Keamanan cadangan cluster - AWS CloudHSM

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Keamanan cadangan cluster

Ketika AWS CloudHSM membuat cadangan dariHSM, HSM mengenkripsi semua datanya sebelum mengirimnya ke. AWS CloudHSM Data tidak pernah meninggalkan HSM dalam bentuk plaintext. Selain itu, cadangan tidak dapat didekripsi oleh AWS karena AWS tidak memiliki akses ke kunci yang digunakan untuk mendekripsi cadangan.

Untuk mengenkripsi datanya, HSM menggunakan kunci enkripsi fana yang unik yang dikenal sebagai kunci cadangan singkat (). EBK EBKIni adalah kunci enkripsi AES 256-bit yang dihasilkan di dalam HSM saat AWS CloudHSM membuat cadangan. Ini HSM menghasilkanEBK, kemudian menggunakannya untuk mengenkripsi data dengan metode pembungkus AES kunci yang FIPS disetujui yang sesuai dengan NIST publikasi khusus 800-38F. HSM Kemudian HSM memberikan data terenkripsi ke. AWS CloudHSM Data terenkripsi mencakup salinan terenkripsi dari file. EBK

Untuk mengenkripsiEBK, HSM menggunakan kunci enkripsi lain yang dikenal sebagai kunci cadangan persisten (PBK). PBKIni juga merupakan kunci enkripsi AES 256-bit. Untuk menghasilkanPBK, HSM menggunakan fungsi derivasi kunci FIPS yang disetujui (KDF) dalam mode penghitung yang sesuai dengan publikasi NISTkhusus 800-108. Masukan untuk ini KDF termasuk yang berikut:

  • Kunci cadangan kunci pabrikan (MKBK), tertanam secara permanen di HSM perangkat keras oleh produsen perangkat keras.

  • AWS Kunci cadangan kunci (AKBK), dipasang dengan aman di HSM saat awalnya dikonfigurasi oleh AWS CloudHSM.

Proses enkripsi dirangkum dalam gambar berikut. Kunci enkripsi cadangan mewakili kunci cadangan persisten (PBK) dan kunci cadangan sementara (EBK).

Ringkasan kunci enkripsi yang digunakan untuk mengenkripsi AWS CloudHSM cadangan.

AWS CloudHSM dapat mengembalikan cadangan ke hanya AWS milik yang HSMs dibuat oleh produsen yang sama. Karena setiap cadangan berisi semua pengguna, kunci, dan konfigurasi dari aslinyaHSM, yang dipulihkan HSM berisi perlindungan dan kontrol akses yang sama seperti aslinya. Data yang dipulihkan menimpa semua data lain yang mungkin ada HSM sebelum restorasi.

Cadangan hanya terdiri dari data terenkripsi. Sebelum layanan menyimpan cadangan di Amazon S3, layanan mengenkripsi cadangan lagi menggunakan (). AWS Key Management Service AWS KMS