Securosys, da Suíça, lança agente de gerenciamento de chaves externas para Azure

De acordo com pt.wedoany.com-A fabricante suíça de módulos de segurança de hardware, Securosys, lançou um agente de gerenciamento de chaves externas para o Microsoft Azure. A solução suporta o gerenciamento de chaves externas no ambiente Azure Key Vault Managed HSM, voltada principalmente para empresas de setores regulamentados, como finanças, saúde e setor público, permitindo que mantenham o controle sobre as chaves de criptografia enquanto utilizam serviços em nuvem.

O ponto central do gerenciamento de chaves externas é que "o material da chave não entra na plataforma de nuvem". As empresas geram, armazenam e gerenciam chaves no Securosys Primus HSM ou CloudHSM, enquanto o lado do Azure Key Vault Managed HSM retém apenas as referências de chaves externas, controle de acesso e capacidade de auditoria. Quando um serviço do Azure precisa realizar operações criptográficas, como encapsulamento ou desencapsulamento de chaves, a solicitação é enviada ao Managed HSM e, em seguida, encaminhada pelo Securosys EKM Proxy ao ambiente HSM externo controlado pela empresa para concluir o cálculo, com o resultado retornado ao serviço do Azure. Dessa forma, os sistemas de negócios ainda podem usar as interfaces de gerenciamento de chaves e o sistema de permissões do ecossistema Azure, mas o material principal da chave permanece dentro do limite do HSM próprio ou controlado pelo cliente.

Esse tipo de solução atende principalmente setores altamente regulamentados. Instituições financeiras, de saúde e o setor público geralmente precisam atender a requisitos de soberania de dados, soberania de chaves, rastreamento de auditoria e isolamento de conformidade, não podendo depender apenas do gerenciamento de chaves pela plataforma de nuvem.

O Securosys EKM Proxy atua como um conector na arquitetura. Ele conecta o Azure Key Vault Managed HSM ao ambiente Securosys HSM, permitindo que os serviços do Azure chamem chaves externas para realizar operações criptográficas controladas. O link de comunicação usa autenticação TLS bidirecional, onde o Managed HSM e o serviço proxy precisam se autenticar mutuamente antes de processar as solicitações; a interface do proxy é responsável apenas pelas operações criptográficas, não substituindo o gerenciamento do ciclo de vida das chaves no HSM externo. A geração, backup, rotação, destruição e recuperação de chaves ainda precisam ser concluídas no ambiente Securosys HSM, o que significa que, ao obter o controle das chaves, as empresas também assumem uma responsabilidade mais completa pela operação e manutenção das chaves.

Para a arquitetura de segurança em nuvem empresarial, o gerenciamento de chaves externas não é simplesmente "adicionar uma camada extra de criptografia", mas sim alterar o limite de controle das chaves. O modelo tradicional de chave gerenciada pelo cliente geralmente ainda coloca as chaves no serviço de gerenciamento de chaves da plataforma de nuvem, enquanto o gerenciamento de chaves externas mantém o material principal da chave no HSM controlado pelo cliente, com a nuvem retendo apenas informações de referência e controle de permissão. Empresas regulamentadas podem continuar usando aplicativos, armazenamento, bancos de dados e serviços em nuvem do Azure, enquanto executam a chave raiz de criptografia principal em um módulo de segurança de hardware independente, atendendo aos requisitos de controle de risco interno, auditoria regulatória e governança de dados transfronteiriços.

A solução também impõe requisitos em relação à latência do sistema, caminho de rede e capacidade do HSM. Quando os serviços do Azure chamam chaves externas, passam por três etapas: Managed HSM, EKM Proxy e HSM externo. As empresas precisam garantir que o serviço proxy esteja acessível, a configuração do certificado esteja correta, o cluster HSM tenha capacidade de processamento suficiente e que os logs de auditoria do lado do proxy e do HSM sejam registrados. Para operações criptográficas de alta frequência, sistemas de transações financeiras, plataformas de dados de saúde e cargas de trabalho governamentais em nuvem, a implantação do gerenciamento de chaves externas ainda precisa ser validada em termos de disponibilidade, failover, processo de rotação de chaves e ciclo de auditoria.

Com o lançamento do agente de gerenciamento de chaves externas para Azure pela Securosys, sua capacidade HSM se integrará ainda mais ao sistema de segurança de nuvem pública mainstream. Os próximos focos de implementação incluirão a configuração de conexão do Azure Managed HSM, implantação do Securosys Primus HSM ou CloudHSM, gerenciamento de certificados mTLS, coordenação do ciclo de vida das chaves, auditoria de conformidade e planos de migração para clientes de setores regulamentados.