善用数据加密机制 保障企业信息安全

Certes Networks VP, APAC Sales Michael Lyu

随着云端运算技术日渐成熟及其可为企业创造的各项竞争优势，现在有越来越多的公司已开始计划将其IT应用环境及公司营运数据移植到云端平台上运作，但这些系统及数据在云端运算平台本身及传输过程中的安全性是否能获得足够保证，却仍然让众多使用者感到十分忧心。瑞奇数码专案经理吕建锋表示，由于同一云端平台运作环境上常存在着许多的用户，而云端服务供应商于这些用户之间往往只有采用一些简单的虚拟方式进行隔离，因此若是缺乏进一步的安全机制加以强化，则很容易发生数据外泄、黑客入侵窃取数据…等危害企业数据安全的事件，使得公司营运与竞争力受到严重的损失。

举例来说，为了确保企业云端平台对内、对外进行数据传输的安全性，有不少单位采用了Metro Ethernet、MPLS、IP VPN、Fiber…等一般人们认为相对较为安全的线路来做为其云端网络，但有数据显示，黑客只需使用一个成本不到1,000美元的光纤撷取器，就可以透过Micro Bend技术，在不破坏光纤外层的情况下窃取封包以偷窥企业数据。而2009年欧洲黑帽联盟会议所发表的「如何透过窜改MPLS标签来窃取数据」议题，更揭露出MPLS网络其实也并不安全。「信任式的虚拟网络不是完全可靠，要达到真正安全的虚拟网络，还是得需要企业自身采取相关的必要措施才行。」吕建锋这麽强调。

现在市场上已经有各种网安软硬件产品，如防火墙、ISP入侵防护、DLP数据遗失防护…等机制，可用来强化企业数据的安全性。「但即便是导入再多的防护措施，一旦数据离开企业并进入云端环境之后，我们应该要如何继续确保其仍安全无虞呢？」吕建锋认为，只有透过数据加密技术的协助，才能真正确保其安全性。「数据加密不仅可避免数据遭人窃取或受他人窜改，还能确认数据真正的来源。」不过尽管加密机制如此重要，但由于现行市场上许多加密产品会常产生Overhead状况，容易使VoIP、视讯会议…等讲求效能的服务发生效能低落及延迟，而企业既有网络环境不仅必须因应需求进行更换，后续带宽亦无法再行扩充，「这些因素导致现在许多企业仍迟迟不敢将数据传输加密列入其网安方案中。」

这是因为传统数据加密(如IP Sec)所采用的是点对点通道模式(Tunnel Mode)，在进行加密连线时需要先行建立通道，而各点之间通道建立除了会耗用大量的时间之外，只要每新增一个点，其既存的所有点即需要重新再建立一次通道，因此无法配合保留原本网络的高可用性及负载平衡，造成传输效能的低落。「解决方式是利用群组加密的模式。」Certes Networks VP, APAC Sales Michael Lyu以该公司所推出的加密器产品为例，只要将加密金钥统一由TrustNet Manager这套中央网管软件进行控管，并再透过TLS加密传送至在线所有加密器即可。「这种加密模式使企业在线所有设备不需再两两建立加密通道，不仅能解决传统数据加密方式的问题，也因为没有复杂的通道需要建置，使得管理变得更加容易。」

以云端服务安全为例子，通常大型Data Center与云服务供应商所使用的大带宽加密设备建置成本很高，一般企业较难取得；传统以通道为基础的加密机制，其服务只到云端服务入口，对云端内部的数据缺乏足够保护。「除了加密所需金钥及加密连线规则控制在云服务供应商手上，企业多半无法主动掌握外，」Michael Lyu表示，IPSec加密以代理为基础的运作机制，事实上也很难拓展到数以千计的VMs上。「此时我们便可使用能够运行在VM环境下的Certes云端加密解决方案─Virtual CEP 虚拟加密器，再搭配Certes实体加密器产品，以便让数据在其传输至虚拟机器的路径上均完全处于加密状态外，企业亦可藉由TrustNet Manager的帮助，主动进行加密金钥与连线规则的控管。」而其所具备的群组加密特性，更使得数据加密机制可以轻易拓展到云端环中数以千计的VMs上实施。

根据云端安全联盟的建议，即便是在云端供应商的内部网络进行数据传输，为了确保敏感性数据的安全性，在过程中都应该要全程进行数据加密。「至于金钥管理与政策设定的权利则应交予给客户，以避免云端供应商与客户之间因法律要求而被迫提供数据时产生冲突。」吕建锋表示，使用云端平台并不代表所有的管理责任都委由云端供应商处理，因应角色定位与权责范围的不同，云端管理机制应该被分层处理，让供应商及使用者能够管理好自己部分。「企业现在应该要认知到：采取主动措施将云端中的数据进行加密处理，会是符合上述云端安全联盟建议的唯一解决方案。」吕建锋这麽认为。