INTEGRITY Dokumentace

← Referenční architektury / reference-architecture / diagrams / security

Shoda s FIPS 140 level 3 prostřednictvím Cloudflare Application Services

Úvod

Tento dokument popisuje referenční architekturu pro dosažení souladu s Federal Information Processing Standard (FIPS) 140 Level 3 pomocí Cloudflare Application Services. FIPS 140 je standard vlády USA, který stanovuje bezpečnostní požadavky na kryptografické moduly chránící citlivé informace v počítačových a telekomunikačních systémech.

FIPS 140 definuje čtyři úrovně zabezpečení, přičemž Level 3 je nejpřísnější úrovní pro nevojenské aplikace. Vyžaduje fyzickou odolnost proti neoprávněné manipulaci, která brání neautorizovanému přístupu ke kryptografickým klíčům a kritickým bezpečnostním parametrům. Patří sem opatření jako odolné kryty, plomby prokazující manipulaci a autentizace založená na identitě.

Dosažení souladu s FIPS 140, zejména úrovně 3, je klíčové pro organizace zpracovávající citlivá data, především ty z regulovaných odvětví, jako je:

Shoda s FIPS 140 dokládá důraz na zabezpečení dat, buduje důvěru zákazníků a partnerů a zajišťuje soulad s regulatorními požadavky. Tato referenční architektura poskytuje ucelený návod, jak pomocí robustních bezpečnostních funkcí Cloudflare tyto přísné standardy splnit.

Úrovně FIPS 140-3

Organizace používají standard FIPS 140-3, aby zajistily, že hardware, který vyberou, splňuje konkrétní bezpečnostní požadavky. Certifikační standard FIPS definuje čtyři rostoucí kvalitativní úrovně zabezpečení.

Vyžaduje produkční vybavení a externě testované algoritmy.

Přidává požadavky na fyzickou odolnost proti neoprávněné manipulaci (tamper evidence) a autentizaci na základě rolí.

Přidává požadavky na fyzickou odolnost proti neoprávněnému otevření (tamper resistance) a autentizaci na základě identity. Musí být také zajištěno fyzické nebo logické oddělení rozhraní, přes která do modulu vstupují a z modulu vystupují kritické bezpečnostní parametry. Privátní klíče mohou vstupovat i vystupovat pouze v šifrované podobě. Úroveň 3 dále požaduje, aby modul detekoval a reagoval na napětí nebo teplotu mimo povolený rozsah (ochrana před selháním prostředí, EFP), případně aby prošel testováním selhání prostředí (EFT).

Tato úroveň zpřísňuje požadavky na fyzické zabezpečení: zařízení musí umět aktivně reagovat na neoprávněnou manipulaci a při zjištění různých forem útoku na prostředí vymazat svůj obsah. Vyžaduje se ochrana EFP, ochrana proti fault injection a vícefaktorové ověřování.

Klíčové komponenty

Přehled architektury

Diagram architektury níže znázorňuje klíčové komponenty a tok dat potřebné pro dosažení shody s FIPS 140 Level 3 pomocí Cloudflare Application Services a všech jejích požadovaných komponent.

flowchart TB
  User((User/Client)) --> |1.SNI = keyless.example.com| CF[Cloudflare Edge Network]

  subgraph CF [Cloudflare Edge]
      KeylessSSL[Keyless SSL Service]
  end

  subgraph Private[Private Infrastructure]
      Tunnel[Cloudflare Tunnel]
      HSM[Hardware Security Module]
  		KeylessModule[Keyless Module]
  end

  Tunnel -->|2.Establish tunnel| KeylessSSL
  KeylessSSL -->|3.Keyless operation required| Tunnel
  Tunnel -->|4.Forward to HSM| KeylessModule
  KeylessModule -->|5.Key Operations via PKCS11| HSM

  classDef cloudflare fill:#F6821F,stroke:#fff,stroke-width:2px,color:#fff
  classDef aws fill:#232F3E,stroke:#fff,stroke-width:2px,color:#fff
  classDef default fill:#fff,stroke:#000,stroke-width:2px, color:#000

  class CF,KeylessSSL,Tunnel,KeylessModule cloudflare
  class HSM aws
  class User default
  1. Uživatel/Klient: Zahájení HTTPS požadavku na doménu chráněnou Cloudflare. Rozšíření Server Name Indication (SNI) v požadavku uvádí název domény, například keyless.example.com. Tato doména je namapována na certifikát deklarovaný jako keyless, což znamená, že se do Cloudflare importuje pouze veřejný klíč, avšak zároveň se deklaruje keyless listener pro následné operace s klíčem.
  2. Navázání zabezpečeného tunelu Cloudflare: Cloudflare tunel komponenta slouží k navázání zabezpečeného a spolehlivého připojení ke globální síti Cloudflare. Perimetr opouští pouze odchozí provoz, který lze navíc omezit pomocí firewallu. Toto zabezpečené připojení se pak používá jako zabezpečená overlay vrstva pro klíčové operace.
  3. Klíčové operace: Cloudflare SSLzjistí, že je potřeba operace keyless, a odešle všechny operace s klíči do modulu keyless nainstalovaného v privátní infrastruktuře. Veškerý provoz prochází dříve vytvořeným zabezpečeným tunelem.
  4. Modul Keyless: modul keyless odpovídá za předávání klíčových operací do Hardware Security Module (HSM) za účelem kryptografických operací. Keyless modul je softwarová komponenta, která funguje jako proxy mezi Cloudflare a HSM a zajišťuje, že soukromý klíč nikdy neopustí HSM.
  5. Klíčové operace přes PKCS11: HSM provádí kryptografické operace pomocí privátního klíče bezpečně uloženého uvnitř HSM. HSM je zařízení odolné proti neoprávněné manipulaci, které bezpečně spravuje kryptografické klíče a provádí kryptografické operace, čímž zajišťuje nejvyšší úroveň zabezpečení citlivých dat.

Další čtení