Inicializando sua instância de serviço-Plano Padrão
Antes de ser possível usar o IBM Cloud® Hyper Protect Crypto Services para gerenciar chaves de criptografia e executar operações criptográficas, é necessário inicializar primeiro sua instância de serviço.
A inicialização da instância de serviço é o processo de carregamento da chave mestra, para que seja possível assumir a propriedade do módulo de segurança de hardware(HSM)A physical appliance that provides on-demand encryption, key management, and key storage as a managed service. de Hyper Protect Crypto Services e possuir a raiz de confiança que criptografa toda a hierarquia de chaves de criptografia.
Para inicializar sua instância de serviço, é necessário criar chaves de assinaturaAn encryption key that is used by the crypto unit administrator to sign commands that are issued to the crypto unit. para administradores de unidade de criptografiaA single unit that represents a hardware security module and the corresponding software stack that is dedicated to the hardware security module for cryptography., configurar limites de autenticação de quorum para sair do modo de impressãoAn operational mode in which crypto units are assigned to a user.e carregar a chave mestraAn encryption key that is used to protect a crypto unit. The master key provides full control of the hardware security module and ownership of the root of trust that encrypts the chain keys, including the root key and standard key. para as unidades de criptografia.
Entendendo administradores e chaves de assinatura
Uma unidade de criptografia é composta por um HSM e a pilha de software correspondente dedicada ao HSM. Se você estiver configurando um ambiente de produção, sugere-se designar pelo menos duas unidades de criptografia para alta disponibilidade ao criar uma instância de Hyper Protect Crypto Services. As unidades criptográficas estão localizadas em zonas de disponibilidade diferentes dentro da região selecionada ao criar a instância de serviço. Todas as unidades criptográficas em uma instância de serviço precisam ser configuradas da mesma forma. Se uma zona de disponibilidade não puder ser acessada, as unidades criptográficas em uma instância de serviço poderão ser usadas de forma intercambiável. As unidades de criptografia contêm a chave mestra que criptografa o conteúdo do armazenamento de chave, incluindo chaves raiz e chaves padrão no keystore de gerenciamento de chaves e chaves do Enterprise PKCS n° 11 (EP11) no keystore do EP11.
Para emitir comandos para unidades de criptografia para executar ações, é necessário designar administradores às unidades de criptografia. Cada administrador tem uma chave de assinatura associada para autenticação de identidade. O fluxograma a seguir mostra como as chaves de assinatura são criadas e designadas a uma instância de serviço com duas unidades de criptografia.
As chaves de assinatura são criadas e designadas seguindo este procedimento:
- O administrador cria os pares de chaves de assinatura. As partes de chave privada e pública são armazenadas em sua estação de trabalho local ou cartão inteligente, dependendo de como você inicializa sua instância de serviço.
- O administrador é incluído ao designar a parte de chave de assinatura pública para a unidade criptográfica. A parte de chave pública é colocada em um certificado que é instalado em uma unidade criptográfica de destino para definir um administrador da unidade criptográfica.
Entendendo os limites do modo imprimir e de assinatura
As unidades de criptografia começam em um estado limpo, que é conhecido como Modo imprimir. Uma unidade de criptografia no modo imprimir é menos segura porque ações em direção a uma unidade de criptografia no modo imprimir não precisam ser assinadas com nenhuma chave de assinatura de administrador. Após designar administradores de unidades de criptografia, é possível configurar limites de assinatura para controlar quantas assinaturas de administrador são necessárias para executar um comando. No modo de impressão, os limites de assinatura são configurados como zero. Para sair do modo imprimir e proteger a unidade de criptografia, configure os limites de assinatura para um valor maior que zero.
Existem dois tipos de limites de assinatura em uma unidade de criptografia. O limite de assinatura principal controla quantas assinaturas são necessárias para executar a maioria dos comandos administrativos. O limite de assinatura da assinatura de revogação controla quantas assinaturas são necessárias para remover um administrador. Alguns comandos precisam apenas de uma assinatura, independentemente de como o limite de assinatura está configurado.
A configuração dos limites de assinatura para um valor maior que um permite a autenticação de quorum de diversos administradores para operações sensíveis. O valor máximo no qual é possível configurar o limite de assinatura e o limite de assinatura de revogação é de oito, que também é o número máximo de administradores que podem ser incluídos em uma unidade de criptografia.
Ao configurar unidades criptográas, você é automaticamente solicitado para o número necessário de assinaturas com base no tipo de operação e se as unidades criptográas estão em modo imprint. Para referência, a tabela a seguir inclui o número necessário de assinaturas de cada operação.
| Operação | Comandos | Assinaturas necessárias no modo imprint | Assinaturas necessárias após deixar o modo imprint |
|---|---|---|---|
| Incluir | |||
| administrador | tke cryptounit-admin-add |
Nenhuma assinatura necessária. | O valor do limite de assinatura atual. |
| Remover administrador | tke cryptounit-admin-rm |
Nenhuma assinatura necessária. | O valor do limite de revogação atual. |
| Limite de assinatura do conjunto | tke cryptounit-thrhld-set |
Ao deixar o modo imprint, o novo valor limite de assinatura. | O valor do limite de assinatura atual. |
| Limpar novo registro de chave mestra | tke cryptounit-mk-clrnew |
não permitidos. | Uma assinatura. |
| Limpar registro de chave mestra atual | tke cryptounit-mk-clrcur |
não permitidos. | Uma assinatura. |
| Carregar novo registro de chave mestra | tke cryptounit-mk-load |
não permitidos. | Uma assinatura por peça chave. Este comando gera uma chave importadora, que também requer uma assinatura. O mesmo administrador pode ser usado para todas as assinaturas. |
| Confirmar novo registro de chave mestra | tke cryptounit-mk-commit |
não permitidos. | O valor do limite de assinatura atual. |
| Configurar imediato (finalize o registro da chave mestra) | tke cryptounit-mk-setimm |
não permitidos. | Uma assinatura. |
| Ponto de controle do conjunto | tke cryptounit-cp-btc tke cryptounit-cp-eddsa tke cryptounit-cp-sig-other |
não permitidos. | O valor do limite de assinatura atual. |
| Zeroizar unidade de criptomoedas | tke cryptounit-zeroize | Nenhuma assinatura necessária. | Uma assinatura. |
Entendendo a chave mestra
Após as unidades de criptografia saírem do modo imprimir, é possível carregar a chave mestra nas unidades de criptografia. Uma chave mestra é usada para criptografar dados em armazenamento de chave. Com a chave mestra, você possui a raiz de confiança que criptografa toda a hierarquia de chaves, incluindo chaves raiz e chaves padrão no keystore de gerenciamento de chaves e chaves do Enterprise PKCS n° 11 (EP11) no keystore do EP11. Cada instância de serviço tem apenas uma chave mestra.
Para carregar a chave mestra, cada unidade de criptografia possui dois registros de chave mestra: um novo registro de chave mestra e um registro de chave mestra atual. O valor no registro de chave mestra atual criptografa os conteúdos do armazenamento de chave do usuário. O novo registro de chave mestra é usado para alterar o valor no registro de chave mestra atual para rotação de chave mestra.
O gráfico de fluxo a seguir ilustra como a chave mestra registra mudanças de estado e como a chave mestra é carregada.
No gráfico, cada unidade de criptografia carrega a chave mestra com as etapas a seguir:
- Carregue o novo registro de chave mestra com a chave mestra. Depois que a chave mestra é carregada, o novo registro de chave mestra está no estado
Full uncommitted - Confirmar o novo registro de chave mestra. Após ser confirmado, o novo registro de chave mestra está no estado
Full committed. - Ativar o registro de chave mestra atual. Ao fazer isso, o novo valor de registro de chave mestra é copiado para o registro de chave mestra atual e o novo registro de chave mestra é limpo.
O que vem a seguir
Dependendo de suas necessidades de negócios e requisitos de segurança, o Hyper Protect Crypto Services fornece duas ferramentas e três opções para inicializar sua instância de serviço. Para obter mais informações, consulte Introdução às abordagens de inicialização da instância de serviço.