存储签名密钥和主密钥部件的注意事项

你需要决定以下几个方面:

• 是要使用智能卡来存储签名密钥和主密钥部件，还是使用文件?
• 如果使用密钥部件文件和签名密钥文件，是否要使用恢复加密单元来生成随机主密钥值并保存主密钥的备份副本?
• 敏感命令需要多少签名?
• 要使用多少密钥部件来装入主密钥寄存器?
• 您要多久更改主密钥值?

使用智能卡来存储签名密钥和主密钥部件比使用文件更安全。 当一个签名密钥存储在智能卡上时，它永远不会出现在智能卡外部的清除中。 当主密钥部件存储在智能卡上时，它永远不会出现在智能卡或加密单元外部的清除中。

当签名密钥或主密钥部分存储在文件中时，该密钥或密钥部分将被解密并在使用时临时出现在工作站内存中的清除中。

当恢复加密单元用于生成随机主密钥值并保存主密钥的备份副本时，主密钥值永远不会出现在 IBM 加密单元外部的清除中。

定义管理实用程序安全策略的注意事项

如果您决定使用智能卡，需要考虑以下几个方面:

• 您将制作多少张智能卡备份副本? 您应该至少生成所有智能卡的一个备份副本，并将其存储在安全的位置。
• 当智能卡未在使用时，您要将其存储在何处?
• 谁需要知道智能卡 PIN?

一些组织将其智能卡存储在保险箱中，并保留有关何时将这些智能卡用于管理操作以及由谁使用这些智能卡的日志。

定义文件安全策略的注意事项

如果您决定使用密钥部分文件和签名密钥文件，还需要考虑以下几个方面:

• 您要在何处保存文件的备份副本?
• 谁需要知道文件密码?

许多安全标准要求对管理操作进行双重控制。 双重控制意味着必须有一个以上的人合作才能执行该操作。 可通过将签名阈值设置为 2 或更多，并使不同人员拥有每个智能卡和 PIN 或者使不同人员知道文件密码来实现双重控制。 从智能卡加载主密钥寄存器时，可以通过将主密钥部件放置在不同的智能卡上并使不同的人拥有每个智能卡和 PIN 来实现双重控制。