Anwendungsfälle- Unified Key Orchestrator Plan

IBM Cloud® Hyper Protect Crypto Services kann als Schlüsselmanagementservice zum umfassenden Schutz ruhender Daten in der IBM Cloud sowie als Cloud-HSM für allgemeine Verschlüsselungsoperationen verwendet werden.

Ruhende Daten in der Cloud durchgängig schützen

Mit der Integration in die IBM Cloud-Sicherheitsarchitektur können Sie Hyper Protect Crypto Services verwenden, um ruhende Daten für Clouddaten und Speicherservices in der höchsten Sicherheitsstufe mit Ihren eigenen Schlüsseln zu verschlüsseln. Der Service verwendet dieselbe Schlüsselprovider-API wie Key Protect, um einen konsistente Ansatz für die Envelope-Verschlüsselung und die Dateisystemverschlüsselung für die Übernahme von IBM Cloud-Services bereitzustellen.

IBM Cloud Hyper Protect Crypto Services unterstützen das KYOK-Verfahren (KYOK - Keep Your Own Key), um Ihnen ein höheres Maß an Kontrolle und weiterreichende Berechtigungen in Bezug auf Ihre Daten zu ermöglichen, indem Sie Verschlüsselungsschlüssel verwenden, die Sie selbst bereitstellen, kontrollieren und verwalten. Gleichzeitig behalten Sie die Kontrolle über das HSM, in dem sich der Verschlüsselungsschlüssel befindet. Mit Hyper Protect Crypto Services können Sie die bewährte Technologie, die von großen Unternehmen gemeinsam entwickelt und betrieben wird, uneingeschränkt nutzen, um ihre sensibelsten Daten zu verwalten.

Verschlüsselungsschlüssel, die von Hyper Protect Crypto Services generiert und geschützt werden, können dazu verwendet werden, eine Verschlüsselung auf Anwendungsdatensatzebene oder Feldebene bereitzustellen, um Daten gegen andere Bedrohungen von innen als durch Datenbankadministratoren zu schützen.

Verschlüsselung ruhender Daten mit KYOK

Die Schlüssel werden durch vom Kunden verwaltete dedizierte HSMs geschützt, d.h., nur Sie haben Zugriff auf Ihre Daten. Die Verschlüsselungsfunktionen von Hyper Protect Crypto Services basieren auf einem FIPS 140-2 Stufe 4-zertifizierten Hardwaresicherheitsmodul (HSM). Sie können von den Verschlüsselungsfunktionen von Hyper Protect Crypto Services sowohl für neue als auch bereits vorhandene Workloads profitieren. Die IBM Key Protect for IBM Cloud-API wird integriert, um Verschlüsselungsschlüssel zu generieren und zu schützen.

Ein Lernprogramm zum Verschlüsseln von Cloudanwendungen mithilfe der API des Schlüsselmanagementservice von Hyper Protect Crypto Servicesfinden Sie unter End-to-End-Sicherheit auf eine Cloudanwendung anwenden.

Verschlüsselung ruhender Daten mit KYOK
Abbildung 1 Verschlüsselung ruhender Daten mit KYOK

VMware-Image-Schutz mit KYOK

Unternehmen, welche die VMware®-Umgebung in IBM Cloud verwenden, um personenbezogene Daten zu verarbeiten und zu speichern, benötigen höchste Sicherheit. Als Benutzer von Hyper Protect Crypto Services erhalten Sie einen eigenen, dedizierten Slot, den Sie selbst einrichten, um sicherzustellen, dass andere Personen keinen Zugriff haben. Da Hyper Protect Crypto Services und VMware keine Verbindung zu denselben Schnittstellen herstellen, fungiert die Komponente „Key Management Interoperability Protocol for VMware“ als Vermittler, damit die VMware-Umgebung Schlüssel aus Hyper Protect Crypto Services speichern und verwenden kann.

Als Single-Tenant-Service bietet Hyper Protect Crypto Services eine dedizierte Steuerung des Hardwaresicherheitsmoduls für VMware-Images für jeden Kunden. Hyper Protect Crypto Services erweitert die Familie der Schlüsselmanagementservices in IBM Cloud auf Single-Tenant-Instanzen mit dedizierter Steuerung geheimer Hardwareschlüssel.

Weitere Informationen finden Sie im Übersichtsvideo zu IBM Cloud Hyper Protect Crypto Services und VMware auf IBM Cloud-Lösungen. Ein Schritt-zu-Schritt-Lernprogramm finden Sie unter Configuring KMIP in Hyper Protect Crypto Services for key management and distribution und im Demovideo.

VMware-Imageschutz und vSAN-Verschlüsselung mit KYOK
Abbildung 2. VMware-Imageschutz mit KYOK

Unified Key Orchestrator für die Multi-Cloud-Schlüsselorchestrierung verwenden

Sie können Unified Key Orchestrator verwenden, um Ihre Schlüssel und internen Keystores in mehreren Clouds sicher zu erstellen und zu verwalten.

Verbindung zu Unified Key Orchestrator
Abbildung 3 Verbindung zu Unified Key Orchestrator
herstellen

Im Folgenden finden Sie einige Anwendungsfälle für die Verwendung von Unified Key Orchestrator zum Verwalten Ihrer Schlüssel.

Identity and Access Management (IAM)

Mit IAM können Sie den Zugriff auf den Vault und damit die Schlüssel und Keystores, die dem Vault zugeordnet sind, erteilen und steuern.

Schlüssel über eine einzige Benutzererfahrung verwalten

Sie können Ihre Verschlüsselungsschlüssel von einer zentralen Stelle aus erstellen, verwalten und löschen, ohne unterschiedliche Benutzerschnittstellen zu verwenden. Wenn Sie einen verwalteten Schlüssel in mehreren Keystores in einem Vault aktivieren, synchronisiert das System die Aktivierungen. Dies gewährleistet ein effizientes und vollständig geprüftes Schlüssellebenszyklusmanagement.

Verbindung zu externen Keystores herstellen

Sie können eine Verbindung zu externen Keystores herstellen, um Schlüssel in anderen Serviceinstanzen zu verwalten, z. B. Microsoft Azure Key Vault, AWS Key Management Service oder Google Cloud Key Management Service.

Alle Schlüssel Ihres Unternehmens zentral sichern

Alle Schlüssel sind unter IBM Cloud zugänglich und verwaltbar. Wenn ein schwerwiegender Fehler in der Cloud auftritt, können Sie die Schlüssel reaktivieren, um den Fehler schnell zu beheben.

Hyper Protect Crypto Services als Cloud-HSM verwenden

Sie können Hyper Protect Crypto Services als Cloud-HSM verwenden, indem Sie die PKCS #11 -API und die Enterprise PKCS #11 -API verwenden.

Hyper Protect Crypto Services als Cloud-HSM über die PKCS #11 -API verwenden

IBM Cloud Hyper Protect Crypto Services stellen die PKCS #11-API zur Verfügung. PKCS #11 ist al einer der Public-Key-Verschlüsselungsstandards definiert. Verschlüsselungsoperationen werden innerhalb der HSMs auf der Cloudseite ausgeführt. Dies ermöglicht Schemas, unter denen ein Verschlüsselungsschlüssel nie im Klartext außerhalb des HSM sichtbar wird, und auch alle entsprechenden sensiblen Verschlüsselungsoperationen werden ebenfalls innerhalb der HSM-Begrenzung durchgeführt.

Verschlüsselung auf Anwendungsebene mit der PKCS #11-API

Mit Hyper Protect Crypto Services können Anwendungsprogrammierer Anwendungen mit einer PKCS #11-Standard-API entwerfen und entwickeln, um eine Verschlüsselung oder Signierung der Anwendungsdaten anzufordern. Dies bedeutet, dass Sie Sicherheitsfunktionalität aufrufen können, ohne dass Programmierer Verschlüsselungsexperten sein müssen. Sie können die Datenintegrität jetzt durch digitales Signieren und die Vertraulichkeit durch Datenverschlüsselung aktivieren und verbessern. Anwendungen können die PKCS #11-Bibliothek von Hyper Protect Crypto Services verwenden, um Verschlüsselungsoperationen durchzuführen. Diese Möglichkeit hilft dabei, Geschäftsprozesse durch das Erstellen von Anwendungen zu modernisieren, die einen digitalen Workflow mit privaten Daten und digitalen Prüfungen, Genehmigungen und Signaturen haben, die sicher und vertrauenswürdig sind.

Sie können die PKCS #11-API zum Verschlüsseln von Anwendungen zwischen Clouds verwenden. Mit der Unterstützung von PKCS #11 haben Sie Zugriff auf eine vollständige Palette an erweiterten Verschlüsselungsoperationen, wie Signierung, Signaturvalidierung, Nachrichtenauthentifizierungscodes und weitere fortschrittlichere Verschlüsselungsschemas.

Anwendungsverschlüsselung mit PKCS #11
Abbildung 6. Anwendungsverschlüsselung mit PKCS #11

Datenbankverschlüsselung mithilfe der PKCS #11-API

Mit Hyper Protect Crypto Services können Sie Oracle® Database mithilfe von Transparent Data Encryption (TDE) verschlüsseln und Sie können IBM Db2® Database mithilfe der Db2-Standardverschlüsselung verschlüsseln.

  • Mit TDE können Sie sensible Daten auf Datenbankspeichermedien, wie z. B. Tabellenbereichen und Dateien, und auf Sicherungsdatenträgern verschlüsseln. Transparent Data Encryption stellt sicher, dass sensible Daten verschlüsselt werden, dass Konformitätsrichtlinien eingehalten werden und dass Funktionalität zur Optimierung von Verschlüsselungsoperationen bereitgestellt wird. Das Datenbanksystem ver- und entschlüsselt Daten automatisch und transparent, wenn sie von berechtigten Benutzern und Anwendungen verwendet werden. Datenbankbenutzer brauchen TDE nicht zu beachten und Datenbankanwendungen müssen nicht speziell für TDE angepasst werden.

    TDE arbeitet mit einer zweischichtigen Schlüsselhierarchie, die sich aus einem TDE-Masterschlüssel und einem TDE-Datenverschlüsselungsschlüssel zusammensetzt. Der TDE-Datenverschlüsselungsschlüssel dient zur Ver- und Entschlüsselung von Daten, während der TDE-Masterverschlüsselungsschlüssel zur Ver- und Entschlüsselung des TDE-Datenverschlüsselungsschlüssels dient.

    Transparente Datenbankverschlüsselung mithilfe der Standard-PKCS #11 -API
    Abbildung 7. Transparente Datenbankverschlüsselung mithilfe der Standard-PKCS #11-API

  • Die IBM Db2-Standardverschlüsselung schützt wichtige Datenbankdateien und Datenbank-Backup-Images gegen unzulässigen Zugriff, während sie auf externen Speichermedien gespeichert sind. Das Datenbanksystem ver- und entschlüsselt Daten automatisch, wenn sie von berechtigten Benutzern und Anwendungen verwendet werden. In der Regel brauchen Datenbankbenutzer die Standardverschlüsselung nicht zu beachten und Datenbankclientanwendungen müssen nicht speziell angepasst werden.

    Die Db2-Standardverschlüsselung verwendet eine zweischichtige Schlüsselhierarchie: Daten werden mit einem Datenverschlüsselungsschlüssel (DEK - Data Encryption Key) verschlüsselt. Der DEK wird mit einem Masterschlüssel verschlüsselt und in verschlüsselter Form zusammen mit der Datenbank oder dem Backup-Image gespeichert. Von Db2 wird ein eindeutiger DEK für jede verschlüsselte Datenbank und für jedes verschlüsselte Backup generiert. Ein Masterschlüssel wird zur Verschlüsselung eines DEK verwendet. Jede verschlüsselte Datenbank ist zu einem Zeitpunkt nur einem Masterschlüssel zugeordnet.

    IBM Db2 Standardverschlüsselung unter Verwendung der Standard-PKCS #11 -API
    Abbildung 8. IBM Db2-Standardverschlüsselung unter Verwendung der Standard-PKCS #11-API

  • Andere gängige Datenbanken wie PosgreSQL (Fujitsu Enterprise Postgres und Enterprise DB) und MongoDB können auf ähnliche Weise in Hyper Protect Crypto Services integriert werden.

Durch die Integration der PKCS #11-Bibliothek unterstützen Hyper Protect Crypto Services die standardisierte PKCS #11-API. Die PKCS #11-Bibliothek von Hyper Protect Crypto Services verbindet Ihre Datenbank mit Hyper Protect Crypto Services, um Verschlüsselungsoperationen durchzuführen. Das Datenbanksystem kann Operationen aufrufen, um die TDE-Masterverschlüsselungsschlüssel oder die Masterschlüssel in der Hyper Protect Crypto Services PKCS #11-Bibliothek zu verwalten. Die Hyper Protect Crypto Services-PKCS #11-Bibliothek interagiert dann mit Ihrer Hyper Protect Crypto Services-Instanz, um die höchste Sicherheitsniveau für die Speicherung und Verwaltung Ihrer TDE-Masterverschlüsselungsschlüssel oder Ihrer Masterschlüssel in der Cloud zur Verfügung zu stellen. Das wiederum bedeutet das höchste Niveau an Sicherheit für Ihre Datenverschlüsselungsschlüssel und Ihre Daten.

TLS/SSL-Datenverkehr auslagern

Transport Layer Security (TLS) und Secure Sockets Layer (SSL) sind Verschlüsselungsprotokolle, die für die Kommunikationssicherheit über ein Computernetz konzipiert wurden. Das TLS/SSL-Protokoll zielt in erster Linie darauf ab, den Datenschutz und die Datenintegrität zwischen zwei oder mehr kommunizierenden Computeranwendungen sicherzustellen.

Im Kontext von Web-Servern ermöglicht das TLS/SSL-Protokoll einer Website, die Identität so einzurichten, dass Benutzer der Website sicher sein können, dass sich keine andere Partei für diese Website ausgibt. Dies geschieht durch ein Schlüsselpaar aus einem öffentlichen und einem privaten Schlüssel.

Hyper Protect Crypto Services bietet eine Möglichkeit zum Auslagern der Verschlüsselungsoperationen, die während des TLS-Handshakes ausgeführt werden, um eine sichere Verbindung zum Web-Server herzustellen, während der private SSL-SSL-Schlüssel im dedizierten HSM sicher gespeichert bleibt. Auf diese Weise haben Sie Kontrolle über Ihre TLS/SSL-Schlüssel und die TLS/SSL-Verarbeitung. Im Ergebnis wird die Sicherheit verbessert und das Reputationsrisiko vermindert.

Die TLS/SSL-Auslagerung in das Hyper Protect Crypto Services-HSM ermöglicht den Schutz von Daten während der Übertragung für Web-, API- und Mobile-Transaktionen mithilfe der PKCS #11-Standard-API. Mit Hyper Protect Crypto Services können Sie die TLS/SSL-Auslagerung mit anderen Cloud-Proxys integrieren.

Ein Lernprogramm zur Auslagerung der SSL-Workload in eine Lastausgleichsfunktion wie NGINX während der Verwaltung von Schlüsseln mithilfe von Hyper Protect Crypto Servicesfinden Sie unter IBM Cloud verwenden Hyper Protect Crypto Services, um NGINX TLS auszulagern.

Daten bei der Übertragung mit TLS/SSL-Auslagerung schützen
Daten bei der Übertragung mit TLS/SSL-Auslagerung schützen

Schutz von Speichersystemen mit Management-Tools für Verschlüsselungsschlüssel anderer Anbieter

Sie können Speichersubsysteme schützen, indem Sie gängige Produkte wie IBM Guardium Key Lifecycle Manager (GKLM) und HashiCorp Vault mit Hyper Protect Crypto Services mithilfe der Envelope-Verschlüsselung mit PKCS#11integrieren, sodass der von den Schlüsselmanagementtools generierte Masterschlüssel sicher in IBM Cloud Hyper Protect Crypto Services unter Verwendung von PKCS#11. Sicherstellung des exklusiven Zugriffs auf den Masterschlüssel und des Zugriffs auf Daten in den Speichersystemen, die vom Masterschlüssel verwaltet werden

Die Envelope-Verschlüsselung ist die Praxis, Klartextdaten mit Datenverschlüsselungsschlüsseln (DEK) zu verschlüsseln und anschließend diese Schlüssel mit einem Schlüsselverschlüsselungsschlüssel (KEK) zu verschlüsseln. Dieser Prozess kann zum Verschlüsseln von BLOBs oder Buckets von Daten in Objektspeicher, Blockspeicher und gesamten Datenträgern verwendet werden. Für sensible Datenrepositorys in der Cloud und Workloads wie High-Performance Computing sollten KEKs von einem HSM abgeleitet werden. Für leistungsfähige Speichersubsysteme, die Leistungsgrenzen einhalten müssen, ist es äußerst wichtig, dass sich Schlüsselmanagementsysteme in der Nähe der Speichersubsysteme befinden. Die meisten Interaktionen zwischen Speichersubsystemen und Schlüsselmanagementsystemen erfolgen über das Key Management Interoperability Protocol (KMIP).

Speichersysteme mit Hyper Protect Crypto Services
Abbildung 10 Speichersysteme mit Hyper Protect Crypto Servicesschützen

Weitere Informationen finden Sie in den folgenden Lernprogrammen:

Thales-Umgebungen mit Cloud-HSM fortifizieren

Organisationen mit einer vorhandenen Thales CipherTrust Manager-Umgebung (CTM) können ihr Sicherheitsprofil erweitern, indem CTM ihren eigenen Masterschlüssel in einem FIPS 140-2 Level 4 HSM wie im Diagramm gezeigt schützt. Vorhandene CTM-Integrationen mit KMIP-Clients wie Speichereinheiten, TDE-Agenten wie Datenbanken und Linux-Server, die LUKS-Kennphrase für Datenträgerverschlüsselung verwenden, sind von dieser Integration nicht betroffen.

Andere Thales-Schlüsselmanagementprodukte wie Vormetric Data Security Manager (DSM), CipherTrust Cloud Key Manager (CCKM) und Enterprise Key Management können ebenfalls auf ähnliche Weise in Hyper Protect Crypto Services integriert werden.

Fortifying Thales environments with cloud HSM
Abbildung 11. Unterstützung von Thales-Umgebungen mit Cloud-HSM

Weitere Details finden Sie in der Thales-Dokumentation.

Hyper Protect Crypto Services als Cloud-HSM über die Enterprise PKCS #11 -API verwenden

Von Hyper Protect Crypto Services wird die Enterprise PKCS #11-API (EP11-API) bereitgestellt. Die Cloudanwendung kann diese Funktion über gRPCverwenden.

Enterprise PKCS #11 unterstützt Anwendungsfälle mit statusunabhängiger Verschlüsselung und ermöglicht Skalierungen und Redundanz in einer Unternehmensumgebung. Für einige Anwendungsfälle im Umfeld des Investitionsschutzes können die Schlüssel außerhalb des Verschlüsselungsservice verwaltet werden, während alle sensiblen Operationen innerhalb der HSM-Begrenzung ausgeführt werden. Sie können Enterprise PKCS #11 verwenden, wenn die Statusverarbeitung ein Problem ist, insbesondere für Unternehmensanwendungen, die von den statusunabhängigen Eigenschaften von Enterprise PKCS #11 profitieren.

Als Cloudentwickler können Sie Standardschnittstellen aus Ihren Anwendungen für Verschlüsselungsoperationen mit Datenintegrität und Vertraulichkeit verwenden. Hyper Protect Crypto Services unterstützt die sichere Konnektivität von Cloudanwendung zu Cloud-HSM und ermöglicht die Unternehmenssteuerung von Cloud-HSM für Anwendungsschlüssel.

Da IBM mit der Bereitstellung einer neuen Gruppe von Funktionen zur Unterstützung Ihrer Workloads beim Umzug in die Cloud beginnt, können Sie von den Verschlüsselungsfunktionen von Hyper Protect Crypto Services sowohl für Ihre neuen als auch für vorhandene Workloads profitieren. Mit der Einführung von Enterprise PKCS #11 über gRPC (GREP11) verfügen Sie über Zugriff auf die vollständige Palette von Verschlüsselungsoperationen wie beispielsweise das Signieren, die Signaturüberprüfung, die Verwendung von Nachrichtenauthentifizierungscodes sowie die Generierung von Zufallszahlen.

Einige Codebeispiele für mit GREP11 mit Golang und JavaScript stehen Ihnen zum Testen zur Verfügung.

EP11 HSM
Abbildung 12 Verschlüsselungsoperationen mit Enterprise PKCS #11

Nächste Schritte