防火墻、入侵檢測和加密措施無法阻止黑客的步伐，他們從各種渠道入侵各大企業(yè)，獲取到大量用戶的數(shù)據(jù)（包括賬號、密碼、身份信息、其他機密），甚至有時還會給社會帶來災難性的影響，一如近期發(fā)生的Equifax數(shù)據(jù)泄漏以及Yahoo用戶信息泄漏事件就給美國社會掀起了不小的波瀾。

與此同時，網(wǎng)絡(luò)安全領(lǐng)域的專家學者以及科技企業(yè)，也正在積極探索全新的應(yīng)對方法。

安全工程師 Diogo Mónica 在上周二時發(fā)表了一篇博客，詳細探討了他的想法。他認為將安全機制融入到企業(yè)服務(wù)器中數(shù)據(jù)交互的基本設(shè)計之中，可改善數(shù)據(jù)泄漏事件頻發(fā)的現(xiàn)狀。

　　Crypto Anchors 是什么

這種名為 Crypto Anchors 的方法，是一種基于 IT 架構(gòu)層面的安全防護措施。實際上，在幾年之前這種方法已經(jīng)在技術(shù)層面得到實現(xiàn)，但在最近才得到更多的應(yīng)用。部分企業(yè)出于對重要／敏感數(shù)據(jù)進行保護的需要，應(yīng)用了這種防護機制。在 2015 年來到 Docker 就職之前，Mónica 和他的同事 Nathan McCauley 曾在著名美國支付企業(yè) Square 中設(shè)計并使用了這樣的系統(tǒng)。

Crypto Anchor 是一種將數(shù)據(jù)流的可用性強制保留在基礎(chǔ)設(shè)施邊界范圍之內(nèi)的方法。

在這種機制之下，數(shù)據(jù)庫的內(nèi)容在加密后，會單獨放在一個隔離的、單一目的、加固過的計算機內(nèi)（硬件安全模塊 HSM ）。如果企業(yè)網(wǎng)絡(luò)中的另一臺計算機嘗試獲取數(shù)據(jù)庫內(nèi)的數(shù)據(jù)記錄——無論是普通的操作行為還是黑客入侵后劫持了服務(wù)器進行的操作—— HSM 都會執(zhí)行自己“ 看門人”的職責，將每條記錄依次解密返還給發(fā)出查詢請求的設(shè)備。

理論上，這種機制只會在每個請求的正常響應(yīng)時間上再增加個百分之幾秒，但對滲透進一臺計算機設(shè)備或者潛入內(nèi)網(wǎng)獲得進入目標數(shù)據(jù)庫權(quán)限的黑客來說，他們卻不再能夠簡單地打包他們需要的數(shù)據(jù)，然后輕松地離開了——因為 Crypto Anchor 機制的存在，他們不得不停留在網(wǎng)絡(luò)內(nèi)部，辛苦地等待 HSM 來慢慢解密每個比特的數(shù)據(jù)。

而正是由于需要駐留在攻擊目標的網(wǎng)絡(luò)上，黑客們原本可能盤算的 搶劫完數(shù)據(jù)后就迅速跑路 的計劃注定泡湯，他們需要花上幾個月或幾年的時間才能實現(xiàn)原本的設(shè)想，這樣企業(yè)能夠更輕易地監(jiān)測到這樣的行為，并及時響應(yīng)。

　　將攻擊者錨定在內(nèi)部，延緩盜取數(shù)據(jù)的速度

讓我們來看幾個應(yīng)用 Crypto Anchors 的例子。

舉個例子1

數(shù)據(jù)流：你有一筆支付卡流程處理操作。交易需要在短期時間內(nèi)保留下數(shù)據(jù)，然后在遠程訪問的設(shè)備上解密這個端到端加密的支付卡信息。

如果不使用 Crtpto Anchor：普通的實現(xiàn)方法是給支付系統(tǒng)提供一個私鑰，用它來解密從遠程終端上讀取到的支付卡信息，但這種處理方法的缺點在于，攻擊者可以想方設(shè)法滲透系統(tǒng)、竊取加密后的交易數(shù)據(jù)以及解密所需的私鑰。

應(yīng)用 Crtpto Anchor ：如果利用 Crypto Anchro 加固這個數(shù)據(jù)流的處理，攻擊者就無法在這個系統(tǒng)之外解密這些交易數(shù)據(jù)。最簡單的應(yīng)用方法就是將解密所需要的私鑰存儲在 HSM 的解密之后，并嚴格控制解密服務(wù)的速率。

舉個例子2

數(shù)據(jù)流：你需要建設(shè)一個標記系統(tǒng)（tokenization system），這個系統(tǒng)需要對特定的敏感數(shù)據(jù)（如 SSN ）生成相應(yīng)的標記。

如果不使用 Crtpto Anchor ：最直接的標記系統(tǒng)實現(xiàn)方式是生成隨機標記并存儲標記與敏感信息散列值與標記的映射關(guān)系。但是，SSN 的最大數(shù)量只有不到 10 億，下載到數(shù)據(jù)內(nèi)容的攻擊者可以輕易地進行暴力破解。

應(yīng)用 Crtpto Anchor ：與例 1 相似，你可以在數(shù)據(jù)流中應(yīng)用 Crypto Anchor ，將離線的暴力破解轉(zhuǎn)變成在線破解。最簡單方法是把標記生成過程設(shè)為只能在 HSM 內(nèi)部進行鍵控單向函數(shù)。

　　改變企業(yè)毫無察覺的現(xiàn)狀

實際上，大多數(shù)的企業(yè)數(shù)據(jù)泄漏事件都可以歸納到如下的模式中來，因為攻擊者的攻擊思路便是如此。

1. 攻擊者使用各種各樣的方法侵入某企業(yè)的信息基礎(chǔ)設(shè)施中。

2. 攻擊者盜取/獲得敏感內(nèi)容（散列密碼，或者其他內(nèi)容）

3. 攻擊者開心地在自家搗鼓這些數(shù)據(jù)內(nèi)容（嘗試解密等等），得到他們所需要的東西或換取利益。

在一些典型案例中，攻擊者通過一些手段獲得權(quán)限，接觸到了數(shù)據(jù)庫中的用戶數(shù)據(jù)之后（包括進行身份驗證的散列密碼），他們就可以在任何地方自由破解這些密碼。

而如果在攻擊數(shù)據(jù)庫并提取數(shù)據(jù)的哪個時刻，系統(tǒng)并沒有監(jiān)測出攻擊行為，那這家企業(yè)就可能在之后的很長一段時間里都無知無覺。直到暗網(wǎng)上開始出售被黑客破解后的用戶密碼信息，這些企業(yè)才會意識到他們的數(shù)據(jù)早已遭到泄漏。

即便有傳統(tǒng)加密的加持，企業(yè)也很難應(yīng)對這個痛點。數(shù)據(jù)庫必須是實時可用的，Web 服務(wù)器自然需要能夠解密數(shù)據(jù)。而入侵了 Web 服務(wù)器的黑客自然能夠解開數(shù)據(jù)的加密。其次，散列密碼雖然可以將數(shù)據(jù)不可逆轉(zhuǎn)地轉(zhuǎn)換成加密字符，也不一定有很大的幫助。Equifax 事件中泄漏的社會安全號碼的總數(shù)由于不超過十億，黑客們可以簡單地竊取所有的哈希值，然后再產(chǎn)生所有的哈希值，并將結(jié)果與他們竊取的哈希值進行匹配，最終完全可能解密散列密碼值。

Crypto Anchors 應(yīng)用現(xiàn)狀

目前Crypto Anchros 還沒有得到廣泛的應(yīng)用，但在幾家頂級的科技企業(yè)安全團隊已經(jīng)以某種形式成功應(yīng)用該方法。除了Square之外，F(xiàn)acebook 與 Uber 的安全工程團隊也已經(jīng)應(yīng)用了類似的設(shè)計。

而涉及到 HSM 本身，Gemalto 及 Thales 在幾年前就完成了技術(shù)實現(xiàn)。而云端版本的 HSM 也同樣存在，如亞馬遜的 CloudHSM 以及微軟的 Azure Key Vault。約翰霍普斯金大學的密碼學專家 Matthew Green 表示，他正在為多家主要技術(shù)公司提供這方面的咨詢工作。