La eficacia de la encriptación de flujos de fusión reside en una infraestructura de clave pública externa para administrar las claves privadas. Toda la seguridad del sistema se basa en el hecho de que las claves privadas permanecen secretas. Por lo tanto, la transferencia y el manejo de las claves privadas deben realizarse de manera segura.
Salvaguardar las claves privadas
La forma más segura de manejar un par de claves público-privadas es generar los certificados de cifrado directamente en la máquina del cliente, luego asignar este certificado (solo la parte de clave pública) al Archiver responsable de realizar el cifrado. De esta manera, reduce la superficie de ataque garantizando que la clave privada nunca abandone la máquina del cliente donde se utiliza.
Si desea utilizar la misma clave privada en varias máquinas cliente, asegúrese de distribuirla de forma segura. Utilice una contraseña segura para encriptar la clave privada mientras esté en tránsito. Para aprender a hacer esto, consulte Exportar un certificado con la clave privada.
Después de haber instalado todas las copias de la clave privada en las máquinas de clientes, puede eliminar de manera segura los archivos temporales que se utilizaron para distribuir la clave privada.
Prevención de divulgación de clave privada
- Marcar claves privadas como no exportables
- Para evitar que los clientes de Windows extraigan claves privadas, puede marcar las claves privadas como no exportables.
Establece el indicador no exportable cuando importa un certificado.
Así es como:- Cree un certificado y exporte las claves públicas y privadas en formato PFX. Use una contraseña segura para cifrar la clave privada.
- Importe solo la clave pública para los servidores Archiver.
- Importe la clave privada para cada máquina individual y configure la clave privada como no exportable.
certutil -importPFX [PFXfile] NoExport - Cuando se haya importado la clave privada para todas las máquinas, destruya el archivo PFX original.
IMPORTANTE: Hay aplicaciones de terceros que no aplican la marca no exportable. Debido a que es posible exportar claves privadas mediante el uso de estas aplicaciones de terceros, marcar las claves privadas como no exportables no es completamente infalible. - Ejecute la cuenta del operador en modo no privilegiado
- Puedes prevenir tu Security Desk que los usuarios exporten las claves privadas instalando los certificados en la tienda local de computadoras en lugar de las tiendas personales de los usuarios, y negándoles privilegios de administrador. Sin embargo, Security Desk todavía necesita tener acceso a las claves privadas. Esto significa que necesitas correr Security Desk como administrador e ingrese la contraseña para Security Desk usuarios.
- Restrinja el uso de aplicaciones a través de la Política de grupo de Windows
- Puedes prevenir el Security Desk los usuarios acceden a las claves privadas bloqueando las herramientas utilizadas para manipular los certificados, como certmgr.msi , a través de la Política de grupo de Windows.
Crear una copia de seguridad de clave privada
Si pierde sus claves privadas, no puede recuperar sus datos cifrados. Se recomienda que utilice una máquina cliente de respaldo segura para crear un certificado de cifrado adicional para todos los datos que cifra. La clave privada correspondiente a este certificado no debe utilizarse en ninguna otra máquina cliente. El único propósito de esta máquina de copias de seguridad es que usted cuente con una solución de recuperación en caso de que se pierdan todas las claves privadas utilizadas en sus máquinas de cliente.