从许多客户合作伙伴网络到 Azure 的安全文件传输答案

【问题标题】：Secure file transfer from many client partner networks to Azure从许多客户合作伙伴网络到 Azure 的安全文件传输
【发布时间】：2019-11-23 06:55:10
【问题描述】：

我们正在努力为我们的合作伙伴提供简单但安全的文件传输选项，以便他们可以将大文件从他们的网络发送到我们公司的网络。有很多合作伙伴。目的是确保：1）正确识别合作伙伴并确保内容在从源系统发布后没有更改（典型的数字签名方面）2）数据已加密，因此中间人无法理解它。

当前设置非常繁琐和手动，设置文件传输系统需要花费大量时间，因为 HSM 是手动安装在安装了合作伙伴私钥的合作伙伴网络中的。通过我们的软件，客户端机器使用 HSM 中的密钥对文件进行数字签名，然后通过 HTTPs 传输文件。为什么 HSM - 我们需要符合 FIPS 标准，而 HSM 是最安全的方式。聘请专家访问合作伙伴场所以使用合作伙伴私钥设置 HSM 会涉及大量成本。

现在，要求是让合作伙伴非常简单（例如简单的网络上传），同时保持非常安全（HSM 级别）。应避免专家手动访问合作伙伴场所以安装 HSM。并且，Azure 可以作为上传的目标平台。

寻找适合该场景的解决方案。

【问题讨论】：

这是一个非常广泛的问题（甚至与编程无关），这个问题可能会被否决并关闭。您可以尝试在信息安全部分询问
好吧，我会把我的反对意见放在口袋里，但是要求我们设计一个完整的安全系统对于 security.SE（或 crypto.SE，你可以相信我的话）来说甚至有点过分那个）。

标签： azure encryption cryptography hsm

【解决方案1】：

这是更多的架构问题，不是真正的编程，但让我们尝试一下。

正确识别合作伙伴并确保内容在从源系统发布后没有更改（典型的数字签名方面）

数据已加密，因此中间人无法理解。为什么 HSM - 我们需要符合 FIPS 标准，而 HSM 是最安全的方式。

现在，要求是让合作伙伴非常简单（例如简单的网络上传），同时保持非常安全（HSM 级别）。应避免专家手动访问合作伙伴场所以安装 HSM。

为了安全可靠（签名）传输，我们使用并提出了 MFTP（托管文件传输），例如 OFTP2 协议。但是，并非每个实现都支持开箱即用的 HSM。不过你可以让它更简单。

应避免专家手动访问合作伙伴场所以安装 HSM。

所以 - 最后有两个选项。客户将自己进行安装，或者您的合作伙伴可以使用 Cloud HSM。没有真正的理由为什么要使用特定的产品。每个较大的云提供商都提供某种 HSM 产品（IBM、Azure、AWS、Google）。我个人喜欢 AWS HSM 选项，因为他们非常清楚定价和所需的基础设施。

但是 - 在过去几年中，即使是默认密钥服务也符合 FIPS140-2L2 或 FIPS140-2L3（AWS KSM、Azure KeyVault、IBM KeyProtect，不确定其他服务）。因此，如果您坚持合规性，合作伙伴只需使用密钥管理服务（KMS、KeyVault）对文档哈希进行签名，同时仍提供所需的安全级别，会更容易、更便宜。

现在，要求是让合作伙伴非常简单（例如简单的网络上传），同时保持非常安全（HSM 级别）。

合作伙伴需要提供文件和签名。要上传大文件，对于 Azure，我会选择 SAS tokens（签名网址）。您的 Web 应用程序可以向经过身份验证的客户端提供签名 URL（带有 sas 令牌的 URL），客户端将创建并上传文件和文件签名。这样您就可以确保身份验证级别和完整性。

如果不说明更多限制或要求，那只是猜测。所以我希望这也有帮助。

【讨论】：