Migrando entre os métodos de gerenciamento de chave

É possível migrar entre as criptografias baseadas na unidade flash USB e no servidor de chaves sem interrupção usando a GUI de gerenciamento ou a interface da linha de comandos. Para migrar de servidores de chaves para unidades flash USB, use somente a interface da linha de comandos. Durante a migração, o sistema suporta a configuração simultânea de ambos os métodos de gerenciamento de chave. Após a migração ser concluída, é possível desativar o antigo método de gerenciamento de chaves.

Usando a GUI de gerenciamento

Durante a migração, o sistema não desativa o método de gerenciamento de chave atualmente configurado até que o novo método esteja configurado completamente. Portanto, os dados criptografados ainda podem ser acessados com a chave atual até que a migração seja concluída. Por exemplo, se estiver migrando de unidades flash USB para servidores de chaves, as chaves antigas na unidade flash USB ainda estarão disponíveis até que a criptografia do servidor de chaves esteja configurada. No entanto, pelo menos uma das unidades flash USB com a chave de criptografia atual deve ser inserida no sistema antes de migrar para o servidor de chaves. Após os servidores de chaves serem configurados, as chaves antigas na unidade flash USB não poderão mais decriptografar dados no sistema. Descarte todas as unidades flash USB antigas, de acordo com seus procedimentos recomendados para descarte de informações confidenciais. Para as organizações que requerem políticas de segurança rígidas em relação às unidades flash USB, o sistema suporta a desativação dessas portas, para evitar a transferência não autorizada de dados do sistema para dispositivos de mídia portáteis. Após a migração das chaves para os servidores de chaves, é possível usar a interface da linha de comandos para desativar as portas USB.

Nota: A GUI de gerenciamento suporta a migração de unidades flash USB somente para um método de criptografia do servidor de chaves. Para migrar dos servidores de chaves para unidades flash USB, deve-se usar a interface da linha de comandos.

Antes de migrar para a criptografia baseada no servidor de chaves, assegure-se de que pelo menos uma unidade flash USB com a chave de criptografia atual esteja inserida no sistema. Para migrar a criptografia de uma unidade flash USB para servidores de chaves, conclua estas etapas:

Na GUI de gerenciamento, selecione Configurações > Segurança > Criptografia.
Na página Criptografia, verifique as seguintes informações:
1. Expanda Unidades flash USB e verifique se as unidades flash USB estão configuradas e detectadas no sistema.
2. Expanda Servidores de chaves e verifique se os servidores de chaves não estão configurados no sistema.
Em Servidores de chaves, clique em Configurar.
Selecione IBM SKLM (com KMIP) ou Gemalto SafeNet KeySecure para o tipo de servidor de chaves.
Insira o nome, o endereço IP e a porta para cada servidor de chaves. Se estiver configurando múltiplos servidores de chaves, o primeiro servidor de chaves que você especificar será o servidor de chaves principal e os restantes se tornam servidores de chaves secundários.
Nota: Se você selecionou IBM SKLM (com KMIP) e os servidores de chaves estiverem configurados com um servidor de chaves principal e diversos secundários, certifique-se de que a replicação esteja ativada para assegurar que as chaves sejam distribuídas para todos os servidores de chaves secundários.
Se você selecionou o IBM SKLM (com KMIP), a página Opções do servidor de chaves será exibida. Selecione SPECTRUM_VIRT para o grupo de dispositivos para os servidores de chaves. Esse grupo de dispositivos também deve ser configurado em cada um dos servidores de chaves para o sistema.
Se você selecionou o Gemalto SafeNet KeySecure, a página Credenciais do servidor de chaves será exibida. Se você ativou a autenticação para o servidor de chaves usando um nome de usuário e senha, insira esse nome de usuário e senha. Essas credenciais são usadas para autenticar o sistema sempre que ele se conecta ao servidor de chaves. O nome do usuário e a senha devem corresponder às credenciais que estão configuradas no servidor de chaves.
Na página Certificado do Servidor Principal, você deve fazer upload de todos os certificados do servidor principal necessários para o sistema. Os servidores de chaves podem usar um certificado de autoridade de certificação (CA) de um terceiro confiável ou um certificado autoassinado que seja criado nos servidores de chaves. Também é possível utilizar esses dois tipos de certificados nos servidores de chaves. Caso todos os certificados do servidor de chaves sejam assinados pela mesma autoridade de certificação, faça upload do certificado da autoridade de certificação raiz. Se os servidores principais usarem certificados autoassinados, os certificados deverão ser transferidos por upload separadamente para o sistema. Quaisquer certificados autoassinados têm prioridade sobre qualquer certificado assinado por CA que esteja instalado no sistema para os servidores de chaves.
Na página Certificado de criptografia do sistema, clique em Exportar chave pública para fazer download da chave pública para o sistema. Os certificados de criptografia do sistema também podem ser um certificado autoassinados ou de CA. Esses certificados são transferidos por upload para cada um dos servidores de chave para estabelecer a confiança para o sistema se comunicar com os servidores de chave individuais. Se um certificado não existir, selecione Configurações > Segurança > Comunicações seguras. Na página Comunicações seguras, selecione Atualizar certificado para criar ou importar um certificado. Para obter mais informações, consulte o tópico sobre certificados que são usados para servidores de chaves.
Se você selecionou IBM SKLM (com KMIP) como seu tipo de servidor de chaves, copie a chave pública do sistema, incluindo-a no armazenamento confiável para o grupo de dispositivos SPECTRUM_VIRT em cada servidor de chaves configurado. Se você selecionou Gemalto SafeNet KeySecure, certifique-se de que o certificado de criptografia de sistema seja uma entidade confiável na interface KeySecure. É possível usar dois métodos para incluir o certificado de criptografia de sistema como uma entidade confiável. É possível exportar o certificado de criptografia do sistema atual e, em seguida, incluí-lo nas autoridades de certificação (CA) conhecidas na Lista de CAs confiáveis ou criar uma nova solicitação de assinatura de certificado para uma autoridade de certificação de terceiros que já esteja na Lista de CAs confiáveis. O certificado de criptografia de sistema também pode requerer um nome de usuário, se um nome de usuário tiver sido ativado para certificados para servidores de chaves KeySecure. Para obter informações, veja a documentação correspondente para seu servidor de chaves.
Retorne à página Certificado de criptografia do sistema e selecione O certificado da chave pública do sistema foi transferido para cada servidor de chaves configurado.
No painel Desativar criptografia de USB , selecione Sim e clique em Avançar.
Na página de Resumo, verifique a configuração para os servidores principais e clique em Concluir. Após a configuração ser concluída, as chaves que foram armazenadas nas unidades flash USB não são válidas. Assegure-se de descartar todas as unidades flash USB com segurança.

Usando a CLI

Antes de migrar para a criptografia baseada no servidor de chaves, assegure-se de que pelo menos uma unidade flash USB com a chave de criptografia atual esteja inserida no sistema. Para migrar de uma unidade flash USB para servidores de chaves para gerenciar chaves de criptografia, conclua as etapas a seguir:

Migrando de unidades flash USB para servidores de chaves IBM Security Key Lifecycle Manager

Insira o comando a seguir para verificar se a criptografia está ativada no sistema com unidades flash USB:
```
lsencryption
```
Insira o comando da CLI a seguir para ativar a criptografia com servidores de chaves em seu sistema:
```
chencryption -keyserver enable
```
Ative o tipo de servidor de chaves e forneça o certificado da autoridade de certificação (CA) raiz, caso seja necessário:
```
chkeyserverisklm -enable -sslcert /tmp/rootCA.crt
```
Crie o servidor de chaves primário e especifique o certificado do servidor de chaves:
```
mkkeyserver -ip ip_address -port port -primary
```
Se você planeja usar múltiplos servidores de chaves, insira o comando a seguir diversas vezes para especificar até mais três servidores de chaves secundários que usam o certificado do servidor de chaves:
```
mkkeyserver -ip ip_address -port port
```
Crie a chave de criptografia do sistema e grave a chave para o servidor principal especificado:
```
chencryption -keyserver newkey -key prepare
```
Esse comando torna a chave preparada a chave atual e armazena os valores da chave em todos os servidores principais configurados.
Para verificar se o sistema está preparado, insira o seguinte comando:
```
lsencryption
```
Verifique se o parâmetro keyserver_rekey tem o valor preparado. O valor prepared indica que a chave nova está pronta para ser consolidada.
Para confirmar a chave, insira o comando a seguir:
```
chencryption -keyserver newkey -key commit
```
Após a nova chave para o servidor de chaves ser confirmada, desative a criptografia para a unidade flash USB inserindo o comando a seguir:
```
chencryption -usb disable 
```

Migrando de unidades flash USB para servidores de chaves Gemalto SafeNet SecureKey

Insira o comando a seguir para verificar se a criptografia está ativada no sistema com unidades flash USB:
```
lsencryption
```
Insira o comando da CLI a seguir para ativar a criptografia no sistema:
```
chencryption -keyserver enable
```
Ative o tipo de servidor de chaves e forneça o certificado da autoridade de certificação (CA) raiz, caso seja necessário:
```
chkeyserverkeysecure -enable -sslcert /tmp/rootCA.crt
```
Configure o nome do usuário e a senha que são usados para o sistema nos servidores de chaves, se um for necessário:
```
chkeyserverkeysecure -username admin -password 'examplepassword'
```
Crie o servidor de chaves principal e especifique o certificado do servidor de chaves, se um for necessário:
```
mkkeyserver -ip ip_address -port port -sslcert /tmp/ServerCert.crt -primary
```
Crie até três servidores de chaves secundários adicionais e especifique o certificado do servidor de chaves, se um for necessário.
```
mkkeyserver -ip ip_address -port port -sslcert /tmp/ServerCert.crt
```
Crie a chave de criptografia para o sistema no servidor de chaves:
```
chencryption -keyserver newkey -key prepare
```
Esse comando torna a chave preparada a chave atual e envia a chave por push para o servidor de chaves configurado como o servidor de chaves principal.
Para verificar se o sistema está preparado, insira o seguinte comando:
```
lsencryption
```
Verifique se o parâmetro keyserver_rekey tem o valor preparado. O valor prepared indica que a chave nova está pronta para ser consolidada.
Para confirmar a chave, insira o comando a seguir:
```
chencryption -keyserver newkey -key commit
```
Esse comando torna a nova chave a chave atual e a copia no servidor de chaves principal.
Após a nova chave para o servidor de chaves ser confirmada, desative a criptografia para a unidade flash USB inserindo o comando a seguir:
```
chencryption -usb disable 
```

Se a criptografia já estiver ativada no sistema com servidores de chaves, assegure-se de que o servidor de chaves principal esteja conectado ao sistema e que distribua a chave de criptografia atual. Para migrar de um servidor de chaves para unidades flash USB para gerenciar chaves de criptografia, conclua as etapas a seguir:

Insira o comando a seguir para verificar se a criptografia está ativada no sistema com servidores de chaves:
```
lsencryption
```
Insira o comando da CLI a seguir para ativar a criptografia no sistema:
```
chencryption -usb enable  
```
Certifique-se de que haja ao menos três unidades flash USB instaladas:
```
lsportusb
```
Verifique se o valor para o parâmetro status é active. Esse status indica que a unidade flash USB está inserida no nó e pode ser usada pelo sistema.
Crie chaves de criptografia do sistema e grave essas chaves para todas as unidades flash USB conectadas ao sistema:
```
chencryption -usb newkey -key prepare 
```
Confirme a chave preparada como a chave atual. Utilize este comando quando o valor de lsencryption para usb_rekey for configurado como prepared e o número de chaves de criptografia USB for maior que o número mínimo requerido.
```
chencryption -usb newkey -key commit 
```
Sem a chave que é gravada no dispositivo USB, o acesso aos objetos criptografados não é possível e os dados são perdidos. É de vital importância ter cópias suficientes de chaves para disponibilidade e backups adicionais no caso de desastre. É possível copiar o material da chave fazendo backups dos arquivos criados.
Após a nova chave ser confirmada, desative a criptografia para o servidor de chaves inserindo o comando a seguir:
```
chencryption -keyserver disable 
```