Luna Backup HSM 7 Terhubung ke Luna Network HSM 7 Menggunakan Autentikasi Kata Sandi

Dalam konfigurasi ini, Anda menghubungkan Luna Backup HSM 7 ke port USB pada perangkat Luna Network HSM 7, dan memasukkan kata sandi di LunaSH. Konfigurasi ini memungkinkan Anda melakukan operasi cadangan/pemulihan untuk semua partisi aplikasi pada HSM tersebut. Anda dapat memulihkan cadangan partisi ke partisi sumber asli atau ke partisi aplikasi Luna lain yang sudah ada yang berbagi domain kloning yang sama. Untuk menggunakan metode ini, Anda memerlukan:

• Luna Backup HSM 7 v1 atau v2
• Luna Backup HSM 7 Firmware 7.7.3 atau lebih baru memerlukan Luna Appliance Software 7.8.4 atau lebih baru yang terpasang di Luna Network HSM 7
• Luna Backup HSM 7 Firmware 7.7.1 atau lebih baru memerlukan Luna Appliance Software 7.7.0 atau lebih baru yang terpasang di Luna Network HSM 7

Bagian ini menyediakan petunjuk untuk prosedur berikut:

• Menginisialisasi Luna Backup HSM 7 untuk Autentikasi Kata Sandi
• Mencadangkan Partisi yang Diverifikasi Kata Sandi
• Memulihkan Partisi yang Diverifikasi Kata Sandi dari Cadangan

Menginisialisasi Luna Backup HSM 7 untuk Autentikasi Kata Sandi

Anda harus menginisialisasi Luna Backup HSM 7 sebelum penggunaan pertama. Anda dapat menginisialisasi HSM cadangan dengan menghubungkannya ke Luna Network HSM 7 dan menggunakan perintah LunaSH untuk melakukan inisialisasi.

Prasyarat

• Jika perlu, pulihkan Luna Backup HSM 7 dari Secure Transport Mode.

Untuk menginisialisasi Luna Backup HSM 7 untuk autentikasi kata sandi

1. Konfigurasikan Luna Network HSM 7 yang diautentikasi dengan kata sandi Anda seperti diilustrasikan di bawah ini:
   1. Buka koneksi jaringan (SSH) atau serial ke perangkat dan masuk sebagai admin, atau pengguna level admin lainnya, untuk memulai sesi LunaSH.
   2. Hubungkan HSM cadangan langsung ke Luna Network HSM 7 menggunakan kabel USB yang disertakan.

      Catatan: Luna Backup HSM 7 harus terhubung ke salah satu port USB perangkat, bukan yang ada di kartu HSM. Koneksi USB Luna Network HSM 7 menyediakan daya yang memadai, dan menghubungkan catu daya yang disertakan tidak disarankan.

2. Dapatkan nomor seri HSM cadangan, atau baca nomor seri dari layar tampilan Backup HSM.

   lunash:> token backup list

3. Inisialisasi HSM cadangan:

   lunash:> token backup init -label <label_backup_hsm> -serial <nomor_serial_backup_hsm>

   Anda akan diminta untuk menetapkan kata sandi HSM SO baru dan string domain HSM.

   Catatan: Jika organisasi Anda memerlukan kepatuhan FIPS, ada prosedur tambahan yang harus Anda selesaikan sebelum menggunakan Luna Backup HSM 7 untuk mencadangkan partisi. Lihat Mengonfigurasi Luna Backup HSM 7 untuk Kepatuhan FIPS.

Mencadangkan Partisi yang Diverifikasi Kata Sandi

Cadangan dibuat dan disimpan sebagai partisi di dalam partisi Admin pada HSM cadangan. Partisi cadangan baru dibuat pada cadangan awal. Untuk cadangan berikutnya, Anda dapat memilih untuk mengganti konten partisi cadangan yang ada dengan objek partisi sumber saat ini, atau menambahkan objek baru di partisi sumber ke partisi cadangan yang ada. Seperti semua operasi kloning, partisi sumber dan target cadangan harus diinisialisasi dengan domain yang sama.

Selain kredensial yang tercantum dalam Kredensial yang Diperlukan untuk Melakukan Operasi Cadangan dan Pemulihan, Petugas Kripto memerlukan akses level admin ke perangkat untuk mengakses perintah LunaSH partition backup dan partition restore.

Prasyarat

Sebelum memulai, pastikan Anda telah memenuhi prasyarat berikut:

• Anda dapat masuk ke Luna Network HSM 7 menggunakan akun level admin untuk mengakses LunaSH.
• Anda memiliki kredensial yang diperlukan:
  • Jika Anda membuat cadangan baru: Kata Sandi Petugas Kripto dan string domain untuk partisi sumber; Kata Sandi HSM SO untuk HSM cadangan.
  • Jika Anda menambahkan ke cadangan yang sudah ada yang diinisialisasi dengan string domain yang sama dengan partisi sumber: Kata Sandi Petugas Kripto dan string domain untuk partisi sumber; Kata Sandi HSM SO untuk HSM cadangan; Kata Sandi Partisi SO dan Petugas Kripto untuk cadangan yang sudah ada.
• Kebijakan berikut ditetapkan:
  • Kebijakan HSM 16: Izinkan replikasi jaringan harus disetel ke 1 (AKTIF) pada HSM yang menjadi host partisi pengguna.
  • [Partisi V0 atau firmware lebih lama dari Luna HSM Firmware 7.7.0] Kebijakan Partisi 0: Izinkan kloning kunci pribadi disetel ke 1 (AKTIF) pada partisi pengguna.
  • [Partisi V0 atau firmware lebih lama dari Luna HSM Firmware 7.7.0] Kebijakan Partisi 4: Izinkan kloning kunci rahasia disetel ke 1 (AKTIF) pada partisi pengguna.
• Kunci pribadi HSS (PQC) tidak dapat dikloning karena batasan inheren dari jenis kunci tersebut. Ini berarti bahwa cadangan dan sinkronisasi HA akan gagal jika kunci pribadi HSS ditemukan di partisi aplikasi Anda.

Untuk mencadangkan partisi yang diautentikasi kata sandi

1. Konfigurasikan Luna Network HSM 7 Anda seperti diilustrasikan di bawah ini:
   1. Buka koneksi jaringan (SSH) atau serial ke perangkat dan masuk sebagai admin, atau pengguna level admin lainnya, untuk memulai sesi LunaSH.
   2. Hubungkan HSM cadangan langsung ke Luna Network HSM 7 menggunakan kabel USB yang disertakan.

      Catatan: Luna Backup HSM 7 harus terhubung ke salah satu port USB perangkat, bukan yang ada di kartu HSM. Koneksi USB Luna Network HSM 7 menyediakan daya yang memadai, dan menghubungkan catu daya yang disertakan tidak disarankan.

2. Dapatkan nomor seri HSM cadangan, atau baca nomor seri dari layar tampilan Backup HSM.

   lunash:> token backup list

3. Tampilkan daftar partisi aplikasi; Anda memerlukan label untuk partisi yang Anda cadangkan.

   lunash:> partition list

4. Jika Anda berencana mencadangkan ke partisi yang sudah ada di Backup HSM, tampilkan daftar cadangan yang ada.

   lunash:> token backup partition list -serial <nomor_serial_backup_hsm>

5. Mulai operasi pencadangan:

   lunash:> partition backup -partition <label_partisi_sumber> -serial <nomor_serial_backup_hsm> [-tokenpar <label_partisi_cadangan_target>] [-tokensopwd <password_SO_backup_hsm>] [-add | -replace]

   Catatan: Anda harus menentukan -add atau -replace saat mencadangkan ke partisi cadangan yang sudah ada. Gunakan -add untuk hanya menambahkan objek baru. Gunakan -replace untuk menambahkan objek baru dan menimpa objek yang sudah ada. Anda tidak perlu menentukan opsi ini saat mencadangkan partisi V1, karena hanya SMK yang dicadangkan.

   Jika Anda menghilangkan opsi -tokenpar saat membuat cadangan baru, partisi akan diberi nama default (<nama_partisi_sumber>_<YYYYMMDD>) berdasarkan waktu dan tanggal yang ditetapkan secara internal pada HSM sumber.

   Jika operasi pencadangan terganggu (misalnya, jika Backup HSM dicabut), ruang yang tersedia penuh di Backup HSM dapat terisi oleh satu partisi cadangan. Jika ini terjadi, hapus partisi cadangan dengan lunash:> token backup partition delete sebelum mencoba kembali operasi pencadangan.

6. Tanggapi permintaan untuk kata sandi berikut, kecuali Anda menentukannya dalam opsi partition backup:
   1. Kata sandi Petugas Kripto untuk partisi sumber.
   2. Kata sandi HSM SO untuk HSM cadangan.
   3. Kata sandi Petugas Kripto untuk partisi target pada HSM cadangan (jika Anda menentukan cadangan yang sudah ada). Jika Anda membuat cadangan baru, Anda harus mengatur kata sandi CO sekarang.
   4. Jika Anda membuat cadangan baru, Anda harus memberikan string domain untuk partisi sumber — ini digunakan untuk menginisialisasi partisi cadangan baru sehingga objek dapat dikloning. Jika target Anda adalah partisi cadangan yang sudah ada, operasi hanya akan berjalan jika domain sudah cocok.

Pencadangan dimulai setelah Anda menyelesaikan proses autentikasi. Objek dicadangkan satu per satu.

Memulihkan Partisi yang Diverifikasi Kata Sandi dari Cadangan

Anda dapat memulihkan objek dari partisi cadangan yang diautentikasi dengan faktor ganda ke partisi yang sama yang semula dicadangkan, atau ke partisi lain yang telah diinisialisasi dengan string domain yang sama.

Prasyarat

Sebelum memulai, pastikan Anda telah memenuhi prasyarat berikut:

• Anda dapat masuk ke perangkat Luna Network HSM 7 menggunakan akun level admin untuk mengakses LunaSH.
• Partisi target harus diinisialisasi dengan string domain yang sama dengan partisi cadangan.
• Anda memiliki kredensial yang diperlukan:
  • Kata sandi Petugas Kripto untuk partisi target.
  • Kata sandi Petugas Kripto untuk partisi cadangan.
• Kebijakan berikut ditetapkan:
  • Kebijakan HSM 16: Izinkan replikasi jaringan harus disetel ke 1 (AKTIF) pada HSM yang menjadi host partisi pengguna yang ingin Anda pulihkan.
  • [Hanya partisi V0] Kebijakan Partisi 0: Izinkan kloning kunci pribadi disetel ke 1 (AKTIF) pada partisi pengguna yang ingin Anda pulihkan.
  • [Hanya partisi V0] Kebijakan Partisi 4: Izinkan kloning kunci rahasia disetel ke 1 (AKTIF) pada partisi pengguna yang ingin Anda pulihkan.

Untuk memulihkan partisi yang diautentikasi kata sandi

1. Konfigurasikan Luna Network HSM 7 Anda seperti diilustrasikan di bawah ini:
   1. Buka koneksi jaringan (SSH) atau serial ke perangkat dan masuk sebagai admin, atau pengguna level admin lainnya, untuk memulai sesi LunaSH.
   2. Hubungkan HSM cadangan langsung ke Luna Network HSM 7 menggunakan kabel USB yang disertakan.

      Catatan: Luna Backup HSM 7 harus terhubung ke salah satu port USB perangkat, bukan yang ada di kartu HSM. Koneksi USB Luna Network HSM 7 menyediakan daya yang memadai, dan menghubungkan catu daya yang disertakan tidak disarankan.

2. Tampilkan daftar partisi aplikasi; Anda memerlukan label untuk partisi yang akan dipulihkan.

   lunash:> partition list

3. Tampilkan daftar cadangan yang ada.

   lunash:> token backup partition list -serial <nomor_serial_backup_hsm>

4. Mulai operasi pemulihan:

   lunash:> partition restore -partition <label_partisi_pengguna_target> -tokenpar <label_partisi_cadangan> -serial <nomor_serial_backup_hsm> {-add | -replace}

   Gunakan opsi -add untuk hanya menambahkan objek baru, atau opsi -replace untuk menambahkan objek baru dan menimpa objek yang sudah ada.

   Perhatian! Jika Anda memulihkan cadangan V1 ke partisi V1, gunakan -add untuk memulihkan SMK. Gunakan -replace hanya jika Anda ingin menghapus materi kriptografi yang ada pada partisi target. Secara default, cadangan V1 hanya mencakup SMK.

5. Tanggapi permintaan untuk kata sandi berikut:
   1. Kata sandi Petugas Kripto untuk partisi target.
   2. Kata sandi Petugas Kripto untuk partisi cadangan.

Operasi pemulihan dimulai setelah Anda menyelesaikan proses autentikasi. Objek dipulihkan satu per satu.

Kiat: Kunci HSS/LMS tidak dapat dipindahkan atau disalin dari HSM tempat kunci tersebut dibuat. Jika definisi standar NIST tentang HSS atau input lainnya berubah di rilis mendatang, dokumentasi CRN dan Luna HSM lainnya akan diperbarui. Sementara itu, upaya kloning, seperti cadangan/pemulihan atau sinkronisasi grup HA, ditolak oleh HSM. Misalnya, upaya untuk mencadangkan partisi dengan konten campuran dapat menghasilkan pesan kemajuan seperti ini, di mana dua di antara objek sumber adalah kunci HSS:

Logging in as the SO on slot 127. Creating partition HSSBackuptest on slot 127. Verifying that all objects can be backed up... 8 objects found; attempting to back up 8 objects Backing up objects... Cloned object 121 to partition HSSBackuptest (new handle 429). Cloned object 120 to partition HSSBackuptest (new handle 505). Cloned object 116 to partition HSSBackuptest (new handle 506). Cloned object 115 to partition HSSBackuptest (new handle 510). Cloned object 103 to partition HSSBackuptest (new handle 511). Cloned object 102 to partition HSSBackuptest (new handle 514). Failed to clone object 100 from partition HSSBackuptest (CKR_KEY_TYPE_INCONSISTENT). Failed to clone object 97 from partition HSSBackuptest (CKR_ATTRIBUTE_TYPE_INVALID). Not all objects can be cloned. Please verify HSM configuration. Resizing partition HSSBackuptest on slot 127 to minimum necessary space. Backup Successfully Completed. 6 objects have been backed up to partition HSSBackuptest on slot 127. Command Result : No Error