Kurumlarda Krİptografİk Anahtar KullanIm YapIları ve ProsedürlerI

... konulu sunumlar: "Kurumlarda Krİptografİk Anahtar KullanIm YapIları ve ProsedürlerI"— Sunum transkripti:

1 Kurumlarda Krİptografİk Anahtar KullanIm YapIları ve ProsedürlerI
Mehmet Gülyurt ve Ediz Şaykol Beykent Üniversitesi Bilgisayar Mühendisliği

2 Neden Kriptoloji? Bilgiye yönelen tehditlerin artması onu korumayı zor hale getirdi. Bilgi artık her yerde (Akıllı Telefon, Tablet Bilgisayarlar vs.) Kriptoloji ortam bağımsızdır. Her koşul ve her ortamda kullanılabilir. Geçmişten günümüze yaygın olan bilgi koruma yöntemidir. Kripto M.Ö 700'lü yıllardan bu yana kullanılmış ve günümüze kadar askeri, sivil pek çok alanda başarı ile bilgiyi koruyarak görevini yerine getirmiş bir yöntemdir. Bilginin değerinin hazineler ile ölçülmeye başladığı günümüzde onu koruyacak en etkili yollardan biri olarak kabul edilmiştir.

3 Geçmişten Günümüze Örnekler
Geçmişten günümüze kadar uzanan bazı örneklerden bahsedersek; Sultanların ve kralların yüzüklerinde taşıdıkları mühürler tartışmasız bu alanda kullanımın ilk kanıtıdır. Bugün tek kullanımlık şifreler, dijital imzalar ve diğer kimlik doğrulama yöntemleri için güçlü kripto algoritmaları kullanılıyor. Geçmişte devlet kurumları yaşanacak bilgi kayıplarını önlemek için yapmış olduğu düzenlemeler, bugünün globalleşen dünyasında yerini PCI, ISO gibi uluslararası bilgi güvenliği standartlarına bıraktı. Geçmişte yapılan başarılı uygulamaların yanı sıra, bu alanda yaşanan başarısız durumlarda kalındığı olmuştur. Örneğin Enigma. İster savaş anında iletişim için ister ticaret amaçlı bir kullanım için kripto anahtarlarının korumasız ya da bilginiz dışında silinebiliyor olması verilerinizin korumasız olduğu manasına gelir. Merkezi kripto anahtarları yönetimi bilgi güvenliğiniz için bir güvence ve esastır. İpek yolunda yapılan ticaretlerde taşınanlar sadece eşyalar değildi. Eski günlerde bilgi her yerde ve her koşulda sürekli bir devinim içerisinde. Tıpkı bugün kullanıldığı gibi bulut teknolojilerini güvenli bir yapıda tasarlamak önemli bir husustur.

4 Neden Anahtarlar Yönetilmeli?
Kriptoloji etkinliği bazı önemli faktörlere bağlı Anahtar tipi ( Örn: Simetrik, Asimetrik vs) Anahtar boyutu ( Örn: AES – 256) Kriptoloji kullanımına karar verildikten sonra bazı düşünülmesi gereken hususlar; Anahtar kullanım amacı Anahtarı kullanacak olan kişi ya da servisler Anahtarın nasıl saklanacağı Anahtarların acil durumlarda nasıl değiştirileceği Anahtarlar nasıl oluşturulacak ve silinecek. Kriptoloji etkili bir teknoloji olduğu gibi etkinliği bazı önemli faktörlere bağlıdır bunlar anahtarın tipi ve boyutudur. Ancak bunlar kriptoloji kullanımı esnasında yeterli olan bilgiler değildir ayrıca Anahtar kullanım amacı Anahtarı kullanacak olan kişi ya da servisler Anahtarın nasıl saklanacağı Anahtarların acil durumlarda nasıl değiştirileceği Anahtarlar nasıl oluşturulacak ve silinecek. Gibi bilgilere ihtiyaç vardır.

5 Neden Anahtarlar Yönetilmeli?
Binlerce anahtarın kullanım amacına göre yönetilmesi İhtiyaç olduğunda hangi anahtara erişileceğin bilgisi Anahtarlar nasıl taşınacak? Kimler anahtarlardan sorumlu olacak

6 Anahtarlar Nasıl Yönetilmeli?
Uluslararası Standartlar NIST IEEE P1619.3 IETF RFC 4107 Kurum Politikaları Regülasyonlar ISO 27001 PCI DSS

7 Anahtar Yaşam Döngüsü Anahtar ve Anahtar Çifti Oluşturma
Anahtar Taşıma ve Paylaşım Anahtar Yedekleme ve Onarım İşlemleri Anahtar ve Anahtar Çifti Kullanımını İzleme ve Kontrol Etme ( Süre ya da kullanım adedi kısıtlamalı) Anahtar Rotasyonu, Yenileme Meta Data Yönetimi (Örneğin anahtar yetkisinin şifreleme/deşifreleme'den sadece deşifrelemeye ayarlanması) Anahtarın İmha edilmesi ya da güvenli bir şekilde saklanılması

8 Anahtar Yaşam Döngüsü Saklama Arşivleme Oluşturma Kullanıma Atama
Dağıtım Kullanım Sona Erme İmha/Silme

9 Anahtar Yaşam Döngüsünde Aktiviteler
Ön Operasyon: Ön aktivasyonun oluşması, doğrulama, tedarik etme ve yedekleme. Operasyon: Aktif şifreleme, Deşifreleme, imzalama, doğrulama. Kısıtlı Kullanım: Deşifreleme, doğrulama. Operasyon Dışı: Kullanım dışı fakat kullanım için geri yüklenebilir. Operasyon Sonrası: Güvenli bir şekilde imha edilir ve hiçbir şekilde geri dönüştürülemez.

10 Örnek Kullanım Yerleri
Dinamik Bilgilerin Korunmasında Anahtar Yönetimi İşlem Tabanlı Uygulamalarda Anahtar Yönetimi Mesajlaşma Tabanlı Uygulamalarda Anahtar Yönetimi Durağan Bilgilerin Korunmasında Anahtar Yönetimi

11 Anahtarların Saklanması
HSMler kritik güvenlik objelerini (ör:kripto anahtarları) güvenli bir ortamda, ayrı bir fiziksel donanım üzerinde saklayan bir donanımdır. Güvenli bir şekilde donanım üzerinde kripto anahtarlarını oluştur ve saklar, Simetrik Anahtarlar Asimetrik Anahtarlar Anahtarlar ile uygulama sunucusu arasında izolasyon oluşturur. Kriptografik işlemlerin (sign/verify, encrypt/decrypt, hash, timestamp vs.) hızlı bir şekilde gerçekleşmesini sağlar. ( 5000 Ops RSA 1024 Sign)

12 Örnek Kullanım Yerleri – HSM
Uygulama ve Web Sunucular Dosya Sunucular Veri Tabanları Son Kullanıcılar MainFrame HSM ( Donanım Güvenlik Modülü ) Oluştur, Yedekle, Aktif, DeAktif, Yenile, SonaErme, İmha

13 Önerilen Çözüm Yaklaşımı
Politika tanımlama Anahtarı Kimler? Hangi Amaç ile kullanacak? Ne tipte anahtar kullanılmalı? Sorumlular? Varlıkların tanımı Hangi anahtar kullanılıyor? Bağlantılar ? Sahip olduğu bilgiler Kullanıcı tanımı Sorumlu kim? Kullanıcı sınıfı? Erişim Yöntemi tanımı

14 Politika Uygulamaları
Varlık ve sistemler dikkatli bir şekilde tanımlanmalı Kullanım alanlarına özel ve uygun algoritmalar kullanılmalı Sorumlular atanmalı Anahtarların yedekleri mümkünse gereksinimlere göre alınmalı Anahtar taşıma işlemleri tanımlanmalı Mümkünse tek bir noktadan yönetim işlemleri yapılmalı (KMIP)

15 KMIP – Geleceğin Anahtar Yönetim Protokolü

16 Örnek Politika Uygulaması
PCI DSS Güvenlik Standartları ile Bilgi Koruma ve Anahtar Yönetimi; Amaç: PCI DSS Güvenlik Standartları 3. gerekliliğine göre kart sahiplerine ait bilgilerin şifrelenmesi. Şifrelenecek sistem: Oracle 11g R2 Müşteri veritabanı Sorumlular: Sistem Güvenlik Ekibi ve Veri Tabanı Yönetim Gereksinim; PCI DSS 3. gerekliliğe göre şifrelenen bilgilerin şifreleme anahtarı ile ilgili yönetim işlemlerinin uygunluk kapsamında yapılması.

17 Örnek Politika Uygulaması
Yapılacaklar 3.6.1 gerekliliği ile güçlü şifreleme anahtarın oluşturulması (Örn: AES – 256 Bit CBC Padding 5) 3.6.2 ve anahtarların dağıtımı, nasıl saklanacağı. ( Anahtarlar HSM üzerinde üretilip saklanacaktır.) 3.6.4 her bir anahtarın kullanım süresinin belirlenmesi. ( Bu bilgi prosedürler üzerinde belirtildiği gibi HSM üzerindeki yönetim arabiriminde özel öz niteliklere eklenen bilgiler ile de yapılmakta) 3.6.5 a ve b maddelerine göre herhangi bir durumda; Anahtar sorumlularının şirketten ayrılması Anahtarın güvenlik eksiklerinin olması Bilgilerin çalınması vs. gibi durumlarda yapılacak işlemler. 3.6.7 anahtara yapılacak izinsiz değişikliklerin takipleri ile ilgili tanımlar.

18 Örnek Politika Uygulaması
3.6.8 kurum adına oluşturacağınız örnek bir anahtar sorumluluk şablonunu anahtar sorumlularına imzalatma.

19