V1.6.1 Cryptographic Architecture

Requirement:

Verify that there is an explicit policy for management of cryptographic keys and that a cryptographic key lifecycle follows a key management standard such as NIST SP 800-57.

Explanation:

Требование ориентировано на управление криптографическими ключами в приложении и подчеркивает необходимость применения политики управления криптографическими ключами. Также предлагается следовать стандартам управления ключами, таким как NIST SP 800-57.  

1. Cryptographic Key Management:

Криптографические ключи необходимы для шифрования и расшифровки данных, а также для создания цифровых подписей. Правильное управление ключами очень важно для обеспечения безопасности криптографических операций в приложении.

2. Explicit Key Management Policy:

Это требование определяет важность наличия четко сформулированной и документированной политики управления ключами. Политика обеспечивает руководство по созданию, хранению, использованию, ротации и выводу из эксплуатации криптографических ключей.

3. Key Lifecycle Management:

Криптографические ключи имеют жизненный цикл, который включает в себя генерацию, распространение, хранение, использование, ротацию и аннулирование. Процесс управления ключами обеспечивает их правильное управление на каждом этапе их жизненного цикла.

4. Key Management Standards:

NIST SP 800-57 (Special Publication 800-57) - общепризнанный стандарт, опубликованный Национальным институтом стандартов и технологий (NIST) и содержащий рекомендации по управлению криптографическими ключами. Он включает рекомендации по генерации, распределению, хранению и выводу из эксплуатации ключей.

5. Significance:

Наличие политики управления ключами и следование установленным стандартам, таким как NIST SP 800-57, крайне важно по нескольким причинам:

• Security. Правильное управление ключами позволяет защитить конфиденциальные данные от несанкционированного доступа. При плохом управлении ключами злоумышленник может получить доступ к зашифрованным данным.
• Compliance. Следование признанным стандартам часто требуется для соблюдения норм (например, PCI DSS, HIPAA) и договорных соглашений.
• Consistency.  Четко сформулированная политика и следование стандартам обеспечивают последовательность в управлении ключами в организации, что снижает риск ошибок.
• Efficiency. Следование установленной практике может привести к повышению эффективности и результативности процессов управления ключами.

6. Explanation:

Четко сформулированная политика управления ключами должна определять:

• Процедуры генерации ключей, включая использование криптографически защищенных генераторов случайных чисел.
• Механизмы распределения ключей, обеспечивающие безопасную передачу и хранение ключей.
• Методы хранения ключей, обеспечивающие их защиту от несанкционированного доступа и кражи.
• Рекомендации по использованию ключей, определяющие порядок их применения при шифровании, дешифровании и создании цифровых подписей
• Процедуры ротации и списания ключей, включая сроки и порядок их замены и отзыва.

7. Implementation:

Внедрение методов и процедур управления ключами на основе политики и выбранного стандарта управления ключами (например, NIST SP 800-57). Использование установленных криптографических библиотек и инструментов, соответствующих признанным стандартам управления ключами.

8. Regular Auditing and Review:

Регулярное проведение аудита и обзора практики управления ключами для обеспечения постоянного соответствия политике и соответствующим стандартам. Оперативное устранение всех выявленных недостатков и уязвимостей.

Remediation:

Для выполнения данного требования, касающегося управления криптографическими ключами, необходимо разработать комплексную политику управления ключами и следовать признанным стандартам управления ключами, таким как NIST SP 800-57. 

1. Establish a Key Management Policy:

Создать политику управления ключами, которая описывает процедуры генерации, распределения, хранения, использования, ротации и аннулирования криптографических ключей. Убедиться, что эта политика соответствует требованиям безопасности вашего приложения.

2. Identify Key Stakeholders:

Определить лица или команду, отвечающую за управление ключами в организации. Убедиться, что роли и обязанности четко распределены.

3. Select Appropriate Key Management Standards:

Изучить и выбрать установленные стандарты управления ключами, например NIST SP 800-57, которые соответствуют приложению и отрасли.

4. Key Generation:

Внедрить процедуры безопасной генерации ключей с использованием криптографически защищенных генераторов случайных чисел ( RNG ). Избегать использования слабых или предсказуемых источников для генерации ключей.

5. Key Distribution:

Создать безопасные механизмы передачи криптографических ключей авторизованным лицам. Обеспечить безопасную передачу и хранение ключей во время их распространения.

6. Key Storage:

Определить методы безопасного хранения ключей, включая шифрование хранимых ключей и контроль доступа для предотвращения несанкционированного доступа. Рассмотреть аппаратные модули безопасности (HSM) для безопасного хранения ключей.

7. Key Usage Guidelines:

Документировать рекомендации по использованию криптографических ключей в приложении. Указать процессы шифрования, дешифрования и цифровой подписи.

8. Key Rotation and Retirement:

Установить процедуры ротации и отзыва ключей на основе выбранного стандарта управления ключами. Определить, когда и как ключи должны заменяться или выводиться из эксплуатации, и обеспечить последовательное выполнение этого процесса.

9. Training and Awareness:

Проинформировать разработчиков о политике и процедурах управления ключами. Убедиться, что разработчики понимают важность безопасного управления ключами.

10. Regular Auditing and Review:

Внедрить процесс регулярного аудита и анализа практики управления ключами. Проводить аудиты безопасности для выявления уязвимостей и отклонений от политики управления ключами.

11. Compliance Checks:

Убедиться, что методы управления ключами соответствуют стандартам, применимым к конкретным приложениям. Проводить периодические проверки на соответствие этим требованиям.

12. Incident Response Plan:

Разработать план реагирования на инциденты, в котором описано, как реагировать на инциденты безопасности, связанные с компрометацией ключей или несанкционированным доступом к ним.

13. Documentation:

Задокументировать все действия по управлению ключами, включая их создание, распределение, хранение, использование, ротацию и отзыв. Вести полный учет для целей аудита.

14. Third-Party Tools and Libraries:

При использовании криптографических библиотек и инструментов сторонних производителей необходимо убедиться в том, что они соответствуют признанным стандартам управления ключами.

15. Continuous Improvement:

Отслеживать и совершенствовать процессы управления ключами с учетом возникающих угроз, лучших практик и изменений в требованиях к безопасности приложений.

Additional:

https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-57pt1r4.pdf