Criptografia

Para usar criptografia no sistema, deve-se ativar a criptografia e criar cópias das chaves. Para servidores baseados em SuperMicro, é necessário configurar o módulo de plataforma confiável antes de ativar a criptografia.

O sistema suporta criptografia opcional de dados inativos. Esse suporte protege com relação à exposição potencial de dados sensíveis do usuário e metadados do usuário que são armazenados em dispositivos de armazenamento descartados, perdidos ou roubados.

Acessando um Sistema Criptografado

O planejamento para criptografia envolve ativar a função no sistema. O sistema suporta dois métodos de configuração de criptografia. É possível usar unidades flash USB que contêm chaves de criptografia ou usar um servidor de chaves centralizado para criar e gerenciar chaves. Ambos os métodos podem ser ativados ao mesmo tempo para fornecer redundância.

Para criptografar os dados que são armazenados em unidades, os nós com capacidade de criptografia devem ser configurados para usar criptografia. Quando a criptografia for ativada no sistema, as chaves de criptografia válidas deverão estar presentes no sistema quando o sistema desbloquear as unidades e o usuário gerar uma nova chave.

Se estiver usando a criptografia para proteger dados copiados no armazenamento em nuvem, a conta de nuvem sempre será sincronizada com as configurações de criptografia do sistema. Se unidades flash USB e os servidores de chaves forem configurados, a conta de nuvem que for criada suportará ambos os métodos. Se somente um método de criptografia for configurado e o outro estiver desativado, a conta de nuvem suportará a criptografia com o método de criptografia configurado restante. Para assegurar que a conta de nuvem suporte a criptografia, um ou ambos os métodos deverão ser configurados com chaves ativas quando a conta de nuvem for criada.

Se uma conta de nuvem for criada com um método de criptografia, será possível configurar o segundo método posteriormente, mas a conta de nuvem deverá estar on-line enquanto a configuração ocorrer. Após o segundo método ser configurado, a conta de nuvem suportará ambos os provedores de chave.

Antes de ativar a criptografia, deve-se determinar o método de acessar informações chave nas ocasiões em que o sistema requer que uma chave de criptografia esteja presente. O sistema requer que uma chave de criptografia esteja presente durante as operações a seguir:

Energia do sistema ligada
Reinício do sistema
O usuário iniciou as operações de rechaveamento
Recuperação do Sistema
Remoção ou substituição de unidades de autocriptografia

Diversos fatores devem ser considerados ao planejar a criptografia.

Segurança física do sistema
Necessidade e benefício de acessar manualmente as chaves de criptografia quando o sistema requerer
Disponibilidade de dados chave
A criptografia é ativada no sistema
Se você estiver usando o IBM Security Key Lifecycle Manager para criar e gerenciar chaves, assegure-se de estar usando a versão 2.7.0 ou mais recente. Se você estiver usando a versão 2.7, o sistema suportará um servidor de chaves mestre (principal) e servidores de chaves secundários. No entanto, a replicação é um processo manual e durante as operações de rechaveamento, as chaves não estão disponíveis até que a replicação seja concluída. Se você usar a versão 3.0 ou superior, o sistema suportará vários servidores de chaves mestras, que replicam automaticamente as chaves para todos os servidores de chaves configurados..
Se estiver usando servidores de chaves Gemalto SafeNet KeySecure para criar e gerenciar chaves, determine se o sistema precisa de um nome de usuário e uma senha para autenticação nos servidores de chaves KeySecure. Se você planeja usar um nome de usuário e uma senha para autenticar o sistema para esses servidores de chaves, deverá configurar credenciais do usuário para autenticação na interface KeySecure. Para o KeySecure versões 8.10 e superiores, os administradores podem configurar um nome de usuário e senha para autenticar o sistema quando ele se conectar. Antes do KeySecure versão 8.10, o uso de senha era opcional.

Criptografia usando unidades flash USB

É possível usar unidades flash USB para ativar a criptografia e copiar uma chave para o sistema. Deve-se criar chaves de criptografia do sistema e gravar essas chaves em todas as unidades flash USB.

duas opções estão disponíveis para acessar informações chave em unidades flash USB:

As unidades flash USB sempre ficam inseridas no sistema: Esse método requer que o ambiente físico no qual o sistema está localizado seja seguro. Se o local for seguro, ele evitará que uma pessoa desautorizada faça cópias das chaves de criptografia, roube o sistema ou acesse dados armazenados no sistema. Se uma unidade flash USB que contém chaves de criptografia válidas for deixada inserida nas duas caixas, o sistema sempre terá acesso às chaves de criptografia e os dados do usuário nas unidades serão sempre acessíveis.
As unidades flash USB não ficam inseridas no sistema, exceto quando necessário: Após o sistema concluir o desbloqueio das unidades, as unidades flash USB devem ser removidas e armazenadas com segurança para evitar roubo ou perda.

Criptografia usando servidores de chaves

Um servidor de chaves é um sistema centralizado que gera, armazena e envia chaves de criptografia ao sistema. Se o provedor de servidor de chaves suporta a replicação de chaves entre múltiplos servidores de chaves, é possível especificar até quatro servidores de chaves que se conectam ao sistema por meio de uma rede pública ou de uma rede privada separada. O sistema suporta servidores de chaves IBM Security Key Lifecycle Manager ou Gemalto SafeNet KeySecure para manipular o gerenciamento de chave no sistema. Ambos os aplicativos de gerenciamento de servidor de chaves suportados criam e gerenciam chaves criptográficas para o sistema e fornecem acesso a essas chaves por meio de um certificado. Somente um tipo de aplicativo de gerenciamento do servidor de chaves pode ser ativado no sistema de cada vez. A autenticação ocorre quando os certificados são trocados entre o sistema e o servidor de chaves. Os certificados devem ser gerenciados de perto, já que os certificados expirados podem causar interrupções do sistema. Os servidores de chaves devem ser instalados e configurados antes de serem definidos no sistema.

Os servidores de chaves IBM Security Key Lifecycle Manager suportam o Key Management Interoperability Protocol (KMIP), que é um padrão para criptografia de dados armazenados e gerenciamento de chaves criptográficas.

O sistema suporta diferentes tipos de configurações do servidor de chaves no IBM Security Key Lifecycle Manager. As seguintes configurações são suportadas:

Um servidor de chaves principal (mestre) e vários servidores de chaves secundários: Os servidores de chaves IBM Security Key Lifecycle Manager designam um servidor de chaves mestre ou principal, que pode ter até três servidores de chaves secundários (também conhecidos como clones) definidos. Esses servidores de chaves adicionais suportam mais caminhos ao entregar chaves ao sistema. Entretanto, durante o rechaveamento, somente o caminho para o servidor de chaves principal é usado. Quando o sistema é rechaveado, os servidores de chaves secundários estão indisponíveis até que o servidor de chaves principal replique as novas chaves para esses servidores de chaves secundários. A quantia de tempo que leva para replicar a chave para um servidor de chaves secundário depende da quantia de informações de chave e de certificado que está sendo replicada. Cada replicação para um servidor de chaves secundário pode levar algum tempo. A replicação deve ser concluída antes de as chaves poderem ser usadas no sistema. É possível planejar a replicação automática ou concluí-la manualmente com o IBM Security Key Lifecycle Manager. Durante a replicação, os servidores de chaves não estão disponíveis para distribuir chaves ou aceitar novas chaves. O tempo total gasto para a conclusão de uma replicação no IBM Security Key Lifecycle Manager depende do número de servidores de chaves que estão configurados como clones. Se a replicação for acionada manualmente, o IBM Security Key Lifecycle Manager emitirá uma mensagem de conclusão quando a replicação for concluída. Verifique se todos os servidores de chaves contêm informações replicadas de chaves e de certificados antes que as chaves sejam usadas no sistema.
Múltiplos servidores de chave mestra: servidores de chaves podem ser configurados em uma configuração multimestre na qual cada servidor de chaves tem a capacidade de criar novas chaves de criptografia. Nessa instância, qualquer servidor pode ser configurado como o servidor de chaves principal. O servidor de chaves principal é o servidor de chaves que o sistema usa quando você cria qualquer nova chave de criptografia do servidor de chaves. Se o modo multimestre estiver ativado no IBM Security Key Lifecycle Manager, a chave será imediatamente replicada para os outros servidores de chaves na configuração.

Para obter mais informações sobre as versões suportadas, veja o IBM Knowledge Center do IBM Security Key Lifecycle Manager.

Ao criar objetos do servidor de chaves no sistema para servidores de chaves IBM Security Key Lifecycle Manager, você deve criar um grupo de dispositivos, além do nome, endereço IP, porta e informações de certificado. O grupo de dispositivos é uma coleção de credenciais de segurança (incluindo chaves e grupos de chaves) que permite o gerenciamento restrito de subconjuntos de dispositivos em um conjunto maior. O sistema deve ser definido no servidor de chaves para o grupo de dispositivos SPECTRUM_VIRT se você está usando as configurações padrão. Se o grupo de dispositivos SPECTRUM_VIRT não existir no servidor de chaves, ele deve ser criado com base na família de dispositivos GPFS. Se estiver configurando vários servidores de chaves, o grupo de dispositivos SPECTRUM_VIRT deve ser definido nos servidor de chaves principal e em todos os servidores de chaves adicionais.

Os servidores de chaves Gemalto SafeNet KeySecure também suportam KMIP e criam chaves on demand e, em seguida, compartilham-nas com os outros servidores em cluster, fornecendo acesso redundante. O sistema suporta diferentes tipos de configurações no servidor de chaves KeySecure. As seguintes configurações são suportadas:

Os servidores de chaves KeySecure usam um modelo ativo/ativo, em que há vários servidores de chaves para fornecer redundância. Um servidor de chaves KeySecure deve ser especificado como o servidor de chaves principal. O servidor de chaves principal é o servidor de chaves que o sistema usa quando são criadas novas chaves de criptografia. A chave é imediatamente replicada para os outros servidores de chaves no cluster KeySecure. Todos os servidores de chaves KeySecure que estão definidos no sistema podem ser usados para recuperar chaves. Embora seja possível configurar uma única instância do servidor de chaves com o KeySecure, são recomendados dois servidores de chaves para assegurar a disponibilidade das chaves, se um servidor de chaves tiver uma indisponibilidade.
O sistema suporta até quatro servidores de chaves com o KeySecure. Se o sistema estiver acessando vários servidores de chaves, eles precisam pertencer ao mesmo cluster de servidores de chaves KeySecure.

Tecnologia de criptografia

A criptografia de dados é protegida pelo algoritmo Padrão de Criptografia Avançado (AES), que usa uma chave de criptografia simétrica de 256 bits no modo XTS, conforme definido no padrão IEEE 1619-2007 e no NIST Special Publication 800-38E como XTS-AES-256. Essa chave de criptografia de dados é protegida por um agrupamento de chaves AES de 256 bits de uma chave derivada da chave de acesso armazenada na unidade flash USB. A chave agrupada é armazenada no sistema em formato não volátil.