有关网关密钥的常见问题

请阅读以下各节，以了解有关网关源、存储、分发和保护的常见问题的答案。

问题:

加密或解密数据的网关密钥来自哪里？

回答:

每次 Identity Manager 服务器连接到网关时，初始握手都将生成一个新的随机 168 位 triple-DES 会话密钥。此密钥将用于加密或解密随后在服务器和网关之间传送的所有数据。对于每个服务器/网关对，生成的会话密钥都是唯一的。

问题:

如何将网关密钥分发到网关？

回答:

会话密钥由服务器随机生成，然后在服务器和网关之间安全地进行交换，方法是使用作为服务器到网关初始握手的一部分的共享机密主密钥对会话密钥进行加密。

在初始握手期间，服务器会查询网关来确定网关支持的模式。网关可以以两种模式操作

• 默认模式。服务器到网关的初始协议握手使用编译为服务器代码的默认 168 位 triple-DES 密钥加密。

• 安全模式。生成针对每个共享系统信息库的随机 168 位密钥 triple-DES 网关密钥，并作为初始握手协议的一部分在服务器和网关之间进行通信。此网关密钥与其他加密密钥一样存储于服务器系统信息库中，并存储在网关的本地注册表中。

  当服务器在安全模式下联系网关时，服务器将使用网关密钥加密测试数据并将其发送到网关。然后，网关将尝试解密测试数据，并将一些网关特有数据添加到测试数据中，接着重新加密这些数据并将其发送回服务器。如果服务器可以成功解密测试数据和网关特有数据，则服务器将生成服务器-网关会话唯一密钥，并使用网关密钥对其进行加密，然后将其发送到网关。收到之后，网关将解密会话密钥并保留该密钥，以供在服务器到网关会话中使用。如果服务器无法成功解密测试数据和网关特有数据，则服务器将使用默认密钥加密网关密钥并将其发送到网关。网关将使用默认密钥中已编译好的网关密钥来解密网关密钥，并将该网关密钥存储于网关的注册表中。然后，服务器将使用网关密钥对服务器-网关会话唯一密钥进行加密，并将其发送到网关以供在服务器到网关会话中使用。

  之后，网关将仅接受已使用网关密钥加密了会话密钥的服务器请求。启动时，网关将检查注册表中的密钥。如果密钥存在，网关将使用该密钥。如果密钥不存在，则网关将使用默认密钥。一旦网关在注册表中设置了密钥，网关将不再允许使用默认密钥建立会话，这将阻止某些人设置流氓服务器并建立到网关的连接。

问题:

我可以更新网关密钥（用于加密或解密服务器到网关有效负载）吗？

回答:

Identity Manager 提供了名为“管理服务器加密”的任务，它允许授权的安全管理员执行多项密钥管理任务，包括生成新的“当前”网关密钥并使用该“当前”网关密钥更新所有网关。这是用于加密每个会话密钥（用于保护在服务器和网关之间传送的所有有效负载）的密钥。将使用默认密钥或 PBE 密钥对新生成的网关密钥进行加密，具体取决于系统配置（编辑 Identity Manager 配置对象）中 pbeEncrypt 属性的值。

问题:

在服务器、网关的什么地方存储网关密钥？

回答:

在服务器上，网关密钥就像服务器密钥一样存储在系统信息库中。在网关上，网关密钥存储于本地注册表主键中。

问题:

怎样保护网关密钥？

回答:

保护网关密钥的方式与保护服务器密钥相同。如果将服务器配置为使用 PBE 加密，则网关密钥将使用 PBE 生成的密钥进行加密。如果该选项为 False，则将使用默认密钥加密。有关详细信息，请参见有关服务器加密密钥的常见问题。

问题:

我可以导出网关密钥以安全地存储在外部吗？

回答:

可以通过“管理服务器加密”任务导出网关密钥，就像导出服务器密钥一样。有关详细信息，请参见有关服务器加密密钥的常见问题。

问题:

如何销毁服务器和网关密钥？

回答:

通过从服务器系统信息库中删除服务器和网关密钥就可以销毁它们。请注意，只要仍在使用该密钥加密服务器数据或仍有网关依赖该密钥，就不应该删除该密钥。通过执行 "Manage Server Encryption" 任务，可以使用当前服务器密钥重新加密所有服务器数据，并将当前网关密钥与所有网关同步以确保在删除任何旧密钥之前不再使用旧密钥。