Tərəfdaşın VPN üzərindən HSM-ə girişi: açar əməliyyatlarını müəyyən edin

Tərəfdaşda kimsə sənədi bir təyin edilmiş açarla imzalamalıdır və sorğu şəbəkə dili ilə gəlir: HSM-ə çatmalıdırlar. Bu cümləni marşrut problemi deyil, müəyyən edilməmiş xidmət müqaviləsinin simptomu kimi qəbul edin, çünki cihaza çatan tunel özü heç nə vermir. Sorğunun arxasında üç qapı dayanır: əlçatanlıq, HSM kimliyi və açar siyasəti, və hər biri fərqli yerdə fərqli komanda tərəfindən idarə olunur. Onları bir-bir yazın, əks halda sertifikat söhbəti daha çətin olduğu üçün marşrut verilməsi ilə bitirəcəksiniz.

Konkret halı göz önündə saxlayın: tərəfdaş imzalama üçün bir adlandırılmış açarla təsdiqlənmiş sənəd təqdim edir, başqa heç nə yox. Aşağıdakıların hamısı bu tək cümlədən irəli gəlir.

Əlçatanlıq, kimlik və açar siyasəti üç qapıdır

VPN konsentratoru kimin tunel aça biləcəyini və hansı ünvanlara toxuna biləcəyini müəyyən edir. HSM isə özü ona təqdim edilən hansı istifadəçi qeydinin daxil ola biləcəyini müəyyən edir. Sonra açar siyasəti həmin istifadəçi qeydinin bir konkret açarla nə edə biləcəyini müəyyən edir. Birinci qapıdan keçmək digər ikisini olduğu kimi qoyur, buna görə də uğurlu əl sıxması bu qədər az şey sübut edir və buna görə də tərəfdaş cihaza çata bilər və yenə də hər əməliyyatda uğursuz ola bilər.

Tələbləri yazmazdan əvvəl hər qapını bir sahibə bağlayın. İkinci qapının sahibi olmadıqda adi nəticə geniş HSM administrator kimliyinin verilməsidir, çünki işləyən yeganə etimadnamə odur.

Birinci qapı: tərəfdaşa verilən şəbəkə yolu

Təsdiqlənmiş klienti və ya xidməti, onun ehtiyac duyduğu təyinatı, həmin xidmətin dinlədiyi protokolu və portu adlandırın. Sonra VPN tərəfindəki girişi hər iki istiqamətdə, qayıdış yolu daxil olmaqla, həmin cütlə məhdudlaşdırın ki, siyasət tərəfdaşa oxuya biləcəyiniz bir cümlə olsun. Şlüz idarəetməsi, HSM idarəetmə interfeysləri və əlaqəsiz daxili sistemlər adi tərəfdaş girişindən kənarda qalmalıdır, sadəcə defolt marşrutdan kənarda deyil.

Ayrılmış seqment bu keçidləri görünən edir, lakin seqmentin adı heç nə məcbur etmir. Trafik onun içindən keçdiyini düşündüyünüz nəzarətdən keçməlidir. Tərəfdaşdan gələn bağlantını qəbul etmək həm də tərəfdaşdakı hər maşının etibarlı olması demək deyil.

İkinci qapı: HSM-ə həqiqətən hansı kimlik daxil olur

VPN kimliyi və HSM kimliyi, dəstəklənən inteqrasiya onları qəsdən birləşdirmədikcə, ayrı obyektlərdir. PKCS#11 klienti ilə tətbiq tərəfdaşın hostunda haradasa saxlanan etimadnamə ilə slotda daxil olur, və HSM məhz bu daxil olmanı qiymətləndirir.

AWS CloudHSM faydalı bir istinaddır, çünki sənədləşməsi ikisini ayrı saxlayır: HSM istifadəçiləri IAM istifadəçilərindən fərqlidir, və istifadəçi növü hesabın nə edə biləcəyini müəyyən edir. Kripto zabiti istifadəçiləri və açarları idarə edir, lakin kriptoqrafik əməliyyatları yerinə yetirən kimlik deyil, kripto istifadəçisi isə açarları idarə edə bilmədən onlardan istifadə edə bilər. Bu bölgü başqa bir təchizatçının cihazında da istədiyiniz formadır, orada rol adları fərqli olacaq.

Hansı kimliyi versəniz də, o, sonralar ehtiyac duyacağınız dəqiqlikdə çıxarıla bilən və aid edilə bilən olmalıdır. Bir neçə tərəfdaş üzrə paylaşılan bir əməliyyat etimadnaməsi, hər ikisinin ən çox vacib olduğu hadisədə məhdudlaşdırma və hesabatlılığı çətinləşdirir.

Üçüncü qapı: hansı açar və hansı əməliyyat

İmzalama, şifrənin açılması, açar yaradılması, açar bükülməsi və istifadəçi idarəetməsi ayrı icazələrdir və ayrıca sadalanmalıdır. PKCS#11 baxımından CKA_SENSITIVE və CKA_EXTRACTABLE kimi atributlar açar materialının moduldan istifadə oluna bilən formada çıxa biləcəyini təsvir edir və onlar cihaz üzrə deyil, hər açar üzrə təyin edilir. Açar üzərindəki faktiki siyasəti oxuyun, ixrac edilə bilməzliyi hardware sözündən və ya tunelin varlığından çıxarmaq əvəzinə.

Sonra biznes təsdiqini tapın. Yalnız təsdiqlənmiş sənədlər imzalana bilirsə, sorğu HSM-ə çatmazdan əvvəl hansı komponent bu təsdiqi müəyyən edir? Səlahiyyətli sorğunu qəbul edən kriptoqrafik interfeys sənədin nəzərdən keçirilib-keçirilmədiyini bilmir, ona görə də bu yoxlama onun qarşısındakı xidmətə aiddir.

İcazə verilən, lakin kompromisə uğramış klient, özəl açarı heç vaxt çıxarmadan da etimadnaməsinin qanuni səlahiyyət verdiyi əməliyyatları sui-istifadə edə bilər. Buna görə də saxlanan açar materialının qorunması və açar istifadəsinə nəzarət biri deyil, iki qəbul şərtidir.

İmtinalar qəbul testinin bir hissəsidir

İcazə verilən imzalama sorğusunu qəbul edin, imtinaları da qəbul edin: səlahiyyətsiz kimlik, əlaqəsiz açar və tərəfdaşın yolundan gələn idarəetmə əməliyyatı. Zəng edəni, əməliyyatı, açar identifikatorunu, vaxtı və nəticəni qeyd edin, özəl açar materialını, etimadnamələri və sənəd məzmununu ümumi diaqnostik jurnallardan kənarda saxlayın.

Tərəfdaşın çıxarılması, tərəfdaş tərəfində şübhəli kompromis, siyasət dəyişiklikləri və bərpa üçün sahib təyin edin. Marşrutun dəyişdirilməsi artıq kompromisə uğramış ola biləcək hostda etimadı bərpa etmir, ona görə də ləğv HSM kimliyinə də çatmalıdır.

Tamamlanmış VPN əl sıxması həmin qeydə aiddir. O, tək bir HSM-ə xas nəticənin yerini tuta bilməz.