问云数据中心的密钥管理

EN

一些HSM (我更习惯于那些来自nCipher的)允许类似云的操作:几个HSM可能共享相同的“安全世界”，这意味着他们看到相同的私钥，通过加密的隧道相互交换。在HSM中，存储本身并不是物理上的；它是外部的，而是用保存在HSM中的密钥加密的(完整的设置涉及几种类型的智能卡，它比这要复杂一些，但您知道了)。

Azure有一种机制，可以安全地将私钥下载到每个部署的VM中，私钥是不可导出的。这里是一个白皮书，它描述了2.1.1.4节中的过程

http://www.globalfoundationservices.com/security/documents/WindowsAzureSecurityOverview1_0Aug2010.pdf

。

如何将证书安装到Azure中

链接

亚马逊现在支持将SafeNet HSM与CloudHSM结合使用。

Microsoft支持使用Thales：泰勒斯，微软在云中提供安全密码。。

我怀疑描述“典型”使用、密钥管理或存储的可能性，云提供商和HSM供应商的细节都不一样。

Azure "带上你自己的钥匙“概念确实允许您使用在您自己的HSM上生成的密钥，但是您几乎肯定仍然必须信任您的云提供商才能正确地管理HSM。

(HSM的设计非常难让未经授权的人从中提取密钥，但允许HSM共享密钥以实现故障转移和可伸缩性意味着在它们之间共享秘密，这必须以可信的方式完成。在@thomas提到的nCipher (现在的Thales) HSMs中，如果攻击者不受控制地访问用于向安全世界添加HSM的管理员智能卡的仲裁，他们可以有效地从那个世界中提取密钥。在SafeNet一案中，类似的考虑也适用于露娜项目。除非云提供商允许您直接访问数据中心中的“您”HSM，否则您必须信任它们的初始设置。一旦使用HSM建立了秘密，就有可能与它们进行安全的认证通信。)

编辑，几年后:亚马逊的CloudHSM现在使用他们自己的硬件，SafeNet (现在的Gemalto) HSM现在是"CloudHSM经典“，这将被逐步淘汰，因为露娜5 HSM是寿命的终结云题经典常见问题。

Thales和Gemalto正在合并，但以前的nCipher HSM业务正被出售给Entrust Datacard。泰利斯将出售GP HSM业务。

Microsoft现在提供专门的HSMs 什么是Azure专用的HSM？。