V6.4.2 Secret Management

Requirement:

Verify that key material is not exposed to the application but instead uses an isolated security module like a vault for cryptographic operations.

Explanation:

Данное требование создано для того, чтобы ключи, которые используются для криптографических операций, были защищены от прямого доступа или воздействия на само приложение. Вместо этого для обработки всех криптографических операций с ключами используется защищенный и изолированный модуль безопасности, такой как хранилище или аппаратный модуль безопасности (HSM). Это обеспечивает дополнительный уровень безопасности, поскольку ключи отделены от кода и данных приложения.

Remediation:

Несколько примеров по реализации данного требования:

1. Аппаратные модули безопасности (HSM).

HSM представляют собой специализированные криптографические устройства, предназначенные для безопасного управления ключевым материалом и выполнения криптографических операций. HSM часто используются в финансовых учреждениях, правительственных агентствах и других организациях, где требуются повышенные меры безопасности. Ключи, хранящиеся в HSM, недоступны для приложения, которое перегружает криптографические операции на HSM, предотвращая прямое воздействие на ключи.

2. Системы управления секретами.

Системы управления секретами, такие как HashiCorp Vault или Azure Key Vault, обеспечивают централизованное решение для безопасного хранения и доступа к конфиденциальной информации, включая криптографические ключи. Эти системы используют строгий контроль доступа, шифрование и проверяемые журналы для защиты ключей. Приложения могут извлекать ключи из хранилища при необходимости, но сами ключи остаются изолированными внутри модуля безопасности.

3. Модули TPM.

TPM - это аппаратные модули безопасности, встроенные в современные вычислительные устройства, включая ноутбуки и серверы. Они обеспечивают безопасное хранение и обработку криптографических ключей, гарантируя защиту ключей от несанкционированного доступа. TPM можно использовать для изоляции ключей от приложения и безопасного выполнения криптографических операций.

В каждом из этих примеров ключи хранятся и обрабатываются в безопасной и изолированной среде, такой как HSM, хранилище или TPM. Это гарантирует, что само приложение не имеет прямого доступа к ключам, что снижает риск несанкционированного воздействия или неправильного использования.

Additional:

https://owasp.org/www-project-proactive-controls/#div-numbering