Soluzioni di gestione delle chiavi conformi PCI che non costano una fortuna

9

Siamo una società di software relativamente piccola che ha l'obbligo di memorizzare PAN per i nostri clienti. Le soluzioni di pagamento in hosting non soddisfano i nostri requisiti di prodotto. Abbiamo letteralmente 3 righe di codice di crittografia in C # che attualmente utilizza Ent Lib.

Abbiamo preso alcune consulenze da un QSA molto esperto e abbiamo elaborato il modo in cui ristruttureremo radicalmente la nostra soluzione in modo che l'intero prodotto non rientri nell'ambito della conformità PCI che interromperebbe la nostra capacità di innovare .

Ora ho una lista della spesa e un budget molto ristretto. L'unico elemento che mi sta causando un strong mal di testa è la soluzione di gestione delle chiavi PCI. Gli HSM sono costosi e anche le soluzioni software equivalenti sono sorprendentemente costose. Otteniamo costantemente quotazioni nella regione da £ 30.000 a £ 50.000 per qualcosa che mi aspetterei di ottenere non più di £ 1000 per server oltre a licenze di sviluppo gratuite. Abbiamo solo bisogno di 2 server con un luke warm standby per accedere alle chiavi sicure. Sembra che le lettere PCI aggiungano degli zeri al prezzo di qualcosa che concettualmente non è così difficile!

C'è qualcuno che usa la soluzione economicamente vantaggiosa di cui la QSA è felice. Ho la sensazione che i QSA vogliano la Rolls Royce / Ferrari quando un Mini entry level farebbe per molte aziende. Sono felice di spendere soldi e suppongo di aver ripristinato i miei punti di vista un po 'ma qualcosa sotto £ 5000 sarebbe un budget realistico per noi.

    
posta Craig 20.04.2012 - 13:29
fonte

2 risposte

4

Una delle principali difficoltà con una buona gestione delle chiavi è l'archiviazione sicura delle chiavi di crittografia. Se guardi cosa sta dicendo il NIST su questo argomento (SP 800-57), in pratica hai tre opzioni:

  • Utilizza HSM
  • Utilizza la sicurezza fisica (metti la chiave in una cassastrong)
  • Archivia la tua chiave direttamente sul sistema, crittografata con una chiave di cifratura della chiave (questa opzione è usata frequentemente, ma non risolve il tuo problema, perché anche il tuo KEK top deve essere salvato in sicurezza!)

Hai già affermato che gli HSM sono costosi quindi hai ancora l'opzione sicura. Il problema principale in questo caso è che i tuoi server non possono ottenere automaticamente la chiave quando ne hanno bisogno, quindi devi assicurarti che:

  • L'applicazione deve ottenere la chiave una sola volta (viene quindi memorizzata)
  • Puoi chiedere a qualcuno di digitare la chiave ogni volta che avvii l'applicazione

Ovviamente, devi ancora definire procedure sicure per ogni aspetto della gestione delle chiavi, ma in alcuni casi può essere un'opzione praticabile ed economica.

    
risposta data 20.04.2012 - 17:31
fonte
1

Townsend Security (con cui lavoro) ha una gestione delle chiavi di crittografia molto aggressiva HSM (http://townsendsecurity.com/products/encryption-key-management). È certificato FIPS 140-2 e può aiutarti a soddisfare i tuoi requisiti PCI. Leggi questo white paper e facci sapere cosa ne pensi: link

    
risposta data 20.04.2012 - 23:36
fonte

Leggi altre domande sui tag