كيفية القيام بإدارة المفاتيح الخاصة بشكل صحيح

Question

هل حصل أي شخص على خبرة عملية أو مرجع لمخطط ينفذ مخطط إدارة رئيسي يتوافق مع PCI DSS معيار الأمن؟

من الواضح أن هناك عدد قليل من التطبيقات حول عدد الشركات المتوافقة مع PCI DSS ولكن محاولة العثور على تفاصيل عنها أمر صعب. عندما يتعلق الأمر بتخزين البيانات الخاصة ، تتوقف المناقشة عادةً التي تتوقف فيها خوارزمية التشفير لاستخدامها. بعد ذلك ، عادة ما يكون هناك بيان حول تخزين المفتاح الخاص بشكل مناسب ولكن لا يوجد نقاش حول الطرق العملية للقيام بذلك أو أشياء مثل تغيير المفتاح بشكل دوري أو توفير المفتاح للتطبيقات وما إلى ذلك.

أنا مهتم بالمتطلبات الخاصة بك من القسمين 3.5 و 3.6 من معيار PCI DSS.

3.5.2 تخزين مفاتيح التشفير بشكل آمن في أقل عدد من المواقع والنماذج الممكنة.

3.6. تحقق من وجود إجراءات إدارة المفاتيح للمفاتيح المستخدمة لتشفير بيانات حامل البطاقة. ملاحظة: تتوفر العديد من معايير الصناعة للإدارة الرئيسية من موارد مختلفة بما في ذلك NIST ، والتي يمكن العثور عليها في http://csrc.nist.gov.

3.6.4 تحقق من تنفيذ إجراءات إدارة المفاتيح لتتطلب تغييرات رئيسية دورية على الأقل سنويًا.

لقد ألقيت نظرة على منشورات تشفير NIST كما تقترح مستند متطلبات PCI DSS ولكن بصرف النظر عن الملاحظات الحديثة لـ a ورشة إدارة مفتاح التشفير لا يبدو أن هناك الكثير في طريق المخططات أو المعايير القابلة للتنفيذ الحقيقية.

فيما يتعلق بما أحاول القيام به ليس:

1. تخزين كلمات المرور + الأملاح كطريقة واحدة تجزئة للمصادقة ،
2. اختر خوارزمية متماثلة قوية لتشفير البيانات ،
3. تجنب الحاجة إلى تخزين البيانات الخاصة في المقام الأول.
4. تجنب الحاجة إلى الإدارة الرئيسية مع آليات أخرى: الأمان المادي ، أمان قاعدة البيانات ، التنين والمعالجات وما إلى ذلك.

كلها مخاوف صالحة ولكن في هذه الحالة ليست هي الحل. إن المكسرات والمسامير الخاصة بمتطلباتي مختلفين لذلك سؤال .NET نمط تصميم لتخزين واستعادة حساسية لكل بيانات المستخدم لكن كل شيء يتلخص في الإدارة الرئيسية وبالتالي هذا السؤال الأكثر دقة.

Answer 1

أنا على دراية بالألم الذي تمر به. كافحنا لتحديث نظام EFT القديم نحو الامتثال PCI. كانت الإدارة الرئيسية بالتأكيد (من وجهة نظر البرنامج الخاصة بي) الجزء الأكثر تحديا.

أعتقد أنني تعثرت أيضًا في توصيات NIST للإدارة الرئيسية هذا مارتن نشر ، وأصيب بالإحباط بشكل لا يصدق بسبب عدم وجود أمثلة ملموسة.

ANSI X9.17 - الإدارة الرئيسية للمؤسسة المالية ربما يكون الأكثر صلة باحتياجاتك ، مع PCI-DSS. حظًا سعيدًا في قراءته ، فإن الوثيقة عبارة عن مجموعة ضخمة من TLA التي أعلم أنني ناضلت بالتأكيد من أجل القراءة. (تم تحديث X9.17 سنويًا ، وأحدث إصدار الآن: NIST SP 800-57 PT. 1 القس 4 )

عندما تحول الإحباط إلى اليأس ، تعثرت مطحنة المال الإلكترونية وهي قصة خيالية ، مع عدد كبير من المراجع التقنية ذات الصلة. الفصل 17 يناقش X9.17 وقد يساعد في الفهم.

من كل هذه المادة المرجعية التي صممتها نظام إدارة رئيسي كان مدققنا يسره. تكون مستندات التصميم طويلة إلى حد ما ، ولكن باختصار الفكرة هي أن لديك مفتاح تشفير البيانات المحمي بواسطة مفتاح تشفير رئيسي ، ويتم تخزين مفتاح التشفير الرئيسي على مربع منفصل جسديًا ، محميًا بمفتاح رئيسي.

كان تنفيذي هو أن يكون تطبيق خادم مفتاح يعمل على مربع Windows. يتطلب هذا التطبيق إدخال اثنين من مفاتيح "خادم مفتاح Master" منفصلين قبل استخدامه. ستكون هذه المفاتيح معروفة فقط لمسؤولي الخادم الرئيسي. هذه المفاتيح هي Xor'd معًا لإنشاء المفتاح الرئيسي ، والذي يتم تخزينه فقط في الذاكرة المحمية أثناء تشغيل التطبيق. يمكن للتطبيق بعد ذلك إنشاء مفاتيح تشفير مفاتيح مفتاح قوية تشفيرًا تلقائيًا ، والتي يتم تخزينها في شكل مشفر باستخدام المفتاح الرئيسي.

ستطلب التطبيقات التي تحتاج إلى تشفير مفتاح تشفير مفتاح من خادم المفاتيح. يتم استخدام KEK بواسطة التطبيق لتشفير/فك تشفير مفتاح تشفير البيانات ، والذي يمكن تخزينه بشكل آمن مع بيانات التطبيق.

حظا طيبا وفقك الله. أتمنى أن تجدها أيضًا تحديًا مثيرًا للاهتمام!

Answer 2

هل رأيت نيست SP 800-57, توصية للإدارة الرئيسية؟