Administre la clave principal de su propio cliente
Esta función no es compatible con Webex for Government.
Como parte de nuestro compromiso con la seguridad de extremo a extremo, Webex tiene una clave principal en nombre de cada organización. Lo llamamos clave principal porque no cifra el contenido directamente, pero se usa para cifrar otras claves de su organización que cifran el contenido. El nivel base de la jerarquía de claves se denomina clave de contenido (CK) y los niveles intermedios de las claves se denominan claves de cifrado de claves (KEK).
Reconocemos que algunas organizaciones prefieren administrar su propia seguridad, por lo que le estamos dando la opción de administrar su propia clave principal del cliente (CMK). Esto significa que asume la responsabilidad de crear y rotar (volver a cifrar) la clave principal que Webex utiliza para cifrar sus claves de cifrado de contenido.
En el futuro, una clave se refiere a la CMK a menos que se especifique lo contrario.
Cómo funciona
-
Webex mantiene su CMK en un módulo de seguridad de hardware (HSM) para que los servicios de Webex no tengan acceso al valor CMK.
-
Control Hub muestra su CMK actualmente activa o revocada y cualquier CMK pendiente que esté almacenada en el HSM. Cuando necesita rotar (volver a cifrar) el CMK, genera su nuevo CMK y lo cifra con la clave pública del HSM, de modo que solo el HSM pueda descifrarlo y almacenarlo.
-
Luego cargue y active el nuevo CMK en Control Hub. Webex comienza inmediatamente a usar el nuevo CMK para cifrar sus claves de contenido. Webex conserva la antigua CMK, pero solo hasta que esté seguro de que sus claves de cifrado de contenido están aseguradas por la nueva CMK.
No volvemos a cifrar retroactivamente todo el contenido existente. Una vez que active su CMK, todo el contenido nuevo (Espacios y reuniones) se vuelve a cifrar y se protege.
Reconocemos que algunas organizaciones prefieren administrar su propia clave fuera de Webex. Por eso le damos la opción de administrar su propio CMK en el Servicio de administración de claves (KMS) de Amazon Web Services (AWS). Esto implica que es responsable de administrar sus claves en AWS KMS. Autoriza a Webex a cifrar y descifrar mediante su clave AWS KMS a través de la consola de AWS. Proporciona a Webex su ID de clave de AWS KMS en lugar de su CMK. Esto significa que asume la responsabilidad de crear y rotar (volver a cifrar) la clave AWS KMS que Webex utiliza para cifrar sus claves de cifrado de contenido en la nube.
Cómo funciona
-
Cree una clave con AWS. AWS KMS se utiliza para administrar su clave y la almacena en un módulo de seguridad de hardware (HSM).
-
Proporciona a Webex acceso para usar la clave AWS KMS a través de la consola de AWS.
Esto significa que en lugar de cargar su CMK en Control Hub, le proporciona a Webex acceso a la clave AWS KMS. La clave de AWS KMS no deja su AWS KMS y los servicios de Webex no tienen acceso al material clave de AWS KMS.
Control Hub muestra su clave AWS KMS actualmente activa o revocada y cualquier clave de AWS KMS pendiente que esté almacenada en AWS KMS. Cuando necesite rotar la clave AWS KMS, genere su nueva clave AWS KMS con la consola de AWS KMS.
-
A continuación, agregue y active la nueva clave AWS KMS en Control Hub, proporcionándole el nombre de recurso de Amazon (ARN) de la nueva clave AWS KMS. Webex comienza inmediatamente a usar la nueva clave AWS KMS para cifrar sus claves de contenido. Webex ya no requiere la antigua clave AWS KMS. La antigua clave AWS KMS desaparecerá de Control Hub después de que sus claves de cifrado de contenido sean rotadas y aseguradas por la nueva clave AWS KMS. Webex no elimina la clave AWS KMS de AWS KMS. El administrador del cliente puede quitar la clave de AWS KMS.
Ciclo de vida clave
Definiciones de estado clave
- Pendiente
-
Una clave en este estado se almacena en el HSM pero aún no se usa para el cifrado. Webex no usa esta CMK para el cifrado.
Sólo una llave puede estar en este estado.
- Activo
-
Webex está utilizando actualmente este CMK para cifrar otras claves para su organización.
Sólo una llave puede estar en este estado.
- Rotación
-
Webex está usando temporalmente esta CMK. Webex lo necesita para descifrar sus datos y claves que anteriormente estaban cifradas por esta clave. Esta clave se retira cuando se completa la rotación (recifrado).
Varias llaves pueden estar en este estado si se activa una nueva llave antes de que se complete la rotación.
- Jubilado
-
Webex no está usando esta CMK. Esta clave ya no se usa para el cifrado. Se establece un tiempo de vida clave, después de lo cual esta clave se elimina del HSM.
- Revocado
-
Webex no está usando esta CMK. Incluso si hay datos y claves cifrados con esta clave, Webex no puede usarla para descifrar los datos y las claves.
- Solo necesita revocar una clave activa si sospecha que está comprometida. Esta es una decisión seria porque impide que muchas operaciones se comporten correctamente. Por ejemplo, no podrá crear nuevos espacios y no podrá descifrar ningún contenido en Webex Client.
- Sólo una llave puede estar en este estado. Debe reactivar esta clave para rotar (volver a cifrar) una nueva clave.
- Esta CMK se puede eliminar, pero no tiene que eliminarla. Es posible que desee guardarlo para descifrarlo o volver a encriptarlo después de resolver la supuesta violación de seguridad.
- Eliminado
-
Webex no está usando esta CMK. El comportamiento en este estado es el mismo que el estado Revocado, excepto que se establece un tiempo de vida clave, después de lo cual esta clave se elimina del HSM.
- Si una CMK eliminada progresa al estado Eliminado, debe recuperar la clave original para restaurar la funcionalidad de la organización.
- Le recomendamos que guarde una copia de seguridad de su clave original, de lo contrario su organización ya no será funcional.
- Eliminado
-
Este es un estado lógico. Webex no tiene este CMK almacenado en el HSM. No se muestra en Control Hub.
Propiedad
Al tomar posesión de su CMK, debe:
- Apunte la responsabilidad de la creación segura y la copia de seguridad de sus claves
- Comprenda las implicaciones de perder sus llaves
- Vuelva a cifrar su CMK activo al menos una vez al año como mejor práctica
Creación de claves
Debe crear su propio CMK usando estos parámetros. Su clave debe ser:
- 256 bits (32 bytes) de longitud
- Cifrado con el esquema RSA-OAEP
- Cifrado con la clave pública de HSM en la nube de Webex
Su software de generación de claves debe ser capaz de:
- Función hash SHA-256
- Función de generación de máscara MGF1
- Relleno PKCS #1 OAEP
Consulte Ejemplo: Crear y cifrar claves con OpenSSL en la pestaña Recursos de este artículo.
Autorización
Debe tener acceso a su organización Webex en Control Hub. Debe ser un administrador completo para administrar su CMK.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . Para habilitar BYOK, active Bring Your Own Key (BYOK). Si deshabilita BYOK, la clave predeterminada común de Webex se convierte en la clave principal de su organización. |
| 3 |
Seleccione Cargar una clave personalizada y haga clic en Siguiente. |
| 4 |
Haga clic en Descargar clave pública. Guarde la clave pública de Webex HSM en un archivo.pem en su sistema local. |
| 5 |
Cree una clave aleatoria de 256 bits (32 bytes) criptográficamente segura utilizando su software de administración de claves . |
| 6 |
Utilice la clave pública de Webex HSM para cifrar su nueva clave. Los parámetros de cifrado requeridos son:
Consulte Ejemplo: Crear y cifrar claves con OpenSSL en la pestaña Recursos de este artículo.
|
| 7 |
Arrastre la clave cifrada desde su sistema de archivos y suéltelo en el área de carga de la interfaz de Control Hub, o haga clic en Elegir un archivo. |
| 8 |
Haga clic en Siguiente. Webex carga su clave al HSM, donde se descifra y valida. Entonces Control Hub le muestra el ID de su nuevo CMK y el ID del CMK actualmente activo, si lo hay. Si esta es su primera CMK, la clave activa actualmente es la clave predeterminada común de Webex (la que usamos actualmente para cifrar las claves de su organización). |
| 9 |
Elija cómo quiere activar su clave:
|
Qué hacer a continuación
No volvemos a cifrar retroactivamente todo el contenido existente. Una vez que active su CMK, todo el contenido nuevo (Espacios y reuniones) se volverá a cifrar y protegerá.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la CMK activa. |
| 4 |
Haga clic |
| 5 |
Cree y encripte una nueva clave (si aún no lo ha hecho). El proceso se describe en Crear y activar su clave principal de cliente en
este artículo.
|
| 6 |
Arrastre la nueva clave de su sistema de archivos y suéltelo en Control Hub. |
| 7 |
Haga clic en Activar nueva clave. La nueva clave que cargó va al estado Activo. El antiguo CMK permanece en Rotación (estado de recifrado) hasta que Webex termine de cifrar todo su contenido con el nuevo CMK activo. Después de volver a encriptar, la llave se traslada al estado Retirado. Luego, Webex elimina el CMK antiguo. |
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la clave activa. |
| 4 |
Haga clic |
| 5 |
Confirme la revocación de la clave. Puede tomar hasta 10 minutos para revocar completamente su llave.
|
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la llave actualmente revocada. |
| 4 |
Haga clic |
| 5 |
Confirme la activación de la clave. La clave previamente revocada pasa al estado Activo.
|
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la llave revocada. |
| 4 |
Haga clic |
| 5 |
Confirme la eliminación de la clave. Una vez eliminada, tiene la opción de restaurar la clave dentro de los 30 días.
|
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Vaya a la clave eliminada. |
| 4 |
Haga clic |
| 5 |
Confirme la restauración de la llave. Una vez restaurado, Control Hub le muestra la clave en el estado Revocada antes de que se eliminara. Por ejemplo, si
elimina una clave revocada y luego restaura la clave, Control Hub muestra la clave restaurada en el estado Revocada.
|
Propiedad
Al tomar posesión de su clave de AWS KMS, debe:
- Asuma la responsabilidad de la creación segura y de la copia de seguridad de sus claves de AWS KMS.
- Comprenda las implicaciones de perder sus claves de AWS KMS.
- Vuelva a cifrar su clave activa AMS KMS al menos una vez al año como práctica óptima.
Autorización
- Debe estar autorizado para crear y administrar sus claves en AWS KMS para su organización Webex.
- Debe tener acceso a su organización Webex en Control Hub. Debe ser un administrador completo para administrar su clave de AWS KMS.
| 1 |
Inicie sesión en AWS y vaya a la consola de AWS KMS. |
| 2 |
Seleccione Claves administradas por el cliente y, a continuación, haga clic en Crear clave. |
| 3 |
Cree la clave con los siguientes atributos:
|
| 4 |
Haga clic en Siguiente. |
| 5 |
Revise su configuración y haga clic en Finalizar. Se crea su clave de AWS KMS.
|
| 6 |
Vaya a Claves administradas por el cliente y haga clic en el alias o ID de clave para ver el ARN. |
Qué hacer a continuación
Le recomendamos que guarde una copia temporal del ARN. Este ARN se utiliza para agregar y activar su clave AWS KMS en Control Hub.
También le recomendamos que cree una clave de copia de seguridad para garantizar la disponibilidad y resiliencia de los datos. Esto permite el acceso a datos cifrados incluso durante interrupciones regionales. Para obtener más información, consulte Crear una clave AWS KMS de copia de seguridad en este artículo.
Antes de comenzar
Asegúrese de haber creado una clave multiregión antes de proceder a crear una clave de copia de seguridad. Para obtener más información, consulte Crear una clave de AWS KMS en este artículo.
| 1 |
Inicie sesión en AWS y vaya a la consola de AWS KMS. |
| 2 |
Seleccione la clave multiregión recién creada. |
| 3 |
En Regionalidad, haga clic en Crear nuevas claves de réplica. |
| 4 |
Elija una región de backup de la lista de regiones de AWS y haga clic en Siguiente. Por ejemplo, si la clave se creó en EE.UU. Oeste (us-west-1), considere la posibilidad de crear la clave de
respaldo en EE.UU. Este (us-east-1).
|
| 5 |
Cree la clave con los siguientes atributos:
|
| 6 |
Haga clic en Siguiente. |
| 7 |
Revise su configuración, marque la casilla de confirmación y haga clic en Crear nuevas claves de réplica. |
Puede autorizar a Cisco KMS para que acceda a su clave de AWS KMS mediante la creación de una concesión de KMS o la configuración de una función de IAM. Elija la opción que mejor se adapte a las necesidades de su organización para garantizar una integración de administración de claves segura y flexible.
Uso de una subvención de KMS
Este método implica otorgar directamente permisos de Cisco KMS para realizar operaciones criptográficas en su clave de AWS KMS.
| 1 |
Inicie sesión en AWS y vaya a la consola de AWS CloudShell. |
| 2 |
Ejecute Por ejemplo:
El |
Uso de una función de IAM
Cree una política de IAM con los permisos KMS necesarios y luego adjúntela a una función de IAM que Cisco KMS pueda asumir, lo que permite una administración de acceso segura y centralizada.
Configurar una directiva de IAM
| 1 |
Inicie sesión en AWS y vaya a la consola de AWS KMS. |
| 2 |
Vaya a |
| 3 |
En el panel de navegación izquierdo, seleccione Políticas y, a continuación, haga clic en Crear directiva. |
| 4 |
En la sección Editor de políticas, seleccione la opción JSON. |
| 5 |
Copie y pegue el siguiente documento de política. Reemplace
|
| 6 |
Haga clic en Siguiente. |
| 7 |
Introduzca un nombre de póliza y una descripción opcional. |
| 8 |
Haga clic en Crear política. |
Configurar una función de IAM
| 1 |
Inicie sesión en AWS y vaya a la consola de AWS KMS. |
| 2 |
Vaya a |
| 3 |
En el panel de navegación izquierdo, seleccione Roles y, a continuación, haga clic en Crear rol. |
| 4 |
En Tipo de entidad de confianza, seleccione Cuenta de AWS. |
| 5 |
Elija otra cuenta de AWS. |
| 6 |
En el campo ID de cuenta, escriba el ID de cuenta de AWS proporcionado en la interfaz de Control Hub. Este es el mismo ID de cuenta que forma parte de |
| 7 |
Haga clic en Siguiente. |
| 8 |
En Agregar permisos, busque y seleccione la política de IAM que acaba de crear. |
| 9 |
Haga clic en Siguiente. |
| 10 |
Introduzca un nombre de rol y una descripción opcional. |
| 11 |
Revise su configuración y haga clic en Crear rol. |
Antes de comenzar
Debe crear una clave AWS KMS antes de activarla en Control Hub. Consulte Crear una clave de AWS KMS en este artículo.
Debe proporcionar a Webex acceso a la clave AWS KMS. Consulte Autorizar Cisco KMS con acceso a la clave AWS KMS en este artículo.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a y activa la opción “Traiga su propia clave” (BYOK). Si deshabilita BYOK, la clave predeterminada común de Webex se convierte en la clave principal de su organización. |
| 3 |
Seleccione Agregar clave AWS KMS y haga clic en Siguiente. |
| 4 |
Obtenga los siguientes ARNs de la consola de AWS:
|
| 5 |
En Control Hub, escriba la clave principal ARN. Si corresponde, introduzca también la clave de copia de seguridad ARN y ARN de rol de IAM en sus campos respectivos. Luego, haga clic en Agregar. Su ARN de clave principal se carga en Cisco KMS, donde se valida el acceso a la clave. Luego, Control Hub le muestra el ID de clave Cisco KMS de su nueva clave AWS KMS y el ID de clave de Cisco KMS actualmente activo, si corresponde. Si esta es su primera clave AWS KMS, la clave actualmente activa es la clave predeterminada común de Webex (la que usamos actualmente para cifrar las claves de su organización). |
| 6 |
Elija cómo quiere activar su clave:
|
| 1 |
Inicie sesión en Control Hub y vaya a . |
| 2 |
Vaya a la clave activa de AWS KMS. |
| 3 |
Haga clic |
| 4 |
Introduzca su nueva clave AWS KMS y su nuevo ARN y haga clic en Agregar. El proceso se describe en Agregar y activar su clave AMS KMS en este artículo.
|
| 5 |
Haga clic en Activar. La nueva clave de AWS KMS que cargó va al estado Activo. La antigua clave AWS KMS permanece en estado Rotativo hasta que Webex termine de cifrar todo su contenido con la nueva clave Active AWS KMS. Después de volver a cifrar, la antigua clave AWS KMS desaparece automáticamente de Control Hub. |
| 1 |
Inicie sesión en Control Hub y vaya a . |
| 2 |
Haga clic en Agregar otra clave. |
| 3 |
Introduzca su nueva clave de AWS KMS y haga clic en Agregar. Control Hub le muestra el ID de clave Cisco KMS de su nueva clave AWS KMS y el ID del ID de clave de Cisco KMS actualmente activo. El proceso se describe en Agregar y activar su clave AMS KMS en este artículo. |
| 4 |
Haga clic en Activar. La nueva clave de AWS KMS que cargó va al estado Activo. La antigua clave AWS KMS permanece en estado Rotativo hasta que Webex termine de cifrar todo su contenido con la nueva clave Active AWS KMS. Después de volver a cifrar, la antigua clave AWS KMS desaparece automáticamente de Control Hub. |
| 1 |
Inicie sesión en Control Hub y vaya a . |
| 2 |
Vaya a la clave AWS KMS actualmente activa. |
| 3 |
Haga clic |
| 4 |
Confirme la revocación de la clave. Puede tomar hasta 10 minutos para revocar completamente su llave.
La clave AWS KMS entra en el estado revocado localmente.
|
Si el administrador del cliente revoca la clave de la consola de AWS KMS, la clave de AWS KMS se muestra en el estado Revocado por Amazon en Control Hub.
| 1 |
Inicie sesión en Control Hub y vaya a . |
| 2 |
Vaya a la clave revocada de AWS KMS. |
| 3 |
Haga clic |
| 4 |
Confirme la eliminación de la clave. Una vez eliminada, puede recuperar la clave dentro de 30 días. |
Le recomendamos que elimine primero la clave AWS KMS de Control Hub antes de eliminar su CMK de la consola de AWS. Si elimina su CMK de la consola de AWS antes de eliminar la clave AWS KMS en Control Hub, puede tener problemas.
Asegúrese de que la clave de AWS KMS ya no esté visible en Control Hub antes de eliminar su CMK de la consola de AWS.
| 1 |
Inicie sesión en Control Hub y vaya a . |
| 2 |
Vaya a la clave eliminada de AWS KMS. |
| 3 |
Haga clic |
| 4 |
Confirme la restauración de la llave. Una vez restaurado, Control Hub le muestra la llave en el estado Revocado. |
Si tiene problemas con su clave AWS KMS, utilice la siguiente información para resolverlo.
-
ARN clave de AWS KMS. Por ejemplo,
arn:aws:kms:us-east- 2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab. -
Estado clave de AWS KMS. Por ejemplo, la clave AWS KMS está deshabilitada.
Este ejemplo utiliza la versión 3.0 de las herramientas de línea de comandos de OpenSSL. Consulte OpenSSL para obtener más información sobre estas herramientas.
| 1 |
Inicie sesión en Control Hub. |
| 2 |
Vaya a . |
| 3 |
Haga clic en Descargar clave pública. Obtiene la clave pública de Webex HSM en un archivo.pem en su sistema local. |
| 4 |
Cree una clave de 256 bits (32 bytes): El ejemplo utiliza el nombre de archivo main_key.bin para su nueva clave no cifrada. Alternativamente, puede generar un valor aleatorio de 32 bytes usando Hex dump, Python o generadores en línea. También puede crear y administrar su clave de AWS KMS. |
| 5 |
Utilice la clave pública de Webex HSM para cifrar su nueva clave:
En el ejemplo se utiliza el nombre de archivo main_key_encrypted.bin para la clave de salida cifrada y la ruta del nombre de archivo.to/public.pem para la clave pública de Webex. La clave cifrada está lista para que la cargue en Control Hub. |
y seleccione