个人隐私管理在维持必需信息的安全可靠和避开攻击者层面起着至关重要的功效，文中大家就将探讨什么叫个人隐私及其怎样安全性地储存他们。
个人隐私管理往往关键，是由于密码泄露很有可能致使明显的数据泄漏，伴随着很多的工作中数据信息被储存云端，身份验证的安全性就更加关键了。
个人隐私管理在维持必需信息的安全可靠和避开攻击者层面起着至关重要的功效，优良信息保密的个人隐私，如登陆密码和别的身份验证凭据，在理想化状况下容许恰当的工作人员浏览关键财产，并将机构遭受伤害的几率降至最少。殊不知，个人隐私也可能是一把双刃刀，尤其是当个人隐私并没像机构想要坚信的那般掩藏得非常好时。
个人隐私是啥?
在这篇文章中，专业术语“个人隐私”涉及到用以浏览必须身份验证的系統的比较敏感信息，这包含登陆凭据，如登录名、电子邮箱地址和登陆密码，及其浏览动态口令和公钥。SolarWinds的系统漏洞给予了一个有效的事例，表明了个人隐私是多么的敏感，由于进攻涉及到应用明文密码。
登陆密码抗压强度
登陆密码抗压强度可以根据其长短和所应用英文字母的多少来考量。应用这种值，我们可以测算暴力行为进攻需要的较大猜想数。理论上，较大猜想频次界定为xy, x表明英文字母中的字符数，y表明登陆密码中采用的英文字母数，其結果将是不计其数亿种很有可能的组成。
殊不知，这类测算也是有除外。当应用词典里的一般英语单词时，登陆密码就更易于被猜到了。一般来说，当登陆密码从一个更丰富的英文字母中应用大量的任意标识符时，它会变的更安全性。除此之外，每一次多次重复使用登陆密码都是会减少安全系数。
破译给出长短的登陆密码需要的较大暴力行为试着频次
遗憾的是，长而强的登陆密码必须记牢一长串任意标识符，这对客户而言当然是一个挑戰，尤其是充分考虑好几个账号时。
攻击者应用的密码字典的实例
即使客户记住了一个繁杂的登陆密码，四处应用它的倾向性也会消弱它的抗压强度。登陆密码器重是另一个安全隐患。在发生系统漏洞的情形下，器重的帐号密码会严重危害别的服务项目，进而造成更高的危害。
尽管强劲的登陆密码依然很重要，但大家必须怀疑，这种类别的个人隐私是不是大家唯一靠谱的方法来维护浏览重要每日任务财产和系统软件。登陆密码认证方式是登陆的唯一方式吗?
替代密码
幸运的是，有替代密码的方法。例如，应用非对称加密和公钥开展身份验证早已变成安全性Shell (SSH)服务项目的规范，这很大地限定了个人隐私被暴力行为猜想的风险性，并强行规定适度的个人隐私储存。
尽管这个方式依然必须一个动态口令来认证客户真实身份，但它对人们记忆的依靠要小得多。例如，大家可以应用vault，它将储存凭据并给予转化成个人隐私的专用工具。这种专用工具还能够避免建立明文密码和登陆密码器重。
尽管它规避了应用单独登陆密码的缺点，但在集中型存储解决方案中储存个人隐私会产生全部凭据和登陆密码在一次侵入中被损坏的风险性，并指出了将该类储存视作vault的重要性。保证对这一vault的浏览是极为重要的，强烈要求应用生物识别技术或多要素验证(MFA)受权做为附加的安全防范措施。
MFA自身明显减少了失窃的概率，即使帐户的凭据早已曝露，因为它必须借助挪动应用软件开展另一种身份验证。客户的智能手机和她们的个人隐私被泄露的几率明显减少。
如何处理个人隐私
期满的个人隐私
假如你一直应用计算机，你很有可能在一段时间后迫不得已修改密码。尽管有的人觉得它是一种不方便，但让个人隐私到期有一个不错的原因。个人隐私可以在一段时间后被破译，他们的有效期限越长，一些攻击者就越有可能取得成功地寻找方式盗取并泄露数据信息。
个人隐私储存的种类
如今我们一起来谈一谈储存个人隐私的不一样方法。正如咱们之前提及的，个人隐私储存应当被作为虚似vault来解决，因而也就安全性了，由于破译它将容许攻击者浏览登陆密码和与他们相应的帐户。
工作内容中务必互相通讯的系統总数已经提升。他们务必安全性地那样做，而且务必第一步对来源于其客户的每一个要求开展身份验证。假如客户不愿每一次都键入凭据，或是只是记牢凭据不是实际的，那麼务必储存凭据。
有很多种形式可以储存凭据:
- 密文：最不安全的种类，在其中对资料的读浏览将容许系统对的浏览。
- hach：适用于服务器存储个人隐私指纹的类型，避免侵略者得到弱密码。在这样的方法中，科学研究工作人员注重在加密技术以上应用盐值或另一个hach层，以使潜在性的攻击者更难破译。
- Encoded:另一种类型的密文，例如base64编号的凭据，由于有不能读的标识符。
- 数据加密：凭据应用另一个密码加密，降低了没有经过认证的泄露的几率和危害。如果不先明白另一个个人隐私，一个能见到加密文件的人将没法破译文档并得到需要的凭据。
从以上这四种种类中，非常容易推测哪一种是最有益和最安全可靠的储存个人隐私。殊不知，除开这四种种类以外，当储存凭据时，机构还需要考虑到其它有可能危害其方案的要素。
别的必须考量的申请办理
解决个人隐私储存的一种方式是应用一个外界应用软件，例如vault。Vault 是密秘浏览私秘信息的专用工具，可以帮你管理一些私秘的信息，例如 API 密匙，登陆密码，认证这些。Vault 给予一个统一的插口来浏览全部个人隐私信息，与此同时给予严谨的密钥管理和纪录详尽的财务审计日志。vault的具体优点就在于它以数据加密的方式储存个人隐私的方法，及其它可以从一个地区变更个人隐私，并在没有变更编码的情形下将变更体现到好几个应用软件。
可是，对vault的浏览动态口令务必储存在机器设备上或动态性获得。在后一种状况中，根据MFA确定的动态性浏览动态口令是最好的。因而，MFA非是全部状况下的最好的选择，尤其是针对相对高度智能化的系统软件。
密文数据加密的问题
并非每一个个人隐私储存应用软件在默认设置状况下都以数据加密方式储存凭据，文本文档应当认证储存的个人隐私是不是数据加密，还应当检测他们，以避免运用不正确配备问题。
在某种情形下，以密文储存个人隐私被以为是一个系统漏洞。一般来说，密文是一种不安全且槽糕的设计方案管理决策，应当慎重考虑。大家后边有关DevOps和云问题的许多探讨也是紧紧围绕密文进行的。
Kubernetes Secrets储存的实例，默认设置储存未数据加密
相对高度信赖
最终，即使个人隐私信息以数据加密的方式储存，机构依然必须在其工作人员中间完成和保持一定水平的信赖，这是由于某些人依然要了解或拥有破译密匙。
各种机构都应了解，个人隐私务必仅有少数人能触及到。这代表着只对有适度原因浏览该储存或体系的消费者或应用软件维持载入管理权限。对个人隐私开展数据加密会提高另外的安全系数，攻击者迫不得已更为勤奋地破译凭据。
个人隐私传输
除开储存的个人隐私外，安全系数针对务必配备和必须传送的业务也是必不可少的。必须指出的是，挪动个人隐私信息是常规的，因而应当根据安全性(即数据加密)安全通道开展详细说明和进行。
安全出口代表着应用默认设置安全性的协议书，例如SSH或HTTPS。应用根据纯文字的协议书(如HTTP、SMTP、FTP)来传送个人隐私可以容许故意攻击者阻拦通讯并运用泄露的个人隐私。
应当提及的是，将个人隐私放进源码管理(SCM)系统软件中也并不是一个好点子，因为它给了多余的大量的人访问限制。涉及到公共性储存库的实例给SCM提升了另一层风险。假如一个机构坚持不懈应用SCM，她们应当应用数据加密个人隐私的专用工具(例如，git-secret)，以避免将SCM作为供应链管理进攻的进口点的概率。
个人隐私的危害
下面将讨论在现如今开发设计(即DevOps和云)的条件中应用不安全的个人隐私储存的含意。大家还简略叙述了一个实际的情景，在这个场景中，攻击者在受感柒机器设备中找寻凭据。
个人隐私和DevOps
今日，大部分人早已习惯将开发设计和“当地”自然环境视作原有的安全系数。例如以未数据加密的方式储存个人隐私、只设计方案在安全性环境中运行的手机软件，及其默认设置状况下不结构加固安全性特点。这为客户带来了另外的便捷，因为它不用开展比较复杂的安全性配备。殊不知，衡量的結果是，这种实践活动怎样提升了产生安全事故的风险性。大家己经看到了供应链管理进攻、VPN安全性欠缺、VPN系统漏洞等的危害。
一样关键的是要留意，“当地”自然环境不会再是当地的，由于大家见到很多的企业已经转为云计算技术。储存在应用硬件加密(HW)的设施上的密文个人隐私与此同时储存在接入到云的设施上。简单点来说，无论是不是在云间，以密文储存个人隐私全是不安全的。
举一个DevOps全球中的真正事例，Visual Studio Code直到近期才在其于2021年1月公布的版本号1.5353中给予了对个人隐私储存的适用。在此次升级以前，沒有官网的API可以用来以更可靠的方法储存个人隐私信息，因而，安全性完成它是开发者的义务。
一个以密文储存Twitter API个人隐私的拓展实例
在开展后面科学研究后，大家发觉别的338个拓展也是有相同的问题，密文储存个人隐私。这种第三方拓展包含对好几个云服务提供商(csp)和SCM系统的关联。
除开那些问题以外，攻击者关心的是凭据获得，这将使Visual Studio Code客户非常容易变成该类伤害的总体目标。
个人隐私和云危害
伴随着很多的企业逐渐选用云计算技术，攻击者已经飞速发展她们的有效载荷，并对云服务器凭据开展有目的性的检索。关键的是要考虑到怎样根据采用不一样的储存体制来提高安全系数，尤其是因为个人隐私信息通常以密文储存，由于客户觉得有着一个可靠的自然环境是理所应当的。将个人隐私以密文方式曝露出去，会让攻击者更非常容易盗取他们。当在云间开展使用时，机构务必依据共享资源义务实体模型。即使在云间，她们应用的凭据的安全系数依然是这些人的义务。
正如咱们之前提及的，在全部参加保密的工作人员中间完成极度的相信也是不可缺少的。云服务提供商一直引入共享资源义务实体模型，这特别是在适用处理客户不正确配备的状况。这类共享资源义务的观点是必不可少的，由于沒有手机软件是100%安全性的。例如，以前的一篇网络文章详细介绍了攻击者在毁坏一个实例后怎样要求AWS元数据平台获得凭证或个人隐私信息内容。这突显了攻击者在毁坏云实例以进一步攻击以后怎样浏览云实例上的凭证。
攻击后在AWS实例中获得凭证
除此之外，在一种更常用的方式 中，CSP命令工具在第一次配备时转化成受权令牌，并将这种令牌以密文文件格式存放在文档中或做为系统变量。知道这些作用，攻击者就可以开发设计恶意程序，在入侵一个实例后检索这种凭证令牌。依据失窃凭证令牌的浏览等级，攻击者可以再次开展攻击，并在内部结构散播大量的有效载荷。
获得好几个CSP凭证
在剖析中，一个个人行为造成了大家的留意，那便是攻击者是怎样在攻击的不同之处逐渐应用远程服务器CSP工具，而不是开发设计自身的工具或应用攻击。在这样的情况下，依据客户的配备，攻击者将具备与服务项目同样的受权。这种做法代表着她们已经学习培训当地工具的任何很有可能选择项和主要参数，并乱用他们。图7表明了他俩的脚本制作用远程服务器工具文本文档注解了行，这使人们觉得攻击者已经动态性学习培训。在Lambda那样的里面条件中，远程服务器工具的运用是事先受权的，因而假如攻击者取得成功地将工具上传入在其中，她们将有着与服务项目同样的管理权限。
攻击者应用当地工具从受害人那边获得进一步的数据信息，目地是横着散播
真正攻击情景
下边要讲的是一个实际的攻击情景，它注重了适度的个人隐私储存的必要性。大家早已见到攻击者在受传染的设施中找寻凭证，假如原始受传染的机器设备在其操作系统中存放了别的设施的凭证，则应用可以感柒别的设施的恶意程序，但是条件是攻击者可以得到改动云服务器的工作能力。
SSH凭证上的蜘蛛个人行为实例
近期的一项调研还表明，攻击者已经融入全新的技术性，并积极主动试着运用基础设施建设做为编码(IaC)手机软件，如Ansible、Chef和SaltStack工具，以将其有效载荷分派给尽量多的机器设备。
应用IaC工具感柒管理方法下的基础设施建设
该短视频展现了一个不确定性的攻击者怎么使用TeamTNT工具集的工具摆脱Docker器皿。
保护隐私
到现在为止，机构务必了解到，个人隐私是怎样在她们的严格把关人物角色中激发更多方面的主要功能的。这就是为何大家最好是假定攻击者一直在找寻揭开这种个人隐私的方式，并加强对应的提前准备。
机构不应该假定储存在云间的信息早已免遭风险性的维护，要应用特殊于云的可靠解决方法来维护她们的云原生系统软件。
文中翻譯自：
https://www.trendmicro.com/en_us/research/21/f/secure_secrets_managing_authentication_credentials.html