AWS - CloudHSM Enum
HSM - 하드웨어 보안 모듈
Cloud HSM은 안전한 암호화 키 저장을 위한 FIPS 140 레벨 2로 인증된 하드웨어 장치입니다(CloudHSM은 하드웨어 장치이며 가상화된 서비스가 아님에 유의하십시오). 이는 5.3.13이 사전로드된 SafeNetLuna 7000 장치입니다. 두 가지 펌웨어 버전이 있으며 선택은 정확한 요구 사항에 기반합니다. 하나는 FIPS 140-2 규정을 준수하고 더 사용할 수 있는 최신 버전이 있습니다.
CloudHSM의 특이한 기능은 이것이 물리적 장치이며, 따라서 다른 고객과 공유되지 않는다는 것입니다. 일반적으로, 장치는 15분 이내에 사용 가능하지만 일부 영역에서는 그렇지 않을 수 있습니다.
이 장치는 고객 전용 물리적 장치이므로 키는 장치에 저장됩니다. 키는 다른 장치로 복제하거나 오프라인 저장소에 백업하거나 대기 중인 장치로 내보내야 합니다. 이 장치는 S3나 KMS와 같은 다른 AWS 서비스로 백업되지 않습니다.
CloudHSM에서는 서비스를 직접 확장해야 합니다. 솔루션에 구현할 암호화 알고리즘에 기반하여 암호화 요구 사항을 처리할 수 있는 충분한 CloudHSM 장치를 프로비저닝해야 합니다. Key Management Service의 확장은 AWS에서 수행되며 수요에 따라 자동으로 확장되므로 사용량이 증가함에 따라 필요한 CloudHSM 장치 수도 증가할 수 있습니다. 솔루션을 확장하는 동안 이 사항을 염두에 두고 솔루션이 자동 확장되는 경우, 솔루션을 서비스하기 위해 충분한 CloudHSM 장치가 있는지 확인하십시오.
확장과 마찬가지로, CloudHSM의 성능은 사용자에게 달려 있습니다. 성능은 사용된 암호화 알고리즘과 데이터를 암호화하기 위해 키에 액세스하거나 검색해야 하는 빈도에 따라 다릅니다. Key Management Service의 성능은 Amazon에서 처리하며 수요에 따라 자동으로 확장됩니다. CloudHSM의 성능은 장치를 추가함으로써 달성되며, 더 많은 성능이 필요한 경우 장치를 추가하거나 더 빠른 알고리즘으로 암호화 방법을 변경해야 합니다.
솔루션이 다중 지역인 경우, 두 번째 지역에 여러 CloudHSM 장치를 추가하고 사설 VPN 연결 또는 연결의 각 계층에서 항상 보호되도록하는 방법으로 교차 지역 연결을 설정해야 합니다. 다중 지역 솔루션이라면 운영하는 지역에 키를 복제하고 추가 CloudHSM 장치를 설정하는 방법을 고려해야 합니다. 여러 지역에 퍼져 있는 여섯 개 또는 여덟 개의 장치가 있는 시나리오로 빠르게 진입할 수 있으므로 암호화 키의 완전한 중복성을 활성화할 수 있습니다.
CloudHSM은 보안 키 저장을 위한 엔터프라이즈급 서비스이며 기업의 신뢰의 근간으로 사용할 수 있습니다. PKI에서 개인 키 및 X509 구현에서 인증서 기관 키를 저장할 수 있습니다. AES와 같은 대칭 알고리즘에서 사용되는 대칭 키 외에도 KMS는 대칭 키만 저장하고 물리적으로 보호하므로 PKI 및 CA 키를 저장해야 하는 경우 CloudHSM 하나 또는 둘 또는 셋이 솔루션일 수 있습니다.
CloudHSM는 Key Management Service보다 상당히 비싸다. CloudHSM은 하드웨어 장치이므로 CloudHSM 장치를 프로비저닝하는 고정 비용과 장치를 실행하는 시간당 비용이 있습니다. 비용은 특정 요구 사항을 충족하기 위해 필요한 CloudHSM 장치 수에 따라 곱해집니다. 또한, SafeNet ProtectV 소프트웨어 스위트 및 통합 시간과 노력을 소비하는 제3자 소프트웨어 구매에 대한 고려가 필요합니다. Key Management Service는 사용량 기반이며 가지고 있는 키의 수와 입력 및 출력 작업에 따라 달라집니다. 많은 AWS 서비스와의 원활한 통합을 제공하는 키 관리는 통합 비용이 상당히 낮아야 합니다. 비용은 일반적으로 보안 및 규정 준수를 위해 사용됩니다.
CloudHSM에서는 키에 대한 액세스 권한이 오직 당신에게만 있으며, CloudHSM에서는 자체 키를 관리합니다. KMS에서는 당신과 Amazon이 키를 공동으로 관리합니다. AWS는 두 솔루션 모두에서 키에 대한 악용에 대한 많은 정책 보호장치를 갖추고 있으며 여전히 키에 대한 액세스 권한이 없습니다. 주요 차이점은 키 소유권 및 관리와 관련된 규정 준수이며, CloudHSM에서는 당신만이 액세스할 수 있는 하드웨어 장치를 관리하고 유지합니다.
CloudHSM 제안
HA 설정에서 항상 CloudHSM을 적어도 두 개의 장치로 별도의 가용 영역에 배포하고 가능하다면 AWS의 다른 지역에 대해 온프레미스나 세 번째 장치를 배포하세요.
CloudHSM을 초기화할 때 주의하세요. 이 작업은 키를 파괴하므로 키의 다른 사본을 가지거나 이러한 키가 데이터를 해독하는 데 필요하지 않다는 것을 확실히 하세요.
CloudHSM은 특정 버전의 펌웨어와 소프트웨어만 지원합니다. 업데이트를 수행하기 전에 AWS에서 지원하는지 확인하세요. 업그레이드 가이드가 분명하지 않은 경우 언제든지 AWS 지원팀에 문의하여 확인할 수 있습니다.
네트워크 구성을 변경해서는 안 됩니다. AWS 데이터 센터에 있으며 AWS가 기본 하드웨어를 모니터링하고 있습니다. 이는 하드웨어가 고장 나면 그들이 대신 교체해주지만, 그들이 고장을 알아차리지 못하면 교체해주지 않습니다.
SysLog 전달을 제거하거나 변경해서는 안 됩니다. 로그를 자체 수집 도구로 보내기 위해 SysLog 전달자를 추가할 수 있습니다.
SNMP 구성은 네트워크 및 SysLog 폴더와 동일한 기본 제한 사항을 갖습니다. 이를 변경하거나 제거해서는 안 됩니다. 추가 SNMP 구성은 괜찮지만 이미 장치에 있는 것을 변경하지 않도록 주의하세요.
AWS의 또 다른 흥미로운 모범 사례는 NTP 구성을 변경하지 않는 것입니다. 변경하면 무엇이 발생할지 명확하지 않으므로 솔루션의 나머지 부분에 동일한 NTP 구성을 사용하지 않는 경우 두 개의 시간 원본이 있을 수 있음을 염두에 두세요. 이 사항을 인식하고 CloudHSM이 기존 NTP 소스와 함께 유지되어야 함을 알아두세요.
CloudHSM의 초기 시작 요금은 하드웨어 장치를 할당하기 위해 $5,000이며, 현재 운영 시간당 $1.88 또는 약 $1,373의 월간 운영 비용이 부과됩니다.
CloudHSM을 사용하는 가장 일반적인 이유는 규정상 충족해야 하는 규정 준수 기준입니다. KMS는 비대칭 키에 대한 데이터 지원을 제공하지 않습니다. CloudHSM은 비대칭 키를 안전하게 저장할 수 있습니다.
공개 키는 프로비저닝 중에 HSM 장치에 설치되므로 SSH를 통해 CloudHSM 인스턴스에 액세스할 수 있습니다.
하드웨어 보안 모듈이란
하드웨어 보안 모듈(HSM)은 암호화 키를 생성, 저장 및 관리하고 민감한 데이터를 보호하는 데 사용되는 전용 암호 장치입니다. 암호화 기능을 시스템의 나머지 부분으로부터 물리적으로 및 전자적으로 격리시켜 고 수준의 보안을 제공하도록 설계되었습니다.
HSM의 작동 방식은 특정 모델 및 제조업체에 따라 다를 수 있지만 일반적으로 다음 단계가 발생합니다:
키 생성: HSM은 안전한 난수 생성기를 사용하여 임의의 암호화 키를 생성합니다.
키 저장: 키는 HSM 내부에서 안전하게 저장되어 권한이 있는 사용자 또는 프로세스만이 액세스할 수 있습니다.
키 관리: HSM은 키 회전, 백업 및 폐기를 포함한 다양한 키 관리 기능을 제공합니다.
암호 작업: HSM은 암호화, 복호화, 디지털 서명 및 키 교환을 포함한 다양한 암호 작업을 수행합니다. 이러한 작업은 HSM의 안전한 환경 내에서 수행되며 무단 액세스 및 변조에 대비합니다.
감사 로깅: HSM은 모든 암호 작업 및 액세스 시도를 로깅하며, 이는 규정 준수 및 보안 감사 목적으로 사용될 수 있습니다.
HSM은 안전한 온라인 거래, 디지털 인증서, 안전한 통신 및 데이터 암호화를 포함한 다양한 응용 프로그램에 사용될 수 있습니다. 금융, 보건의료 및 정부와 같이 고 수준의 보안이 필요한 산업에서 자주 사용됩니다.
전반적으로 HSM이 제공하는 높은 수준의 보안으로 인해 HSM에서 원시 키를 추출하는 것은 매우 어렵고, 그러한 시도는 보안 위반으로 간주될 수 있습니다. 그러나 특정 상황에서는 키 복구 절차와 같은 특정 목적을 위해 권한이 있는 인원이 원시 키를 추출할 수 있는 특정 시나리오가 있을 수 있습니다.
열거
最終更新