निजी कुंजी प्रबंधन को सही तरीके से कैसे करें

Question

क्या किसी को ऐसी योजना के लिए व्यावहारिक अनुभव या संदर्भ मिला है जो PCI DSS सुरक्षा मानक का पालन करेगा जो एक महत्वपूर्ण प्रबंधन योजना लागू करता है?

पीसीआई डीएसएस के अनुरूप कंपनियों की संख्या को देखते हुए स्पष्ट रूप से कुछ कार्यान्वयन हैं लेकिन उनके विवरण खोजने का प्रयास करना मुश्किल है। जब यह निजी डेटा संग्रहीत करने के लिए नीचे आता है तो चर्चा आम तौर पर एन्क्रिप्शन एल्गोरिदम का उपयोग करने के लिए बंद हो जाती है। इसके बाद आम तौर पर निजी कुंजी को उचित रूप से संग्रहीत करने के बारे में एक बयान है लेकिन इसे करने के व्यावहारिक तरीकों या समय-समय पर कुंजी बदलने या अनुप्रयोगों की कुंजी प्रदान करने जैसी चीजों के बारे में कोई चर्चा नहीं है।

विशिष्ट रूप से मुझे अनुभागों से आपकी आवश्यकताओं में रूचि है पीसीआई डीएसएस मानक के 3.5 और 3.6।

3.5.2 क्रिप्टोग्राफिक कुंजी सुरक्षित रूप से कम से कम संभव स्थानों और रूपों में स्टोर करें।

3.6.a कार्डधारक डेटा के एन्क्रिप्शन के लिए उपयोग की जाने वाली कुंजियों के लिए कुंजी-प्रबंधन प्रक्रियाओं के अस्तित्व की पुष्टि करें। नोट: प्रमुख प्रबंधन के लिए कई उद्योग मानक एनआईएसटी समेत विभिन्न संसाधनों से उपलब्ध हैं, जो http://csrc.nist.gov पर पाए जा सकते हैं।

3.6.4 सत्यापित करें कि कुंजी-प्रबंधन प्रक्रियाओं को कम से कम वार्षिक रूप से आवधिक कुंजी परिवर्तनों की आवश्यकता के लिए लागू किया गया है।

मैं PCI DSS आवश्यकताओं दस्तावेज़ के रूप में NIST Cryptographic publications पर एक नज़र लिया है हाल ही में नोट एक Cryptographic Key Management Workshop की वास्तविक कार्यान्वयन योजनाओं या मानकों के रास्ते में ज्यादा हो प्रतीत नहीं होता है बल्कि अलग पता चलता है। एक ही रास्ता के रूप में प्रमाणीकरण के लिए हैश

1. स्टोर पासवर्ड + लवण,
2. डेटा एन्क्रिप्शन के लिए एक मजबूत symmteric एल्गोरिथ्म चुनें,
3. बचें ज़रूरत:

   मैं क्या यह करने के लिए कोशिश कर रहा हूँ के रूप में नहीं है निजी डेटा को पहले स्थान पर स्टोर करने के लिए।

4. अन्य तंत्र के साथ कुंजी प्रबंधन की आवश्यकता से बचें: भौतिक सुरक्षा, डेटाबेस सुरक्षा, ड्रेगन और जादूगरों आदि

जिनमें से सभी वैध चिंताएं हैं लेकिन इस मामले में जवाब नहीं कर रहे हैं। मेरी आवश्यकताओं के नट और बोल्ट एक अलग SO प्रश्न .Net Design pattern for storing and retrieving sensitive per user data में हैं, लेकिन यह सभी महत्वपूर्ण प्रबंधन के लिए उबलता है इसलिए यह अधिक परिष्कृत प्रश्न है।

Answer 1

मैं जिस दर्द से गुजर रहा हूं उससे परिचित हूं। हम पीसीआई अनुपालन की ओर एक पुरानी ईएफटी प्रणाली को अद्यतन करने के लिए संघर्ष कर रहे थे। मुख्य प्रबंधन निश्चित रूप से (मेरे सॉफ़्टवेयर दृष्टिकोण से) सबसे चुनौतीपूर्ण हिस्सा था।

मुझे लगता है कि मैंने NIST Recommendations for Key Management में भी ठोकर खाई है कि मार्टिन ने पोस्ट किया है, और ठोस उदाहरणों की कमी के साथ अविश्वसनीय रूप से निराश हो गया है।

ANSI X9.17 - Financial Institution Key Management शायद पीसीआई-डीएसएस के साथ आपकी आवश्यकताओं के लिए सबसे प्रासंगिक है। हालांकि, इसे पढ़ने में शुभकामनाएं, दस्तावेज़ टीएलए का एक विशाल संग्रह है जो मुझे पता है कि मैं निश्चित रूप से पढ़ने के लिए संघर्ष कर रहा हूं। (एक्स 9।17 वार्षिक अद्यतन किया जाता है, और नवीनतम संस्करण है: NIST SP 800-57 Pt. 1 Rev. 4)

निराशा हताशा मैं The Electronic Money Mill में ठोकर खाई जो एक काल्पनिक कहानी है में बदल गया है, प्रासंगिक तकनीकी संदर्भ की एक अच्छी संख्या के साथ। Chapter 17 X9.17 पर चर्चा करता है और समझ में मदद कर सकता है।

इस संदर्भ सामग्री से मैंने एक महत्वपूर्ण प्रबंधन प्रणाली तैयार की है जो हमारे ऑडिटर से प्रसन्न था। डिज़ाइन दस्तावेज़ काफी लंबा हैं, लेकिन संक्षेप में विचार यह है कि आपके पास एन्क्रिप्टिंग कुंजी कुंजी एन्क्रिप्टिंग कुंजी द्वारा संरक्षित है, और कुंजी एन्क्रिप्टिंग कुंजी भौतिक रूप से अलग बॉक्स पर संग्रहीत है, जो स्वयं मास्टर कुंजी द्वारा संरक्षित है।

मेरा कार्यान्वयन एक विंडोज सर्वर पर एक कुंजी सर्वर अनुप्रयोग चलाना था। इस एप्लिकेशन को इस्तेमाल होने से पहले दो अलग 'कुंजी सर्वर मास्टर कुंजी' की प्रविष्टि की आवश्यकता थी। ये कुंजी केवल कुंजी सर्वर प्रशासकों के लिए जानी जाएंगी। मास्टर कुंजी उत्पन्न करने के लिए ये कुंजी xor'd एक साथ हैं, जो एप्लिकेशन चल रहा है, जबकि केवल सुरक्षित स्मृति में संग्रहीत है। एप्लिकेशन स्वचालित रूप से क्रिप्टोग्राफ़िक रूप से मजबूत कुंजी एन्क्रिप्टिंग कुंजी उत्पन्न कर सकता है, जो मास्टर कुंजी का उपयोग करके एन्क्रिप्टेड रूप में संग्रहीत होते हैं।

जिन अनुप्रयोगों को एन्क्रिप्शन की आवश्यकता है, वे कुंजी सर्वर से कुंजी एन्क्रिप्टिंग कुंजी का अनुरोध करेंगे। केईके का उपयोग डेटा एन्क्रिप्टिंग कुंजी को एन्क्रिप्ट/डिक्रिप्ट करने के लिए किया जाता है, जिसे एप्लिकेशन डेटा के साथ सुरक्षित रूप से संग्रहीत किया जा सकता है।

शुभकामनाएं। मुझे आशा है कि आपको यह भी एक दिलचस्प चुनौती मिल जाएगी!

Answer 2

क्या आपने एनआईएसटी SP 800-57 देखा है, कुंजी प्रबंधन के लिए सिफारिश?