百度云提供的服務(wù)端加密技術(shù)實(shí)現(xiàn)了Object獨(dú)立的多層密鑰體系，并確保數(shù)據(jù)與密鑰管理相分離，為云上數(shù)據(jù)提供了更加安全可靠的保障。
通常情況下，為了讓用戶更放心地使用云存儲(chǔ)服務(wù)，云計(jì)算廠商提出的加密數(shù)據(jù)后存儲(chǔ)落盤策略成為一種合理且被廣泛應(yīng)用的方案。
客戶端加密可簡單地分為客戶端加密和服務(wù)端加密，傳統(tǒng)的客戶端加密方式要求用戶執(zhí)行加密操作并管理客戶端所需的密鑰，這是一個(gè)對(duì)用戶來說占用寶貴計(jì)算資源的加密操作。而且，加密密鑰的存儲(chǔ)對(duì)于存儲(chǔ)系統(tǒng)的安全性和可靠性有著很高的要求。對(duì)這些密鑰進(jìn)行管理無疑會(huì)增加用戶業(yè)務(wù)邏輯的復(fù)雜性。
在此背景下，百度對(duì)象存儲(chǔ)服務(wù)(BOS)團(tuán)隊(duì)經(jīng)過長期的調(diào)研和研究，開發(fā)了安全易用的服務(wù)端加密技術(shù)，為每一個(gè)對(duì)象建立獨(dú)立密鑰，設(shè)置多層密鑰體系，采用數(shù)據(jù)加密與密鑰隔離的安全機(jī)制，充分保障了云上數(shù)據(jù)的安全性。
與此同時(shí)，百度云的加密操作在服務(wù)端進(jìn)行，對(duì)用戶公開透明，托管所有的密鑰，無需用戶管理大量的密鑰，降低了用戶業(yè)務(wù)邏輯的復(fù)雜性。
下面是具體的技術(shù)分析。
三種技術(shù)機(jī)制保證數(shù)據(jù)安全。
特定Object獨(dú)立密鑰。
BOS服務(wù)端加密使用AES256的對(duì)稱加密算法對(duì)數(shù)據(jù)進(jìn)行加密，對(duì)稱加密算法使用相同的密鑰對(duì)數(shù)據(jù)進(jìn)行加密和解密。為保證數(shù)據(jù)安全，我們對(duì)每一種對(duì)象都使用不同的密鑰加解密，單獨(dú)的密鑰可以大大提高用戶數(shù)據(jù)的安全性。例如，我們可以將每個(gè)Object文件看作一箱，文件的內(nèi)容就是盒子內(nèi)的物品，為防止箱子內(nèi)的物品被盜，我們可以對(duì)箱子上鎖，類似的加密操作，用鑰匙開鎖就等于將文件解密。一個(gè)以上的Object文件使用同一個(gè)密鑰相當(dāng)于多個(gè)盒子的鎖可以用同一個(gè)鑰匙打開，每個(gè)對(duì)象都有獨(dú)立的密鑰，相當(dāng)于一把鑰匙只能打開一箱。同樣，每個(gè)Object獨(dú)立密鑰的機(jī)制也有較高的安全性。
一個(gè)高級(jí)別的多層密鑰系統(tǒng)。
BOS服務(wù)端加密機(jī)制中，密鑰是加解密的關(guān)鍵，因此密鑰的安全性也是整個(gè)加密過程的一個(gè)重要因素。為保證密匙的安全，百度云專門開發(fā)了KMS(KeyManagerService)來管理密鑰，KMS使用了多層密鑰的加密機(jī)制，每個(gè)密鑰的datakey由masterkey加密后，以密文的形式存儲(chǔ)，而masterkey又由rootmasterkey加密后以密文的形式存儲(chǔ)，rootmasterkey使用硬件加密。由datakey、masterkey和rootmasterkey組成一個(gè)多層加密系統(tǒng)，并且都以密文的形式存儲(chǔ)物理介質(zhì)上，充分保障了密鑰的安全性。
數(shù)據(jù)和密鑰隔離，消除安全隱患。
數(shù)據(jù)庫的安全性取決于數(shù)據(jù)密文的安全性和密鑰的安全性。為進(jìn)一步提高數(shù)據(jù)的安全性，本文將加密數(shù)據(jù)和密鑰加密分別放到兩個(gè)不同的系統(tǒng)中完成，其中，由BOS完成數(shù)據(jù)加密，密鑰加密由KMS完成。因?yàn)镵MS和BOS是兩套獨(dú)立的系統(tǒng)，并且采用不同的認(rèn)證和認(rèn)證方法，這種數(shù)據(jù)密鑰隔離機(jī)制能夠進(jìn)一步提高數(shù)據(jù)的安全性。
已用于BOS服務(wù)。
BOS服務(wù)端加密技術(shù)已被應(yīng)用到BOS服務(wù)中，根據(jù)需要保證每份上傳百度云的數(shù)據(jù)安全?？梢哉f，被百度云服務(wù)端加密過的數(shù)據(jù)，沒有人能在不進(jìn)行正常解密操作的情況下獲取數(shù)據(jù)。
同時(shí)，鄭州做網(wǎng)站公司還設(shè)計(jì)了簡單易用的界面，使用戶最大程度方便地使用服務(wù)端的加密功能。對(duì)于用戶來說，服務(wù)端的加密是透明的，密鑰分配、數(shù)據(jù)加密、密鑰加密等操作都是在BOS服務(wù)端處理的，用戶只需在API中指定加密的header，使用十分方便。除API外，服務(wù)端加密還支持控制臺(tái)、sdk等操作方式。
為了更好地方便用戶使用該功能，我們還在百度云前端管理控制臺(tái)實(shí)現(xiàn)了Bucket加密開關(guān)功能，即當(dāng)用戶打開這個(gè)開關(guān)時(shí)，該Bucket的新增加的數(shù)據(jù)將自動(dòng)進(jìn)行加密，便于使用。
伴隨著云計(jì)算技術(shù)的廣泛應(yīng)用，以及對(duì)數(shù)據(jù)安全的關(guān)注，百度云在云存儲(chǔ)上不斷取得突破，目前在國內(nèi)外游戲、安防、金融等行業(yè)中都有大量成功的應(yīng)用，百度云在云存儲(chǔ)領(lǐng)域取得了重大突破。