Size: a a a

Архитектура ИТ-решений

2019 November 19

d

dreamore in Архитектура ИТ-решений
Hsm не про подписание документов
источник

A

Alexey in Архитектура ИТ-решений
Когда вы инициализируете HSM, он создаёт свои собственные ключи, которые хранит в себе и не отдаёт наружу. Не помню сколько их точно, 1 или 2. LMK они, вроде называются (уже подзабыл терминологию). В любом случае, он эти ключи и их варианты использует для подписи других ключей, которые генерирует по просьбе приложений и людей.
источник

GK

Gennadiy Kruglov in Архитектура ИТ-решений
Ок
источник

A

Alexey in Архитектура ИТ-решений
То есть, схема его работы при генерации ключа:
сгенери ключ,
зашифруй его опредеённой вариацией LMK,
отдай наружу в зашифрованном виде
источник

GK

Gennadiy Kruglov in Архитектура ИТ-решений
не уверен, что HSM не может хранить приватные ключи
источник

A

Alexey in Архитектура ИТ-решений
Когда этот внешний ключ надо использовать, он отдаётся HSM'у, тот его расшифрует и потом уже использует
источник

A

Alexey in Архитектура ИТ-решений
Gennadiy Kruglov
не уверен, что HSM не может хранить приватные ключи
ну, наверное это от модели HSM зависит. Наш не умеет такое. Сгенерил - отдал и забыл
источник

A

Alexey in Архитектура ИТ-решений
Да, немного наврал про LMK: чтобы не потерять всю ключевую инфраструктуру (пользовательские ключи, зашифрованные LMK'шками) есть возможность инициализировать HSM "прежними" LMK. А для поддержкания такого режима используется функциональность, когда реальный LMK бьётся на 2 или 3 части и либо (а) пишется на специлаьную смарт-карту, либо (б) печататеся на "чек". В обоих случаях - на жётский носитель. Носители разбирают офицеры безопасности и прячут до ХУДЬШИХ времён.
источник

GK

Gennadiy Kruglov in Архитектура ИТ-решений
источник

A

Alexey in Архитектура ИТ-решений
Вообщетам намного больше всякого веселья с точки зрения офицеров безопасности, режимов работы и т.д. Но это всё инфраструктура...
источник

GK

Gennadiy Kruglov in Архитектура ИТ-решений
There are some which store the keys in encrypted files (Thales springs to mind), while others store them internally (Gemalto springs to mind here).
источник

GK

Gennadiy Kruglov in Архитектура ИТ-решений
Облачные подписи существуют. Ключи для облачных подписей хранятся в облачной инфраструктуре. Поскольку я никогда не делал такие решения сам, предполагаю, что закрытые ключи (private) в таких решения хранятся в HSM, потому что есть HSM которые умеют хранить закрытые ключи.
источник

GK

Gennadiy Kruglov in Архитектура ИТ-решений
Если это не так, думаю, что все будут рады узнать как.
источник

PD

Phil Delgyado in Архитектура ИТ-решений
HSM - весьма специфические штуки, ещё и под разные задачи. Но вообще не вижу проблем с хранением ключей - вполне это можно сделать или в собственном хранилище или в каком-нибудь hashicorp vault.
источник

A

Artyomst in Архитектура ИТ-решений
Gennadiy Kruglov
Если это не так, думаю, что все будут рады узнать как.
Ты прав, сам Криптопро пишет:
источник

A

Artyomst in Архитектура ИТ-решений
Пользовательские ключи хранятся в HSM в зашифрованном виде с использованием специальных мастер-ключей защиты. Эти мастер-ключи, в свою очередь, зашифрованы с использованием ключа активации HSM, который защищен с использованием схемы разделения секрета «3 из 5» с хранением компонент на смарт-картах администраторов безопасности.
источник

A

Artyomst in Архитектура ИТ-решений
источник

GK

Gennadiy Kruglov in Архитектура ИТ-решений
Не трудно было догадаться, если честно)
источник

PD

Phil Delgyado in Архитектура ИТ-решений
Там много ключей обычно не помещается. Не миллионы.
источник

GK

Gennadiy Kruglov in Архитектура ИТ-решений
Phil Delgyado
HSM - весьма специфические штуки, ещё и под разные задачи. Но вообще не вижу проблем с хранением ключей - вполне это можно сделать или в собственном хранилище или в каком-нибудь hashicorp vault.
Технически, да
источник