Доступ партнёра да HSM праз VPN: вызначэнне аперацый з ключамі

Нехта ў партнёра павінен падпісаць дакумент адным прызначаным ключом, і запыт прыходзіць у сеткавай фармулёўцы: ім трэба дасягнуць HSM. Разглядайце гэтае сказ як сімптом неакрэсленай дамовы на абслугоўванне, а не як праблему маршрутызацыі, бо тунель, які дасягае прылады, сам па сабе нічога не дае. За запытам стаяць тры брамы: дасяжнасць, ідэнтычнасць HSM і палітыка ключоў, і кожная з іх кіруецца ў іншым месцы іншай камандай. Запішыце іх па чарзе, інакш вы скончыце тым, што дасце маршрут, бо размова пра сертыфікат аказалася складанейшай.

Трымайце ў полі зроку канкрэтны выпадак: партнёр падае ўзгоднены дакумент на подпіс адным названым ключом, і нічога больш. Усё ніжэй вынікае з гэтага аднаго сказа.

Дасяжнасць, ідэнтычнасць і палітыка ключоў — гэта тры брамы

Канцэнтратар VPN вырашае, хто можа адкрыць тунель і якіх адрасоў можа датыкацца. HSM сам вырашае, які ўліковы запіс карыстальніка, прадстаўлены яму, можа ўвайсці. Затым палітыка ключоў вырашае, што гэты ўліковы запіс можа рабіць з адным пэўным ключом. Праходжанне першай брамы пакідае дзве іншыя менавіта такімі, як яны былі, таму паспяховы рукаціск так мала даказвае і таму партнёр можа дасягнуць прылады і ўсё ж праваліць кожную аперацыю.

Прывяжыце кожную браму да ўладальніка, перш чым пісаць патрабаванні. Калі другая брама нікому не належыць, звычайны вынік такі: выдаюць шырокую ідэнтычнасць адміністратара HSM, бо гэта адзіныя ўліковыя даныя, якія працуюць.

Брама першая: сеткавы шлях, які атрымлівае партнёр

Назавіце ўзгоднены кліент або службу, патрэбнае ёй прызначэнне, а таксама пратакол і порт, на якіх гэтая служба слухае. Затым абмяжуйце доступ з боку VPN гэтай парай у абодвух кірунках, уключаючы зваротны шлях, каб палітыка была сказам, які вы можаце прачытаць партнёру. Кіраванне шлюзам, інтэрфейсы кіравання HSM і незвязаныя ўнутраныя сістэмы павінны знаходзіцца па-за звычайным доступам партнёра, а не проста па-за маршрутам па змаўчанні.

Выдзелены сегмент робіць гэтыя перасячэнні бачнымі, але назва сегмента нічога не забяспечвае. Трафік павінен праходзіць праз той кантроль, праз які вы думаеце, што ён праходзіць. Дапушчэнне злучэння ад партнёра таксама не азначае, што кожная машына ў партнёра заслугоўвае даверу.

Брама другая: што насамрэч аўтэнтыфікуецца ў HSM

Ідэнтычнасць VPN і ідэнтычнасць HSM — асобныя аб'екты, калі падтрыманая інтэграцыя свядома не злучае іх. З кліентам PKCS#11 праграма выконвае ўваход у слот з уліковымі данымі, захаванымі дзесьці на хасту партнёра, і менавіта гэты ўваход ацэньвае HSM.

AWS CloudHSM — карысная спасылка, бо яго дакументацыя трымае гэтыя дзве рэчы асобна: карыстальнікі HSM адрозніваюцца ад карыстальнікаў IAM, а тып карыстальніка вызначае, што ўліковы запіс можа рабіць. Крыптаафіцэр кіруе карыстальнікамі і ключамі, але не з'яўляецца тым суб'ектам, які выконвае крыптаграфічныя аперацыі, а крыптакарыстальнік можа выкарыстоўваць ключы, не маючы магчымасці кіраваць імі. Такое раздзяленне — гэта форма, якую вы хочаце нават на прыладзе іншага пастаўшчыка, дзе назвы роляў будуць адрознівацца.

Якую б ідэнтычнасць вы ні выдалі, яна павінна быць выдаляльнай і суадноснай з той дакладнасцю, якая спатрэбіцца вам пазней. Адныя агульныя эксплуатацыйныя ўліковыя даныя на некалькіх партнёраў ускладняюць лакалізацыю і падсправаздачнасць менавіта ў тым інцыдэнце, дзе абодва найбольш важныя.

Брама трэцяя: які ключ і якая аперацыя

Подпіс, расшыфроўка, генерацыя ключоў, абгортванне ключоў і кіраванне карыстальнікамі — асобныя дазволы, і іх трэба пералічваць асобна. У тэрмінах PKCS#11 атрыбуты, такія як CKA_SENSITIVE і CKA_EXTRACTABLE, апісваюць, ці можа ключавы матэрыял пакінуць модуль у прыдатнай для выкарыстання форме, і яны ўсталёўваюцца для кожнага ключа, а не для прылады. Чытайце фактычную палітыку на ключы, а не выводзьце немагчымасць экспарту з слова апаратнае забеспячэнне або з наяўнасці тунеля.

Затым знайдзіце бізнес-узгадненне. Калі падпісваць можна толькі ўзгодненыя дакументы, які кампанент устанаўлівае гэтае ўзгадненне да таго, як запыт дасягне HSM? Крыптаграфічны інтэрфейс, які прымае дазволены запыт, не ведае, ці быў дакумент разгледжаны, таму гэтая праверка належыць службе перад ім.

Дазволены кліент, які скампраметаваны, таксама можа злоўжываць аперацыямі, якія яго ўліковыя даныя законна дазваляюць, не вымаючы прыватны ключ. Таму абарона захаванага ключавога матэрыялу і кантроль выкарыстання ключоў — гэта дзве ўмовы прыёмкі, а не адна.

Адмовы — частка прыёмачнага тэсту

Прыміце дазволены запыт на подпіс і прыміце таксама адмовы: несанкцыянаваную ідэнтычнасць, незвязаны ключ і аперацыю кіравання з шляху партнёра. Запісвайце выклікалага, аперацыю, ідэнтыфікатар ключа, час і вынік, а прыватны ключавы матэрыял, уліковыя даныя і змест дакументаў трымайце па-за агульнымі дыягнастычнымі журналамі.

Прызначце ўладальніка для вываду партнёра, для падазронай кампраметацыі на баку партнёра і для змен палітыкі і аднаўлення. Змена маршруту не аднаўляе давер да хаста, які можа ўжо быць скампраметаваны, таму адкліканне павінна дасягаць і ідэнтычнасці HSM.

Завершаны рукаціск VPN належыць гэтаму запісу. Ён не можа замяніць адзін канкрэтны вынік па HSM.