¿Qué es el requisito 3.5.3 de los componentes clave de longitud completa? PCI DSS

Componentes clave: Digamos que tienes una clave de cifrado simétrica. Para hacer una copia de seguridad de la clave y lograr un conocimiento dividido, exporte la clave como componentes separados.

Si la clave es una clave de 128 bits, debe obtener componentes clave que tengan una longitud de 128 bits. Puedes tener dos o más componentes. Estos componentes pueden ser XOR'd juntos (una operación bitwise) para recrear la clave de cifrado inicial.

Estos componentes clave deben estar bajo la responsabilidad de diferentes personas (es decir, custodios clave).

Con lo anterior, tiene conocimiento dividido: ninguna persona individual conoce la clave completa y el conocimiento de un solo componente no proporciona ningún medio para obtener la clave original.

También tiene control dual: se requieren al menos dos personas para recrear la clave de cifrado.

El almacén de claves se relaciona con la ubicación de la clave, por ejemplo, la clave de cifrado de datos probablemente se almacene como un criptograma cifrado con una clave de cifrado de clave de igual o mayor fuerza.

La verificación suele realizarse a través de la revisión de un proceso documentado, entrevistas con custodios clave, revisión de registros de la generación de claves y ubicaciones de almacenamiento de componentes.

IANAQSA, pero creo que esto hace referencia a las teclas divididas.

NIST SP800-57 es probablemente el tipo de estándar aceptable del PCI SSC tenía en mente. Para citar:

  

6.2.1.3 Confidencialidad

     

.... Si se requiere protección de confidencialidad, el material de claves   se protegerá utilizando uno o más de los siguientes mecanismos:

     

1. Método manual:
  

...

     

-OR-

     

(b) El material de codificación se separa en componentes clave, con cada uno   componente clave que se genera en una fuerza de seguridad que cumple o   Supera la fuerza de seguridad requerida del material de incrustación. Cada   Se maneja el componente clave, usando procedimientos de conocimiento dividido (ver   Secciones 8.1.5.2.1 y 8.1.5.2.2.1), de modo que ninguna persona individual pueda   Adquiera acceso a todos los componentes clave.

y

  

8.1.5.2.1 Generación de claves

     

...

     

Cuando se utilizan procedimientos de conocimiento dividido, la clave debe existir fuera   de un módulo criptográfico [FIPS140] como componentes clave múltiples. los   Se puede crear material de codificación dentro de un módulo criptográfico y luego   dividido en componentes para exportar desde el módulo, o puede crearse como   Componentes separados. Cada componente clave proporcionará ningún conocimiento de   el valor clave (por ejemplo, cada componente clave debe aparecer para generarse   al azar). Si se requiere conocimiento de k componentes para construir el   clave original, entonces el conocimiento de cualquier componente clave k-1 proporcionará   no hay información sobre la clave original que no sea, posiblemente, su   longitud.

No he visto implementadas las teclas de división, y nunca tuve motivos para discutirlas con un QSA, por lo que no puedo darle una guía más práctica sobre qué tipo de implementación pasaría el proceso de QSA. Es posible que desee considerar publicar esta pregunta en Crypto.SE que está más enfocado a este nivel de detalle.

Suena como dos claves utilizadas dentro de un esquema de intercambio de claves . Por ejemplo, podría tener dos claves K0 y K1 que, cuando XOR'ed juntas forman la clave protegida. Por supuesto, ambas claves deben tener la misma longitud (completa) de la clave original.

En ese caso necesitas ambas llaves. También hay 2 de 3 esquemas, etc., un llamado esquema de umbral como intercambio secreto de Shamir .

Por supuesto, también puede dividir las teclas cortándolas en partes y compartiéndolas. En ese caso las teclas son de menor tamaño. Esto también significaría que es más fácil adivinar los bits restantes a partir de una sola clave compartida. En otras palabras, las claves deben ser de tamaño completo para mantener el mismo nivel de seguridad que la clave para proteger. Más información en el artículo de Wikipedia .