Protección de la implementación de HSM en la nube de Azure

Azure Cloud HSM proporciona una solución de módulo de seguridad de hardware (HSM) de alta garantía para proteger las claves criptográficas y proteger las cargas de trabajo confidenciales en la nube. La implementación de procedimientos recomendados de seguridad es esencial para evitar access no autorizados, mantener la integridad operativa y optimizar el rendimiento.

En este artículo se proporcionan recomendaciones de seguridad para ayudar a proteger la implementación de HSM en la nube de Azure.

Las recomendaciones de seguridad de este artículo implementan Confianza cero principios: "Comprobar explícitamente", "Usar acceso con privilegios mínimos" y "Asumir vulneración". Para obtener instrucciones de Confianza cero completas, consulte el Centro de instrucciones Confianza cero.

Seguridad específica del servicio

Azure Cloud HSM es un servicio validado de nivel 3 de FIPS 140-3 de un solo inquilino que concede a los clientes una autoridad administrativa completa sobre sus HSM. La protección de la raíz de confianza es fundamental para mantener la seguridad de la implementación.

  • Restringir el acceso a la clave privada del Propietario de la Partición: limite el acceso a la clave privada del Propietario de la Partición de Aplicación (POTA) (PO.key). El administrador de la partición de aplicación (AOTA) y las claves privadas POTA son equivalentes al acceso raíz y pueden restablecer contraseñas para los usuarios del oficial de criptografía (CO) en una partición (AOTA para la partición 0, POTA para las particiones de usuario). PO.key no es necesario para el acceso al HSM durante el tiempo de ejecución. Solo es necesario para la firma inicial del certificado de autenticación del propietario de la partición (POAC) y los restablecimientos de contraseña de CO. Almacene PO.key sin conexión y realice la firma inicial de POAC en una máquina sin conexión, si es posible. Los clientes son responsables de proteger su clave privada de POTA; perderla implica la imposibilidad de recuperar las contraseñas de CO. Almacene de forma segura la clave privada POTA y mantenga las copias de seguridad adecuadas. Consulte Administración de usuarios en Azure Cloud HSM.

Cumplimiento y certificación

Azure Cloud HSM cumple con varios estándares y certificaciones de cumplimiento del sector, incluidos FIPS 140-3 nivel 3, eIDAS y PCI 3DS. Para obtener más información, consulte Cumplimiento y certificación.

Seguridad de red

La configuración correcta de la red puede ayudar a evitar access no autorizados y reducir la exposición a amenazas externas.

  • Use puntos de conexión privados: ayude a proteger la implementación de HSM en la nube de Azure mediante subredes privadas y puntos de conexión privados para evitar la exposición a la red pública de Internet. Este enfoque garantiza que el tráfico permanece dentro de la red troncal de Microsoft, lo que reduce el riesgo de acceso no autorizado. Consulte seguridad de red para Azure Cloud HSM.

Administración de identidades y acceso

Los controles de autenticación y administración de usuarios eficaces son cruciales para mantener la seguridad e integridad de Azure Cloud HSM. La implementación de controles adecuados para identidades de usuario, credenciales y permisos puede ayudar a evitar access no autorizados y garantizar la continuidad operativa.

  • Usar contraseñas seguras: cree contraseñas únicas y seguras para los usuarios de HSM. Use al menos 12 caracteres, incluida una combinación de letras mayúsculas y minúsculas, números y caracteres especiales. Consulte Administración de usuarios en Azure Cloud HSM.

  • Asegure las credenciales de usuario de HSM: Proteja cuidadosamente las credenciales de usuario de HSM, ya que Microsoft no puede recuperarlas si se pierden. Consulte Administración de usuarios en Azure Cloud HSM.

  • Implementar administradores secundarios para la prevención de bloqueo: designe al menos dos administradores para evitar el bloqueo de HSM en caso de que se pierda una contraseña. Consulte Administración de usuarios en Azure Cloud HSM.

  • Establecer varios usuarios de criptografía (RU) con permisos restringidos: cree varias RU con responsabilidades distintas para evitar que cualquier usuario único tenga control total. Consulte Administración de usuarios en Azure Cloud HSM.

  • Limite la capacidad de las CUs para exportar claves: Restringa a las CUs de exportar material de clave estableciendo los atributos de usuario adecuados. Consulte Administración de usuarios en Azure Cloud HSM.

  • Limitar el control de CO sobre las UCD: utilice el disableUserAccess comando para evitar que los usuarios de CO gestionen UCD específicas. Los usuarios de CO pueden omitir este comando con copias de seguridad anteriores. Consulte Administración de usuarios en Azure Cloud HSM.

  • Configurar identidades administradas: establezca identidades administradas asignadas por el usuario para las operaciones de copia de seguridad y restauración y para las máquinas virtuales que realizan acciones administrativas. Consulte Administración de usuarios en Azure Cloud HSM.

  • Almacenar de forma segura las credenciales de HSM: proteja las credenciales almacenadas y evite exponerlas cuando no estén en uso. Configure el entorno para recuperar y establecer las credenciales automáticamente. Consulte Authentication en Azure Cloud HSM.

  • Use el inicio de sesión implícito para la autenticación JCE: siempre que sea posible, use el inicio de sesión implícito para la autenticación de Java Cryptography Extension (JCE) para permitir la administración automática de credenciales y la reautenticación. Consulte Authentication en Azure Cloud HSM.

  • Evite compartir sesiones entre subprocesos: para las aplicaciones multiproceso, asigne a cada subproceso su propia sesión para evitar conflictos y problemas de seguridad. Consulte Authentication en Azure Cloud HSM.

  • Implementar reintentos en el lado del cliente: añada una lógica de reintento a las operaciones de HSM para controlar posibles eventos de mantenimiento o reemplazos de HSM. Consulte Authentication en Azure Cloud HSM.

  • Administrar las sesiones de cliente de HSM cuidadosamente: tenga en cuenta que azurecloudhsm_client comparte sesiones entre aplicaciones en el mismo host. La administración de sesiones adecuada evita conflictos. Consulte Authentication en Azure Cloud HSM.

Protección de los datos

Un manejo adecuado de los límites de almacenamiento de claves, la seguridad de envoltura de claves, los atributos de claves y las estrategias de caché pueden mejorar la protección y el rendimiento.

  • Implement key rotation: Rota regularmente las claves para reemplazar las más antiguas y liberar almacenamiento mientras se mantiene la seguridad. Consulte la gestión de claves en Azure Cloud HSM.

  • Usar una jerarquía de claves: almacene menos claves en el HSM mediante claves maestras para cifrar otras claves. Vea la administración de claves en Azure Cloud HSM.

  • Compartir y reutilizar claves cuando sea factible: reduzca los requisitos de storage compartiendo o reutilizando claves en varias sesiones cuando proceda. Consulte la gestión de claves en Azure Cloud HSM.

  • Eliminar claves sin usar de forma segura: quite las claves que ya no necesite para evitar el consumo de almacenamiento innecesario. Consulte la gestión de claves en Azure Cloud HSM.

  • Establezca las claves como nonextractables siempre que sea posible: use EXTRACTABLE=0 para asegurarse de que las claves no se pueden exportar fuera del HSM. Consulte la Gestión de claves en Azure Cloud HSM.

  • Habilitar el ajuste de claves de confianza: use WRAP_WITH_TRUSTED=1 para restringir el ajuste de claves a claves de confianza. Esta acción impide las exportaciones de claves no autorizadas. Consulte la gestión de claves en Azure Cloud HSM.

  • Use atributos clave para restringir los permisos: asigne solo los atributos necesarios al generar claves para limitar las operaciones no deseadas. Consulte la administración de claves en Azure Cloud HSM.

  • Almacenar objetos de clave en caché para el rendimiento: use comandos de búsqueda de claves solo una vez durante el inicio de la aplicación y almacene el objeto de clave devuelto en la memoria de la aplicación para reducir la latencia. Consulte la administración de claves en Azure Cloud HSM.

Registro y supervisión

  • Configurar el registro de eventos de la operación: el registro de eventos de la operación es fundamental para la seguridad de HSM. Proporciona un registro inmutable de acceso y operaciones para la responsabilidad, la trazabilidad y el cumplimiento normativo. Ayuda a detectar access no autorizados, investigar incidentes e identificar anomalías, para ayudar a garantizar la integridad y confidencialidad de las operaciones criptográficas. Para mantener la seguridad y la privacidad, los registros excluyen datos confidenciales (como identificadores de clave, nombres de clave y detalles del usuario). Capturan operaciones de HSM, marcas de tiempo y metadatos, pero no pueden determinar el éxito o fracaso porque la operación HSM ocurre dentro del canal TLS interno. Consulte Tutorial: Registro de eventos de operación en Azure Cloud HSM.

  • Transmisión de registros al centro de eventos para el procesamiento en tiempo real: para el procesamiento de registros en tiempo real y la integración con sistemas SIEM de bajada o canalizaciones de análisis personalizadas, configure el centro de eventos como destino adicional para la configuración de diagnóstico. Consulte Tutorial: Configuración del centro de eventos para Azure Cloud HSM.

Copia de seguridad y recuperación

Azure Cloud HSM proporciona alta disponibilidad a través de HSM agrupados que sincronizan claves y directivas al migrar automáticamente las cargas de trabajo durante los errores.

  • Implementación de una sólida copia de seguridad y recuperación ante desastres: el servicio admite operaciones completas de copia de seguridad y restauración que conservan todas las claves, atributos y asignaciones de roles. Las copias de seguridad están protegidas por claves derivadas de HSM que Microsoft no pueden acceder. Azure Cloud HSM no admite la restauración a HSM ya activados. Para la continuidad empresarial, use identidades administradas para la autenticación, almacene copias de seguridad en Azure Blob Storage privadas, implemente permisos mínimos de control de acceso basado en rol (RBAC) y deshabilite el acceso a claves compartidas. Entre las opciones de recuperación adicionales se incluyen el uso extractMaskedObject de para extraer claves como blobs cifrados, almacenarlas de forma segura e importarlas con insertMaskedObject según sea necesario. Implemente en dos regiones para usar la funcionalidad de conmutación por error. Consulte Copia de seguridad y restauración de recursos de Azure Cloud HSM.

  • Verifique la sincronización de usuarios y claves en todos los nodos: Azure Cloud HSM funciona como un clúster de tres nodos. Durante los eventos de servicio, como la recuperación automática o las actualizaciones, es posible que los usuarios o las claves no se repliquen en todos los nodos. Si experimenta errores intermitentes de autenticación o operación, compruebe que todos los usuarios y claves existen en cada nodo. Consulte Sincronizar usuarios y claves entre los nodos de Azure Cloud HSM.

Pasos siguientes

Seguridad física

Azure Cloud HSM se hospeda en centros de datos seguros con mecanismos de detección de alteraciones. Para obtener más información, consulte Seguridad física.

Operaciones de servicio

Azure Cloud HSM no tiene ventanas de mantenimiento programadas, pero Microsoft notifica a los clientes con antelación de cualquier impacto previsto. Para obtener más información, consulte Operaciones del servicio.

  • Last updated on