Protección de la implementación de HSM en la nube de Azure

Azure Cloud HSM proporciona una solución de módulo de seguridad de hardware (HSM) de alta garantía para proteger las claves criptográficas y proteger las cargas de trabajo confidenciales en la nube. La implementación de procedimientos recomendados de seguridad es esencial para evitar access no autorizados, mantener la integridad operativa y optimizar el rendimiento.

En este artículo se proporcionan recomendaciones de seguridad para ayudar a proteger la implementación de HSM en la nube de Azure.

Las recomendaciones de seguridad de este artículo implementan Confianza cero principios: "Comprobar explícitamente", "Usar acceso con privilegios mínimos" y "Asumir vulneración". Para obtener instrucciones de Confianza cero completas, consulte el Centro de instrucciones Confianza cero.

Seguridad específica del servicio

Azure Cloud HSM es un servicio validado de nivel 3 de FIPS 140-3 de un solo inquilino que concede a los clientes una autoridad administrativa completa sobre sus HSM. La protección de la raíz de confianza es fundamental para mantener la seguridad de la implementación.

  • Restringir el acceso a la clave privada del Propietario de la Partición: limite el acceso a la clave privada del Propietario de la Partición de Aplicación (POTA) (PO.key). El administrador de la partición de aplicación (AOTA) y las claves privadas POTA son equivalentes al acceso raíz y pueden restablecer contraseñas para los usuarios del oficial de criptografía (CO) en una partición (AOTA para la partición 0, POTA para las particiones de usuario). PO.key no es necesario para acceder al HSM en tiempo de ejecución. Solo es necesario para la firma inicial del certificado de autenticación del propietario de la partición (POAC) y los restablecimientos de contraseña de CO. Almacene PO.key sin conexión y realice la firma inicial de POAC en una máquina sin conexión, si es posible. Usted es responsable de proteger su clave privada POTA. La pérdida da como resultado la incapacidad de recuperar contraseñas de CO. Almacene de forma segura la clave privada POTA y mantenga las copias de seguridad adecuadas. Para obtener más información, consulte la administración de usuarios en Azure Cloud HSM.

  • Comprender las garantías de seguridad física: Azure HSM en la nube se hospeda en centros de datos seguros con mecanismos de detección de alteraciones. La seguridad física es una responsabilidad Microsoft y es inherente al servicio. Para obtener más información, consulte Seguridad física.

  • Planifique en función del modelo operativo del servicio: Azure Cloud HSM no tiene ventanas de mantenimiento programadas, pero Microsoft le notifica con antelación cualquier impacto previsto. Realice un seguimiento de estas notificaciones y alinee con los procesos de control de cambios. Para obtener más información, consulte Operaciones de servicio.

Seguridad de red

La configuración correcta de la red puede ayudar a evitar access no autorizados y reducir la exposición a amenazas externas.

  • Use puntos de conexión privados: ayude a proteger la implementación de HSM en la nube de Azure mediante subredes privadas y puntos de conexión privados para evitar la exposición a la red pública de Internet. Este enfoque garantiza que el tráfico permanece dentro de la red troncal de Microsoft, lo que reduce el riesgo de acceso no autorizado. Para obtener más información, consulte Seguridad de red para Azure Cloud HSM.

Administración de identidades y acceso

Los controles de autenticación y administración de usuarios eficaces son cruciales para mantener la seguridad e integridad de Azure Cloud HSM. La implementación de controles adecuados para identidades de usuario, credenciales y permisos puede ayudar a evitar access no autorizados y garantizar la continuidad operativa.

  • Usar contraseñas seguras: cree contraseñas únicas y seguras para los usuarios de HSM. Use al menos 12 caracteres, incluida una combinación de letras mayúsculas y minúsculas, números y caracteres especiales. Para obtener más información, consulte la administración de usuarios en Azure Cloud HSM.

  • Asegure las credenciales de usuario de HSM: Proteja cuidadosamente las credenciales de usuario de HSM, ya que Microsoft no puede recuperarlas si se pierden. Para obtener más información, consulte la administración de usuarios en Azure Cloud HSM.

  • Implementar administradores secundarios para la prevención de bloqueo: designe al menos dos administradores para evitar el bloqueo de HSM en caso de que se pierda una contraseña. Para obtener más información, consulte la administración de usuarios en Azure Cloud HSM.

  • Establecer varios usuarios de criptografía (RU) con permisos restringidos: cree varias RU con responsabilidades distintas para evitar que cualquier usuario único tenga control total. Para obtener más información, consulte la administración de usuarios en Azure Cloud HSM.

  • Limite la capacidad de las CUs para exportar claves: Restringa a las CUs de exportar material de clave estableciendo los atributos de usuario adecuados. Para obtener más información, consulte la administración de usuarios en Azure Cloud HSM.

  • Limitar el control de CO sobre las UCD: utilice el disableUserAccess comando para evitar que los usuarios de CO gestionen UCD específicas. Los usuarios de CO pueden omitir este comando con copias de seguridad anteriores. Para obtener más información, consulte la administración de usuarios en Azure Cloud HSM.

  • Configurar identidades administradas: establezca identidades administradas asignadas por el usuario para las operaciones de copia de seguridad y restauración y para las máquinas virtuales que realizan acciones administrativas. Para obtener más información, consulte la administración de usuarios en Azure Cloud HSM.

  • Almacenar de forma segura las credenciales de HSM: proteja las credenciales almacenadas y evite exponerlas cuando no estén en uso. Configure el entorno para recuperar y establecer las credenciales automáticamente. Para obtener más información, consulte Authentication in Azure Cloud HSM.

  • Use el inicio de sesión implícito para la autenticación JCE: siempre que sea posible, use el inicio de sesión implícito para la autenticación de Java Cryptography Extension (JCE) para permitir la administración automática de credenciales y la reautenticación. Para obtener más información, consulte Authentication in Azure Cloud HSM.

  • Evite compartir sesiones entre subprocesos: para las aplicaciones multiproceso, asigne a cada subproceso su propia sesión para evitar conflictos y problemas de seguridad. Para obtener más información, consulte Authentication in Azure Cloud HSM.

  • Implementar reintentos en el lado del cliente: añada una lógica de reintento a las operaciones de HSM para controlar posibles eventos de mantenimiento o reemplazos de HSM. Para obtener más información, consulte Authentication in Azure Cloud HSM.

  • Administrar las sesiones de cliente de HSM cuidadosamente: tenga en cuenta que azurecloudhsm_client comparte sesiones entre aplicaciones en el mismo host. La administración de sesiones adecuada evita conflictos. Para obtener más información, consulte Authentication in Azure Cloud HSM.

Protección de los datos

Un manejo adecuado de los límites de almacenamiento de claves, la seguridad de envoltura de claves, los atributos de claves y las estrategias de caché pueden mejorar la protección y el rendimiento.

  • Implement key rotation: Rota regularmente las claves para reemplazar las más antiguas y liberar almacenamiento mientras se mantiene la seguridad. Para obtener más información, consulte la administración de claves en Azure Cloud HSM.

  • Usar una jerarquía de claves: almacene menos claves en el HSM mediante claves maestras para cifrar otras claves. Para obtener más información, consulte la administración de claves en Azure Cloud HSM.

  • Compartir y reutilizar claves cuando sea factible: reduzca los requisitos de storage compartiendo o reutilizando claves en varias sesiones cuando proceda. Para obtener más información, consulte la administración de claves en Azure Cloud HSM.

  • Eliminar claves sin usar de forma segura: quite las claves que ya no necesite para evitar el consumo de almacenamiento innecesario. Para obtener más información, consulte la administración de claves en Azure Cloud HSM.

  • Establezca las claves como nonextractables siempre que sea posible: use EXTRACTABLE=0 para asegurarse de que las claves no se pueden exportar fuera del HSM. Para obtener más información, consulte la administración de claves en Azure Cloud HSM.

  • Habilitar el ajuste de claves de confianza: use WRAP_WITH_TRUSTED=1 para restringir el ajuste de claves a claves de confianza. Esta acción impide las exportaciones de claves no autorizadas. Para obtener más información, consulte la administración de claves en Azure Cloud HSM.

  • Use atributos clave para restringir los permisos: asigne solo los atributos necesarios al generar claves para limitar las operaciones no deseadas. Para obtener más información, consulte la administración de claves en Azure Cloud HSM.

  • Almacenar objetos de clave en caché para el rendimiento: use comandos de búsqueda de claves solo una vez durante el inicio de la aplicación y almacene el objeto de clave devuelto en la memoria de la aplicación para reducir la latencia. Para obtener más información, consulte la administración de claves en Azure Cloud HSM.

Registro y supervisión

  • Configurar el registro de eventos de la operación: el registro de eventos de la operación es fundamental para la seguridad de HSM. El registro de eventos proporciona un registro coherente de acceso y operaciones para la responsabilidad, la rastreabilidad y el cumplimiento normativo. El registro de eventos ayuda a detectar el acceso no autorizado, investigar incidentes e identificar anomalías, lo que ayuda a garantizar la integridad y la confidencialidad de las operaciones criptográficas. Para mantener la seguridad y la privacidad, los registros excluyen datos confidenciales (como identificadores de clave, nombres de clave y detalles del usuario). Los registros capturan las operaciones del HSM, las marcas de tiempo y los metadatos, pero no pueden determinar si tuvieron éxito o fallaron, porque la operación del HSM se produce dentro del canal interno de TLS. Para obtener más información, consulte Tutorial: Registro de eventos de operación en Azure Cloud HSM.

  • Transmisión de registros al centro de eventos para el procesamiento en tiempo real: para el procesamiento y la integración en tiempo real del registro con sistemas SIEM de bajada o canalizaciones de análisis personalizadas, configure el centro de eventos como otro destino para la configuración de diagnóstico. Para obtener más información, consulte Tutorial: Configuración del centro de eventos para Azure Cloud HSM.

Cumplimiento y gobernanza

Las revisiones de cumplimiento periódicas le ayudan a demostrar que la implementación de HSM en la nube de Azure cumple los estándares normativos y del sector.

  • Comprender la postura de cumplimiento del servicio: Azure Cloud HSM cumple varios estándares y certificaciones de cumplimiento del sector, incluidos FIPS 140-3 nivel 3, eIDAS y PCI 3DS. Confirme la lista de certificación actual antes de usar HSM en la nube para una carga de trabajo regulada. Para obtener más información, consulte Cumplimiento y certificación.

Copia de seguridad y recuperación

Azure Cloud HSM proporciona alta disponibilidad a través de HSM agrupados que sincronizan claves y directivas al migrar automáticamente las cargas de trabajo durante los errores.

  • Implementar la copia de seguridad y la recuperación ante desastres: el servicio admite operaciones completas de copia de seguridad y restauración que conservan todas las claves, atributos y asignaciones de roles. Las claves derivadas de HSM protegen las copias de seguridad que Microsoft no pueden acceder. Azure Cloud HSM no admite la restauración a HSM ya activados. Para la continuidad empresarial, use identidades administradas para la autenticación, almacene copias de seguridad en Azure Blob Storage privadas, implemente permisos mínimos de control de acceso basado en rol (RBAC) y deshabilite el acceso a claves compartidas. Entre las opciones de recuperación adicionales se incluyen el uso extractMaskedObject de para extraer claves como blobs cifrados, almacenarlas de forma segura e importarlas con insertMaskedObject según sea necesario. Implemente en dos regiones para usar la funcionalidad de conmutación por error. Para obtener más información, consulte Copia de seguridad y restauración de recursos de HSM en la nube Azure.

  • Verifique la sincronización de usuarios y claves en todos los nodos: Azure Cloud HSM funciona como un clúster de tres nodos. Durante los eventos de servicio, como la recuperación automática o las actualizaciones, es posible que los usuarios o las claves no se repliquen en todos los nodos. Si experimenta errores intermitentes de autenticación o operación, compruebe que todos los usuarios y claves existen en cada nodo. Para obtener más información, consulte Synchronize users and keys across Azure Cloud HSM nodes (Sincronizar usuarios y claves en Azure nodos HSM en la nube).

Pasos siguientes

  • Last updated on