云安全之浅谈密钥泄露

前言

如今越来越多公司选择使用云平台，诸如:阿里云、腾讯云、AWS、Azure。使用云平台大大降低了企业的资源成本，另一方面随着公用云的普及，也存在着一些风险。现代应用程序需要与其他外部应用程序通信，并且它们需要内部服务到服务的通信。 这意味着访问任何服务、应用程序和数据都需要大量凭证或密钥。而密钥泄漏、配置不当等问题正引起的越来越安全问题。

常见的密钥

1. 用户凭据

这些通常是用户名和密码组合，用于验证物理用户以及授予对受保护数据、服务或端点的访问权限。 它们绑定到特定用户。

2.数据库连接字符串

连接字符串将应用程序连接到数据库服务器。 因此它将包含建立与目标数据库或文件的连接所需的所有凭据（秘密）。

3. 密钥

这些可确保通过风险介质进行安全通信，并有助于身份验证和用户身份验证。 秘密包含加密和解密密钥。

4.云服务访问凭证(AK)

访问云服务提供商提供的数据、资源和服务器所需的秘密。 它们包含确认访问云资源的用户身份验证所需的凭据。

5. 应用程序编程接口 (API) 密钥

识别 API 请求来源所需的秘密。

6. 访问令牌

发出 API 请求以支持用户所需的秘密。

云服务访问凭证(AccessKey)

虽然有很多密钥类型都需要我们关注，今天我们主要讨论的就是云服务的访问凭证。

AccessKey（即访问密钥）是云平台用户在通过API访问云资源时用来确认用户身份的凭证，以确保访问者具有相关权限。AccessKey由云平台提供商（如亚马逊AWS、阿里云等）颁发给云主机的所有者，一般由AccessKeyID（访问密钥ID）和Secret Access Key