使用硬件加密設備（例如USB加密狗/密鑰庫）是否存在使用軟件庫的正當理由？

Question

如果您的應用程序需要加密/解密數據（出於各種原因），是否有任何原因使用硬件設備（例如USB加密設備 - 如Marx CryptoBox）而不是使用軟件加密庫（如。淨密碼學還是自己寫）並將密鑰存放在安全的密鑰存儲區中？

我在尋找這方面的一些客觀觀點。

---

爲了縮小提出的問題：將您的意見是什麼，如果所使用的USB encrpytion加密狗系統被安置在安全的物理服務器庫，並有存在只有一個系統（即其不在許多臺式機上分發並運行的軟件產品）？以非常簡單的術語來說，上述系統的目的是驗證（解密和比較）一段傳入的加密數據。

---

感謝迄今爲您的偉大答案！

Answer 1

這不是關於什麼更安全，因爲沒有什麼是100％防彈。這是一個關於「如何儘可能地讓它變得困難」的問題。

你可以從這個角度看到它：如果你在計算機上存儲密鑰，那麼他們會在24/7中一直存在。如果我的一對密鑰位於外部設備上，則密鑰只能在連接到設備時訪問。 ==>你減少了別人可以複製你的密鑰的時間表。如果不需要物理訪問，訪問某些內容會更容易。

想想網上銀行：很多銀行都添加了「外部」認證方式，如Tan/Tac/tanSMS/tokengenerators等等。這些都不是安全的：我可以竊取您的登錄密碼，我可以竊取你的手機，我可以偷你的Tac/Tan名單等等。但是纏鬥很低，我可以一次性偷走所有必要的元素=>所有難題一起創建一個相當安全的解決方案。

而且認爲這些因素：

• 金錢：你真的需要一個$ 70的$ 100的應用程序基於令牌的保護？
• 時間：我想說的基於軟件的系統更快
• 相關性：是否有意義提供這樣一個複雜的保護系統

Answer 2

是的，有我的應用程序。

首先，它允許您通過安全通道物理傳輸私鑰，而不是信任網絡。另一方面，如果您必須在很多不是所有網絡連接的系統之間移動，那麼USB密鑰只是更方便的方式。這就是爲什麼軍方使用非常類似的系統（EKMS）。他們不使用USB，但他們使用的小塑料狗看起來像大塑料鑰匙。這個想法是一樣的，但是USB在90年代早期還沒有發展時就已經存在了。

（注：它有點嚇人，維基百科的文章是如何完成。當我在KP工作時，我被告知我們可以在我們的簡歷中加上FIREFLY等縮略詞，但我們不允許告訴任何人他們的意思。）

Answer 3

硬件密鑰允許使用限制軟件連接到鑰匙插入的機器。

通過軟件加密，將軟件複製到多臺機器並將其並行運行多次會更容易。

Answer 4

我認爲這取決於您的應用程序的目的/用法。如果您正在開發一種滿足高安全需求的產品（如銀行或政府），那麼爲您的解決方案增加硬件可能完全合適。您必須考慮硬件解決方案爲項目增加的額外成本。不僅在最初的開發中，而且在開發完成後需要持續的硬件維護成本。從我的角度來看，在過去曾經從事銀行業務的情況下，我們認爲硬件解決方案值得花費額外成本，但解決方案卻非常少。