【保障資料庫安全 啟動區塊鏈應用與防護】會後報導

Thales:HSM密鑰管理方案支持數位企業創新及安全性

隨著密碼學的廣泛運用在資訊加密、DRM、第三方支付以及電子錢包等數位企業應用,解密密鑰的管理成為一大課題,而 HSM 硬體安全模組 (Hardware Security Module)則是確保密鑰安全性的關鍵。

現今企業及個人生活已充滿了密碼學的應用,從最常見的信用卡、網路支付、到Apple Pay、或是企業內的數位版權管理(DRM)、文件簽章、資料加密到PKI等,這些應用的密鑰 (key) 因而變成數位生活與企業的運作關鍵。如果以軟體實作密碼運算,將密鑰儲存在伺服器中,則一旦伺服器被駭,所有密鑰就會外洩,導致它所防護的所有資訊,包括銀行帳戶、研發智財(IP)、個人病歷或國家機密等,全部遭人一覽無遺。也正因為如此,安全性更高的硬體式HSM可提供更好的選擇。

密碼運算的應用日愈多元,讓密鑰管理成為關鍵

亞利安科技資安技術支援部經理王添龍介紹 Thales 受到全球各大企業採用的 HSM 產品,首先是 Payshield,它是基於VISA、Mastercard等國際金融組織制定的交易規則,透過Thales 開發成的專用HSM設備。處理信用卡交易是Payshield的標準功能,目前獲得全球7成以上銀行使用,由於各國處理轉帳交易的規則,因而發展出客製化版本,透過將交易規範轉化為指令,大幅減少程式開發、調整及修改的時間花費。Payshield 的 Multi-LMK 設計將本地主密鑰(Local Master Key, LMK)分存在最多9張智慧卡,各自擁有獨立密碼,HSM 則只存放最重要的LMK,而只有該HSM設備才能提供解密,藉此達到分權控管但絕對安全的防護水準。

亞利安科技 資安技術支援部經理王添龍

香港對網路銀行制訂了嚴格的安全規範,要求端到端(end-to-end)加密,以及資料不可竄改性。另外,PCI DSS也規定,將逐漸淘汰漏洞頻傳的SSL v3.0及TLS 1.1,在2017年6月30日提供安全的TLS的服務,之後所有實體都必須停止使用早期版TLS作為安全控制。現在PayShield還支援ECC演算法,具備區塊鏈等級的安全性,新的交易應用,包括結合SSL及新加密技術提供網路銀行WebPIN服務,可防止外部駭客及來自內部網路(Web Server、端點或LAN)的攻擊,而且具有不需發硬體給客戶,以及降低開發、實作成本等優點。

除了產品化的 Payshield,Thales 還提供模組化的 nShield,它的特點是功能可自行開發,發展各種應用,因應不同需求,提供了USB、網路型及插卡式。它的架構設計下,主密鑰 (master key) 存於HSM伺服器,由主密鑰加密過的密鑰、working key 密鑰檔及 HSM log 則儲存於 Remote File Server上。他指出,以效能而言,市面上硬體式密鑰管理解決方案都差不多;差別在於密鑰管理方式,尤其是在 HSM 伺服器災難復原上;有別於競爭方案需要湊齊所有智慧卡,Thales 主密鑰儲存在智慧卡上,從 RFS 的備份檔即可復原,它的 K of N 機制,可設計密碼儲存在3張上,只要任意2張即可回復主密鑰,還原速度比競爭者更快。另一方面,元件化設計可融入客戶現有環境,簡化導入複雜性。

Thales的密鑰儲存架構 確保密鑰安全性及還原速度

除了金融交易,Thales HSM還可物聯網裝置。例如可將憑證內建至手機中,可用於紀錄產品運送地點與控制代工廠生產數量,而知名品牌車廠也透過內建憑證,只有原廠料件由中心驗證啟動方可正常運作,防止車子使用副牌料件而衍生的責任歸屬問題。事實上,從電子病歷、電子護照、智慧電表、研發智財保障都是HSM的應用。

數位化企業發展出各種創新應用,眼看著第三方支付、區塊鏈及密碼貨幣即將融入你我生活,但唯有做好安全性,才能支持新應用的多元發展。

資料來源:網路資訊

1 2 3 4 5 6 7