你能介紹一下泰雷茲是如何定義端到端加密的嗎？
Moulds：從根本上講，與其說泰雷茲是一家加密技術提供商，倒不如說泰雷茲是一家真正的密鑰管理技術提供商。我們的合作伙伴（例如Voltage Security公司）才是真正的加密技術提供商。我們的產(chǎn)品實際上是增強這些合作伙伴提供的系統(tǒng)的安全性，我們提供的密鑰管理組件本質(zhì)上是Voltage產(chǎn)品的補充。據(jù)我所知，術語“端到端加密”是由美國信用卡處理商和支付服務提供商Heartland Payment Systems公司最近提出來的。這又回到了我前面提出的觀點。當然，在支付網(wǎng)絡中，像PIN號碼這樣的數(shù)據(jù)長期以來一直是采用端到端加密技術進行保護的，我想Heartland公司完全知道這一點，因為它本身就是一家支付處理商。Heartland所謂的“端到端加密”實際上只是將同樣的技術應用到保護信用卡持有人資料上而已。它的意思就是，“看，如果我們能夠?qū)τ脩糨斎氲紸TM機或點銷售設備的PIN號碼進行加密，那么我們?yōu)槭裁床荒軐π庞每ǔ钟腥速Y料進行加密？”術語端到端加密實際上表示，讓我們試試在信息被捕獲的時候?qū)ζ浼用堋?/P>
PCI DSS對密鑰管理是如何規(guī)定的？
Moulds：PCI DSS對密鑰管理并沒有非常明確的規(guī)定。PCI DSS只是指出，應該盡可能地減少存儲密鑰的地方，這一要求很有道理。應該對密鑰管理員進行強認證。理想的情況是，實際更改密鑰管理系統(tǒng)的過程要求不止一名的管理員參加。建議采用一些管理員互相監(jiān)督的形式。當你真正嘗試部署密鑰管理系統(tǒng)時，僅僅遵守PCI DSS指南可能還不夠。你可能還需要考慮更多運營方面的問題。
在你最近委托美國信息安全研究機構Ponemon Institute實施的一項調(diào)查中，接受調(diào)查的155家合格安全性評估商（Qualified Security Assessor,QSA）中有81%的受調(diào)查對象表示需要或建議采用HSM保護加密系統(tǒng)。既然是這樣，那為什么沒有看到更多的公司部署HSM？是不是部署HSM的價格非常昂貴？
Moulds：正如我對我妻子說的那樣，價格總是相對的。如果你要保護你的整個支付基礎設施，而該支付基礎設施每年要處理數(shù)十億美元的交易，那么HSM的價格根本不算昂貴。你總是要在更廣泛的安全投資背景下看待HSM的價格。必須承認，在相當長的一段時間里，HSM一直是一種相對專業(yè)的技術，這一點千真萬確。有些公司靠購買10套左右的HSM勉強應付；多數(shù)公司并沒有大規(guī)模地部署HSM。HSM設備每年的市場銷售量還不到幾十萬。我認為我們正處在該行業(yè)的轉(zhuǎn)折點。作為一種高度集中、非常專業(yè)的安全功能，全球最優(yōu)秀的安全產(chǎn)品采購商十年來一直采購HSM并對其贊不絕口。我們現(xiàn)在看到，同樣的最佳實踐和同樣的技術正被應用到更加多樣化、更加主流的加密市場。這一趨勢給HSM市場帶來了一些壓力，以使其產(chǎn)品適應特定客戶的需求，這些客戶缺乏經(jīng)驗，正在尋求可以使用和部署不太復雜的加密方法。我認為，HSM或強化密鑰管理以及加密處理市場將發(fā)生巨大的變化：價格下降、可用性提高、用戶在部署時需要考慮的因素更多。
【編輯推薦】
