Chaves raiz

As chaves raiz, também conhecidas como customer root keys (CRKs), são recursos primários no Hyper Protect Crypto Services. Elas são chaves de agrupamento de chaves simétricas que são usadas como raízes de confiança para agrupar (criptografar) e desagrupar (decriptografar) outras chaves de criptografia de dados (DEKs) que são armazenadas em um serviço de dados. Com o Hyper Protect Crypto Services, é possível criar, armazenar e gerenciar o ciclo de vida de chaves raiz. As chaves raiz que são criadas em Hyper Protect Crypto Services são chaves AES simétricas de 256 bits. Diferentemente de uma chave padrão, uma chave raiz nunca pode deixar os limites do serviço do Hyper Protect Crypto Services. Para saber mais, consulte Introdução à criptografia de envelope e Gerenciar suas chaves.

Chaves padrão

As chaves padrão são outros recursos no Hyper Protect Crypto Services para criptografar e decriptografar dados. É possível gerenciar chaves padrão seguindo as etapas em Gerenciar suas chaves.

Chaves de criptografia de dados

As chaves de criptografia de dados (DEKs) são chaves criptográficas que você usa para a criptografia de dados. Elas são fornecidas por aplicativos pertencentes ao usuário e são usadas para criptografar dados armazenados em aplicativos. As chaves raiz gerenciadas nos Hyper Protect Crypto Services servem como chaves de agrupamento para proteger DEKs. Para saber mais, consulte Introdução à criptografia de envelope.

Criptografia de envelope

A criptografia de envelope é a prática de criptografar dados com uma DEK e, em seguida, criptografar a DEK com uma chave raiz que pode ser gerenciada totalmente por você. Para saber mais, consulte Introdução à criptografia de envelope.

Módulo de Segurança de Hardware

Um módulo de segurança de hardware (HSM) é um dispositivo físico que salvaguarda e gerencia chaves digitais para autenticação forte e fornece processamento de criptografia. HSMs do IBM Cloud Hyper Protect Crypto Services são certificados pelo FIPS 140-2 Nível 4, que é o nível mais alto de segurança para o hardware de criptografia. Nesse nível de segurança, os mecanismos de segurança física fornecem um envelope completo de proteção ao redor do módulo de criptografia com a intenção de detectar e responder a todas as tentativas não autorizadas no acesso físico.

Unidades de criptografia

Uma unidade criptográfica é uma única unidade que representa um HSM e a pilha de software correspondente que é dedicada ao HSM para criptografia. Em Hyper Protect Crypto Services, estão disponíveis os tipos de unidade de criptografia a seguir:

• Unidade de criptografia operacional

  Ao criar uma instância Hyper Protect Crypto Services, o número de unidades de criptografia que você especifica é o número de unidades de criptografia operacional. Para alta disponibilidade e recuperação de desastres, é necessário configurar pelo menos duas unidades de criptografia operacional. Essas unidades de criptografia operacionais estão localizadas em diferentes zonas de disponibilidade da mesma região em que a sua instância de serviço está localizada As unidades de criptografia operacional são usadas para gerenciar chaves de criptografia e executar operações criptográficas.

• Unidade de criptografia de recuperação

  Se você criar sua instância de serviço em regiões diferentes de Madri (eu-es), duas unidades de criptografia de recuperação serão designadas automaticamente à sua instância de serviço sem custos extras; uma na mesma região e uma na região de recuperação de desastre para essa região. Uma unidade de criptografia de recuperação é usada para gerar a chave mestra aleatória, que é, então, exportada com segurança para unidades de criptografia operacionais e a outra unidade de criptografia de recuperação para inicializar a instância de serviço.

  As unidades de criptografia de recuperação também podem ser usadas como unidades de criptografia de backup que salvam uma cópia do valor da chave mestra usada pelas unidades de criptografia operacional. Se a chave mestra for perdida ou destruída, será possível recuperar a chave mestra de uma unidade de criptografia de recuperação usando comandos administrativos do TKE assinados.

  Se cartões inteligentes forem usados para carregar a chave mestra, as unidades de criptografia de recuperação não serão aplicáveis e poderão ser ignoradas. O backup da chave mestra conta com o backup dos cartões inteligentes nesse caso.

• Unidade de criptografia de failover

  As unidades de criptografia de failover fazem backup das unidades de criptografia operacionais e keystores em outra região e são inicializadas para fornecer failover rápido em caso de desastre. As unidades de criptografia de failover cobram taxas extras e esta opção agora está disponível apenas em regiões do us-south e us-east, o que significa que se você criar sua instância em qualquer uma das duas regiões, as unidades de criptografia de failover estão localizadas na outra região. Para obter mais informações sobre como usar unidades de criptografia de failover em um desastre regional, consulte Restaurando seus dados usando unidades de criptografia de failover.

Administradores

Os administradores podem ser incluídos nas unidades de criptografia de destino para emitir comandos para as unidades de criptografia. É possível incluir até oito administradores a uma unidade de criptografia para aumentar a segurança. Cada administrador possui uma chave de assinatura privada para autenticação de identidade.

Chaves de assinatura

Um administrador deve assinar quaisquer comandos que sejam emitidos para a unidade criptográfica com uma chave de assinatura. As chaves de assinatura criadas em Hyper Protect Crypto Services são chaves de Curva Elíptica (CE) P521. A parte privada da chave de assinatura é usada para criar assinaturas. A parte pública é colocada em um certificado que é instalado em uma unidade de criptografia de destino para definir um administrador de unidade de criptografia. Os comandos emitidos no modo de impressão não precisam ser assinados com nenhuma chave de assinatura.

Modo de impressão

As unidades criptográficas designadas a um usuário do IBM Cloud são iniciadas em um estado limpo que é conhecido como modo de impressão.A maioria das operações da unidade criptográfica está desativada no modo de impressão e uma unidade criptográfica no modo de impressão não é segura. É possível incluir administradores no modo de impressão e sair do modo de impressão usando um comando assinado.Após a unidade criptográfica sair do modo de impressão, todos os comandos usados para configurar uma unidade criptográfica deverão ser assinados.Você deve sair do modo imprint antes de carregar chaves master.

Autenticação de quorum

A autenticação de quorum é a maneira de aprovar uma operação por um número configurado de administradores de unidade de criptografia. Algumas operações sensíveis, como cometer um registro de chave mestra, alterar os limites de assinatura e adicionar ou remover administradores após a unidade crypto saídas do modo imprint, requerem um número suficiente de administradores de unidade cripto para entrar em suas credenciais. A autenticação de quorum assegura que nenhuma única pessoa possa fazer uma mudança crítica na unidade de criptografia. Em vez disso, um número mínimo de administradores de unidade de criptografia (pelo menos dois) deve cooperar para fazer essas operações. A autenticação de quorum requer mais de um administrador de unidade de criptografia para aprovar uma operação, que permite uma camada adicional de proteção na unidade de criptografia.

Limites de assinatura

Os limites de assinatura de uma unidade de criptografia controlam quantas assinaturas administrativas são necessárias para executar um comando. No modo de impressão, os limites de assinatura são configurados como zero. Para sair do modo de impressão, configure os limites de assinatura para um valor maior que zero. Quando uma unidade de criptografia é zerada, os limites de assinatura são reconfigurados para zero.

Existem dois tipos de limites de assinatura em uma unidade de criptografia. O limite de assinatura principal controla quantas assinaturas são necessárias para executar a maioria dos comandos administrativos. O limite de assinatura da assinatura de revogação controla quantas assinaturas são necessárias para remover um administrador. Alguns comandos precisam apenas de uma assinatura, independentemente de como o limite de assinatura está configurado.

A configuração dos limites de assinatura para um valor maior que um permite a autenticação de quorum de diversos administradores para operações sensíveis. O valor máximo no qual é possível configurar o limite de assinatura e o limite de assinatura de revogação é de oito, que também é o número máximo de administradores que podem ser incluídos em uma unidade de criptografia.

Chave mestra

A chave mestra, também conhecida como chave mestra do HSM, é usada para criptografar a instância de serviço para o armazenamento de chave. Trata-se de uma chave simétrica de 256 bits do AES. Com a chave mestra, você assume a propriedade do HSM em nuvem e tem a propriedade da raiz de confiança que criptografa toda a hierarquia de chaves de criptografia, incluindo chaves raiz e chaves padrão no keystore de gerenciamento de chaves e nas chaves do Enterprise PKCS #11 (EP11) no keystore do EP11. Para que seja possível gerenciar chaves de criptografia, é necessário configurar a chave mestra primeiro. Uma instância de serviço pode ter apenas uma chave mestra. Se você excluir a chave mestra da instância de serviço, será possível executar fragmentação criptográfica efetivamente de todos os dados que foram criptografados com as chaves que são gerenciadas no serviço.

Parte de chave mestra

Se você inicializar sua instância de serviço usando arquivos de partes de chave ou usando cartões inteligentes junto com os Utilitários de Gerenciamento, uma chave mestra será composta por duas ou três partes de chave mestra.As partes de chave mestra que são criadas em Hyper Protect Crypto Services são chaves AES simétricas de 256 bits. Por considerações de segurança, cada parte de chave pode ser de propriedade de uma pessoa diferente.As partes de chave são armazenadas em arquivos de parte de chave de estação de trabalho quando o plug-in da CLI do TKE IBM Cloud é usado para carregar a chave mestra.Partes de chave são armazenadas em cartões inteligentes quando os Hyper Protect Crypto Services utilitários de gerenciamento são usados para carregar a chave mestra.O proprietário da peça chave precisa ser a única pessoa que sabe a senha do arquivo ou o número de identificação pessoal do cartão inteligente (PIN) para a peça chave.

Plug-in da CLI do IBM Cloud Trusted Key Entry

O plug-in da interface da linha de comandos (CLI) do Trusted Key Entry (TKE) é um plug-in da CLI trabalhando com a CLI do IBM Cloud. O plug-in do TKE fornece um conjunto de funções para o gerenciamento de unidades criptográficas que são designadas a uma conta do usuário do IBM Cloud. É possível usar o plug-in do TKE para configurar administradores e carregar a chave mestra com os requisitos de um nível médio de segurança. O plug-in da CLI do TKE fornece duas abordagens para inicializar instâncias de serviço: Inicializando instâncias de serviço usando arquivos de parte de chave e Inicializando instâncias de serviço usando unidades de criptografia de recuperação. Para a referência de comando completa, consulte Referência de plug-in da CLI de Trusted Key Entry.

Utilitários de gerenciamento

Os utilitários de gerenciamento fornecem uma maneira alternativa de configurar instâncias de serviço com chaves de assinatura e partes de chave mestra que são armazenadas em cartões inteligentes com o nível mais alto de segurança.Para usar os Utilitários de Gerenciamento, deve-se solicitar cartões inteligentes e leitores de cartões inteligentes suportados pela IBM.Para obter instruções detalhadas sobre como instalar e configurar os utilitários de gerenciamento, consulte Configurando cartões inteligentes e os utilitários de gerenciamento e Inicializando instâncias de serviço usando cartões inteligentes e os utilitários de gerenciamento.

Cartões inteligentes

Um cartão inteligente é semelhante a um cartão de crédito com um chip integrado.O chip pode executar um conjunto limitado de operações criptográficas e é carregado com software customizado.No Management Utilities, o Smart Card Utility Program carrega o software customizado no cartão inteligente para criar dois tipos de cartões inteligentes:

• Cartões inteligentes de autoridade de certificação-Estabelece um conjunto de cartões inteligentes que podem trabalhar juntos, chamado de smart card zone.
• Cartões inteligentes Enterprise PKCS #11 (EP11) retêm uma chave de assinatura de administrador e até 85 partes de chave mestra. Com cartões inteligentes EP11, é possível assinar um comando usando uma chave de assinatura privada que é armazenada no cartão inteligente e criptografar uma parte de chave mestra para entrega em uma unidade criptográfica.

Os cartões inteligentes são protegidos por um número de identificação pessoal (PIN) que deve ser inserido em um quadro do PIN do leitor de cartão inteligente antes que o cartão inteligente execute as operações. O cartão inteligente EP11 tem um único PIN.O cartão inteligente da autoridade de certificação tem dois PINs e ambos devem ser inseridos para permitir as operações.

Em um cartão inteligente EP11, se um PIN incorreto for inserido três vezes, o cartão inteligente será bloqueado e não poderá ser usado para operações que requerem que a entrada de PIN.Um cartão inteligente EP11 pode ser desbloqueado usando o Smart Card Utility Program.É necessário o cartão inteligente da autoridade de certificação usado para inicializar o cartão inteligente EP11 para desbloquear um cartão inteligente EP11.Para desbloquear um cartão inteligente EP11, selecione Cartão inteligente EP11 > Desbloquear o cartão inteligente EP11 no menu e siga os prompts.

Um cartão inteligente de autoridade de certificação será bloqueado se um PIN incorreto for inserido cinco vezes.Se um cartão inteligente de autoridade de certificação for bloqueado, ele não poderá ser desbloqueado.

Leitores de cartão inteligente

Um leitor de cartão inteligente é um dispositivo que se conecta a uma estação de trabalho e permite que ela se comunique com um cartão inteligente.Para acessar um cartão inteligente, ele deve estar inserido no leitor de cartão inteligente. A maioria das operações de cartão inteligente requer que o PIN do cartão inteligente seja inserido no quadro de PIN do leitor de cartão inteligente.

Um driver para o leitor de cartão inteligente deve ser instalado na estação de trabalho antes que o leitor de cartão inteligente possa ser usado.Para obter mais informações, consulte Instalando o driver do leitor de cartão inteligente.

Smart Card Utility Program

O Smart Card Utility Program é um dos dois aplicativos que são instalados como parte dos Utilitários de Gerenciamento.Ele configura e gerencia os cartões inteligentes que são usados pelo aplicativo Trusted Key Entry (TKE).

Aplicativo Trusted Key Entry

O aplicativo Trusted Key Entry (TKE) é um dos dois aplicativos que são instalados como parte dos Utilitários de Gerenciamento.Ele usa cartões inteligentes para carregar chaves mestras em instâncias de serviço e para executar outras tarefas de configuração para instâncias de serviço.

Mantenha a sua própria chave

Os Hyper Protect Crypto Services suportam o recurso Keep Your Own Key (KYOK). É possível configurar a chave mestra para obter o controle total do HSM em nuvem, para que você tenha total controle e autoridade sobre as chaves de criptografia que podem ser trazidas, controladas e gerenciadas por você. Ninguém, exceto você, tem acesso às suas chaves de criptografia.

PKCS nº 11

A API do Public-Key Cryptography Standards (PKCS) #11 define uma API independente de plataforma para tokens criptográficos, como HSM e cartões inteligentes. Os aplicativos existentes que usam o PKCS #11 podem se beneficiar da segurança aprimorada usando a criptografia de chave segura e a interface sem estado, o que torna as operações criptográficas muito mais eficientes. Para obter mais informações, consulte a API PKCS #11

Cryptoki

A Interface de token criptográfico definida no padrão PKCS n.º 11. A Cryptoki segue uma abordagem baseada em objeto simples, abordando os objetivos de independência de tecnologia e de compartilhamento de recursos.

Biblioteca do PKCS n.º 11

Uma biblioteca PKCS n.º 11 que implementa as funções da API Cryptoki que são especificadas no padrão PKCS n.º 11. Com a biblioteca PKCS n.º 11, seus aplicativos podem usar a API PKCS n.º 11 para acessar o HSM em nuvem dos Hyper Protect Crypto Services para executar operações criptográficas. Para aprender mais sobre como configurar a biblioteca, consulte Executando operações criptográficas com a API PKCS n.º 11.

Token de Cryptoki

A visualização lógica de um dispositivo criptográfico que é definido pela Cryptoki. Para obter mais informações, consulte PKCS #11 Cryptographic Token Interface Usage Guide Versão 2.40-Visualização lógica de um token..

Sessão de Cryptoki

Uma conexão lógica entre um aplicativo e um token. A Cryptoki requer que um aplicativo abra uma ou mais sessões com um token para obter acesso aos objetos e funções do token. Uma sessão pode ser uma sessão de leitura/gravação (R/W) ou uma sessão somente leitura (R/O). Para obter mais informações, consulte Introdução ao PKCS n.º 11 - Sessão.

Objeto de Cryptoki

Um item que é armazenado em um token. Um objeto pode consistir em dados, em um certificado ou em uma chave. Um objeto de dados é definido por um aplicativo.Um objeto de certificado armazena um certificado.Um objeto chave armazena uma chave criptográfica.Cada característica do objeto é definida em um atributo. Para obter mais informações, consulte Introdução ao PKCS n.º 11 - Objeto chave.

Mecanismo

Um processo para implementação de uma operação criptográfica.

Enterprise PKCS #11

O Enterprise PKCS #11 (EP11) é projetado para clientes que estão buscando suporte para padrões abertos e segurança aprimorada. A biblioteca do EP11 fornece uma interface sem estado, que é semelhante à API do PKCS #11 padrão de mercado. O HSM no qual as unidades criptográficas são executadas suporta a biblioteca EP11, portanto, os usuários podem chamar API do EP11 por meio do gRPC para seu próprio gerenciamento de chave e criptografia de dados. Para obter mais informações, consulte Enterprise PKCS #11(EP11)Documento de estrutura de biblioteca.

gRPC

O gRPC é uma moderna estrutura de chamada de procedimento remoto (RPC) de alto desempenho de software livre que pode conectar serviços entre e nos data centers para balanceamento de carga, rastreio, verificação de funcionamento e autenticação. Os aplicativos acessam a biblioteca do Hyper Protect Crypto Services EP11 chamando a API EP11 remotamente por meio de gRPC. Para obter mais informações sobre gRPC, consulte a documentação gRPC.

Enterprise PKCS #11 sobre gRPC

O IBM Cloud® Hyper Protect Crypto Services fornece um conjunto do Enterprise PKCS #11 (EP11) sobre gRPC chamadas API (também referidas como GREP11), com as quais todas as funções Crypto são executadas em um HSM de nuvem. O EP11 sobre gRPC é uma interface sem estado para operações criptográficas na nuvem. Para obter mais informações sobre a API GREP11, consulte Apresentando EP11 sobre gRPC e a Referência de API GREP11.