Casos de Uso-Plano Padrão
IBM Cloud® Hyper Protect Crypto Services pode ser usado como um serviço de gerenciamento de chaves para proteger penetrantemente os dados em repouso no IBM Cloud, assim como um HSM em nuvem para operações criptográficas de uso geral.
Proteger pervasamente dados em repouso na nuvem
Com a integração no IBM Cloud Security Architecture, é possível usar o Hyper Protect Crypto Services para criptografar seus dados em repouso para dados em nuvem e serviços de armazenamento no nível de segurança mais alto com suas próprias chaves. O serviço usa a mesma API do provedor de chave como Key Protect para fornecer uma abordagem consistente de criptografia de envelope e criptografia de sistema de arquivos para adoção de serviços IBM Cloud.
Os IBM Cloud Hyper Protect Crypto Services suportam Keep Your Own Key (KYOK) para que haja mais controle e autoridade sobre os seus dados com as chaves de criptografia que podem ser trazidas, controladas e gerenciadas. Ao mesmo tempo, você ainda mantém o controle sobre o HSM no qual a chave de criptografia está localizada. Com o Hyper Protect Crypto Services, você alavanca totalmente a tecnologia comprovada que é co-desenvolvida e operada por grandes empresas para o gerenciamento de seus dados mais sensíveis.
As chaves de criptografia geradas e protegidas pelos Hyper Protect Crypto Services podem ser usadas para fornecer criptografia no nível de registro de aplicativo ou no nível de campo a fim de proteger os dados de outras ameaças internas, como administradores de banco de dados.
Dados em criptografia de repouso com KYOK
As chaves são protegidas por HSMs dedicados gerenciados pelo cliente, o que significa que somente você tem acesso a seus dados. Os recursos criptográficas dos Hyper Protect Crypto Services são construídas com base em um Módulo de Segurança de Hardware certificado pelo FIPS 140-2 de Nível 4. É possível se beneficiar das capacidades criptográficas do Hyper Protect Crypto Services para as suas cargas de trabalho novas e existentes. A API do IBM Key Protect for IBM Cloud é integrada para gerar e proteger chaves de criptografia.
Consulte Aplicar segurança de ponta a ponta a um aplicativo em nuvem para obter um tutorial sobre como criptografar aplicativos em nuvem usando a API do serviço de gerenciamento de chaves do Hyper Protect Crypto Services.
Proteção de imagem VMware com KYOK
As organizações que utilizam o ambiente VMware® na IBM Cloud para processar e armazenar informações pessoais demandam o mais alto nível de segurança. Como um usuário do Hyper Protect Crypto Services, você recebe seu próprio slot dedicado que é configurado por conta própria para assegurar-se de que mais ninguém possa acessar. Como o Hyper Protect Crypto Services e VMware não entrem em contato com as mesmas interfaces, o componente Key Management Interoperability Protocol for VMware atua como um intermediário para permitir que o ambiente VMware armazene e use chaves de Hyper Protect Crypto Services.
Como um serviço de locatário único, o Hyper Protect Crypto Services oferece controle dedicado do Hardware Security Module para imagens VMware para cada cliente. O Hyper Protect Crypto Services amplia a família de serviços de gerenciamento de chaves no IBM Cloudpara instâncias de locatário único com controle de segredo de hardware dedicado.
Consulte o vídeo de visão geral do em IBM Cloud Hyper Protect Crypto Services e VMware em IBM Cloud para obter mais informações. Para um tutorial de etapa a etapa, consulte Configurando o KMIP no Hyper Protect Crypto Services para gerenciamento e distribuição de chave e o vídeo demo.
Usando Hyper Protect Crypto Services como um HSM em nuvem
É possível usar Hyper Protect Crypto Services como um HSM em nuvem usando a API PKCS #11 e a API Enterprise PKCS #11 .
Usando Hyper Protect Crypto Services como um HSM em nuvem por meio da API PKCS #11
Os IBM Cloud Hyper Protect Crypto Services fornecem a API PKCS n.º 11. O PKCS n.º 11 é definido como um dos Padrões de Criptografia de Chave Pública. As operações criptográficas são executadas dentro dos HSMs ao lado da nuvem. Isso permite esquemas em que uma chave criptográfica nunca apareça sem criptografia fora do HSM e todas as operações criptográficas sensíveis correspondentes também são tratadas dentro do limite do HSM.
Criptografia de nível do aplicativo usando a API PKCS n.º 11
Os Hyper Protect Crypto Services permitem que os programadores de aplicativos projetem e desenvolvam aplicativos com uma API PKCS n.º 11 padrão para solicitar criptografia ou para assinar os dados do aplicativo. Significa que é possível chamar a segurança sem que os programadores se tornem especialistas em criptografia. Agora é possível ativar e melhorar a integridade de dados por meio de assinatura digital e confidencialidade usando criptografia de dados. Os aplicativos podem usar a biblioteca PKCS n.º 11 dos Hyper Protect Crypto Services para executar operações criptográficas. Esse recurso ajuda você a modernizar os processos de negócios por meio da construção de aplicativos que têm um fluxo de trabalho digital com dados privados e revisões digitais, aprovações e assinaturas que são seguras e confiáveis.
Com o suporte do PKCS n.º 11, você tem acesso a uma gama completa de operações criptográficas avançadas, como assinatura de assinatura, validação de assinatura, códigos de autenticação de mensagem e esquemas de criptografia mais avançados. Para obter mais informações, consulte Hyper Protect Crypto Services Biblioteca PKCS #11.
Criptografia de bancos de dados usando a API do PKCS n° 11
Com o Hyper Protect Crypto Services, é possível criptografar o Oracle ® Database usando o Transparent Data Encryption (TDE) e criptografar o IBM Db2 ® Database usando a criptografia padrão do Db2.
-
Com o TDE, é possível criptografar dados sensíveis em mídias de armazenamento de banco de dados, como espaços e arquivos de tabela e em mídia de backup. O Transparent Data Encryption assegura que os dados sensíveis sejam criptografados, atendam à conformidade e forneçam uma funcionalidade que aperfeiçoe as operações de criptografia. O sistema de banco de dados criptografa e decriptografa dados automaticamente e transparentemente quando ele é usado por usuários e aplicativos autorizados. Os usuários do banco de dados não precisam estar cientes do TDE e os aplicativos de banco de dados não precisam ser adaptados especificamente para o TDE.
O TDE usa uma hierarquia de chaves de duas camadas que é composta de uma chave mestra de criptografia do TDE e uma chave de criptografia de dados do TDE. A chave de criptografia de dados do TDE é usada para criptografar e decriptografar dados, enquanto a chave mestra de criptografia do TDE é usada para criptografar e decriptografar a chave de criptografia de dados do TDE.
Figura 4. Transparent Database Encryption usando a API PKCS #11 padrão -
A criptografia nativa do IBM Db2 protege os arquivos do banco de dados de chave e as imagens backup do banco de dados contra o acesso inapropriado enquanto eles são armazenados na mídia de armazenamento externo. O sistema de banco de dados criptografa e decriptografa dados automaticamente quando ele é usado por usuários e aplicativos autorizados. Geralmente, os usuários do banco de dados não precisam estar cientes da criptografia padrão e os aplicativos clientes de banco de dados não precisam ser adaptados especificamente.
A criptografia padrão do Db2 usa uma hierarquia de chaves de duas camadas: os dados são criptografados com uma chave de criptografia de dados (DEK). O DEK é criptografado com uma chave mestra e é armazenado em forma criptografada com o banco de dados ou a imagem de backup. Um DEK exclusivo é gerado por DB2 para cada banco de dados criptografado e para cada backup criptografado. Uma chave mestra é usada para criptografar um DEK. Cada banco de dados criptografado é associado a uma chave mestra por vez.
Figura 5. Criptografia padrão do IBM Db2 usando a API PKCS #11 padrão -
Outros bancos de dados populares como PosgreSQL (Fujitsu Enterprise Postgres e Enterprise DB) e MongoDB também podem ser integrados com Hyper Protect Crypto Services de maneira semelhante.
Com a integração da biblioteca PKCS n.º 11, os Hyper Protect Crypto Services suportam a API PKCS n.º 11 de padrão de mercado. A biblioteca PKCS n.º 11 dos Hyper Protect Crypto Services conecta seu banco de dados aos Hyper Protect Crypto Services para executar operações criptográficas. O sistema de banco de dados pode chamar operações para gerenciar as chaves mestras de criptografia do TDE ou as chaves mestras na biblioteca PKCS n.º 11 dos Hyper Protect Crypto Services. A biblioteca PKCS n° 11 Hyper Protect Crypto Services então interage com sua instância Hyper Protect Crypto Services para fornecer o mais alto nível de segurança para armazenamento e gerenciamento de suas chaves mestras de criptografia do TDE ou de suas chaves mestras na nuvem. Ela, por sua vez, fornece o mais alto nível de segurança para suas chaves de criptografia de dados e seus dados.
- Para um tutorial sobre como usar o TDE com os Hyper Protect Crypto Services, consulte Tutorial: usando o Oracle Transparent Database Encryption com o PKCS n.º 11 do Hyper Protect Crypto Services.
- Para um tutorial sobre como usar a criptografia padrão do Db2 com os Hyper Protect Crypto Services, consulte Usando a criptografia padrão do IBM Db2 com o PKCS n.º 11 dos Hyper Protect Crypto Services.
Transferindo o tráfego TLS/SSL
O Transport Layer Security (TLS) e o Secure Sockets Layer (SSL) são protocolos criptográficos projetados para oferecer segurança de comunicação sobre uma rede de computadores. O protocolo TLS/SSL visa, principalmente, fornecer privacidade e integridade de dados entre dois ou mais aplicativos de comunicação de computador.
No contexto de servidores da web, o protocolo TLS/SSL permite que um website estabeleça a identidade. Os usuários do website podem ter certeza de que ninguém mais está mascarando como o website. Ele é feito por meio de um par de chaves públicas-privadas.
Hyper Protect Crypto Services fornece uma maneira de transferir as operações criptográficas feitas durante o handshake TLS para estabelecer uma conexão segura com o servidor da web, enquanto mantém a chave privada TLS/SSL armazenada de forma segura no HSM dedicado. Dessa forma, você tem controle sobre as chaves e o processamento TLS/SSL. Como resultado, a segurança é melhorada e o risco reputacional é diminuído.
A transferência TLS/SSL para o HSM Hyper Protect Crypto Services possibilita a proteção dos dados em trânsito para web, API e transações móveis usando a API padrão do PKCS n° 11. Com Hyper Protect Crypto Services, é possível integrar a transferência TLS/SSL com outras proxies em nuvem.
Para um tutorial sobre como transferir a carga de trabalho SSL para um balanceador de carga, como NGINX, ao gerenciar chaves usando Hyper Protect Crypto Services, consulte Usando IBM Cloud Hyper Protect Crypto Services para transferir o TLS NGINX.
Protegendo sistemas de armazenamento com ferramentas de gerenciamento de chave de criptografia de terceiros
É possível proteger subsistemas de armazenamento integrando produtos populares, como IBM Guardium Key Lifecycle Manager (GKLM) e HashiCorp Vault com Hyper Protect Crypto Services usando a criptografia de envelope com PKCS#11, para que a chave mestra gerada pelas ferramentas de gerenciamento de chave possa ser armazenada com segurança no IBM Cloud Hyper Protect Crypto Services usando PKCS#11, assegurando seu acesso exclusivo à chave mestra e acesso aos dados nos sistemas de armazenamento gerenciados pela chave mestra.
A criptografia de envelope é a prática de criptografar dados de texto simples com chaves de criptografia de dados (DEK) e, em seguida, criptografar essas chaves com uma chave de criptografia de chave (KEK). Esse processo pode ser usado para criptografar blobs ou buckets de dados no armazenamento de objetos, armazenamento de bloco e volumes de dados inteiros Para repositórios de dados sensíveis na nuvem e cargas de trabalho como computação de alto desempenho, KEKs devem ser originados de um HSM. Para subsistemas de armazenamento de alto desempenho que precisam aderir aos limites de desempenho, é vital que os sistemas de gerenciamento de chave estejam próximos dos subsistemas de armazenamento. A maior parte da interação entre os subsistemas de armazenamento e os sistemas de gerenciamento de chaves acontece no Key Management Interoperability Protocol (KMIP).
Para obter mais informações, consulte os tutoriais a seguir:
Fortificando ambientes Thales com HSM em nuvem
As organizações com um ambiente Thales CipherTrust Manager (CTM) existente podem aprimorar seu perfil de segurança, fazendo com que o CTM proteja sua própria chave mestra em um HSM FIPS 140-2 Nível 4, conforme mostrado no diagrama. Integrações CTM existentes com clientes KMIP como dispositivos de armazenamento, agentes TDE como bancos de dados e servidores Linux que usam passphrase LUKS para criptografia de volume não são afetados com essa integração.
Outros produtos de gerenciamento de chaves Thales, como o Vormetric Data Security Manager (DSM), o CipherTrust Cloud Key Manager (CCKM) e o Enterprise Key Management também podem se integrar ao Hyper Protect Crypto Services de uma maneira semelhante.
Para obter mais detalhes, consulte a documentação do Thales
Usando Hyper Protect Crypto Services como um HSM em nuvem por meio da API do Enterprise PKCS #11
Os Hyper Protect Crypto Services fornecem a API Enterprise PKCS n.º 11 (EP11). O aplicativo em nuvem pode usar essa função por gRPC.
O Enterprise PKCS n.º 11 suporta casos de uso de criptografia stateless e permite o ajuste de escala e a redundância em um ambiente corporativo. Para alguns casos de uso em torno da proteção ao ativo, as chaves podem ser gerenciadas fora do serviço criptográfico, enquanto todas as operações sensíveis são executadas dentro do limite do HSM. É possível usar o Enterprise PKCS n.º 11 quando o tratamento de estado é um problema, especialmente para aplicativos corporativos que se beneficiam da característica stateless do Enterprise PKCS n.º 11.
Você, como desenvolvedor de nuvem, pode usar interfaces padrão de seus aplicativos para operações criptográficas com integridade e confidencialidade dos dados. O Hyper Protect Crypto Servicesoferece suporte à conectividade segura do aplicativo em nuvem para o HSM em nuvem e permite o controle corporativo do HSM em nuvem para chaves de aplicativo.
Como a IBM está começando a fornecer um novo conjunto de recursos para suportar suas cargas de trabalho para mover-se para a nuvem, é possível se beneficiar das capacidades criptográficas de Hyper Protect Crypto Services tanto para suas cargas de trabalho novas quanto as existentes. Com a introdução do Enterprise PKCS n.º 11 sobre gRPC (GREP11), você tem acesso a uma gama completa de operações criptográficas, como assinatura de assinatura, validação de assinatura, códigos de autenticação de mensagem, geração de número aleatório.
Algumas amostras de códigos para usando GREP11 com Golang e JavaScript estão disponíveis para você experimentar..
O que vem a seguir
- Use o Hyper Protect Crypto Services como o provedor de chave raiz para outros serviços do IBM Cloud. Para obter mais informações sobre a integração do Hyper Protect Crypto Services, confira Integrando serviços.
- Use Hyper Protect Crypto Services para fornecer recursos de gerenciamento de chaves altamente seguros para suas chaves de criptografia. Para saber mais sobre o gerenciamento programático de suas chaves, confira o documento de referência da API do serviço de gerenciamento de chaves Hyper Protect Crypto Services.
- Para saber mais sobre como criptografar os seus dados usando a função do HSM de nuvem de Hyper Protect Crypto Services, confira a referência de API do PKCS n.º 11 e o doc de referência da API GREP11.