本期焦点
HSM 里的密钥真拿不出来？别被“物理隔离”骗了，配置错了照样能导出
HSM 里的密钥真拿不出来？别被“物理隔离”骗了，配置错了照样能导出 密钥不可导出并非永久物理限制，而是受配置策略、发布路径及目标环境约束的条件性属性。 打破“绝对安全”的迷思：物理边界并非铁律 物理隔离设计初衷虽为隔绝网络，但默认锁定仅是预设逻辑，特定配置下密钥仍可被合法提取。 很多人走进 HSM（硬件安全模块）时，心里都装着一种安全感：既然钥匙锁在铁盒子里，就永远拿不出来。这种直觉源于 HS…
展开主题导航
标签：密钥管理
围绕该主题整理可核验的规范依据、实现行为与工程验证记录。
收录边界聚焦与 标签：密钥管理 直接相关的生命周期控制、版本差异和验证方法。
排除原则不收录无法核验的营销判断、攻击利用步骤与缺少证据边界的结论。
资料台账
区分规范事实与工程判断
工程资料
Kubernetes Secret 默认是明文？etcd 直连和 RBAC 都挡不住这风险
Kubernetes Secret 默认是明文？etcd 直连和 RBAC 都挡不住这风险 Kubernetes Secret 默认以明文形式存储于 etcd，仅靠 RBAC 无法阻断直接读取风险，必须配置静态加密作为安全基线。 Kubernetes Secret 默认加密吗？官方文档的残酷真相 官方文档明确指出，未开启额外配置的 Kubernetes Secret 在 etcd 中默认以未加密…
工程资料
后量子密码迁移别等标准：分清草案与正式稿，提前做这3件事
后量子密码迁移别等标准：分清草案与正式稿，提前做这3件事 后量子密码迁移准备的核心在于区分草案与正式标准，在现有体系尚安全时提前识别依赖、选择混合方案并测试互操作性，而非盲目等待最终标准发布。 后量子密码迁移准备要做什么：先分清“草案”与正式标准 NIST SP 800-131A Rev.3 截至2024年10月仍属修订中的初始公众草案，组织不应将其视为强制执行的最终依据而仓促做出决策。 别把 …
工程资料
别只改配置：基于 NIST 的企业密码迁移五步闭环实操
别只改配置：基于 NIST 的企业密码迁移五步闭环实操 基于NIST指导原则，企业密码迁移是通过发现依赖、决策替换、实施受控变更、验证互操作性及退役旧能力构成的五步闭环流程。 为什么企业做密码迁移不能只靠换配置？理解最小闭环逻辑 仅靠增加新算法配置无法消除遗留风险，必须通过系统性清除旧能力构建包含部署与清理的完整最小闭环逻辑。 2025 年 12 月 19 日，NIST 发布了《Consider…
工程资料
NIST 算法退役不是断网：SHA-1 与 DES 的真实生效日期与合规红线
NIST 算法退役不是断网：SHA-1 与 DES 的真实生效日期与合规红线 NIST 算法退役是指依据行政流程设定明确生效日期，逐步停止对 SHA-1 与 DES 等旧算法的新批准，而非瞬间的技术禁令。 NIST 算法退役具体日期和标准：关键时间节点解读 关键时间节点包括 2016 年 1 月 1 日 SHA-1 停止新批以及 2007 年 5 月 19 日 DES 停止获批，这些日期构成了组…
工程资料
工单关了不代表事结了：安全事件闭环必须留好的四类证据
工单关了不代表事结了：安全事件闭环必须留好的四类证据 安全事件闭环需构建包含事前资产范围、事中状态变更、切换后验证及旧对象拒绝验证的四类证据最低结构，以确保证据链完整可追溯。 为什么不能仅以“事件关闭”作为安全事件闭环的终点？ 仅将工单标记为已关闭会导致证据链断裂，真正的应急恢复闭环必须保留资产范围、状态变更、可用性验证及旧对象拒绝这四类可追溯对象。 把工单状态改为“已关闭”，并不代表安全事件真…
工程资料
Security Hub KMS.1 标绿不代表真安全：内联策略与 Condition 逻辑才是盲区
Security Hub KMS.1 标绿不代表真安全：内联策略与 Condition 逻辑才是盲区 审计通过仅证明工具在特定规则内扫描无异常，无法覆盖未检测的策略盲区或独立验证缺失，不能等同于真实安全。 为什么“绿色”状态可能只是错觉？ 控制面状态显示绿色仅代表日志或控件符合预设规则，掩盖了工具局限性与真实安全结果之间存在的证据断层。 当 Security Hub 把 KMS.1 控件标为绿色…
工程资料
密钥删除后数据还能找回吗？AWS KMS 三种状态决定生死
密钥删除后数据还能找回吗？AWS KMS 三种状态决定生死 密钥删除后数据通常不可恢复，但依据 AWS KMS 状态机，多区域副本或导入材料等特定例外情况可能保留找回机会。 密钥删除后数据还能找回吗？三种状态的生死界限 密钥能否找回取决于其处于禁用、计划删除还是已删除状态，这三种生命周期节点对应的恢复能力存在本质差异。 当你在控制台点击“删除”按钮时，加密的数据真的彻底消失了吗？答案取决于密钥此…