Запечатывание и распечатывание хранилища

Данные, хранящиеся в StarVault, зашифрованы. Для расшифровки данных StarVault необходим ключ шифрования, который также хранится вместе с данными (в связке ключей). Он зашифрован другим ключом шифрования — корневым ключом.

Следовательно, для расшифровки данных StarVault необходимо расшифровать ключ шифрования, и для этого потребуется корневой ключ. Расшифровка — это процесс получения доступа к этому корневому ключу. Корневой ключ хранится вместе со всеми остальными данными StarVault, но зашифрован с помощью еще одного механизма — ключа расшифровки.

Конфигурация StarVault по умолчанию использует схему Шамира.

Вместо того чтобы передавать ключ расшифровки оператору в виде единого ключа, StarVault использует алгоритм, известный как разделение секрета Шамира, для разделения ключа на части. Для восстановления ключа расшифровки требуется определенное количество частей, после чего ключ используется для расшифровки корневого ключа.

Таким образом, доли ключа добавляются по одной (в любом порядке), пока не будет достаточно долей для восстановления ключа и расшифровки корневого ключа.

Для запуска распечатки создайте API-запрос или выполните команду:

В процессе сохраняется состояние: каждый ключ распечатывания можно ввести с помощью нескольких механизмов и с нескольких клиентских машин. Поэтому каждую часть корневого ключа можно держать на отдельной клиентской машине, тем самым повысив безопасность.

Обратите внимание, что при использовании схемы Шамира с несколькими узлами каждый узел должен быть распечатан с помощью порогового количества частей ключа. Частичное распечатывание каждого узла не распространяется по кластеру.

Узел StarVault остается распечатанным, пока не произойдет одно из следующих событий:

Для запечатывания StarVault используется API. В результате запечатывания корневой ключ в памяти будет сброшен, и, чтобы восстановить работоспособность StarVault, придется снова его распечатать. Для запечатывания требуется только один оператор с root-привилегиями.

Таким образом, при вторжении данные StarVault можно быстро заблокировать для минимизации ущерба. К ним нельзя будет получить доступ снова, пока нет доступа к частям корневого ключа.

Автоматическое расшифрование упрощает защиту ключа расшифрования. Эта функция перекладывает ответственность за защиту ключа расшифрования от пользователей на доверенное устройство или службу. При запуске StarVault подключается к устройству или службе, выполняющей защиту, и запрашивает у них расшифровку корневого ключа, считанного StarVault из хранилища.

Помимо распечатывания, в StarVault есть и другие операции, требующие кворума пользователей, например, генерация корневого токена. Если используется схема Шамира, то для авторизации этих операций должны быть предоставлены ключи распечатывания. Если же происходит автоматическое распечатывание, то для этих операций требуются ключи восстановления.

Подобно тому, как процесс инициализации с использованием печати Шамира позволяет получить ключи распечатывания, инициализация с использованием автоматического распечатывания позволяет получить ключи восстановления.

По-прежнему можно заблокировать узел StarVault с помощью API. В этом случае StarVault останется запечатанным до перезапуска или использования API распечатывания, который при автоматическом распечатывании требует фрагментов ключа восстановления вместо фрагментов ключа распечатывания, предоставляемых Shamir. Процесс остается тем же.

Рекомендуется ознакомиться с примерами механизмов дополнительной защиты данных.

При инициализации StarVault с использованием HSM или KMS оператору возвращаются не ключи разблокировки, а ключи восстановления. Они генерируются из внутреннего ключа восстановления, который разделяется с помощью механизма разделения секрета Шамира, аналогично тому, как StarVault обрабатывает ключи разблокировки при работе без HSM или KMS.

Подробности об инициализации и повороте приведены ниже. При выполнении операции, использующей ключи восстановления, например generate-root, выбор ключей восстановления для этой цели, а не ключей разблокировки барьера, происходит автоматически.

Из-за технических особенностей реализации для изменения способа запечатывания придется на короткое время отключить весь кластер. Изменение способа запечатывания происходит довольно редко, в отличие от других видов простоя.