5、云密钥管理：挑战、解决方案与实现

云密钥管理：挑战、解决方案与实现

1. 云环境下HSM连接方式及问题

1.1 HSM现场检查与虚拟连接

为确保HSM密钥存储安全，企业管理员可前往云服务提供商处，在经过验证的HSM上生成硬件密钥对。此时，私钥受HSM保护，可防止恶意或受损的云服务提供商或攻击者获取。公钥可被提取，用于确保云服务提供商不会替换私钥。这与客户端在自己的HSM上生成密钥并将其托管在云中类似，都能保证密钥存储在已知的HSM中。

若云服务提供商使用软件密钥管理接口，HSM请求会通过软件实现的虚拟HSM路由到硬件HSM。这种方式下，即使锁定了实际的HSM，不可信或受损的云服务提供商仍可能在虚拟HSM处允许其他请求。虽然共享对HSM的访问可能不像导出私钥那样严重违反ELS基本原则，但它仍允许与未经授权的实体共享私钥，是一种根本性的违规行为，因为密钥本身虽得到保护，但对HSM的访问未得到有效保障。

1.2 HSM现场检查与直接连接

为缓解软件密钥管理接口带来的问题，云客户端可要求服务器直接连接到HSM。在这种配置下，由于不存在云服务提供商控制的中间人，无法共享此类连接。每个服务器必须自行创建与HSM的连接，由云服务提供商按需完成。

然而，云服务提供商虽不能共享现有的HSM连接，但可以像建立有效连接一样创建新连接，从而能够使用HSM中的私钥，这再次违反了ELS原则。

1.3 HSM现场检查与预配置直接连接

除要求服务器直接连接到HSM外，托管企业还可在服务器和HSM之间创建长期的TLS连接。用于创建HSM连接的特殊令牌或密钥由企业持有，不与云服务提供商共享，这消除了云服务提供商创建这些连接的能力。此时，服