Rivedi le tue opzioni per la creazione del materiale della chiave

Esplora le tue opzioni per la creazione di chiavi di crittografia simmetriche a 256-bit in base alle tue esigenze di sicurezza.

Ad esempio, è possibile utilizzare il sistema di gestione delle chiavi interno, supportato da un modulo di sicurezza hardware (HSM) on-premises, per generare il materiale delle chiavi prima di portare le chiavi nel cloud prima di portare le chiavi nel cloud.

Se si sta costruendo una prova di concetto, si può anche utilizzare un toolkit di crittografia come OpenSSL per generare materiale chiave da importare in Key Protect per le esigenze di test.

Scegli un'opzione per l'importazione del materiale della chiave in Key Protect

Scegli tra le due opzioni per l'importazione delle chiavi root in base al livello di sicurezza richiesto dal tuo ambiente o carico di lavoro.

Per impostazione predefinita, Key Protect cripta il materiale delle chiavi mentre è in transito utilizzando i cifrari supportati dai protocolli Transport Layer Security ( TLS ) 1.2 e 1.3. Per ulteriori informazioni su queste cifrature, consulta Data encryption.

Se state costruendo una prova di concetto o state provando il servizio per la prima volta, potete importare il materiale della chiave radice nella per la prima volta, è possibile importare il materiale di root key in Key Protect utilizzando questa opzione predefinita.

Se il carico di lavoro richiede un meccanismo di sicurezza diverso da TLS, è possibile anche utilizzare un token di importazione per criptare e importare il materiale della chiave radice nel servizio.

Pianifica in anticipo la crittografia del tuo materiale della chiave

Se scegli di crittografare il tuo materiale della chiave utilizzando un token di importazione, determina un metodo per eseguire la crittografia RSA sul materiale della chiave. È necessario utilizzare il Schema di codifica RSAES_OAEP_SHA_256 come specificato dal PKCS #1 v2.1 standard per la codifica RSA.

Esaminate le funzionalità del vostro sistema di gestione delle chiavi interno o dell'HSM on-premises per determinare le vostre opzioni HSM per determinare le opzioni a vostra disposizione, oppure consultate l'esercitazione sull'importazione esercitazione sull'importazione sicura per gli esempi.

Pianifica in anticipo la crittografia del nonce

Se scegli di crittografare il tuo materiale della chiave utilizzando un token di importazione, devi anche determinare un metodo per eseguire la crittografia AES-GCM sul nonce distribuito da Key Protect.

Il nonce funge da token di sessione che verifica l'originalità di una richiesta per proteggere da attacchi malintenzionati e da chiamate non autorizzate.

Esaminate le funzionalità del vostro sistema di gestione delle chiavi interno o di un HSM on-premises per determinare le opzioni a vostra disposizione hSM on-premises per determinare le opzioni a vostra disposizione, oppure consultate il esercitazione sull'importazione sicura per gli esempi.

Gestisci il ciclo di vita del materiale della chiave importato.

Dopo aver importato il materiale della chiave nel servizio, tieni presente che sei responsabile della gestione del ciclo di vita completo della tua chiave. Utilizzando Key Protect API, è possibile impostare una data di scadenza per la chiave quando si decide di caricarla nel servizio.

Tuttavia, se si desidera ruotare una chiave principale importata, è necessario generare e fornire un nuovo materiale per la chiave chiave esistente.

Modalità di funzionamento

Quando crea un token di importazione per la tua istanza Key Protect, Key Protect genera una coppia di chiavi RSA a 4096 bit dai suoi HSM.

Quando richiami il token di importazione, il servizio fornisce la chiave pubblica che puoi utilizzare per crittografare e caricare una chiave su Key Protect.

Il seguente elenco descrive il flusso di lavoro del token di importazione.

1. Invii una richiesta per creare un token di importazione.

   1. Key Protect genera una coppia di chiavi RSA dai suoi HSM.

   2. La chiave pubblica diventa disponibile per il richiamo in base alla politica che hai specificato al momento della creazione.

   3. La chiave privata diventa non estraibile e non lascia mai l'HSM.

2. Invii una richiesta per richiamare il token di importazione.

   1. Ricevi il contenuto del token di importazione, compresi:

      • Una chiave pubblica per il materiale della chiave di crittografia che vuoi importare nel servizio.

      • Un valore nonce utilizzato per verificare la richiesta di importazione della chiave.

3. Prepari la chiave che vuoi importare sul servizio.

   1. Generi materiale della chiave utilizzando un meccanismo di gestione delle chiavi in loco.

   2. Crittografi il valore nonce con il materiale della chiave utilizzando un metodo di crittografia AES-GCM compatibile con il tuo ambiente.

   3. Crittografi il materiale della chiave con la chiave pubblica utilizzando un metodo di crittografia RSA compatibile con il tuo ambiente.

4. Invii una richiesta per importare la chiave.

   1. Fornisci il materiale della chiave crittografato, il nonce crittografato e l'IV (initialization vector) generato dall'algoritmo AES-GCM.

   2. Key Protect verifica la richiesta, decifra il pacchetto crittografato e memorizza il materiale della chiave come chiave principale nell'istanza Key Protect.

È possibile creare un solo token di importazione per istanza di Key Protect alla volta. Per saperne di più sui limiti di recupero per i token di importazione, consultare il documento di riferimento dell'API Key Protect.

Per provare la funzione del token di importazione, vedi Esercitazione: Creazione e importazione di chiavi di crittografia.

Metodi API

Dietro le quinte, l'API Key Protect guida il processo di creazione del token di importazione.

La tabella seguente elenca i metodi API che impostano un token di importazione per il vostro Istanza Key Protect.

Per ulteriori informazioni sulla gestione programmatica delle tue chiavi in Key Protect, controlla il Key Protect documentazione di riferimento API.