Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Sicurezza dei backup dei cluster
Quando AWS CloudHSM esegue un backup dall'HSM, l'HSM crittografa tutti i dati prima di inviarli a. AWS CloudHSM I dati non lasciano mai l'HSM sotto forma di testo normale. Inoltre, i backup non possono essere decrittografati AWS perché AWS non ha accesso alla chiave utilizzata per decrittografare i backup.
Per crittografare i dati, l'HSM utilizza una chiave di crittografia univoca e temporanea (EBK). L'EBK è una chiave di crittografia AES a 256 bit generata all'interno dell'HSM quando si esegue un backup. AWS CloudHSM L'HSM crea l'EBK e poi la utilizza per crittografare i dati dell'HSM con un metodo di wrapping della chiave AES approvato dai FIPS e conforme alla Pubblicazione Speciale 800-38F del NIST
Per crittografare l'EBK, l'HSM utilizza un'altra chiave di crittografia nota come chiave di backup permanente (PBK). Anche la PBK è una chiave di crittografia AES a 256 bit. Per creare una PBK, l'HSM utilizza una funzione di derivazione della chiave (KDF) approvata dai FIPS in modalità counter conforme alla Pubblicazione Speciale 800-108 del NIST
-
Una chiave di backup del produttore (MKBK, Manufacturer Key Backup Key) integrata in modo permanente nell'hardware dell'HSM dal produttore dell'hardware.
-
Una AWS chiave di backup (AKBK), installata in modo sicuro nell'HSM quando è inizialmente configurato da. AWS CloudHSM
La figura che segue riepiloga i processi della crittografia. La chiave di crittografia di backup rappresenta la chiave di backup permanente (PBK) e la chiave di backup temporanea (EBK).
AWS CloudHSM può ripristinare i backup solo su file AWS di proprietà dello stesso HSMs produttore. Poiché ciascun backup contiene tutti gli utenti, le chiavi e la configurazione dell'HSM originale, l'HSM ripristinato conterrà le stesse protezioni e gli stessi controlli d'accesso dell'originale. I dati ripristinati sovrascrivono tutti gli altri dati eventualmente presenti sull'HSM prima del ripristino.
Un backup contiene solo dati crittografati. Prima di archiviare un backup in Amazon S3, il servizio crittografa nuovamente il backup utilizzando AWS Key Management Service ().AWS KMS
