021-54410609
密钥分发可能是ANSI X9.24-1-2017第1部分标准中最重要和至关重要的方面。但是首先，让我们解释一下什么是加密密钥分配。
密码密钥分配的定义
在对称密钥加密的情况下，所有需要加密/解密机密信息的各方都必须拥有一个相同的密钥，该密钥必须在各方之间事先进行交换。
密码密钥的分配是一个巨大的问题，因为必须以一种或另一种方式安全地传输密钥，例如，通过电子方法，授权人员进行的物理传输或通过蜗牛邮件。当密钥在传输中时，攻击者可以将其窃取或复制，然后攻击者便可以解密使用该密钥加密的任何密文。
诸如著名的Diffie-Hellman协议之类的密钥交换协议是在70年代发明的，解决了许多与密钥分发有关的问题。但是，ANSI X9.24-1-2017不处理此类密钥分发协议。取而代之的是，它解决了密钥传输中涉及的问题，无论是加密的还是拆分为共享机密。
密钥传输
该标准在必须如何传输密钥方面做出了一些重要的区分：
密钥使用不充当个人密钥加载设备（PKLD）的SCD（安全密码设备）进行传输；
密钥通过印刷形式在不能视为SCD的传输介质上传输；
使用充当个人密钥加载设备（PKLD）的SCD传输密钥。
PKLD是用于加载加密密钥的便携式个人填充设备。在许多情况下，ANSI X9.24-1-2017显然要求使用此类设备。
在授权人员运输的明文关键组件或股份的情况下，该标准要求“该组件或股份的价值在运输过程中对任何未经授权的个人都不可见”。附件B中提供了一些有关此规范：
未在防篡改SCD中运输的任何此类材料必须在防篡改和可验证（TEA）包中运输，如果没有明显的入侵证据，则无法打开该包装。TEA包是一种安全数据包，例如用于保存高价值或敏感物品的数据包。
此外，TEA包不得展示其所携带的内容。如果需要进行操作，这将导致TEA包的更改，使其带有侵入痕迹，这是一个例外。
但是，我们注意到在接收密钥或共享密钥时，如果它们为明文格式，则该标准应给出其他要求。例如，确保没有隐藏的摄像机或其他类似的记录设备。
传输过程还需要一些管理手续，例如记录密钥传输，确认其接收等。
使用PKLD进行密钥传输
ANSI X9.24-1-2017中对称密钥传输的一个基本方面是使用便携式密钥加载器（PKLD）进行的密钥传输。针对这种情况给出了许多细节。
填充设备或密钥加载器是一种电子模块，用于将加密密钥加载到执行加密的机器（通常是HSM）中。这样的设备通常是手持式的，并且通常是电池供电的。
PLKD是非常特殊的设备。通常，它们用于将明文密钥传输和加载到其他SCD中。在这种情况下，标准要求将密钥装入称为密钥注入设施（KIF）的特殊位置的密钥装入器中。这样的地方必须采用多个安全约束，才能被视为安全的环境。
装入PKLD的密钥必须具有寿命，通常是很短的寿命。为了减轻密钥加载设备可能被盗或丢失的风险，需要一个很小的加密周期（可能为24小时或更短）。
ANSI X9.24-1-2017需要一些其他属性才能允许使用PKLD。当然，SCD的防篡改特性是必需的，但不仅如此，它还必须防止多种类型的攻击，例如电磁攻击（TEMPEST等），以便在密钥寿命到期时能够自动归零、已经结束等等。
摘要
如ANSI X9.24-1-2017中所述，密钥分发要求可能是整个标准中最关键的部分，在零售金融服务环境中实施对称密码解决方案时，必须仔细了解它们。
点击此处，查看支持和符合ANSI X9.24标准的payShield 10K HSM（金融加密机）
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话