Utforma en rot-CA-ceremoni för PKIaaS

Varje certifikat i en PKI-hierarki spårar sin förtroendekedja tillbaka till rot-CA:n. Rot-CA:ns privata nyckel är det kryptografiska ankare som förtroendet vilar på. Om rot-CA:ns nyckel genererades osäkert, i en okontrollerad miljö, utan vittnen, utan dokumenterade procedurer eller utan lämpligt hårdvaruskydd, så har varje certifikat som någonsin utfärdats under den CA:n en osynlig kvalifikation: förtroendekedjan är bara så tillförlitlig som de förhållanden under vilka rotnyckeln skapades.

En nyckelceremoni för en rot-CA är den formella procedur som fastställer tillförlitligheten hos det kryptografiska ankaret. Det är inte en byråkratisk formalitet. Det är den händelse som revisorer pekar på när de behöver bevis på att en CA-hierarki har upprättats korrekt. Det är vad ett efterlevnadsprogram hänvisar till när de hävdar att PKI-nyckelmaterial genererades under lämpliga kontroller. Och för organisationer som driftsätter PKI som en tjänst med kundhostade eller hybrida driftsättningsmodeller är det en betydande operativ händelse som kräver noggrann planering och expertutförande.

Den här guiden täcker vad som ingår i att utforma och genomföra en root-CA-nyckelceremoni: planeringsarbetet före ceremonin, de roller som måste fyllas, den utrustning som krävs, ceremonimanuset från HSM-initiering till bevisinsamling och lagring och styrningskontroller efter ceremonin som skyddar nyckelmaterialet och ceremoniprotokollet.

Snabbt svar: Vad är en Root CA-nyckelceremoni?

En nyckelceremoni för rot-CA är en formellt dokumenterad, bevittnad och granskad procedur för att generera den privata nyckeln för rot-CA:n i en FIPS 140-3 nivå 3-validerad HSM under M-of-N-förvaltarkontroller. Ceremonin producerar tre saker: rot-CA-nyckelparet (lagras i HSM och exporteras aldrig i okrypterad form), rot-CA:ns självsignerade certifikat (distribueras till förtroendelager) och bevispaketet för ceremonin (den granskningsbara registreringen att nyckelgenereringen skedde korrekt under de angivna kontrollerna). Allt i PKI-hierarkin som följer ceremonin beror på den tillförlitlighet som fastställs av den.

Key Takeaways

• Nyckelceremonin för rot-CA är en styrningshändelse, inte bara en teknisk procedur. Det bevispaket som den producerar är en revisionsartefakt som refereras av WebTrust för CA:er, ETSI EN 319 411, SOC 2 Type II, FedRAMP, CMMC och PCI DSS-revisorer. En ofullständig eller odokumenterad ceremoni är ett vanligt fynd vid PKI-revisioner och en väsentlig svaghet i organisationens PKI-styrningsställning.
• Planering inför ceremonin är där de flesta ceremonier lyckas eller misslyckas. Certifikatpolicyn, CP/CPS, rolltilldelningar, ceremonimanus, utrustningschecklista och HSM-konfiguration måste alla slutföras före ceremonidatumet. En ceremoni som genomförs utan ett granskat och godkänt manus är operativt riskabel: fel under tidspress med flera vittnen närvarande är svåra att åtgärda på ett smidigt sätt.
• M-av-N-kontroller för rot-CA-operationer är ett obligatoriskt styrningskrav, inte en valfri säkerhetsförbättring. M bör sättas tillräckligt högt för att samverkan ska kräva flera personer som inte alla arbetar i samma team eller rapporteringskedja. N bör vara tillräckligt stort för att kvorumet kan uppnås utan att vara beroende av någon enskild individs tillgänglighet. En 3-av-5- eller 3-av-7-konfiguration är vanlig för ceremonier för rot-CA:er på företag.
• Ceremonimiljön måste dokumenteras lika detaljerat som själva ceremoniprocedurerna. Fysiska åtkomstkontroller, videoövervakning, vem som gick in och ut ur rummet, HSM:ens serienummer och firmwareversion samt tillståndet för alla bevis i slutet av ceremonin är alla en del av det bevispaket som granskare granskar.
• Lagring av HSM, säkerhetskopierat nyckelmaterial och bevis från ceremonin efter ceremonin är lika viktigt som själva ceremonin. En rot-CA vars säkerhetskopierat nyckelmaterial lagras osäkert, eller vars ceremonibevis inte arkiveras i ett återhämtningsbart format, har en ofullständig styrningsberättelse även om ceremonin genomfördes korrekt.

Varför Root CA-ceremonin är viktig

Den privata nyckeln för rot-CA används för exakt en typ av operation under normala omständigheter: signering av certifikat för underordnade CA:er (mellanliggande eller utfärdande CA:er) som sitter under roten i hierarkin. Den används inte för att utfärda slutenhetscertifikat; den är offline mellan underordnade CA-ceremonier. Dess enda operativa framträdanden är vid den inledande ceremonin (för att generera och signera sitt eget självsignerade certifikat och signera det första utfärdande CA-certifikatet) och vid efterföljande ceremonier för att signera nya eller förnyade underordnade CA-certifikat.

Eftersom rot-CA-nyckeln används så sällan kan det hända att den inte upptäcks på flera år. En komprometterad rot-CA-nyckel gör det möjligt för en angripare att signera vilket CA-certifikat de vill, vilket skulle göra det möjligt för dem att utfärda certifikat för vilken domän eller identitet som helst som PKI-förlitande parter skulle lita på som om de vore legitima. Konsekvenserna är systemiska: varje certifikat som utfärdas under den komprometterade roten är potentiellt misstänkt, och åtgärden kräver att rot-CA-nyckeln ersätts och att hela certifikathierarkin utfärdas på nytt.

Det är därför nyckelgenereringshändelsen, ceremonin, är så viktig. Om ceremonin genomfördes korrekt, med dokumenterade kontroller, bevittnades av flera parter, och med nyckelmaterialet endast lagrat i hårdvara som förhindrar extrahering, kan rot-CA-nyckelns tillförlitlighet hävdas med bevis. Om den inte var det, är det bästa organisationen kan säga att de tror att nyckeln är säker, vilket inte är ett granskningsbart påstående.

Fas 1: Planering före ceremonin (4 till 8 veckor före)

CP/CPS-justering

Certifikatpolicyn (CP) och certifieringspraxisutlåtandet (CPS) måste utarbetas och granskas före ceremonin, eftersom ceremoniprocedurerna måste överensstämma med vad CP/CPS anger. Om CP/CPS anger en 3-av-5 M-av-N-konfiguration för rot-CA-operationer och ceremonin genomförs med en 2-av-3-konfiguration, överensstämmer inte ceremonin med den angivna policyn och PKI:n verkar utanför sitt dokumenterade styrningsramverk från dag ett.

De CP/CPS-avsnitt som är mest direkt relevanta för ceremonin är: Avsnitt 6 (Tekniska säkerhetskontroller) för nyckelgenereringsproceduren, HSM-krav och M-of-N-konfiguration; Avsnitt 5 (Hantering, operativa och fysiska kontroller) för ceremonimiljön, krav på fysisk åtkomst och personalkontroller; och Avsnitt 4.8 (Certifikatändring) eller det relevanta avsnittet om utfärdande av underordnade CA för procedurerna som styr signering av underordnade CA-certifikat. Granska dessa avsnitt mot det planerade ceremonimanuset innan du slutför något av dokumenten.

CA-hierarkidesign

Innan ceremonin måste CA-hierarkins utformning slutföras: hur många nivåer (två nivåer med rot- och utfärdande, eller tre nivåer med rot-, mellan- och utfärdande), vilka certifikatprofiler som kommer att användas för varje CA, vilka nyckelalgoritmer och nyckelstorlekar som kommer att användas på varje nivå, och vilka giltighetsperioder som kommer att vara för varje CA-certifikat. Dessa beslut kan inte revideras efter att rot-CA-nyckeln har genererats utan att skapa en ny rot-CA och upprepa ceremonin.

För PKIaaS-distributioner bör hierarkidesignen även ta hänsyn till de registreringsprotokoll (ACME, EST, SCEP, WSTEP, CMP) som de utfärdande CA:erna kommer att stödja, de certifikatprofiler (TLS, enhet, användare, S/MIME, kodsignering) som kommer att utfärdas och den OCSP- och CRL-infrastruktur som kommer att refereras till i utfärdade certifikattillägg. Själva rot-CA-certifikatet refererar inte till någon CRL- eller OCSP AIA-kod (rot-CA:er är självsignerade och deras egen återkallelse kan inte kontrolleras via standardmekanismer), men alla underordnade CA-certifikat måste innehålla CRL DP:er och AIA-poster som pekar på operativ OCSP- och CRL-infrastruktur.

HSM-urval och upphandling

HSM:en för rot-CA:n måste vara en FIPS 140-2 nivå 3- eller FIPS 140-3 nivå 3-validerad enhet. FIPS 140-3 nivå 3 är den nuvarande standarden; FIPS 140-2 nivå 3-enheter är fortfarande acceptabla för befintliga distributioner. Nivå 3-validering kräver fysiska manipuleringssäkra och manipuleringssäkra mekanismer, identitetsbaserad autentisering för modulåtkomst och möjligheten att nollställa alla oskyddade CSP:er (kritiska säkerhetsparametrar) som svar på en manipuleringshändelse. Den specifika HSM-modellen bör väljas baserat på CA:ns programvaruplattform (HSM:n måste stödja PKCS#11 eller CNG/CryptoAPI beroende på vad som är lämpligt för CA-programvaran), de nyckelalgoritmer som krävs (RSA-4096-, ECDSA P-384- eller PQC-algoritmer om hybridcertifikat ingår) och M-of-N-implementeringen som stöds av HSM:ns firmware.

Beställ HSM:n tillräckligt i förväg för att du ska kunna ta emot den och verifiera den före ceremonin. Vid mottagandet, verifiera HSM:ns äkthet med hjälp av tillverkarens verifieringsprocedur (de flesta HSM-leverantörer erbjuder en webbaserad verifieringstjänst med hjälp av enhetens serienummer och en hårdvaruintyg), registrera serienummer och firmwareversion i dokumentationen före ceremonin och bekräfta att enheten inte har manipulerats under transporten.

Utveckling av ceremonimanus

Ceremonimanuset är det steg-för-steg-dokument som ska följas under ceremonin. Det måste vara tillräckligt detaljerat för att varje steg kan utföras korrekt av den tilldelade personalen utan bedömningar eller improvisation. Varje steg i manuset bör specificera: vem som utför åtgärden, vilket kommando eller vilken gränssnittsoperation som utförs, vad den förväntade utdata är och vad vittnet måste observera och intyga. Manuset bör också specificera vad som ska göras om ett steg misslyckas eller producerar oväntad utdata: vad som utgör ett åtgärdbart fel (försök igen, kontrollera konfigurationen, fortsätt försiktigt) kontra ett oåterställbart fel (stoppa ceremonin, säkra allt material, sammankalla en obduktion innan man fortsätter).

Ceremonimanuset måste granskas och godkännas av ceremonins internrevisor och CA-ägaren före ceremonidatumet. Ändringar i manuset efter godkännande kräver en dokumenterad ändringsgranskning. På ceremonidagen paraferas varje steg i manuset av den person som utförde det och minst ett vittne; dessa paraferade kopior blir en del av bevispaketet.

Fas 2: Rolltilldelning vid ceremonin

Varje person i ceremonirummet har en definierad roll med specifika ansvarsområden. Roller bör tilldelas namngivna personer och bekräftas skriftligen före ceremonin. Ingen roll bör innehas av någon som också innehar en motstridig roll. De specifika rollnamnen kan variera beroende på organisation och PKIaaS-leverantör, men de funktionella ansvarsområdena är konsekventa för väl utformade ceremonier.

Ceremonimästare

Ceremoniledaren ansvarar för att utföra ceremonimanuset steg för steg och för den övergripande samordningen av ceremonin. Ceremoniledaren anger varje steg, bekräftar att rätt personal är redo innan ceremonin fortsätter och ansvarar för ceremonins tempo och fullständighet. De har inte en ansvarsfull roll (för att undvika intressekonflikter mellan samordning och auktorisering) och bör vara en erfaren PKI-ingenjör som har granskat ceremonimanuset noggrant. För organisationer utan intern erfarenhet av ceremonier minskar en extern PKI-konsult i rollen som ceremoniledare avsevärt risken för utförandet.

Nyckelförvaltare (M-of-N)

Nyckelansvariga är den personal som innehar individuella autentiseringsuppgifter (HSM-operatörskort, smartkort eller programvarutokens beroende på HSM:s M-of-N-implementering) som krävs för att auktorisera HSM-operationer med hög behörighet. Varje ansvarig innehar exakt en autentiseringsuppgift; ingen ansvarig innehar mer än en. I en 3-av-5-konfiguration får fem ansvariga vardera ett av fem operatörskort under ceremonin, och tre av dem måste samarbeta (genom att presentera sina kort samtidigt eller i sekvens, beroende på HSM-implementeringen) för att auktorisera rot-CA-nyckeloperationer.

Förvaltare bör väljas från olika team eller rapporteringskedjor för att förhindra att samverkan kan uppnås inom en enda befälsordning. I ett PKIaaS-sammanhang där PKI hanteras av säkerhetsteamet kan lämpliga förvaltare inkludera CISO, IT-chefen, infrastrukturchefen, chefsjuristen och en extern revisor eller chef. Mångfalden av förvaltare säkerställer att auktorisering av en rot-CA-operation kräver samarbete över organisationsgränser.

Internrevisor

Internrevisorn observerar ceremonin mot det godkända ceremonimanuset och intygar att varje steg utfördes korrekt och fullständigt. Internrevisorn utför inga tekniska steg; deras roll är observation och dokumentation. De signerar ceremonibevisen vid varje steg, och deras underskrift är intyget om att det som bevisen dokumenterar stämmer överens med vad som faktiskt inträffade. Internrevisorn måste vara oberoende av teamet som driver CA; att använda PKI-teamets egen projektledare som internrevisor undergräver attesteringens oberoende.

Externt vittne (valfritt men rekommenderas)

Ett externt vittne är en person som inte är anställd av organisationen och som bevittnar ceremoniförhandlingarna. För organisationer som söker WebTrust- eller ETSI-certifiering ingår en extern revisor i vittnesrollen i certifieringsprocessen. För organisationer som inte söker allmänhetens förtroende men vill ha ytterligare säkerhet kring ceremonibevisen stärker en extern PKI-konsult eller juridisk rådgivare i vittnesrollen oberoendet i ceremonibekräftelsen.

IT-support / HSM-operatör

IT-supportrollen omfattar tekniska operationer som inte är nyckelförvaltaroperationer med hög behörighet: anslutning av utrustning, installation av CA-programvara på ceremoniarbetsstationen, initiering av HSM under ledning av ceremoniledaren och felsökning av anslutnings- eller konfigurationsproblem. IT-supporten utför de tekniska stegen på ceremoniarbetsstationen; de har inte förvaltarbehörighet och kan inte auktorisera nyckeloperationer självständigt.

Bevisinspelare

Bevisregistratorn dokumenterar ceremonin i realtid: tidsstämplar registreras för varje ceremonisteg, utdata från konsolen och kommandohistorik från ceremoniarbetsstationen, videoinspelningen underhålls och de fysiska bevisen samlas in (signerade manussidor, HSM-förpackning, bekräftelseblanketter för förvaltartoken). Bevisregistratorn skiljer sig från internrevisorn; revisorn intygar att processen är korrekt, och registratorn skapar en journal över vad som inträffade.

Fas 3: Ceremonimiljö och utrustning

Den fysiska ceremonimiljön måste uppfylla kraven i CP/CPS för nyckelgenereringsanläggningar. Typiska krav inkluderar: ett fysiskt säkert rum med åtkomst kontrollerad med kortnyckel eller biometri, åtkomstloggning för rummet under ceremoniperioden, ingen obehörig personal får släppas in och ett videoövervakningssystem som spelar in ceremonin kontinuerligt. Ceremonirummet bör inspekteras innan deltagarna går in för att bekräfta att inga obehöriga inspelningsenheter eller hårdvaru-keyloggers finns närvarande.

Utrustningschecklistan för ceremonin bör förberedas och verifieras minst 48 timmar före ceremonidatumet. Nödvändig utrustning inkluderar vanligtvis:

• HSM (FIPS 140-3 nivå 3 validerad), verifierad autenticitet, i originalförpackning fram till ceremonin
• Ceremoniarbetsplats: bärbar dator eller arbetsstation med airgap (inte ansluten till något nätverk under ceremonin), operativsystem nyligen installerat från verifierat media, CA-programvara installerad och verifierad, ingen annan programvara närvarande
• Nätverksisolerad strömförsörjning: UPS för att förhindra att ceremoniarbetsstationen förlorar ström mitt under drift
• HSM-operatörskort (N-kort, ett per förvaltare, om HSM använder kortbaserad M-of-N), med kortläsare
• Säkerhetskopiering av HSM eller HSM-säkerhetskopieringstoken (för nyckelsäkerhetskopia; säkerhetskopian måste lagras separat från den primära HSM:en efter ceremonin)
• Videoinspelningsutrustning, placerad för att fånga HSM, arbetsstationens skärm och operatörens händer
• Tryckta kopior av det godkända ceremonimanuset (tillräckligt för att alla deltagare ska kunna följa med)
• Spårbarhetsblanketter för varje fysiskt medie som produceras under ceremonin
• Säkerhetsförseglade påsar eller behållare för förvaring av HSM:er och säkerhetskopieringsmedia efter ceremonin
• Signeringspennor (ej tuschpennor, för att skapa varaktiga bevissignaturer) för alla deltagare
• Dokumentation av entropikällan (om man använder en extern entropikälla för nyckelgenerering utöver HSM:s interna entropi)

Ceremoniarbetsstationen ska inte ha internetanslutning under ceremonin. Om CA-programvara kräver nätverksanslutning för licensvalidering eller programvaruaktivering måste detta slutföras innan ceremonin börjar; nätverkskabeln kopplas sedan bort fysiskt och frånkopplingen dokumenteras innan nyckelgenereringen påbörjas.

Fas 4: Ceremoniutförande

Ceremoniexekveringen sker genom en definierad sekvens av faser. Följande täcker de kärnfaser som är gemensamma för väl utformade nyckelceremonier för rot-CA:er; de specifika kommandona och gränssnittsåtgärderna varierar beroende på HSM-leverantör och CA-programvaruplattform.

Fas 4.1: Öppning och närvaro

Ceremonin inleds med att ceremoniledaren verifierar att all nödvändig personal är närvarande, registrerar varje persons namn och roll i ceremoniloggen, bekräftar att rummet är säkert och att inspelningsutrustningen är aktiv, samt läser upp ceremonins syftesbeskrivning från manuset (vilket internrevisorn och alla deltagare intygar som korrekt återspeglar ceremonins omfattning). Varje deltagare undertecknar ceremonins närvaroblankett. Personer som inte finns med på den godkända närvarolistan släpps inte in. Om en obligatorisk roll inte kan fyllas av den tilldelade personen (sjukdom, otillgänglighet) bör ceremonin skjutas upp snarare än genomföras med en ersättare som inte har godkänts för rollen.

Fas 4.2: HSM-verifiering och initialisering

HSM-enheten tas ur sin förpackning inför alla ceremonideltagare. Bevisinspelaren dokumenterar serienummer, modell och firmwareversion för HSM-enheten och fotograferar förpackningen. HSM:ens äkthetsverifiering utförs (med hjälp av leverantörens verifieringsmekanism) inför internrevisorn, som intygar i ceremoniprotokollet att verifieringen lyckades.

HSM initieras sedan: fabriksinställningarna rensas, HSM placeras i ett fungerande initialtillstånd (vanligtvis kallat "fabriksåterställning" eller "nollställning") och de initiala administrativa inloggningsuppgifterna ställs in. Nollställningssteget bekräftar att inget nyckelmaterial från en tidigare användning finns i HSM innan ceremonins nyckelmaterial genereras. Bevisinspelaren loggar tidsstämpeln och konsolutdata från nollställningskommandot.

Fas 4.3: M-of-N-konfiguration och initialisering av förvaltare

M-av-N-konfigurationen upprättas på HSM: det totala antalet förvaltare (N), det kvorum som krävs för åtgärder med hög behörighet (M) och de kryptografiska parametrarna för nyckeldelningar för förvaltare konfigureras enligt CP/CPS-specifikationen. Varje förvaltares nyckeldelning eller operatörskort genereras och provisioneras sedan, en förvaltare i taget. Varje förvaltare:

• Går fram till ceremoniarbetsplatsen medan andra vaktmästare står på ett angivet avstånd (för att förhindra att PIN-kod eller autentiseringsuppgifter trängs med axlarna)
• Ställer in sin personliga PIN-kod eller lösenord på sitt operatörskort
• Tar emot sitt operatörskort eller sin token i ett ogenomskinligt kuvert som de förseglar och signerar
• Skriver under ett bekräftelseformulär för nyckelförvaltare som bekräftar mottagandet av deras behörighet, deras ansvar som förvaltare och de villkor under vilka de får använda behörigheten
• Återvänder till gruppen

Bevisregistratorn loggar varje steg i förvaltarinitieringen med en tidsstämpel. Internrevisorn intygar att varje initiering skedde korrekt och att ingen annan deltagare kunde observera någon förvaltares PIN-kod under inmatningen.

Fas 4.4: Generering av rot-CA-nyckel

Generering av rot-CA-nyckel kräver att M-av-N-vårdnadshavare har ett kvorum. Ceremoniledaren instruerar M-vårdnadshavare (den första M:n från listan, eller enligt specifikationen i skriptet) att gå fram och presentera sina inloggningsuppgifter sekventiellt eller samtidigt enligt HSM:s krav. När kvorumet har autentiserats instruerar ceremoniledaren IT-supportoperatören att köra kommandot för nyckelgenerering.

Nyckelgenereringskommandot specificerar: nyckelalgoritmen (RSA-4096, ECDSA P-384, eller enligt vad som anges i CP/CPS), HSM-partitionen där nyckeln ska lagras och etiketten som nyckeln ska refereras till. Evidence Recorder samlar in hela kommandot och konsolutdata från nyckelgenereringen, inklusive eventuella nyckelidentifierare, referenser eller hash för publik nyckel som returneras av HSM. Denna utdata är en kritisk bevisartefakt: den länkar rot-CA-certifikatet som sedan genereras till den specifika nyckel som genererades i denna ceremoni.

Efter nyckelgenerering autentiserar M-förvaltare igen för att auktorisera generering av det självsignerade rot-CA-certifikatet. Kommandot för certifikatgenerering anger ämnes-DN (enligt CP/CPS), certifikatets giltighetstid, tillägget Basic Constraints (CA:TRUE utan sökvägsbegränsning för en rot-CA), tillägget Key Usage (keyCertSign och cRLSign) och alla andra tillägg som krävs av CP/CPS. Det resulterande rot-CA-certifikatet exporteras till en fil på ceremoniarbetsstationen. Certifikatets fingeravtryck (SHA-256 för det DER-kodade certifikatet) visas, läses högt av IT-supportoperatören och registreras av bevisinspelaren och attesteras av internrevisorn.

Fas 4.5: Underordnad CA-CSR-signering (om det ingår i omfattningen)

Om ceremonin omfattar signering av ett eller flera underordnade CA-certifikat (mellanliggande eller utfärdande CA-certifikat) signeras dessa i denna fas. Varje underordnad CA-CSR måste ha genererats i förväg (på CA-programvaran eller HSM som kommer att vara värd för den underordnade CA:n), verifierats för korrekt innehåll (ämnes-DN, nyckelalgoritm, grundläggande begränsningar, certifikatpolicytillägg, AIA/CDP-tillägg) av ceremoniteamet och godkänts av internrevisorn före ceremonin. CSR:er som inte granskades och godkändes före ceremonin bör inte signeras vid ceremonin; signering av en ogranskad CSR skapar en CA vars certifikatinnehåll inte har attesterats.

För varje underordnad CA-CSR som ska signeras autentiserar M-förvaltare, IT-supportoperatören kör signeringskommandot som anger CSR-filen och den avsedda certifikatprofilen, och bevisinspelaren samlar in det resulterande certifikatfingeravtrycket. Det signerade underordnade CA-certifikatet exporteras till en fil på ceremoniarbetsstationen.

Fas 4.6: Procedurer för säkerhetskopiering av nyckel och HSM

Den privata nyckeln för rot-CA:n måste ha en verifierad säkerhetskopia för att förhindra förlust vid HSM-fel. Säkerhetskopieringsproceduren beror på HSM-plattformen: vissa HSM:er stöder export av krypterad nyckel under M-of-N-förvaltarauktorisering (där den exporterade nyckelblobben krypteras med en nyckel som kräver samarbete med M-of-N-förvaltare för att dekryptera); andra stöder kloning av nyckeln direkt till en säkerhetskopia av HSM av samma modell under förvaltarkontroll. Båda metoderna är acceptabla; det som är viktigt är att säkerhetskopianyckelmaterialet genereras i ceremonin under samma M-of-N-kontroller som primärnyckeln, och att säkerhetskopian verifieras (genom att försöka ladda och använda den) innan ceremonin avslutas.

Efter att säkerhetskopian har skapats och verifierats märks säkerhetskopimediet (oavsett om det är en säkerhetskopia av HSM, en krypterad säkerhetskopiatoken eller en krypterad nyckelfil på lagringsmedia), förseglas i en manipulationssäker behållare, signeras över sigillet av internrevisorn och ceremoniledaren och dokumenteras i ceremonibeviset. Säkerhetskopians lagringsplats och åtkomstkontroller dokumenteras i ceremonibevispaketet. Säkerhetskopian måste förvaras separat från den primära HSM: en brand, stöld eller fysisk skada som påverkar en av dem bör inte påverka båda.

Fas 4.7: Avslutning av ceremonin

Avslutningsfasen för ceremonin inkluderar: export av alla genererade certifikat till det angivna säkra distributionsmediet (vanligtvis ett skrivskyddat USB-minne för ceremonier med luftgap, eller en verifierad säker kanal för anslutna ceremonier), verifiering av integriteten hos allt exporterat material genom att kontrollera filhashar mot de värden som registrerats under genereringen, säker radering av ceremoniarbetsstationen (eller slutförande av de planerade procedurerna för dess lagring i ett kontrollerat tillstånd) och försegling av den primära HSM:en i en manipulationssäker behållare för transport till dess operativa lagringsplats.

Ceremoniledaren läser igenom det ifyllda ceremonimanuset för att bekräfta att alla steg har paraferats. Alla steg som hoppats över eller avvikits från måste dokumenteras med orsaken till avvikelsen och internrevisorns intyg. Närvaroblanketten för ceremonin granskas för att bekräfta att alla uppgifter är fullständiga. Internrevisorn intygar att ceremonin är avslutad genom att underteckna ceremoniförklaringen, och alla deltagare som stannar kvar i rummet kontrasignerar.

Fas 5: Sammanställning av bevispaket

Bevispaketet för ceremonin är den samling dokument och register som bevisar att ceremonin genomfördes korrekt. Det sammanställs av bevisregistratorn efter att ceremonin avslutats och granskas av internrevisorn innan det arkiveras. Ett komplett bevispaket inkluderar:

• Närvaroregister för ceremonin: Namn, roller och underskrifter för alla deltagare, med ankomst- och avgångstidsstämplar för var och en.
• Signerat ceremonimanus: Det kompletta manuset med varje steg signerat av utövaren och minst ett vittne, samt eventuella avvikelseanteckningar.
• HSM-verifieringspost: HSM-modell, serienummer, firmwareversion, resultat av leverantörsverifiering och fotografier av förpackningen och enheten.
• M-av-N-konfigurationspost: De konfigurerade M- och N-värdena, de pseudonyma eller verkliga identifierare som tilldelats varje förvaringsplats och bekräftelse på att varje förvaringsplats har initialiserats.
• Viktiga formulär för bekräftelse av förvaltare: Ett undertecknat formulär per vårdnadshavare som bekräftar mottagandet av deras behörighet och deras förståelse för vårdnadshavarens ansvar.
• Nyckelgenereringspost: Tidsstämpel, algoritm, nyckelstorlek, HSM-partition, nyckeletikett och nyckel-ID för varje genererad nyckel, med konsolutdata från genereringskommandot.
• Certifikatets fingeravtryck: SHA-256-fingeravtryck av alla certifikat som genererats eller signerats under ceremonin (rot-CA-certifikat, alla underordnade CA-certifikat), upplästa, inspelade och attesterade.
• Säkerhetskopiering av post: Beskrivning av säkerhetskopieringsmetoden, sigillnumret/numren på säkerhetskopieringsbehållaren/behållarerna, den angivna lagringsplatsen för säkerhetskopiering och verifieringsresultatet (lyckat test av säkerhetskopiering).
• Videoinspelning: Kontinuerlig video av ceremonin från öppning till stängning, med tidsstämpelöverlagring. Videon måste arkiveras i ett format som är återhämtningsbart under rot-CA-certifikatets giltighetstid plus eventuell tillämplig lagringsperiod som krävs enligt regelverket.
• Certifiering för internrevisor: Internrevisorns undertecknade intyg om att ceremonin genomfördes i enlighet med det godkända manuset och CP/CPS-kraven.
• Externt vittnesintyg (om tillämpligt): Det externa vittnets undertecknade intyg om ceremoniförloppet.

Bevispaketet arkiveras på en säker, åtkomstkontrollerad plats med en dokumenterad åtkomstlogg. För de flesta regelverk måste bevispaketet behållas under rot-CA-certifikatets livslängd (vilket kan vara 20 till 25 år) plus den tillämpliga lagringsperioden efter utgången. Fysiska kopior bör förvaras i ett brandsäkert kassaskåp; elektroniska kopior bör förvaras i ett åtkomstkontrollerat, krypterat arkiv med regelbunden integritetsverifiering.

Fas 6: Förvaring och kontroller efter ceremonin

Ceremonin avslutar nyckelgenereringshändelsen, men styrningen av rot-CA-nyckelmaterialet fortsätter under hela CA-hierarkins livslängd. Lagring och kontroller efter ceremonin behandlar tre kategorier: den primära HSM:en, säkerhetskopieringsnyckelmaterialet och förvaltarens autentiseringsuppgifter.

Primär HSM-lagring: Den primära HSM:n förvaras i ett säkert hölje (säkert eller dedikerat HSM-förvaringsskåp) på en fysiskt åtkomstkontrollerad plats. Åtkomst till HSM:n måste loggas: vem som åtkomst till den, när och för vilket ändamål. För en offline-rot-CA stängs HSM:n av mellan ceremonier; lagringsplatsen måste ha miljökontroller (temperatur, fuktighet) som är lämpliga för långvarig förvaring av elektronisk utrustning. HSM:ns manipuleringsförsegling kontrolleras mot ceremoniprotokollet varje gång den åtkoms.

Säkerhetskopieringslagring: Säkerhetskopieringens HSM eller krypterade säkerhetskopieringsnyckelmaterial lagras separat från den primära HSM:n, på en annan fysisk plats och helst i en annan byggnad eller anläggning. Säkerhetskopieringen måste vara tillgänglig under samma M-of-N-kontroller som den primära: återställning av säkerhetskopieringsnyckelmaterialet kräver M-förvaltare, inte en enda administratör med åtkomst till säkerhetskopieringslagringsplatsen. Säkerhetskopieringens integritet bör verifieras regelbundet (minst årligen) genom att hämta den, bekräfta att den manipuleringssäkra förseglingen är intakt och logga verifieringshändelsen.

Hantering av förvaltarlegitimation: Varje förvaltares operatörskort eller token förvaras under den förvaltarens egen kontroll, på en plats och på ett sätt som uppfyller CP/CPS-kraven för lagring av autentiseringsuppgifter (vanligtvis ett personligt kassaskåp eller motsvarande säker förvaring, inte en delad kontorslåda). Förvaltare bör påminnas om sina skyldigheter årligen och bör omedelbart rapportera om deras autentiseringsuppgifter förloras, stulits eller potentiellt äventyras. En förlorad förvaltarlegitimation minskar det tillgängliga antalet N för framtida ceremonier; om N sjunker under M (alla återstående förvaltare) blir rot-CA-operationer omöjliga förrän nya förvaltare har initierats med hjälp av den nyckelåterställningsprocedur som etablerades under den ursprungliga ceremonin. Proceduren för återkallelse och ersättning av förvaltarlegitimation måste dokumenteras och testas innan den behövs.

Root CA-ceremoni i PKIaaS-kontexten

I en leverantörshostad PKIaaS-distribution genomför PKIaaS-leverantören rot-CA-nyckelceremonin med hjälp av sin egen kontrollerade miljö, FIPS 140-3-validerade HSM:er och ceremoniprocedurer som dokumenterats i deras certifieringspraxisutlåtande. Kunder får bevispaketet för ceremonin som dokumentation av nyckelgenereringshändelsen. Vissa leverantörer erbjuder kunder möjligheten att skicka observatörer till ceremonin, vilket är värt att begära om PKI:n kommer att användas för applikationer med hög säkerhet där oberoende vittnesbevittnanden stärker styrningsberättelsen.

I en kundhostad eller hybrid PKIaaS-distribution genomför kunden rot-CA-nyckelceremonin för rot-CA:n och eventuella CA:er som de värdar. PKIaaS-leverantören tillhandahåller CA-programvaran och kan tillhandahålla mallen för ceremoniskript och mallar för bevisdokumentation, men den fysiska ceremonin, HSM:en, förvaltarna och internrevisorn är kundens ansvar. För organisationer utan tidigare erfarenhet av CA-ceremonier minskar det avsevärt risken vid utförande att anlita en extern PKI-konsult som ceremoniledare för den första ceremonin och producerar ett bevispaket av högre kvalitet.

Oavsett driftsättningsmodell utgör de styrningsartefakter som produceras av ceremonin, främst CP/CPS och bevispaketet, grunden för PKI:s efterlevnadsberättelse. Revisorer för SOC 2, FedRAMP, CMMC, WebTrust och ETSI granskar alla dessa dokument. En organisation som kan producera ett komplett, väl dokumenterat bevispaket för ceremonin har en väsentligt starkare position i alla PKI-relaterade revisioner än en som förlitar sig på muntliga försäkringar om hur rot-CA-nyckeln genererades.

Hur krypteringskonsulting kan hjälpa

• PKI-nyckelceremonitjänster: Encryption Consulting erbjuder komplett support för design och exekvering av nyckelceremonier: utveckling av ceremoniskript anpassade till CP/CPS, vägledning om rolltilldelningar, rådgivning om val av HSM och experttjänster för Ceremony Master för kundhostade och hybrid PKIaaS-distributioner. Vi har genomfört nyckelceremonier för root-CA inom finansiella tjänster, försvar, hälso- och sjukvård samt kritisk infrastruktur. Kontakta oss på Krypteringskonsulting för att diskutera era krav för ceremonin.
• PKI som en tjänst: För organisationer som använder Encryption Consulting PKIaaS-erbjudandeLeverantörshostade nyckelceremonier för rot-CA:er utförs av Encryption Consultings PKI-team med hjälp av FIPS 140-3 nivå 3 HSM:er under dokumenterade M-of-N-kontroller, med ett komplett bevispaket levererat till kunden. Kunder kan begära observatörsåtkomst till ceremonin.
• PKI-tjänster (CP/CPS-utveckling): Krypteringskonsulttjänster PKI-tjänster inkluderar utveckling av certifikatpolicy och certifieringspraxis i linje med tillämpliga efterlevnadsramverk (WebTrust, ETSI EN 319 411, SOC 2, FedRAMP, CMMC). CP/CPS är en förutsättning för ceremonimanuset; vi utvecklar båda i ett integrerat engagemang.
• PKI-bedömningstjänst: För organisationer med en befintlig PKI vars bevispaket för ceremonier är ofullständigt, odokumenterat eller inte kan hittas, Encryption Consultings PKI-bedömningstjänst bedömer styrningsbristerna och tar fram en åtgärdsplan. I vissa fall innebär åtgärden att man genomför en ny ceremoni för att ersätta den odokumenterade rot-CA:n med en korrekt styrd.
• HSM som en tjänst: För organisationer som behöver FIPS 140-3 nivå 3 HSM-kapacitet för en kundvärdad ceremoni utan att hantera äganderätten till HSM-hårdvara, erbjuder Encryption Consultings HSM som en tjänst tillhandahåller dedikerad HSM-kapacitet med fullständig kundkontroll över partitionskonfiguration och åtkomstuppgifter.

Slutsats

En nyckelceremoni för en rot-CA är inte en formalitet. Det är den händelse som fastställer tillförlitligheten hos varje certifikat som någonsin kommer att utfärdas under PKI-hierarkin. Organisationer som utför det korrekt, med dokumenterade procedurer, bevittnad exekvering, FIPS-validerade HSM:er, M-of-N-förvaltarkontroller och ett komplett bevispaket, bygger ett PKI-program på en grund som de kan försvara gentemot revisorer, tillsynsmyndigheter och förlitande parter under rot-CA:ns livstid.

Planeringen är viktigare än utförandet. En ceremoni med ett väl genomgånget manus, rätt roller fyllda av rätt personer, utrustning verifierad i förväg och bevismallar redo att fyllas i kommer nästan garanterat att lyckas. En ceremoni improviserad under tidspress, med tvetydiga rolltilldelningar, på utrustning som inte har testats, kommer sannolikt att producera ett ceremonidokument som väcker fler frågor än det besvarar.

För organisationer som driftsätter PKIaaS för första gången är ceremonin ett tillfälle att etablera PKI-styrningspraxis som kommer att tjäna organisationen i årtionden. För organisationer med en befintlig PKI vars ceremonidokumentation är tunn, är gapet mellan vad certifikatkedjan innebär (en pålitlig nyckelgenereringshändelse) och vad som kan bevisas (en dokumenterad, bevittnad ceremoni) en styrningsrisk som är värd att hantera proaktivt snarare än som svar på ett revisionsresultat.

Om er organisation planerar en root-CA-nyckelceremoni eller behöver bedöma fullständigheten hos en befintlig ceremonipost, kontakta Encryption Consulting . Vi har genomfört och gett råd om CA-nyckelceremonier i en mängd olika organisatoriska sammanhang och regelverk.

Detta inlägg granskas årligen och när FIPS 140-valideringskraven, WebTrust, ETSI EN 319 411 eller större regelverk publicerar uppdateringar som påverkar viktiga ceremonikrav.

Vanliga frågor om partihandel med mat och dryck

Vad är en PKI-root-CA-nyckelceremoni?

En PKI-rot-CA-nyckelceremoni är en formellt dokumenterad procedur för att generera rot-CA:ns privata nyckel i en kontrollerad, bevittnad och granskad miljö under M-of-N-förvaltarkontroller i en FIPS 140-3 nivå 3-validerad HSM. Ceremonin producerar rot-CA-nyckelparet, rot-CA:ns självsignerade certifikat och ett bevispaket för ceremonin som är den granskningsbara registreringen av nyckelgenereringshändelsen för efterlevnadsändamål.

Vad är M-of-N-kontroll i en CA-nyckelceremoni?

M-av-N-kontroll kräver att ett minsta antal auktoriserade förvaltare (M) av det totala antalet förvaltare (N) måste samarbeta för att auktorisera rot-CA-nyckeloperationer med hög behörighet. Till exempel kräver en 3-av-5-konfiguration att 3 av 5 utsedda förvaltare presenterar sina autentiseringsuppgifter innan HSM tillåter en rot-CA-nyckeloperation. M-av-N förhindrar att en enskild administratör ensidigt utför obehöriga rot-CA-operationer. En 3-av-5- eller 3-av-7-konfiguration är vanlig för ceremonier med rot-CA-operationer på företag.

Varför är bevispaketet för rot-CA-ceremonin viktigt för efterlevnad?

Bevispaketet är den granskningsbara registreringen av att rot-CA-nyckeln genererades korrekt under dokumenterade kontroller. WebTrust for CAs, ETSI EN 319 411, SOC 2 Type II, FedRAMP, CMMC och PCI DSS-revisorer granskar det för att verifiera att CA:s kryptografiska grund uppfyller de angivna kraven för certifikatpolicyn. Utan ett komplett bevispaket kan organisationen inte bevisa att rot-CA-nyckeln genererades på ett tillförlitligt sätt. Ett saknat eller ofullständigt bevispaket är ett vanligt fynd vid PKI-revisioner.

Hur lång tid tar en root-CA-nyckelceremoni?

Genomförandet av ceremonin tar vanligtvis 4 till 8 timmar per dag, beroende på antalet skapade CA:er, antalet initierade förvaltare och om underordnade CA-CSR:er också undertecknas. Planering före ceremonin kräver 4 till 8 veckor för CP/CPS-anpassning, hierarkidesign, HSM-upphandling, utveckling av ceremonimanus och rolltilldelningar. Att förhasta någon av dessa faser ökar sannolikheten för fel som är svåra att åtgärda smidigt under själva ceremonin.

Kan en PKIaaS-leverantör genomföra rot-CA-nyckelceremonin för kundens räkning?

Ja. I leverantörshostade PKIaaS-distributioner genomför leverantören vanligtvis rot-CA-ceremonin med hjälp av sin kontrollerade miljö, FIPS 140-3-validerade HSM:er och CPS-dokumenterade procedurer, och levererar ett bevispaket för ceremonin till kunden. Kunder kan begära observatörsåtkomst. I kundhostade eller hybriddistributioner genomför kunden ceremonin med sina egna HSM:er, där leverantören tillhandahåller CA-programvaran och eventuellt mallar för ceremoniskript. Kunden ansvarar för det fysiska utförandet, förvaltare och internrevisor.