如果数据在数据库中存储以及数据在不同地方传输时都被加密，那么人们可能会认为这种方法比较安全。但是这仍然给数据中心安全策略留下了一个很大的盲区：要使用这些数据，必须对其进行解密，在解密的过程将会为攻击者创建一个窗口，以便从内存中抓取数据。

如今已经出现了多种方法来解决这个问题，但是只有一个方法被证明是实用的，并且在数据中心运营商中越来越受欢迎。与人们的智能手机存储最敏感的个人数据的方式类似，此方法不会将选择敏感的应用程序数据以未加密的状态暴露给主机操作系统。

最近的一个例子是利用Heartbleed漏洞的攻击。Cygilant公司安全研究主管Neil Weitzel说：“黑客能够从内存中获取存储的数据。”

现在也有各种各样的解决方法。一些公司使用令牌替换关键数据，这样他们就可以处理敏感信息而不会暴露它们。其他人使用保存功能的加密功能，称为同态加密。

但是，标记化和同态加密都有很大的局限性，并没有被广泛采用的数据中心安全以外的一些特定的使用情况。另外，任何基于软件的解决方案都会影响性能。

NTT安全公司威胁情报产品管理总监ChrisCamejo说：“在同态系统的情况下，这些影响性能的情况很普遍。”

输入基于硬件的安全飞地

通过新型智能手机就会看到这种方法的一个例子。人们的iPhone或Android手机中的“安全元素”存储个人的生物识别信息和付款数据，使其不会暴露给操作系统的其他部分。

数据中心安全等同于2015年发布的英特尔SGX芯片，其中包括一个可信的运行时间系统，其中安全的私有安全区域被留出以供正在运行的应用程序使用。

即使黑客能够进入本地操作系统，他们也将无法窃听应用程序正在做什么。

安全厂商Fortanix公司近日发布了一款产品，利用新硬件来保护加密密钥和数据，而应用程序开发将会积极使用。

Fortanix公司联合创始人兼首席执行官Ambuj Kumar表示，安全飞地适用于其他应用程序或操作系统本身。

他说：“如果在操作系统中发现了一个零日的错误，这个飞地是安全的。如果具有恶意的内部人员访问系统，这个飞地是安全的，如果一个能够解密所有内存的物理攻击，飞地被嵌入CPU内部，所以它仍然是安全的。”

因此，如果导致大量数据对外泄露的Equifax公司使用安全区域运行其应用程序，则在运行时加密将保护它的话，就不会造成这么大的影响。

他说：“可以在Apache Struts中发现一个漏洞，并使用它升级权限，现在人们可以控制整个系统以及系统上运行的所有应用程序。但是，当尝试使用它时，运行时加密将阻止这种攻击。”

Equifax公司将黑客获得美国信贷局存储的14550万人的个人信息的安全漏洞归因于开源Web应用服务器ApacheStruts的未修补实例。

Fortanix公司运行的加密平台允许现有应用程序利用新的基于硬件的安全性。

Kumar说：“应用程序认为它是在解密的数据上运行。当程序需要时，数据总是变得神奇可用，不需要其他的应用程序管理来加载或卸载数据。“

英特尔公司的SGX扩展自2016年以来一直在市场上推出，可用于企业的本地数据中心和云服务下的基础架构。

例如，Microsoft Azure在其新的Azure保密计算产品中支持SGX的飞地技术，今年9月这种产品已提供给早期客户。

Equinix和IBM也在致力于支持安全飞地。

但Kumar警告说，在运行时进行加密并不是解决数据中心安全性的一个灵丹妙药。

例如，如果应用程序本身受到攻击（无论是通过漏洞还是通过盗取证书），黑客就可以使用它来访问数据。

数据中心运营商Markley集团首席技术官Patrick Gilmore表示，运行时加密对于保护公共和多租户基础设施（如云平台）中的数据至关重要。但是它在数据中心中也有一席之地。

他说：“并不是所有的威胁都是来自外部的。”

本文转自d1net（转载）