הפרקטיקה הטובה ביותר עבור Pki ניהול ואחסון

תשתיות מפתח ציבוריות (PKI) היא עמוד השדרה של אמון דיגיטלי, המאפשר תקשורת מאובטחת, אימות ושלמות נתונים על פני רשתות.בלב של כל מערכת PKI הוא המפתחות ההצפנה - זוגות מפתח ציבוריות ופרטיות המהווים את הבסיס של הצפנה וחתימות דיגיטליות. בעוד PKI עצמה היא טכנולוגיה מבוססת היטב, אבטחת המערכת כולה מהתמוטטות אם המפתחות הפרטיים הם חשופים או פגומים של ניהול תקין של מערכת אבטחה, הם רק כדי לקבוע את המשימות התפעוליות שלך קריטיות, הם רק כדי למנוע אבטחה יעילה ביותר, כי הם רק כדי לפתח את האבטחה של מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת אבטחה יעילה, הם רק כדי להבטיח את מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת הגנה על ידי מערכת הגנה על ידי מערכת הגנה על ידי מערכת אבטחה יעילה, הם רק כדי להבטיח את מערכת אבטחה יעילה של מערכת אבטחה יעילה, הם רק על ידי מערכת אבטחה יעילה, הם רק כדי להבטיח את מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת אבטחה יעילה, הם רק כדי להבטיח את מערכת אבטחה יעילה של מערכת אבטחה יעילה של מערכת אבטחה יעילה, הם רק על ידי מערכת אבטחה יעילה של מערכת הגנה על ידי מערכת אבטחה יעילה של מערכת הגנה על ידי מערכת אבטחה יעילה של מערכת הגנה על ידי מערכת הגנה על

ניהול מפתח PKI

ניהול מפתח PKI מקיף את מחזור החיים המלא של זוגות מרכזיים קריפטוגרפיים - יצירה, הפצה, אחסון, הפעלה, ייעוד וחורבן.כל שלב חייב להיות נשלט על ידי מדיניות קפדנית ומיושמת עם טכנולוגיות אבטחה-קשה.העברת כל צעד יכול לחשוף את הארגון שלך לסיכונים כגון התקפות חד-אדם-מין, תעודה עבורgers, או פריצות נתונים מוצפנים שבו נתונים הופכים לפענוח על ידי תוקפים.

ניהול מפתח יעיל מבטיח כי מפתחות פרטיים להישאר חסוי, אותנטי, זמין רק לגופים מורשים.זה גם מבטיח כי מפתחות ציבוריים כפופים באופן אמין לבעליהם באמצעות תעודות חתימה דיגיטלית שפורסמו על ידי רשות תעודה אמינה (CA) המורכבות גדלה כמו בקנה מידה של ארגונים, לעתים קרובות ניהול אלפי תעודות על פני סביבות מגוונות - עננים, על גבי פרסומות, מכשירים IoT, ויישומים מקוטבים.

דור מפתח

כל האבטחה הקריפטוגרפית מתחילה בדור מפתח חזק.האלגוריתמים והפרמטרים שנבחרו חייבים לעמוד בסטנדרטים הנוכחיים של התעשייה – לדוגמה, RSA עם מינימום של 2048 ביטים (רצוי 4096), או אליפותטי קרפטוגרפיה (ECC) באמצעות עקומות כמו P-256 או P-384.התהליך עצמו חייב להתרחש בסביבה אמינה ללא קוד זדוני, התקפות צד, או טמפלפטפטפטפטפטפטפטפט.

מודולי אבטחה קשיחים (HSMs) הם תקן הזהב לדור מפתח. HSMs מוקדשים, tamper-resistant מכשירים לייצר מפתחות באמצעות גנרטורים מספר אקראיים מובנה.הם לשמור את המפתח הפרטי בתוך המכשיר ולעולם לא לחשוף אותו בטקסט ברור למערכת המארחת. Software-based, בעוד נוח יותר, הוא רק מקובל כאשר HSMs אינם זמינים - ואפילו אז, הדור הקודם, צריך להיות מוגדר על גבי קוסמטיקה (תמיד) עם זאת, על ידי שימוש במכונה פתוחה או הצפנה).

אחסון מפתח

לאחר שנוצר, יש לאחסן מפתחות פרטיים עם רמת ההגנה הגבוהה ביותר.שיטת האחסון משפיעה ישירות על פגיעת המפתח לגניבת, לדליפה או להפסד מקרי.

• (FLT:0) מודולי אבטחה המוארים (HSMs): 1 HSMs לספק סביבה מבודדת פיזית, tamper-evident כי מאחסנת מפתחות וביצוע פעולות הצפנה פנימית. Keys לעולם לא נחשפים לזיכרון של מערכת המארחת. HSMs נדרשים כדי לציית לסטנדרטים כמו PCI DSS, eIDAS, ו-FRAM מבוסס HSM.
• (FLT:0Key Management Systems (KMS): FLT:1 Cloud KMS (AWS KMS, Azure Key Vault, GCP Cloud KMS) לאחסן מפתחות בתוכנה עם בקרת גישה חזקה ואפשרויות הפעלה אוטומטיות.
• (FLT:0) קידוד מסדי נתונים וקבצים: כאשר HSMs או KMS אינם אפשריים, מפתחות פרטיים צריכים להיות מוצפנים על ידי שימוש הצפנה סימטרית חזקה (למשל, AES-256) ומאוחסנים במאגרי נתונים מאובטחים, קמרונות או כלי ניהול סודות (למשל, HashipCorault V, CyberArk).
• (FLT:0) בקרת גישה: 1.10LT) ללא קשר למדיום אחסון, יש להגביל את הגישה למפתחים פרטיים להגדרה המינימלית המוחלטת של תהליכים מורשים וכוח אדם.ליישם בקרת גישה מבוססת תפקידים (RBAC) עם עקרונות לפחות-privilege. השתמש באימות רב-ספקי (MFA) לכל פעולות מנהליות הכרוכות בהחלפת התחדשות או לייצוא רשת צריכה למנוע ממארחי בלתי מורשים של מאגר של מאגר של מאגר של מאגר של מאגר של מאגר של מאגר של מאגר של מאגר של מאגר ה-ה.

גיבוי מפתח ושיקום

אובדן מפתחות פרטיים יכול להיות קטסטרופלי, להפוך נתונים מוצפנים לצמיתות בלתי נגישים ודיגיטליים חתימות ללא יכולת. ארגונים חייבים לשמור על גיבויים מאובטחים ומוצפנים של כל המפתחות הפרטיים הקריטיים.אסטרטגיות גיבוי צריך לעקוב אחר כלל 3-2-1: שלושה עותקים של הנתונים, בשני סוגי מדיה שונים, עם עותק אחד מאוחסן מחוץ לאתר.

גיבויים של מפתחות פרטיים חייבים להיות מוגנים.חנות עותקים גיבוי במיקום מאובטח פיזית כגון כספת אש או תיבת פיקדון בנק, וצפינו כל גיבוי עם מפתח המאוחסן בנפרד (למשל, ב HSM) בעת שימוש ב- HSMs, מודלים רבים תומכים גיבוי מרכזי באמצעות מיכלים מרכזיים שניתן לייצא רק תחת שליטה כפולה (למשל, צורך בשני קלפים חכמים ו- PIN).

חשוב באותה מידה הוא לבדוק את תהליך ההתאוששות באופן קבוע.ללא תרגילים תקופתיים, אתה יכול לגלות מאוחר מדי כי הגיבוי שלך מושחת, החומרה כדי לשחזר אותו הוא מיושן, או את הסיסמאות לעבור נשכח. לפחות מדי שנה, לבצע בדיקה מלאה של התאוששות על סביבת ארגז חול כדי לאמת את המפתחות שניתן לטעון ולהשתמש בהם בהצלחה.

Best Practices for PKI Key Management

מעבר ליסודות, ארגונים בוגרים מאמצים קבוצה של שיטות פעולה מבצעיות הטובות ביותר כדי לשמור על יציבה חזקה PKI.פרקטיקות אלה להפחית את הסיכון לפשרות מפתח, לפשט את הציות ולשפר את גמישות ניהול מחזור החיים של תעודות.

שימוש במפתחות חזקים וייחודיים

כל ישות –server, לקוח, חתימה קוד, דוא"ל - צריכה להיות זוג מפתח ייחודי משלה.להשתמש באותו מפתח פרטי על פני תעודות מרובות מגביר את רדיוס הפיצוץ של פשרה.כוח מפתח חייב להתאים את חיי הביטחון המיועדים ואת הרגישות של הנכסים המוגנים כיום: לפחות RSA 2048 סיביות או ECDSA P-, עם העדפה של RSA 4096 או P-P-LC עבור מנגנונים מתקדמים (C) עבור מנגנונים מתקדמים, כגון קודמוכשרים.

ניהול חיים חיוני

המפתחות אינם נצחיים.הם חייבים להיות מסובבים, נשללים, לחדש, ופורשים בהתאם ללוח הזמנים מוגדר.הסיבוב המרכזי מגביל את כמות הנתונים מוצפנים עם מפתח יחיד, צמצום ההשפעה של חשיפה עתידית מפתח.תקנים כמו SP 800-57 ממליץ על קריפטופראדים שונים בהתאם לסוג מפתח (למשל, חתימה על מפתחות חיים קצרים יותר ממפתחות).

ייעוד הוא חשוב באותה מידה.כאשר מפתח חשוד נפגע או עלים עובדים, יש לבטל את האישור המתאים באופן מיידי באמצעות CRLs (רשימת ייעוד Certificate) או OCSP (פרוטוקול תעודת אשראי מקוון) כדי לוודא שהמערכות שלך יכולות לבדוק מעמד ייעודי במשרה חלקית כדי למנוע קבלת אישורים נשללים.

בקרת גישה

הגישה למפתחים פרטיים צריכה להיות מטופלים עם אותו חומר כמו סיסמאות מסד נתונים שורש או אישורים למנהלים. ליישם את העיקרון של זכות מינימלית: להעניק רק את ההרשאות הדרושות לפעולה מסוימת. השתמש בהפרדה של חובות - לדוגמה, אף אדם אחד לא צריך להיות מסוגל לייצר, גיבוי, ולהשתמש מפתח ללא אישור.שלב עם אימות רב-ספק ומודלים גישה (JIT) שבו אין זכות זמנית וביטול באופן אוטומטי.

עבור HSMs, לאכוף מדיניות שליטה כפולה (הידועה גם בשם "שלמות שני אנשים") עבור פעולות רגישות כגון ייצוא מפתח או דהילת.זה מונע בתוך אחד משילוב זדוני של חנות המפתח. יומני אודיאט חייבים ללכוד כל אירוע גישה מפתח, כולל מי, מתי, ומאיזו כתובת IP.

ביקורת וביקורת באופן רציף

ביקורת רגילה של שימוש מפתח ו יומני גישה חיונית לזיהוי של אנומליות - כגון יצוא מפתח בלתי צפוי של HSM או תעודה בשימוש בזמנים יוצאי דופן. Deploy אבטחה מידע וניהול אירועים (SIEM) כדי לקשור אירועים הקשורים מפתח עם אזהרות אבטחה אחרות. ניטור שימוש מפתח יכול גם לעזור לזהות עיוותים, כמו תעודות המשמשות למטרות לא מכוונות (למשל קוד חתומה).

ביצוע הערכות פגיעות תקופתיות של תשתיות PKI שלך.זה כולל סקירה על העוצמה של תעודות מותקנות, זיהוי פג או בקרוב-לטווח מפתחות, ולוודא כי כל CAs ורשויות הרישום (RAs) מותאמים נגד פרצות ידועות. בדיקות חדירת חיצוני של תהליכי ניהול מפתח צריך להיות חלק מפת הדרכים הרגילה שלך.

חינוך ומדריך תרבות אבטחה

טכנולוגיה לבדה אינה יכולה להבטיח את המפתחות.עובדים וקבלנים שמטפלים בתעודות או בחנויות מפתח יש לאמן על נהלים מאובטחים - החל לייצר מפתחות רק על מערכות מאושרות כדי לזהות ניסיונות ניתוק חומר חיוני. ליצור מדיניות ברורה, מיועדת לניהול מפתח שנסקר מדי שנה.

עבור מפתחים, לספק ספריות מאובטחות ו- SDKs אשר לאכוף את שיטות העבודה הטובות ביותר, כגון שימוש בחנות המפתח של המערכת ולא מקשים על מקשים קוד המקור. עודד את השימוש בכלי סריקה אוטומטיים כדי לזהות אחסון מפתח לא מאובטח (למשל, חשיפה של מפתחות פרטיים ברשומות ציבוריות).

מלכודות נפוצות בניהול PKI Key Management

אפילו ארגונים עם מדיניות חזקה יכולים לכשל בפרטים תפעוליים.מודעות לטעויות נפוצות עוזרת בעיצוב גישה יותר גמישה.

• (FLT:0)Shadow PKI:FLT:1 מחלקות יצירת תעודות בעלות חתימה עצמית ללא פיקוח מרכזי מוביל לפירוק של אמון, מפתחות לא ידועים, ותפוגות לא מנוספות.
• (FLT:0) Weak Key Protection for Backups:FIRLT:1 [החזרה על מפתחות למניעים USB לא מוקרן או מניות רשת מביסה את מטרת האחסון הראשוני חזק.תמיד מצפין גיבויים עם מפתח נפרד שנערך ב- HSM או במרפקחת חומרה.
• (FLT:0) אבחון האישורים Expiry:FreaLT:1 התחדשות לקויה גורמת לשחרורי שירות ואינטגרציה שבורה. השתמש בכלים אוטומטיים לניהול תעודה אשר מזהירים היטב לפני פיזור ויכולים לחדש בצורה חלקה.
• (FLT:0) בכפוף לקבצי מפתח מבוססי תוכנה:FLT:1 Software keyחנויות (למשל, Java KeyStore, PKCS#12) נוחות אך פגיעים אם המערכת נפגעת. השתמש בהם רק כאשר HSMs או KMS אינם אופציה, ולהגן עליהם עם סיסמאות חזקות והצפנה ברמת הקובץ.
• (FLT:0) ,Negting Key Lifecycle for IoT/Edigge:FLT:1 מכשירים IoT לעתים קרובות ספינה עם מפתחות סטטיים שלא ניתן לעדכן.

שיקולים ושיקולים

תעשיות רבות יש דרישות רגולטוריות המחייבות שיטות ניהול מפתח ספציפיות.

• (FLT:0)PCI DSS (תקן אבטחת נתונים של חברת כרטיסי אשראי) :FLT:1 דורש כי קריפטוגרפיה חזקה ושיטות ניהול מפתח להיות מועסקים כדי להגן על נתוני בעלי כרטיס.
• (תיקון כללי להגנה על נתונים): FLT:1 בעוד לא מרשם על אלגוריתמים מרכזיים, עקרונות הגנת הנתונים של GDPR מרמזים כי יש לנהל את מפתחות ההצפנה באופן מאובטח כדי למנוע גישה בלתי מורשית לנתונים אישיים.
• (FLT:0)HIPAA (ביטוח הבריאות וחוק האחריות): ישויות מסומנים 1:1 חייבות להבטיח כי מידע בריאות מוגן אלקטרוני (ePHI) מוצפן וכי נהלים מרכזיים הם מתועדים ואוכפים.
• (FLT:0) ,EIDAS (התקנה של האיחוד האירופי): רשם 1 לתקנות זיהוי אלקטרוני ושירותי אמון; דורש שימוש בתעודות מוסמכים ואבטחת אחסון מפתח במכשירי יצירת חתימה מוסמכים (QSCDs).

התעלמות מהמנהל המרכזי של PKI עם מסגרות אלה לא רק מונעת עונשים אלא בונה אמון לקוחות.

מסקנה

תשתיות מפתח ציבוריות נשארות אחת המנגנונים האמינות ביותר לאבטחה דיגיטלית, אך עוצמתה תלויה בניהול מפתח קפדני ואחסון. על ידי יצירת מפתחות בסביבות מאובטחות, אחסון אותם במודולים אבטחת חומרה או בחנויות מפתח ממורכזות, לאכוף את בקרת גישה קפדניות, ושמירה על תהליכי מחזור חיים הניתנים לביקורת, ארגונים יכולים להגן על הנכסים הקריפטוגרפיים שלהם מפני פשרה.

(ב) [ה] [ה]] [ה]] [ה]] [ה]] [ה]]] [ה]]]] [ה]]] [ה]]]][ה]]]]] [ה]]][ה]]] [ה]][ה]]] [ההההההההההחוקה]: [ה] [ה] [ה]]] [ה]]]] [ה] [ה']]]]]] [ה'[ה'[ה'[ה']'[ה']']'[ה']'[ה']']']'[ה'[ה']']'[ה']']'[ה'[ה'[ה']']']']']']']'[ה']']']'[ה']']'[ה']']'[ה']']']'[ה'[ה'[ה']']'[ה']']']'[ה'[ה'[ה'[ה'[