답변:
나는 비즈니스의 지속적인 성공을 위해 CA 키의 보안이 중요한 회사에서 근무했습니다. 이를 위해 키는 암호를 해독하기 위해 터미널에 꽂혀있는 물리적 토큰이있는 사람이 2 명 이상 있어야하는 사용자 지정 프로토콜을 사용하여 암호화되었습니다 (이 토큰 중 5 개 이상이 결합되어 작동합니다). 터미널은 실제 키와 CA 키를 사용하여 물리적으로 분리되었습니다. 사용자가 암호를 해독 한 인터페이스는 암호 토큰을 입력 한 다음 키로 '서명'하려는 항목을 선택하여 암호 해독 된 키에 대한 액세스 권한을 부여하지 않는 VT220 터미널이었습니다. 이 시스템은 데이터 센터에 액세스 한 사람, 토큰 보유자 2 명,
이러한 종류의 설정에 대한 자세한 내용은 Bruce Schneier가 컴퓨터 보안 설계 및 구현을 다루는 훌륭한 사이트를 보유하고 있습니다.
또한 필자는 이와 같은 시스템의 기본 사항과보다 안전한 인프라를 설계하는 방법 (포켓 프로텍터를 착용하지 않은 사람들이 읽을 수 있음)을 이해하는 데 도움이되는 Applied Cryptography라는 책을 출판했습니다.
한 가지 큰 장점은 전용 컴퓨터의 개인 CA 키를 네트워크에서 완전히 차단하는 것입니다. 그런 다음이 컴퓨터에서 새 인증서에 서명하고 생성 한 다음 물리적 미디어를 사용하여 새 인증서를 CA 컴퓨터로 전송합니다.
물론 설치와 같은 시스템의 물리적 가용성에 대한 고려 사항과 허용되는 미디어에 대한 제한 사항도 포함됩니다. 잘 여행 된 USB 스틱은 아마도 최선의 선택이 아닙니다 ...
(이것은 보안과 편의성 간의 절충에 대한 분명한 예입니다.)
나는 다른 두 가지 대답을 찬성했고 그 둘 다 우수하다고 생각하기 때문에 그에 대해 언급했습니다. 경우 당신이 그들 모두를 위해 이동하기로 결정하고, 그 힘이 아니라, 내가 적절 강하게 키를 손상시킬 수있는 가장 좋은 시간은 사용하지 않기 때문에 키의 초기 세대의 조언 관리, (여기서 많은 표준, 반복 예방 조치가 될 수 있습니다 적용)하지만 생성 시간에 일회성으로 훨씬 더 쉽게 파괴 할 수 있습니다.
키 생성 행사를 수행하기위한이 훌륭한 안내서는 키 생성 을 보장하는 데 도움이 될 수있는 표준 프로토콜 중 일부를 개략적으로 설명합니다. 실행자 이외의 사람이 작성한 사전 결정된 프로토콜에 따라 수행되는 모든 것 (c).
심각도에 따라 FIPS 140-2 ( http://en.wikipedia.org/wiki/FIPS_140#Security_levels ) 하드웨어를 사용하여 CA 키와 해당 키의 백업을 저장하는 것을 고려해야 합니다. 루트 CA를 오프라인으로 물리적으로 안전하게 유지할 수 있도록 하나의 루트 CA와 하나의 중간 CA가 있어야합니다. 루트는 새로운 중간 CA를 갱신하거나 서명하는 데만 필요한 반면 중간 CA는 일상적인 작업을 위해 온라인 상태를 유지합니다. 다른 사람들이 제안했듯이, n 개의 m 제어를 통한 안전한 키 생성 및 키 관리 가 중요합니다.
VeriSign (현재 시만텍) CPS는 상용 CA가 키를 생성하고 보호하는 방법에 대한 좋은 참고 자료입니다. 5 장과 6 장, 특히 http://www.verisign.com/repository/cps/를보십시오 . (나는 몇 년 동안 VeriSign에서 근무했습니다)
또한 NIST에는 키 관리 ( http://csrc.nist.gov/publications/drafts/800-57/Draft_SP800-57-Part1-Rev3_May2011.pdf ) 및 생성 에 대한 몇 가지 훌륭한 간행물이 있으며 회사에는 CPS가 있어야합니다. CA 관리에 사용하는 정책 및 사례를 지정합니다. IETF는 다음과 같은 훌륭한 템플릿을 제공합니다. http://www.ietf.org/rfc/rfc2527.txt
좋은 질문과 좋은 답변들도 있습니다.
맹목적으로 요금을 청구하는 대신이 문제를 고려하면 대부분의 다른 사람들보다 약 90 % 앞서는 것을 명심하십시오.
그것을 명심하고 여기에 다른 조언을 취한 후에, 나는 단순히 다음과 같이 덧붙일 것입니다 : 당신의 월계관에 안주하지 마십시오; 인증서 발급, 해지, 크래킹 등과 관련된 일반적인 문제와 취약성 및 키 생성 및 관리에 사용하는 특정 제품의 문제에 대한 보안 및 암호화 뉴스를 주시하십시오.
마지막 : 물리적 보안. 건물에서 계약업자로 일을 한 다음 루트 인증서가 들어있는 디스크를 하루 안에 주머니에 넣을 수 있다면 '해커 증명'을하는 것은 도움이되지 않습니다. 얼마나 많은 사람들이 그 사람을 그리워하는지 놀랄 것입니다.