021-54410609
Thales Luna HSM提供SKS能力的型号包括：Luna PCIe HSM、Luna Network HSM
什么是SKS（可拓展密钥存储）？
SKS 几乎可以无限、安全地存储和处理您的敏感密钥。
默认情况下，密钥驻留在 Luna HSM 的 HSM 硬件中。默认情况下，随着Luna HSM 固件 7.7.0的推出，这一点仍然成立。然而，固件 7.7.0（及更高版本）增加了密钥导出灵活性，以扩展 Luna HSM 的保证边界，以包含比 HSM 内部容量多得多的密钥。
密钥在任何地方都安全，SKS eIDAS 模型
从Luna HSM 固件 7.7.0开始，您可以选择通过转换或创建分区作为版本 1 (V1) 来使用可扩展密钥存储 (SKS) 功能。创建分区时，会为其指定一个唯一的 SKS 主密钥 (SMK)。
SKS 基于在 HSM 上生成密钥的模型：
被安全地提取为加密的 SKS 对象。
当使用这些密钥执行加密操作时，它们被插回到 HSM 中，以便临时解密。
类似地，当唯一密钥加密数据时，数据和密钥可以存储为大小最大为 64KB 的加密二进制大型对象( blob ) ，并且只能在 HSM 内解密。
如果 HSM 从早期的 HSM 固件版本升级到Luna HSM 固件 7.7.0或更高版本，则任何现有分区都会变为版本零 (V0)。同样，如果您在Luna HSM 固件 7.7.0 （或更高版本）HSM上创建新分区，并使用默认的“-version 0”选项，它将成为 V0 分区。V0 分区保留与旧分区和应用程序的兼容性：
依赖于克隆（在 HSM 或 HSM 分区或备份 HSM 之间安全复制/移动对象，也称为硬件中的密钥）
虽然受益于新固件附带的修复和安全更新，但无法访问较新的 eIDAS 规定的功能。
如果您在使用Luna HSM 固件 7.7.0或更高版本的 HSM 中创建新分区，并选择 V1 选项 ( -version 1 )，则新分区为版本一 (V1)，并获得唯一的 SMK 并使用 SKS（而不是比克隆）复制密钥以实现 HA 或备份和恢复。该分区还采用每密钥授权和其他 eIDAS 相关功能，但与 V0 不兼容。您还可以将 V0 分区更新为 V1，同时保留现有对象（但不能取消转换或转换回来）。
什么时候适合使用SKS？
当您需要处理的密钥和对象数量多于 HSM 中可以存储的数量，并且您希望采用比包装/包装更安全的方法时，请使用 SKS。您还可以在需要遵守 eIDAS 等监管制度时使用它。
任何需要以尽可能高的安全性保护大量非常敏感的密钥或记录，同时保持授权用户和应用程序可用和可访问的应用程序，都是具有可扩展密钥存储的 Luna HSM 的候选者。当 HSM 必须作为密钥的保证边界时，就需要 SKS 方法（与仅绕开/解开绕开相反）。如果允许密钥材料源自保证边界之外，或者驻留在保证边界之外，则不需要SKS的额外安全性。
SKS 的一般用例是将加密密钥存储在外部数据库中。
在加密模块内生成密钥。
使用 SIMExtract API 提取加密密钥并将其存储在外部数据库中，并删除加密模块内的原始密钥。
当您需要将单个加密密钥用于加密模块内的加密操作时，请将它们插回到 HSM 中。
一个例子可能是创建和使用电子签名（针对自然人）或电子印章（针对组织）进行远程签名 (RSS)。签名或密封密钥材料在 HSM 内创建，以保留属性的强加密形式提取（未包装），并存储在存储库中。当需要它们时，管理系统会在存储库中找到它们，将它们插入到 HSM 中，通过从不驻留在 HSM 外部的主密钥进行解密，然后分别用于签名或密封，并从 HSM 中丢弃（加密版本）保留存储在存储库中以供下次需要时使用）。
另一个例子可能是客户数据库，其中包含他们的联系方式和运输信息、信用卡信息、购买历史记录、商业网站上当前/最近的浏览兴趣等。所有这些都可能是受法规和法律保护的敏感信息。根据您自己发布的隐私政策。在这种情况下，主要关注的是数据隐私。
第三个例子可能是政府的土地所有权数据库，包括详细的官方财产描述、当前所有权及其识别细节、所有权转让历史、细分、法律裁决和产权负担（例如通行权和契约）、留置权等在。在这种情况下，数据应该是公开可见的，但其针对未经授权的更改的完整性至关重要。
SKS 实施的特点
SKS 功能是在应用程序分区级别实现的；这与在 HSM 范围内应用的旧 SKS 协议不同。
SKS 机制符合 Common Criteria PP 419221-5（每密钥授权）的每密钥授权要求。
SKS 采用的加密机制符合 FIPS 140-2 和 PP 419221-5 标准（安全外部可扩展密钥存储扩展）。
使用 Luna HSM 固件 6 SKS 协议的客户可以使用迁移路径，以便现有的客户应用程序可以继续针对 SKS 实施工作。
对于认证要求和/或安全最佳实践，不允许出现以下情况：
SKS 实施可防止从固件 7.x 的 HSM 中提取的对象插入到可能存在已知漏洞的旧版本 HSM 中。
SKS 实现可防止从禁用功能模块 (FM) 的 HSM 中提取的对象插入到启用了 FM （或曾经启用过 FM ）的 HSM 中- 也可以防止通过备份 HSM 执行此操作。
功能注释
SKS 支持以下功能：
您可以通过在输入上指定空列表来提取给定分区内的所有密钥对象。否则，仅指定您希望一次提取的单个对象。
在提取密钥对象时，您可以选择强制/要求两种可能的身份验证方法：
无（没有额外的身份验证数据）
密码（M of N 支持）
AES-GCM 算法用于在创建 SKS blob（从分区中提取）期间对对象进行加密，或者在将外部 SKS blob 插入分区时进行解密。
作为Thales的合作伙伴，我们会为您提供更多关于Luna HSM的资料，并为您提供定制化解决方案，欢迎您联系我们。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话