ייבוא מפתחות

בנושא הזה מוסבר על ייבוא מפתחות ל-Cloud Key Management Service כגרסאות מפתח חדשות. להוראות מפורטות, ראו ייבוא גרסת מפתח.

מבוא

יכול להיות שאתם משתמשים במפתחות קריפטוגרפיים קיימים שנוצרו בארגון שלכם או במערכת חיצונית לניהול מפתחות. אם מעבירים אפליקציה אלCloud de Confiance או אם מוסיפים תמיכה בהצפנה לאפליקצייתCloud de Confiance קיימת, אפשר לייבא את המפתחות הרלוונטיים אל Cloud KMS.

  • אפשר לייבא רק למפתחות תוכנה ב-Cloud KMS.
  • חומר המפתח עטוף להגנה בזמן ההעברה. אפשר להשתמש ב-Google Cloud CLI כדי לבצע עטיפה אוטומטית של המפתח, או לעטוף את המפתח באופן ידני.
  • Cloud de Confiance יש גישה למפתח העטיפה רק במסגרת משימת הייבוא.

בנושא הזה מפורטות המגבלות והדרישות לייבוא מפתחות, ומוצגת סקירה כללית של אופן הייבוא של מפתחות.

מגבלות ודרישות

כדאי לעיין בקטעים האלה כדי לוודא שאפשר לייבא את המפתחות ל-Cloud KMS.

פורמטים נתמכים של מפתחות

  • מפתחות סימטריים להצפנה: מפתחות סימטריים מיובאים צריכים להיות 32 בייט של נתונים בינאריים, ואסור שהם יהיו מקודדים. אם המפתח שלכם מקודד בפורמט הקסדצימלי או בפורמט base64, אתם צריכים לפענח אותו לפני שתנסו לייבא אותו.
  • מפתחות סימטריים לחתימה (מפתחות MAC): מפתחות חתימה של HMAC שיובאו צריכים להיות באורך ששווה לאורך הפלט של פונקציית הגיבוב הקריפטוגרפית שבה נעשה שימוש (לדוגמה, מפתחות HMAC-SHA256 צריכים להיות באורך של 32 בייט), ואסור שהם יהיו מקודדים. אם המפתח שלכם מקודד בפורמט הקסדצימלי או בפורמט base64, אתם צריכים לפענח אותו לפני שתנסו לייבא אותו.
  • מפתחות אסימטריים להצפנה או לחתימה: מפתחות אסימטריים מיובאים חייבים להיות בפורמט PKCS #8 ומקודדים ב-DER. הפורמט PCKS #8 מוגדר ב-RFC 5208. קידוד DER מוגדר באיגוד הטלקומוניקציה הבינלאומי X.680. מפתחות אסימטריים חייבים להשתמש באחת מהקומבינציות של אורך ואלגוריתם שנתמכות על ידי Cloud KMS.

אחרי שיוצרים מפתח, אי אפשר לשנות חלק מהמאפיינים שלו, כמו האורך. במקרים כאלה, אי אפשר לייבא את המפתח ל-Cloud KMS.

הוראות לאימות ולשינוי הפורמט של המפתח לייבוא מפורטות במאמר שינוי הפורמט של מפתחות לייבוא.

רמות ההגנה הנתמכות

אפשר לייבא רק למפתחות עם SOFTWARE רמת ההגנה אי אפשר לייבא למפתח Cloud External Key Manager.

גדלים נתמכים של מפתח עוטף

כשיוצרים משימת ייבוא, אפשר לשלוט בגודל של מפתח האריזה שמשמש להגנה על המפתח במעבר אל Cloud de Confiance על ידי הגדרת שיטת הייבוא של משימת הייבוא. גודל ברירת המחדל של מפתח העטיפה הוא 3072. אם יש לכם דרישות ספציפיות, אתם יכולים להגדיר את עבודת הייבוא כך שתשתמש במפתח של 4,096 ביט במקום זאת.

מידע נוסף על האלגוריתמים שמשמשים להצפנת מפתח או על הגדרת משימת ייבוא

איך פועל ייבוא מפתחות

בקטע הזה מוסבר מה קורה כשמייבאים מפתח. חלק מהשלבים בתהליך שונים אם משתמשים בהצפנה אוטומטית או בהצפנה ידנית של המפתח. מומלץ להשתמש בהעברה אוטומטית לשורה חדשה. הוראות ספציפיות זמינות במאמר בנושא ייבוא גרסת מפתח. הוראות ספציפיות לאריזת המפתח באופן ידני לפני הייבוא מפורטות במאמר אריזת מפתח באמצעות OpenSSL ב-Linux.

בתרשים הבא מוצג תהליך ייבוא המפתחות באמצעות עטיפת מפתחות אוטומטית. בקטע הזה מתוארים השלבים שמוצגים בתרשים.

תהליך הייבוא, שמתואר בקטע הזה

  1. מתכוננים לייבא מפתחות.

    1. קודם יוצרים אוסף מפתחות ומפתח יעד שיכילו בסופו של דבר את עבודת הייבוא ואת חומר המפתח המיובא. בשלב הזה, מפתח היעד לא מכיל גרסאות של מפתחות.

    2. בשלב הבא יוצרים משימת ייבוא. עבודת הייבוא מגדירה את אוסף המפתחות ואת המפתח שאליהם יובא חומר המפתח. עבודת הייבוא מגדירה גם את שיטת הייבוא, שהיא האלגוריתם שמשמש ליצירת מפתח האריזה שמגן על חומר המפתח במהלך בקשות הייבוא.

      • המפתח הציבורי משמש לאריזת המפתח שרוצים לייבא אצל הלקוח.
      • המפתח הפרטי נשמר ב- Cloud de Confiance ומשמש לפתיחת האריזה של המפתח אחרי שהוא מגיע לפרויקט Cloud de Confiance .

      ההפרדה הזו מונעת מ-Google לפתוח את האריזה של חומר המפתח מחוץ להיקף של פעולת הייבוא.

    3. צריך לעטוף את המפתח בצורה קריפטוגרפית לפני שמעבירים אותו ל-Google. רוב המשתמשים יכולים להשתמש ב-CLI של gcloud כדי לבצע באופן אוטומטי את העטיפה, ההעברה והייבוא של המפתח, כפי שמתואר בשלב הבא. אם יש לכם דרישות תאימות או דרישות רגולטוריות להצפנה ידנית של המפתח, תוכלו לעשות זאת בשלב הזה. כדי להצפין את המפתח באופן ידני במערכת המקומית:

      1. מגדירים את OpenSSL.
      2. פעם אחת לכל משימת ייבוא, מורידים את מפתח העטיפה שמשויך למשימת הייבוא.
      3. מגדירים כמה משתני סביבה ועוטפים את המפתח, פעם אחת לכל מפתח.

  2. במשך שלושה ימים, עד שתוקף משימת הייבוא יפוג, תוכלו להשתמש בה כדי לשלוח בקשות ייבוא של מפתח אחד או יותר. במהלך בקשת ייבוא:

    1. אם המפתח לא עבר עטיפה ידנית, Google Cloud CLI מוריד את המפתח הציבורי של עבודת הייבוא מ- Cloud de Confiance למערכת המקומית, ואז משתמש במפתח הציבורי, יחד עם מפתח פרטי שמשויך ללקוח, כדי לעטוף את חומר המפתח המקומי.
    2. חומר המפתח העטוף מועבר לפרויקט Cloud de Confiance.
    3. חומר המפתח נפרק באמצעות המפתח הפרטי של עבודת הייבוא, ומוכנס כגרסה חדשה של מפתח היעד בצרור מפתחות היעד. זוהי פעולה אטומית.
    4. למפתחות סימטריים, מגדירים את גרסת המפתח המיובאת כגרסת המפתח הראשית.

אחרי שהבקשה לייבוא תושלם בהצלחה, תוכלו להשתמש בגרסת המפתח המיובאת כדי להגן על נתונים ב- Cloud de Confiance.

המאמרים הבאים