Aðgangsstýring fyrir dulkóðunarlykla: Bestu starfshættir
Að vernda dulkóðunarlykla er jafn mikilvægt og að dulkóða gögnin þín. Léleg aðgangsstýring fyrir lykla getur leitt til gagnaleka, að verið sé að þykjast vera á þjóni og varanlegs gagnataps. Þetta þarftu að vita til að tryggja öryggi lyklanna þinna:
- Meginreglan um minnstu forréttindi: Veitið aðeins lágmarksheimildir sem þarf fyrir tiltekin verkefni. Forðist of víðtækar heimildir eins og
km:*og framfylgja ströngum reglum um aðgang. - Aðgangsstýring byggð á hlutverkum (RBAC): Aðskiljið hlutverk fyrir lykilstjórnun (t.d. stjórnendur) og dulritunaraðgerðir (t.d. notendur). Forðist að ábyrgðarsvið skörist.
- Miðlæg lyklastjórnun: Notið verkfæri eins og AWS KMS, Google Cloud KMS eða Azure Key Vault fyrir samræmda og örugga lykilmeðhöndlun.
- Öryggiseiningar vélbúnaðar (HSM): Geymið lykla í innsiglisvörn til að tryggja betri vernd. Stýrð HSM einfölda samþættingu og tryggja FIPS-samræmi.
- Eftirlit og skráning: Virkjaðu ítarlegar skrár bæði fyrir virkni stjórnenda og notkun lykla. Settu upp viðvaranir fyrir óvenjulega hegðun eða áhættusamar aðgerðir.
- Lyklaskipti og afturköllun: Snúðu lyklunum reglulega til að takmarka útsetningu. Afturkallaðu skemmda lykla strax og skiptu þeim út án tafar.
Með því að fylgja þessum skrefum er tryggt að dulkóðunarlyklarnir þínir haldist öruggir, sem dregur úr áhættu og viðheldur gagnaheilleika.
PKI 101: geymsla og notkun dulkóðunarlykla
sbb-itb-59e1987
Að beita minnstu forréttindum við lykilstjórnun
Lykilstjórnandi vs. lykilnotandi hlutverk og heimildir
Hvað minnst forréttindi þýðir
Meginreglan um minnstu réttindi (e. Least Privilege, PoLP) leggur áherslu á að veita notendum og þjónustum aðeins þau leyfi sem þeir þurfa algerlega til að framkvæma verkefni sín – ekkert meira. Þegar þetta er notað við lyklastjórnun þýðir það að hafa nákvæmt eftirlit með hverjir geta dulkóðað, afkóðað, breytt stefnum eða eytt lyklum.
"Enginn AWS-aðstoðarmaður hefur neinar heimildir til KMS-lykils nema sú heimild sé veitt sérstaklega og aldrei neitað. Það eru engar óbeinar eða sjálfvirkar heimildir til að nota eða stjórna KMS-lykli." – AWS Key Management Service
Þessi aðferð, sem felst í að "hafna sjálfkrafa", er hornsteinn öryggis. Jafnvel eigandi reikningsins eða sá sem býr til lykil fær ekki sjálfkrafa heimildir – þær verða að vera veittar sérstaklega. Þessi stranga stjórnun dregur verulega úr hugsanlegum veikleikum. Ef aðgangsupplýsingar eru í hættu er skaðinn takmarkaður við þau sérstöku heimildir sem úthlutað er þeirri auðkenni. Til dæmis mun aðgangsupplýsingar sem eru í hættu, sem eru "lykilnotendur", ekki leyfa eyðingu lykla ef stjórnunarréttindi eru ekki veitt.
Að framfylgja ekki lágmarksréttindum getur leitt til alvarlegra afleiðinga. Án viðeigandi takmarkana gætu árásarmenn aukið réttindi sín með því að breyta lykilstefnum til að veita sér fulla stjórn. Enn verra er að þeir gætu skipulagt lykileyðingu, sem eyðileggur dulkóðuðu gögnin varanlega. AWS framfylgir biðtíma upp á að minnsta kosti 7 daga (og allt að 30 daga) fyrir lykileyðingu vegna þess að... Þegar lykli hefur verið eytt eru öll gögn sem dulkóðuð eru með honum horfin að eilífu.
Til að innleiða þessar stýringar á skilvirkan hátt verður hlutverkabundin aðgangsstýring (RBAC) mikilvægt tæki.
Uppsetning á hlutverkatengdri aðgangsstýringu (RBAC)
RBAC einfaldar lágmarksréttindi með því að úthluta heimildum byggðum á starfshlutverk í stað einstaklinga. Í stað þess að stjórna heimildum notanda fyrir hvern notanda, skilgreinir þú hlutverk eins og "Lykilstjórnandi" og "Lykilnotandi" og úthlutar fólki þessum hlutverkum út frá ábyrgð þeirra.
Lykilregla RBAC er að aðskilja stjórnunarleg verkefni frá dulritunaraðgerðir. Lykilstjórnendur sjá um líftíma lykla – að búa til, virkja eða slökkva á þeim, uppfæra stefnur og skipuleggja eyðingu. Lykilnotendur, hins vegar, framkvæma dulkóðun og afkóðun. Þessi hlutverk ættu aldrei að skarast fyrir sömu lykla.
| Tegund hlutverks | Dæmigert leyfi | Tilgangur |
|---|---|---|
| Lykilstjóri | Búa til, virkja/slökkva á, setja lykilstefnu, skipuleggja eyðingu lykla, merkja | Stýrir lykillíftíma, lýsigögnum og aðgangsstefnum |
| Lykilnotandi | Dulkóða, afkóða, endurdulkóða, búa til gagnalykil, lýsa lykli | Notar lykilinn fyrir dulritunaraðgerðir á gögnum |
Þegar þú stillir RBAC skaltu forðast að nota algildar heimildir eins og km:* í stefnum þínum. Tilgreindu alltaf nákvæmlega lykil-ARN eða auðkenni auðlindarinnar. Algildar lyklar geta óviljandi veitt aðgang að lyklum í öðrum reikningum eða svæðum. Að auki skaltu nota aðskilda lykla fyrir mismunandi gagnategundir – viðskiptavinagögn, fjárhagsfærslur og innri samskipti ættu hver að hafa sinn eigin lykil. Þetta tryggir að ef ein innskráningarupplýsing er í hættu, þá er aðeins tiltekið undirmengi gagna í hættu.
Til að auka vernd, krafist er Fjölþátta auðkenning (MFA) fyrir viðkvæmar aðgerðir eins og að skipuleggja eyðingu lykla eða breyta lykilstefnum. Annað gagnlegt lag er dulkóðunarsamhengi, sem tengir heimildir við ákveðin lýsigögn. Þessi óleynilegu lykil-gildi pör tryggja að lykill geti aðeins afkóðað gögn ef sama samhengi og notað var við dulkóðun er veitt, sem bætir við auka vernd gegn óheimilri notkun - jafnvel þótt lykillinn sjálfur sé í hættu.
Miðlæg lykilaðgangsstjórnun
Kostir miðstýrðrar stjórnunar
Miðstýrð lyklastjórnun byggir á meginreglunum um minnst réttindi og skilgreind hlutverk, sem hjálpar fyrirtækjum að framfylgja samræmdum öryggisvenjum. Með því að stjórna dulkóðunarlyklum frá einum reikningi eða verkefni geta fyrirtæki forðast vesenið við að jonglera lyklum á mörgum sviðum. Í stað þess að eiga við aðskilda reikninga fyrir lykillífsferla geta stjórnendur treyst á sameinaða stjórnborð. Þetta verður sérstaklega mikilvægt eftir því sem fyrirtæki vaxa, þar sem stjórnun á fjölda lykla krefst straumlínulagaðrar nálgunar.
"Möguleikinn á að flokka lykla, flokka endapunkta og úthluta hlutverkum og stefnum til þessara hópa með því að nota sameinaða stjórnborðstölvu er einu leiðin til að stjórna því sem gæti numið milljónum lykla og aðgerða." – Nisha Amthul, yfirmaður vörumarkaðssetningar hjá Thales
Miðstýrð kerfi draga einnig úr líkum á rangstillingum með því að framfylgja samræmdum öryggisráðstöfunum. Þau minnka áhættu eins og óvart eyðingu lykla eða aukningu réttinda, þar sem staðbundnir stjórnendur fá ekki óheft vald yfir mikilvægum lyklum.
"Þessi miðstýrða líkan getur hjálpað til við að lágmarka hættuna á óviljandi eyðingu lykla eða aukningu réttinda af hálfu úthlutaðra stjórnenda eða notenda." – Leiðbeiningar AWS
Annar mikilvægur kostur er aðskilnaður stjórnunarverkefna frá aðgangi að gögnum. Þetta styrkir ekki aðeins reglufylgni heldur einfaldar einnig endurskoðanir með því að skapa skýra skiptingu ábyrgðar. Miðlæg skráning eykur þetta enn frekar með því að sameina alla helstu aðgangsatburði í eina endurskoðunarslóð, sem auðveldar eftirlit og endurskoðun á virkni.
Með þessa kosti í huga verður val á réttu miðlægu lyklastjórnunartóli mikilvægt skref í að tryggja skilvirka og örugga lyklalíftímastjórnun.
Verkfæri fyrir miðlæga lyklastjórnun
Nokkur verkfæri eru í boði til að hagræða miðlægri lyklastjórnun:
- Lyklastjórnunarþjónusta AWS (KMS): Verndar rótarlykla með því að nota FIPS 140-2 eða 140-3 stig 3 staðfestar vélbúnaðaröryggiseiningar (HSM) og samþættist óaðfinnanlega við aðrar AWS þjónustur fyrir sameinaða endurskoðun.
- Google Cloud KMS: Bjóðar upp á dulkóðunarlykla sem viðskiptavinir stýra með valkostum fyrir verndarstig hugbúnaðar, HSM og ytri lyklastjóra.
- Azure lyklageymslu: Miðstýrir geymslu lykla, leyndarmála og vottorða og felur í sér innbyggða aðgangsstýringu byggða á hlutverkum.
Fyrir stofnanir sem starfa í fjölskýjaumhverfi geta viðbótarverkfæri veitt sameinað viðmót:
- Lyklastjórnunarleyndarmál HashiCorp Vault vélarinnar: Bjóðar upp á samræmt vinnuflæði til að stjórna lyklum í AWS KMS, Azure Key Vault og Google Cloud KMS úr einu viðmóti.
- Stjórnandi Thales Cipher Trust: Hefur umsjón með lykillífsferlum netþjóna, geymslukerfa og skýjapalla í gegnum eina stjórnborð.
Þegar þú velur verkfæri skaltu forgangsraða þeim sem styðja ítarlegar aðgangsstýringar til að styrkja meginregluna um minnst réttindi. Sjálfvirkni er annar lykilþáttur. Þó að fyrirtæki með sterk sjálfvirknikerfi geti tekist á við dreifðar uppsetningar, hentar miðstýrð stjórnun oft betur fyrir handvirk ferli. Metið sérþarfir ykkar, svo sem samræmiskröfur (t.d. FIPS 140-3 stig 3 staðfestingu), líftímastýringu og þjónustukvóta á hvern reikning, til að taka bestu ákvörðunina fyrir fyrirtækið ykkar.
Lykilstefnur og aðskilnaður starfsskyldna
Að skapa og framfylgja lykilstefnum
Lykilreglur ættu að fjalla um öll stig lífsferils lykils – frá gerð hans til eyðingar. Án skýrra skjala er meiri hætta á misnotkun lykla.
Stefna þín þarf að úthluta ákveðnum hlutverkum með vel skilgreindri ábyrgð. Til dæmis, Dulritunarfulltrúar gæti séð um verkefni eins og lyklaframleiðslu og afritun, á meðan Öryggisendurskoðendur Einbeittu þér að því að tryggja samræmi. Þessi skýra skipting útilokar tvíræðni og tryggir ábyrgð. Haltu uppfærðri skrá yfir hvern lykil, þar sem fram kemur stofnunardagsetning hans, dulkóðunaralgrím (eins og 3072-bita RSA), samþykkt notkun og eignarhald.
Notið blöndu af auðlindabundnum og auðkennisbundnum reglum til að stjórna aðgangi. Auðlindabundnar reglur tengja heimildir við tiltekna lykla, en auðkennisbundnar reglur stjórna aðgerðum notenda og hlutverka. Til að styrkja aðferðina "hafna sjálfgefið" skal tilgreina nákvæm ARN-númer og takmarka viðkvæmar heimildir. Til dæmis skal takmarka kms:Eyðing tímaáætlunarlykils leyfi til traustra aðalnotenda, sem tryggir lágmarks biðtíma fyrir eyðingu. AWS KMS framfylgir sjálfgefnum biðtíma upp á 7 daga (hægt að framlengja í allt að 30 daga) áður en lykli er eytt varanlega, sem dregur úr hættu á gagnatapi fyrir slysni.
"Enginn AWS-aðalnotandi, þar með talið rótarnotandi reikningsins eða lykilhöfundur, hefur nein heimildir að KMS-lykli nema þær séu sérstaklega leyfðar og ekki sérstaklega hafnað í lykilstefnu, IAM-stefnu eða úthlutun." – Leiðbeiningar AWS
Aðskilnaður lykilstjórnendaábyrgðar
Þegar þú hefur komið þér upp traustum lykilstefnum er næsta skref að tryggja að verkefnum sé skipt til að lágmarka áhættu. Með því að aðskilja lykilstjórnun frá dulritunaraðgerðum minnkar þú líkurnar á að einn einstaklingur komi í hættu á lykilöryggi. Til dæmis ætti sá sem stjórnar lykli aldrei að hafa aðgang að gögnunum sem hann verndar. Þessi skipting dregur ekki aðeins úr hættu á svikum eða villum heldur kemur einnig í veg fyrir að forréttindi aukist.
Skilgreindu hlutverkin skýrt, svo sem Lykilstjórnendur, sem hafa umsjón með lykillífsferlum, sköpun og snúningi, og Lykilnotendur, sem sjá um dulkóðun, afkóðun og undirritun. Forðist að úthluta víðtækum hlutverkum eins og "eiganda" eða "ritstjóra" sem sameina stjórnunar- og rekstrarverkefni. Haltu þig í staðinn við þröngt skilgreind hlutverk sem fylgja meginreglunni um minnstu forréttindi.
Fyrir stórfelldar aðgerðir skal innleiða fjölþátta heimildaraðferðir, eins og Shamir's Secret Sharing, til að tryggja að enginn einn geti komist yfir lykil. Krefjast fjölþátta auðkenningar (MFA) fyrir viðkvæmar aðgerðir og dreifa lykilorðum og MFA tækjum á milli margra einstaklinga til að auka öryggi enn frekar.
Ég reyni að meðhöndla lykilorð sem “fyrstu dyrnar” að dulkóðunarlyklum: ef sú dyr eru veikar verða öll önnur öryggislög að mestu leyti skrautleg. Þess vegna held ég því einföldu og ströngu: einn reikningur = eitt einstakt, langt lykilorð, án endurnotkunar og án “lítilsháttar breytinga” eins og Lykilorð123! → Lykilorð124!. Ég geymi þessi lykilorð ekki í glósum eða sendi þau í spjalli; í staðinn treysti ég á... lykilorðsstjóri og virkja MFA alls staðar þar sem það er tiltækt. Og þegar aðgangur að mikilvægum kerfum þarf að vera sameiginlegur forðast ég “eitt sameiginlegt lykilorð fyrir alla” og ýti á eftir aðskildum reikningum og hlutverkatengdum heimildum, því þá er ljósara hver gerði hvað og það er miklu auðveldara að afturkalla aðgang fljótt ef eitthvað fer úrskeiðis.
RSA-brotið árið 2011 er víti til varnaðar. Í því atviki gerði ófullnægjandi aðskilnaður lykilstjórnenda kleift að klóna tvíþátta auðkenningarlykilorð, sem sýnir fram á hættuna af slakri hlutverkaskiptingu.
Sjálfvirk eftirlit er annað mikilvægt skref. Notið verkfæri til að greina og merkja öll skörun í heimildum sem gætu bent til brots á aðskilnaði verkefna. Innsýn í þjónustureikninga getur einnig borið kennsl á reikninga sem hafa verið ónotaðir í 90 daga eða lengur, sem gefur til kynna að þeir ættu að vera óvirkir eða fjarlægðir til að draga úr óþarfa aðgangi og takmarka fjölda virkra lykla.
Notkun öryggiseininga vélbúnaðar (HSM) til að vernda lykla
Að skilja öryggiseiningar vélbúnaðar
Öryggiseining vélbúnaðar (e. Hardware Security Module, HSM) er sérhæft tæki sem er hannað til að vernda dulkóðunarlykla í öruggu og óbreyttu umhverfi. Ólíkt hugbúnaðarlausnum reiða HSM sig á sérstaka dulkóðunarörgjörva sem eru í umbúðum sem eru óbreyttar. Þessi uppsetning tryggir að... Dulkóðunarlyklar eru bæði búnir til og geymdir innan vélbúnaðarmarka, án þess að skilja þá eftir í látlausum texta..
Háþróaðir HSM-kerfi innihalda viðbragðskerfi gegn innbroti sem geta núllstillt (eytt varanlega) viðkvæmt lykilefni ef líkamlegt brot er greint. Flestir HSM-kerfi uppfylla FIPS 140-2 eða 140-3 stig 3 vottunarstaðlar, sem bjóða upp á vélbúnaðarbundna einangrun sem er mun betri en aðferðir sem byggja eingöngu á hugbúnaði.
Í dag einfalda skýjaþjónustur aðgang að þessari tækni með stýrðum HSM-kerfum. Þessar þjónustur bjóða upp á FIPS-samhæft vélbúnaðaröryggi án þess að þörf sé á efnislegum tækjum. Stýrðir HSM-kerfi tryggja yfirleitt... 99.99% framboð með því að afrita gögn yfir mörg svæði. Aðgangur skiptist í tvö plan: Stjórna flugvél, sem sér um auðlindastjórnun (t.d. að búa til, eyða, stilla) og Gagnaplan, sem stýrir dulritunaraðgerðum eins og dulkóðun, afkóðun og undirritun. Þessi aðskilnaður tryggir að stjórnunarverkefni séu aðgreind frá beinum aðgangi að viðkvæmum lyklum.
Með því að samþætta HSM-kerfi í kerfin þín geturðu komið á fót sterkari aðgangsstýringu og tryggt lykilaðgerðir á skilvirkan hátt.
Samþætting HSM við kerfin þín
Að samþætta HSM-kerfi (HSM) við innviði þína eykur lykilöryggi með því að halda viðkvæmu efni innan verndaðra vélbúnaðarmarka. Fyrsta skrefið er að setja upp öfluga aðgangsstýringu fyrir bæði stjórnunar- og gagnaplan. Notaðu stýrðar auðkenni fyrir forrit til að auðkenna sig við HSM-kerfið, sem útrýmir þörfinni á að geyma innskráningarupplýsingar í kóða eða stillingarskrám. Úthlutaðu hlutverkum vandlega - hlutverk á skýjastigi eins og "Lyklageymsluframlag" stjórna HSM-kerfinu sjálfu, en staðbundin HSM-hlutverk eins og "Dulkóðunarfulltrúi" eða "Dulkóðunarnotandi" sjá um dulritunarverkefni. Takmarkaðu heimildir við tiltekna lykla (t.d., /lyklar/) frekar en að veita aðgang að öllu HSM.
Til að auka öryggi skal koma á fót öryggislénsráðstöfun með því að nota að minnsta kosti þrjú RSA lykilpör, hvert undir stjórn mismunandi stjórnanda. Þessi uppsetning tryggir að enginn einn geti endurheimt eða brotið HSM að fullu. Geymið þessa endurheimtarlykla á dulkóðuðum, ótengdum USB-drifum sem eru geymd í aðskildum öryggishólfum. Virkjaðu eiginleika eins og mjúka eyðingu (með varðveislutíma frá 7 til 90 daga) og hreinsunarvörn til að verjast óvart eða illgjörnum eyðingu lykla.
Til að tryggja netsamskipti skaltu slökkva á almennum aðgangi að internetinu og beina allri HSM-umferð í gegnum einkareknar endapunkta. Fyrir mjög reglubundið umhverfi skaltu íhuga aðferðina "Haldið ykkar eigin lykli" (HYOK). Þessi aðferð geymir lykla í ytri HSM og afhjúpar þá aldrei fyrir innviðum skýjaveitunnar. Hún notar einnig tvöfalda dulkóðun: gögn eru dulkóðuð fyrst af skýjaveitunni og síðan aftur af ytri HSM-inu þínu, sem tryggir að hvorugur aðilinn geti fengið aðgang að látlausum texta sjálfstætt.
Aukið öryggið enn frekar með því að nota rétt-í-tíma aðgang í gegnum Privileged Identity Management, sem veitir tímabundin stjórnunarréttindi aðeins þegar þörf krefur. Merkið lykla sem "ekki útflutningshæfa" til að tryggja að þeir haldist innan vélbúnaðarmarka og innleiðið sjálfvirkar lyklaskiptingaráætlanir til að lágmarka hættu á að þeir verði brotnir með tímanum.
Eftirlit, endurskoðun og skráning á aðgangslyklum
Eftir að hafa innleitt sterkar lykilstjórnunar- og vélbúnaðaröryggisaðferðir er mikilvægt að fylgjast vel með aðgangi með eftirliti og skráningu til að greina hugsanleg brot snemma.
Uppsetning aðgangseftirlits
Að rekja aðgang að lyklum er mikilvægt til að koma auga á óheimila notkun áður en hún verður að vandamáli. Byrjaðu á að greina á milli... Virkniskrár stjórnenda (sem skrá aðgerðir eins og að búa til lykla eða uppfæra stefnur) og Aðgangsskrár gagna (sem rekja dulritunaraðgerðir eins og dulkóðun og afkóðun). Þó að gagnaaðgangsskrár séu oft sjálfkrafa slökktar á vegna þess mikla umfangs sem þær mynda, er skynsamlegt að virkja þær fyrir viðkvæmustu lyklana þína.
Koma á grunnlínu fyrir dæmigerða notkun bæði fyrir gagna- og stjórnunarstarfsemi. Þetta auðveldar að greina óvenjulega hegðun, eins og aukningu í afkóðunarbeiðnum á óvenjulegum tíma eða að stjórnandi fái aðgang að lyklum sem hann hefur aldrei notað áður. Senda endurskoðunarskrár til sjálfvirkra eftirlitstækja eins og CloudWatch viðvörunarkerfi til að virkja viðvaranir um atburði sem valda mikilli áhættu, svo sem Eyðing tímaáætlunarlykils, Slökkva á lykli, eða óheimilar breytingar á stefnu.
Nýttu þér lykil-gildi pör í dulkóðunarsamhengi, sem eru sýnileg í látlausum texta innan skráa, til að flokka starfsemi án þess að afhjúpa viðkvæmar upplýsingar. Fylgstu vel með breytingum á merkjum, sem óheimilar. TagResource eða Afmerkja auðlind Aðgerðir geta aukið réttindi. Hafðu í huga að breytingar á merkjum eða dulnefnum geta tekið allt að 5 mínútur fyrir þær að hafa áhrif á lykilheimildir KMS, þannig að eftirlitsuppsetningin þín ætti að taka tillit til þessarar tafar.
Árangursrík aðgangseftirlit stuðlar náttúrulega að því að búa til ítarlegar endurskoðunarslóðir til að tryggja fullkomna yfirsýn.
Að búa til endurskoðunarslóðir og skrár
Til að bæta við eftirlit skaltu tryggja að þú hafir ítarlegt skráningarkerfi til að búa til örugga endurskoðunarslóð. Þessi aðferð hjálpar til við að viðhalda ábyrgð og undirbýr þig fyrir réttarmeinafræðilegar rannsóknir. Notaðu að minnsta kosti tvær gerðir af endurskoðunartækjum til að auka afritun. Tól eins og HashiCorp Vault eru hönnuð til að loka fyrir API-beiðnir ef þær geta ekki skráð sig inn á að minnsta kosti eitt tæki, sem kemur í veg fyrir órakaðan aðgang.
Áframsenda skrár til fjarlægs kerfis til að vernda þær gegn breytingum og tryggja að þær séu tiltækar fyrir samræmisúttektir. Til að auka öryggi skaltu nota lykilkóðaða dulritunarkóða (t.d. HMAC-SHA256) til að vernda viðkvæmar skráargögn og halda þeim samt sem áður endurskoðanlegum. Settu upp viðvaranir fyrir mikilvæga atburði, svo sem notkun rótartákns, breytingar á endurskoðunarstillingum eða aukningu í villum sem sögðu að "heimild hafnað". Ekki gleyma að innleiða skráarsnúning (t.d. með því að nota logrotate) og stilla HUP merki til að tryggja ótruflaða skráningu.
Miðlægið og safnað saman skrám frá öllum verkefnum eða reikningum í eitt gagnasafn fyrir allt fyrirtækið. Þetta einfaldar ekki aðeins eftirlit heldur styður einnig við samræmi við staðla eins og PCI DSS, FedRAMP og HIPAA. Hafið þó í huga - að virkja aðgangsskrár fyrir gögn getur aukið kostnað vegna stærra gagnamagns.
Lykilreglur um skiptingu og afturköllun
Dulkóðunarlyklar eru ekki ætlaðir til að endast að eilífu. Regluleg skipti og tímanleg afturköllun er nauðsynleg til að koma í veg fyrir að úreltir eða skertir lyklar stofni viðkvæmum gögnum í hættu.
Hvenær og hvers vegna á að snúa lyklum
Snúningur dulkóðunarlykla hjálpar til við að takmarka skaðann sem einn lykill getur valdið. Í stað þess að einn lykill verndi gögn í mörg ár, tryggir snúningur að hver lykill sé aðeins gildur í ákveðinn tíma. Til dæmis krefst PCI DSS árlegrar lyklaskipta að lágmarki, en fyrir mjög viðkvæm gögn eins og upplýsingar um korthafa er öruggara að snúningur lykla ársfjórðungslega. Fyrir þjónustureikningslykla mæla sérfræðingar með því að snúningur þeirra sé á að minnsta kosti 90 daga fresti til að lágmarka áhættu á lekum innskráningarupplýsingum.
Tíðni dulkóðunar ætti að ráðast af næmi gagnanna og hversu oft lykillinn er notaður. Til dæmis ráðleggur NIST að skipta um AES-256-GCM lykla áður en þeir ná um 4,3 milljörðum dulkóðunar. Á sama hátt leggur Azure Key Vault til að skipta um dulkóðunarlykla að minnsta kosti á tveggja ára fresti. Lyklar sem eru mikið notaðir standa frammi fyrir meiri áhættu við dulkóðunargreiningu, þannig að það að fylgjast með fjölda dulkóðana með fjarmælingum getur hjálpað til við að ákvarða hvenær skipti eiga að eiga sér stað, frekar en að reiða sig eingöngu á dagatal.
Til að gera þetta ferli mýkra og villulaust geta sjálfvirkniverkfæri eins og HashiCorp Vault eða Cloud KMS séð um lyklaskiptingu fyrir þig. Þessi verkfæri nota lyklaútgáfustjórnun, þar sem ný gögn eru dulkóðuð með nýjasta lyklinum á meðan eldri lyklar afkóða söguleg gögn. Þetta gerir kleift að endurdulkóða gögnin stigvaxandi og "lata", þar sem gögnin eru uppfærð eftir því sem þau eru aðgengileg.
En það er ekki alltaf nóg að skipta um lykil einn og sér. Þegar brot á sér stað verður afturköllun lykilsins næsta mikilvæga skrefið.
Að afturkalla lykla til að draga úr áhættu
Afturköllun lykla er skjót viðbragðsaðgerð þegar lykill er brotinn, starfsmaður með aðgang hættir eða annar öryggisatburður á sér stað. Tímasetning skiptir öllu máli – helst ætti afturköllun að eiga sér stað innan sólarhrings frá því að vandamálið greinist.
Svona virkar þetta: Fyrst skaltu bera kennsl á lykilinn sem hefur verið skemmdur og búa til öruggan nýjan. Settu nýja lykilinn upp í öll kerfin og gerðu síðan gamlan óvirkan. Hins vegar skaltu ekki eyða honum strax - þetta frest gerir þér kleift að fylgjast með villum eða ósjálfstæði sem enn er tengt óvirka lyklinum. Þegar þú hefur staðfest að engin mikilvæg kerfi séu fyrir áhrifum skaltu uppfæra stillingar, dulkóða nauðsynleg gögn aftur og eyða gamla lyklinum varanlega.
"Ef ekki er hægt að afturkalla lykla sem hafa verið brotnir tafarlaust getur það leitt til óheimillar afkóðunar. Léleg lyklastjórnunarvenjur gera dulkóðun gagnslausa og gögnin verða afhjúpuð." – SSL þjónustuteymi, SSL.com
Dæmi um afleiðingar lélegrar lyklastjórnunar er öryggisbrot RSA árið 2011. Árásarmenn stálu dulritunargildum fyrir milljónir SecurID-tákna vegna þess að RSA tókst ekki að tryggja frægagnagrunninn og framfylgja viðeigandi aðgangsstýringum. Þetta brot undirstrikar mikilvægi skjótra og skilvirkra lyklastjórnunaraðferða til að vernda viðkvæmar upplýsingar.
Niðurstaða
Öflug aðgangsstýring fyrir lykla er nauðsynleg til að vernda viðkvæm gögn. Með því að beita meginreglunni um minnst réttindi, aðskilja verkefni og nota vélbúnaðarvernd eins og FIPS 140-2 stig 3 staðfesta HSM, býrðu til traustan grunn fyrir örugga lyklastjórnun. Þessar aðferðir eru mikilvægar til að koma í veg fyrir bæði óviljandi gagnaleka og vísvitandi brot.
"Enginn AWS-aðalnotandi, þar með talið rótarnotandi reikningsins eða lykilhöfundur, hefur nein heimildir að KMS-lykli nema þær séu sérstaklega leyfðar og ekki sérstaklega hafnað í lykilstefnu, IAM-stefnu eða úthlutun." – Leiðbeiningar AWS
Viðbótarráðstafanir, svo sem biðtímar og fjölþátta auðkenning, veita frekari vernd. Fjölþátta auðkenning bætir sérstaklega við auka öryggislagi með því að takmarka óheimilar lykilbreytingar. Sjálfvirk lyklaskipti, sem venjulega eiga sér stað á 90 daga fresti, lágmarkar einnig áhættuna með því að draga úr hugsanlegum skaða sem skemmdur lykill getur valdið.
Skilvirk lyklastjórnun krefst stöðugrar athygli. Þegar fyrirtæki vaxa, starfsmannaskipti eiga sér stað og nýjar áhættur koma upp, verður aðgangsstýring að þróast. Reglulegar endurskoðanir eru mikilvægar til að bera kennsl á hlutverk með of mikla forréttindi, en rauntímaeftirlit er lykillinn að því að koma auga á óvenjulega aðgangsvirkni áður en hún verður ógn. Eiginleikar eins og sjálfvirk úthlutun, rauntímaviðvaranir og dulkóðunarsamhengi vinna saman að því að halda lyklunum þínum öruggum allan líftíma þeirra.
Algengar spurningar
Hver er öruggasta leiðin til að skipta aðgangi lykilstjórnanda og lykilnotanda?
Til að tryggja öryggi er best að fylgja leiðbeiningunum meginreglan um aðskilnað starfa. Þetta þýðir að skipta ábyrgð þannig að enginn einn einstaklingur geti sinnt bæði stjórnunarlegum og rekstrarlegum verkefnum. Til dæmis, tilnefna Lykilstjórnendur að hafa umsjón með lykilsköpun og stefnumótun, á meðan Lykilnotendur einbeita sér að dulritunarverkefnum eins og dulkóðun og afkóðun. Innleiða hlutverkatengd aðgangsstýring (RBAC) ásamt ítarlegum IAM-stefnum til að framfylgja þessum mörkum. Að auki skal halda ítarlegum endurskoðunarskrám til að fylgjast með starfsemi og bera fljótt kennsl á óheimilar aðgerðir.
Hvenær ætti ég að nota HSM í stað hugbúnaðarlyklageymslu?
Öryggiseining fyrir vélbúnað (HSM) er lausnin sem þarf að nota þegar... vélbúnaðarbundin einangrun og ónæmt fyrir innbroti eru óumdeilanleg til að vernda mjög viðkvæma dulritunarlykla. HSM-kerfi eru framúrskarandi í aðstæðum þar sem það er mikilvægt að uppfylla strangar kröfur eða þar sem lágmarka þarf áhættu vegna brota og hugbúnaðarvarnarleysis.
Ólíkt hugbúnaðarbyggðri lyklageymslu veita HSM-kerfi aukið öryggislag, sem gerir þau að kjörnum valkosti fyrir umhverfi sem krefjast hæsta verndarstigs.
Hvernig get ég snúið lyklum án þess að forrit skemmist eða missi aðgang að gögnum?
Til að skipta um dulkóðunarlykla án þess að trufla forrit eða missa aðgang að gögnum skaltu gera eftirfarandi:
- Skipuleggja og tímasetja snúningaSetja upp sjálfvirk kerfi eða skipuleggja lyklaframleiðslu eftir þörfum til að búa til nýja dulkóðunarlykla.
- Uppfæra forrit og gögnSkiptið yfir í nýju lyklana skref fyrir skref, haldið gömlu lyklunum virkum tímabundið til að viðhalda samhæfni.
- Fylgjast með og staðfestaPrófið vandlega til að staðfesta að forritin virki vel með uppfærðu lyklunum.
Þessi aðferð hjálpar til við að viðhalda öryggi og forðast truflanir.
