一文了解DigiCert和Thales如何增強Hyperledger的網路安全性

語言: CN / TW / HK

注:原文來自hyperledger。

2019年,全球約有79億條資料記錄遭到破壞,然而,39%的公司沒有使用強大的資料安全措施,因為部署複雜性是一大障礙。這是可理解的,正確實施密碼學方案具有挑戰性,而合規要求的不斷髮展會帶來負擔:迄今為止,國際公司可能需要滿足大約1,800 項全球隱私法。

然而,安全性不是可選的,而是必須的。如果他們不信任你的解決方案,就沒有人會購買它。難怪公司在選擇解決方案時會盡心盡力,理想的解決方案是與系統無關、自動化和簡單的解決方案。

隨著區塊鏈等分散式賬本技術 (DLT) 的出現,安全問題的解決之道似乎就在眼前。

那麼,DLT 是否可以解決你的網路安全問題呢?

DLT承諾了很多特性,例如不可篡改性、透明性和可審計性。一旦網路達成共識,資訊被記錄在賬本上,使用者就可以相信他們所看到的與被認可的“真相”完全相同。如果資料被加密,只有獲得批准的使用者才能看到它。通過這些方式,DLT可以起到保護資料的作用。

然而,與任何儲存解決方案一樣,區塊鏈也無法避免妥協,它們本身並不是100%安全的。區塊鏈只是整個系統的一部分,共識之前發生的事情和資料檢索之後發生的事情與DLT無關。

“區塊鏈所做的就是提供途徑,” DigiCert®研發主管Avesta Hojjati解釋道,“它們提供了一條探索的途徑,一條節省資金的途徑,以及一條提高安全性的途徑。”

Thales首席技術專家Sol Cates補充道:

“儘管有了這項尖端、新穎的技術,網路安全仍然可歸結為公鑰基礎設施的老問題和三條安全規則:機密性、完整性和可用性。無論你的系統有多麼驚人,如果你在整合區塊鏈時放棄了安全的基本原則,那你就是在招致漏洞。”

在驗證和管理區塊鏈身份、 DLT 使用者以及裝置時,尤其如此。

身份驗證和管理基礎

公鑰基礎設施 (PKI) 驗證使用者和裝置的身份,它包括一個證書頒發機構 (CA),後者驗證身份並頒發受信任的證書。它還包括金鑰對的管理——允許安全數字交易的公鑰和私鑰。

硬體安全模組 (HSM) 安全地生成、管理和儲存關鍵金鑰。這些裝置具有物理保護和防篡改功能,並可在操作上與其他系統隔離。HSM不與儲存電子郵件、文件或系統備份的伺服器共享空間。無論是物理的還是基於雲的,HSM只有一項工作:管理和保護金鑰。

證書通常被比作你的護照或駕照,它們由受信任方或“CA”頒發,他們會檢驗你的身份,而且它很難偽造,因此其他人可以依靠它們來識別你的身份。

但是這個類比並不能很好地解釋金鑰。舉一個簡單的例子,讓我們來考慮一個郵局。

郵局會檢查你的身份,併發給你一個郵政信箱。這樣,郵局就像一個 CA。它驗證了你的身份,並將你的姓名繫結到一個類似於證書的郵箱。然後,你的郵箱編號將用作你的公鑰。你可以與他人分享,或者他們可以找到它。一旦他們知道了,他們就可以與你交流。你可以將資訊傳送給你知道公鑰(郵箱)的人。

但是你還有一個私鑰來訪問你的郵件。沒有這個私鑰,任何人都無法訪問你郵箱的內容。為了保證你的資訊保安,你必須保護這個私鑰。為了確保它真正安全,你可以將其存放在壁掛式保險箱中(在本示例中充當 HSM),而不是存放在廚房的抽屜中,在那裡你的私鑰會與垃圾混在一起,而其他人可能會無意或有意地碰到它。

雖然這個示例極其簡單,但它提供了 PKI 和 HSM 如何保護資料和事務的基本概念。

實際上,PKI 和 HSM 提供的不僅僅是通過你的私鑰進行身份驗證和安全訪問。

PKI 還提供了加密……想象一個神奇的信封,它會使內容無法讀取,直到你從郵箱中檢索到信件。它確保傳送資訊的完整性,防止任何其他方在傳輸過程中進行更改。HSM 使用高階加密技術生成這些私鑰,並保護使用者資訊、資料機密性和網路身份驗證。

為了安全起見,區塊鏈和 DLT 解決方案仍必須滿足標準的網路安全實踐和要求。金鑰管理 — 確保金鑰保密、完整性得到保護,並且始終隨時可用是至關重要的。如果沒有這種金鑰管理,你也可以複製你的郵箱金鑰,並將其分發給任何想要的人。

可以理解,金鑰管理對公司來說是一項持續的挑戰。他們不僅需要保護一組金鑰,還需要保護幾份檔案。企業每小時可以生成數百個金鑰對,每個金鑰包含 2048 到 3072 位。

通過遠端員工和合作夥伴、多個裝置訪問網路以及安全的電子郵件和文件交換,企業每天無數次地驗證身份、加密資料並驗證文件和通訊的完整性。

這些都是需要管理和保護的資訊,它需要一個強大的證書、金鑰和身份管理平臺,它還需要一種生成、管理和儲存私鑰的方法。

然而,區塊鏈本身並不能滿足所有這些要求。

這就是DigiCert 和 Thales一起在做的事,它們建立了長達十年的合作伙伴關係,幫助其客戶對通訊、系統、電子郵件、文件、網站和伺服器進行身份驗證和加密。

而這兩家企業,也是Hyperledger 的共同成員。

DigiCert 和 Thales 相信,設計安全的其中一個原則是,解決方案的設計從一開始就包含既定的安全原則,而不是依賴於反應性附加元件。

我們可以考慮從頭開始建立銀行,和將舊小學改造成銀行之間的區別。前者會有一個很好的基礎以及有限的接入點。而後者的改造,永遠不會達到相同的質量標準。

而在採用區塊鏈解決方案或服務方面,DigiCert 和 Thales認為,很多公司都是採用了後一種方式,這些公司會因為“區塊鏈不起作用”而選擇了放棄,為此,這兩家公司希望為Hyperledger Fabric 的使用者解決這個問題。

工作原理

簡單地說,DigiCert用金鑰保護裝置,而Thales則負責保護這些金鑰,它們一起使用Hyperledger Fabric提供安全解決方案。

首先,一個客戶在DigiCert的平臺中建立一個帳戶,該帳戶允許客戶頒發公共和私人信任的證書。然後,他們使用DigiCt的API將其與HyffeDiger-Band整合並替換原生CA。從這一點上,客戶可以使用Luna HSMs作為數字信任的堅實基礎。

而Thales利用 Hyperledger Fabric 管理其整合。

儘管整合現在是分開的,但兩家公司正在尋求更廣泛的整合。Hojjati說:“我們正與Thales合作,將其作為單一產品。在該產品中,你可以將CA和HSM整合到Hyperledger Fabric中,併為金鑰對和證書提供一個聯絡點。”

除了整合到一個產品中,DigiCert和Thales還在密切關注雲HSM、量子計算等發展趨勢。

隨著更多物聯網裝置和分散式模型的部署,可能需要一種更分散式和可擴充套件的HSMs方法,Hojjati說:“HSM的生命週期通常很長,因此向雲的遷移可能需要一些時間,但越來越多的客戶在詢問基於雲的HSM。”

「其他文章」