Kontrollera dina data i molnet med hjälp av Hanterad HSM

Microsoft värderingar, skyddar och försvarar integriteten. Vi tror på transparens så att människor och organisationer kan styra sina data och ha meningsfulla val i hur de används. Vi stärker och försvarar sekretessvalen för varje person som använder våra produkter och tjänster.

I den här artikeln tar vi en djupdykning i Azure Key Vault Managed HSM säkerhetskontroller för kryptering och hur det ger ytterligare skyddsåtgärder och tekniska åtgärder för att hjälpa våra kunder att uppfylla sina efterlevnadskrav.

Kryptering är en av de viktigaste tekniska åtgärderna som du kan vidta för att få fullständig kontroll över dina data. Azure befäster dina data genom den senaste krypteringstekniken, både för vilande data och för data under överföring. Våra krypteringsprodukter upprättar hinder mot obehörig åtkomst till data, inklusive två eller flera oberoende krypteringslager för att skydda mot kompromettering av ett enda lager. Dessutom har Azure tydligt definierade, väletablerade svar, principer och processer, starka avtalsåtaganden och strikta fysiska, drifts- och infrastruktursäkerhetskontroller för att ge våra kunder den ultimata kontrollen över sina data i molnet. Den grundläggande förutsättningen för Azure nyckelhanteringsstrategi är att ge våra kunder mer kontroll över sina data. Vi använder en zero trust-hållning med avancerad enklavteknik, maskinvarusäkerhetsmoduler (HSM) och identitetsisolering som begränsar Microsofts åtkomst till kundnycklar och data.

Kryptering i vila ger dataskydd för lagrade data i vila och efter behov av en organisations behov av datastyrning och efterlevnadsarbete. Microsoft efterlevnadsportfölj är den bredaste i alla offentliga moln över hela världen, med branschstandarder och myndighetsregler som HIPAA och Federal Information Processing Standards (FIPS) 140-2 och 3. Dessa standarder och föreskrifter innehåller specifika skydd för dataskydds- och krypteringskrav. I de flesta fall krävs en obligatorisk åtgärd för efterlevnad.

Hur fungerar kryptering i vila?

Azure Key Vault tjänster tillhandahåller krypterings- och nyckelhanteringslösningar som skyddar kryptografiska nycklar, certifikat och andra hemligheter som molnprogram och tjänster använder för att skydda och kontrollera data som krypteras i vila.

Säker nyckelhantering är viktigt för att skydda och kontrollera data i molnet. Azure erbjuder olika lösningar som du kan använda för att hantera och styra åtkomsten till krypteringsnycklar så att du har valmöjligheter och flexibilitet för att uppfylla stränga dataskydds- och efterlevnadsbehov.

• Azure plattformskryptering är en platformhanterad krypteringslösning som krypterar med hjälp av kryptering på värdnivå. Plattformshanterade nycklar är krypteringsnycklar som genereras, lagras och hanteras helt av Azure.
• Kundhanterade nycklar (CMK) är en nyckelhanteringskontrollmodell där kunden skapar, roterar och hanterar livscykeln för nyckelkrypteringsnyckeln (KEK). Azure tjänster använder dessa kundägda nycklar för att omsluta och packa upp sina datakrypteringsnycklar. Kundhanterade nycklar kan lagras i Azure Key Vault eller Azure Managed HSM.
• Azure Key Vault Standard krypteras med hjälp av en programvarunyckel och är FIPS 140-2 Level 1-kompatibel.
• Azure Key Vault Premium krypteras med hjälp av nycklar som skyddas av FIPS 140-verifierade HSM.
• Azure Key Vault Managed HSM är en fullt hanterad tjänst som krypterar med hjälp av en single-tenant, kundkontrollerad HSM-skyddade nycklar enligt FIPS 140-3 nivå 3 standard.

För ytterligare säkerhet kan du i Azure Key Vault Premium och Azure Key Vault Managed HSM bringa din egen nyckel (BYOK) och importera HSM-skyddade nycklar från en lokal HSM.

Portfölj med Azure viktiga hanteringsprodukter

Azure Key Vault är en molntjänst som du kan använda för att lagra och komma åt hemligheter på ett säkert sätt. En hemlighet är allt som du vill kontrollera åtkomsten till på ett säkert sätt och som kan innehålla API-nycklar, lösenord, certifikat och kryptografiska nycklar.

Key Vault stöder två typer av containrar:

• Valv

  • Standardnivå: Valv stöder lagring av hemligheter, certifikat och programvarubaserade nycklar.
  • Premiumnivå: Valv stöder lagring av hemligheter, certifikat, programvarubaserade nycklar och HSM-säkerhetskopierade nycklar.

• Säkerhetsmodul för hanterad maskinvara (HSM)

  • Hanterad HSM stöder endast HSM-stödda nycklar.

Mer information finns i Azure Key Vault Concepts and Azure Key Vault REST API overview.

Vad är Azure Key Vault Managed HSM?

Azure Key Vault Managed HSM är en fullständigt hanterad, högtillgänglig molntjänst med en enda klientorganisation som är standardkompatibel och har en kundkontrollerad säkerhetsdomän som gör att du kan lagra kryptografiska nycklar för dina molnprogram med FIPS 140-3 Level 3-verifierade HSM:er.

Hur skyddar Azure Key Vault Managed HSM dina nycklar?

Azure Key Vault Managed HSM använder ett djupgående skydd och en zero trust-säkerhetspostur som använder flera skyddslag, inklusive fysiska, tekniska och administrativa säkerhetskontroller för att skydda och försvara din data.

Azure Key Vault och Azure Key Vault Managed HSM utformas, distribueras och drivs så att Microsoft och dess agenter hindras från att komma åt, använda eller extrahera data som lagras i tjänsten, inklusive kryptografiska nycklar.

Kundhanterade nycklar som på ett säkert sätt skapas i eller importeras på ett säkert sätt till HSM-enheterna, såvida inte kunden anger något annat, kan inte extraheras och visas aldrig i klartext för Microsoft system, anställda eller agenter.

Key Vault-teamet har uttryckligen inte några operativa procedurer för att bevilja den här typen av åtkomst till Microsoft och dess agenter, även om de har godkänts av en kund.

Vi kommer inte att försöka besegra kundkontrollerade krypteringsfunktioner som Azure Key Vault eller Azure Key Vault Managed HSM. Om vi ställs inför ett rättsligt krav på att göra det skulle vi bestrida ett sådant krav på laglig grund, i enlighet med våra kundåtaganden.

Därefter tar vi en detaljerad titt på hur dessa säkerhetskontroller implementeras.

Säkerhetskontroller i Azure Key Vault Managed HSM

Azure Key Vault Managed HSM använder följande typer av säkerhetskontroller:

• Fysisk
• Teknisk
• Administrativ

Fysiska säkerhetskontroller

Kärnan i Managed HSM är maskinvarusäkerhetsmodulen (HSM). En HSM är en specialiserad, härdad, manipuleringsbeständig, högentropi, dedikerad kryptografisk processor som verifieras till FIPS 140-3 Nivå 3-standarden. Alla komponenter i HSM omfattas ytterligare av härdad epoxy och ett metallhölje för att hålla dina nycklar säkra från en angripare. HSM:erna finns i rack med servrar i flera datacenter, regioner och geografiska områden. Dessa geografiskt spridda datacenter uppfyller viktiga branschstandarder som ISO/IEC 27001:2013 och NIST SP 800-53 för säkerhet och tillförlitlighet.

Microsoft utformar, bygger och driver datacenter på ett sätt som strikt styr fysisk åtkomst till de områden där dina nycklar och data lagras. Ytterligare lager av fysisk säkerhet, såsom höga staket av betong och stål, ståldörrar med dödbult, termiska larmsystem, övervakning med sluten krets kamera, säkerhetspersonal dygnet runt, åtkomst på behovsbasis med godkännande per våning, rigorös personalutbildning, biometriska kontroller, bakgrundskontroller samt åtkomstbegäran och godkännande, är föreskrivna. HSM-enheter och relaterade servrar är låsta i en bur och kameror filmar servrarnas fram- och baksida.

Tekniska säkerhetskontroller

Flera lager av tekniska kontroller i Managed HSM skyddar ditt nyckelmaterial ytterligare. Men viktigast av allt hindrar de Microsoft från att komma åt nyckelmaterialet.

• Konfidentialitet: Den hanterade HSM-tjänsten körs i en betrodd körningsmiljö som bygger på Intel Software Guard-tillägg (Intel SGX). Intel SGX erbjuder förbättrat skydd mot interna och externa angripare genom att använda maskinvaruisolering i enklaver som skyddar data som används.

  Enklaver är säkra delar av maskinvarans processor och minne. Du kan inte visa data eller kod i enklaven, inte ens med ett felsökningsprogram. Om obetrodd kod försöker ändra innehåll i enklavens minne inaktiverar Intel SGX miljön och nekar åtgärden.

  Dessa unika funktioner hjälper dig att skydda ditt kryptografiska nyckelmaterial från att vara tillgängligt eller synligt som klartext. Dessutom erbjuder Azure konfidentiell databehandling lösningar som möjliggör isolering av känsliga data medan de bearbetas i molnet.

• Säkerhetsdomän: En säkerhetsdomän är en krypterad blob som innehåller extremt känslig kryptografisk information. Säkerhetsdomänen innehåller artefakter som HSM-säkerhetskopiering, användarautentiseringsuppgifter, signeringsnyckeln och den datakrypteringsnyckel som är unik för din hanterade HSM.

  Säkerhetsdomänen genereras både i den hanterade HSM-maskinvaran och i tjänstprogramvarans enklaver under initieringen. När den hanterade HSM:en har etablerats måste du skapa minst tre RSA-nyckelpar. Du skickar de offentliga nycklarna till tjänsten när du begär nedladdning av säkerhetsdomänen. När säkerhetsdomänen har laddats ned flyttas den hanterade HSM:en till ett aktiverat tillstånd och är redo att användas. Microsoft personal har inget sätt att återställa säkerhetsdomänen och de kan inte komma åt dina nycklar utan säkerhetsdomänen.

• Åtkomstkontroller och auktorisering: Åtkomst till en hanterad HSM styrs via två gränssnitt, kontrollplanet och dataplanet.

  Kontrollplanet är där du hanterar HSM själv. Åtgärder i det här planet omfattar att skapa och ta bort hanterade HSM:er och hämta hanterade HSM-egenskaper.

  Dataplanen är där du arbetar med den data som lagras i en hanterad HSM, vilket är HSM-stödda krypteringsnycklar. Från dataplanets gränssnitt kan du lägga till, ta bort, ändra och använda nycklar för att utföra kryptografiska åtgärder, hantera rolltilldelningar för att kontrollera åtkomsten till nycklarna, skapa en fullständig HSM-säkerhetskopia, återställa en fullständig säkerhetskopia och hantera säkerhetsdomänen.

  För att få åtkomst till en hanterad HSM i båda plan måste alla anropare ha rätt autentisering och auktorisering. Autentisering upprättar anroparens identitet. Auktorisering avgör vilka åtgärder anroparen kan köra. En anropare kan vara något av de säkerhetsobjekt som definieras i Microsoft Entra ID: Användare, grupp, tjänstens huvudnamn eller hanterad identitet.

  Båda planen använder Microsoft Entra ID för autentisering. För auktorisering använder de olika system:

  • Kontrollplanet använder Azure rollbaserad åtkomstkontroll (Azure RBAC), ett auktoriseringssystem som bygger på Azure Resource Manager.
  • Dataplanet använder en hanterad RBAC på HSM-nivå (managed HSM local RBAC), ett auktoriseringssystem som implementeras och tillämpas på hanterad HSM-nivå. Med den lokala RBAC-kontrollmodellen för Managed HSM kan utsedda HSM-administratörer ha fullständig kontroll över sin HSM-pool som inte ens hanteringsgruppen, prenumerationen eller resursgruppsadministratörerna kan åsidosätta.
  • Kryptering under överföring: All trafik till och från den hanterade HSM:en krypteras alltid med TLS (Transport Layer Security-versionerna 1.3 och 1.2 stöds) för att skydda mot datamanipulering och avlyssning där TLS-avslutningen sker i SGX-enklaven och inte på den ej betrodda värden
  • Brandväggar: Hanterad HSM kan konfigureras för att begränsa vem som kan nå tjänsten i första hand, vilket ytterligare krymper attackytan. Vi låter dig konfigurera Managed HSM för att neka åtkomst från det offentliga Internet och endast tillåta trafik från betrodda Azure tjänster (till exempel Azure Storage)
  • Private-slutpunkter: Genom att aktivera en privat slutpunkt tar du med managed HSM-tjänsten till ditt virtuella nätverk så att du endast kan isolera tjänsten till betrodda slutpunkter som ditt virtuella nätverk och Azure tjänster. All trafik till och från din hanterade HSM kommer att färdas längs det säkra Microsoft stamnätverk utan att behöva passera det offentliga Internet.
  • Övervakning och loggning: Det yttersta skyddsskiktet är övervaknings- och loggningsfunktionerna i Managed HSM. Med hjälp av Azure Monitor-tjänsten kan du kontrollera dina loggar för analys och aviseringar för att säkerställa att åtkomstmönster överensstämmer med dina förväntningar. På så sätt kan medlemmar i ditt säkerhetsteam få insyn i vad som händer i den hanterade HSM-tjänsten. Om något inte ser rätt ut kan du alltid rulla dina nycklar eller återkalla behörigheter.
  • Bringa din egen nyckel (BYOK): BYOK gör det möjligt för Azure kunder att använda alla lokala HSM:er som stöds för att generera nycklar och sedan importera dem till den hanterade HSM:n. Vissa kunder föredrar att använda lokala HSM:er för att generera nycklar för att uppfylla regel- och efterlevnadskrav. Sedan använder de BYOK för att på ett säkert sätt överföra en HSM-skyddad nyckel till den hanterade HSM:en. Nyckeln som ska överföras finns aldrig utanför en HSM i klartextform. Under importprocessen skyddas nyckelmaterialet med en nyckel som lagras i den hanterade HSM:n.
  • External HSM: Vissa kunder har frågat oss om de kan utforska alternativet att ha HSM utanför Azure molnet för att hålla data och nycklar åtskilda med en extern HSM, antingen i ett icke-Microsoft moln eller lokalt. Även om användning av en icke-Microsoft HSM utanför Azure verkar ge kunderna mer kontroll över nycklar, medför det flera problem, till exempel svarstid som orsakar prestandaproblem, SLA-slip som orsakas av problem med icke-Microsoft HSM och underhåll och utbildningskostnader. En icke-Microsoft HSM kan inte heller använda nyckelfunktioner i Azure som soft delete och raderingsskydd. Vi fortsätter att utvärdera det här tekniska alternativet med våra kunder för att hjälpa dem att navigera i det komplexa säkerhets- och efterlevnadslandskapet.

Administrativa säkerhetskontroller

Dessa administrativa säkerhetskontroller finns i Azure Key Vault Managed HSM:

• Dataförsvar. Du har Microsofts starka engagemang för att utmana myndighetsförfrågningar och försvara dina data.
• Avtalsförpliktelser. Den erbjuder kontrollskyldigheter för säkerhet och kunddataskydd enligt beskrivningen i Microsoft Trust Center.
• Korsregionell replikering. Du kan använda replikering i flera regioner i Managed HSM för att distribuera HSM:er i en sekundär region.
• Katastrofåterställning Azure erbjuder en lösning för säkerhetskopiering och haveriberedskap från slutpunkt till slutpunkt som är enkel, säker, skalbar och kostnadseffektiv:
  • Program för hantering av affärskontinuitet
  • Azure Site Recovery
  • Azure Backup
  • Azure välkonstruerat ramverk
• Microsoft Security Response Center (MSRC). Hanterad HSM-tjänstadministration är nära integrerad med MSRC.
  • Säkerhetsövervakning för oväntade administrativa åtgärder med fullständigt 24/7-säkerhetssvar
• Molntålig och säker leveranskedja. Hanterad HSM ökar tillförlitligheten genom en elastisk molnförsörjningskedja.
• Inbyggt initiativ för regelefterlevnad. Efterlevnad i Azure Policy innehåller inbyggda initiativdefinitioner för att visa en lista över kontroller och efterlevnadsdomäner baserat på ansvar (kund, Microsoft, delad). För de kontroller som Microsoft ansvarar för, tillhandahåller vi ytterligare information om våra granskningsresultat baserat på oberoende attestering och våra detaljer om implementering för att uppnå denna efterlevnad.
• Granskningsrapporter. Resurser som hjälper informationssäkerhets- och efterlevnadspersonal att förstå molnfunktioner och för att verifiera tekniska efterlevnads- och kontrollkrav
• Filosofering kring antagandet av intrång Vi antar att alla komponenter kan komprometteras när som helst och vi utformar och testar på rätt sätt. Vi genomför regelbundna Red Team/Blue Team-övningar (attacksimulering).

Hanterad HSM erbjuder robusta fysiska, tekniska och administrativa säkerhetskontroller. Hanterad HSM ger dig ensam kontroll över ditt nyckelmaterial för en skalbar, centraliserad lösning för hantering av molnnycklar som hjälper dig att uppfylla växande efterlevnads-, säkerhets- och sekretessbehov. Det viktigaste är att den tillhandahåller krypteringsskydd som krävs för efterlevnad. Våra kunder kan vara säkra på att vi är fast beslutna att se till att deras data skyddas med transparens om våra metoder när vi går mot implementeringen av Microsoft EU-datagräns.

För mer information, kontakta ditt Azure-kontoteam för att möjliggöra ett samtal med produktteamet för Azure Key Management.