使用硬件加密设备（例如USB加密狗/密钥库）是否存在使用软件库的正当理由？

Question

如果您的应用程序需要加密/解密数据（出于各种原因），是否有任何原因使用硬件设备（例如USB加密设备 - 如Marx CryptoBox）而不是使用软件加密库（如。净密码学还是自己写）并将密钥存放在安全的密钥存储区中？

我在寻找这方面的一些客观观点。

---

为了缩小提出的问题：将您的意见是什么，如果所使用的USB encrpytion加密狗系统被安置在安全的物理服务器库，并有存在只有一个系统（即其不在许多台式机上分发并运行的软件产品）？以非常简单的术语来说，上述系统的目的是验证（解密和比较）一段传入的加密数据。

---

感谢迄今为您的伟大答案！

Answer 1

这不是关于什么更安全，因为没有什么是100％防弹。这是一个关于“如何尽可能地让它变得困难”的问题。

你可以从这个角度看到它：如果你在计算机上存储密钥，那么他们会在24/7中一直存在。如果我的一对密钥位于外部设备上，则密钥只能在连接到设备时访问。 ==>你减少了别人可以复制你的密钥的时间表。如果不需要物理访问，访问某些内容会更容易。

想想网上银行：很多银行都添加了“外部”认证方式，如Tan/Tac/tanSMS/tokengenerators等等。这些都不是安全的：我可以窃取您的登录密码，我可以窃取你的手机，我可以偷你的Tac/Tan名单等等。但是缠斗很低，我可以一次性偷走所有必要的元素=>所有难题一起创建一个相当安全的解决方案。

而且认为这些因素：

• 金钱：你真的需要一个$ 70的$ 100的应用程序基于令牌的保护？
• 时间：我想说的基于软件的系统更快
• 相关性：是否有意义提供这样一个复杂的保护系统

Answer 2

是的，有我的应用程序。

首先，它允许您通过安全通道物理传输私钥，而不是信任网络。另一方面，如果您必须在很多不是所有网络连接的系统之间移动，那么USB密钥只是更方便的方式。这就是为什么军方使用非常类似的系统（EKMS）。他们不使用USB，但他们使用的小塑料狗看起来像大塑料钥匙。这个想法是一样的，但是USB在90年代早期还没有发展时就已经存在了。

（注：它有点吓人，维基百科的文章是如何完成。当我在KP工作时，我被告知我们可以在我们的简历中加上FIREFLY等缩略词，但我们不允许告诉任何人他们的意思。）

Answer 3

硬件密钥允许使用限制软件连接到钥匙插入的机器。

通过软件加密，将软件复制到多台机器并将其并行运行多次会更容易。

Answer 4

我认为这取决于您的应用程序的目的/用法。如果您正在开发一种满足高安全需求的产品（如银行或政府），那么为您的解决方案增加硬件可能完全合适。您必须考虑硬件解决方案为项目增加的额外成本。不仅在最初的开发中，而且在开发完成后需要持续的硬件维护成本。从我的角度来看，在过去曾经从事银行业务的情况下，我们认为硬件解决方案值得花费额外成本，但解决方案却非常少。