ارایه سرویس های امنیت مبتنی بر HSM با هدف سیستم های بلاکچین و ارزهای دیجیتالی
از طریق رایانش ابری Cloud) – بخش دوم (HSM
برای بردن ماژول امن به ابر چند مورد حتما لازم است، اول امکان خوشه بندی و گروه بندی ماژولهای امن است که به جهت مقیاس پذیری و انعطاف پذیری لازم است. دوم امکان به اشتراک گذاری یک ماژول امن بین چند کاربر، که در مورد کاربرانی که استفاده محدود از ماژول امن دارند به کار میآید و موجب کاهش هزینه و امکان پذیری ارائه خدمات میشود. مورد سوم امکان ایجاد نسخه پشتیبان در ابر و یا با برقراری ارتباط بین توکن موجود در محل به منظور تهیه پشتیبان است، تنها کافی است شرایطی را تصور کنید که همه اطلاعات با کلیدهای ماژول امن رمز شده باشد و مشکلی برای این ماژول اتفاق بیافتد تا لزوم تهیه نسخه پشتیبان مشخص شود. چهارم امکان ارتباط امن به منظور راه اندازی ماژول امن و ایجاد کلیدها، که میتوان از یک شبکه خصوصی با قابلیت ورود از طریق پروتکل های امن استفاده کرد. پنجم وجود راهکاری به جهت برقراری ارتباط برنامههایی که نیاز با کار با ماژول امن دارند.
رایانش ابری آمازون چگونه سرویس HSM را ارائه میدهد؟
آمازون که پرطرفدارترین خدمات ابری را ارائه میدهد با توجه به نیاز کاربران و ارائه دهندگان سرویسها به امنیت دادهها و وجود محلی امن جهت ارائه خدمات نیازمند امنیت بالا به ایجاد سرویس ماژول امنیتی سخت افزاری اقدام کرده است. در این سرویس از Safe Net Luna SA به عنوان سخت افزار برقرار کننده امنیت استفاده شده است. این سخت افزار به صورت دسته شده در محلهایی در آمریکا و اروپا نگهداری میشود. آمازون به هر سرویسدهنده این امکان را میدهد تا یک یا چند دستهHSM را به کار بگیرد. هر دسته HSM همانند دیگر سرویس هایی که بر روی ابر ارائه میشود قابلیت مقیاسپذیری و انعطاف را داراست. استفاده از بیش از یک دسته ماژول امن توصیه شده است زیرا که در صورت بروز هر گونه اتفاقی، نسخه پشتیبان در محل دیگری وجود داشته باشد. آمازون در این سرویس رعایت احتیاط را حتی بیشتر نیز کرده است و میتوان از HSM موجود در ابر بر روی یک Safe Net خریداری شده و موجود در محل شرکت ، نسخه پشتبیان تهیه کرد و در صورت نیاز عملیات بازنشانی از نسخه پشتیبان بر روی سرویس ابر را انجام داد.
به منظور استفاده از سرویس HSM در آمازون هر درخواست کننده سرویس ابتدا میبایست یک شبکه مجازی خصوصی (VPC) ایجاد کرده باشد. ارتباط بین سرویس های نیازمند استفاده از ماژول امن و ماژول امن از طریق همین شبکه ایجاد و مدیریت میشود. ورود به شبکه شخصی اولین مرحله امنیت ایجاد شده در راستای راه اندازی HSM است. به این منظور از یک ارتباط SSH که توسط زیرساخت کلید عمومی امن شده است استفاده میشود .
"پس از ورود به شبکه و خریداری سرویس ماژول امن، شمای کلی شبکه به صورت زیر خواهد بود":
در این شبکه مدیریت زیرساخت ماژول امن بر عهده ارائه دهنده ابر )آمازون (و مدیریت کلیدها منحصرا در اختیار خریدار سرویس خواهد بود.
به منظور ایجاد مقیاس پذیری و انعطاف پذیری و همچنین ضریب دسترسی بالا، آمازون پیشنهاد استفاده از چند ماژول امن همزمان را میدهد. در این صورت به سرویسی به جهت متعادل کردن و تقسیم بار نیاز است. این سرویس توسط آمازون تولید شده و به ازای هر سرویس ماژول امن توسط خود سیستم اعمال می شود.
شمای شبکه داخلی در ابر خصوصی به صورت زیر خواهد بود:
در این شبکه به تعداد نواحی ممکنی که سرویس ماژول امن در آنها خریداری شده، ماژول امن و آدرس محلی اختصاص مییابد. سرویسی به منظور کنترل و هماهنگ کردن این ماژول های امن توسط آمازون ایجاد می شود. با این سرویس، عملیات مربوط به پشتیبانی و تقسیم بار به طور خودکار انجام میشود.
مزایای استفاده از یک سرویس HSM-Cloud
می توان مزایای زیادی را برای این سرویس برشمرد، که مهمترین آنها به صورت ذیل قابل ذکر است:
1- انعطاف پذیری و مقیاس پذیری که از ویژگی های اصلی سرویسهای ارائه شده در ابر است، در این سرویس نیز از مزیتهای اصلی محسوب میشود. با توجه به حجم بالای تراکنشها در سیستم های بلاکچین و تعداد مراجعه بالا
به HSM به ازای هر تراکنش، مقیاس پذیری اهمیت بیشتری پیدا میکند.
2- مزیت دیگری که مجددا در سرویسهای تحت ابر دیده میشود عدم نیاز به خرید دستگاه ماژول امن است و تنها به مقدار استفاده پرداخت صورت میگیرد. این امر امکان استفاده شرکتهای کوچکتر، علاوه بر شرکتهای بزرگ، ازامکانات ماژول امن را ایجاد میکند.
3- امکان استفاده از یک سخت افزار و رابط کاربری با کیفیت بالاتر است. در شرایط عادی، خرید دستگاه ماژول امن برای برخی شرکتها مقرون به صرفه نیست و یا بسیار هزینه بر است و در صورت وجود اجبار قانونی و یا درخواست از طرف کارفرما، شرکتها مجبور به خرید سخت افزاری با استانداردهای پایین هستند. در صورتی که با استفاده از سرویس ابری هر کاربر از امکانات ارائه شده توسط بهترین سخت افزار موجود بهرهمند میشود و به همان اندازه از رابط کاربری، مدیریت کلید و سرعت رمزنگاری بهتری برخوردار خواهد شد.
4- در دسترس بودن این سرویس توسط ارائه دهنده ابر تضمین میشود و کاربر نگرانی در مورد تامین و نگهداری سخت افزار و نرم افزار نخواهد داشت. ارائه دهنده ابر تضمین میکند تا در هر شرایطی سرویس پاسخگو نیازهای توافق شده در هنگام خرید سرویس باشد .
5- امکان ایجاد نسخه پشتیبان در ابر و یا در محل مورد نیاز مشتری در این سرویس ها وجود خواهد داشت که ضمین کننده حفظ شدن اطلاعات در صورت بروز هر گونه حادثه است .
روش استفاده از این سرویس:
با هدف استفاده مناسب از Cloud-HSM نیاز است مقدمات ذیل مدنظر قرار بگیرد:
1- نیاز به استفاده از رایانش ابری برای سرویس های مورد نیاز است که در صورتی که تا کنون از آن استفاده نشده باشد،
تغییر برنامهها به جهت استفاده از آن ممکن است با مشکلاتی همراه باشد.
2- نرم افزارها و سرویس های کیف پول و بلاک چین به طور کلی برای کار با ماژول سخت افزاری امنیتی طراحی شده اند و در صورت نیاز به ایجاد امنیت میبایست با استفاده از کتابخانهای که به برای C, .Net و Java موجود است رابطی پیاده سازی شود. که این کتاب خانه ها توسط سرویس دهنده Cloud-HSM ارائه می گردد.
3- تنها استفاده از ماژول امن برای نگهداری کلیدها ضامن امنیت نیست و برنامهای که به جهت کار با ماژول امن ایجاد میشود نیز نقش مهمی در حفظ امنیت دارد. بسیاری از حملهها با توجه به ضعف در برنامه رابط اتفاق میافتد.
4- سخت افزارهای استفاده شده می بایست استانداردهای FIPS 140-2 را پشتیبانی کند. در مورد هر یک از سرویس دنده ها می بایست تظمین امنیتی لازم در سطح FIPS ارایه گردد به عبارت دیگر کاربر به هنگام استفاده از این ماژول امن، شرکت سرویس دهنده رایانش ابرای را به عنوان معتمد پذیرفته است.
5- سرویس ماژول امن تنها در 5 محل خاص )تا زمان نوشتن این مقاله( ارائه میشود و در صورتی که بخواهیم از این سرویس استفاده کنیم، میبایست بپذیریم که کلیدهای ما در یکی از این کشورها نگهداری شود و همچنین هزینه ترافیک انتقال تا یکی از این محلها را بپذیریم.
چگونه در ایران Cloud-HSM داشته باشیم؟
با توجه به موارد بررسی شده به نظر میرسد بهترین مرجع برای ارائه این سرویس بانک مرکزی است. این انتخاب به چند جهت قابل دفاع است.
اول ((با توجه به الزام قانون به وجود مرکز صدور امضای دیجیتال بانکی، بانک مرکزی مستلزم به ایجاد چنین مرکزی است. در این صورت اولا ایجاد سرویس نیازمند هزینه مجدد ایجاد سایت نگهداری ماژولهای امن نخواهد بود و امکان ایجاد ارتباط امن با ابر بانک مرکزی با هزینه کمتر و سرعت اتصال بیشتر وجود خواهد داشت.
دوم(( وجود عنصر اعتماد به ساختاری است که توسط بانک مرکزی ارائه شود. در صورتی که این سرویس بخواهد توسط یکی از سازمانها به طور جداگانه ارائه شود به دلیل وجود رقابت و نبود اطمینان کامل مورد استقبال نخواهد بود .همچنین اگر یکی از شرکتهای خصوصی با تجربه کافی در زمینه بلاک چین نیز بخواهد به تنهایی این سرویس را راه اندازی کند، سایر سرویسها نمیتوانند در مورد اطلاعات حساس خود این شرکت را معتمد قرار دهند.
سوم ((امکان استفاده از بازوی قانون گذار است. میتوان با تصویب راهکاری همانند الزامات امنیتی پودمان های رمزنگاشتی، ارزهای دیجیتال و مراکز ارائه دهنده خدمات پرداخت را به استفاده از خدمات ابر ملزم کرد. البته همانگونه که بیان شد با توجه به مواهب رایانش ابری، اگر موانع از سر این راهکار برداشته شود، سرویس های بلاک چین و شرکت های پرداخت به طور خودکار به استفاده از ابر تمایل نشان خواهند داد.
یافته ها و نتایج
با توجه به مطالب مطرح شده و همچنین نحوه ارایه سرویس در شرکت هایی مانند آمازون، میتوان به نتایج زیر رسید:
-سرویس ماژول امن به خودی خود علت انتقال به پردازش ابری نیست بلکه از بین برنده موانع قانونی و امنیتی موجود بر سر این انتقال است.
-حفظ فاکتورهایی چون Flexibility، Secure Store، Key Management، Accessibility، Availability، Performance در
یک ساختار HSM فقط در یک شبکه رایانش ابری مقرون به صرفه می باشد.
-این سرویس به تنهایی با توجه به هزینه مقرون به صرفه نیست، اما با در نظر گرفتن هزینههای مربوط به راه اندازی و نگهداری و نیازمندی به نیروی متخصص، هزینه ها بسیار مناسب به نظر میرسد.
منابع:
http://docs.aws.amazon.com/cloudhsm/latest/gsg/cloud-hsm-best-practices.html
http://docs.aws.amazon.com/cloudhsm/latest/gsg/ha-best-practices.html
http://aws.amazon.com/cloudhsm/faqs/
http://www.rightscale.com/blog/cloud-industry-insights/aws-cloudhsm-why-you%E2%80%99ll-want-it-and-what-watch-out
http://www.bankingtech.com/236322/six-reasons-why-cloud-computing-will-transform-the-way-banks-serve-clients-and-the-five-hurdles-to-overcome
http://www.forbes.com/sites/tomgroenfeldt/2014/06/26/some-banks-are-heading-to-the-cloud-more-are-planning-to
http://blogs.aws.amazon.com/security/post/Tx1JNNFZQ3IWY5K/Benefits-of-a-Key-Hierarchy-with-a-Master-Key-Part-Two-of-the-AWS-CloudHSM-Serie
https://www.owasp.org/index.php/Cryptographic_Storage_Cheat_Sheet#Rule_-_Define_a_key_lifecycle
http://way2pay.ir
http://blogs.aws.amazon.com/security/post/Tx3I4NZ0SZEOZ48/AWS-CloudHSM-Use-Cases-Part-One-of-the-AWS-CloudHSM-Series
http://en.wikipedia.org/wiki/ATM_Controller
http://en.wikipedia.org/wiki/Public_key_infrastructure
http://www.informationweek.com/cloud/infrastructure-as-a-service/amazon-cloudhsm-aims-to-ease-security-worries/d/d-id/1109270