Como gerenciar chaves de criptografia

As chaves de criptografia são códigos alfanuméricos ou sequências de caracteres que são usados, juntamente com um algoritmo ou processo matemático, para transformar dados de texto simples que qualquer pessoa pode ler em texto cifrado que não pode ser lido, a menos que seja descriptografado. As chaves de criptografia são usadas para proteger dados privados e sensíveis em armazenamento, em trânsito e em uso. Dados criptografados ou texto criptografado só podem ser lidos uma vez que sejam descriptografados com sua chave de descriptografia associada.

As chaves de criptografia podem ser simétricas ou assimétricas. Quando uma chave de criptografia simétrica é utilizada, a mesma chave é empregada para criptografar e depois decodificar os dados de volta para texto legível. Quando chaves assimétricas são usadas, uma chave compartilhada publicamente (chave pública) codifica os dados em texto simples e uma chave diferente, que nunca é compartilhada e mantida privada (chave privada), é usada para descriptografar os dados. Seja utilizando criptografia simétrica ou assimétrica, o objetivo é manter a confidencialidade dos dados criptografados. Mesmo que os dados criptografados caiam em mãos erradas, os dados permanecem protegidos. Por esta razão, proteger as chaves é fundamental - perder as chaves, perder os dados.

A criptografia tem uma longa história e tem sido utilizada ao longo do tempo, particularmente na guerra. Os primeiros gregos usavam cifras de transposição (um tipo de criptografia) para proteger as informações de cair em mãos inimigas. Nos tempos modernos, e com o advento da era da informação, a criptografia se tornou uma ferramenta indispensável para proteger dados e aplicações. Inicialmente utilizada principalmente em aplicações bancárias e financeiras, sua adoção se tornou generalizada em todo o espaço de transformação digital, tornando-se um requisito obrigatório em muitas indústrias regulamentadas.

Hoje, a criptografia se tornou uma melhor prática e é utilizada em um amplo espectro de aplicações e indústrias. Medida que mais e mais atividades cotidianas são realizadas on-line, garantir a confidencialidade e a integridade dessas transações é fundamental. Bancos, finanças, comércio eletrônico, governo eletrônico e saúde são apenas alguns dos muitos setores que fazem uso extensivo da tecnologia de criptografia. A maioria das pessoas usa criptografia todos os dias sem mesmo saber. Sempre que você faz uma compra on-line, as informações sobre pedidos e pagamentos são criptografadas com Segurança da camada de transporte/camada de soquete seguro (TLS/SSL) - um padrão amplamente utilizado que emprega criptografia simétrica e assimétrica para garantir conexões on-line.

A criptografia é usada para proteger a confidencialidade das informações. Organizações que processam dados sensíveis tais como sua própria propriedade intelectual (PI) e dados sobre seus clientes, incluindo informações pessoais identificáveis (PII), informações pessoais de saúde (PHI), dados de pagamento com números de cartão de crédito e outras formas de dados que estão vinculados a indivíduos são frequentemente exigidos por várias jurisdições ao redor do mundo para proteger os dados. Como as organizações armazenam cada vez mais dados sensíveis para continuar com seus negócios diários, os repositórios de armazenamento se tornaram alvos principais de ataques. Como resultado, tanto os dados em trânsito (atravessando redes) quanto os dados em repouso (em armazenamento) são tipicamente codificados para proteger contra ataques que podem comprometer sua confidencialidade, prejudicar os negócios e comprometer a reputação das organizações.

Como a informação se tornou o motor que impulsiona os negócios modernos, os dados passaram a ser um recurso importante. Entidades reguladoras governamentais e industriais em todo o mundo intensificaram os esforços para garantir a proteção de dados e a privacidade do indivíduo cujos dados estão sendo coletados. O novo ambiente regulatório fez com que a criptografia fosse a principal preocupação dos líderes organizacionais, incluindo diretores de informação (CIOs), diretores de segurança da informação (CISOs) e diretores de conformidade em muitos setores. Isto tem levado a que a criptografia seja cada vez mais incorporada em muitas aplicações. Como a criptografia dessensibiliza os dados, ela também pode desobstruir o alcance de certos regulamentos, aumentando a segurança e reduzindo os custos.

A criptografia é uma ferramenta importante para proteger as organizações contra violações de dados que podem causar danos econômicos e de reputação significativos. Entretanto, a criptografia só pode ser tão boa quanto o grau de proteção de suas chaves associadas. Se pensarmos na criptografia como a fechadura em sua porta da frente, ela só pode efetivamente proteger seus pertences se você proteger adequadamente a chave. Deixar a chave debaixo do tapete de sua porta anula a proteção que a fechadura proporciona. Se não se protege as chaves de criptografia, não adianta criptografar os dados - encontrar as chaves, acessar os dados Portanto, o bom gerenciamento da chave criptográfica é essencial para garantir a eficácia de qualquer esquema de criptografia de dados.

A gestão da chave de criptografia inclui dois aspectos principais: gestão do ciclo de vida e gestão de acesso. O gerenciamento do ciclo de vida envolve a geração, uso, armazenamento, atualização, arquivamento e destruição de chaves de criptografia essenciais. O gerenciamento de acesso garante que somente usuários autenticados e autorizados possam utilizar as chaves para criptografar e decodificar os dados. É importante destacar que os usuários de hoje incluem tanto os seres humanos quanto as aplicações (máquinas). De fato, mais máquinas normalmente precisam de acesso a dados do que pessoas reais. Para permitir a autenticação e autorização dos usuários, as pessoas e identidades das máquinas precisam ser emitidas para validação posterior. É aqui que uma infraestrutura de chaves públicas (PKI) também se torna parte de uma estratégia abrangente de gerenciamento de chaves.

A qualidade de uma chave criptográfica é medida pelo grau em que ela pode ser derrotada pela força bruta. Assim como as senhas que precisam ser fortes e não são fáceis de adivinhar, as chaves também precisam ser fortes, desenvolvidas usando geradores de números verdadeiramente aleatórios. Os Padrões Federais de Processamento de Informações (FIPS) fornecem orientação sobre o uso de geradores de números aleatórios baseados em hardware aprovados. Estes são normalmente entregues por módulos de segurança de hardware certificados (HSMs) - plataformas dedicadas que geram e gerenciam chaves fortes ao longo de seu ciclo de vida. Enquanto os HSMs têm sido tradicionalmente implantados no local, a migração para a nuvem também tornou os HSMs disponíveis como um serviço baseado em assinatura. Os HSMs baseados em nuvem fornecem plataformas de hardware dedicadas como um serviço para que os clientes possam gerar e gerenciar chaves sem a necessidade de comprar e manter seus próprios equipamentos. Ao mover aplicações e dados para a nuvem, as organizações precisam pensar em como o nível de propriedade, controle e posse muda para garantir uma forte postura de segurança em todo o ecossistema computacional em expansão.

As chaves, sejam usadas para criptografia para proteger a confidencialidade dos dados ou para assinatura para proteger sua proveniência e integridade, sustentam a segurança do processo criptográfico. Não importa quão forte o algoritmo usado para criptografar ou assinar os dados, se a chave associada for comprometida, a segurança do processo é derrotada. Por esta razão, a proteção das chaves criptográficas é de importância crítica.

Devido à natureza aleatória das chaves que descrevemos anteriormente, a localização das chaves no software pode ser de certa forma fácil de identificar. Os invasores que procuram por dados sensíveis irão atrás das chaves, pois sabem que se conseguirem as chaves, poderão obter os dados. As chaves armazenadas no software podem, portanto, ser localizadas e obtidas, colocando em perigo a segurança dos dados criptografados. Por este motivo, os HSMs devem ser sempre usados para proteger as chaves. O uso de HSMs como raiz de confiança tornou-se uma melhor prática na indústria de segurança cibernética, recomendada por profissionais de segurança e muitos dos principais fornecedores de aplicações.

Outro fator a ser levado em consideração para proteger as chaves não é apenas o acesso de invasores externos, mas também de infiltrados. O uso de HSMs para proteger e gerenciar chaves fornece mecanismos para estabelecer controles duplos, de modo que nenhum indivíduo ou entidade interna pode alterar as políticas de uso de chaves e subverter efetivamente os mecanismos de segurança estabelecidos. Esquemas de quorum onde um conjunto mínimo pré-determinado de indivíduos deve se reunir para afetar quaisquer mudanças no HSM e suas principais funções de gerenciamento também proporcionam níveis de segurança aprimorados.

Um sistema de gerenciamento chave fornece a raiz centralizada de confiança necessária para aplicar a política de segurança de dados em toda a organização. Controlando não apenas o ciclo de vida de todas as chaves, mas também mantendo registros com carimbo de data/hora de todos os acessos dos usuários, ele fornece uma ferramenta vital para auditoria e conformidade. Com as crescentes ameaças à segurança cibernética e as crescentes regulamentações governamentais e industriais, os principais sistemas de gerenciamento estão se tornando indispensáveis.

Um número crescente de regulamentações governamentais e industriais de segurança de dados exige criptografia forte e gerenciamento eficaz de chaves criptográficas para conformidade. Leis de privacidade dos cidadãos como o Regulamento Geral de Proteção de Dados da União Europeia (GDPR) e a Lei de Privacidade do Consumidor da Califórnia (CCPA), bem como regulamentações do setor como a Norma de segurança de dados do setor de cartões de pagamento (PCI DSS) entre outras reconhecem especificamente a necessidade de criptografia forte e gerenciamento de chaves, incluindo o uso de produtos certificados para facilitar a conformidade.