Produkty do kryptografii i bezpiecznych danych

Zaczynamy od Państwa wymagań dotyczących poziomu walidacji, obciążenia, interfejsów i modelu eksploatacji i porównujemy je z seriami siedmiu producentów. Gdy pasuje kilka serii, otwarcie wskazujemy kompromisy, na przykład między poziomem walidacji a przepustowością. Wynik zapisujemy w dokumencie decyzyjnym, który mogą Państwo przekazać dalej wewnątrz organizacji.

Zaczynamy od Państwa wymagań. Należą do nich poziom walidacji, obciążenie, interfejsy i model eksploatacji. Porównujemy je z seriami siedmiu producentów. Często pasuje kilka serii do Państwa przypadku. Wtedy otwarcie wskazujemy kompromisy. Jednym przykładem jest poziom walidacji wobec przepustowości. Wynik trafia do dokumentu decyzyjnego. Mogą Państwo przekazać ten dokument dalej wewnątrz organizacji.

Nie, jesteśmy partnerem wymienionych tu producentów i odpowiadamy za wybór, integrację i eksploatację. Nie twierdzimy, że działamy na wyłączność, ponieważ wybór wynika z Państwa wymagań, a nie z umowy ramowej. Zaopatrzenie i licencje ustalamy wspólnie z producentem i Państwa działem zakupów.

Nie, nie jesteśmy dystrybutorem. Jesteśmy partnerem wymienionych tu producentów. Odpowiadamy za wybór, integrację i eksploatację. Nie twierdzimy, że działamy na wyłączność. Wybór wynika z Państwa wymagań. Nie wynika z umowy ramowej. Zaopatrzenie i licencje ustalamy wspólnie. Biorą w tym udział producent i Państwa dział zakupów.

Obecnie dział obejmuje jedną kategorię, sprzętowe moduły bezpieczeństwa, z siedmioma stronami producentów od Utimaco po IDEMIA. Kolejne kategorie dla zarządzania kluczami, podpisu i szyfrowania danych dołączą, gdy tylko zweryfikujemy dane każdej serii. Jeśli brakuje produktu, który Państwo właśnie sprawdzają, prosimy o kontakt.

Dziś istnieje jedna kategoria. Nazywa się sprzętowe moduły bezpieczeństwa. Należy do niej siedem stron producentów od Utimaco po IDEMIA. Dołączą kolejne kategorie. Planujemy zarządzanie kluczami, podpis i szyfrowanie danych. Opublikujemy je po weryfikacji danych każdej serii. Jeśli brakuje produktu, prosimy o kontakt.

To Państwo decydują. Eksploatują Państwo urządzenia samodzielnie, przekazują eksploatację nam albo korzystają z oferty producenta jako usługi. Jeden zespół towarzyszy Państwu od doradztwa aż po eksploatację, dzięki czemu osoby kontaktowe i dokumentacja pozostają te same po zakończeniu projektu.

To Państwo decydują. Mogą Państwo eksploatować urządzenia samodzielnie. Mogą Państwo przekazać eksploatację nam. Mogą Państwo też skorzystać z oferty producenta jako usługi. Jeden zespół towarzyszy Państwu od doradztwa aż po eksploatację. Osoby kontaktowe i dokumentacja pozostają te same po projekcie.

Dział łączy produkty, które generują i chronią klucze oraz udostępniają je aplikacjom. Jesteśmy partnerem poszczególnych producentów, a nie dystrybutorem, dlatego porównujemy serie z Państwa wymaganiami dotyczącymi poziomu walidacji, obciążenia i eksploatacji. Każda informacja na stronie producenta pochodzi z oficjalnej dokumentacji produktu. Kryptografia i sprzętowe moduły bezpieczeństwa są naszą kluczową kompetencją. Znamy procedury certyfikacji, interfejsy i granice poszczególnych linii produktowych i mówimy Państwu, gdzie urządzenie osiąga granicę swojego obciążenia w eksploatacji. Z tej wiedzy powstaje wybór, który Państwa audytorzy mogą prześledzić.

Porównujemy serie kilku producentów z Państwa wymaganiami i wskazujemy kompromisy, zamiast forsować jedną linię.

Jeden zespół towarzyszy Państwu od doradztwa aż po eksploatację. Ci sami ludzie podłączają Państwa aplikacje i później monitorują urządzenia w codziennej eksploatacji.

Kryptografia i sprzętowe moduły bezpieczeństwa są naszą kluczową kompetencją. Znamy oprogramowanie układowe, ceremonie kluczy i ścieżki migracji, a nie tylko kartę katalogową.

Całe rozwiązanie działa w niemieckich centrach danych. Lokalizację, dostęp i dokumentację ustalamy wcześniej z Państwa działem audytu wewnętrznego.

Sprzętowy moduł bezpieczeństwa chroni klucze kryptograficzne i wykonuje obsługiwane operacje w ramach określonej granicy bezpieczeństwa. To, czy klucz może zostać wyeksportowany, zależy od jego konfiguracji w połączeniu z obsługiwanym algorytmem. PKCS #11, dostawcy CNG lub Java oraz interfejsy zarządzania kluczami pełnią różne funkcje. Sprawdzamy cały łańcuch aplikacyjny, a nie tylko to, czy wymieniono dany interfejs. Kryptografia i sprzętowe moduły bezpieczeństwa są naszą kluczową kompetencją. Znamy serie producentów, numery certyfikatów oraz granice poszczególnych platform. Prowadzimy Państwa przedsięwzięcie od wyboru, przez ceremonię generowania kluczy, aż po bieżącą eksploatację.

Cztery typowe zadania pokazują, gdzie sensownie wykorzystuje się HSM. To, jakie dowody zgodności i mechanizmy ochrony są potrzebne, wynika z Państwa aplikacji i konkretnych wymagań. Sam HSM nie potwierdza ani bezpieczeństwa całego środowiska, ani jego zgodności.

Te cztery przykłady pokazują możliwe zadania dla HSM. To, jakich dowodów Państwo potrzebują, zależy od sposobu zastosowania. Certyfikowane urządzenie nie czyni automatycznie bezpiecznym całego środowiska.

Root CA oraz issuing CA mogą używać swoich kluczy prywatnych za pośrednictwem obsługiwanego połączenia z HSM. Należą do tego odpowiednie profile certyfikatów, role i procedury unieważniania. Skompromitowany serwer CA może mimo chronionego klucza wywołać niedozwolone żądania, dlatego zabezpieczamy również zatwierdzenia i samą aplikację.

Urząd certyfikacji wystawia certyfikaty. Jego klucze prywatne mogą być przechowywane w HSM. Mimo to oprogramowanie musi być chronione. W przeciwnym razie ten, kto by je przejął, mógłby żądać niedozwolonych podpisów.

HSM płatnicze obsługują przewidziane do tego funkcje przetwarzania PIN, kluczy kartowych lub dystrybucji kluczy. Sprawdzamy polecenia, metody obsługi kluczy, wymagania partnerów oraz konkretny status certyfikacji urządzenia. HSM uniwersalny nie jest automatycznie zamiennikiem.

HSM płatniczy jest przeznaczony do zadań związanych z płatnościami. Może na przykład pomagać przy sprawdzaniu PIN. Sprawdzamy potrzebne funkcje oraz wymagania Państwa partnerów. Nie każdy HSM potrafi wykonać te zadania.

Podpisy wspierane przez HSM mogą chronić klucze dla oprogramowania i oprogramowania układowego. Proces musi dodatkowo określać, kto zatwierdza dany artefakt i może go podpisać. Wymagania dotyczące przechowywania kluczy sprawdzamy w odniesieniu do używanego certyfikatu i modelu zaufania.

Podpis cyfrowy pomaga sprawdzić oprogramowanie i jego wydawcę. HSM może chronić klucz podpisu. Dodatkowo musi być ustalone, kto zatwierdza dane oprogramowanie do podpisania.

System zarządzania kluczami może łączyć aplikacje i pamięć masową za pomocą obsługiwanych protokołów, takich jak KMIP, i wykorzystywać HSM jako komponent ochronny. Przy BYOK, zewnętrznym zarządzaniu kluczami i szyfrowaniu kopertowym sprawdzamy, gdzie i jakie klucze są używane oraz kto może wywoływać operacje. Samo BYOK nie wyklucza dostępu dostawcy do danych.

Centralny system może zarządzać kluczami dla aplikacji i pamięci masowej. HSM może przy tym chronić szczególnie ważne klucze. Sprawdzamy, kto może używać których kluczy. Własny klucz w chmurze nie oznacza automatycznie, że dostawca nie może odczytać danych.