[Gprre]

Taki case:
Przez RODO i szczególną wrażliwość danych, klientowi zależy na tym, żeby klucze szyfrujące użytkowników były maksymalnie separowane od danych. Maksymalnie - czyli też na poziomie organizacyjnym. Chciałby, aby użytkownik najpierw musiał uderzyć do Zaufanej Strony Trzeciej, która jest innym przedsiębiorstwem. Tam dostawałby klucz, który mielibyśmy dostępny tylko na czas sesji. Zachodziłyby przy tym prawne implikacje w rodzaju powierzanie danych, umowy itp.
Kojarzycie takie rozwiązania/takie przedsiębiorstwa? Nasuwają się Key-Managmenty np AWS. Raczej chodzi o firmę zlokalizowaną w Polsce i to ważne - to z nią użytkownik miałby zawierać umowę na przechowywanie kluczy. My nie mamy mieć tam żadnego dostępu. Ostatecznie możemy założyć taką firmę ;)
#it #kryptografia #security #bezpieczenstwo

[norther]

@Gprre: Jedyne co mi się kojarzy to w aws hms. gdzie dostajesz własną maszynę do przechowywyania kluczy.

[Gprre]

@norther: Właśnie problem w tym: własną. Klient chce, żebyśmy stanęli na uszach, byleby nie mieć nawet teoretycznego dostępu do kluczy poza sesją użytkownika. Ofc to nie załatwiałoby sprawy ;) ale użytkownik miałby czuć, że zrobiliśmy wszystko co możliwe.

[norther]

@Gprre: No wiesz jak oni sobie skonfigurują hmsa to tylko oni będą mieli do niego dostęp.

[Gprre]

Może źle to napisałem - klient chce nie mieć dostępu do kluczy. Przy takim rozwiązaniu to każdy użytkownik (może być ich setki) musiałby konfigurować hmsa.

[sezzart]

@Gprre: kerberos?

[D.....n]

@Gprre: cyberARK ma coś takiego jak external storage

[virusriddle]

@Gprre: A nie możecie postawić sprzętowego HSM?
https://perceptus.pl/oferta/hsm/
I organizacyjnie wymusić, by ewentualne dostępy do tego wymagały obecności 2 osób z 2 firm (rozdaje się karty dostępu pomiędzy 2 przedsiębiorstwa itp)