Реалити-проект Building the Cloud. Episode 5: Key Management Service

Описание

Building the Cloud — это реалити-проект для разработчиков про разработку облака с нуля. В прямом эфире раскрываем архитектурные секреты MWS Cloud Platform — нового публичного облака MWS.

☁️ Узнать больше про MWS Cloud Platform
https://mws.ru/cloud-platform/?utm_source=reality_yt_recordings

В 5-м выпуске проекта рассказываем, как мы создаём сервис управления ключами шифрования — Key Management Service.
Спикер:
Кирилл Беспалов — Руководитель направление Crypto Services.

Следите за анонсами новых выпусков реалити на странице проекта:
https://mws.ru/building-the-cloud

🎬 Смотрите другие выпуски проекта https://youtube.com/playlist?list=PL8pIeULWZdYF0_RQbZBzKZDwMZHlGLGZ2&feature=shared

⚙️ Ещё больше технического контента про строительство облака — в хабе DevCloud от MWS на Хабр:
https://habr.com/ru/search/?q=MWSCloudPlatform

Таймкоды
0:00 О чём пойдёт речь в этом выпуске
03:07 Как устроено облако в целом
08:28 Зачем нужно шифрование в облаке
22:59 Как реализуют шифрование в облаке
30:28 Пример шифрования объекта в Object Storage
36:37 Пример дешифрования объекта из Object Storage
40:48 Как устроен KMS
46:23 Как работает цепочка доверия ключей
54:37 Зачем мы используем модули TPM
1:00:00 Как наш KMS выдерживает большие нагрузки
1:06:20 Как работают Certificate Manager и Secret Manager
1:07:50 Вопросы
1:08:16 Вопрос: как вы генерируете случайные числа для шифрования?
1:11:15 Вопрос: ключи хранятся в том же ДЦ, что и данные?
1:12:23 Вопрос: как организована безопасная передача DEK от KMS в Object Storage?
1:14:40 Вопрос: как защититься от mitm-атаки?
1:14:59 Вопрос: что будет, если чип TPM выйдет из строя?
1:17:21 Вопрос: какой чип используется в качестве TPM?
1:18:09 Вопрос: как часто ротируются KEK и Master Key?
1:19:47 Вопрос: можно ли использовать один и тот же пользовательский ключ к KMS в разных зонах?
1:22:45 Вопрос: если в компании используется свой KMS on-premise, можно ли его использовать для хранения KEK?
1:25:07 Лучший вопрос