As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Segurança dos backups do cluster
Quando AWS CloudHSM faz um backup doHSM, ele HSM criptografa todos os seus dados antes de enviá-los para o. AWS CloudHSM Os dados nunca saem do formato HSM em texto simples. Além disso, os backups não podem ser descriptografados AWS porque AWS não tem acesso à chave usada para descriptografar os backups.
Para criptografar seus dados, o HSM usa uma chave de criptografia exclusiva e efêmera conhecida como chave de backup efêmera (). EBK EBKÉ uma chave de criptografia de AES 256 bits gerada dentro do HSM quando AWS CloudHSM faz um backup. O HSM gera o eEBK, em seguida, o usa para criptografar os dados com um método HSM de empacotamento de AES chaves FIPS aprovado que está em conformidade com NIST a publicação especial 800-38F.
Para criptografar oEBK, o HSM usa outra chave de criptografia conhecida como chave de backup persistente (PBK). Também PBK é uma chave de criptografia de AES 256 bits. Para gerar oPBK, ele HSM usa uma função de derivação de chave FIPS aprovada (KDF) no modo contador que está em conformidade com a publicação NISTespecial
-
Uma chave de backup do fabricante (MKBK), permanentemente incorporada ao HSM hardware pelo fabricante do hardware.
-
Uma AWS chave de backup (AKBK), instalada com segurança no HSM quando foi inicialmente configurada pelo. AWS CloudHSM
Os processos de criptografia estão resumidos na figura a seguir. A chave de criptografia de backup representa a chave de backup persistente (PBK) e a chave de backup efêmera (). EBK
AWS CloudHSM pode restaurar backups exclusivos AWS HSMs feitos pelo mesmo fabricante. Como cada backup contém todos os usuários, chaves e configurações do originalHSM, o restaurado HSM contém as mesmas proteções e controles de acesso do original. Os dados restaurados substituem todos os outros dados que possam estar ativos HSM antes da restauração.
Um backup consiste apenas em dados criptografados. Antes de o serviço armazenar um backup no Amazon S3, o serviço criptografa o backup novamente usando AWS Key Management Service ().AWS KMS
