|
Home > |
|
|---|
Объекты в SafeNet Luna HSM никогда не хранятся в открытом виде. Они зашифровываются на всех уровнях и расшифровываются во временную память только тогда, когда они нужны.
Один ключ в HSM - General Storage Key (GSK) защищает объекты хранения, относящиеся с различным ролям пользователей. Отдельный ключ - User Storage Key (USK) защищает содержимое партиции, к которой этот пользователь (роль) получает доступ. Иерархия, которая применяется в многоуровневом шифровании , работает для каждой отдельной роли. Ключ USK в свою очередь, зашифровывает объекты, принадлежащие этому пользователю (роли) и, таким образом, каждый пользователь имеет доступ только к своим объектам. В каждом SafeNet Luna HSM есть Master Tamper Key (MTK) на котором зашифровывается каждый созданный и хранящийся в HSM объект.
Все используемые в HSM ключи зашифровываются ключем шифрования Key Encryption Key (KEK).
Чтобы обеспечить эшелонированную защиту SafeNet Luna Network HSM и данных, хранимых в Cryptographic Engine, применяется несколько механизмов. Трехуровневая модель аутентификации предусматривает раздельную аутентификацию доступа к партициям, двусторонюю аутентификацию сетевых соединений и аутентификацию работающих с HSM приложений, что позволяет контролировать, соответственно, доступ администоров, клиентов и приложений. Такая архитектура- трехуровневая модель в сочетании с применяемыми политиками многоуровневой аутентификации, встроенный Криптографический механизм (Cryptographic Engine), соответствующий требованиям FIPS 140-2 Level 3 и специально спроектированная программно-аппаратная платформа, позволяет в сетевом HSM обеспечить тот же уровень безопасности, что и в традиционном HSM (имеются ввиду встраиваемый), не принося в жертву удобство и универсальность сетевого исполнения.
Рисунок 1: Многоуровневое шифрование
Когда HSM включается, все объекты в нем зашифрованы.
1.Ключ KEK уникален для каждого HSM и им зашифровывается всё, что зашифровано ключем PinKey.
2.В начале сеанса происходит последовательное расшифровывание ключами KEK и PinKey.
•Для HSM с предустановленной парольной аутентификацией ключем PinKey является пароль SO (Security Officer) (или пароль Partition SO (офицер безопасности партиции), или CO (Crypto Officer) или CU (Crypto User) или Auditor, в зависимости от того, кто из них начинает работу с HSM).
•Для HSM с предустановленной аутентификации с помощью PED (Pin Entry Device-Устройство Ввода ПИН), ключем PinKey служит либо секретная последовательность, хранящаяся на синем USB-ключе Офицера Безопасности (SO) (либо на черном, или сером, или белом ключах - в зависимости от того, кто из них начинает работу с HSM).
3.Ключем GSK зашифрованы все общие (для всех пользователей) объекты, а ключем USK зашифрованы объекты, принадлежащие конкретному пользователю (роли), работающему с HSM. В случае надобности, объекты расшифровываются каждый по отдельности.
4.На самом нижнем уровне ключ MTK зашифровывает все объекты.
5.Некоторые объекты расшифровываются только в стираемую область памяти и только тогда, когда они нужны. Другие, включая ECDSA с NIST Prime curves, AES, DES3, и ключи RSA остаются в зашифрованном ключем MTK виде. После расшифровывания объектами в HSM можно пользоваться. При потере питания или в случае несанкционированного доступа все объекты зашифровываются вновь.
Применение такого набора уровней обеспечения безопасности гарантирует, что данные в HSM не будут скомпрометированы. Если же пользователю необходимо обеспечить еще более высокий уровень, то для SafeNet Luna HSM доступны конфигурации и опции, позволяющие это сделать.
При инициализации каждый HSM или партиция становятся частью домена клонирования. Разные HSMs или партиции могут входить в один и тот же домен или в разные домены. Ключевой материал не может выйти за пределы своего домена клонирования и поэтому, если атакующий попытается скопировать ваш криптографический материал на устройство, не входящее в тот же домен, что и атакуемая партиция или HSM, из этого ничего не получится. Применение схемы доменов клонирования обеспечивает гарантию того, что ключевой материал может перемещаться только между доверенными и авторизованными устройствами. И это является сильным препятствием для атакующих.
NOTE Домен клонирования- не самый низкий уровень шифрования и поэтому операции клонирования (перемещение ключевого материала между доверенными устройствами входящими в один и тот же домен - например, между Luna HSM в конфигурации высокой доступности или между Luna HSM и Luna Network Backup HSM), не позволяют получить доступ к криптографическому материалу (он клонируется в зашифрованном виде).
Операции клонирования ограничиваются только резервированием, восстановлением и/или синхронизацией материала между HSM, объединенными в группы высокой доступности (находящимися в том же самом домене). Только при операции резервирования на принимающем устройстве (например, Backup HSM) создается домен партиции исходного устройства (например, Luna HSM); а для успешной операции восстановления или синхронизации требуется, чтобы и на источнике, и на принимающем устройстве были совпадающие домены.