关于后端:APISIX-是怎么保护用户的敏感数据不被泄露的

本文以 APISIX 作为例子，为大家介绍了如何借助 Global Data Encryption 性能来爱护敏感数据，确保不会有任何敏感数据进行明文存储，这样即便 etcd 中所有存储的数据都被盗取，也不会造成敏感数据泄露，从而无效晋升了 APISIX 的安全性。

作者刘维，API7.ai 技术工程师，Apache APISIX Contributor。

原文链接

什么是敏感数据

敏感数据，又称隐衷数据，次要是指泄露后可能会给集体或者公司带来严重危害的数据，包含但不限于个人身份信息，企业经营数据等。

为什么要爱护敏感数据

对于集体来说，如果敏感数据被泄露，轻则可能受到无止尽的广告骚扰，重则可能导致人格尊严受到侵害，或者人身、财产平安受到危害。

对于企业来说，敏感数据间接关系企业的信息安全。例如密钥，证书等敏感信息，一旦蒙受泄露，企业将会蒙受信赖损失和财务损失，甚至可能面临法律责任。

在 API 网关中有哪些敏感数据

API 网关作为业务流量的入口，往往蕴含了大量的敏感数据，例如 API 密钥、用于鉴权认证的 token 等，除了根本的负载平衡、流量治理等性能外，晋升平安、避免敏感信息泄露，也至关重要，因而对 API 网关中的敏感数据进行爱护具备重要意义。

API 网关怎么爱护隐衷数据

大抵思路个别如下：

1. 将敏感数据置于保护区内，对拜访权限进行严格的管制
2. 减少风控系统，对异样行为和业务合规进行危险管制
3. 对敏感数据进行脱敏解决或加密存储

上面将以 Apache APISIX 为例，展现如何在 API 网关中对敏感数据进行爱护。

Apache APISIX 在爱护隐衷数据中的实际

Apache APISIX 是 Apache 软件基金会的顶级开源我的项目，也是以后最沉闷的开源网关我的项目。作为一个动静、实时、高性能的开源 API 网关，Apache APISIX 提供了负载平衡、动静上游、灰度公布、服务熔断、身份认证、可观测性等丰盛的流量治理性能。

用户能够通过编写插件来对 Apache APISIX 性能进行扩大，得益于成熟的社区和越来越多的沉闷开发者，Apache APISIX 的插件数量在日益增多，其中有些插件携带敏感信息，例如 jwt-auth 插件的配置项 secret 和 private_key，为了避免这些数据被非法获取，咱们有必要对其进行加密存储。

为了加强 APISIX 的安全性，更好的爱护用户的隐衷，APISIX 在 3.1.0 版本中引入了 Global Data Encryption 性能，有了这个性能，开发者在开发新插件的时候，只须要在插件的 schema 中指定要加密的数据，APISIX 就能在管制面写入的时候主动进行加密存储，数据面读取的时候主动解密，对开发者齐全通明。

上面咱们来看看具体的示例。

未开启数据加密性能

1. 下发配置

curl http://127.0.0.1:9180/apisix/admin/consumers -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d '{"username":"foo","plugins": {"basic-auth": {"username":"foo","password":"bar"}
    }
}'

2. 确定 etcd 中的敏感数据状态

etcdctl get /apisix/consumers/foo
{"username":"foo","update_time":1675414313,"create_time":1674009211,"plugins":{"basic-auth":{"username":"foo","password":"bar"}}}

能够看到 password 字段是明文存储

开启数据加密性能

1. 在 config.yaml 中开启 data_encryption：

apisix:
    data_encryption:
    enable: true
    keyring:
        - edd1c9f0985e76a2

2. 启用曾经反对敏感数据加密的插件，这里以 basic-auth 插件为例

curl http://127.0.0.1:9180/apisix/admin/consumers -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d '{"username":"foo","plugins": {"basic-auth": {"username":"foo","password":"bar"}
    }
}'

3. 验证插件性能

curl http://127.0.0.1:9180/apisix/admin/routes/1 -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d '{"methods": ["GET"],"uri":"/get","plugins": {"basic-auth": {}
    },
    "upstream": {
        "type": "roundrobin",
        "nodes": {"httpbin.org": 1}
    }
}'

能失常拜访

curl -i -ufoo:bar http://127.0.0.1:9080/get
HTTP/1.1 200 OK
...

明码谬误，不能拜访

curl -i -ufoo:test http://127.0.0.1:9080/get
HTTP/1.1 401 Unauthorized
...
{"message":"Invalid user authorization"}

插件性能失常

4. 确定 etcd 中的敏感数据状态

etcdctl get /apisix/consumers/foo
{"create_time":1674009211,"update_time":1674009211,"plugins":{"basic-auth":{"password":"+kOEVUuRc5rC5ZwvvAMLwg==","username":"foo"}},"username":"foo"}

能够看到 password 字段曾经被胜利加密 ，此时就算数据被泄露，其他人也无奈破解。

总结

在 API 网关中，蕴含了大量的敏感数据，因而须要采取有效的伎俩来对数据进行爱护，本文以 APISIX 作为例子，为大家介绍了如何借助 Global Data Encryption 性能来爱护敏感数据，确保不会有任何敏感数据进行明文存储，这样即便 etcd 中所有存储的数据都被盗取，也不会造成敏感数据泄露，从而无效晋升了 APISIX 的安全性。同时除了对敏感数据进行加密以外，APISIX 还反对将敏感信息间接放到第三方服务，即 Secret Manager 性能，进一步晋升了安全性。

心愿通过上述分享，可能使大家更多的理解如何在 API 网关中爱护敏感数据，从而保障企业的信息安全。

对于 API7.ai 与 APISIX

API7.ai 是一家提供 API 解决和剖析的开源根底软件公司，于 2019 年开源了新一代云原生 API 网关 — APISIX 并捐献给 Apache 软件基金会。尔后，API7.ai 始终踊跃投入反对 Apache APISIX 的开发、保护和社区经营。与千万贡献者、使用者、支持者一起做出世界级的开源我的项目，是 API7.ai 致力的指标。理解更多和产品试用。