Хранение ключей согласно ISO 8532.

Ключи хранят в зашифрованном виде на диске, Touch Memory и в пластиковых картах.

Стандарт ISO 8532 – устанавливает иерархию ключей, она может быть двух- и трехуровневой.

Двухуровневая:

· Ключи для шифрования ключей (КК)

· Ключи данных (ключи сеансовые, ключи рабочие) (КД)

Трехуровневая:

· Главные, мастер - ключи (ГК)

· КК

· КД

Кроме иерархии, стандартом устанавливаются и сроки хранения.

ГК - доставляется при личном контакте, хранится от нескольких недель до месяцев в защищенной от сбоев и прочной криптосистеме.

КД – в идеале должен меняться после каждого сеанса связи. Если ключи рабочие применяются для шифрования файлов, то срок действия может составлять несколько часов.

Любая информация об используемых ключах должна быть защищена, в частности храниться в зашифрованном виде.

Необходимость в хранении и передаче ключей, зашифрованных с помощью других ключей, приводит к концепции иерархии ключей. В стандарте ISO 8532 (Banking-Key Management) подробно изложен метод главных/сеансовых ключей (master/session keys). Суть метода состоит в том, что

вводится иерархия ключей: главный ключ (ГК), ключ шифрования ключей (КК), ключ шифрования данных (КД). Иерархия ключей может быть:

• двухуровневой (КК/КД);

• трехуровневой (ГК/КК/КД);

Самым нижним уровнем являются рабочие или сеансовые КД, которые применяются для шифрования данных, персональных идентификационных номеров (PIN) и аутентификации сообщений. Когда эти ключи надо зашифровать с целью защиты при передаче или хранении, используют ключи следующего уровня - ключи шифрования ключей. Ключи шифрования ключей никогда не должны использоваться как сеансовые (рабочие) КД, и наоборот.

Такое разделение функций необходимо для обеспечения максимальной безопасности. Фактически стандарт устанавливает, что различные типы рабочих ключей (например, для шифрования данных, для аутентификации и т.д.) должны всегда шифроваться с помощью различных версий ключей шифрования ключей. В частности, ключи шифрования ключей, используемые для пересылки ключей между двумя узлами сети, известны также как ключи обмена между узлами сети (cross domain keys). Обычно в канале используются два ключа для обмена между узлами сети, по одному в каждом направлении.

Поэтому каждый узел сети будет иметь ключ отправления для обмена с узлами сети и ключ получения для каждого канала, поддерживаемого другим узлом сети.

На верхнем уровне иерархии ключей располагается главный ключ, мастер-ключ. Этот ключ применяют для шифрования КК, когда требуетсясохранить их на диске. Обычно в каждом компьютере используется толькоодин мастер-ключ.