Вопрос или проблема
У нас есть обеспокоенность по поводу ключевого экспорта. Мы завершили миграцию на Key Block LMK в нашей среде (с HSM Thales 10K). Теперь нам нужно обмениваться ключами с третьими лицами, которые все еще используют ключи в варианте. Мы сгенерировали ключи и сформировали ZMK, используя стандарт Key Block. Чтобы решить эту проблему, нам нужно экспортировать ключи, используя схему ключа “X”.
Что касается соответствия, мы все еще экспортируем ключи в правильном формате блока ключей? Или, используя “X”, мы конвертируем их для экспорта?
Это может показаться избыточным вниманием, но тот факт, что экспорт с использованием схемы X должен быть разрешен, вызвал опасения по поводу безопасности. Было бы интересно получить техническое разъяснение по использованию схемы X.
Я не эксперт в Thales 10K, но у меня сложилось впечатление, что все, что касается снижения безопасности ключа, требует явного разрешения. Поскольку преобразование из блока ключей в ключ TDES снижает его безопасность, вам необходимо явно включить переключатель для этого.
Конкретно, экспорт ключа как X означает, что вы удаляете ограничения ключа в заголовке блока ключей, даже если вы не получаете доступ к самому ключу. Например, если вы экспортируете ключ, у которого режим использования E (только шифрование), а затем повторно импортируете его с использованием D или N, вы теперь сможете использовать его для расшифровки данных, которые не должны быть расшифрованы. Этот принцип также объясняет, почему нет возможности перейти непосредственно от ключевого блока LMK к варианту LMK (что явно не поддерживается, без конфигурации для его включения).
Если третья сторона не может поддерживать блоки ключей, тогда вам просто придется решать, либо не работать с ними, либо перезагрузить этот ключ под вариантом LMK в первую очередь, либо активировать опцию экспорта и установить соответствующие контролы/процедуры вокруг этого.
Ответ или решение
Ответ на вопрос о соответствии стандарту PCI и использовании ANSI X9.17 для экспорта ключей
Введение
Вопрос о соблюдении стандартов PCI (Payment Card Industry Data Security Standard) и использования различных схем экспорта ключей, таких как ANSI X9.17, требует тщательного анализа. Ваше беспокойство касается экспорта ключей из вашей системы, использующей ключевые блоки LMK и HSM Thales 10K, в системы третьих сторон, которые все еще работают с другими форматами ключей. Мы обсудим, как экспорт ключей по схеме «X» влияет на безопасность данных и соответствие требованиям PCI.
Ключевые аспекты безопасности
Соответствие PCI
Согласно стандартам PCI, все операции с ключами шифрования должны обеспечивать максимальную защиту. Это включает в себя контроль доступа к ключам, их надежное хранение и безопасный обмен. Поскольку вы мигрировали на Key Block LMK, важно понимать, что экспорты ключей по схеме «X» могут снизить уровень безопасности. Схема «X» позволяет удалить ограничения, связанные с блоком ключей, что, по сути, меняет режимы использования ключа.
Экспорт ключей по схеме «X»
-
Снижение уровня безопасности: Экспорт ключа в формате «X» подразумевает, что вы освобождаете ключ от защитных механизмов, определенных в заголовке ключевого блока. Это может быть эквивалентно снижению уровня защиты ключа, что неприемлемо для большинства стандартов безопасности, включая PCI.
-
Изменение режима использования: Как было упомянуто, если ключ был экспортирован с режимом использования «E» (только для шифрования), а затем повторно импортирован с режимом «D» (для расшифровки), это создает возможность использования ключа для расшифровки несанкционированных данных. Это является вопиющим нарушением принципов безопасности, поскольку ключ становится уязвимым для злоупотреблений и вмешательства.
-
Запрос на авторизацию: Использование схемы «X» требует явного разрешения и должно документироваться в ваших внутренних процедурах. Это не просто формальность, а важный шаг в обеспечении контроля над безопасностью. Следует заранее определить процедуры и механизмы авторизации, чтобы гарантировать, что экспорт таких ключей происходит строго в соответствии с установленными правилами.
Рекомендации по взаимодействию с третьими сторонами
Если третьи стороны, с которыми вам необходимо обмениваться ключами, не поддерживают стандартные ключевые блоки, у вас есть несколько вариантов:
-
Отказ от сотрудничества: Если безопасность данных является первоочередной задачей, возможно, имеет смысл прекратить деловые отношения с таким партнером.
-
Повторная загрузка ключа: Вы можете рассмотреть возможность загрузки ключа под различным LMK (например, вариантный LMK), но это также требует тщательной оценки рисков.
-
Включение опции экспорта: Если необходимо использовать экспорт по схеме «X», то этот процесс должен быть четко регламентирован, а доступ к ключам должен контролироваться с помощью многофакторной аутентификации и других методов безопасности.
Заключение
Эффективное управление безопасностью ключей в контексте соответствия PCI является сложной задачей, особенно при взаимодействии с третьими сторонами, использующими различные форматы шифрования. Применение схемы «X» для экспорта ключей требует четкого понимания связанных с этим рисков и необходимости строгого контроля и документирования процессов. Помните, что каждая операция с ключами должна в первую очередь обеспечивать максимальную защиту данных и соблюдение стандартов безопасности.