Come trasferire in modo sicuro DUKPT BDK tra HSM?

Question

Come trasferire in modo sicuro DUKPT BDK tra HSM?

#1 da (2 voti)

3

Sto cercando di capire le migliori pratiche e le capacità relative all'uso di un HSM, ad esempio il Thales Payshield 9000.

In particolare, desidero trasferire in modo sicuro un BDK per DUKPT da un HSM a un secondo, senza che sia mai chiaro o decifrabile.

È possibile farlo tramite:

Crea una nuova coppia RSA su HSM B (destinazione)
Esportare la chiave pubblica e trasferire e caricare su HSM A (origine)
Cripta il BDK all'origine, usando quella chiave pubblica ed esporta
Trasferisci la versione crittografata in HSM B e carica
Decifra utilizzando la chiave privata e carica come BDK

O ho frainteso le capacità?

C'è un modo migliore, standard, per farlo?

Grazie mille

key-management hsm emv

posta Nik 29.10.2016 - 20:35

fonte

1 risposta

Leggi altre domande sui tag key-management hsm emv

Quali algoritmi vengono utilizzati in Bluetooth Secure Simple Pairing LE per l'autenticazione, la generazione di chiavi e la crittografia? Dove dovremmo mantenere nomi utente e password esterni (subappaltatori)?

score 2 · Accepted Answer

Ha parlato con un rappresentante del distributore Thales.

Genera una chiave master per zona (ZMK), che è una KEK.
Distribuiscila alla festa di destinazione, in più componenti, tramite supporti diversi.
Carica quello ZMK nella destinazione HSM.
Source HSM ora può esportare quel BDK, crittografato usando ZMK, che può ora essere inviato a destinazione
E caricato nella destinazione HSM e decodificato utilizzando lo ZMK condiviso.

Quindi, mi piace ciò che ho proposto, ma con simmetria, invece che asimmetrico.

Questo non impedisce ai 3 custodi del componente ZMK di colludere - mantenendo lo ZMK da qualche parte, e quindi essendo in grado di esportare successivamente il BDK e decodificarlo. Ma a quanto pare questo è il modo standard.