Bring Your Own Key (BYOK) är en metod där nycklarna på plats placeras i en leverantör av molntjänster miljö, vilket möjliggör användning av lokala nycklar med det inbyggda molnet nyckelhantering tjänster till encrypt och dekrypt innehåll. BYOK kräver HSMs (antingen dedikerad eller erbjuds som KMS-tjänst) men stöder alla molntjänstmodeller (SaaS, PaaS och IaaS) så länge molnleverantören erbjuder nyckelhanteringstjänster.
BYOKs roll och arbetssätt
Föreställ dig BYOK som ett system där du bär ditt eget lås och din egen nyckel för att säkra värdesaker, även när du förvarar dem i ett delat skåp (som molnlagring). Denna analogi belyser BYOK:s (Bring Your Own Key) nyckelroll i molnsäkerhet: behålla kontrollen över dina datakrypteringsnycklar.
I traditionell molnlagring hanterar och krypterar molnleverantören data med sina egna nycklar. BYOK låter dig generera och hantera dina egna krypteringsnycklar, vanligtvis lagrade i en säker enhet som kallas en Hardware Security Module (HSM). Så här fungerar det:
-
Generera och lagra
Skapa dina krypteringsnycklar och lagra dem säkert i din HSM.
-
Ladda upp (valfritt)
Beroende på BYOK-implementeringen tillåter vissa lösningar att den krypterade nyckeln laddas upp till molnleverantörens Key Management Service (KMS) för ytterligare hanteringsfunktioner.
-
Kryptera och dekryptera
När du laddar upp data till molnet krypterar HSM den med din nyckel. När du behöver komma åt informationen dekrypterar HSM den med samma nyckel.
BYOK med Cloud KMS
Organisationer kan ta med sina egna "master"-nycklar till molnet, men molnleverantören använder datakrypteringsnycklar som härrör från mastern för faktisk kryptering och dekryptering utanför HSM:erna. Eftersom molnleverantören kontrollerar all underliggande hårdvara och mjukvara kan de välja om kryptering ska göras i hårdvaru- eller mjukvarutjänster, samtidigt som säkerheten för de härledda krypteringsnycklarna bibehålls.
Fördelar
- Inga specialiserade yrkesresurser krävs
- Möjliggör användning av befintliga produkter som behöver nycklar kryptografi
- Tillhandahåller en centraliserad punkt för att hantera nycklar över heterogena produkter
- Inbyggd integration med andra tjänster som systemadministration, databaser, lagring och applikationsutvecklingsverktyg som erbjuds av molnleverantören
Nackdelar
- Viktig exponering utanför HSM
- FIPS 140-2 Nivå 3 och högre enheter är inte tillgängliga
BYOK med Cloud HSM
Alla krypteringsåtgärder för organisationens räkning utförs inom HSM. Den inbyggda molnkrypteringstjänsten kan tillgodose förfrågningar för organisationens räkning, så kryptering och dekryptering är transparenta, men nyckelåtkomst och kryptografiska åtgärder hålls inom HSM.
Fördelar
- Ingen nyckelexponering utanför HSM
- FIPS Klagomål på avancerad nivå (FIPS 140-2 nivå 3 och högre) hårdvarubaserade enheter som uppfyller alla myndighetskrav
- Kan utföra alla kärnfunktioner i en lokal HSM – nyckelgenerering, nyckellagring, nyckelrotation och API-gränssnitt för att orkestrera kryptering i molnet
- Utformad för säkerhet
- Dedikerad hårdvara och mjukvara för säkerhetsfunktioner.
Nackdelar
- Behöver specialiserade interna resurser för att hantera viktiga aktiviteter och kryptolivscykelaktiviteter
- HSM-baserade metoder är mer kostnadsintensiva på grund av den dedikerade hårdvaruutrustning som görs tillgänglig.
- Prestanda omkostnader