Chiavi root

Le chiavi root, note anche come CRK (customer root key), sono risorse primarie in Hyper Protect Crypto Services. Sono chiavi di impacchettamento delle chiavi simmetriche che vengono utilizzate come root di trust per impacchettare (crittografare) e spacchettare (decrittografare) altre chiavi di crittografia dei dati (DEK) memorizzate in un servizio dati. Con Hyper Protect Crypto Services, puoi creare, memorizzare e gestire il ciclo di vita delle chiavi root. Le chiavi root create in Hyper Protect Crypto Services sono chiavi AES simmetriche a 256 bit. A differenza di una chiave standard, una chiave root non può mai lasciare i confini del servizio Hyper Protect Crypto Services. Per ulteriori informazioni, vedi Introduzione alla crittografia envelope e Gestisci le tue chiavi.

Chiavi standard

Le chiavi standard sono altre risorse in Hyper Protect Crypto Services per crittografare e decrittografare direttamente i dati. Puoi gestire le chiavi standard seguendo la procedura descritta in Gestisci le tue chiavi.

Chiavi di codifica dati

Le chiavi di codifica dei dati (DEK) sono chiavi crittografiche che si utilizzano per la codifica dei dati. Sono fornite da applicazioni di proprietà dell'utente e vengono utilizzate per codificare i dati memorizzati nelle applicazioni. Le chiavi root che gestisci in Hyper Protect Crypto Services servono come chiavi di impacchettamento per proteggere le DEK. Per ulteriori informazioni, vedi Introduzione alla crittografia envelope.

Crittografia envelope

La crittografia envelope è la pratica di crittografare i dati con una DEK e quindi crittografare la DEK con una chiave root che puoi gestire completamente. Per ulteriori informazioni, vedi Introduzione alla crittografia envelope.

HSM (Hardware Security Module)

Un HSM (Hardware Security Module) è un dispositivo fisico che protegge e gestisce le chiavi digitali per un'autenticazione forte e fornisce l'elaborazione crittografica. Gli HSM di IBM Cloud Hyper Protect Crypto Services sono certificati da FIPS 140-2 Livello 4, con il massimo livello di sicurezza per l'hardware di crittografia. A questo livello di sicurezza, i meccanismi di sicurezza fisica forniscono una protezione completa attorno al modulo di crittografia con l'intento di rilevare e rispondere a tutti i tentativi non autorizzati di accesso fisico.

Unità crittografiche

Un'unità di crittografia è una singola unità che rappresenta un HSM e lo stack di software corrispondente che è dedicato all'HSM per la crittografia. In Hyper Protect Crypto Services, sono disponibili i seguenti tipi di unità di crittografia:

• Unità di crittografia operativa

  Quando crei un'istanza Hyper Protect Crypto Services, il numero di unità di crittografia che specifichi è il numero di unità di crittografia operative. Per l'alta disponibilità e il ripristino di emergenza, devi impostare almeno due unità di crittografia operative. Queste unità di crittografia operative si trovano in zone di disponibilità differenti della stessa regione in cui si trova la tua istanza del servizio. Le unità di crittografia operative vengono utilizzate per gestire le chiavi di crittografia ed eseguire operazioni di crittografia.

• Unità di crittografia di recupero

  Se crei la tua istanza del servizio in regioni diverse da Madrid (eu-es), due unità di crittografia di ripristino vengono assegnate automaticamente alla tua istanza del servizio senza costi aggiuntivi; una nella stessa regione e una nella regione di ripristino di emergenza per tale regione. Un'unità di crittografia di ripristino viene utilizzata per generare la chiave master casuale, che viene quindi esportata in modo sicuro in unità di crittografia operative e l'altra unità di crittografia di ripristino per inizializzare l'istanza del servizio.

  Le unità di crittografia di recupero possono essere utilizzate anche come unità di crittografia di backup che salvano una copia del valore della chiave master utilizzato dalle unità di crittografia operative. Se la chiave master viene persa o distrutta, è possibile recuperare la chiave master da un'unità di crittografia di ripristino utilizzando i comandi di gestione TKE firmati.

  Se le smart card vengono utilizzate per caricare la chiave master, le unità di crittografia di ripristino non sono applicabili e possono essere ignorate. Il backup della chiave principale si basa sul backup delle smart card in quel caso.

• Unità di crittografia failover

  Le unità di crittografia di failover eseguono il backup delle unità di crittografia operative e dei keystore in un'altra regione e vengono inizializzati per fornire un failover rapido in caso di emergenza. Le unità di crittografia di failover addebitano costi aggiuntivi e questa opzione è ora disponibile solo nelle regioni di us-south e us-east, il che significa che se crei la tua istanza in una delle due regioni, le unità di crittografia di failover si trovano nell'altra regione. Per ulteriori informazioni sull'utilizzo delle unità di crittografia di failover in un disastro regionale, vedi Ripristino dei tuoi dati utilizzando le unità di crittografia di failover.

Amministratori

Possono essere aggiunti degli amministratori alle unità di crittografia di destinazione per l'emissione di comandi alle unità di crittografia. È possibile aggiungere fino a otto amministratori a un'unità di crittografia per aumentare la sicurezza. Ogni amministratore possiede una singola chiave di firma privata per identificare l'autenticazione.

Chiavi di firma

Un amministratore deve firmare tutti i comandi emessi per l'unità di crittografia con una chiave di firma. Le chiavi di firma create in Hyper Protect Crypto Services sono chiavi EC (Elliptic Curve) P521. La parte privata della chiave di firma viene utilizzata per creare le firme. La parte pubblica viene inserita in un certificato installato in un'unità di crittografia di destinazione per definire un amministratore dell'unità di crittografia. I comandi emessi in modalità di stampa non devono essere firmati con alcuna chiave di firma.

Modalità impronta

Le unità di crittografia assegnate a un utente IBM Cloud vengono avviate in uno stato cancellato noto come modalità di impronta. La maggior parte delle operazioni dell'unità di crittografia sono disabilitate in modalità imprint e un'unità di crittografia in modalità imprint non è sicura. È possibile aggiungere amministratori in modalità di impronta ed uscire dalla modalità di impronta utilizzando un comando firmato. Dopo che l'unità di crittografia esce dalla modalità di stampa, tutti i comandi per configurare un'unità di crittografia devono essere firmati. È necessario uscire dalla modalità di stampa prima di poter caricare le chiavi principali.

Autenticazione quorum

L'autenticazione quorum è il modo per approvare un'operazione da parte di un numero impostato di amministratori dell'unità di crittografia. Alcune operazioni sensibili, come il commit di un registro chiave principale, la modifica delle soglie di firma e l'aggiunta o la rimozione di amministratori dopo che l'unità di crittografia è uscita dalla modalità di stampa, richiedono un numero sufficiente di amministratori dell'unità di crittografia per immettere le proprie credenziali. L'autenticazione del quorum assicura che nessuna singola persona può apportare una modifica critica all'unità di crittografia. Invece, un numero minimo di amministratori dell'unità di crittografia (almeno due) deve collaborare per effettuare tali operazioni. L'autenticazione quorum richiede più di un amministratore dell'unità di crittografia per approvare un'operazione, che abilita un ulteriore livello di protezione sull'unità di crittografia.

Soglie di firma

Le soglie di firma di un'unità di crittografia controllano quante firme di gestione sono necessarie per eseguire un comando. In modalità di stampa, le soglie di firma sono impostate a zero. Per uscire dalla modalità di stampa, impostare le soglie di firma su un valore maggiore di zero. Quando un'unità di crittografia viene azzerata, le soglie di firma vengono reimpostate su zero.

Ci sono due tipi di soglie di firma su un'unità di crittografia. La soglia di firma principale controlla quante firme sono necessarie per eseguire la maggior parte dei comandi di gestione. La soglia della firma di revoca controlla quante firme sono necessarie per rimuovere un responsabile. Alcuni comandi richiedono solo una firma, indipendentemente da come è impostata la soglia di firma.

L'impostazione delle soglie di firma su un valore maggiore di uno abilita l'autenticazione del quorum da parte di più amministratori per le operazioni sensibili. Il valore massimo che è possibile impostare per la soglia di firma e la soglia di firma di revoca è otto, che è anche il numero massimo di amministratori che è possibile aggiungere a un'unità di crittografia.

Chiave master

La chiave master, nota anche come chiave master HSM, è utilizzata per codificare l'istanza del servizio per l'archiviazione delle chiavi. È una chiave AES simmetrica a 256 bit. Con la chiave principale, si assume la proprietà dell'HSM cloud e si possiede la root di trust che codifica l'intera gerarchia di chiavi di codifica, incluse le chiavi root e le chiavi standard nel keystore di gestione chiavi e le chiavi Enterprise PKCS #11 (EP11) nel keystore EP11. È necessario configurare la chiave principale prima di poter gestire le chiavi di codifica. Un'istanza del servizio può avere una sola chiave master. Se elimini la chiave master dell'istanza del servizio, puoi effettivamente crittografare tutti i dati crittografati con le chiavi gestite nel servizio.

Parte chiave principale

Se si inizializza l'istanza del servizio utilizzando i file parte chiave o utilizzando le smart card insieme ai programmi di utilità di gestione, una chiave principale è composta da due o tre parti chiave principale. Le parti della chiave master create in Hyper Protect Crypto Services sono chiavi AES simmetriche a 256 bit. Per motivi di sicurezza, ogni parte della chiave può essere posseduta da una persona diversa. Le parti della chiave vengono memorizzate nei file parte della chiave della workstation quando il IBM Cloud plug-in TKE CLI viene utilizzato per caricare la chiave master. Le parti della chiave vengono memorizzate su smart card quando Programmi di utilità di gestione Hyper Protect Crypto Services vengono utilizzate per caricare la chiave principale. Il proprietario della parte della chiave deve essere l'unica persona che conosce la password del file o il PIN (personal identification number) della parte della chiave.

Plug-in IBM Cloud Trusted Key Entry CLI

Il plug-in della CLI (command - line interface) TKE (Trusted Key Entry) è un plugin CLI che utilizza la CLI IBM Cloud. Il plug-in TKE fornisce una serie di funzioni per la gestione delle unità di crittografia assegnate a un account utente IBM Cloud. È possibile utilizzare il plug-in TKE per configurare gli amministratori e caricare la chiave principale con i requisiti di un livello medio di sicurezza. Il plug-in della CLI TKE fornisce due approcci per l'inizializzazione delle istanze del servizio: Inizializzazione delle istanze del servizio utilizzando i file parte chiave e Inizializzazione delle istanze del servizio utilizzando le unità di crittografia di ripristino. Per il riferimento completo al comando, vedi Trusted Key Entry CLI plug-in reference.

Programmi di utilità di gestione

I programmi di utilità di gestione forniscono un modo alternativo di configurare le istanze del servizio con le chiavi di firma e le parti della chiave principale memorizzate sulle smart card con il livello di sicurezza più elevato. Per utilizzare i programmi di utilità di gestione, è necessario ordinare i lettori e le smart card supportati da IBM. Per istruzioni dettagliate sull'installazione e la configurazione dei programmi di utilità di gestione, consultare Impostazione delle smart card e dei programmi di utilità di gestione e Inizializzazione delle istanze di servizio mediante le smart card e i programmi di utilità di gestione.

Smart card

Una smart card sembra una carta di credito con un chip incorporato. Il chip può eseguire una serie limitata di operazioni crittografiche ed è caricato con software personalizzato. In Management Utilities, il programma Smart Card Utility carica software personalizzato sulla smart card per creare due tipi di smart card:

• Smart card dell'autorità di certificazione - Stabilisci una serie di smart card che possono lavorare insieme, denominate zone smart card.
• Smart card Enterprise PKCS #11 (EP11)- Tenere una chiave di firma dell'amministratore e fino a 85 parti della chiave principale. Con le smart card EP11, è possibile firmare un comando utilizzando una chiave di firma privata memorizzata sulla smart card e codificare una parte della chiave principale per la consegna a un'unità di crittografia.

Le smart card sono protette da un PIN (Personal Identification Number) che deve essere immesso su un PIN del lettore di smart card prima che la smart card esegua le operazioni. La smart card EP11 ha un singolo PIN. La smart card dell'autorità di certificazione ha due PIN ed entrambi devono essere immessi per abilitare le operazioni.

Su una smart card EP11, se viene immesso un PIN non corretto per tre volte, la smart card viene bloccata e non può essere utilizzata per le operazioni che richiedono l'immissione del PIN. Una smart card EP11 può essere sbloccata utilizzando il Programma di utilità Smart Card. È necessaria la smart card dell'autorità di certificazione utilizzata per inizializzare la smart card EP11 per sbloccare una smart card EP11. Per sbloccare una smart card EP11, selezionare EP11 Smart Card > Sbloccare EP11 smart card dal menu e seguire le richieste.

Una smart card dell'autorità di certificazione viene bloccata se viene immesso cinque volte un PIN non corretto. Se una smart card dell'autorità di certificazione viene bloccata, non può essere sbloccata.

Lettori smart card

Un lettore di smart card è una periferica che si collega a una workstation e consente alla workstation di comunicare con una smart card. Per accedere a una smart card, è necessario inserire la smart card nel relativo lettore. La maggior parte delle operazioni di smart card richiedono che il PIN della smart card venga immesso sul PIN pad del lettore di smart card.

Un driver per il lettore smart card deve essere installato sulla workstation prima di poter utilizzare il lettore smart card. Per ulteriori informazioni, consultare Installazione del driver del lettore di smart card.

Programma di utilità Smart Card

Il programma di utilità Smart Card è una delle due applicazioni installate come parte dei programmi di utilità di gestione. Imposta e gestisce le smart card utilizzate dall'applicazione TKE (Trusted Key Entry).

Applicazione Trusted Key Entry

L'applicazione TKE (Trusted Key Entry) è una delle applicazioni installate come parte dei programmi di utilità di gestione. Utilizza le smart card per caricare le chiavi principali nelle istanze del servizio e per eseguire altre attività di configurazione per le istanze del servizio.

Mantieni la tua chiave

Hyper Protect Crypto Services supporta la funzione KYOK (Keep Your Own Key). È possibile configurare la chiave master per assumere il controllo completo dell'HSM cloud, in modo da avere il pieno controllo e l'autorità sulle chiavi di cifratura che è possibile portare, controllare e gestire. Nessuno, tranne te, ha accesso alle tue chiavi di crittografia.

PKCS #11

L'API PKCS (Public - Key Cryptography Standards) #11 definisce un'API indipendente dalla piattaforma per i token crittografici, come HSM e smart card. Le applicazioni esistenti che utilizzano PKCS #11 possono beneficiare di una maggiore sicurezza utilizzando la crittografia a chiave sicura e l'interfaccia stateless, che rende le operazioni di crittografia molto più efficienti. Per ulteriori informazioni, vedi PKCS #11 API.

Cryptoki

La Cryptographic Token Interface definita nello standard PKCS #11 . Cryptoki segue un semplice approccio basato sugli oggetti, affrontando gli obiettivi di indipendenza tecnologica e condivisione delle risorse.

Libreria PKCS #11

Una libreria PKCS #11 che implementa le funzioni API Cryptoki specificate nello standard PKCS #11 . Con la libreria PKCS #11 , le tue applicazioni possono utilizzare l'API PKCS #11 per accedere all'HSM cloud Hyper Protect Crypto Services per eseguire operazioni crittografiche. Per ulteriori informazioni su come impostare la libreria, consultare Esecuzione di operazioni crittografiche con l'API PKCS #11.

Token Cryptoki

La vista logica di un'unità crittografica definita da Cryptoki. Per ulteriori informazioni, consultare PKCS #11 Cryptographic Token Interface Usage Guide Version 2.40- Vista logica di un token.

Sessione Cryptoki

Una connessione logica tra un'applicazione e un token. Cryptoki richiede che un'applicazione apra una o più sessioni con un token per accedere agli oggetti e alle funzioni del token. Una sessione può essere una sessione di lettura/scrittura (R/W) o una sessione di sola lettura (R/O). Per ulteriori informazioni, vedi Introduzione a PKCS #11 - Session.

Oggetto Cryptoki

Un elemento memorizzato su un token. Un oggetto può essere un dato, un certificato o una chiave. Un oggetto dati è definito da un'applicazione. Un oggetto certificato memorizza un certificato. Un oggetto chiave memorizza una chiave crittografica. Ogni caratteristica dell'oggetto è definita in un attributo. Per ulteriori informazioni, vedi Introduzione a PKCS #11 - Oggetto chiave.

Meccanismo

Un processo per implementare un'operazione crittografica.

Enterprise PKCS #11

Enterprise PKCS #11 (EP11) è progettato per i clienti che cercano supporto per standard aperti e sicurezza avanzata. La libreria EP11 fornisce un'interfaccia senza stato, simile all'API PKCS #11 standard del settore. L'HSM su cui vengono eseguite le unità di crittografia supporta la libreria EP11, in modo che gli utenti possano richiamare l'API EP11 tramite gRPC per la propria gestione delle chiavi e la codifica dei dati. Per ulteriori informazioni, consultare Enterprise PKCS #11(EP11)Library structure document.

gRPC

gRPC è un framework di RPC (remote procedure call) open source e ad elevate prestazioni che può connettere i servizi tra i data center e al loro interno per il bilanciamento del carico, la traccia, il controllo dell'integrità e l'autenticazione. Le applicazioni accedono alla libreria Hyper Protect Crypto Services EP11 richiamando l'API EP11 in remoto tramite gRPC. Per maggiori informazioni su gRPC, consultare la documentazione gRPC.

Enterprise PKCS #11 su gRPC

IBM Cloud® Hyper Protect Crypto Services fornisce una serie di Enterprise PKCS #11 (EP11) su chiamate API gRPC (a cui si fa riferimento anche come GREP11), con cui tutte le funzioni crittografiche vengono eseguite in un HSM cloud. EP11 su gRPC è un'interfaccia senza stato per operazioni crittografiche sul cloud. Per ulteriori informazioni sull'API GREP11, vedi Introduzione a EP11 su gRPC e Riferimento APIGREP11.