¿Se requiere una clave de cifrado de clave / control dual?

Uno de los problemas con las PCI DSS es que los requisitos están implementados o no, por lo que no es un enfoque basado en el riesgo. El control dual significa que ningún usuario tiene 'las claves del reino', por así decirlo, y la clave de cifrado de clave (KEK) evita que la clave utilizada para el cifrado de datos (llamémosla Clave de cifrado de datos o DEK) se vea nunca en el claro.

El KEK siempre debe ser igual o mayor que el DEK. No estoy seguro de que los requisitos sean claros, aunque recomiendan que esté en línea con los estándares del NIST (como 800-57). No creo que el uso de XOR como KEK para el DEK proporcione esto.

Hacer cumplir el control dual puede ser difícil, es una buena idea hacerlo a través de un servicio que tiene acceso a partes clave distribuidas con RBAC por separado. Otra es tener una KEK en una aplicación y DEK encriptada con KEK en una base de datos con RBAC en aplicaciones y sistemas DB. MS SQL tiene un sistema de administración de claves integrado mediante claves de cifrado maestro, claves de cifrado de datos y certificados para proteger las claves. StrongAuth tiene una biblioteca de cifrado Lite para hacer esto también. Si tiene un QSA, puede preguntarles cómo lo han visto implementado en el pasado.

Resulta difícil dar una respuesta clara de sí / no a las preguntas relacionadas con PCI, ya que hay auditores humanos involucrados y no existe una norma uniforme para emitir juicios que cumplan o no. Un auditor puede aprobar su enfoque, mientras que otro no.

3.6.2 Distribución segura de claves criptográficas

3.6.3 Almacenamiento seguro de claves criptográficas

Dividir la llave en dos partes y volver a ensamblarlas solo propaga el problema y crea complejidad. Ahora tiene dos "claves", una encriptada y otra que desbloquea la encriptación de la primera clave. ¿Cómo proteges la segunda llave? Para que los sistemas funcionen, debe tener una clave sin cifrar en algún lugar o una persona disponible las 24 horas del día, los 7 días de la semana, para ingresar una frase de contraseña.

Interpreto 3.6.2 como transferir su clave por medios seguros y solo a lugares donde sea necesario y 3.6.3 como almacenar su clave en los lugares correctos con controles de acceso y auditoría adecuados.