Wie man das private Schlüsselmanagement richtig macht

Question

Hat jemand praktische Erfahrung oder eine Referenz für ein Schema, das ein wichtiges Managementschema implementiert, das dem entspricht PCI DSS Sicherheitsstandard?

Es gibt offensichtlich einige Implementierungen, da die Anzahl der Unternehmen, die mit PCI -DSS entspricht, aber versucht, Details davon zu finden. Wenn es sich um die Speicherung privater Daten handelt, stoppt die Diskussion normalerweise, bei welchen Verschlüsselungsalgorithmus verwendet werden soll. Danach gibt es normalerweise eine Aussage darüber, den privaten Schlüssel angemessen zu speichern, aber keine Diskussion über praktische Möglichkeiten, dies zu tun, oder wie Dinge wie regelmäßig den Schlüssel zu ändern oder den Schlüssel zu Anwendungen usw. zu liefern.

Speziell bin ich an Ihnen interessiert an den Anforderungen aus den Abschnitten 3.5 und 3.6 des PCI -DSS -Standards.

3.5.2 Kryptografische Schlüssel sicher an den wenigsten möglichen Orten und Formularen.

3.6.A Überprüfen Sie das Vorhandensein von Schlüsselmanagementverfahren für Schlüssel zur Verschlüsselung von Karteninhaberdaten. Hinweis: Aus verschiedenen Ressourcen sind zahlreiche Branchenstandards für das Schlüsselmanagement erhältlich http://csrc.nist.gov.

3.6.4 Überprüfen Sie, ob die Tastaturmanagementverfahren mindestens jährlich regelmäßig wichtige Änderungen benötigen.

Ich habe mir das angesehen Kryptografische Veröffentlichungen von NIST Wie das PCI -DSS -Anforderungsdokument vorschlägt, aber abgesehen von den jüngsten Notizen von a Kryptografische Schlüsselmanagement -Workshop Es scheint nicht viel in Bezug auf echte implementierbare Systeme oder Standards zu geben.

Was ich versuche zu tun, ist nicht:

1. Speichern Sie Passwörter + Salze als Einweg -Hashes zur Authentifizierung,
2. Wählen Sie einen starken symmteren Algorithmus für die Datenverschlüsselung,
3. Vermeiden Sie es, überhaupt private Daten zu speichern.
4. Vermeiden Sie die Notwendigkeit des Schlüsselmanagements mit anderen Mechanismen: physische Sicherheit, Datenbanksicherheit, Drachen und Assistenten usw.

Alle davon sind gültige Bedenken, aber in diesem Fall sind nicht die Antwort. Die Muttern und Bolzen meiner Anforderungen sind in einer anderen Frage, die sich darum kümmern .NET -Designmuster zum Speichern und Abrufen von Sensibilen pro Benutzerdaten Aber alles läuft auf das Schlüsselmanagement hinaus, weshalb diese raffiniertere Frage.

Answer 1

Ich bin mit dem Schmerz vertraut, den Sie durchmachen. Wir hatten Mühe, ein altes EFT -System für die PCI -Konformität zu aktualisieren. Das Schlüsselmanagement war sicherlich (aus meiner Sicht des Software) der schwierigste Teil.

Ich glaube, ich bin auch in die gestolpert NIST -Empfehlungen für das Schlüsselmanagement Dieser Martin postete und war unglaublich frustriert mit dem Mangel an konkreten Beispielen.

ANSI X9.17 - Finanzinstitut Schlüsselmanagement ist wahrscheinlich am relevantesten für Ihre Bedürfnisse, mit PCI-DSS. Viel Glück beim Lesen, das Dokument ist eine massive Sammlung von TLAs, von denen ich weiß, dass ich mit Sicherheit Mühe hatte zu lesen. (X9.17 wird jährlich aktualisiert und die neueste Version ist jetzt: NIST SP 800-57 pt. 1 Rev. 4 )

Als Frustration der Verzweiflung wandte, stolperte ich hinein Die elektronische Geldmühle Dies ist eine fiktive Geschichte mit einer guten Anzahl relevanter technischer Referenzen. Kapitel 17 Erörtert X9.17 und kann beim Verständnis helfen.

Aus all diesem Referenzmaterial habe ich ein Schlüsselmanagementsystem entworfen, mit dem unser Auditor zufrieden war. Die Entwurfsdokumente sind ziemlich langwierig, aber zusammenfassend ist die Idee, dass Sie Ihre Datenverschlüsselungsschlüssel durch einen Schlüsselverschlüsselungsschlüssel geschützt haben, und der Schlüsselverschlüsselungsschlüssel wird in einem physikalisch separaten Feld gespeichert, das selbst durch einen Master -Schlüssel geschützt ist.

Meine Implementierung bestand darin, dass eine wichtige Serveranwendung in einem Windows -Box ausgeführt wird. Diese Anwendung erforderte einen Eintrag von zwei separaten "Schlüsselserver -Master -Schlüssel", bevor sie verwendet werden konnte. Diese Schlüssel wären nur den wichtigsten Serveradministratoren bekannt. Diese Tasten werden zusammen mit dem Master -Schlüssel zusammengefasst, der nur im geschützten Speicher gespeichert ist, während die Anwendung ausgeführt wird. Die Anwendung kann dann automatisch kryptografisch starke Schlüsselverschlüsselungsschlüsse generieren, die mit dem Hauptschlüssel in verschlüsselter Form gespeichert werden.

Anwendungen, die Verschlüsselung benötigen, fordern einen Schlüsselverschlüsselungsschlüssel vom Schlüsselserver an. Der KEK wird von der Anwendung verwendet, um den Datenverschlüsselungsschlüssel zu verschlüsseln/zu entschlüsseln, der mit den Anwendungsdaten sicher gespeichert werden kann.

Viel Glück. Ich hoffe, Sie finden es auch eine interessante Herausforderung!

Answer 2

Hast du NIST gesehen SP 800-57, Empfehlung für das Schlüsselmanagement?