![哪个 Linux x86 硬件密钥库?](https://linux22.com/image/583945/%E5%93%AA%E4%B8%AA%20Linux%20x86%20%E7%A1%AC%E4%BB%B6%E5%AF%86%E9%92%A5%E5%BA%93%EF%BC%9F.png)
我在 DMZ 中终止 SSL/TLS,我不得不假设该机器将被黑客入侵。此时我的证书将被泄露。
以前我曾使用 nCipher 硬件密钥库/加速器来解决这个问题。这些卡甚至不会向 root 透露私钥。该卡在板上执行加密和解密,并针对物理攻击进行了强化。获取密钥的唯一方法是将智能卡读卡器连接到卡本身。
我找不到有关如何重现此方法的信息。这是否是当今专业交换机和防火墙的领域?
这个旧页面引用了一些旧硬件: http://www.kegel.com/ssl/hw.html#cards
答案1
如果您已经选择了 SSL 实现,那么它将限制您对硬件的选择。请优先选择官方版本长期支持的硬件。
在使用防篡改硬件来保护你的密钥之前,值得考虑一些其他问题:
被盗证书仅在 DNS 被劫持时才有用。(SSL 使用 Diffie-Hellman 来防止被动攻击,因此窃贼需要是一个主动的中间人,冒充您。)
SSL 的安全性取决于最弱信任的 CA(证书颁发机构)。过去两年,浏览器有 2 个主要 CA(Comodo、DigiNotar)公开遭到入侵。如果可能(显然不是在网络商务中),请在没有 CA 的情况下安装证书。
为您的证书应用最短的实际到期时间。
入侵 SSL 终端的人不需要您的证书即可造成重大损害。他可以隐藏在那里,引导和过滤流量(例如窃取信用卡号),然后使用隐写术以不可察觉的方式检索结果。
商业加密硬件的安全记录非常糟糕。曾出现过定时攻击、故障注入(电压、辐射)攻击和传统漏洞。它们是封闭的盈利产品;它们有强烈的动机隐藏缺陷——RSA SecureID 案例就充分表明了这一点。