OKM proporciona seguridad de datos mediante el cifrado de los datos almacenados (cifrado basado en dispositivos). Crea, almacena y gestiona claves de cifrado. OKM admite sistemas abiertos y plataformas empresariales.
En las siguientes secciones, se describen los conceptos y los componentes de la solución OKM.
OKM se basa en los siguientes estándares de la industria:
FIPS PUB 140-2: requisitos de seguridad para módulos criptográficosFIPS PUB 46-3: estándar de cifrado de datosFIPS PUB 171: gestión de claves
NIST 800-57 parte 1: recomendaciones para la gestión de claves
IEEE 1619.1: estándar para el cifrado de cintas (completo)IEEE 1619.2: estándar para el cifrado de discos (en proceso)IEEE 1619.3: estándar para la gestión de claves (en curso)
Criterios comunes (CC)
ISO/IEC 1779: técnicas de seguridad
Cifrado CCM–AES-256
Cifrado simétrico
Nonce
Conjunto de cifrado (TLS 1.0, 2048-bit RSA, SHA1, HMAC)
El dispositivo de gestión de claves es un servidor de seguridad reforzado que proporciona gestión de claves de ciclo de vida basada en políticas, autenticación, control de acceso y servicios de suministro de claves. El dispositivo de gestión de claves garantiza que todos los dispositivos de almacenamiento estén registrados y autenticados, y que toda creación, suministro y supresión de claves de cifrado se lleve a cabo de conformidad con las políticas establecidas.
OKM 3.0 es compatible con Solaris 11 en el servidor Netra SPARC T4-1. La versión de OKM de este servidor incluye:
Procesador SPARC T4 de 4 núcleos y 2.85 GHz
32 GB de DRAM (4 DIMM de 8 GB)
Unidad de disco SAS de 2,5 in con 600 GB a 10.000 rpm
4 puertos Gigabit Ethernet
Fuentes de alimentación redundantes
5 ranuras de adaptador PCIe de segunda generación (con 8 vías cada una)
Unidad de DVD (deshabilitada: no se usa con OKM)
Para conocer otras especificaciones del servidor, como los requisitos ambientales y de energía, consulte:
OKM 2.x es compatible con Solaris 10 en Sun Fire X2100 M2, X2200 M2 y X4170 M2.
Nota:
Los dispositivos de gestión de claves de Sun Fire no se pueden actualizar a OKM 3.0, pero se pueden comunicar con los dispositivos de gestión de claves de OKM 3.0 en el mismo cluster. Los dispositivos de gestión de claves de OKM 3.0 se pueden unir a un cluster de OKM 2.x existente mediante un dispositivo de gestión de claves que ejecute KMS 2.2 o posterior.Los dispositivos de gestión de claves se pueden instalar en armarios o racks RETMA estándar de cuatro pilares y 19 in. No se admiten racks de dos pilares.
Nota:
La biblioteca SL8500 ofrece espacio para cuatro racks de 19 in. Para obtener más información, consulte la Guía de aseguramiento de sistemas StorageTek SL8500.Las guías deslizantes son compatibles con racks con los siguientes estándares:
Abertura horizontal y extremo vertical de la unidad que cumplen con los estándares ANSI/EIA 310-D-1992 o IEC 60927.
Distancia entre los planos de montaje frontal y posterior entre 610 mm y 915 mm (24 in a 36 in).
Profundidad de separación hasta la puerta delantera del armario de al menos 25,4 mm (1 in).
Profundidad de separación hasta la puerta posterior del armario de al menos 800 mm (31,5 in) con un organizador de cables o 700 mm (27,5 in) sin un organizador de cables.
Ancho de separación entre los soportes estructurales y los canales de cables, y entre los planos de montaje delantero y posterior, de al menos 456 mm (18 in).
La tarjeta Sun Cryptographic Accelerator (SCA6000) opcional se utiliza para las funciones administrativas y de procesamiento criptográfico requeridas para el cumplimiento con FIPS. Se trata de un módulo de seguridad de hardware FIPS 140-2 nivel 3.
Puede usar la GUI de OKM para configurar y gestionar OKM. Se ejecuta en una estación de trabajo proporcionada por el cliente y se comunica con los dispositivos de gestión de claves a través de una red IP. No se necesitan privilegios de administrador (Windows) o de usuario root (Solaris) para instalar y ejecutar la GUI.
Solaris 10 10/09 (actualización 8) x86
Solaris 10 9/10 (actualización 9) SPARC
Solaris 10 9/10 (actualización 9) x86
Microsoft Windows 7 Business
Microsoft Windows 7 Enterprise
Microsoft Windows Vista Business
Microsoft Windows XP Professional versión 2002
Microsoft Windows XP Professional
Microsoft Windows Server 2008 versión 6.0
Microsoft Windows Server 2003 R2 Standard Edition
Microsoft Windows Server 2003
Dos utilidades de interfaz de línea de comandos (CLI) que admiten un subconjunto de las mismas funciones que la GUI de OKM. Permiten la automatización de diversas tareas, como creación de copias de seguridad, exportación de claves y elaboración de informes de auditoría.
Un cluster es un conjunto completo de dispositivos de gestión de claves en un sistema. Todos estos dispositivos de gestión de claves se reconocen entre sí y replican información completa. El cluster permite que las unidades de cinta seleccionen dispositivos de gestión de claves para la recuperación de material de claves.
Puede haber un mínimo de dosPie 1 y un máximo de 20 dispositivos de gestión de claves en un cluster.
Las nuevas claves generadas en cualquier sitio se replican al resto de los dispositivos de gestión de claves del cluster.
Todos los cambios administrativos se propagan al resto de los dispositivos de gestión de claves del cluster.
Debe tenerse en cuenta el tamaño del cluster al diseñar el sistema para una máxima disponibilidad.
Varios dispositivos de gestión de claves pueden agruparse en clusters en una red de área amplia, local o privada dedicada.
Cualquier dispositivo de gestión de claves del cluster puede proporcionar servicios a cualquier agente de la red.
Cualquier dispositivo de gestión de claves puede utilizarse para funciones de administración.
Nota:
Los dispositivos de gestión de claves de un cluster desconocen los dispositivos de gestión de claves de otros clusters.Las unidades de cinta recuperan claves del cluster del dispositivo de gestión de claves mediante la detección, el equilibrio de cargas y el failover.
Las unidades de cinta (agentes) envían una solicitud de detección de cluster a un dispositivo de gestión de claves. El dispositivo de gestión de claves que recibe la solicitud de detección de cluster proporciona la siguiente información a cada dispositivo de gestión de claves:
Dirección IP (IPv4 e IPv6)
Nombre del sitio
ID del dispositivo de gestión de claves
Nombre del dispositivo de gestión de claves
Versión del dispositivo de gestión de claves (ayuda a determinar la compatibilidad de FIPS para las unidades de cinta admitidas)
Estado del dispositivo de gestión de claves:
Responde: indica si el dispositivo de gestión de claves está respondiendo en la red
Bloqueado: indica si el dispositivo de gestión de claves está bloqueado
Las unidades de cinta recuperan periódicamente esta información como parte de una operación de cinta (no cuando la unidad de cinta está inactiva) y siempre la solicitan como parte de la inscripción y cada vez que se realiza la IPL de la unidad.
Cuando la unidad detecta un nuevo estado de respuesta para un dispositivo de gestión de claves, actualiza la información del cluster con el nuevo estado.
Durante operaciones normales de la unidad de cinta, la unidad usa la tabla local de información del cluster para seleccionar un dispositivo de gestión de claves para la recuperación de claves.
Las unidades usan un algoritmo para seleccionar un dispositivo de gestión de claves del mismo sitio que la unidad. Si todos los dispositivos de gestión de claves dentro de un sitio están bloqueados o no responden, la unidad de cinta intenta acceder a un dispositivo de gestión de claves de otro sitio. Si no se puede acceder a los dispositivos de gestión de claves de otros sitios, se producirá el timeout del intento de recuperación de claves y se realizará un failover forzado.
La capacidad de las unidades de cinta de realizar un failover a sitios remotos puede mejorar la confiabilidad y la disponibilidad de la unidad cuando los dispositivos de gestión de claves locales no funcionan o tardan en responder (como en situaciones de timeout causadas por cargas de trabajo intensas).
Cuando una unidad de cinta no puede comunicarse con ninguno de los dispositivos de gestión de claves de un cluster, la unidad usa un algoritmo para seleccionar un dispositivo de gestión de claves para un intento de failover. Al realizar la selección, la información de la unidad sobre el estado del cluster se utiliza nuevamente.
Las unidades de cinta intentan realizar un failover hasta tres veces antes de darse por vencidas y devolver un error a la aplicación host de la unidad de cinta.
Nota:
A veces, es posible que una unidad elija un dispositivo de gestión de claves que no responde durante un intento de failover si el resto de los dispositivos de gestión de claves no responden. Sin embargo, dado que es posible que la información acerca del cluster sea obsoleta, el dispositivo de gestión de claves puede estar en línea y responder.Los agentes son puntos finales de cifrado que usan claves criptográficas para cifrar y descifrar datos. Los agentes son dispositivos (por ejemplo, unidades de cinta) que se autentican con OKM y obtienen material de claves mediante una sesión "segura" (TLS). Los agentes se comunican con los dispositivos de gestión de claves a través de la API de agente. (La API de agente es un conjunto de interfaces de software incorporadas en el software o hardware del agente). De forma predeterminada, los dispositivos de gestión de claves locales (si están disponibles) proporcionan servicios a los agentes.
Los agentes de unidad de cinta no deben estar en redes públicas.
Los agentes deben permanecer conectados a la red en caso de que se necesite una clave de cifrado. Conecte agentes de unidad de cinta a los dispositivos de gestión de claves en una red de servicio privada.
Los dispositivos de gestión de claves y los agentes pueden "agruparse" lógicamente para crear un sitio, donde los agentes hacen referencia a los dispositivos de gestión de claves dentro del sitio al cual están asignados.
Las unidades de datos representan los datos cifrados por los agentes. Para las unidades de cinta, una unidad de datos es un cartucho de cinta.
Las claves son los valores reales de las claves (material de claves) y los metadatos asociados.
Las políticas de claves definen los parámetros que rigen las claves. Esto incluye parámetros de ciclo de vida (como período de cifrado y período criptográfico) y parámetros de importación/exportación (por ejemplo, importación permitida, exportación permitida).
Los grupos de claves asocian claves y políticas de claves. Cada grupo de claves tiene una política de claves y está asignado a los agentes. Los agentes pueden recuperar solamente las claves que están asignadas a uno de los grupos de claves permitidos del agente. Los agentes también tienen un grupo de claves predeterminado. Cuando un agente crea una clave (la asigna a una unidad de datos), la clave se coloca en el grupo de claves predeterminado del agente.
Nota:
Para que el sistema funcione, debe definir al menos una política de claves y un grupo de claves (asignado como grupo de claves predeterminado) para todos los agentes.OKM tiene un conjunto predefinido de roles de usuario:
Lleva a cabo la gestión y configuración de OKM.
Lleva a cabo la configuración de los agentes y las operaciones diarias.
Define grupos de claves y controla el acceso de los agentes a los grupos de claves.
Lleva a cabo operaciones de copia de seguridad.
Supervisa las pistas de auditoría del sistema.
Visualiza y aprueba las operaciones de quórum pendientes.
Para obtener más información acerca de los roles de usuario, incluida una lista de las operaciones llevadas a cabo por cada rol, consulte la Guía de administración.
Nota:
Puede usar una hoja de trabajo para facilitar la planificación de roles de usuario, como la que se incluye en el Manual de servicio e instalación de OKM (solo para uso interno). Consulte con el representante de soporte de Oracle.IBM Integrated Cryptography Service Facility (ICSF) es una solución de cifrado con un almacén de claves externo que reside en un mainframe de IBM y al cual se puede acceder mediante un protocolo TLS/XML. Para obtener más información, consulte la Guía de integración de OKM-ICSF.
Leyenda de Nota a Pie de Página
Nota a Pie de Página 1: Pueden realizarse excepciones con la aprobación de los servicios de soporte, los servicios profesionales y el Departamento de Ingeniería.