学习
实践
活动
专区
工具
TVP
写文章

干货 | 原生加密:数据加密应用指引

现状是大部分敏感凭据并没有进行加密保护,一旦配置文件丢失,容易造成敏感信息泄露。有一些有安全意识开发的同学会对敏凭据进行一次简单的加密,但是加密凭据的密钥放在哪里就成了关键问题。 这种情况,推荐使用凭据管理系统(SecretsManager,SSM)对敏感凭据进行统一管理。 通过接入凭据管理系统,从源代码中删除硬编码凭据,将程序中对敏感信息硬编码或配置文件中敏感信息替换为通过API的方式查询,以编程方式动态检索凭据,代码中不会出现敏感信息,业务只需关心一个接口,这有助于避免代码泄露时或者查看代码的人获取敏感信息 13.png 凭据轮换是通过版本管理的方式,借助凭据管理系统,按周期更新敏感凭据内容,依赖该凭据的所有应用点将自动完成同步,实现安全的凭据轮换管理,同时确保依赖该凭据的业务连续性。 15.png 推荐阅读: 云上密码应用最佳实践 开源时代,如何在追求开发效率的同时保障敏感凭据安全? 密钥管理系统 KMS 凭据管理系统 SSM 云加密机 CHSM

1.1K30

原生加密:腾讯云数据安全中台解决方案

凭据管理系统 像帐号密码、敏感 IP 端口、数据库连接信息等我们可以统称为凭据,传统的使用方式是把信息配置在配置文件或者配置中心。 现状是大部分敏感凭据并没有进行加密保护,一旦配置文件丢失,容易造成敏感信息泄露。有一些有安全意识开发的同学会对敏凭据进行一次简单的加密,但是加密凭据的密钥放在哪里就成了关键问题。 这种情况,推荐使用凭据管理系统(SecretsManager,SSM)对敏感凭据进行统一管理。 通过接入凭据管理系统,从源代码中删除硬编码凭据,将程序中对敏感信息硬编码或配置文件中敏感信息替换为通过API的方式查询,以编程方式动态检索凭据,代码中不会出现敏感信息,业务只需关心一个接口,这有助于避免代码泄露时或者查看代码的人获取敏感信息 凭据轮换是通过版本管理的方式,借助凭据管理系统,按周期更新敏感凭据内容,依赖该凭据的所有应用点将自动完成同步,实现安全的凭据轮换管理,同时确保依赖该凭据的业务连续性。 3.

4.7K13557
  • 广告
    关闭

    热门业务场景教学

    个人网站、项目部署、开发环境、游戏服务器、图床、渲染训练等免费搭建教程,多款云服务器20元起。

  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    开源时代,如何在追求开发效率的同时保障敏感凭据安全?

    大部分的敏感凭据泄露都是无意识的,主要是用户对敏感凭据的重要性认知不够,上传非敏感代码时不小心夹带。 对开发者个人而言,需要加强开发工作中敏感凭据的加密意识,拒绝明文硬编码;对于企业而言,需要加强对各种不同类型的凭据的统一管理问题。 因此对这类配置文件的敏感信息需要应用密码技术进行加密保护,推荐采用凭据管理系统SSM进行托管式管理和硬件级加密存储。 接入前后的对比示例如下图所示: 4.jpg 从应用程序的源代码中删除硬编码凭据,将代码中的硬编码凭据替换为对 Secrets Manager API 调用,以便以编程方式动态检索、管理凭据,有助于避免代码泄露时或者查看代码的人获取敏感信息 腾讯云已上线凭据管理系统SSM和白盒密钥管理,使用指引可以参考: 凭据管理系统SSM详情:https://cloud.tencent.com/product/ssm 白盒密钥管理详情:https://cloud.tencent.com

    70930

    云上密码应用最佳实践

    由于不安全的配置、源代码泄露及硬编码等内部威胁导致数据泄露事件频发,而做好数据加密和敏感凭据管理,能有效降低数据泄露带来的风险 但是,密码技术在使用过程中面临着三大难题,所谓“三难”就是指“难做、难用 开发阶段,意识疏忽泄露源代码中包含的敏感凭据和密钥;测试阶段,暴露高风险的测试数据库访问端口和弱账号;集成交付阶段,临时环境中的数据访问端口,薄弱配置导致的安全问题;生产和运营阶段,账号口令泄露、破解、 凭据管理系统SSM 提供解决敏感凭据硬编码及泄露风险的最佳方案 2019年北卡罗来纳州立大学团队调查显示Github上的密钥泄露问题相当严峻:超 100000十万个代码库泄露了API 、加密密钥或其它敏感凭据内容 针对敏感配置、敏感凭据硬编码带来的泄露风险问题,凭据管理系统(Secrets Manager)服务为用户提供凭据的创建、使用、删除、权限等全生命周期管理,所有的凭据均进行加密保护。 通过腾讯云数据安全中台凭据管理系统的能力,可以轻松实现对数据库凭证、API 密钥和其他密钥、敏感配置等的集中检索、管理以及加密存储,有效避免程序硬编码带来的明文泄密以及权限失控带来的业务风险。

    1.3K31

    OWASP物联网测试Attack Surface Areas

    - 用户名明文 - 密码明文 - 第三方凭据 - 加密密钥 设备物联接口 - 固件解压- 用户命令行- 管理命令行- 特权滥用- 重置至不安全状态- 移除存储设备- 抗干扰 - 用户名枚举 - 弱密码 - 账户锁定 - 已知默认凭据 - 不安全的密码恢复机制 设备固件 - 敏感数据暴露 - 后门账号 - 硬编码凭据 - 加密秘钥 - 加密(对称、非对称) - 敏感信息 - 敏感url暴露- 固件版本显示/最新更新日期- 漏洞服务(web、ssh、tftp等) - 验证旧的软件版本及可能的攻击(健康监控、心跳、ssh - UPnP- 可攻击的UDP服务- Dos- 设备固件OTA更新阻塞- 固件传输使用了不安全的渠道(例如为使用TLS)- Replay攻击- 缺乏有效载荷验证- 缺乏消息完整性验证- 凭据管理漏洞 - OWASP Testing Guide- 凭据管理漏洞 - 用户名枚举 - 弱密码 - 账户锁定 - 已知默认凭据 - 不安全的密码恢复机制- 安全/加密选项- 日志选项-

    53930

    云上密码应用最佳实践——为云海漫步保驾护航

    由于不安全的配置、源代码泄露及硬编码等内部威胁导致数据泄露事件频发,而做好数据加密和敏感凭据管理,能有效降低数据泄露带来的风险。 开发阶段,意识疏忽泄露源代码中包含的敏感凭据和密钥;测试阶段,暴露高风险的测试数据库访问端口和弱账号;集成交付阶段,临时环境中的数据访问端口,薄弱配置导致的安全问题;生产和运营阶段,账号口令泄露、破解、 凭据管理系统SSM——提供解决敏感凭据硬编码及泄露风险的最佳方案 2019年北卡罗来纳州立大学团队调查显示Github上的密钥泄露问题相当严峻:超 100000十万个代码库泄露了API 、加密密钥或其它敏感凭据内容 针对敏感配置、敏感凭据硬编码带来的泄露风险问题,凭据管理系统(Secrets Manager)服务为用户提供凭据的创建、使用、删除、权限等全生命周期管理,所有的凭据均进行加密保护。 通过腾讯云数据安全中台凭据管理系统的能力,可以轻松实现对数据库凭证、API 密钥和其他密钥、敏感配置等的集中检索、管理以及加密存储,有效避免程序硬编码带来的明文泄密以及权限失控带来的业务风险。

    57921

    Ansible之 AWX 管理清单和凭据的一些笔记

    Vault:用于解密存储在 Ansible Vault 保护中的敏感信息。 自定义凭据管理员可以定义自定义凭据类型,不建议修改 创建计算机凭据 凭据通过位于左侧导航栏上的 AWX 凭据 链接下的页面进行管理。任何用户都可以创建凭据,并被视为该凭据的所有者。 专用凭据与分配给组织的凭据的主要区别如下: 任何用户都可以创建专用凭据,但只有拥有组织的 Admin 角色的 AWX 系统管理员和用户才能创建组织凭据。 「由 AWX 保护的凭据,不被用户所知」 使用 AWX 凭据的一种常见场景是将任务的执行从管理员委派给一级支持人员。 「凭据提示输入敏感密码,而不是存储在 AWX 中」 另⼀种场景是使用凭据来存储用户名身份验证信息,同时在使用凭据时仍以交互方式提示输入敏感密码。

    17910

    腾讯安全推出云数据安全中台,助力企业极简构建数据全生命周期防护

    具体而言,腾讯安全以云数据安全中台为中心,围绕数据加密软硬件系统(CloudHSM/SEM)、密钥管理系统(KMS)凭据管理系统(Secrets Manager)三大能力,将合规的密码运算、密码技术、密码产品以组件化 (KMS)以及凭据管理系统(Secrets Manager)三大能力为核心,将密码运算、密码技术及密码产品以服务化、组件化的方式输出,并无缝集成至腾讯云产品中,实现从数据获取、事务处理及检索、数据分析与服务 ,通过密钥管理系统KMS,提供对密钥的全生命周期进行管控;最后,按照制定的加密策略应用到企业核心业务、敏感数据以及数据链路上。 针对敏感数据,密钥管理系统(KMS)提供了细粒度的权限管控和基于硬件加密机的计算资源,借助KMS服务,可以帮助用户便捷安全的对配置文件、密钥证书、用户信息、银行账号、口令等隐私数据进行加解密服务,实现敏感数据明文不落盘 针对敏感配置、敏感凭据硬编码带来的泄露风险问题,凭据管理系统Secrets Manager服务为用户提供凭据的创建、使用、删除、权限等全生命周期管理,所有的凭据由密钥管理系统(KMS)进行加密保护,并且提供非常简单的使用接口和

    64800

    云原生时代,如何构建开箱即用的数据加密防护?

    而云上核心的数据安全与隐私保护,就需要通过安全基础设施密钥管理系统(KMS)来实现密钥的管理敏感凭据类信息托管加密保护 基于KMS封装,提供凭据管理,用户可通过凭据管理系统轻松实现对数据库凭证、API 密钥和其他密钥、敏感配置的集中检索、管理以及加密存储,有效避免程序硬编码导致的明文泄密,以及权限失控带来的业务风险 小型敏感数据加密 通过调用 KMS的API选择采用对称密钥或非对称密钥进行数据加解密,用来保护服务器硬盘上敏感数据的安全(小于4KB)。 密码技术及密码产品以服务化、组件化的方式输出,并无缝集成至腾讯云产品中,实现从数据获取、事务处理及检索、数据分析与服务,数据访问与消费过程中的安全防护,展开了一系列以数据加密软硬件系统(CloudHSM/SEM)、凭据管理系统 ”检测+防护+告警“敏感凭据防护方案详情 密钥管理系统 KMS KMS 白盒密钥管理 凭据管理系统 SSM 云加密机 CHSM

    6743021

    关于AKSK安全保护的一点思考

    只这一条,就可以扼杀大部分期望通过自己生成的密钥来对敏感数据做加密的想法。 我们不妨从一个更高的视角来看待这个问题,假设,我们不再把AKSK作为云平台的根凭据,而是将他作为某种数据资产,可以让云平台来帮我们管理。 关于SSM凭据管理系统(Secrets Manager,SSM)基于密钥管理系统 KMS为用户提供凭据的创建、检索、更新、删除等全生命周期的管理服务,结合资源级角色授权轻松实现对敏感凭据的统一管理。 针对敏感配置、敏感凭据明文编码带来的泄露风险问题,用户或应用程序通过调用 Secrets Manager API/SDK 来查询凭证,可以有效避免程序硬编码和明文配置等导致的敏感信息泄密以及权限失控带来的业务风险 对所管理凭据内容进行加密存储。使用凭据时,SDK将通过 TLS 安全传输数据到服务器本地。

    1.5K4121

    业务安全与合规要求双重驱动下,企业如何有效落地数据加密防护?

    在企业安全管理层面,敏感核心数据明文存储将给业务带来巨大风险。 03.png 腾讯云数据安全中台解决方案: 腾讯云数据安全中台打造端到端的云数据全生命周期安全体系,以数据加密软硬件系统(CloudHSM/SEM)、密钥管理系统(KMS)、凭据管理系统(SSM)以及云数据加密代理网关 、配置文件和硬编码敏感信息的安全、密钥的安全管理、云上数据的存储安全、金融支付等敏感应用的安全合规问题、数据的共享、展示脱敏的问题等等。 06.png 针对这些问题,腾讯云数据安全中台提供极简的解决方案:以云加密机CHSM,密钥管理系统KMS和凭据管理系统SecretsMangaer为核心,通过国密TLS,Encrypt SDK和云产品透明加密 ”检测+防护+告警“敏感凭据防护方案详情 密钥管理系统 KMS KMS 白盒密钥管理 凭据管理系统 SSM 云加密机 CHSM

    2.8K2113

    IoT威胁建模

    设备域 [threatmodel3.png] Request 权限提升 威胁:攻击者可能会通过管理端口或者特权服务进入系统 消减措施:使用强凭据保护设备和所有公开的管理界面,以及Wi-Fi、SSH 消减措施:需要必要的审核和日志记录:设备标识操作、设备到云的通信、云到设备的通信、连接、文件上传假冒威胁:攻击者可能利用默认登录凭证获取权限 消减措施:确保在安装期间更改域网关的默认登录凭据 威胁 消减措施:使用强凭据保护设备和所有公开的管理界面,以及Wi-Fi、SSH、文件共享、FTP等。 :使用强凭据保护设备和所有公开的管理界面,以及Wi-Fi、SSH、文件共享、FTP等。 消减措施:使用强凭据保护设备和所有公开的管理界面,以及Wi-Fi、SSH、文件共享、FTP等 威胁:攻击者可能会在移动客户端利用未使用的功能和服务消减措施:确保只开启最少的服务和特征 篡改 威胁

    64000

    一文透析腾讯云如何为企业构建「数据全生命周期保护」

    从2002年起,国内就出现了以防止敏感信息泄露为目的的防水墙系统,数据防泄密领域先后发展了主机监控与审计、桌面管理、终端安全、补丁管理、移动存储介质管理、终端准入等安全管理手段。 腾讯云综合运用数据安全管理经验和数据保护技术打造了数据安全治理中心、数据加密服务、密钥管理系统、凭据管理系统、数据安全审计、堡垒机、敏感数据处理等七大产品体系,针对性地在数据全生命周期每个阶段提供保护, 此外,在微服务、DevOps、无服务器计算日益普及的今天,数据库凭证、API 密钥和其他密钥、配置信息等敏感凭据的集中管控及安全存储能力,是企业数据安全管理的必要一环。 腾讯云推出了行业首家凭据管理系统Secrets Manager服务,为用户提供凭据的创建、使用、删除、权限等全生命周期管理,所有的凭据由密钥管理系统(KMS)进行加密保护,并且提供非常便捷的使用接口和SDK 开箱即用的“云数据安全中台”:在数据加密保护方面,腾讯云整合数据加密软硬件系统(CloudHSM / SEM)、密钥管理系统(KMS)以及凭据管理系统(Secrets Manager)三大能力,推出了“

    84610

    勒索病毒攻击事件频发,企业上云应如何应对

    企业端面对高危端口应通过漏洞管理、基线检查的角度主动发现潜在的漏洞风险,构建安全防线,并通过病毒查杀引擎实现主动防御。同时也要在事前做好数据的备份,事后进行数据的恢复和解密,有效挽回损失。 ; 最后,就是梳理核心业务场景,构建以业务为中心的安全防护体系,针对业务数据流、业务支撑组件以及业务入口、业务敏感凭据进行全面梳理,进行专项建设优化和持续运营。 与此同时,腾讯云还面向用户构建的云端漏洞封堵能力和数据泄露监测能力,前者可实现用户侧无感知批量漏洞利用防护,后者则提供全流程的敏感凭据泄露防护解决方案,该方案通过事前凭据加固实践、事中提供托管式管理、加密 、轮换等操作凭据管理系统以及事后提供的主动+被动的敏感凭据泄露监测能力,可以帮助用户在敏感凭据管理的全生命周期规避泄露风险,此次全球SNAKES勒索事件所使用的恶意软件,则包含了检查程序代码中硬编码(如内部系统名称和相关公共 明确哪些是机密数据、敏感数据、普通数据,进而根据数据的不同等级,设置不同的安全策略。  其次,重视异常事件监测分析。

    55460

    企业安全建设 丨 当我们在谈论推特安全事件时,我们在谈论什么?

    即:每个用户、设备、服务或应用程序都是不可信任的,必须经历身份和访问管理过程才能获得最低级别的信任和关联访问特权。 如因业务需要,员工或运营系统访问、操作敏感接口和数据,均应审批并留存日志,方便定期审计、回溯。 在业界,相关理念已有实践。 服务具有加密凭据,可在向其他服务发送或从其他服务处接收远程过程调用 (RPC) 时用于证明自己的身份。 从该客户端设备向 Google 发出的任何后续请求都需要提交此用户凭据。当一项服务收到最终用户凭据时,就会将该凭据传递给中央身份识别服务进行验证。 9.png 漏洞主要分三类: 未鉴权,业务未校验登录态,外部可任意拉取业务敏感数据。例如:SNS社交动态任何人可删除、网站管理接口可直接操作。 水平越权,具有同等权限的A、B能相互进行敏感操作。

    37341

    浅谈云上攻防——国内首个对象存储攻防矩阵

    API 密钥由SecretId和SecretKey组成,用户可以通过API密钥来访问云平台API进而管理账号下的资源。 通过访问管理提权 错误的授予云平台子账号过高的权限,也可能会导致子账号通过访问管理功能进行提权操作。 与通过Write Acl提权操作不同的是,由于错误的授予云平台子账号过高的操作访问管理功能的权限,子账号用户可以通过访问管理功能自行授权策略,例如授权QcloudCOSFullAccess策略,此策略授予子账号用户对象存储服务全读写访问权限 用户账号数据泄露 在一些场景中,开发者使用对象存储服务存储其业务中的用户数据,例如用户的姓名、身份证号码、电话等敏感数据,当然也会包含用户账号密码等凭据信息。 窃取存储桶内用户数据 当用户使用存储服务存储用户数据时,攻击者通过攻击存储服务,以窃取用户敏感数据,这些信息可能包含用户的姓名、证件号码、电话、账号信息等,当用户敏感信息泄露事件发生后,将会造成严重的影响

    55220

    增长指数第一!腾讯安全入选沙利文数据安全市场报告领导者象限

    落实数据安全工作存在哪些难点? :分布广:IT资产分布广泛,多云、线下环境混合部署,难以统一管控;资产杂:业务系统复杂多样,数据存放在不同数据库、大数据仓库、对象存储等多种存储应用中,流经多种应用服务器、交换机、终端等设备,难以进行管理和风险评估 ;部署难:传统数据安全防护手段在实际业务场景、网络环境难以部署和实施,无法对其进行监控和防护;不信任:对于敏感数据上云仍然持谨慎态度,对云运营方存在一定担忧;“四步走”解决数据安全难题在实践过程中,针对数据安全治理战略落地过程中的痛点 助力客户对数据资产进行加密防护,并可利用具备双向远程证明和应用迁移便捷的机密计算平台帮助客户解决计算环境的数据安全风险;同时提供数据安全审计与 API安全审计产品,帮助客户监控其数据资产的一举一动;面向研发运维环境,提供凭据管理系统对重要凭据进行加密管理 ,有效防止重要凭据外泄带来的数据安全风险。

    25030

    关注

    腾讯云开发者公众号
    10元无门槛代金券
    洞察腾讯核心技术
    剖析业界实践案例
    腾讯云开发者公众号二维码

    相关产品

    • 凭据管理系统

      凭据管理系统

      凭据管理系统(SSM)为用户提供凭据的创建、检索、更新、删除等全生命周期的管理服务,结合资源级角色授权轻松实现对敏感凭据的统一管理。

    相关资讯

    热门标签

    活动推荐

    扫码关注腾讯云开发者

    领取腾讯云代金券