数据安全服务系统技术方案

一种分布式计算环境利用一种密码服务系统。所述密码服务系统代表一个或多个实体安全地管理密钥。所述密码服务系统被配置来接收并响应于执行密码操作、如加密和解密的请求。所述请求可源自使用所述分布式计算环境和/或所述分布式计算环境的子系统的实体。

【技术实现步骤摘要】
数据安全服务系统本申请是申请日为2014年2月7日、申请号为“201480020482.5”、专利技术名称为“数据安全服务系统”的专利技术专利申请的分案申请。相关申请的交叉引用本申请要求2013年2月12日提交的美国专利申请号13/764,963的优先权，所述专利的内容以引用的方式整体并入本文。本申请出于所有目的以引用的方式结合以下专利申请的全部公开内容：与本申请同时提交的标题为“AUTOMATICKEYROTATION”的共同待决的美国专利申请号13/764,944；与本申请同时提交的标题为“POLICYENFORCEMENTWITHASSOCIATEDDATA”的共同待决的美国专利申请号13/764,995；与本申请同时提交的标题为“DATASECURITYWITHASECURITYMODULE”的共同待决的美国专利申请号13/765,020；与本申请同时提交的标题为“FEDERATEDKEYMANAGEMENT”的共同待决的美国专利申请号13/765,209；与本申请同时提交的标题为“DELAYEDDATAACCESS”的共同待决的美国专利申请号13/765,239；与本申请同时提交的标题为“DATASECURITYSERVICE”的共同待决的美国专利申请号13/765,265；以及与本申请同时提交的标题为“SECUREMANAGEMENTOFINFORMATIONUSINGASECURITYMODULE”的共同待决的美国专利申请号13/765,283。
技术介绍
在许多语境中，计算资源和相关数据的安全性非常重要。作为实例，组织通常利用计算装置的网络来向它们的用户提供一组稳健的服务。网络通常跨多个地理边界并通常与其他网络连接。例如，组织可支持其使用计算资源的内部网络和由其他人管理的计算资源两者进行的操作。例如，组织的计算机可在使用另一个组织的服务的同时与其他组织的计算机通信以访问和/或提供数据。在许多情况下，组织使用由其他组织管理的硬件来配置并操作远程网络，从而降低基础设施成本并实现其他优点。在具有此类计算资源配置的情况下，确保对它们所持有的资源和数据的访问安全可能具有挑战性，尤其是随着此类配置的大小和复杂性的增长。附图简述将参照附图描述根据本公开的各个实施方案，在附图中：图1示出表示根据各个实施方案的本公开的各个方面的说明性图；图2示出可实现本公开的各个方面的环境的说明性实例；图3示出根据至少一个实施方案的可实现本公开的各个方面的环境的说明性实例以及环境的各个组件之间的示例性信息流动；图4示出根据至少一个实施方案的用于储存密文的说明性过程的示例性步骤；图5示出根据至少一个实施方案的可实现本公开的各个方面的环境的说明性实例以及环境的各个组件之间的示例性信息流动；图6示出根据至少一个实施方案的用于响应检索数据的请求的说明性过程的示例性步骤；图7示出根据至少一个实施方案的可实现本公开的各个方面的环境的说明性实例以及环境的各个组件之间的示例性信息流动；图8示出根据至少一个实施方案的用于响应储存数据的请求的说明性过程的示例性步骤；图9示出根据至少一个实施方案的可实现本公开的各个方面的环境的说明性实例以及环境的各个组件之间的示例性信息流动；图10示出根据至少一个实施方案的用于响应检索数据的请求的说明性过程的示例性步骤；图11示出可实现本公开的各个方面的环境的说明性实例；图12示出根据至少一个实施方案的可实现本公开的各个方面的环境的说明性实例以及环境的各个组件之间的示例性信息流动；图13示出根据至少一个实施方案的用于响应检索数据的请求的说明性过程的示例性步骤；图14示出根据至少一个实施方案的用于响应对数据进行解密的请求的说明性过程的示例性步骤；图15示出根据至少一个实施方案的用于获取已解密数据的说明性过程的示例性步骤；图16示出根据至少一个实施方案的示例性密码服务系统的图解表示；图17示出根据至少一个实施方案的用于配置策略的说明性过程的示例性步骤；图18示出根据至少一个实施方案的用于在强制实施策略的同时执行密码操作的说明性过程的示例性步骤；并且图19示出可实现各个实施方案的环境的说明性实例。详述在以下描述中，将描述各个实施方案。出于解释的目的，将阐述具体的配置和细节，以便提供实施方案的透彻理解。然而，对本领域的技术人员将是显而易见的是，没有具体细节的情况下也可以实行实施方案。此外，为了不使所描述的实施方案变得模糊，可能会省略或简化众所周知的特征。本文描述并提议的技术允许增强包括分布式计算资源的环境中的数据安全性。在一个实例中，分布式计算环境包括可由适当的计算资源实现的一个或多个数据服务系统。数据服务系统可允许执行与数据有关的各种操作。作为一个说明性实例，分布式计算环境包括一个或多个数据储存服务系统。可向数据储存服务系统传输执行数据储存操作的电子请求。示例性操作是使用数据储存服务系统储存数据的操作和使用数据储存服务系统检索由数据储存服务系统储存的数据的操作。数据服务系统、包括数据储存服务系统还可执行操纵数据的操作。例如，在一些实施方案中，数据储存服务系统能够对数据进行加密。本公开的各个实施方案包括分布式计算环境，所述分布式计算环境包括使用适当的计算资源实现的密码服务系统。密码服务系统可由分布式系统实现，所述分布式系统接收并响应于执行密码操作、如明文的加密和密文的解密的电子请求。在一些实施方案中，密码服务系统管理密钥。响应于执行密码操作的请求，密码服务系统可执行使用所管理密钥进行的密码操作。例如，响应于所接收请求，密码服务系统可选择适当的密钥来执行密码操作，执行密码操作，并提供密码操作的一个或多个结果。在替代配置中，密码服务系统可产生包络密钥(例如，用于加密特定数据项的会话密钥)并将包络密钥返回至调用服务系统的密码操作的系统。系统随后可使用包络密钥执行密码操作。在一些实施方案中，密码服务系统为计算资源服务提供者的多个租户管理密钥。计算资源的租户可以是作为计算资源提供者的客户操作的实体(例如，组织或个人)。客户可以远程地并编程地配置并操作物理上由计算资源提供者托管的资源。当客户向密码服务系统提供执行密码操作的请求时(或当实体向密码服务系统提交请求时)，密码服务系统可选择由密码服务系统为客户管理的密钥来执行密码操作。由密码服务系统管理的密钥可得到安全管理，使得其他用户和/或数据服务系统不能访问他人密钥。实体(例如，用户、客户、服务系统)缺少对另一个实体的密钥的访问权可意味着所述实体不具有获取他人密钥的授权方式和/或所述实体不具有引起管理他人密钥的系统在所述实体的指导下使用密钥的授权方式。例如，密码服务系统可管理密钥，使得对于一个客户来说，其他客户既无法访问所述客户的密钥也不能引起密码服务系统使用所述客户的密钥来执行密码操作。作为另一个实例，密码服务系统可管理密钥，使得其他服务系统(如数据储存服务系统)不能引起密码服务系统使用一些或所有密钥来执行密码操作。对密钥的未授权本文档来自技高网...

【技术保护点】
1.一种用于提供数据储存服务的计算机实现的方法，其包括：/n存储限定一组权限的策略，所述权限限制密钥的使用，所述密钥是由密码服务通过使用硬件安全模块保护的多个密钥中的一个；/n响应于获取经由第一应用程序编程接口提供的第一请求，引起所述密码服务服从所述策略使用所述密钥来利用高级加密标准(“AES”)加密对数据加密密钥进行加密以产生已加密的数据加密密钥，其中所述第一应用程序编程接口包括标识所述密钥的密钥标识符(“ID”)的第一参数；/n响应于获取经由第二应用程序编程接口提供的第二请求，引起所述密码服务服从所述策略使用所述密钥来利用AES加密对所述已加密的数据加密密钥进行解密使得所述密钥能够仅由所述密码服务使用，其中所述第二应用程序编程接口包括所述密钥ID的第二参数以及标识对应于所述已加密的数据加密密钥的密文的第三参数；以及/n提供将要用于对由所述数据储存服务储存的已加密的数据进行解密的所述数据加密密钥。/n

【技术特征摘要】
20130212 US 13/764,9631.一种用于提供数据储存服务的计算机实现的方法，其包括：
存储限定一组权限的策略，所述权限限制密钥的使用，所述密钥是由密码服务通过使用硬件安全模块保护的多个密钥中的一个；
响应于获取经由第一应用程序编程接口提供的第一请求，引起所述密码服务服从所述策略使用所述密钥来利用高级加密标准(“AES”)加密对数据加密密钥进行加密以产生已加密的数据加密密钥，其中所述第一应用程序编程接口包括标识所述密钥的密钥标识符(“ID”)的第一参数；
响应于获取经由第二应用程序编程接口提供的第二请求，引起所述密码服务服从所述策略使用所述密钥来利用AES加密对所述已加密的数据加密密钥进行解密使得所述密钥能够仅由所述密码服务使用，其中所述第二应用程序编程接口包括所述密钥ID的第二参数以及标识对应于所述已加密的数据加密密钥的密文的第三参数；以及
提供将要用于对由所述数据储存服务储存的已加密的数据进行解密的所述数据加密密钥。


2.如权利要求1所述的计算机实现的方法，其中对所述已加密的数据进行解密进一步服从有效证明信息，所述有效证明信息使得所述密码服务能够验证获取的加密或对所述已加密的数据进行解密的请求的可信性。


3.如权利要求1所述的计算机实现的方法，其中所述策略包括对能够使所述密码服务使用所述密钥执行密码操作的授权请求者的限制。


4.如权利要求1所述的计算机实现的方法，其中在所述密码服务的信任边界内生成所述密钥。


5.如权利要求1所述的计算机实现的方法，其中所述策略指定至少部分地基于时间、请求所源自的互联网协议(IP)、将被加密或解密内容的类型的一个或多个权限。


6.一种计算机系统，其包括：
一个或多个处理器；以及
存储指令的存储器，所述指令由所述一个或多个处理器执行而引起所述计算机系统实现密码服务，以至少：
存储限定一组权限的策略，所述权限限制密钥的使用，所述密钥是由所述密码服务通过使用硬件安全模块保护的多个密钥中的一个，所述多个密钥不可由与所述密码服务不同的数据储存服务访问；
响应于获取经由第一应用程序编程接口提供的第一请求，使用AES加密利用所述密钥对数据加密密钥进行加密以产生已加密的数据加密密钥，其中所述第一应用程序编程接口包括标识所述密钥的密钥ID的第一参数；
响应于获取经由第二应用程序编程接口提供的第二请求，使用AES加密利用所述密钥对所述已加密的数据加密密钥进行解密以允许所述数据储存服务使用所述数据加密密钥，其中所述第二应用程序编程接口包括所述密钥ID的第二参数以及标识对应于所述已加密的数据加密密钥的密文的第三参数。


7.如权利要求6所述的计算机系统，其中所述指令进一步引起所述密码服务从所述数据储存服务获取请求的通知和证明。


8.如权利要求6所述的计算机系统，其中
所述计算机系统由计算资源服务提供者操作；并且
所述多个密钥中的每个密钥与所述计算资源提供者的不同客户相关联。


9.如权利要求6所述的计算机系统，其中所述密码服务进一步被配置来参照所述策略验证由所述数据储存服务提供的待决请求是经授权的。


10.如权利要求6所述的计算机系统，其中所述密码服务进一步：
获取作为请求的一部分的另外数据以对所述数据加密密钥进行加密；以及
要求所述另外数...

【专利技术属性】
技术研发人员：G·B·罗斯，M·J·雷恩，E·J·布兰德怀恩，B·I·普拉特，
申请(专利权)人：亚马逊技术股份有限公司，
类型：发明
国别省市：美国;US