Există un aspect al domeniului IT cu care lucrăm care stârnește mereu curiozitatea prietenilor și cunoștințelor din sectorul IT atunci când discut despre el. Este adesea perceput ca ceva ezoteric și misterios. Într-o anumită măsură, această percepție se aplică și domeniului în sine. Chiar și acronimul său — PKI — tinde să evoce imagini ale societăților secrete și ritualurilor de inițiere. Interesant este că această analogie nu este complet nepotrivită, deoarece la baza oricărei Public Key Infrastructure se află un proces extrem de ritualizat și de importanță critică: Key Ceremony.
Ce este PKI?
Dacă căutați definiția unei Public Key Infrastructure, veți găsi de obicei ceva de genul: „Public Key Infrastructure (PKI) este un ansamblu de roluri, politici, hardware, software și proceduri necesare pentru a crea, stoca, distribui, utiliza și gestiona perechi de chei criptografice și certificatele digitale asociate, în scopul criptării și semnării datelor”.
Deși corectă, această definiție nu surprinde pe deplin ceea ce face o PKI cu adevărat distinctivă. O PKI nu este doar o infrastructură IT; este o combinație de tehnologie, guvernanță și procese de business care permite unor terți de încredere să verifice în mod fiabil și să garanteze identități digitale.
De ce procesele contează mai mult decât componentele
În practică, aspectele organizaționale și procedurale ale unei PKI sunt adesea subestimate. Acest lucru se întâmplă de obicei în etapele incipiente ale unui proiect, când clienții compară diferite soluții și se concentrează în principal pe specificațiile componentelor, metricile de performanță și fișele de produs.
Totuși, primul element de pe lista de achiziții pentru un proiect PKI de succes nu ar trebui să fie nici hardware-ul, nici software-ul, ci un proces — unul despre care se discută rareori în afara cercurilor de specialitate: Key Ceremony.
Ce este o Key Ceremony?
Key Ceremony este procedura formală în cadrul căreia este generată o pereche unică de chei criptografice, publică și privată, și asociată Autorității de Certificare rădăcină (Root CA). Aceste chei sunt utilizate ulterior pentru a semna certificatele Autorităților de Certificare subordonate sau, în anumite arhitecturi, direct pe cele ale entităților finale.
Cheile sunt generate și protejate în interiorul unui dispozitiv specializat cunoscut sub numele de Hardware Security Module (HSM), care reprezintă cel mai profund nivel de securitate. HSM-urile sunt concepute special pentru a rezista tentativelor de manipulare fizică: orice încercare de a deschide, deteriora sau interfera cu dispozitivul duce la distrugerea imediată a materialului criptografic pe care îl conține.
În funcție de nivelul de securitate necesar, accesul la HSM poate implica mai multe straturi de protecție fizică, precum facilități subterane, controale biometrice și cuști de securitate separate. În plus, pentru a garanta continuitatea operațională, cheile criptografice și copiile lor de rezervă sunt de obicei stocate în locații sigure, separate geografic, adesea la sute sau mii de kilometri distanță.
Copii de rezervă criptate ale perechilor de chei sunt păstrate de organizație în seifuri securizate în fiecare locație. Aceste copii pot fi utilizate pentru a inițializa un nou HSM și pentru a restaura cheile rădăcină în cazul unei defecțiuni hardware sau al unui incident catastrofal.
Punerea bazelor Root of Trust
Key Ceremonies nu sunt evenimente standardizate; ele trebuie adaptate organizației și valorii activelor protejate de cheile de criptare și semnare. În scenariile care necesită cel mai înalt nivel de asigurare, ceremoniile au loc în încăperi securizate, sub supraveghere video continuă, cu martori prezenți și, în unele cazuri, notari.
Este important de subliniat că termenul Key Ceremony nu se referă exclusiv la generarea perechii de chei rădăcină. Acesta include și inițializarea HSM-ului și crearea credențialelor de recuperare. Aceste chei de recuperare sunt de obicei fragmentate și distribuite către responsabili de securitate desemnați și pot fi utilizate numai atunci când este atins un cvorum prestabilit.
Acest lucru evidențiază faptul că adevărata Root of Trust a unei PKI este stabilită chiar înainte de generarea primei chei criptografice. Încrederea este fundamentată pe rigoarea, transparența și responsabilitatea Key Ceremony-ului în sine.
O operațiune atent regizată
Key Ceremony este o operațiune complexă și planificată cu mare atenție. Nimic nu este lăsat la voia întâmplării; fiecare pas este guvernat de un scenariu documentat formal. Scopul nu este doar generarea unor chei criptografic puternice, ci și asigurarea faptului că nu pot fi create copii neautorizate și că fiecare acțiune este trasabilă și auditată.
O procedură standard de tip Key Ceremony include:
- identificarea clară și documentarea tuturor persoanelor responsabile de gestionarea cheilor și a copiilor de rezervă, inclusiv rolurile și responsabilitățile acestora
- verificarea autenticității și integrității tuturor componentelor hardware și software înainte de utilizare
- aplicarea sigiliilor anti-manipulare pe dispozitive și utilizarea containerelor anti-manipulare pentru materialele sensibile de backup
- vizibilitate completă a ceremoniei, cu afișajele sistemelor securizate replicate pe ecrane mari și înregistrate pentru a surprinde fiecare interacțiune
- arhivarea securizată a înregistrărilor video în scopuri de audit sau pentru eventuale investigații
De la mister la realitate
Odată ce conceptul de Key Ceremony este înțeles, devine clar că acesta este departe de a fi un exercițiu teoretic sau simbolic. Este un proces real, operațional, care stă la baza unora dintre cele mai critice infrastructuri de încredere ale Internetului.
Vorbind despre chei, este posibil să fi întâlnit pe web articole cu titluri precum „Cele șapte persoane care dețin cheile Internetului” sau chiar „Cei șapte templieri ai webului”, „Cei șapte gardieni ai rețelei”.
Pentru cei care s-au oprit la titluri fără a citi conținutul, aceste formulări evocă ritualuri și proceduri mai mult sau mai puțin secrete. În realitate, ceea ce descriu aceste articole nu are nimic de-a face cu secretul, ci ne privește pe fiecare dintre noi, mult mai mult decât ne-am putea imagina.
Cele șapte chei ale webului există într-adevăr. Dar dacă vă imaginați chei de aur care deschid cufere sau pasaje secrete, sunteți complet pe o pistă greșită. Când vorbim despre cheile webului, ne referim la chei criptografice, utilizate pentru a securiza funcționarea Internetului.
Pentru cei care doresc să aprofundeze subiectul, sunt disponibile lecturi suplimentare din următoarele surse autoritative:
De la Key Ceremony la PKI as a Service
Aceeași abordare se află și la baza ofertei noastre de PKI as a Service (PKIaaS). Fiecare inițiativă PKIaaS nu începe cu implementarea de software sau infrastructură, ci cu proiectarea și executarea unei Key Ceremony guvernate corespunzător.
Prin pornirea de la o Key Ceremony formală și auditată, la Namirial ne asigurăm că Root of Trust a PKI-ului fiecărui client este stabilită conform celor mai bune practici și aliniată cerințelor specifice de securitate, conformitate și business ale organizației. Acest lucru include definirea rolurilor și responsabilităților, selectarea controalelor de securitate adecvate și implementarea procedurilor de gestionare a cheilor care rămân aplicabile pe întreaga durată a ciclului de viață al serviciului.
În acest model, PKIaaS nu este doar o platformă tehnică externalizată, ci un serviciu de încredere gestionat. Robustetea criptografiei, securitatea HSM-urilor și disponibilitatea infrastructurii depind de un proces fundamental, atent conceput, documentat și executat încă din prima zi: Key Ceremony.
