الإقامة تُكتب عن التخزين وتُختبر على المفتاح

بندُ إقامة البيانات يصف موقعاً. يحدّد الدولة التي يجب أن تستقرّ فيها السجلات، وطبقةُ تخزين داخل تلك الدولة تستوفيه كما هو مكتوب. أما الدليل الذي يطلبه المدقّق لاحقاً فهو واقعة من نوع آخر. إنه يتعلّق بمن يحوز المفتاح الذي يعيد تلك السجلات نصاً مقروءاً، وأين وُلّد ذلك المفتاح، وهل يمكن إلزام طرف خارج الدولة بإنتاجه. هذان النصفان يُشترَيان منفصلين، وقد يأتيان من مورّدين مختلفين.

أين تُكتب القاعدة وأين تُختبر

تصل التعليمات في جملة عن التخزين. تسمّي دولة، وتنطبق على السجلات الساكنة، ونسخةُ قاعدة بيانات داخل تلك الدولة تجيب عنها على الورق. الاختبار يأتي لاحقاً، وهو اختبار مختلف. يسأل أحدهم ماذا كان سيحدث لو طُلب من طرف خارج تلك الدولة تسليم نسخ مقروءة. الجواب لا يتوقّف على مكان النص المشفّر. يتوقّف على من يستطيع فكّ التشفير.

هذا هو النصف الذي يتركه مدير المفاتيح البرمجي مفتوحاً. المفتاح المحفوظ في البرمجيات سلسلة بايتات داخل عملية قيد التشغيل. تستطيع العملية قراءة تلك البايتات، ويمكن كتابتها في تفريغ للذاكرة عند انهيارها، وتغليفها في نسخة احتياطية واستعادتها على جهاز في دولة أخرى. لا شيء من ذلك يبدو هجوماً وهو يجري. حيازة المفتاح هي كامل الشرط اللازم لفكّ التشفير، ومن يحوز البايتات يحوز السجلات، مهما قال عقد الاستضافة عن الموقع.

ما الذي يغيّره العتاد وما الذي لا يغيّره

وحدة أمان العتاد تعكس اتجاه الطلب. يُولَّد المفتاح داخل الجهاز ويبقى فيه، ويرسل التطبيق بياناته إلى الجهاز بدل أن يطلب المفتاح. وما يعود توقيع أو نص مشفّر. التطبيق المخترَق يستطيع أن يطلب من الوحدة عمليات ما دام يحمل بيانات اعتماده، ولا يستطيع أن يحمل معه القدرة على تنفيذها لاحقاً، لأن المفتاح لم يكن بيده أصلاً. والحيازة تصير مادية كذلك. يكتسب المفتاح رقماً تسلسلياً وخزانة ودولة، ومن يستطيعون الوقوف بجواره قائمة تسلّمها للمدقّق.

وما لا يحسمه الجهاز هو الإجراء المحيط به. تنصّ PCI PTS HSM Modular Security Requirements v4.0 على أن وحدات HSM تُوضع عادةً في بيئة آمنة وتُدار بضوابط إجرائية خارج الجهاز، وعلى أن الوثيقة تغطّي إدارة الجهاز حتى لحظة استلامه في موقع التشغيل فقط. كم حارساً يلزم لاعتماد تصدير مفتاح، وهل الإدارة عن بُعد مفعّلة، وما الذي يحمي مفتاح التغليف الخاص بالنسخ الاحتياطية، كلها قراراتكم لا قرارات الشهادة. والمفتاح الذي لا يغادر الوحدة بصيغة صريحة يمكن أن يغادرها مغلّفاً، وإذا كان مفتاح التغليف لدى خدمة في دولة أخرى فالسؤال انتقل ولم يُغلق.

ماذا تؤكّده الشهادة حين تسمّيها كراسة الشروط

تُمنح شهادة Common Criteria مقابل وثيقة Security Target تذكر ما يدّعي المنتج أنه يفعله وما يفترضه عن بيئته. ومستوى ضمان التقييم المرفق بها حزمةُ متطلبات ضمان، وما يثبّته هو عمق النظر المطلوب من المقيّمين، لا مقدار الأمن الذي يحتويه المنتج. تسمّي CC:2022 Part 5 المستوى EAL4 بعبارة "methodically designed, tested and reviewed"، وتصف السلّم بأنه موازنة بين الضمان المتحصَّل وكلفة الحصول عليه وجدواه.

علامة الزائد هي الجزء الذي يستحقّ السؤال. تسمّيها Part 5 بكلمة augmentation، أي إضافة مكوّنات ضمان من عائلات لا تحتويها الحزمة، أو استبدالها بمكوّنات أعلى من العائلة نفسها، مع إلزام مقدّم الادّعاء بتبرير كل إضافة. لذلك قد يحمل جهازان مكتوب على كليهما EAL4+ إضافات مختلفة مقابل وثائق Security Target مختلفة، والمقارنة التي يستطيع المشتري إجراءها هي بين تينك الوثيقتين لا بين سلسلتَي حروف متطابقتين.

والاعتراف هو الأمر الثاني الذي يُراجَع. يعترف نصّ Common Criteria Recognition Arrangement بالشهادات التي تدّعي الامتثال لـ collaborative Protection Profile بأنشطة ضمان حتى المستوى 4 و ALC_FLR، أو بمستويات ضمان التقييم من 1 إلى 2 و ALC_FLR. وحين تؤكّد شهادة مكوّنات أعلى من ذلك، يشترط الترتيب أن تُوسَم بعبارة "CCRA recognition for components up to EAL 2 and ALC_FLR only". وعليه فإن شهادة EAL4+ تستند إلى الجهة الوطنية التي أصدرتها.

ويقول PCI HSM شيئاً من نوع آخر. هو قائمة معايير يُختبر الجهاز مقابلها، ويسمّيها المعيار الحدّ الأدنى من المعايير المقبولة لدى Payment Card Industry، مكتوبة لخفض احتمال الاحتيال والحدّ من عواقبه لا لإلغائه. ومن متطلباته المنطقية أن الجهاز يجب ألّا يكون قادراً على إخراج مفتاح تشفير PIN بصيغة صريحة. اقرأوا هذا من جهة الإقامة. فالجهاز الذي لا يملك أمراً لإخراج مفتاح صريح لا يستطيع أحد يصل إليه عبر الشبكة أن يقنعه بذلك.

والمعيار وحداتي، وهذا يهمّ فور تسعير خدمة مستضافة. المتطلبات الأساسية وأجهزة تحميل المفاتيح والإدارة عن بُعد وأمن دورة الحياة وحدات منفصلة، وأضافت v4.0 وحدة لخدمات HSM السحابية بمتطلبات الاستخدام متعدّد المستأجرين والإدارة عن بُعد. واعتماد v3.0 سابق لتلك الوحدة. كما أن الاعتمادات تنتهي صلاحيتها. في نشرة بتاريخ 2 مارس 2026 أجّل PCI Security Standards Council انتهاء اعتماد أجهزة v3 من أبريل 2026 إلى أبريل 2028، وانتهاء v4 من أبريل 2032 إلى أبريل 2033.

أربع عبارات في كراسة الشروط هي أسئلة عن حيازة المفتاح

قد لا ترد عبارة حيازة المفتاح في كراسة الشروط. ما يرد هو لغة عن التخزين والسيطرة والاعتماد.

• "يجب تخزين السجلات داخل الدولة." اسألوا هل تدخل مادة المفتاح والعملية التي تستخدمه في هذه الجملة، أم يدخل النص المشفّر وحده.
• "تحتفظ المؤسسة بالسيطرة المنفردة على مفاتيح التشفير." اسألوا هل يمكن للمفتاح أن يوجد خارج الجهاز بأي صورة، وأيّ مفتاح يحمي النسخة الاحتياطية.
• "يجب أن تُنفَّذ العمليات التشفيرية على جهاز معتمد." اسألوا أيّ وحدة من المعيار يغطّيها الاعتماد، لأن الخدمة المستضافة وجهاز الخزانة يقعان تحت وحدتين مختلفتين.
• "تتطلّب الإجراءات الإدارية سيطرة مزدوجة." اسألوا كم بيانات اعتماد حارس يفرضها الجهاز نفسه، وهل الإدارة عن بُعد داخل التهيئة المعتمدة.

إلى أين يذهب الطلب حين تتحوّل البيانات إلى موجّه

قد تنفق مؤسسة ثلاث سنوات في نقل سجلاتها إلى الإقليم الذي اختارته، ثم تضيف في بعد ظهر واحد نقطة نهاية لنموذج تُخرج السجلات نفسها مرة أخرى. الموجّه نسخة من البيانات. والأسئلة هي الأسئلة المكتوبة في هذه الصفحة، مطروحة على حِمل عمل بدل قرص. إلى أين يسافر الطلب، وأين يُعالَج، وهل يُحتفظ بشيء بعده، وعلى بنية تحتية اختارها من.

وحين يذكر الجواب التشفير، يعود السؤال التالي نفسه. من يستطيع إنتاج المفتاح. إحضار مفتاحك الخاص يعني أنك تولّده وتستورده إلى مخزن مفاتيح المزوّد، وهناك تنفّذ خدمة المزوّد العملية به. أما الاحتفاظ بمفتاحك الخاص فيعني أن المفتاح يبقى في جهازك وتستدعيه خدمة المزوّد في كل مرة يلزم فيها عمل. الفرق هو هل عبرت نسخة من المفتاح الحدّ أم لا، وهي الآلية التي تشتغل عليها أنظمة الدفع منذ سنوات، موجَّهة الآن إلى حِمل عمل أحدث.

موقع هذا الموضوع في المحفظة

البيانات والتشفير هو المجال الذي ينتمي إليه هذا السؤال، ونصفه الخاص بحيازة المفتاح عند Procenne. عائلة ProCrypt HSM تولّد المفاتيح داخل الجهاز وتنفّذ التشفير وفكّ التشفير والتوقيع فيه، فيرسل التطبيق العمل ويستلم النتيجة. ويجمع CryptAway أجهزة من أكثر من مصنّع خلف واجهة واحدة، فتُضاف السعة دون إحالة العتاد المركّب إلى التقاعد. وتذكر صفحة المنتج شهادات Common Criteria EAL4+ و PCI HSM v3.0 و PCI HSM 4.x، والتوقيع وفق XAdES و PAdES و CAdES.