如何在microsoft azure Vault中配置RSA HSM私钥和公钥？

Question

我必须在azure密钥库中配置RSA、HSM公钥和私钥，并以加密形式保存数据。

Answer 1

为了增加保证，当您使用Azure Key Vault时，您可以在硬件安全模块中导入或生成从不离开HSM边界的密钥。这种情况通常被称为带来您自己的钥匙，或BYOK。HSM是经过FIPS 140-2级别2验证的。Azure Key Vault使用nCipher nShield系列HSM来保护您的密钥。

有关通过Internet生成和传输受HSM保护的密钥的详细信息：

• 您可以从脱机工作站生成密钥，这样可以减少攻击面。
• 密钥是用密钥交换密钥(KEK)加密的，该密钥在传输到Azure key Vault HSMS之前一直保持加密状态。只有加密版本的密钥离开原始工作站。
• 工具集设置承租人密钥的属性，该属性将您的密钥绑定到Azure key Vault安全世界。所以在Azure Key Vault HSM接收并解密您的密钥后，只有这些HSM可以使用它。无法导出密钥。此绑定由nCipher HSMS强制执行。
• 用于加密密钥的密钥交换密钥(KEK)是在Azure Key Vault HSMs中生成的，不可导出。HSMs强制规定，在HSMs之外，不可能有明确的KEK版本。此外，该工具集还包括来自nCipher的证明，即KEK是不可导出的，并且是在nCipher制造的真正HSM中生成的。
• 工具集包括来自nCipher的证明，即Azure Key Vault安全世界也是在nCipher制造的真正HSM上生成的。此证明向您证明Microsoft使用的是正版硬件。
• Microsoft在每个地理区域中使用单独的KEK和单独的安全世界。这种分离确保了您的密钥只能在您加密它所在区域的数据中心中使用。例如，来自欧洲客户的密钥不能用于北美或亚洲的数据中心。