HashiCorp Vault Enterprise的一个常见请求是保护存储在外部不可信或半可信系统中的应用程序机密。平衡这些系统中机密的高可用性，并根据严格的法规遵从性要求（如PCI-DSS和HIPAA）保护这些机密，是保险库团队调查了一年多的一个挑战。这些努力的结果是我们在Vault 1.4中发布的一个新功能，名为"转换"。Transform是一个秘密引擎，允许Vault对驻留在外部系统（如数据库或文件系统）中的敏感值进行编码和解码。这种能力使保险库能够确保，当一个加密的秘密的住宅系统遭到破坏时，例如当数据库被攻破，其数据被泄露时，即使被对手持有，这些编码的秘密也不会受到损害。»转换如何工作有两种类型的转换可用。首先，掩蔽是一种单向转换，允许Vault根据自定义字符掩码对数据进行匿名化：例如，当您键入借记卡的PIN号时，ATM屏幕上显示的星号或和号。数据屏蔽的一个关键好处是，Vault服务器允许您根据定义的条件快速编辑或清理敏感数据。第二，有一个双向转换，允许输入结构的数据类型保护，同时保持编码密文的相同数据类型。在下面的示例中，您可以看到示例信用卡号码作为输入，以及遵循类似结构的编码密文。为已编码的敏感数据保留类似的数据结构可以在存储位置提供操作灵活性。例如，您可能有一个包含帐单详细信息的大型客户数据库，您希望在其中保护这些数据。通过使编码的密文保持类似的格式，现在可以将密文存储回源系统中，只需对数据库进行最小的更改（无需更改表等）。»有何不同？在根据合规性要求（如PCI-DSS和HIPAA）保护不可信或半可信系统中的信用卡号码和其他PII数据等机密时，公司通常通过使用令牌化来保护数据。令牌化是一个过程，它通过为受保护的数据生成随机令牌标识符来保护机密，通过将令牌与其机密相关联的表或账本为受信任的应用程序代理对该数据的访问。高质量的标记化，再加上一个强大的随机数生成器，确保了受保护的秘密在任何地方都是安全的。然而，传统的令牌化方法利用查找表或账本无法保留受保护机密的格式，这使得在应用程序内或存储本身中管理标记化的数据变得非常困难，有时甚至不可能。这通常给标记化计划的实现带来了难以克服的挑战。与传统的标记化不同，Vault转换过程生成的密文保护数据的结构和格式，同时保持编码值的安全性。在完全支持正则表达式的情况下，用户可以定制一个模式（例如：美国社会保险号码的XXX-XX-XXX，其中X是1-9的数值），并强制编码值订阅该模式的模式。由于使用了AES FF3-1，Vault能够确保这些编码密文是安全的，AES FF3-1是FF3算法的修订版，证明了该算法在保持算法速度和性能的同时，能够抵御来自未来超级计算机的选定密文攻击和外部攻击。AES FF3-1是NIST批准的算法，在即将发布的NIST SP800-38G标准中推荐。在处理这些转换时，Transform实际上并不存储受保护的机密，而是只保护解密机密密文所需的密钥材料。这最大限度地提高了应用程序的编码和解码性能，同时也最大限度地减少了泄露秘密的可能性。»为什么重要Transform是一种不同形式的加密，它更侧重于用户定义的加密参数和结构，以便组织能够在保留结构和映射输出的同时保护高度敏感的信息。这使开发人员、操作人员和安全人员能够在自己的工作流、数据解析和可发现性内安全地工作，同时维护法规遵从性和治理，所有这些都在一个端点内进行。转换中的转换还可以利用Vault Enterprise中的全套平台功能。它们可以被复制，并在各地区和各大洲高度可用。它们可以利用诸如性能备用节点之类的特性来确保高性能，即使在每秒几十万个请求（RPS）的情况下也是如此。它们可以在名称空间中进行分段以实现安全的多租户，并且访问可以通过ACL策略和Sentinel策略来控制。Transform甚至可以使用熵增强来安全地利用外部系统，包括基于硬件的真随机数生成器，以确保在生成编码值时非常高的密码安全性。这有助于确保编码的密文保持其受保护数据的前向保密性，即使在经典和量子计算密码分析技术未来取得进展的情况下也是如此。»下一步行动转换是Vault Enterprise的高级数据保护（ADP）模块中的一项功能。有关Transform Secrets引擎的更多信息，请参阅我们的学习指南或文档。另外，如果你喜欢玩这种类型的东西，也许你会有兴趣在HashiCorp工作，因为我们正在招聘！