10月11日，由陜西省委網(wǎng)信辦、西安市委網(wǎng)信辦指導，中國網(wǎng)絡安全產(chǎn)業(yè)聯(lián)盟、中國電子技術標準化研究院聯(lián)合主辦的2021年國家網(wǎng)絡安全宣傳周“網(wǎng)絡安全產(chǎn)業(yè)發(fā)展論壇”在陜西西安成功召開。衛(wèi)士通資深專家、天津網(wǎng)安總經(jīng)理洪新受邀出席論壇并作主題演講，分享了衛(wèi)士通“第三方密碼服務”在保障數(shù)據(jù)安全方面的探索。
會議現(xiàn)場
洪新在題為《建立多方信任模型的第三方數(shù)據(jù)加密服務研究》主題演講中提出安全問題不僅是技術層面的問題，還有信任層面的問題，即人的問題，并引述IBM的報告指出95%的安全問題是由人引起的問題。
洪新
他分析到，之所以說技術只是解決網(wǎng)絡安全的一個層面，是因為即使是技術最先進的企業(yè)，技術并不完全解決用戶安全能力的提升，也并不解決平臺應用廠商對用戶數(shù)據(jù)權力過大，沒有制約這樣的問題，故而近幾年爆發(fā)的安全事件不斷，而且越來越多，越來越大。另外，也同時造成了用戶對IT基礎設施和應用廠商的信任感不斷地被消費，不是對他們技術的懷疑，而是對他們提供的信任感的懷疑。
關于信任，國內(nèi)外對于互聯(lián)網(wǎng)網(wǎng)絡安全信任上的探索，最終都指向第三方的信任模式，所謂“第三方的模式”。當天洪新重點介紹的“第三方密碼服務”是指用戶和互聯(lián)網(wǎng)平臺運營者之外，引入了一個獨立的密碼服務運營者，幫助用戶管理密碼支撐用戶數(shù)據(jù)的加密，這個模式下，互聯(lián)網(wǎng)運營商和平臺運營商他們所見，所管，所存的用戶數(shù)據(jù)只有密文，從而有效防止明文信息的泄露。應用和平臺的運營者、密碼服務運營者互相制衡，共同確保用戶數(shù)據(jù)的安全。由于密碼和加密數(shù)據(jù)的分離，各個服務運營者都不能存取用戶明文信息，極大增加了用戶對運營者服務的信任。第三方模式已成功地在各個領域得到廣泛的應用，安全領域的CA就是很典型的應用。
如圖所示，第三方加密服務商會提供在線的密鑰服務，加密密鑰安全的存儲分發(fā)，第三方加密服務商不接觸也不保存任何的數(shù)據(jù)，通過密鑰和安全策略控制用戶，保護用戶的實際安全。在此同時，這個服務又對應用服務商提供密碼安全的組件適配服務，讓組件提供應用服務的同時，所有的信息都能通過第三方加密再儲存和傳輸，即使有人非法獲取用戶的數(shù)據(jù)，也會因為沒有密鑰，沒有辦法真正獲取用戶的明文信息。數(shù)據(jù)和密碼的分離，有效避免因運營者信任問題造成的數(shù)據(jù)泄露。而用戶本身則能通過第三方密鑰服務所得到的密鑰和安全策略，完成信息在本地的加解密。
這個原理已被作為最佳實踐應用于衛(wèi)士通和眾多合作伙伴的合作當中，如華為，曙光云，企業(yè)微信，國產(chǎn)數(shù)據(jù)庫和OA企業(yè)等。
