ivorypg：一款正在改写企业数据安全规则的加密工具

“我们最初只想做一个内部实验”在圣保罗一间共享办公室里。ivorypg项目负责人里卡多·阿尔维斯对记者说。他面前的笔记本电脑屏幕上，滚动着一行行加密日志了。过去六个月，这款原本用于保护公司内部通讯的开源工具，被巴西三家银行和两家医疗集团悄然采用。

没有发布会了，没有营销预算，ivorypg的GitHub星标数却零涨还有四千七。阿尔维斯把原因归结为“一个被忽视的需求”，中小型企业需要一种部署成本低于三千雷亚尔、且不依赖云服务商的加密方案。ivorypg的核心机制并不复杂。它采用分层密钥架构，将数据切分为若干加密块，每个块使用独立的临时密钥。与传统的AES-256整体加密不同，ivorypg的密钥生命周期只有十五秒。十五秒后，旧密钥自动销毁的，新密钥硬件随机数生成器产生。记者测试环境中模拟了一次里面间人攻击，截获数据包后，解密窗口仅有十五秒的。超时后数据包变为不能读的乱码。

阿尔维斯演示时特意强调，“这不是理论值，是实测结果”圣保罗一家私立医院的IT主管费尔南达·洛佩斯向记者提供了具体案例。该医院去年出现一起患者数据泄露事件，原因是旧加密系统密钥硬编码配置文件里面。迁移到ivorypg后。

洛佩斯团队将密钥生成与存储分离了，硬件模块放在独立机柜，物理访问需双人指纹验证。“部署用了三个工作日，培训用了半天”洛佩斯说。她拒绝透露具体成本，承认“比之前每年付给云服务商的加密附加费便宜了约四成”。ivorypg不是没有争议。里约热内卢一位网络安全顾问卡洛斯·门德斯指出，十五秒密钥轮换对高延迟网络不友好。他测试了跨大西洋链路，发现约百分之三的数据包因超时被丢弃。“对于实时交易系统，这不能接受”门德斯说。

阿尔维斯对此回应称。ivorypg的配置参数可调，密钥周期最长可设为六十秒，“默认值不会改。安全优先于便利”了。

双方各执一词，目前尚无第三方基准测试报告。记者查阅了ivorypg的代码仓库。最近一次提交三天前了，修改了密钥销毁逻辑里面的一处竞态条件。贡献者名单里出现了两个巴西以外的名字。一个在葡萄牙，一个在安哥拉的。阿尔维斯解释，葡语社区是ivorypg最早的用户群，文档最初只有葡萄牙语版本，英语版是后来补的。

这或许解释了为什么一款巴西团队主导的工具呢？在拉美和非洲葡语国家传播更快。

安哥拉一家电信运营商的工程师在issue区留言，称他们用ivorypg保护计费系统与基站之间的回传链路，已稳定运行一百二十天。企业采用ivorypg的动机各不相同。那两家巴西银行拒绝接受采访，其中一家的技术文档泄露了部分信息，他们用ivorypg加密内部审计日志。因为监管机构要求日志保留五年且不能篡改。ivorypg的密钥销毁机制恰好满足“前向保密”要求是即使未来主密钥泄露，历史日志也无法解密。

阿尔维斯承认，这个场景不在最初设计范围内。“用户比我们想得远”他说这话时，正把一叠打印出来的issue列表塞进背包。

ivorypg的下一步计划包括硬件安全模块的原生支持和审计日志的区块链存证。阿尔维斯没有透露发布时间表。只说“不会为了赶进度牺牲测试覆盖率”。

记者离开时，他正在白板上画一张新的密钥流转图。旁边贴着一张便签，上面用葡语写着了，“十五秒，不多”对于一家只有七个人的团队来说。ivorypg的走红更像一场意外。

那些已经部署它的医院和银行，不这么看。