API密鑰和SSL密鑰一樣是安全策略中頭等大事。很多人口頭上都說要保護云中的信息，但事實上在云安全方面我們都是摸著石頭過河而已。大多數企業使用某些形式的API密鑰來訪問云服務。這些API密鑰的保護十分重要。本文將就保護API密鑰的問題進行討論并為大家推薦一些方案。

　　2011年，API密鑰的重要性逐漸被意識到，各企業對全力保護這些密鑰的認識也加深了。畢竟，API密鑰與訪問云中的敏感信息有著直接關聯。如果一家企業的API密鑰管理松散，那么企業就處于這些威脅之下：1.未驗證用戶使用密鑰訪問秘密信息;2。對費用支用撥款制服務的未授權訪問可能形成巨額信用卡賬單。

　　事實上，容易獲取的API密鑰意味著任何人都可以使用這些密鑰，且能夠在虛擬機上產生巨額費用。這類似于使用某人的信用卡然后進行未授權的消費。

　　API

　　如你所知，許多云服務都是通過簡單的REST Web服務界面訪問。通常我們將之稱為API，因為它們與C++或VB中重量級API的概念類似。不過用戶更易于在Web頁面或移動手機上使用這些API。簡而言之，API密鑰是用來訪問云服務的。Gartner公司的Darryl Plummer認為云技術要將各種服務綜合起來。各公司想將本地運行的應用與云服務連接，將云服務與云服務連接。所有這些連接都應該是安全的，且其性能應得到監管。

　　顯然API密鑰控件是觸及云服務重要內容的工具，但是這些密鑰經常通過郵件發送或是保存在文件服務器中供多數人使用。例如，如果某企業正使用SaaS產品，如Gmail，他們通常回從Google獲取API密鑰。這一API密鑰僅對該企業有效，且能讓員工登錄和訪問公司郵箱。

　　如何保護API密鑰?

　　API密鑰必須當成密碼和私人密鑰一樣保護。也就是說它們應該像文件一樣保存在文件系統中，或是放在分析起來相對較容易的應用中。以Cloud Service Broker為例，API密鑰以加密方式保存，使用Hardware Security Module (HSM)的時候，它提供了在硬件上保存API密鑰的選項，因為HSM供應商包括：Sophos-Utimaco，nCipher，Thales，Safenet和Bull，現在支持材料存儲而不僅僅是RSA/DSA密鑰。安全的API密鑰存儲意味著操作人員可以將策略應用到密鑰使用中。而且與隱私相關的準則與關鍵通信的保護到了一塊。

▲圖一：保護API密鑰的Broker 模式

　　下面是處理API密鑰的常用辦法：

　　1、開發員用郵件發送API密鑰：企業通常用郵件把API密鑰發送給開發人員，而開發人員再將其復制粘貼到代碼中。這種松散的操作存在安全隱患因而應盡量避免。此外，如果某開發員將API密鑰復制到代碼中，對新密鑰的請求會對代碼提出更換請求從而帶來額外的工作量。

　　2、配置文件：另一種常見情況是，開發員將API密鑰放在容易被找到的系統配置文件中。人們應該將API密鑰與私人SSL密鑰同等對待。事實上，如果API密鑰到了不法之徒手中，那么它比私有SSL密鑰的危害更大。例如，如果有人用企業API密鑰，那么企業要為其買單。解決辦法是將密鑰交給專門的安全網絡架構。這就涉及云服務代理架構，即通過代理產品管理API密鑰。

　　3、密鑰目錄：避免API管理的一個方法是部署與密鑰相關的明確的安全策略。理想情況下，這應該屬于Corporate Security Policy的控制之下，實施明確的監管和問責制度。這一方法的基礎是保留API密鑰的詳細目錄。雖然這類目錄有自己的優勢，但是許多企業仍然要采用機動方法來追蹤API密鑰。

　　這些企業應該在開發API密鑰目錄時詢問下列問題：

　　a) 密鑰用來做什么，出于何種目的?

　　b) 誰對專屬密鑰負責?

　　c) 密鑰的使用有沒有有效期?有效期到來前如何通知用戶?過期密鑰有沒有明確的方案?以為呢密碼過期時可能造成大混亂。

　　該目錄可放到自己的加密Excel數據表或是數據庫中管理又或者是通過其他專用產品來管理。此方法的缺點是管理數據表或數據的時間會稍長，且會出現人為失誤。替換的方法是利用現成產品，如云服務代理。除了提供其他服務外，代理還可以讓企業輕松查看API密鑰的關鍵信息，包括識別誰應對API負責，以及提供API的使用信息和有效期。

　　4、加密的文件存儲：更大的威脅出現在開發員試圖為API密鑰部署自己的安全策略時。例如，開發員知道應保護API密鑰，而且會選擇將密鑰保存在難被找到的地方——有時是使用加密運算法則或是將密鑰藏在文件或注冊表中。無疑剛開始的確會有人找不到這些密鑰藏匿處，但不久這些信息就會在企業內公之于眾。這種錯誤恰恰印證了“通過隱藏是無法獲得安全”的諺語。

　　總而言之，由于企業使用云服務的情況越來越多，因此這就可能出現API密鑰的使用太松散或是共享的情況。不論企業是選擇自己管理API密鑰還是使用現成產品管理，關鍵都是要保護好密鑰的存取和使用。

　　此處我們要鼓勵CIO和CSO們將API密鑰看作是與SSL私有密鑰地位等同的安全策略。建議把API密鑰視為敏感資源，因為它們可以直接訪問敏感信息。API密鑰的有效管理可以改善企業云安全，避免未授權的收費或是敏感信息的泄露。

原文鏈接：http://safe.it168.com/a2011/1108/1270/000001270712.shtml