Considerações para armazenar chaves de assinatura e partes de chave mestra

Você precisa decidir os seguintes aspectos:

• Você vai usar cartões inteligentes para armazenar chaves de assinatura e partes da chave mestra ou usar arquivos?
• Se você usar arquivos de parte de chave e arquivos de chave de assinatura, você usará unidades de criptografia de recuperação para gerar um valor de chave mestra aleatória e manter a cópia de backup da chave mestra?
• Quantas assinaturas são necessárias para comandos sensíveis?..
• Quantas partes da chave serão usadas para carregar os registros da chave mestra?
• Com que frequência você vai alterar o valor da chave mestra?.

Usar smart cards para armazenar chaves de assinatura e partes de chave mestra é mais seguro do que usar arquivos. Quando uma chave de assinatura é armazenada em um cartão inteligente, ela nunca aparece na limpeza fora do cartão inteligente. Quando uma parte da chave mestra é armazenada em um cartão inteligente, ela nunca aparece na limpeza fora do cartão inteligente ou de uma unidade de criptografia.

Quando uma chave de assinatura ou uma parte da chave mestra é armazenada em um arquivo, a chave ou parte da chave é decriptografada e aparece temporariamente na limpeza na memória da estação de trabalho quando ela é usada

Quando as unidades de criptografia de recuperação são usadas para gerar um valor de chave mestra aleatória e reter a cópia de backup da chave mestra, o valor da chave mestra nunca aparece na limpeza fora de uma unidade de criptografia IBM

Considerações para definir a política de segurança de Utilitários de gerenciamento

Se você decidir usar cartões inteligentes, será necessário considerar os seguintes aspectos:

• Quantas cópias de backup de seus cartões inteligentes você vai fazer? Você deve fazer pelo menos uma cópia de backup de todos os cartões inteligentes e armazená-los em um local seguro.
• Onde você vai armazenar cartões inteligentes quando eles não estão em uso?
• Quem precisa conhecer os PINs do smart card?

Algumas organizações armazenam seus cartões inteligentes em um cofre e mantêm um log de quando os cartões inteligentes são usados para ações administrativas e quem os usou.

Considerações para definir a política de segurança do arquivo

Se você decidir usar arquivos de parte de chave e arquivos de chave de assinatura, também será necessário considerar os aspectos a seguir:

• Onde você vai salvar cópias de backup dos arquivos?
• Quem precisa saber as senhas de arquivo?

Muitos padrões de segurança requerem controle duplo para ações administrativas.. O duplo controle significa que mais de uma pessoa deve cooperar para realizar a ação. O controle dual pode ser realizado configurando o limite de assinatura para 2 ou mais e ter pessoas diferentes possuindo cada smart card e PIN ou ter pessoas diferentes sabendo as senhas do arquivo. O controle dual ao carregar o registro de chave mestra de cartões inteligentes pode ser realizado colocando as partes de chave mestra em diferentes cartões inteligentes e tendo diferentes pessoas próprias de cada cartão inteligente e PIN.