如何确保基础设施机密信息安全

信用卡和个人身份信息的存储和传输都有遵从性标准， PCI-DSS 是其中最常用的标准之一。但有一类信息，现有的标准没有覆盖， Rackspace 的 Paul Querna 将它们称为“基础设施机密信息（Infrastructure Secrets）”。

基础设施机密信息是指经常用于构建或部署应用程序的证书或机密信息，如 Github API keys、AWS IAM identities、Heroku API Tokens、Rackspace Cloud API Keys 和 SSH Private Keys 等。许多使用这类信息的系统在没有直接人工监督的情况下运行，它们使用的证书也没有锁定到特定的应用场景。Querna 结合他在 Cloudkick 从事相关工作的经验阐述了基础设施机密信息面临的威胁和应该采取的应对措施。

基础设施机密信息面临的威胁可能来自以下几个方面：

• 糟糕的密码；
• 支持服务工具：这是 SaaS 企业的关键组件，这类工具中的大部分都允许员工做任何客户可以做的事，但它们的安全预防措施或日志常常很糟糕；
• 数据库：数据库备份在员工的硬盘上，甚至由第三方托管；NoSQL 数据存储的访问控制常常很简单；
• 服务器入侵：攻击者可能会发现类似 Ruby on Rails 允许远程执行代码的漏洞。

“纵深防御（Defense in depth）”是信息安全的常用方法。Querna 建议采取以下措施：

• 使用谷歌开源加密工具 Keyczar 进行加密；
• 服务隔离：后台服务器应该位于隔离的网路中，并且只在通信通道上提供准确的操作，比如在服务中提供下面这样的操作：

  deploy_project_to_host(host, project)

  而不是下面这样的：

  run_command(host, command)

• 特殊事件通知：除了正常的日志之外，在员工激活身份验证时发送通知邮件；
• 多重身份验证：这是应对“糟糕的密码”这一最常见的威胁的一种简单有效的方法。

有一点需要提醒读者注意，Querna 在文章最后指出，上述内容只是他的一些随感，并不全面。

感谢徐川对本文的审校。

给 InfoQ 中文站投稿或者参与内容翻译工作，请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博（ @InfoQ ， @丁晓昀），微信（微信号： InfoQChina ）关注我们，并与我们的编辑和其他读者朋友交流。