谷歌Cloud KMS簡化密鑰管理服務，但缺少亮點
密鑰管理服務的質量在于其簡化保護加密密鑰安全的能力。雖然專家對谷歌Cloud KMS的易用性印象深刻，但該產品并沒有提供任何特別的新功能。
日前谷歌推出云密鑰管理服務(KMS)作為谷歌云計算平臺(GCP)的擴展，目前該服務在北美、歐洲和東南亞等地區作為測試服務提供。
谷歌的Cloud KMS主要針對“受監管的行業，例如金融服務和醫療保健行業”，因為傳統“定制或特制密鑰管理系統難以擴展和維護”。
“Cloud KMS提供基于云的信任根，讓你可以監控和審核，”谷歌產品經理Maya Kaczorowski稱，“通過Cloud KMS，你可以管理云托管解決方案中的對稱加密密鑰，無論它們是用于保護GCP中還是其他環境中存儲的數據。你可以通過Cloud KMS API創建、使用、替換和銷毀密鑰，包括作為密鑰管理或信封加密解決方案的一部分。它可直接與云身份訪問管理以及云審計日志集成，以便你更好的控制密鑰。”
容器安全公司Twistlock首席技術官John Morello(他也是前微軟公鑰基礎設施項目經理)稱，谷歌的Cloud KMS是“一個很好的例子，它說明安全和云技術領域的每個人都應該關注這一點：讓曾經難以部署的安全最佳做法變得易于部署。”
“通過降低密鑰管理的復雜性，每個開發人員可更輕松地保護數據。嚴格的說，谷歌的方法還為客戶提供了選擇，讓你不會受限于單個信任錨，”Morello稱，“你可使用他們提供的支持來完全控制用于高度敏感環境的密鑰，同時，使用內置平臺支持來管理不太關鍵的密鑰。這讓你可更簡單地加密一切事物，同時嚴格控制這些密鑰的管理。”
然而，云安全公司CipherCloud產品營銷高級主管David Berman表示，與其他新工具(例如亞馬遜的AWS密鑰管理服務)相比，這次發布沒有什么“獨特之處”。
“谷歌KMS僅支持谷歌云計算平臺客戶的靜態數據加密用例，”Berman稱，“這次發布突出表明，在亞馬遜和其他云計算存儲提供商已經添加這樣的選項后，谷歌推遲了很久才推出KMS選項。”
網絡安全公司Rubicon Labs副總裁Rod Schultz稱，谷歌的Cloud KMS應該會幫助企業構建更好的安全性。
“為了提高安全性，其細節和復雜性必須抽象化，這也是谷歌通過KMS提供的功能。安全管理保護靜態數據和動態數據密鑰是加強云計算安全性的第一步，”Schultz指出，“當前云計算中很多漏洞和攻擊都是因為糟糕的密鑰管理或者完全缺乏密鑰管理的結果，KMS應該會讓全世界的首席信息安全官每天晚上睡得更好。”
數據保護公司CTERA Networks市場營銷副總裁Tom Grave稱，谷歌的Cloud KMS應該會在“易用性和可擴展性方面提供價值，讓客戶更放心與其云計算提供商共享密鑰管理信任。”
“對于很多公司來說，委托第三方進行密鑰管理是不可取的事情，這也是谷歌聰明之處，谷歌強調內部部署密鑰管理仍然是一種選擇，”Grave稱，“總體而言，谷歌這次的發布表明我們今年會看到更多改進。隨著云服務市場不斷成熟，企業級特性和功能已經成為大多數企業買家購買云產品的先決條件。”
Berman稱谷歌的密鑰管理服務可能不足以滿足其目標監管企業市場的需求。
“基于云的密鑰管理并沒有太大優勢，包括強調媒介加密是數據安全的最低限度要求，”Berman稱，“金融服務和醫療機構等監管機構不會認為Cloud KMS共享密鑰管理做法可滿足審計與合規要求，這些要求包括職責分離、零知識加密以及客戶完全控制加密密鑰。”
Venafi公司安全戰略和威脅情報副總裁Kevin Bocek指出，谷歌“沒有解決云端密鑰和證書管理相關的真正挑戰”。
“云密鑰管理并不會自動化密鑰和數字證書的使用，而這是云計算和網絡安全最基本的需求：密鑰和證書確定可信任或不可信任哪些系統，并通過加密構建隱私性，”Bocek表示，“因此當考慮使用谷歌的云服務時，這是企業云計算、DevOps和安全團隊必須填補的巨大差距。”
ERPScan公司首席ERP安全專家Dmitry Chastukhin表示，盡管谷歌的Cloud KMS可能更簡單可靠，但也可能給IT團隊帶來更多問題。
“對于企業來說，與維護定制或特制系統來管理加密密鑰相比，使用交鑰匙云式解決方案更加方便，畢竟保護云計算產品是安全團隊最頭痛的問題之一，”Chastukhin稱，“簡而言之，谷歌的KMS看起來很安全，但就我而言，從安全角度考慮，我不建議將其用于關鍵基礎設施相關的密鑰。”
