Vlákno názorů k článku Jednoduché unixové šifrování souborů s utilitou age od binárně-transfóbní dezolát - Má smysl použít pro symetrické šifrování externí nástroj...

Ja nikde nic nepsal o ukladani dat. Data muzete mit klidne sifrovane klicem v HSM. A ano, HSM jsou drazsi nez mit nejaky vault nekde na filesystemu nebo nejaky klic v nejake databaze ale taky bezpecnost je nekde jinde (tedy pokud vlastnik neni debil).

abych na tom měl rozumné rps, tak to jsou milionové částky za kus, zpravidla se nasazují dvojmo. Řada usb HSM zvládají jednotky operací za vteřinu, to i na dnešní malé deploymenty může být velká brzda.

Dnes není běžné, aby HSM měli všeobecně nasazení banky a kritické infrastruktury, často se to používá max. v PKI ke krmení CA.

K vláknu, dnes se začíná více spolehát na wrapper secrets, kdy tajné hodnoty nemá k dispozici ani samotný CI/CD a nestává se kritickým systémem v bezpečnosti, ale až samotná instance si vyžádá dešifrovaná data do secret služby, k nim dostane jen token, ideálně s nízkou životností a jednorázovým použitím, umí třeba zmíněný Hashicorp Vault. Je to asi dobrý kompromis mezi náklady na implementaci, složitostí a poskytnutou úrovní bezpečnosti.

Milionove castky to nejsou, delal jsem nekolik implementaci a vim kolik treba za kolik byvale safenet hsm nebo thales hsm byli. Rychlost samozrejme zavisi od toho jak hsm implementujete, sifrovat vsechna data pres hsm je samozrejme blbost a dela se to trochu jinak ale to zachazime do detailu. Nejvetsi instalace x hsm na ktere jsem pracoval obsluhuje pres 100mil zarizeni a ta implementace vyuziva hsm ktere nejsou nijak zavratne rychle. NDA. Hashicorp je urcite lepsi nez mit secrets nekde v textaku a pokud se spravne implementuje tak je relativne bezpecnou a hlavne levnou alternativou k hsm.

list price HW asi není ta konečná částka, co mě zajímá při pořízení, co? On je také rozdíl, jestli myslíš ceny v letošním roce nebo před 7 lety. Pořád se bavíme alespoň o stokách a víc tisíc plus nějaká bižutérie, instalace, provoz, licence, lidi atd.

Ano, pak třeba v HSM máš máster klíče, z nich generuješ krátké certy a ty drzíš v KMS či v paměti. Takže tě rychlost nebrzdí, ale zase nemůžeš říct, že klíče ti drží HSM.

Právě díky Thalesu a třeba Luně je tenhle obor polomrtví, ač je šifrování na vzestupu, jejich licenční, cenová a obchodní politika ve spojení se spoustou patentů to celé strašně brzdí. Hashicorp Vault je něco, co mě osobně extrémně překvapilo, byl jsem v počátku skeptický, ale udělali strašně moc práce.