Administración de claves en centros de datos en la nube

Algunos HSM (estoy más acostumbrado a los de nCipher) permiten operaciones similares a la nube: varios HSM pueden compartir el mismo "mundo de seguridad", lo que significa que ven las mismas claves privadas, que intercambian entre sí a través del cifrado túneles El almacenamiento en sí no está, físicamente, en el HSM; es externa pero está encriptada con claves que se guardan dentro del HSM (la configuración completa involucra varios tipos de tarjetas inteligentes y es un poco más compleja que eso, pero entiendes la idea).

Azure tiene un mecanismo que descarga de forma segura las claves privadas en cada máquina virtual implementada y que la clave privada no es exportable. Aquí hay un documento técnico que describe el proceso en la sección 2.1.1.4

enlace

.

Cómo puedes instalar certificados en Azure

enlace

Amazon ahora admite el uso de HSM SafeNet con CloudHSM .
Microsoft Azure admite el uso de los HSM de Thales: Thales, Microsoft sirve criptografía segura en la nube .

Dudo que aún sea posible describir el uso "típico", la administración de claves o el almacenamiento, los detalles variarán tanto con el proveedor de nube como con el proveedor de HSM.

El Azure " Bring Your Own Key " le permite usar claves generadas en su propio HSM, pero es casi seguro que aún tenga que confiar en su proveedor de nube para administrar los HSM correctamente.

(Los HSM están diseñados para ser extremadamente difíciles para que una persona no autorizada extraiga las claves, pero permitir que los HSM compartan claves para la conmutación por error y la escalabilidad significa compartir secretos entre ellos, y eso debe hacerse de manera confiable. En el caso del nCipher (ahora Thales) los HSM que @ thomas-pornin menciona, si un atacante obtiene acceso no controlado a las tarjetas inteligentes de administrador utilizadas para agregar un HSM a un mundo de seguridad, pueden extraer claves de ese mundo. En el caso de SafeNet, se aplican consideraciones similares a a Luna PED. A menos que el proveedor de la nube le permita el acceso directo a "su" HSM en el centro de datos, debe confiar en su configuración inicial. Una vez que se establezcan los secretos con los HSM, entonces es posible asegurar una comunicación autenticada con ellos.)

Este artículo de IEEE de ayer señala que muchos proveedores ven la seguridad como un problema de los usuarios enlace ). Yo sugeriría evitar las suposiciones sobre la nube muy opaca y en su lugar obtener información específica de su proveedor antes de contratar el servicio.