AWS KMS и в помещениях HSM

Question

Может ли кто-нибудь определить поток процесса для шифрования и дешифрования данных для меня, запустив локальный HSM в центре обработки данных, подключенном через туннель IPSEC к AWS.Использование нашего локального HSM для этих действий.Как протекает процесс шифрования и дешифрования объектов, данных?Данные явно не передаются по линии HSM, но что именно?Планирование хранения CMK на прем в местном HSM.

Answer 1

Данные, очевидно, не передаются по линии в HSM, но что именно?

Шифрование всех данных через локальный HSM или даже непосредственно KSM не будет очень эффективным,То, что KMS или ваш локальный HSM должны зашифровать, это ключ шифрования.

В KMS или вашем локальном HSM вы можете сгенерировать главный ключ службы / назначения.

Вы можете зашифровать данные с помощью случайного ключа шифрования, а затем зашифровать ключ шифрования данных с помощью KMS / HSM (с помощью служебного ключа).Просто сохраните идентификатор главного ключа, зашифрованный ключ данных и IV рядом с зашифрованным содержимым.