三秘好处

问题描述

我想知道在 Snowflake 仓库中应用 Tri-Secret Managed Key 安全性有什么功能优势？

据我所知：

• Tri-Secret 方法让您定义自己的密钥
• 撤销该密钥将使 Snowflake 无法解密您的数据

但是加密级别是否更安全？ 我看到的唯一区别是 Snowflake 密钥和您自己的密钥组合在一起。 禁止访问该密钥将使 Snowflake 无法解密，从而使您的数据无用。 然后什么？如何从中恢复？

另见：https://www.snowflake.com/blog/customer-managed-keys/

这是雪花自己的。他们基本上说的是：

• 您拥有更多控制权，但您必须向 Snowflake 提供该密钥，否则他们将无法完成工作
• 如果您不信任他们，您可以阻止 Snowflake 访问您的数据
• 如果发生数据泄露，您可以防止进一步泄露（但为什么在这种情况下不关闭所有访问，经过重新验证的可信方除外？？？）

我被这个功能所困扰。 我从当地 Snowflake 代表那里得到的唯一回应是，荷兰金融法律/法规规定或至少暗示需要这样做。

问候，理查德。

解决方法

首先让我在这里做最重要的声明：不要使用客户管理的密钥，除非您确实需要使用它们。

想想最坏的情况：如果您没有一个令人难以置信的弹性平台来安全地存储您自己的密钥，那么如果您丢失了您的密钥，那么您就有丢失所有数据的风险。

现在让我引用一些第三方关于何时应该使用客户管理的密钥：

Google says：

客户管理的加密密钥适用于拥有敏感数据或受监管数据且需要他们管理自己的加密密钥的组织。

含义：客户管理的密钥适用于需要使用它们的组织。不要走这条路，除非你也被需要。

或者为什么有些公司会开始使用自己的密钥，或者停止使用它们——from CIO.com：

如果您正在考虑携带自己的密钥（这也意味着保护自己的密钥）是否适合您的业务，那么首先要问的问题是您是否准备好成为一家银行，因为您必须经营自己的银行关键基础设施同样严格，直至考虑公司高管的旅行计划。如果您授权三个人使用可以访问您的密钥的智能卡，您永远不会希望让他们三个人在同一架飞机上。

同一篇关于汽车行业 Microsoft 客户的文章：

“他们一开始都说‘我想掌控一切’，但当他们看到责任并理解微软承担这项责任的极端程度时，他们会说‘你为什么不去做。’他们不想成为链条中较弱的一环。”

和纽约金融机构：

微软 Office 365 团队的 Paul Rich 表示，即使是一些纽约金融机构最初希望 BYOK 与他们自己的本地 HSM 相冲突，但在考虑可能出现的问题时，他们也决定不这样做。 “HSM 可能会被关闭，从而导致大量用户群流失。他们很快意识到这可能是恶意内部人员或攻击者对公司进行的一次重大拒绝服务攻击。这些是我们最老练的客户，他们高度敏感，认为这是一项重大责任，但也存在潜在破坏的威胁，无论是意外还是恶意。”

因此，只有在您已经了解客户管理的密钥对您的用例有益的情况下，才应该使用客户管理的密钥 - 并且仅当您准备好承担安全管理它们的成本时。否则，就让 Snowflake 为您处理所有这些复杂问题。

另一方面，使用来自 Snowflake announcement post 的三重秘密的好处：

客户管理的密钥为拥有敏感数据的客户提供了额外的安全级别。通过此功能，客户可以自行管理加密密钥并使其可供 Snowflake 访问。如果客户决定禁用访问，则无法再解密数据。此外，所有正在运行的查询都会中止。这对客户有以下好处：(a) 从技术上讲，Snowflake 无法满足访问客户数据的请求，(b) 客户可以主动缓解数据泄露并限制数据泄露，以及 (c)客户完全控制数据生命周期。

在同一篇博文中，您会注意到 Snowflake 三机密客户密钥由 AWS's KMS 管理。这为您提供了上述好处，而无需部署您自己的基础设施来管理您的密钥。您仍然需要仔细考虑您保护密钥的责任。

AWS 密钥管理服务 (KMS) 使您可以轻松创建和管理加密密钥并控制它们在各种 AWS 服务和应用程序中的使用。 AWS KMS 是一种安全且有弹性的服务，它使用已在 FIPS 140-2 下验证或正在验证的硬件安全模块来保护您的密钥。 AWS KMS 与 AWS CloudTrail 集成，可为您提供所有密钥使用情况的日志，以帮助满足您的法规和合规性需求。

博文尚未更新以反映 GCP 和 Azure 也可用于管理密钥，如 stated in the docs：

Tri-Secret Secure 让您可以使用主加密密钥控制对数据的访问，该密钥管理服务中为托管您的 Snowflake 账户的云提供商维护该密钥：AWS：AWS 密钥管理服务 (KMS)；谷歌云：云密钥管理服务（云 KMS）； Microsoft Azure：Azure Key Vault。

您可能想要进行的未来研究的同义词：BYOK、CMEK。