Acompáñanos en este artículo donde repasamos las prácticas seguras de gestión de claves en Azure.
Las operaciones criptográficas permiten una comunicación segura, control de acceso, autenticación y cifrado de datos en reposo.
La seguridad de estas operaciones depende de una gestión adecuada de las claves.
Los proveedores de servicios en la nube (CSP) utilizan sistemas de administración de claves (KMS) para ofrecer cifrado y administración de claves como servicio, incluidas funciones como:
Operaciones de gestión sobre claves simétricas y asimétricas, que incluyen:
- Creación.
- Almacenamiento.
- Rotación.
- Supresión.
Gestión de secretos para:
- Claves de la interfaz de programación de aplicaciones (API).
- Claves de cifrado de datos.
- Otros secretos de servicio.
Algunos CSP ofrecen subconjuntos de esta funcionalidad de gestión de claves en múltiples ofertas de servicios.
A los efectos de esta hoja de información de ciberseguridad (CSI), el término «Cloud KMS» se refiere a cualquier servicio en la nube que realice cualquiera de estas funciones.
Un KMS en la nube se integra con otros servicios en la nube para brindar a los clientes cierto control sobre las claves utilizadas para las operaciones criptográficas dentro del inquilino de la nube.
Los clientes pueden optar por que los CSP administren algunas o todas las funciones del KMS.
Las mejores prácticas para un KMS en la nube dependerán de los límites de control sobre la gestión de claves deseados para cada caso de uso específico.
Otorgar a un CSP el control sobre la gestión clave conlleva inevitablemente cierto riesgo.
La aceptabilidad de tales riesgos depende de varios factores, entre ellos:
- El nivel de sensibilidad de los datos a proteger.
- Recursos disponibles para gestionar claves en las instalaciones.
- Nivel de confianza establecido con el CSP.
Este CSI describe opciones de gestión clave basadas en estos factores y recomienda las mejores prácticas a considerar al utilizarlas.
Con cualquier uso de un KMS en la nube, es fundamental comprender y documentar las responsabilidades de seguridad compartidas.
Consulte el CSI de la NSA: Defender el modelo de responsabilidad compartida en la nube para obtener información adicional sobre el modelo de responsabilidad compartida.
Opciones comunes de gestión de claves para clientes de la nube:
Los CSP suelen ofrecer varias opciones para la gestión de claves, y la disponibilidad de estas opciones varía según la oferta de servicios.
Muchas ofertas de servicios brindan a los usuarios la opción de realizar operaciones criptográficas utilizando claves que el CSP crea y administra.
Ejemplos de esto serían un servicio de almacenamiento en la nube que cifra los datos automáticamente o un servicio informático que cifra los discos de almacenamiento con claves administradas por CSP.
El cliente no tiene responsabilidad por la creación o gestión del material de claves y, por lo general, no tiene control sobre la longitud de la clave o el algoritmo de cifrado utilizado.
En el extremo opuesto del espectro, los clientes tienen la opción de implementar sus propios procesos criptográficos y KMS fuera de la nube y cifrar todos los datos antes de cargarlos en un servicio de almacenamiento en la nube.
Esto garantiza que incluso si un ciber-actor malicioso (MCA) logra acceder a los datos almacenados de un cliente, no tendrá acceso a las claves necesarias para descifrar los datos.
Sin embargo, este método es incompatible con casi todos los servicios en la nube.
Si bien los usuarios pueden cargar datos cifrados en servicios de almacenamiento, esto limita la funcionalidad que normalmente proporciona el CSP, como la búsqueda de documentos y otras capacidades analíticas.
Otros servicios en la nube (que no son de almacenamiento) dependen del acceso a datos descifrados para realizar las funciones previstas.
En el medio del espectro se encuentran las ofertas de KMS en la nube, que permiten a los clientes aprovechar el KMS de un CSP y al mismo tiempo poder elegir tipos de claves, tamaños de claves, programas de rotación, políticas de respaldo y controles de acceso.
Un KMS en la nube puede ofrecer un módulo de seguridad de hardware (HSM) y/o opciones de claves no respaldadas por HSM.
Las claves respaldadas por HSM normalmente se generan, almacenan y utilizan dentro del HSM.
Dependiendo de la oferta de servicio, el HSM puede usarse para proteger solo claves empaquetadas (es decir, claves utilizadas para cifrar otras claves) o puede proteger todas las claves del cliente.
Estos servicios generalmente son compatibles con una variedad de servicios en la nube.
En algunos casos, los clientes pueden importar claves que han creado para administrarlas y usarlas en el KMS del CSP, o conectar un KMS de terceros para administrar las claves del cliente y realizar operaciones criptográficas. Cada opción tiene ventajas e inconvenientes.
La mejor opción dependerá en gran medida del caso de uso.
Confianza y control:
El uso de una nube pública amplía los límites de la confianza más allá de la organización.
Se introducen riesgos adicionales, como amenazas internas y falta de control sobre algunos aspectos de las operaciones de seguridad.
El nivel de control que tiene un consumidor de la nube sobre la gestión de claves varía según el tipo de modelo de servicio de nube seleccionado.
Existe un límite en el grado de garantía de seguridad que un consumidor de nube puede esperar cuando la organización lógica y física de los recursos criptográficos está completamente bajo el control del CSP.
Al determinar si el CSP satisface las necesidades de la organización, es importante revisar la información técnica del CSP para determinar si sus prácticas de seguridad satisfacen las necesidades de la organización.
Alguna información importante para solicitar al CSP incluye:
- Configuraciones de clave disponibles [por ejemplo, simétrica o asimétrica, longitud, propósito (por ejemplo, cifrado, firma), algoritmo]
- Acciones internas y basadas en API que involucran material clave, incluidos detalles técnicos que afectan la visibilidad de las claves (por ejemplo, generar, cambiar o actualizar, almacenar, retirar, recuperar, retener y destruir material clave).
- Procedimientos recomendados de gestión de claves de clientes [4]
La información adicional a considerar al determinar el nivel de control que se debe otorgar a un proveedor de KMS en la nube incluye:
- ¿Cómo se evita el acceso no autorizado al material clave?
- ¿Cómo garantiza el CSP una gestión adecuada del ciclo de vida de las claves?
- ¿Cómo garantiza el CSP la protección física y electrónica del KMS?
- ¿Cómo se detectan y eliminan las vulnerabilidades del software durante y después del desarrollo?
- ¿Las claves eliminadas son recuperables?
- Si es asi, ¿por cuanto tiempo?
- ¿Qué procesos existen para detectar administradores maliciosos u otras amenazas internas?
- ¿Están los procesos criptográficos que manejan las claves de los clientes separados de forma segura de otros procesos?
- ¿Existe una hoja de ruta para la transición a la criptografía resistente a los cuánticos?
Las respuestas a estas preguntas proporcionarán contexto adicional al investigar el CSP y pueden ayudar a construir una relación de confianza.
Responsabilidades de seguridad compartidas:
Independientemente del modelo de servicio que se elija para otros servicios en la nube, se necesitará un KMS para una comunicación y autenticación seguras con estos servicios.
El propio KMS puede ser proporcionado por el CSP o puede ser un almacén de claves externo.
Al utilizar el KMS de un CSP, el cliente primero debe identificar las garantías de seguridad requeridas para un caso de uso particular.
Se tomarán diversas decisiones en función de estos requisitos, comenzando con el modelo de servicio KMS del CSP.
Los límites de responsabilidad entre el cliente y el CSP para la seguridad de KMS dependerán del modelo de servicio en la nube elegido.
Sin embargo, independientemente del modelo elegido, seguirá habiendo llaves que el cliente será responsable de proteger.
Con todos estos modelos y opciones de servicio, el cliente será responsable de definir roles y políticas de usuario y administrador para la gestión de claves.
Las mejores prácticas establecidas para la separación de funciones y privilegios mínimos se aplican a todos los usos de KMS en la nube.
En algunos casos, un CSP puede utilizar los servicios KMS de un CSP diferente.
En situaciones en las que un proveedor intermediario y un socio proveedor principal ofrecen servicios en la nube, es posible que sea necesario dividir las responsabilidades clave de gestión entre los dos.
Es posible que el cliente no sepa cómo se dividen las funciones del KMS.
Solicite una aclaración al CSP para determinar si el KMS que ofrecen es propiedad de ese CSP y está administrado únicamente por él.
Software como servicio modelo KMS:
Cuando se utiliza un modelo de software como servicio (SaaS) para un KMS, los clientes interactúan con la API del KMS de un CSP para realizar solicitudes de administración de claves, firma y verificación, y cifrado/descifrado.
Estas operaciones se realizan en software de propiedad y administrado por el CSP que se ejecuta en el hardware que administra el CSP.
Se debe establecer una sesión segura para esta interacción.
Continuamos mañana, que se me hace tarde jejeje
Un saludo